Что это значит

При входе через внешний провайдер (Keycloak, ADFS и другие OpenID Connect) сервисы RX скачивают его описание по адресу .../.well-known/openid-configuration и ключи для проверки токенов. Если скачать не удалось, библиотека .NET пишет IDX20803: Unable to obtain configuration from '<адрес>', а внутри IDX20804: Unable to retrieve document from и сетевую причину. Рядом бывает Exception occurred while processing message от обработчиков JwtBearerHandler и OpenIdConnectHandler.

Последствия: пользователи не могут войти через единый вход, а интеграции с токенами получают отказ.

Как проверить

  1. Адрес из текста ошибки открыть с сервера RX, а не со своего компьютера:
curl -sv https://sso.example.ru/realms/<realm>/.well-known/openid-configuration -o /dev/null
  1. По выводу curl понять, на каком шаге сбой: имя не разрешается, соединение не устанавливается, сертификат не доверен.
  2. Совпадает ли время с перезапуском или обновлением провайдера входа.

Что сделать

  1. Имя не разрешается или адрес недоступен с сервера: поправить DNS или сетевой доступ от серверов RX к провайдеру. Адрес провайдера должен быть одинаково доступен и пользователям, и серверам.
  2. Сертификат не доверен: добавить сертификат удостоверяющего центра провайдера в доверенные на серверах или в контейнерах RX.
  3. После исправления проверить вход, а если ошибка сохраняется, перезапустить сервисы RX, которые кэшируют описание провайдера.