Dépannage de l'échec d'authentification SSO SNA Manager avec Azure Entra ID

Options de téléchargement

PDF (249.9 KB)
Consulter à l'aide d'Adobe Reader sur un grand nombre d'appareils
ePub (85.3 KB)
Consulter à l’aide de différentes applications sur iPhone, iPad, Android ou Windows Phone
Mobi (Kindle) (70.6 KB)
Consulter sur un appareil Kindle ou à l’aide d’une application Kindle sur plusieurs appareils

Mis à jour:6 août 2026

ID du document:226234

Langage exempt de préjugés

Dans le cadre de la documentation associée à ce produit, nous nous efforçons d’utiliser un langage exempt de préjugés. Dans cet ensemble de documents, le langage exempt de discrimination renvoie à une langue qui exclut la discrimination en fonction de l’âge, des handicaps, du genre, de l’appartenance raciale de l’identité ethnique, de l’orientation sexuelle, de la situation socio-économique et de l’intersectionnalité. Des exceptions peuvent s’appliquer dans les documents si le langage est codé en dur dans les interfaces utilisateurs du produit logiciel, si le langage utilisé est basé sur la documentation RFP ou si le langage utilisé provient d’un produit tiers référencé. Découvrez comment Cisco utilise le langage inclusif.

À propos de cette traduction

Cisco a traduit ce document en traduction automatisée vérifiée par une personne dans le cadre d’un service mondial permettant à nos utilisateurs d’obtenir le contenu d’assistance dans leur propre langue. Il convient cependant de noter que même la meilleure traduction automatisée ne sera pas aussi précise que celle fournie par un traducteur professionnel.

Table des matières

Problème

Les utilisateurs ont rencontré des échecs d'authentification SSO lors de la tentative de connexion à SNA Manager après l'intégration avec Azure Entra ID en tant que fournisseur d'identité (IdP) pour l'authentification SAML. Le message d'erreur spécifique affiché était :

"Le service d'authentification n'a pas pu répondre à votre demande. Si le problème persiste, contactez votre administrateur."

Au cours du processus de configuration, après l'importation du fichier de métadonnées SP (Service Provider), le nom de domaine complet SNA Manager a automatiquement changé de l'URL SNA Manager d'origine pour inclure « /fedlet », ce qui a contribué à l'échec de la configuration de l'authentification. Les journaux d'audit du système ont confirmé les échecs d'authentification avec des erreurs « Utilisateur inconnu », indiquant que le SNA Manager ne reconnaissait pas les noms d'utilisateur transmis dans la réponse SAML d'Azure.

Environnement

Cisco Secure Network Analytics (SNA) Manager version 7.6.0
Microsoft Azure Entra ID configuré comme fournisseur d'identité SAML

Résolution

La résolution impliquait la correction de la configuration de l'attribut NameID SAML dans Azure Entra ID et SNA Manager pour garantir une correspondance correcte du format du nom d'utilisateur.

Étape 1: Effectuer une analyse de trace SAML

Utilisez les outils de développement de navigateur pour effectuer un suivi SAML et inspecter la réponse IdP d'Azure pour identifier le format NameID en cours de transmission. Le suivi a révélé qu'Azure envoyait le nom principal d'utilisateur (UPN) complet dans l'attribut NameID :

<Subject><NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent" SPNameQualifier="https://device.corp.example.com/fedlet">username@example.com</NameID>

Étape 2: Consulter les journaux d'audit SNA Manager

Vérifiez les journaux d'audit de SNA Manager pour confirmer les échecs d'authentification en corrélation avec le NameID mal formé :

Aug 3 06:53:36 device AuditLogger[1480861]: AuditLogger: osaxsd/1480861,4003,2026-08-03T06:53:36TZD+0000,Bad User,x.x.x.x,Login on ssh failed: Unknown User

Étape 3: Modifier la configuration de NameID Azure SAML

Dans la configuration SAML d'Azure Entra ID, modifiez l'attribut NameID du nom d'utilisateur principal par défaut pour utiliser le "Nom du compte SAM local". Cela garantit que NameID contient uniquement le nom d'utilisateur sans le suffixe de domaine (username@example.com devient username).

Étape 4: Mettre à jour la configuration des ID SAML SNA Manager

Accédez à la page de gestion des utilisateurs de SNA Manager et mettez à jour la valeur de l'ID SAML pour qu'elle corresponde au format NameID corrigé transmis par Azure après la modification de la configuration.

Étape 5: Vérifier l'authentification SSO

Testez l'authentification SSO en essayant de vous connecter via le workflow SAML. L'utilisateur s'authentifie maintenant sans recevoir le message d'erreur précédent.

Motif

L'échec de l'authentification a été provoqué par une non-correspondance entre le format NameID envoyé par Azure Entra ID et le format de nom d'utilisateur attendu par le gestionnaire SNA. Azure a été configuré pour envoyer le nom d'utilisateur principal (UPN) au format « username@example.com » dans l'attribut NameID SAML, alors que SNA Manager ne s'attendait qu'à la partie du nom d'utilisateur sans le suffixe de domaine. Cette différence de format a entraîné le traitement par le SNA Manager des demandes d'authentification entrantes comme provenant d'utilisateurs non reconnus, ce qui a entraîné des échecs d'authentification « Utilisateur inconnu ».

Autres informations utiles

Historique de révision

Révision	Date de publication	Commentaires
1.0	06-Aug-2026	Première publication

Contribution d’experts de Cisco

Ingénieurs du TAC de sécurité