Konfigurieren des ISE-Sponsorportals mit Microsoft Entra ID SAML SSO
Inhalt
Einleitung
In diesem Dokument wird beschrieben, wie Microsoft Entra ID als SAML-Identitätsanbieter für das Cisco ISE Sponsor-Portal konfiguriert wird.
Voraussetzungen
Anforderungen
Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:
- Microsoft Entra-ID
- Cisco Identity Services Engine (ISE) 3.0
- Grundlegendes Wissen über SAML-SSO-Bereitstellungen (Security Assertion Markup Language)
Verwendete Komponenten
Die Informationen in diesem Dokument basieren auf folgenden Hardware- und Software-Versionen:
- Cisco ISE 3.4 (das Verfahren gilt für Cisco ISE 3.1 und höher)
- Microsoft Entra-ID
Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.
Übergeordnetes Flussdiagramm
Konfigurieren
Schritt 1: Konfigurieren von SAML Identity Provider und Sponsor Portal auf der ISE
SAML-Identitätsanbieter hinzufügen
1. Navigieren Sie auf der ISE zu Administration > Identity Management > External Identity Sources > SAML Id Providers, und klicken Sie auf die Schaltfläche Add (Hinzufügen).
2. Geben Sie den ID-Anbieternamen ein, und klicken Sie auf Senden, um ihn zu speichern. Der ID-Anbietername ist nur für die ISE relevant, wie im Bild gezeigt.
Sponsorportal für die ID konfigurieren
1. Navigieren Sie zu Work Centers > Guest Access > Portals & Components > Sponsor Portals, und wählen Sie Ihr Sponsor Portal aus. In diesem Beispiel wird das Sponsorportal (Standard) verwendet.
2. Erweitern Sie Portal Settings und wählen Sie den neuen SAML Identity Provider in Identity Source Sequence aus. Konfigurieren Sie den vollqualifizierten Domänennamen (Fully Qualified Domain Name, FQDN) für das Sponsorportal, und notieren Sie sich den HTTPS-Port (8445 ist die Standardeinstellung für das Sponsorportal). Klicken Sie auf Speichern.
Informationen zu Service Providern exportieren
1. Navigieren Sie zurück zum SAML-Anbieter, und öffnen Sie die Registerkarte Service Provider Info. Bestätigen Sie, dass das Sponsorportal unter "Umfasst die folgenden Portale" angezeigt wird. Das Portal muss vor dem Export an den IdP gebunden sein, oder die Metadaten enthalten es nicht. Klicken Sie auf Exportieren.
2. Aus dem heruntergeladenen XML:
- entityID: Beispiel: http://CiscoISE/1f789a00-ad9d-4ec0-9a47-ce4909a65db2
- Jeder AssertionConsumerService-Standort (einer pro Knotenname/IP - ein eigenständiger Knoten produziert drei; Multi-Node-Bereitstellungen bringen mehr).
- SingleLogoutService-Antwortadresse: Sponsorportal - Abmeldeantwort
<?xml version="1.0" encoding="UTF-8"?>
<md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata"
entityID="http://CiscoISE/1f789a00-ad9d-4ec0-9a47-ce4909a65db2">
<md:SPSSODescriptor AuthnRequestsSigned="false" WantAssertionsSigned="false" ...>
<md:KeyDescriptor use="signing">
<ds:X509Certificate>MIIFUDCC...(ISE portal signing certificate)...</ds:X509Certificate>
</md:KeyDescriptor>
<md:SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect"
Location="https://sponsor.n3tgeek.com:8445/sponsorportal/SSOLogoutRequest.action?portal=1f789a00-..."
ResponseLocation="https://sponsor.n3tgeek.com:8445/sponsorportal/SSOLogoutResponse.action"/>
<md:NameIDFormat>urn:oasis:names:tc:SAML:2.0:nameid-format:transient</md:NameIDFormat>
...(additional NameIDFormat entries)...
