OKTA SAML SSOを使用したISE 2.3ゲストポータルの設定

ダウンロードオプション

PDF (2.4 MB)
Adobe Reader を使ってさまざまなデバイスで表示

Updated: 2018 年 10 月 5 日

Document ID:213754

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポートコンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

内容

ステップ 1：ISEでSAML IDプロバイダーとゲストポータルを設定します。

1. 外部IDソースを準備します。

2. SSO用のポータルを作成します。

3. 代替ログインを設定します。

ステップ 2OKTAアプリケーションとSAML IDプロバイダーの設定を構成します。

1. OKTAアプリケーションを作成します。

2. SAML IDプロバイダーからのSP情報のエクスポート。

3. OKTA SAML設定。

4. アプリケーションからメタデータをエクスポートします。

5. ユーザーをアプリケーションに割り当てます。

6. IdpからISEにメタデータをインポートします。

はじめに

このドキュメントでは、ゲストポータルにSecurity Assertion Markup Language(SAML)シングルサインオン(SAML SSO)認証を提供するために、Identity Services Engine(ISE)をOKTAと統合する方法について説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

Cisco Identity Services Engine ゲストサービス
SAML SSO。
（オプション）ワイヤレスLANコントローラ(WLC)の設定。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

Identity Services Engine(ISE)2.3.0.298
OKTA SAML SSOアプリケーション
Cisco 5500ワイヤレスコントローラバージョン8.3.141.0
Lenovo Windows 7

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

バックグラウンド情報

フェデレーテッドSSO

組織内のユーザは、一度認証すれば、複数のリソースにアクセスできます。組織間で使用されるこのIDは、フェデレーテッドアイデンティティと呼ばれます。

フェデレーションの概念：

原則：エンドユーザ（サービスを要求するユーザ）、Webブラウザ（この場合）がエンドポイントです。
サービスプロバイダー(SP)：証明書利用者(RP)と呼ばれることもあります。RPはサービスを提供するシステムで、この場合はISEです。
アイデンティティプロバイダー(IdP):SP（この場合はOKTA）に返信される認証、認可結果、および属性を管理します。
アサーション：IdPからSPに送信されるユーザ情報。

OAuth2やOpenIDなどの一部のプロトコルはSSOを実装します。ISEはSAMLを使用します。

SAMLはXMLベースのフレームワークであり、ビジネスエンティティ間でのSAMLアサーションの使用と交換を安全な方法で記述します。標準では、これらのアサーションを要求、作成、使用、および交換するための構文と規則が説明されています。

ISEはSP開始モードを使用します。ユーザはゲストポータルにリダイレクトされ、ISEは認証のためにIdPにリダイレクトします。その後、ISEにリダイレクトされます。要求が検証され、ユーザはポータル設定に応じてゲストアクセスまたはオンボーディングに進みます。

ネットワークフロー

ユーザはSSIDに接続し、認証はmacフィルタリング(mab)です。
ISEは、リダイレクトURL属性とリダイレクトACL属性を含むaccess-acceptで応答します
ユーザがwww.facebook.comへのアクセスを試行します。
WLCが要求をインターセプトし、ユーザをISEゲストポータルにリダイレクトします。ユーザは従業員アクセスをクリックして、SSOクレデンシャルでデバイスを登録します。
ISEは認証のためにユーザをOKTAアプリケーションにリダイレクトします。
認証に成功すると、OKTAはSAMLアサーション応答をブラウザに送信します。
ブラウザがアサーションをISEにリレーします。
ISEはアサーション応答を確認し、ユーザが正しく認証されている場合はAUPに進み、次にデバイス登録を行います。

SAMLの詳細については、次のリンクを参照してください

https://developer.okta.com/standards/SAML/

設定

ステップ 1：ISEでSAML IDプロバイダーとゲストポータルを設定します。

1. 外部IDソースを準備します。

ステップ 1：Administration > External Identity Sources > SAML id Providersの順に移動します。

ステップ 2IDプロバイダーに名前を割り当て、設定を送信します。

2. SSO用のポータルを作成します。

ステップ 1：IDソースとしてOKTAに割り当てられるポータルを作成します。BYOD、デバイス登録、ゲストなどのその他の設定は、通常のポータルとまったく同じです。このドキュメントでは、従業員の代替ログインとしてポータルをゲストポータルにマッピングします。

