Fehlerbehebung bei der Benutzeroberfläche von ISE 3.1 Anmeldung mit SAML SSO

Einleitung

In diesem Dokument werden die meisten Probleme beschrieben, die bei der Anmeldung über die SAML-GUI in ISE 3.1 aufgetreten sind.

Voraussetzungen

Durch die Verwendung des SAML 2.0-Standards wird ISE durch die SAML-basierte Admin-Anmeldung um Single Sign-on (SSO)-Funktionen erweitert. Sie können jeden Identity Provider (IdP) wie Azure, Okta, PingOne, DUO Gateway oder jeden IdP verwenden, der SAML 2.0 implementiert.

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

1. Cisco ISE 3.1 oder höher
2. Verstehen der Grundlagen von SAML SSO-Setups.

Weitere Details zur Konfiguration und zum Ablauf finden Sie im ISE 3.1-Administrationsleitfaden für die SAML-Konfiguration und den ISE Admin Login Flow via SAML mit Azure AD. 

Anmerkung: Sie müssen mit dem Identity Provider-Dienst vertraut sein und sicherstellen, dass er betriebsbereit ist.

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

• ISE Version 3.1

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Aktivieren Sie die Fehlersuche.

Um mit der Fehlerbehebung zu beginnen, müssen Sie zunächst die Debugging-Funktionen wie unten beschrieben aktivieren.

Navigieren Sie zu Operationen > Fehlerbehebung > Debugassistent > Debugprotokollkonfiguration. Wählen Sie den Knoten Primary admin (Primärer Admin) aus, und klicken Sie auf Edit (Bearbeiten), wie im nächsten Bild dargestellt.

• Setzen Sie die nächsten Komponenten auf die Ebene DEBUG.

Komponentenname	Protokollstufe	Protokolldateiname
Portal	DEBUG	guest.log
opensaml	DEBUG	ise-psc.log
Kleine	DEBUG	ise-psc.log

Anmerkung: Denken Sie daran, nach Abschluss der Fehlerbehebung die Debugging-Vorgänge zurückzusetzen, indem Sie den Knoten auswählen und auf Auf Standard zurücksetzen klicken.

Protokolle herunterladen

Sobald das Problem reproduziert wurde, müssen Sie die erforderlichen Protokolldateien abrufen.

Schritt 1: Navigieren Sie zu Vorgänge > Fehlerbehebung > Protokolle herunterladen. Wählen Sie den primären Admin-Knoten in der Liste der Appliance-Knoten > Debug-Protokolle aus.

Schritt 2: Suchen und Erweitern der übergeordneten Gast- und ise-psc-Ordner

Schritt 3: Laden Sie die Dateien guest.log und ise-psc.log herunter.

Problem 1a - "Zugriff verweigert"

• Nachdem Sie Ihre SAML-basierte Admin-Anmeldung konfiguriert haben.
• Wählen Sie Mit SAML anmelden.
• Die Umleitung zur IdP-Anmeldeseite funktioniert wie erwartet.
• Die Authentifizierung ist gemäß SAML/IdP-Antwort erfolgreich.
• IdP sendet Gruppenattribut, und es wird dieselbe Gruppen-/Objekt-ID angezeigt, die in ISE konfiguriert wurde.
• Wenn die ISE dann versucht, ihre Richtlinien zu analysieren, löst sie eine Ausnahme aus, die die Meldung "Access Denied" (Zugriff verweigert) auslöst, wie im Screenshot gezeigt.

Login ise-psc.log:

2021-09-27 17:16:18,211 DEBUG  [https-jsse-nio-10.200.50.44-8443-exec-2][] cpm.saml.framework.impl.SAMLFacadeImpl -::::- AuthenticatePortalUser - Session:null IDPResponse:

                IdP ID: TSDLAB_DAG
                Subject: ise.test
                Group: null
                SAML Status Code:urn:oasis:names:tc:SAML:2.0:status:Success
                SAML Success:true
                SAML Status Message:null
                SAML email:
                SAML Exception:nullUserRole : NONE

2021-09-27 17:16:18,218 DEBUG  [https-jsse-nio-10.200.50.44-8443-exec-2][] cpm.saml.framework.impl.SAMLFacadeImpl -::::- AuthenticatePortalUser - about to call authenticateSAMLUser messageCode:null subject: ise.test
2021-09-27 17:16:18,225 DEBUG  [https-jsse-nio-10.200.50.44-8443-exec-2][] cpm.saml.framework.impl.SAMLFacadeImpl -::::- Authenticate SAML User - result:PASSED
2021-09-27 17:16:18,390 INFO   [admin-http-pool5][] ise.rbac.evaluator.impl.MenuPermissionEvaluatorImpl -::::-

