Solucionar problemas de integración de SSO de UCCE con Azure IdP

Introducción

Este documento describe cómo resolver algunos problemas comunes que se enfrentan al realizar la integración de SSO de UCCE con el idP de Microsoft Azure.

Colaboración de Anurag Atul Agarwal, ingeniero del TAC de Cisco.

Prerequisites

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

• Lenguaje de marcado de aserción de seguridad (SAML) 2.0
• Cisco Unified/Packaged Contact Center Enterprise UCCE/PCCE
• Inicio de sesión único (SSO)
• Cisco Identity Service (IdS)
• Proveedor de identidad (IdP)

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Azure IdP
• UCCE 12.0.1
• IdS 12.0.1 de Cisco

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Antecedentes

Este documento describe algunos de los problemas comunes que se enfrentan durante la integración de Cisco Identity Service (IdS) y Identity Provider (IdP) para el SSO basado en Azure y sus posibles soluciones.  Siempre se recomienda recopilar estos registros para resolver problemas con la integración de SSO:

• Registros de IdS de Cisco: Enlace a la recopilación: registros de IDS
  
• Registros de la consola del explorador
• Cualquier registro desde IdP

Problema: el certificado no coincide

El SSO de prueba falla con el mensaje 'IdS no pudo procesar la respuesta SAML aunque, la autenticación fue exitosa' y los registros de IdS imprimen el mensaje de error: "El procesamiento de la respuesta SAML falló con la excepción com.sun.identity.saml2.common.SAML2Exception: El certificado de firma no coincide con lo definido en los metadatos de la entidad'"

Solución

Compruebe el certificado y la configuración del algoritmo de firma en Azure. Asegúrese de que coincida con el algoritmo hash soportado basado en la versión de IdS. Consulte el Capítulo 'Single Sign-On' en la Guía de Funciones y verifique el algoritmo hash seguro soportado. Descargue el archivo de metadatos IdP más reciente y cárguelo en Cisco IdS a través de la interfaz de usuario de Identity Service Management.

Problema: ADSTS900235 - Problema de contexto de autenticación

El SSO de prueba redirige a la página de Microsoft y falla con el mensaje: "Lo sentimos, pero tenemos problemas para iniciar sesión".
ADSTS900235: el valor RequestedAuthenticationContext Comparison de la solicitud de autenticación SAML debe ser Exact. Valor recibido: mínimo

Solución

Es posible que AuthContext deba ajustarse como se describe en el error CSCvm69290 . Póngase en contacto con el TAC de Cisco para solucionar el problema en los identificadores.

Problema: la respuesta SAML no está firmada

El SSO de prueba falla con el mensaje, IdS no pudo procesar la respuesta SAML aunque, la autenticación fue exitosa' y los registros de IdS imprimen el mensaje de error: "Falló el procesamiento de la respuesta SAML con la excepción com.sun.identity.saml2.common.SAML2Exception: La respuesta no está firmada."

Solución

Azure IdP necesita enviar una aserción firmada a IdS. Modifique la configuración de Azure para que tenga la opción de firma: Firmar la respuesta y aserción SAML

Problema: problema con las reglas de reclamación

El SSO de prueba falla con el mensaje 'IdP configuration error: SAML processing failed. No se pudo recuperar la identidad del usuario de la respuesta SAML.' y los registros de IdS imprimen el mensaje de error: "Error en el procesamiento de la respuesta SAML con la excepción com.sun.identity.saml.common.SAMLxception: no se pudo recuperar la identidad del usuario de la respuesta SAML."

Solución

Este error indica que se configuraron 'Nombres de reclamación' erróneos en Azure. Esto podría ocurrir con otros atributos como UID, NameID, etc. y se generan errores similares con nombres de atributo diferentes. Para solucionar este problema, busque cualquier atributo en Azure con este formato: 'schemas.xmlsoap.org/ws/2005/05/identity/claims/<nombre_atributo>'. Quita todo antes del nombre de atributo real.

Esta sección proporciona el ejemplo de configuración de ADFS en la guía de características y que debe replicarse en Azure.

Ejemplo de configuración de ADFS

Problema: ADSTS50011 - La URL de respuesta no coincide

El SSO de prueba se redirige a la página de Microsoft y falla con el mensaje: "Lo sentimos, pero tenemos problemas para iniciar sesión.
ADSTS50011: la URL de respuesta especificada en la solicitud no coincide con la URL de respuesta configurada para la aplicación"

Solución

Póngase en contacto con el TAC de Cisco. El parámetro 'Assertion Consumer Service' debe ser registrado en la raíz del nodo IdS donde esto falle. Si el parámetro es correcto, Microsoft Azure tiene que solucionar este problema.