ステップ 2Work Centers > Guest Access > Portals & Componentsの順に移動し、ポータルを作成します。

ステップ 3前に設定したIDプロバイダーをポイントする認証方法を選択します。

ステップ 4認証方式としてOKTAアイデンティティ・ソースを選択します。

（オプション）BYOD設定を選択します。

ステップ 5BYODを使用してポータル設定を保存すると、フローは次のようになります。

3. 代替ログインを設定します。

注：代替ログインを使用していない場合は、この部分を省略できます。

自己登録ゲストポータル、またはゲストアクセス用にカスタマイズされたその他のポータルに移動します。

ログインページの設定で、代替ログインポータルOKTA_SSOを追加します。

これがポータルのフローです。

ステップ 2OKTAアプリケーションとSAML IDプロバイダーの設定を構成します。

1. OKTAアプリケーションを作成します。

ステップ 1：管理者アカウントでOKTA Webサイトにログインします。

ステップ 2Add Applicationをクリックします。

ステップ 3新しいアプリケーションを作成し、SAML2.0として選択します

一般的な設定

ステップ 4証明書をダウンロードし、ISEの信頼できる証明書にインストールします。

2. SAML IDプロバイダーからのSP情報のエクスポート。

以前に設定したアイデンティティプロバイダーに移動します。Service Provider Infoをクリックし、図に示すようにエクスポートします。

エクスポートされたzipフォルダには、XMLファイルとreadme.txtが含まれています

一部のアイデンティティプロバイダーではXMLを直接インポートできますが、この場合は手動でインポートする必要があります。

シングルサインオンURL（samlアサーション）

Location="https://10.48.35.19:8443/portal/SSOLoginResponse.action"
Location="https://10.48.17.71:8443/portal/SSOLoginResponse.action"

Location="https://isepan.bikawi.lab:8443/portal/SSOLoginResponse.action" 
Location="https://isespan.bikawi.lab:8443/portal/SSOLoginResponse.action"

SPエンティティID

entityID="http://CiscoISE/9c969a72-b9cd-11e8-a542-d2e41bbdc546"

IPアドレスおよびFQDN形式で使用できるSSO URL。

注意：形式の選択は、認可プロファイルのリダイレクト設定によって異なります。スタティックIPを使用する場合は、SSO URLにIPアドレスを使用する必要があります。

3. OKTA SAML設定。

ステップ 1：これらのURLをSAML設定に追加します。

ステップ 2このサービスをホストしているPSNの数に基づいて、XMLファイルから複数のURLを追加できます。名前IDの形式とアプリケーションユーザ名は、設計によって異なります。

<?xml version="1.0" encoding="UTF-8"?>
<saml2:Assertion
    xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion" ID="id127185945833795871212409124" IssueInstant="2018-09-21T15:47:03.790Z" Version="2.0">
    <saml2:Issuer Format="urn:oasis:names:tc:SAML:2.0:nameid-format:entity">http://www.okta.com/Issuer</saml2:Issuer>
    <saml2:Subject>
        <saml2:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:x509SubjectName">userName</saml2:NameID>
        <saml2:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
            <saml2:SubjectConfirmationData NotOnOrAfter="2018-09-21T15:52:03.823Z" Recipient="https://isespan.bikawi.lab:8443/portal/SSOLoginResponse.action"/>
        </saml2:SubjectConfirmation>
    </saml2:Subject>
    <saml2:Conditions NotBefore="2018-09-21T15:42:03.823Z" NotOnOrAfter="2018-09-21T15:52:03.823Z">
        <saml2:AudienceRestriction>
            <saml2:Audience>http://CiscoISE/9c969a72-b9cd-11e8-a542-d2e41bbdc546</saml2:Audience>
        </saml2:AudienceRestriction>
    </saml2:Conditions>
    <saml2:AuthnStatement AuthnInstant="2018-09-21T15:47:03.790Z">
        <saml2:AuthnContext>
            <saml2:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</saml2:AuthnContextClassRef>
        </saml2:AuthnContext>
    </saml2:AuthnStatement>
</saml2:Assertion>

