SAML SSOでのISE 3.1 GUIログインのトラブルシューティング

ダウンロード オプション

  • PDF     (638.1 KB)
    Adobe Reader を使ってさまざまなデバイスで表示
Updated: 2026 年 7 月 27 日
Document ID:218076

偏向のない言語

この製品のドキュメントセットは、偏向のない言語を使用するように配慮されています。このドキュメントセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブ ランゲージの取り組みの詳細は、こちらをご覧ください。

翻訳について

シスコは世界中のユーザにそれぞれの言語でサポート コンテンツを提供するために、機械と人による翻訳を組み合わせて、本ドキュメントを翻訳しています。ただし、最高度の機械翻訳であっても、専門家による翻訳のような正確性は確保されません。シスコは、これら翻訳の正確性について法的責任を負いません。原典である英語版（リンクからアクセス可能）もあわせて参照することを推奨します。

はじめに

このドキュメントでは、SAML GUIログインを使用したISE 3.1で確認されたほとんどの問題について説明します。

前提条件

SAML 2.0標準の使用により、SAMLベースの管理者ログインにより、シングルサインオン(SSO)機能がISEに追加されます。Azure、Okta、PingOne、DUO Gatewayなどの任意のアイデンティティプロバイダー(IdP)、またはSAML 2.0を実装する任意のIdPを使用できます。

要件

次の項目に関する知識があることが推奨されます。

  1. Cisco ISE 3.1以降
  2. SAML SSOセットアップの基本を理解している。

設定とフローの詳細については、『SAML設定のISE 3.1管理ガイド』および『Azure ADを使用したSAMLによるISE管理ログインフロー』を参照してください。 

注:IDプロバイダーのサービスについて十分に理解し、サービスが稼働していることを確認する必要があります。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

  • ISE バージョン 3.1

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

デバッグをイネーブルにする

トラブルシューティングを開始するには、まず次に説明するようにデバッグを有効にする必要があります。

Operations > Troubleshoot > Debug Wizard > Debug Log Configurationの順に移動します。プライマリ管理ノードを選択し、次の図に示すようにEditをクリックします。

Select Nodes

  • 次のコンポーネントをDEBUGレベルに設定します。
コンポーネント名 ログ レベル ログファイル名
ポータル デバッグ ゲスト。ログ
opensaml デバッグ ise-psc.log
saml デバッグ ise-psc.log

注：トラブルシューティングが終了したら、ノードを選択してデバッグをリセットし、Reset to Defaultをクリックすることを忘れないでください。

ログのダウンロード

問題が再現されたら、必要なログファイルを取得する必要があります。

ステップ 1： Operations > Troubleshoot > Download logsの順に移動します。Appliance node list > Debug Logsの順に選択し、primary adminノードを選択します。

ステップ 2 guestおよびise-pscの親フォルダを検索して展開します。

ステップ 3 guest.logファイルとise-psc.logファイルをダウンロードします。

問題1a - 「アクセス拒否」

  • SAMLベースの管理者ログインを設定した後。
  • Log in With SAMLを選択します。
  • IdPログインページへのリダイレクトが正常に機能します。
  • 認証は、SAML/IdP応答ごとの成功です。
  • IdPの送信グループ属性と同じグループ/オブジェクトIDがISEで設定されていることを確認できます。
  • 次に、ISEはポリシーを分析しようとするときに、スクリーンショットに示すように「Access Denied」メッセージを引き起こす例外をスローします。

Access Denied

ise-psc.logのログ：

2021-09-27 17:16:18,211 DEBUG  [https-jsse-nio-10.200.50.44-8443-exec-2][] cpm.saml.framework.impl.SAMLFacadeImpl -::::- AuthenticatePortalUser - Session:null IDPResponse:

                IdP ID: TSDLAB_DAG
                Subject: ise.test
                Group: null
                SAML Status Code:urn:oasis:names:tc:SAML:2.0:status:Success
                SAML Success:true
                SAML Status Message:null
                SAML email:
                SAML Exception:nullUserRole : NONE

2021-09-27 17:16:18,218 DEBUG  [https-jsse-nio-10.200.50.44-8443-exec-2][] cpm.saml.framework.impl.SAMLFacadeImpl -::::- AuthenticatePortalUser - about to call authenticateSAMLUser messageCode:null subject: ise.test
2021-09-27 17:16:18,225 DEBUG  [https-jsse-nio-10.200.50.44-8443-exec-2][] cpm.saml.framework.impl.SAMLFacadeImpl -::::- Authenticate SAML User - result:PASSED
2021-09-27 17:16:18,390 INFO   [admin-http-pool5][] ise.rbac.evaluator.impl.MenuPermissionEvaluatorImpl -::::-

