Solución de problemas de ISE 3.1 GUI Inicio de sesión con SAML SSO

Introducción

Este documento describe la mayoría de los problemas que se han observado en ISE 3.1 con el inicio de sesión en la GUI de SAML.

Prerequisites

Gracias al uso del estándar SAML 2.0, el inicio de sesión de administrador basado en SAML añade la capacidad de inicio de sesión único (SSO) a ISE. Puede utilizar cualquier proveedor de identidad (IdP) como Azure, Okta, PingOne, DUO Gateway o cualquier IdP que implemente SAML 2.0.

Requirements

Cisco recomienda que tenga conocimiento sobre estos temas:

1. Cisco ISE 3.1 o superior
2. Conozca los aspectos básicos de las configuraciones SSO de SAML.

Consulte la guía de administración de ISE 3.1 para la configuración de SAML e ISE Admin Login Flow a través de SAML con Azure AD para obtener más detalles sobre la configuración y el flujo. 

Nota: Debe estar familiarizado con el servicio Identity Provider y asegurarse de que está en funcionamiento.

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• ISE versión 3.1

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Habilite las depuraciones

Para iniciar la solución de problemas, primero debe habilitar las depuraciones como se describe a continuación.

Vaya a Operaciones > Solución de problemas > Asistente de depuración > Configuración del registro de depuración. Seleccione el nodo de administración principal y haga clic en Editar como se muestra en la siguiente imagen.

• Establezca los siguientes componentes en el nivel DEBUG.

Nombre del componente	Nivel de registro	Nombre de archivo de registro
portal	DEPURAR	guest.log
opensmal	DEPURAR	ise-psc.log
pequeño	DEPURAR	ise-psc.log

Nota: Cuando haya terminado de resolver problemas, recuerde restablecer los debugs seleccionando el nodo y haga clic en Reset to Default.

Descargar los registros

Una vez reproducido el problema, debe obtener los archivos de registro necesarios.

Paso 1. Navegue hasta Operaciones > Solución de problemas > Registros de descarga. Seleccione el nodo de administración principal en Lista de nodos del dispositivo > Registros de depuración.

Paso 2. Localizar y expandir carpetas principales de invitado e ise-psc

Paso 3. Descargue los archivos guest.log e ise-psc.log.

Problema 1a - "Acceso denegado"

• Después de haber configurado su inicio de sesión de administrador basado en SAML.
• Seleccione Iniciar sesión con SAML.
• La redirección a la página de inicio de sesión de IdP funciona como se esperaba.
• La autenticación es correcta por respuesta SAML/IdP.
• El idP envía el atributo de grupo y puede ver el mismo ID de grupo/objeto configurado en ISE.
• A continuación, cuando ISE intenta analizar sus políticas, lanza una excepción que provoca un mensaje de "Acceso denegado", como se muestra en la captura de pantalla.

Registros en ise-psc.log:

2021-09-27 17:16:18,211 DEBUG  [https-jsse-nio-10.200.50.44-8443-exec-2][] cpm.saml.framework.impl.SAMLFacadeImpl -::::- AuthenticatePortalUser - Session:null IDPResponse:

                IdP ID: TSDLAB_DAG
                Subject: ise.test
                Group: null
                SAML Status Code:urn:oasis:names:tc:SAML:2.0:status:Success
                SAML Success:true
                SAML Status Message:null
                SAML email:
                SAML Exception:nullUserRole : NONE

2021-09-27 17:16:18,218 DEBUG  [https-jsse-nio-10.200.50.44-8443-exec-2][] cpm.saml.framework.impl.SAMLFacadeImpl -::::- AuthenticatePortalUser - about to call authenticateSAMLUser messageCode:null subject: ise.test
2021-09-27 17:16:18,225 DEBUG  [https-jsse-nio-10.200.50.44-8443-exec-2][] cpm.saml.framework.impl.SAMLFacadeImpl -::::- Authenticate SAML User - result:PASSED
2021-09-27 17:16:18,390 INFO   [admin-http-pool5][] ise.rbac.evaluator.impl.MenuPermissionEvaluatorImpl -::::-