<md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
Location="https://sponsor.n3tgeek.com:8445/sponsorportal/SSOLoginResponse.action" index="0"/>
<md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
Location="https://192.168.1.204:8445/sponsorportal/SSOLoginResponse.action" index="1"/>
<md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST"
Location="https://prox-ise04.n3tgeek.com:8445/sponsorportal/SSOLoginResponse.action" index="2"/>
</md:SPSSODescriptor>
</md:EntityDescriptor>
Vorsicht: Der XML-Code enthält auch einen SSOLogoutRequest.action?portal=... URL im Location-Attribut. Dies ist nicht der Wert, der als Abmelde-URL in der Entra-ID verwendet wird. Wenn Sie diesen Wert verwenden, wird der Fehler "SSO Logout failed" (SSO-Abmeldung fehlgeschlagen) verursacht, der im Abschnitt "Troubleshoot" (Fehlerbehebung) beschrieben wird. Der richtige Wert endet in SSOLogoutResponse.action.
Anmerkung: Diese Metadaten bei jeder Änderung erneut exportieren und importieren: Wenn ein neuer ISE-Knoten registriert wird, ändert sich der Hostname oder die IP-Adresse des Knotens, die FQDN-Änderungen des Sponsorportals, die Port- oder Schnittstelleneinstellungen ändern sich oder ein Load Balancer ist zugeordnet. Wenn der IdP veraltete Metadaten beibehält, lehnt er Authentifizierungsanforderungen ab. Die exportierte ZIP enthält außerdem eine Readme-Datei mit Konfigurationsanweisungen für jede IdP.
Gemäß der XML-Datei:
SingleLogoutService ResponseLocation="https://sponsor.n3tgeek.com:8445/sponsorportal/SSOLogoutResponse.action"
entityID="http://CiscoISE/1f789a00-ad9d-4ec0-9a47-ce4909a65db2"
AssertionConsumerService Location="https://sponsor.n3tgeek.com:8445/sponsorportal/SSOLoginResponse.action"
AssertionConsumerService Location="https://192.168.1.204:8445/sponsorportal/SSOLoginResponse.action"
AssertionConsumerService Location="https://prox-ise04.n3tgeek.com:8445/sponsorportal/SSOLoginResponse.action"
Anmerkung: In dieser Übung wird ein einzelner ISE-Knoten verwendet, sodass die exportierte XML nur drei AssertionConsumerService-Einträge enthält: dem Sponsorportal-FQDN, der Knoten-IP und dem Knoten-FQDN. Bei einer Multi-Node-Bereitstellung listet das XML die Einträge für jeden Knoten auf, der das Sponsorportal bedient (den Portal-FQDN plus eine IP und einen FQDN für jeden Knoten). Fügen Sie alle URLs als Antwort-URLs in der Entra-ID hinzu, nicht nur die eines Knotens. Wenn die URL eines Knotens in den Antwort-URLs fehlt, schlägt die Authentifizierung fehl, wenn der Benutzer zu diesem Knoten umgeleitet wird.
Schritt 2: Konfigurieren der Microsoft Entra-ID
Azure AD-Benutzer erstellen
1. Melden Sie sich beim Microsoft Entra Admin Center an.
2. Navigieren Sie zu Entra ID > Users > New user > Create new user, und erstellen Sie einen Cloud-only-Testbenutzer.
Anmerkung: Verwenden Sie einen reinen Cloud-Benutzer und keinen eingeladenen Gast. Die Gäste authentifizieren sich bei ihrem ursprünglichen Tenant, und das resultierende NameID-Format verhindert, dass die ISE den Benutzernamen extrahiert. Ein neuer Benutzer muss das Kennwort bei der ersten Anmeldung ändern, und Tenants mit Sicherheitseinstellungen erfordern ebenfalls eine MFA-Registrierung. Führen Sie beide Schritte vor dem Abschnitt Überprüfen aus.