ステップ 3[次へ]をクリックし、2番目のオプションを選択します。

4. アプリケーションからメタデータをエクスポートします。

メタデータ:

<md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://www.okta.com/exk1rq81oEmedZSf4356">
<md:IDPSSODescriptor WantAuthnRequestsSigned="false" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
<md:KeyDescriptor use="signing">
<ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
<ds:X509Data>
<ds:X509Certificate>
MIIDrDCCApSgAwIBAgIGAWWPlTasMA0GCSqGSIb3DQEBCwUAMIGWMQswCQYDVQQGEwJVUzETMBEG A1UECAwKQ2FsaWZvcm5pYTEWMBQGA1UEBwwNU2FuIEZyYW5jaXNjbzENMAsGA1UECgwET2t0YTEU MBIGA1UECwwLU1NPUHJvdmlkZXIxFzAVBgNVBAMMDmNpc2NvLXlhbGJpa2F3MRwwGgYJKoZIhvcN AQkBFg1pbmZvQG9rdGEuY29tMB4XDTE4MDgzMTEwNDMwNVoXDTI4MDgzMTEwNDQwNVowgZYxCzAJ BgNVBAYTAlVTMRMwEQYDVQQIDApDYWxpZm9ybmlhMRYwFAYDVQQHDA1TYW4gRnJhbmNpc2NvMQ0w CwYDVQQKDARPa3RhMRQwEgYDVQQLDAtTU09Qcm92aWRlcjEXMBUGA1UEAwwOY2lzY28teWFsYmlr YXcxHDAaBgkqhkiG9w0BCQEWDWluZm9Ab2t0YS5jb20wggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAw ggEKAoIBAQClP7DvzVng7wSQWVOzgShwn+Yq2U4f3kbVgXWGuM0a7Bk6lAUBoq485EQJ1+heB/6x IMt8u1Z8HUsOspBECLYcI75gH4rpc2FM4kzZiDbNLb95AW6dlUztC66x42uhRYgduD5+w3/yvdwx l99upWb6SdRtnwK8cx7AyIJA4E9KK22cV3ek2rFTrMEC5TT5iEDsnVzC9Bs9a1SRIjiadvhCSPdy +qmMx9eFtZwzNl/g/vhS5F/CoC6EfOsFPr6aj/1PBeZuWuWjBFHW3Zy7hPEtHgjYQO/7GRK2RzOj bSZgeAp5YyytjA3NCn9x6FMY5Rppc3HjtG4cjQS/MQVaJpn/AgMBAAEwDQYJKoZIhvcNAQELBQAD ggEBAJUK5zGPZwxECv5dN6YERuV5C5eHUXq3KGul2yIfiH7x8EartZ4/wGP/HYuCNCNw3HTh+6T3 oLSAevm6U3ClNELRvG2kG39b/9+ErPG5UkSQSwFekP+bCqd83Jt0kxshYMYHi5FNB5FCTeVbfqRI TJ2Tq2uuYpSveIMxQmy7r5qFziWOTvDF2Xp0Ag1e91H6nbdtSz3e5MMSKYGr9HaigGgqG4yXHkAs 77ifQOnRz7au0Uo9sInH6rWG+eOesyysecPuWQtEqNqt+MyZnlCurJ0e+JTvKYH1dSWapM1dzqoX OzyF7yiId9KPP6I4Ndc+BXe1dA8imneYy5MHH7/nE/g=
</ds:X509Certificate>
</ds:X509Data>
</ds:KeyInfo>
</md:KeyDescriptor>
<md:NameIDFormat>
urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified
</md:NameIDFormat>
<md:NameIDFormat>
urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
</md:NameIDFormat>
<md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://cisco-yalbikaw.okta.com/app/ciscoorg808433_iseokta_2/exk1rq81oEmedZSf4356/sso/saml"/>
<md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://cisco-yalbikaw.okta.com/app/ciscoorg808433_iseokta_2/exk1rq81oEmedZSf4356/sso/saml"/>
</md:IDPSSODescriptor>
</md:EntityDescriptor>