*************************Rbac Log Summary for user samlUser*************************

2021-09-27 17:16:18,392 INFO   [admin-http-pool5][] com.cisco.ise.util.RBACUtil -::::- Populating cache for external to internal group linkage.
2021-09-27 17:16:18,402 ERROR  [admin-http-pool5][] cpm.admin.infra.utils.PermissionEvaluationUtil -::::- Exception in login action

java.lang.NullPointerException

2021-09-27 17:16:18,402 INFO   [admin-http-pool5][] cpm.admin.infra.action.LoginAction -::::- In Login Action user has Menu Permission: false
2021-09-27 17:16:18,402 INFO   [admin-http-pool5][] cpm.admin.infra.action.LoginAction -::::- In Login action, user has no menu permission
2021-09-27 17:16:18,402 ERROR  [admin-http-pool5][] cpm.admin.infra.action.LoginAction -::::- Can't save locale. loginSuccess: false
2021-09-27 17:16:18,402 INFO   [admin-http-pool5][] cpm.admin.infra.action.LoginActionResultHandler -::::- Redirected to: /admin/login.jsp?mid=access_denied

Causa

Asegúrese de que el nombre de notificación de grupo en las configuraciones de IdP sea el mismo que el configurado en ISE.

Solución

La siguiente captura de pantalla fue tomada del lado de Azure:

Captura de pantalla de ISE:

Problema 1b - Varios grupos en respuesta SAML ("Acceso denegado")

Si la solución anterior no resuelve el problema, asegúrese de que el usuario no es miembro de más de un grupo. Si este es el caso, debe haber encontrado el ID de bug de Cisco CSCwa17470 donde ISE solo coincide con el primer valor (nombre de grupo / ID) en la lista de la respuesta SAML. Este bug se resuelve en 3.1 P3.

       iseadmins 
      Sysadmins
      domain admins
       change-esc
      
    
  

Según la respuesta de IdP proporcionada anteriormente, la asignación de ISE para el grupo iseadmins debe configurarse para que el inicio de sesión se realice correctamente.

Problema 2 - "404 Recurso no encontrado"

Aparece un error en guest.log:

2021-10-21 13:38:49,308 ERROR  [https-jsse-nio-10.200.50.44-8443-exec-3][] cpm.guestaccess.flowmanager.step.StepExecutor -::- 
Can not find the matched transition step on Step=id: 51d3f147-5261-4eb7-a1c9-ce47ec8ec093, tranEnum=PROCEED_SSO.

Causa

Este problema se observa después de crear el primer almacén de ID solamente.

Solución

Para resolver este problema, pruebe con el siguiente en el mismo orden:

Paso 1. Crear un nuevo IdP SAML en su ISE (No elimine el actual por el momento).

Paso 2. Vaya a la página de acceso de administrador y asigne su acceso de administrador a este nuevo IdP.

Paso 3. Eliminar el IdP antiguo en la página Proveedores de Identidad Externos.

Paso 4. Importe los metadatos del IdP actual en el nuevo IdP creado en el paso 1 y realice las asignaciones de grupo necesarias.

Paso 5. Ahora intente iniciar sesión en SAML y asegúrese de que funciona.

Problema 3: Advertencia de certificado

En una implementación de varios nodos, al hacer clic en Iniciar sesión con SAML, puede ver la advertencia de certificado no fiable en el explorador:

Causa

En algunos casos, pPAN le redirige a la IP de PSNs activa, no a FQDN. Esto provoca una advertencia de certificado en algunas implementaciones PKI, si no hay ninguna dirección IP en el campo SAN.

Solución

La solución alternativa es agregar IP en el campo SAN del certificado.

Id. de error de Cisco CSCvz89415. Esto se resuelve en 3.1p1.

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
2.0	27-Jul-2026	Errores de formato, texto alternativo.
1.0	23-Aug-2022	Versión inicial