*************************Rbac Log Summary for user samlUser*************************

2021-09-27 17:16:18,392 INFO   [admin-http-pool5][] com.cisco.ise.util.RBACUtil -::::- Populating cache for external to internal group linkage.
2021-09-27 17:16:18,402 ERROR  [admin-http-pool5][] cpm.admin.infra.utils.PermissionEvaluationUtil -::::- Exception in login action

java.lang.NullPointerException

2021-09-27 17:16:18,402 INFO   [admin-http-pool5][] cpm.admin.infra.action.LoginAction -::::- In Login Action user has Menu Permission: false
2021-09-27 17:16:18,402 INFO   [admin-http-pool5][] cpm.admin.infra.action.LoginAction -::::- In Login action, user has no menu permission
2021-09-27 17:16:18,402 ERROR  [admin-http-pool5][] cpm.admin.infra.action.LoginAction -::::- Can't save locale. loginSuccess: false
2021-09-27 17:16:18,402 INFO   [admin-http-pool5][] cpm.admin.infra.action.LoginActionResultHandler -::::- Redirected to: /admin/login.jsp?mid=access_denied

Ursache

Stellen Sie sicher, dass der Gruppenname in den IdP-Konfigurationen mit dem in der ISE konfigurierten Namen übereinstimmt.

Lösung

Der nächste Screenshot stammt von Azure-Seite:

Screenshot von der ISE-Seite:

Problem 1b - Mehrere Gruppen in SAML-Antwort ("Zugriff verweigert")

Wenn der vorherige Fix das Problem nicht löst, stellen Sie sicher, dass der Benutzer nicht Mitglied mehrerer Gruppen ist. In diesem Fall müssen Sie auf die Cisco Bug-ID CSCwa17470 gestoßen sein, wobei ISE nur dem ersten Wert (Gruppenname/ID) in der Liste aus der SAML-Antwort entspricht. Dieser Fehler wurde in 3.1 P3 behoben.

       iseadmins 
      Sysadmins
      domain admins
       change-esc
      
    
  

Gemäß der zuvor angegebenen IdP-Antwort muss die ISE-Zuordnung für die iseadmins-Gruppe konfiguriert werden, damit die Anmeldung erfolgreich ist.

Problem 2 - "404-Ressource nicht gefunden"

Fehler in guest.log wird angezeigt:

2021-10-21 13:38:49,308 ERROR  [https-jsse-nio-10.200.50.44-8443-exec-3][] cpm.guestaccess.flowmanager.step.StepExecutor -::- 
Can not find the matched transition step on Step=id: 51d3f147-5261-4eb7-a1c9-ce47ec8ec093, tranEnum=PROCEED_SSO.

Ursache

Dieses Problem tritt auf, nachdem nur der erste ID-Speicher erstellt wurde.

Lösung

Führen Sie zur Behebung dieses Problems den nächsten Schritt in der gleichen Reihenfolge aus:

Schritt 1: Erstellen Sie eine neue SAML-IDp in Ihrer ISE (entfernen Sie die aktuelle noch nicht).

Schritt 2: Gehen Sie zur Admin-Zugriffsseite, und weisen Sie Ihren Admin-Zugriff dieser neuen IdP zu.

Schritt 3: Löschen Sie die alte IDp auf der Seite "Externe Identitätsanbieter".

Schritt 4: Importieren Sie die aktuellen IdP-Metadaten in die in Schritt 1 erstellte neue IdP, und führen Sie alle erforderlichen Gruppenzuordnungen durch.

Schritt 5. Jetzt versuchen SAML anmelden und sicherstellen, dass es funktioniert.

Problem 3 - Zertifikatwarnung

Wenn Sie in einer Multi-Node-Bereitstellung auf Log In with SAML (Anmelden mit SAML) klicken, wird im Browser die Warnung vor nicht vertrauenswürdigen Zertifikaten angezeigt:

Ursache

In einigen Fällen leitet pPAN Sie zur IP der aktiven PSNs um, nicht zu FQDN. Dies führt bei einigen PKI-Bereitstellungen zu einer Zertifikatwarnung, wenn im SAN-Feld keine IP-Adresse angegeben ist.

Lösung

Die Problemumgehung besteht darin, IP in das SAN-Feld des Zertifikats einzufügen.

Cisco Bug-ID CSCvz89415. Dies wird in 3.1p1 behoben.

Revisionsverlauf

Überarbeitung	Veröffentlichungsdatum	Kommentare
2.0	27-Jul-2026	Formatierungsfehler, alternativer Text.
1.0	23-Aug-2022	Erstveröffentlichung