ファイルをXML形式で保存します。

5. ユーザーをアプリケーションに割り当てます。

このアプリケーションにユーザを割り当てます。ADを統合する方法については、「okta-active driectory

6. IdpからISEにメタデータをインポートします。

ステップ 1：SAML Identity Providerの下で、Identity Provider Config.を選択し、メタデータをインポートします。

ステップ 2設定を保存します。

ステップ3:CWAの設定

このドキュメントでは、ISEとWLCの設定について説明します。

https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/115732-central-web-auth-00.html

リダイレクトACLにURLを追加します。

https://cisco-yalbikaw.okta.com / アプリケーションURLを追加します

https://login.okta.com

確認

ポータルをテストし、OKTAアプリケーションにアクセスできるかどうかを確認します

ステップ 1：ポータルテストをクリックすると、SSOアプリケーションにリダイレクトされます。

ステップ 2<application name>への情報接続を確認します。

ステップ 3クレデンシャルを入力すると、不正なsaml要求が表示される場合がありますが、これは必ずしも、この時点で設定が正しくないことを意味するわけではありません。

エンドユーザの検証

ISEの検証

ライフログを確認して認証ステータスを確認します。

トラブルシュート

OKTAのトラブルシューティング

ステップ 1：Reportsタブでログを確認します。

ステップ 2また、アプリケーションから関連ログを表示します。

ISEのトラブルシューティング

確認すべきログファイルが2つあります

ise-psc.log
ゲスト。ログ

Administration > System > Logging > Debug Log Configurationの順に移動します。デバッグするレベルを有効にします。

SAML	ise-psc.log
ゲストアクセス	ゲスト。ログ
ポータル	ゲスト。ログ

次の表に、デバッグするコンポーネントとそれに対応するログファイルを示します。

一般的な問題と解決策

シナリオ 1.不正なSAML要求。

このエラーは一般的なものです。ログを調べてフローを確認し、問題を特定してください。ISEのguest.log:

ISE# show logging application guest.log |過去50件

2018-09-30 01:32:35,624 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.configmanager.SSOLoginConfigHandler -::- SSOLoginTransitionResult: SSOLoginTransitionResult:

