Dépanner les erreurs SAML

«Saml, comme d'autres protocoles d'authentification, aura des problèmes de temps à autre. Bien que ces problèmes ne soient pas difficiles à résoudre, le processus impliqué dans le dépannage des problèmes SAML peut être difficile pour les administrateurs de systèmes novices.

Notamment, le dépannage des problèmes Linux SAML commence par l'identification de la source des problèmes. Les problèmes communs incluent l'échec de la connexion, les problèmes de configuration, les problèmes de connexion, les problèmes d'authentification et les problèmes d'autorisation.

Cet article examine certains des principaux problèmes SAML. En plus de mettre en évidence les erreurs, l'article spécifiera également la cause des problèmes ainsi que comment les dépanner."

Erreurs SAML communes

Erreurs de configuration SAML

Dépannage Les erreurs de configuration SAML commencent par comprendre vos modules de configuration. Et parmi les choses que vous devez savoir, notamment;

• Votre CDI et SP- Si vous utilisez Auth0, découvrez s'il est votre fournisseur de services (SP) ou le fournisseur d'identité (IDP). Bien sûr, cela peut aussi être votre PDI et SP simultanément. Un SP est un programme ou une application auquel un utilisateur a l'intention d'accéder. Il dirige chaque utilisateur pour l'authentification. D'un autre côté, un PDI confirme les informations d'identification et envoie un rapport de validation ou de déni au SP.
• Type de mode d'authentification- Les deux types de modes de flux d'authentification utilisés dans SAML sont des modes initiés par IDP ou initiés par SP. Votre système pourrait utiliser l'un des deux ou les deux. Notamment, les utilisateurs tenteront toujours de naviguer vers le SP avant d'être dirigé vers le PDI, ce qui approuve la connexion. Ce type de flux est un flux initié par SP. Dans le flux d'authentification initié par l'IDP, les utilisateurs accéderont à l'IDP et se connecteront avant d'être redirigé vers le programme ou l'application SP.
• Type d'attribut de profil utilisateur sur l'IDP- L'attribut de profil utilisateur que l'IDP utilise lors de l'identification de l'utilisateur et de l'attribut entre les applications est une autre considération vitale. Assurez-vous de configurer les mappages corrects. Notamment, vous pouvez choisir d'utiliser une adresse e-mail ou une carte d'identité interne dans les organisations d'entreprise.
• Type d'affirmations d'authentification- Il est essentiel de vérifier si vos affirmations d'authentification ont des chiffrement.
• autres considérations- D'autres aspects que vous voudriez rechercher lorsque le dépannage des problèmes de SAML inclut le nombre d'utilisateurs affectés, le nombre d'applications inaccessibles, le problème résulte d'une nouvelle configuration ou d'une ancienne qui vient de s'arrêter, et jusqu'où le problème se produit pendant le processus de connexion.

Parmi les erreurs courantes que vous pouvez rencontrer lorsque Autho est un fournisseur de services (SP) incluent;

Connexion désactivée

Lorsque vous n'avez aucune association avec une connexion active, vous trouverez le message ci-dessous;

Vous devez visiter votre tableau de bord Autho et activer au moins une application au cas où vous rencontreriez ce problème. Notamment, vous pouvez y parvenir en cliquant sur Authentication🡺 Enterprise🡺Connection Nom🡺 Applications. Vous trouverez une liste à partir de laquelle vous pouvez choisir. Si vous ne trouvez pas de liste, créez une application et continuez.

Attributs inResponseto ne correspondent pas

Cette erreur est assez courante dans les situations où l'attribut InResponSeto ne correspond pas à l'ID AuthnRequest. Idéalement, cela se produit lorsque votre locataire Autho ne reconnaît pas la réponse SAML. Les principales raisons pourraient inclure des cookies bloqués, une utilisation incohérente du domaine et des ID incompatibles.

Dans le cas où votre locataire a un domaine personnalisé, il y a de fortes chances que vous ayez un décalage lorsque la connexion indique que votre système commence sur le domaine personnalisé mais se termine sur le domaine comique. Par exemple, si ce qui est ci-dessous est votre domaine personnalisé débutant;

Mais votre fournisseur d'identité a une configuration qui renvoie la réponse SAML ci-dessous à votre URL ACS dans des domaines comiques;

Un retour de votre identifiant dans un autre domaine de votre attribut InRespinseto des réponses SAML implique que votre locataire n'a aucune trace de l'identifiant. L'utilisation du même domaine tout au long de votre authentification résout ce problème.

Lorsque la connexion initiée par IDP n'est pas activée

Lorsque vous configurez votre URL ACS dans le fournisseur d'identité ou IDP utilisé dans le domaine du locataire par défaut, et que vous démarrez le processus d'authentification en appelant le domaine personnalisé en utilisant / autorise, ce problème se produira très probablement;

Cette erreur se produit lorsque votre transaction n'a pas de paramètre RelayState ou en cas d'attribut InResponSeto manquant dans votre réponse SAML. Vous pouvez toujours vérifier à nouveau et corriger l'anomalie.

Lorsque l'application par défaut initiée par IDP n'est pas configurée

Dans ce cas, vos flux initiés par l'IDP sont correctement activés mais manquent d'informations de configuration vitales. Vous verrez l'image ci-dessous;

Idéalement, votre URL ACS devrait avoir le même nom de domaine utilisé pendant la demande initiale. Il peut également utiliser un rappel de domaine personnalisé au cas où vous utilisez des domaines personnalisés. L'erreur pourrait également se produire si votre flux d'authentification n'a pas de paramètre RelayState ou d'un attribut InSenseto.

Erreurs de configuration SAML

Erreur HTTP Status 500

Parfois, l'erreur ci-dessous pourrait vous accueillir pendant la configuration;

Vous pouvez résoudre l'erreur ci-dessus en examinant vos paramètres. Parmi les domaines de préoccupation, il pourrait inclure la correction de l'URL IDP pour la connexion unique spécifiée dans votre onglet SAML, confirmant l'IDP configuré pour HTTP-POST, et corriger l'URL IDP pour le profil d'authentification unique spécifié lors de la création de la création de la création de la création de la création de la création de la création de la création de la création de la création de la création de la création de Sp.

Connexion ratée

Une connexion échouée produira le message ci-dessous;

L'erreur se produit lorsqu'il y a un décalage dans les noms d'utilisateurs. Essayez de faire correspondre les noms pour résoudre ce problème.

Échec de la connexion en raison d'un SSL de déchargement

Recherchez le message ci-dessous;

Il peut également venir le message ci-dessous des journaux du portail;

La combinaison ci-dessus implique que votre système a une erreur de configuration du proxy externe qui décharge sur le serveur.

Conclusion

Ce qui précède sont les problèmes notables que vous rencontrerez lorsque vous traitez avec la configuration et l'authentification SAML. L'article met en évidence les solutions possibles pour chaque problème. Nous espérons que cela aide.