Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Hintergrundinformationen

Problem: Zertifikat stimmt nicht überein

Lösung

Problem: AADSTS900235 - Problem mit dem Authentifizierungskontext

Lösung

Problem: SAML-Antwort ist nicht signiert

Lösung

Problem: Probleme mit Anspruchsregeln

Lösung

Problem: AADSTS50011 - URL antworten stimmt nicht überein

Lösung

Einleitung

In diesem Dokument wird beschrieben, wie Sie einige häufig auftretende Probleme bei der UCCE SSO-Integration mit Microsoft Azure IdP beheben können.

Unterstützt von Anurag Atul Agarwal, Cisco TAC Engineer.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

- Security Assertion Markup Language (SAML) 2.0

- Cisco Unified/Packaged Contact Center Enterprise UCCE/PCCE

- Single Sign On (SSO)

- Cisco Identity Service (IDs)

- Identitätsanbieter (IdP)

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

- Azure-IDP

- UCCE 12.0.1

- Cisco IDs 12.0.1

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die potenziellen Auswirkungen eines Befehls verstehen.

Hintergrundinformationen

In diesem Dokument werden einige häufige Probleme bei der Integration von Cisco Identity Service (IdS) und Identity Provider (IdP) für Azure-basierte SSO sowie deren mögliche Fehlerbehebungen beschrieben.  Es wird immer empfohlen, diese Protokolle zu sammeln, um Probleme mit der SSO-Integration zu beheben:

- Cisco IDs-Protokolle: Link zur Auflistung: IDS-Protokolle

- Browser-Konsolenprotokolle

- Beliebige Protokolle von IdP

Problem: Zertifikat stimmt nicht überein

Die Test-SSO schlägt fehl und die Meldung "IdS konnte die SAML-Antwort nicht verarbeiten, obwohl die Authentifizierung erfolgreich war" und die ID-Protokolle drucken die Fehlermeldung: "SAML-Antwortverarbeitung fehlgeschlagen mit exception com.sun.identity.saml2.common.SAML2Exception: Das Signaturzertifikat stimmt nicht mit dem überein, was in den Entitätsmetadaten definiert ist."

Lösung

Überprüfen Sie das Zertifikat und die Einstellung des Signing Algorithm in Azure. Stellen Sie sicher, dass er mit dem unterstützten Hash-Algorithmus übereinstimmt, der auf der IDS-Version basiert. Siehe Kapitel 'Single Sign-On' im Funktionsleitfaden und überprüfen Sie den unterstützten sicheren Hash-Algorithmus. Laden Sie die neueste IDP-Metadatendatei herunter und laden Sie sie über die Benutzeroberfläche für das Identity Service Management auf Cisco IDs hoch.

Problem: AADSTS900235 - Problem mit dem Authentifizierungskontext

Testen der SSO-Umleitung zur Microsoft-Seite und schlägt mit der folgenden Meldung fehl: "Leider können wir Sie leider nicht anmelden."

AADSTS900235: Der RequestedAuthenticationContext-Vergleichswert der SAML-Authentifizierungsanforderung muss genau sein. Empfangener Wert: Mindestwert

Lösung

AuthContext muss möglicherweise angepasst werden, wie im Fehler CSCvm69290 beschrieben. . Wenden Sie sich an das Cisco TAC, um die Problemumgehung in IDs durchzuführen.

Problem: SAML-Antwort ist nicht signiert

Test SSO fehlschlägt mit Meldung, IdS konnte die SAML-Antwort nicht verarbeiten, obwohl die Authentifizierung erfolgreich war" und IdS-Protokolle die Fehlermeldung drucken: "SAML-Antwortverarbeitung fehlgeschlagen mit exception com.sun.identity.saml2.common.SAML2Exception: Antwort ist nicht signiert."

Lösung

Azure-IDP muss eine signierte Assertion an IdS senden. Azure-Einstellung mit Signaturoption ändern: SAML-Antwort und -Assertion signieren

Problem: Probleme mit Anspruchsregeln

Test SSO fehlschlägt mit der Meldung 'IdP configuration error: SAML-Verarbeitung fehlgeschlagen. Die SAML-Antwort konnte den Benutzer-Principal nicht retten. " und IDs-Protokolle drucken die Fehlermeldung: "SAML response processing failed with exception com.sun.identity.saml.common.SAMLException: Der Benutzer konnte keine SAML-Antwort erhalten."

Lösung

Dieser Fehler weist auf falsche "Forderungsnamen" hin, die in Azure konfiguriert wurden. Dies kann bei anderen Attributen wie UID, NameID usw. der Fall sein, und es werden ähnliche Fehler mit unterschiedlichen Attributnamen generiert. Suchen Sie zur Behebung dieses Problems jedes Attribut in Azure in diesem Format, 'schemas.xmlsoap.org/ws/2005/05/identity/claims/<attribute_name>'. Entfernen Sie alles vor dem eigentlichen Attributnamen.

Dieser Abschnitt enthält die Beispielkonfiguration für ADFS im Funktionsleitfaden, die in Azure repliziert werden muss.

ADFS-Beispielkonfiguration

Problem: AADSTS50011 - URL antworten stimmt nicht überein

Testen der SSO-Umleitung zur Microsoft-Seite und schlägt mit der folgenden Meldung fehl: "Leider können Sie sich nicht anmelden.

AADSTS50011: Die in der Anfrage angegebene Antworten-URL stimmt nicht mit der für die Anwendung konfigurierten Antworten-URL überein."

Lösung

Wenden Sie sich an das Cisco TAC. 'Assertion Consumer Service' Parameter muss im Stamm des IDS-Knotens überprüft werden, wo dies fehlschlägt. Wenn der Parameter korrekt ist, muss Microsoft Azure eine Fehlerbehebung durchführen.