        Portal Name: OKTA_SSO
        Portal ID: 9c969a72-b9cd-11e8-a542-d2e41bbdc546
        Portal URL: https://isespan.bikawi.lab:8443/portal/SSOLoginResponse.action
        Identity Provider: com.cisco.cpm.acs.im.identitystore.saml.IdentityProvider@56c50ab6
2018-09-30 01:32:35,624 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.configmanager.SSOLoginConfigHandler -::- portalSessionInfo: portalId=9c969a72-b9cd-11e8-a542-d2e41bbdc546;portalSessionId=6770f0a4-bc86-4565-940a-b0f83cbe9372;radiusSessi
onId=0a3e949b000002c55bb023b3;
2018-09-30 01:32:35,624 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.configmanager.SSOLoginConfigHandler -::- no Load balancer is configured; no redirect should be made
2018-09-30 01:32:35,624 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.configmanager.SSOLoginConfigHandler -::- No redirect manipulation is required - start the SAML flow with 'GET'...
2018-09-30 01:32:35,626 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.configmanager.SSOLoginConfigHandler -::- Redirect to IDP: https://cisco-yalbikaw.okta.com/app/ciscoorg808433_iseokta_2/exk1rq81oEmedZSf4356/sso/saml?SAMLRequest=nZRdb9owF
Ib%2FSuT7EJMPIBahYpRqkWBlJOxiN5XtHFprwc5sQ%2Bm%2Fn0NKi%2FZRoeUyPu95j9%2FzJOOb4672DqCNUDJD%2FR5GHkiuKiEfM7Qp7%2FwRupmMDd3VDZnu7ZNcw889GOs5nTTkdJChvZZEUSMMkXQHhlhOiulyQcIeJo1WVnFVI29qDGjrjGZKmv0OdAH6IDhs1osMPVnbGBIEwoBpqOwx8YM%2Bi15NGRnFcRQ0SltaB0Vxv1CPwo1hGtcFepS3HZF3pzS
H04QZ2tLaAPLy2ww9pDwdpHQY%2Bizlld%2Fvw8inSRz6VQhxn7GKJ%2FHg4Xa%2ByJd5OV93Lnn1MP%2B6mS6Kq8TFfJl3ugJMm%2BObfDAc4i2msc%2F4aODHySDx0xhTn%2BHtKOIM0mgYnuSaVmJvfpdjGkEapwy3T8iThDEcRiw6Sd5n%2FjMxd3Wzoq7ZAd7DMGYPuTSWSpuhEPdHPk79CJe4T6KQRElvECbfkbd6XdcnITsIPtot64oM%2BVyWK391X5TI%
2B3aGyRWgMzond309NPSMCpq0YDguZsJwlRfz4JqdjINL226IsCFfnE9%2Bu1K14C8Xs4TXE1zX6nmmgdq3YIO37q9fBlQnCh3jFo72v2xmatdQLUybIhwd4a85ksvOs9qFtIbthcPVmX5YxglvW7vXLUPPSlctE8DdzUpNpWlZ7wL%2B6zyT7uxfgUzOu7n8m0x%2BAQ%3D%3D&RelayState=_9c969a72-b9cd-11e8-a542-d2e41bbdc546_DELIMITERport
alId_EQUALS9c969a72-b9cd-11e8-a542-d2e41bbdc546_SEMIportalSessionId_EQUALS6770f0a4-bc86-4565-940a-b0f83cbe9372_SEMIradiusSessionId_EQUALS0a3e949b000002c55bb023b3_SEMI_DELIMITERisespan.bikawi.lab
2018-09-30 01:32:35,626 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.utils.Combiner -::- combined map: {redirect_required=TRUE, sso_login_action_url=https://cisco-yalbikaw.okta.com/app/ciscoorg808433_iseokta_2/exk1rq81oEmedZSf4356/sso/saml
?SAMLRequest=nZRdb9owFIb%2FSuT7EJMPIBahYpRqkWBlJOxiN5XtHFprwc5sQ%2Bm%2Fn0NKi%2FZRoeUyPu95j9%2FzJOOb4672DqCNUDJD%2FR5GHkiuKiEfM7Qp7%2FwRupmMDd3VDZnu7ZNcw889GOs5nTTkdJChvZZEUSMMkXQHhlhOiulyQcIeJo1WVnFVI29qDGjrjGZKmv0OdAH6IDhs1osMPVnbGBIEwoBpqOwx8YM%2Bi15NGRnFcRQ0SltaB0Vxv
1CPwo1hGtcFepS3HZF3pzSH04QZ2tLaAPLy2ww9pDwdpHQY%2Bizlld%2Fvw8inSRz6VQhxn7GKJ%2FHg4Xa%2ByJd5OV93Lnn1MP%2B6mS6Kq8TFfJl3ugJMm%2BObfDAc4i2msc%2F4aODHySDx0xhTn%2BHtKOIM0mgYnuSaVmJvfpdjGkEapwy3T8iThDEcRiw6Sd5n%2FjMxd3Wzoq7ZAd7DMGYPuTSWSpuhEPdHPk79CJe4T6KQRElvECbfkbd6XdcnITsIP
tot64oM%2BVyWK391X5TI%2B3aGyRWgMzond309NPSMCpq0YDguZsJwlRfz4JqdjINL226IsCFfnE9%2Bu1K14C8Xs4TXE1zX6nmmgdq3YIO37q9fBlQnCh3jFo72v2xmatdQLUybIhwd4a85ksvOs9qFtIbthcPVmX5YxglvW7vXLUPPSlctE8DdzUpNpWlZ7wL%2B6zyT7uxfgUzOu7n8m0x%2BAQ%3D%3D&RelayState=_9c969a72-b9cd-11e8-a542-d2e4
1bbdc546_DELIMITERportalId_EQUALS9c969a72-b9cd-11e8-a542-d2e41bbdc546_SEMIportalSessionId_EQUALS6770f0a4-bc86-4565-940a-b0f83cbe9372_SEMIradiusSessionId_EQUALS0a3e949b000002c55bb023b3_SEMI_DELIMITERisespan.bikawi.lab}
2018-09-30 01:32:35,626 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.controller.PortalStepController -::- targetUrl: pages/ssoLoginRequest.jsp
2018-09-30 01:32:35,626 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.controller.PortalStepController -::- portalId: 9c969a72-b9cd-11e8-a542-d2e41bbdc546
2018-09-30 01:32:35,626 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.controller.PortalStepController -::- webappPath: /portal
2018-09-30 01:32:35,626 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.controller.PortalStepController -::- portalPath: /portal/portals/9c969a72-b9cd-11e8-a542-d2e41bbdc546
2018-09-30 01:32:35,626 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.controller.PortalPreResultListener -::- No page transition config. Bypassing transition.
2018-09-30 01:32:35,627 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.controller.PortalFlowInterceptor -::- result: success

