Risolvere i problemi relativi a SAML
Questo documento spiega come risolvere i problemi comuni che potresti riscontrare con l'autenticazione SAML nella piattaforma Google Security Operations SOAR.
Applicazione non trovata nella directory
Messaggio: AADSTS700016: Application with identifier 'https://yyy.yyyyyy.com/api/auth/saml/metadata' was not found in the directory 'yyy'.
Spiegazione: si verifica una mancata corrispondenza tra la configurazione in Azure AD (SAML di base) e il sistema.
Correzione: in Azure AD, imposta Identifier (Entity ID) (Identificatore (ID entità)) sull'ID entità del SP e assicurati che Reply URL (ACS) (URL di risposta (ACS)) corrisponda al tuo fornitore di SP; verifica di essere nel tenant corretto e che gli utenti siano assegnati all'app.
Valore non valido per saml:AuthnContextDeclRef
Messaggio: Microsoft.IdentityModel.Tokens.Saml2.Saml2SecurityTokenReadException: IDX13102: Exception thrown while reading 'System.String' for Saml2SecurityToken. Inner exception: System.ArgumentException.
Spiegazione: questo errore indica un valore non valido per saml:AuthnContextDeclRef nella risposta SAML.
Correzione: decodifica e ispeziona la risposta SAML. Se il provider di identità invia un AuthnContextDeclRef non valido, rimuovilo o passa a un saml:AuthnContextClassRef supportato (ad esempio, urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport).
System.ArgumentException: 'System.String' must be an absolute URI
Messaggio: /ds:Signature>saml:Subject<saml:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified" System.ArgumentException: IDX13300: 'System.String' must be an absolute URI, was: 'System.Uri"></saml:NameID>
Spiegazione: il NameID Format deve essere un URI assoluto (URN) valido supportato dal SP e il valore <saml:NameID> deve essere presente.
Correzione: imposta il parametro DefaultNameIDFormat nella configurazione SAML su una delle seguenti opzioni:
urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress(più comune)urn:oasis:names:tc:SAML:2.0:nameid-format:persistenturn:oasis:names:tc:SAML:2.0:nameid-format:transient
Attributi utente non trovati e campo LoginIdentifier obbligatorio
Messaggio: logs Server error Login error for user _yyyyyyyyyyyyyyyyyyyyyyy. User attributes were not found for creating new followed by Error: register : The LoginIdentifier field is required.
Spiegazione: con il provisioning Just-In-Time (JIT) abilitato, il SP di servizi cerca l'utente utilizzando il NameID (o un attributo mappato). Il valore in entrata non corrisponde a nessun ID di accesso esistente.
Correzione: il provider di identità deve essere configurato per inviare un valore che corrisponda al campo ID di accesso nella gestione utenti (Impostazioni > Gestione utenti). Questo valore può essere l'indirizzo email dell'utente o un altro ID univoco.
Mancata corrispondenza del tipo di utente
Messaggio: Login error for user user@user.com. User type (Internal) does not match to this type of authentication (External).
Spiegazione: esiste un account con lo stesso ID di accesso come Internal (Interno), ma l'autenticazione SAML richiede un utente External (Esterno).
Correzione: modifica il tipo di utente esistente con il nome utente in conflitto in External (Esterno) in modo che corrisponda al metodo di autenticazione SAML.
Loop di reindirizzamento
Se la tua istanza è configurata per il reindirizzamento automatico alla pagina di accesso del provider di identità e riscontri un loop di reindirizzamento continuo, puoi disattivare temporaneamente il reindirizzamento automatico aggiungendo il seguente testo al nome host dell'istanza:
/#/login?autoExternalLogin=false
Hai bisogno di ulteriore assistenza? Ricevi risposte dai membri della community e dai professionisti di Google SecOps.