2. Erstellen Sie eine Gruppe, und fügen Sie den Benutzer hinzu
1. Navigieren Sie zu Eingabe-ID > Gruppen > Neue Gruppe.
2. Behalten Sie Gruppentyp als Sicherheit bei. Konfigurieren Sie den Gruppennamen wie im Bild gezeigt:
3. Öffnen Sie die Seite Mitglieder der Gruppe, klicken Sie auf Mitglieder hinzufügen, suchen Sie nach dem Testbenutzer, wählen Sie ihn aus, und klicken Sie auf Auswählen.
4. Notieren Sie sich die Gruppenobjekt-ID. In diesem Bildschirm ist es 48f07fce-26e5-41e5-a82b-ed095b32bab8 für die Sponsorgruppe.
3. Enterprise-Anwendung erstellen
1. Navigieren Sie zu Entra ID > Enterprise apps > Alle Anwendungen > Neue Anwendung.
2. Wählen Sie Eigene Anwendung erstellen.
3. Geben Sie einen Namen ein, wählen "Integrieren Sie alle anderen Anwendungen, die Sie nicht in der Galerie finden (Nicht-Galerie)" und klicken Sie auf Erstellen.
4. Weisen Sie der Anwendung die Gruppe (oder den Benutzer) zu.
1. Navigieren Sie in der Anwendung zu Benutzer und Gruppen > Benutzer/Gruppe hinzufügen, und weisen Sie die zuvor erstellte Gruppe zu.
Benutzer/Gruppe hinzufügen:
Anmerkung: Wenn Ihr Tenant Microsoft Entra ID Free verwendet, ist die Gruppenzuweisung nicht verfügbar. Weisen Sie stattdessen den Testbenutzer direkt zu. jeder zweite Schritt ist identisch.
1. Daher muss das Menü Benutzer und Gruppen für Ihre Anwendung mit der ausgewählten Gruppe ausgefüllt werden.
Schritt 3: Konfigurieren der SAML-einmaligen Anmeldung in der Entra-ID
1. Navigieren Sie in der Anwendung zu Einmalige Anmeldung einrichten.
2. Wählen Sie SAML und klicken Sie neben Basic SAML Configuration auf Edit.
3. Füllen Sie den Identifier (Entity ID) mit dem entityID-Wert aus der ISE SP-Metadaten-XML aus, und antworten Sie mit jedem AssertionConsumerService-Speicherort, der dort aufgeführt ist. Verwenden Sie für die Abmelde-URL den SingleLogoutService ResponseLocation-Wert. Lassen Sie die Anmelde-URL und den Relay-Status leer, und klicken Sie dann auf Speichern.
2. Gruppenattribut einrichten
1. Klicken Sie neben "Attribute & Ansprüche" auf Bearbeiten.
2. Fügen Sie dann einen Gruppenanspruch hinzu.
3. Wählen Sie Sicherheitsgruppen mit dem Quellattribut Gruppen-ID, und klicken Sie auf Speichern. Überlasst alles andere seinen Bedürfnissen.
Vorsicht: Aktivieren Sie nicht "Anpassen des Namens des Gruppenanspruchs". Wenn Sie den Anspruch umbenennen, muss im Feld ISE-Gruppenmitgliedschaft-Attribut derselbe benutzerdefinierte Name eingegeben werden, und der Rest dieses Dokuments übernimmt den Standardanspruchsnamen.
