Durante la implementación del acceso privado con ZTNA (acceso a la red de confianza cero), la inscripción de un usuario invitado con una cuenta personal de Google falla después del registro exitoso en el ID de Entra y el aprovisionamiento en el acceso seguro. Los síntomas específicos encontrados incluyen:
Estos fallos impiden el acceso a los recursos privados y afectan a las pruebas de la funcionalidad de ZTNA para el acceso de tipo contratista mediante identidades no corporativas.
El error de inscripción se resolvió modificando la configuración de asignación de atributos SAML en Microsoft Entra ID. Se adoptaron las siguientes medidas para resolver el problema:
Revise el paquete DART para confirmar que los componentes de Cisco Secure Client y ZTA funcionan correctamente. El análisis debe verificar que el flujo de inscripción llega correctamente a Cisco Secure Access y que el fallo se produce durante la autenticación SAML con el proveedor de identidad.
Compruebe los registros de autenticación de ID de entrada para confirmar que el proceso de autenticación se completa correctamente desde la perspectiva del proveedor de identidad. Los registros deben mostrar una autenticación exitosa, pero Secure Access rechaza el inicio de sesión debido a la discordancia de atributos.
Determine que la ID de entrada está emitiendo el UPN (nombre principal de usuario) como la reclamación SAML, que no coincide con la identidad personal de la cuenta de Gmail esperada por Secure Access. El atributo IdP declarado no corresponde al identificador de usuario esperado.
Cambie la asignación del atributo SAML en Microsoft Entry ID de UPN a Email Address. Esto garantiza que la reclamación de la dirección de correo electrónico coincida con la identidad personal de la cuenta de Google.
Después de implementar el cambio de asignación de atributos, vuelva a intentar el proceso de inscripción ZTNA. Cisco Secure Access ZTA debe reconocer ahora la dirección de Gmail y permitir que la inscripción se complete correctamente.
La falla de inscripción fue causada por una discordancia entre el atributo SAML que afirma Microsoft Entra ID y el identificador de usuario esperado en Cisco Secure Access. La ID de entrada se configuró para enviar el UPN (nombre principal de usuario) como la reclamación SAML, pero para las cuentas personales de Google (@gmail.com), este UPN no se correspondía con la identidad de la dirección de correo electrónico real. Cisco Secure Access esperaba recibir la dirección de correo electrónico como el atributo de identificación para comparar con la cuenta de usuario invitado aprovisionada, lo que resultaría en un rechazo de autenticación a pesar de una autenticación de IdP exitosa.
| Revisión | Fecha de publicación | Comentarios |
|---|---|---|
1.0 |
19-May-2026
|
Versión inicial |