ISEはユーザをIDPに正常にリダイレクトしました。ただし、ISEに応答がなく、不正なSAML要求が表示されます。以下の要求で、OKTAがSAML要求を受け入れないことを特定します。

https://cisco-yalbikaw.okta.com/app/ciscoorg808433_iseokta_2/exk1rq81oEmedZSf4356/sso/saml?SAMLRequest=nZRdb9owF
Ib%2FSuT7EJMPIBahYpRqkWBlJOxiN5XtHFprwc5sQ%2Bm%2Fn0NKi%2FZRoeUyPu95j9%2FzJOOb4672DqCNUDJD%2FR5GHkiuKiEfM7Qp7%2FwRupmMDd3VDZnu7ZNcw889GOs5nTTkdJChvZZEUSMMkXQHhlhOiulyQcIeJo1WVnFVI29qDGjrjGZKmv0OdAH6IDhs1osMPVnbGBIEwoBpqOwx8YM%2Bi15NGRnFcRQ0SltaB0Vxv1CPwo1hGtcFepS3HZF3pzS
H04QZ2tLaAPLy2ww9pDwdpHQY%2Bizlld%2Fvw8inSRz6VQhxn7GKJ%2FHg4Xa%2ByJd5OV93Lnn1MP%2B6mS6Kq8TFfJl3ugJMm%2BObfDAc4i2msc%2F4aODHySDx0xhTn%2BHtKOIM0mgYnuSaVmJvfpdjGkEapwy3T8iThDEcRiw6Sd5n%2FjMxd3Wzoq7ZAd7DMGYPuTSWSpuhEPdHPk79CJe4T6KQRElvECbfkbd6XdcnITsIPtot64oM%2BVyWK391X5TI%
2B3aGyRWgMzond309NPSMCpq0YDguZsJwlRfz4JqdjINL226IsCFfnE9%2Bu1K14C8Xs4TXE1zX6nmmgdq3YIO37q9fBlQnCh3jFo72v2xmatdQLUybIhwd4a85ksvOs9qFtIbthcPVmX5YxglvW7vXLUPPSlctE8DdzUpNpWlZ7wL%2B6zyT7uxfgUzOu7n8m0x%2BAQ%3D%3D&RelayState=_9c969a72-b9cd-11e8-a542-d2e41bbdc546_DELIMITERport
alId_EQUALS9c969a72-b9cd-11e8-a542-d2e41bbdc546_SEMIportalSessionId_EQUALS6770f0a4-bc86-4565-940a-b0f83cbe9372_SEMIradiusSessionId_EQUALS0a3e949b000002c55bb023b3_SEMI_DELIMITERisespan.bikawi.lab