4. Sie können den Namen trotzdem anpassen, allerdings muss derselbe benutzerdefinierte Name in ISE im Feld Gruppenmitgliedschaft-Attribut eingegeben werden. Wenn Sie z. B. die Sponsorgruppe in die Entra-ID eingeben, muss das ISE-Feld genau die Sponsorgruppe enthalten. In Entra ID sieht die Einstellung wie folgt aus:
5. Notieren Sie sich den Namen des Anspruchs für die Gruppe.
3. Laden Sie die Verbundmetadaten-XML-Datei herunter.
1. Klicken Sie im SAML-Signaturzertifikat auf Download für Verbundmetadaten-XML.
2. Die heruntergeladenen Verbundmetadaten werden von Microsoft signiert und beinhalten alles, was die ISE benötigt. die ID der IdP-Einheit, die SSO/SLO-Endpunkte und das Token-Signaturzertifikat (hier abgekürzt):
<EntityDescriptor entityID="https://sts.windows.net/<Tenant-ID>/">
<Signature>...(signed by Microsoft)...</Signature>
...(WS-Fed RoleDescriptor sections — not used by ISE)...
<IDPSSODescriptor protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
<KeyDescriptor use="signing">
<X509Certificate>MIIC8DCC...(Entra ID token signing certificate)...</X509Certificate>
</KeyDescriptor>
<SingleLogoutService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect"
Location="https://login.microsoftonline.com/<Tenant-ID>/saml2"/>
<SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect"
Location="https://login.microsoftonline.com/<Tenant-ID>/saml2"/>
</IDPSSODescriptor>
</EntityDescriptor>3. Beim Import (Schritt 4) werden diese Felder zu den URLs für einmaliges Anmelden/Abmelden und zum Eintrag für Signaturzertifikate auf der Registerkarte "Identity Provider Config" (Identitätsanbieter-Konfiguration).
Anmerkung: Das Entra ID Token Signaturzertifikat ist drei Jahre gültig. Laden Sie die Verbundmetadaten-XML erneut herunter, und importieren Sie sie erneut in die ISE. Andernfalls funktioniert SSO abrupt nicht mehr. Konfigurieren Sie die Benachrichtigungs-E-Mail auf dem Zertifikat, um eine Ablaufwarnung zu erhalten.
Schritt 4: Hochladen von Metadaten von Entra auf die ISE
Verbundmetadaten importieren
1. Navigieren Sie zu Administration > Identity Management > External Identity Sources > SAML Id Providers > [Ihr Anbieter], öffnen Sie die Registerkarte Identity Provider Config, klicken Sie auf Choose File (Datei auswählen), wählen Sie die Verbundmetadaten-XML aus, und klicken Sie auf Save. Die URLs für einmaliges Anmelden/Abmelden und das Signaturzertifikat werden ausgefüllt.
Anmerkung: Die SP-Metadaten, die von der aktuellen ISE exportiert werden, deklarieren WantAssertionsSigned="false" (ältere Versionen als true deklariert); Das Attribut verfolgt nun das Kontrollkästchen Signierte Assertionen anfordern auf der Registerkarte Erweiterte Einstellungen, das standardmäßig deaktiviert ist. Dies bedeutet nicht, dass Assertionen ohne Vorzeichen akzeptiert werden. ISE erfordert immer mindestens eine Signatur für die SAML-Antwort oder die Assertion, auch wenn beide Kontrollkästchen deaktiviert sind.
Registerkarte "Erweiterte Einstellungen": Identitätsattribut (Standard): Subject Name) wählt aus, woher der Benutzername stammt; Das E-Mail-Attribut muss konfiguriert werden, wenn Sponsoren die Liste der Gäste filtern, für die eine Genehmigung aussteht. Die Signaturauthentifizierungsanforderung steuert die Signierung von Anforderungen und hat Vorrang vor dem schreibgeschützten Kontrollkästchen "Signierte Authentifizierungsanforderungen wünschen" auf der vorherigen Registerkarte.
Konfigurieren von SAML-Gruppen auf der ISE
1. Öffnen Sie die Registerkarte Gruppen, und fügen Sie im Gruppenmitgliedschaft-Attribut den Anspruchsnamen aus Schritt 3 ein:
http://schemas.microsoft.com/ws/2008/06/identity/claims/groups2. Klicken Sie auf Hinzufügen. Geben Sie unter Name in Assertion die Objekt-ID der Gruppe ein, die in Schritt 2 erfasst wurde (dieser Wert muss genau übereinstimmen). Geben Sie unter Name in ISE ein beliebiges sinnvolles lokales Label ein (ein Freiform-Alias, der nur in ISE-Menüs verwendet wird). Klicken Sie auf OK und dann auf Speichern.
3. Dadurch wird eine Zuordnung zwischen der Gruppe im Entra und dem Gruppennamen erstellt, die auf der ISE verwendet werden kann.
Schritt 5: Sponsorgruppenzuordnung auf der ISE konfigurieren
1. Navigieren Sie zu Work Centers > Guest Access > Portals & Components > Sponsor Groups, und wählen Sie die Sponsorgruppe aus, die zugeordnet werden soll. In diesem Beispiel ist ALL_ACCOUNTS (Standard).
2. Klicken Sie auf Members..., verschieben Sie die IdP:Name im ISE-Eintrag in Selected User Groups (Ausgewählte Benutzergruppen), klicken Sie auf OK und dann auf Save.
Anmerkung: Einem Sponsor werden die Berechtigungen aller entsprechenden Sponsorgruppen zugewiesen. Ordnen Sie die Entra-ID-Gruppe einer einzelnen Sponsorgruppe zu, es sei denn, eine Genehmigungsakkumulation ist beabsichtigt.
Überprüfung
1. Starten Sie das Sponsorportal über den Link Portal Test URL. Die ISE leitet zur Anmeldeseite von Microsoft um. mit den Anmeldeinformationen des Testbenutzers authentifizieren.
2. Nach der Authentifizierung kehrt der Browser zum Portal zurück und AUP wird angezeigt. Nach der Annahme verfügt der Sponsor über die zugeordneten Berechtigungen für die Sponsorgruppe.
3. Durch das Abmelden vom Willkommensmenü werden sowohl die Portal- als auch die SSO-Sitzung ordnungsgemäß beendet.
IdP-initiierte SSO wird nicht unterstützt: Die Cisco ISE unterstützt keine IdP-initiierte SAML. Die Schaltfläche zum Testen der einmaligen Anmeldung ("Testen Sie diese Anwendung") in Microsoft Entra ID schlägt bei dieser Integration immer fehl - der von IdP initiierte POST erreicht SSOLoginResponse.action und das Portal gibt HTTP [400] Ungültige Anforderung zurück ("Die Anforderung ist aufgrund einer fehlerhaften Syntax oder ungültiger Daten ungültig"). Dies ist ein erwartetes Verhalten und keine Fehlkonfiguration. Überprüfen Sie dies stets auf der Seite des Sponsorportals.
Fehlerbehebung
Die SAML-Authentifizierung erfolgt zwischen dem Browser und der Microsoft Entra-ID. Fehler können direkt vom IdP auftauchen, bevor ISE überhaupt involviert ist.
Ausgabe 1: Falsches Passwort
Der Fehler wird auf der Microsoft-Anmeldeseite angezeigt. Keine Benutzerdaten haben die ISE erreicht. Auf der ISE-Seite wird in den Protokollen nur der ausgehende Abschnitt und dann nichts angezeigt. In der Datei guest.log erreicht der Portalfluss SSO_LOGIN, erstellt die SAML-Anforderung, leitet den Browser zur IdP um, und die Sitzung wird nie zurückgegeben:
01:20:46 DEBUG StepExecutor -- StepTran for Step=INIT => tranEnum=PROCEED_SSO, toStep=SSO_LOGIN
01:20:46 DEBUG SSOLoginConfigHandler -- Redirect to IDP:
https://login.microsoftonline.com/<Tenant-ID>/saml2?SAMLRequest=jZNRc6IwFIX...