アプリケーションに変更が加えられた可能性があることを再度確認します。

SSO URLはIPアドレスを使用していますが、最後の行にSEMI_DELIMITER<FQDN>が含まれている要求で確認できるように、ゲストはFQDNを送信しています。この問題を解決するには、OKTA設定でIPアドレスをFQDNに変更します。

シナリオ2:「サイトへのアクセスで問題が発生しました。Please contact helpdesk for assistance」というメッセージが表示されます。

Guest.log（ゲストログ）

2018-09-30 02:25:00,595 ERROR  [https-jsse-nio-10.48.17.71-8443-exec-1][] guestaccess.flowmanager.step.guest.SSOLoginStepExecutor -::- SSO Authentication failed or unknown user, authentication result=FAILED, isFailedLogin=true, reason=24823 Assertion does not contain ma
tching service provider identifier in the audience restriction conditions
2018-09-30 02:25:00,609 ERROR  [https-jsse-nio-10.48.17.71-8443-exec-1][] guestaccess.flowmanager.step.guest.SSOLoginStepExecutor -::- Login error with idp

ログから、アサーションが正しくないことがISEによって報告されます。OKTA Audience URIを確認し、SPと一致していることを確認して解決します。

シナリオ 3.「空白のページ」にリダイレクト。またはログインオプションが表示されない。

これは、環境とポータルの設定によって異なります。この種の問題では、OKTAアプリケーションと、認証に必要なURLを確認する必要があります。ポータルテストをクリックしてから要素を検査し、どのWebサイトに到達できなければならないかを確認します。

このシナリオでは、applicationとlogin.okta.comの2つのURLのみがWLCで許可されます。

OKTA SAML SSOを使用したISE 2.3ゲストポータルの設定

ダウンロードオプション

偏向のない言語

翻訳について

内容

はじめに

前提条件

要件

使用するコンポーネント

バックグラウンド情報

フェデレーテッドSSO

ネットワークフロー

設定

ステップ 1：ISEでSAML IDプロバイダーとゲストポータルを設定します。

1. 外部IDソースを準備します。

2. SSO用のポータルを作成します。

3. 代替ログインを設定します。

ステップ 2OKTAアプリケーションとSAML IDプロバイダーの設定を構成します。

1. OKTAアプリケーションを作成します。

2. SAML IDプロバイダーからのSP情報のエクスポート。

3. OKTA SAML設定。

4. アプリケーションからメタデータをエクスポートします。

5. ユーザーをアプリケーションに割り当てます。

6. IdpからISEにメタデータをインポートします。

ステップ3:CWAの設定

確認

エンドユーザの検証

ISEの検証

トラブルシュート

OKTAのトラブルシューティング

ISEのトラブルシューティング

一般的な問題と解決策

関連情報

シスコエンジニア提供

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

OKTA SAML SSOを使用したISE 2.3ゲストポータルの設定

ダウンロード オプション

偏向のない言語

翻訳について

内容

はじめに

前提条件

要件

使用するコンポーネント

バックグラウンド情報

フェデレーテッドSSO

ネットワーク フロー

設定

ステップ 1：ISEでSAML IDプロバイダーとゲストポータルを設定します。

1. 外部IDソースを準備します。

2. SSO用のポータルを作成します。

3. 代替ログインを設定します。

ステップ 2OKTAアプリケーションとSAML IDプロバイダーの設定を構成します。

1. OKTAアプリケーションを作成します。

2. SAML IDプロバイダーからのSP情報のエクスポート。

3. OKTA SAML設定。

4. アプリケーションからメタデータをエクスポートします。

5. ユーザーをアプリケーションに割り当てます。

6. IdpからISEにメタデータをインポートします。

ステップ3:CWAの設定

確認

エンドユーザの検証

ISEの検証

トラブルシュート

OKTAのトラブルシューティング

ISEのトラブルシューティング

一般的な問題と解決策

関連情報

シスコ エンジニア提供

このドキュメントは役に立ちましたか?

シスコに問い合わせ

このドキュメントは次の製品に対応しています

ダウンロードオプション

ネットワークフロー

シスコエンジニア提供