01:20:46 INFO ISEPortalControllerUtils -- forwarding to: pages/ssoLoginRequest.jsp
(the portal session ends here -- no SSOLoginResponse is ever POSTed back)Die Datei ise-psc.log erzählt die gleiche Geschichte auf der Seite des SAML Frameworks:
01:20:46 DEBUG SAMLFacadeImpl -- SAML request - providerId (as should be found in IdP
configuration): http://CiscoISE/1f789a00-ad9d-4ec0-9a47-ce4909a65db2
01:20:46 DEBUG SAMLFacadeImpl -- SAML request - spUrlToReturnTo:
https://sponsor.n3tgeek.com:8445/sponsorportal/SSOLoginResponse.action
01:20:46 DEBUG SAMLFacadeImpl -- SignAuthenRequest configuration is - off
01:20:46 DEBUG MessageComposer -- local cert is null, request won't be signed
(capture ends here -- ISE never receives a SAML response)Ausgabe 2 — Der Anwendung nicht zugeordneter Benutzer (ADSTS50105)
Die Entra-ID blockiert die Anmeldung, bevor eine SAML-Antwort ausgegeben wird.
Die Datei nguest.log zeigt nur die vorbereitete Umleitung an, ise-psc.log zeigt keinerlei SAML-Aktivität an. Der Fehler liegt auf der IdP-Seite:
16:50:21 INFO ISEPortalControllerUtils -- forwarding to: pages/ssoLoginRequest.jsp
(nothing follows -- the user never returns from the IdP)Korrektur: Weisen Sie den Benutzer oder die Gruppe der Unternehmensanwendung zu (Schritt 2.4).
Ausgabe 3 - Abmeldung schlägt fehl ("SSO-Abmeldung fehlgeschlagen")
Dies tritt auf, wenn die Abmelde-URL in der Entra-ID mit SSOLogoutRequest.action?portal=... URL anstelle von SSOLogoutResponse.action. In guest.log wird die Abmeldung initiiert, und die zurückgegebene Antwort kann nicht verarbeitet werden:
16:54:12 INFO ISEPortalControllerUtils -- forwarding to: /pages/ssoLogoutRequest.jsp
16:54:13 ERROR SponsorSSOLogin -- SAML Response is invalid or subject is NULL!
16:54:13 INFO ISEPortalControllerUtils -- forwarding to: pages/error.jspProblembehebung: die Abmelde-URL in der SAML-Basiskonfiguration korrigieren.
Ausgabe 4 - Das Signaturzertifikat wurde gedreht ("Authentifizierung fehlgeschlagen")
Wenn das Entra ID-Token-Signaturzertifikat rotiert (dreijährige Lebensdauer), ein neues Zertifikat aktiviert wird und die Verbundmetadaten-XML nicht erneut in die ISE importiert wird, schlägt JEDE Anmeldung fehl, und es wird ein generischer "Fehler bei der Authentifizierung" auf dem Portal angezeigt, auch WENN sich auf keiner Seite sichtbare Änderungen ergeben.
In ise-psc.log wird die wahre Ursache explizit angegeben:
16:58:30,429 WARN apache.xml.security.signature.XMLSignature -- Signature verification failed.
16:58:30,430 ERROR cpm.saml.framework.impl.SAMLFacadeImpl -- SAML Response: processing failed:
com.cisco.cpm.saml.exceptions.SAMLException: Assertion signature did not validate
against the IdP signature certificate
Caused by: org.opensaml.xml.validation.ValidationException: Signature did not validate
against the credential's keyProblembehebung: Laden Sie die Verbundmetadaten-XML erneut von der Entra-ID herunter, und importieren Sie sie erneut in die ISE.
Ausgabe 5 - Sitzung läuft schnell ab
Das Timeout für Leerlaufzeiten von Portal-SSO-Sitzungen beträgt standardmäßig 5 Minuten (konfigurierbar pro Portal; in dieser Übung werden 10 Minuten verwendet). Über das Feld Optionaler Inhalt kann der Fehlerseite des Portals die Schaltfläche "Sign On Again" (Wieder anmelden) hinzugefügt werden.
Client-Fehlerbehebung
Da die SAML-Meldungen den Browser durchlaufen, zeigt das Browser-Entwicklertool (F12 > Network Tab) den gesamten Austausch an. Reproduzieren Sie die Anmeldung mit geöffnetem Register "Netzwerk", und suchen Sie nach dem POST-Test für SSOLoginResponse.action. In dem Moment, in dem der Browser die SAML-Assertion an die ISE liefert:
ISE-Fehlerbehebung
Die Protokollstufe der Komponenten muss für die ISE geändert werden. Navigieren Sie zu Operationen > Fehlerbehebung > Debugassistent > Debugprotokollkonfiguration.
| Komponentenname | Protokollstufe | Protokolldateiname |
| Gastzugriff | DEBUG | guest.log |
| Portal-Web-Aktion | DEBUG | guest.log |
| opensaml | DEBUG | ise-psc.log |
| Kleine | DEBUG | ise-psc.log |
Arbeitsmenge der Debugger zum Zeitpunkt der korrekten Ausführung des Ablaufs (ise-psc.log):
1. Der Benutzer wird vom Sponsorportal auf die IDp-URL umgeleitet.
2026-08-27 01:55:58,021 DEBUG [admin-http-pool3][[]] guestaccess.apiservices.portal.view.PortalConfigConverter -
::::- hostName =sponsor.n3tgeek.com will be applied to URL!
reqUtl =https://sponsor.n3tgeek.com:8445/sponsorportal/PortalSetup.action
2026-08-27 01:55:58,036 DEBUG [https-jsse-nio-192.168.1.204-8445-exec-2][[]]
cisco.ise.portalwebaction.utils.PortalSessionUtil -::::- Portal URL:
https://sponsor.n3tgeek.com:8445/sponsorportal/PortalSetup.action
2026-08-27 01:55:58,037 DEBUG cisco.ise.portalwebaction.actions.BasePortalAction -::::-
Action com.cisco.ise.portalwebaction.actions.PortalSetupAction Complete for request /sponsorportal/PortalSetup.action2. Die SAML-Antwort wird vom Browser empfangen:
2026-08-27 01:56:19,384 DEBUG cpm.saml.framework.impl.SAMLFacadeImpl -::::-
SAML Response: statusCode:urn:oasis:names:tc:SAML:2.0:status:Success
IdP URI: https://sts.windows.net/<Tenant-ID>/
SP URI: http://CiscoISE/1f789a00-ad9d-4ec0-9a47-ce4909a65db2
Assertion Consumer URL: https://sponsor.n3tgeek.com:8445/sponsorportal/SSOLoginResponse.action3. Analyse des Attributs (der Assertion) wird gestartet:
cpm.saml.framework.validators.SAMLSignatureValidator -::::- no signature in response
cpm.saml.framework.validators.SAMLSignatureValidator -::::- Validating signature of assertion
org.opensaml.xml.signature.SignatureValidator -::::- Signature validated with key from supplied credential
cpm.saml.framework.validators.SAMLSignatureValidator -::::- Assertion signature validated succesfully
cpm.saml.framework.validators.AssertionValidator -::::- Conditions succesfully validated4. Der Benutzername und das Gruppenattribut (48f07fce-26e5-41e5-a82b-ed095b32bab8) werden aus der Assertion extrahiert, und die Authentifizierung verläuft wie folgt:
SAMLUtils::getUserNameFromAssertion: username value from Subject is=[alice@lab.n3tgeek.com]
loginInfo: ... format=urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
[cacheGroupAttr] Adding to cache ExternalGroup values=<48f07fce-26e5-41e5-a82b-ed095b32bab8>
AuthenticatePortalUser - added user groups from SAML response to AuthenticationResult,
all retrieved groups:[48f07fce-26e5-41e5-a82b-ed095b32bab8]
Authenticate SAML User - result:PASSED5. Die Benutzergruppe wird den Authentifizierungsergebnissen hinzugefügt, damit sie vom Portal verwendet werden kann und die SAML-Authentifizierung übergeben wird:
2020-09-16 10:44:11,320 DEBUG [https-jsse-nio-10.48.23.86-8445-exec-8][] cpm.saml.framework.impl.SAMLFacadeImpl -::::- AuthenticatePortalUser - added user groups from SAML response to AuthenticationResult, all retrieved groups:[f626733b-eb37-4cf2-b2a6-c2895fd5f4d3]
2020-09-16 10:44:11,320 DEBUG [https-jsse-nio-10.48.23.86-8445-exec-8][] cpm.saml.framework.impl.SAMLFacadeImpl -::::- Authenticate SAML User - result:PASSED
Paketerfassungsanalyse
Eine Erfassung, die auf der ISE-Schnittstelle (Operations > Troubleshoot > Diagnostic Tools > TCP Dump) während einer erfolgreichen Sponsor-Anmeldung durchgeführt wurde, zeigt nur zwei Arten von Datenverkehr. Client-DNS-Auflösung des Portal-FQDN und TLS-Sitzungen vom Client zum Portal an Port 8445, wobei der Portal-FQDN als TLS Server Name Indication (SNI) angezeigt wird
| Konversation | Richtung | Worum geht es? |
|---|---|---|
| Client <-> ISE:8445 (TLS, SNI = Portal FQDN) | Browser -> PSN | Portalseiten + SAML POST (ACS) |
| client -> DNS: Portal FQDN | Browser -> Resolver | Auflösung des Portnamens |
| kein Datenverkehr an login.microsoftonline.com | — | Der IdP-Abschnitt berührt nicht die ISE |
Der TLS-Client Hello - Wo der Portalname sichtbar ist
Obwohl alles verschlüsselt ist, wird der TLS Client Hello im Klartext übertragen und trägt den Portal-FQDN als Server Name Indication (SNI). Dies ist der einzige Ort in der Erfassung, an dem Sie einen TCP-Stream mit dem Sponsor-Portal in Übereinstimmung bringen können.
Frame 96: 1981 bytes on wire
Internet Protocol Version 4, Src: 192.168.1.162 (client), Dst: 192.168.1.204 (ISE PSN)
Transmission Control Protocol, Src Port: 43395, Dst Port: 8445
Transport Layer Security
TLSv1 Record Layer: Handshake Protocol: Client Hello
Handshake Protocol: Client Hello
Extension: server_name (len=24)
Server Name Indication extension
Server Name: sponsor.n3tgeek.com
Extension: supported_versions (len=7) TLS 1.3, TLS 1.2Die gleiche Anmeldung wie auf dem Client
8445 sponsor.n3tgeek.com (x12 -- the portal leg, to ISE)
443 login.microsoftonline.com (the IdP leg -- never seen on ISE)
443 aadcdn.msauth.net (Microsoft sign-in page assets)
443 login.live.com / login.microsoft.com
(unrelated background traffic omitted for clarity)Anmerkung: Während der Sponsorauthentifizierung kommuniziert die ISE nie mit der Entra-ID. Die SAML-Anfrage und -Antwort wird über den Browser des Benutzers gesendet (Redirect- und POST-Bindings). Dies bedeutet, dass der ISE-Knoten keine ausgehende Verbindung zu Microsoft benötigt, damit die Portal-SSO funktioniert, und dass bei der Fehlerbehebung die IdP-Komponente auf dem Client und nicht auf der ISE erfasst werden muss.
Revisionsverlauf
| Überarbeitung | Veröffentlichungsdatum | Kommentare |
|---|---|---|
2.0 |
02-Oct-2026
|
Aktualisierte Rechtschreibung, Grammatik, eingefügte horizontale Linien in separate Abschnitte zur besseren Lesbarkeit, korrigierte CCW-Fehler, aktualisierter Alternativtext. |
1.0 |
19-Oct-2020
|
Erstveröffentlichung |
Feedback