*************************Rbac Log Summary for user samlUser*************************

2021-09-27 17:16:18,392 INFO   [admin-http-pool5][] com.cisco.ise.util.RBACUtil -::::- Populating cache for external to internal group linkage.
2021-09-27 17:16:18,402 ERROR  [admin-http-pool5][] cpm.admin.infra.utils.PermissionEvaluationUtil -::::- Exception in login action

java.lang.NullPointerException

2021-09-27 17:16:18,402 INFO   [admin-http-pool5][] cpm.admin.infra.action.LoginAction -::::- In Login Action user has Menu Permission: false
2021-09-27 17:16:18,402 INFO   [admin-http-pool5][] cpm.admin.infra.action.LoginAction -::::- In Login action, user has no menu permission
2021-09-27 17:16:18,402 ERROR  [admin-http-pool5][] cpm.admin.infra.action.LoginAction -::::- Can't save locale. loginSuccess: false
2021-09-27 17:16:18,402 INFO   [admin-http-pool5][] cpm.admin.infra.action.LoginActionResultHandler -::::- Redirected to: /admin/login.jsp?mid=access_denied

原因

IdP設定のグループ要求名がISEで設定されているものと同じであることを確認します。

ソリューション

次のスクリーンショットはAzure側から取得したものです：

Azure Group

ISE側からのスクリーンショット：

ISE Group Attribute

問題1b - SAML応答に複数のグループがある（「アクセス拒否」）

前の修正で問題が解決しない場合は、ユーザが複数のグループのメンバーでないことを確認します。この場合、Cisco Bug ID CSCwa17470(ISEがSAML応答のリストの最初の値（グループ名/ID）にのみ一致する)が発生している必要があります。この不具合は、3.1 P3で解決されています。


       iseadmins 
      Sysadmins
      domain admins
       change-esc

前述のIdP応答に従い、ログインを成功させるには、iseadminsグループのISEマッピングを設定する必要があります。

ISE Group Names


問題2 – 「404 Resource not found」

404 Error

次のエラーがguest.logに表示されます。

2021-10-21 13:38:49,308 ERROR  [https-jsse-nio-10.200.50.44-8443-exec-3][] cpm.guestaccess.flowmanager.step.StepExecutor -::- 
Can not find the matched transition step on Step=id: 51d3f147-5261-4eb7-a1c9-ce47ec8ec093, tranEnum=PROCEED_SSO.

原因

この問題は、が最初のIDストアを作成した後にのみ発生します。

ソリューション

これを解決するには、同じ順序で次のコマンドを実行します。

ステップ 1： ISEで新しいSAML IdPを作成します（現在のSAML IdPはまだ削除しないでください）。

ステップ 2 管理者アクセスページに移動し、この新しいIdPへの管理者アクセスを割り当てます。

ステップ 3 「外部アイデンティティプロバイダー」ページで古いIdPを削除します。

ステップ 4現在のIdPメタデータをステップ1で作成した新しいIdPにインポートし、必要なグループマッピングを実行します。

ステップ 5次に、SAMLログインを試行し、動作することを確認します。

問題3 – 証明書の警告

マルチノード展開では、Log In with SAMLをクリックすると、ブラウザに信頼できない証明書の警告が表示されます。

Certificate Warning

原因

場合によっては、pPANによってFQDNではなくアクティブPSNのIPにリダイレクトされることがあります。これにより、SANフィールドにIPアドレスがない場合、一部のPKI展開で証明書の警告が発生します。

ソリューション

回避策は、証明書のSANフィールドにIPを追加することです。

Cisco Bug ID CSCvz89415。これは3.1p1で解決されています。

更新履歴

改定 発行日 コメント
2.0
27-Jul-2026
フォーマットエラー、代替テキスト。
1.0
23-Aug-2022
初版
TAC Authored

シスコ エンジニア提供

  • ロメオ・ミギシャ
    シスコテクニカルコンサルティングエンジニア
  • ベレニスゲラ
    シスコテクニカルコンサルティングエンジニア

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ

このドキュメントは次の製品に対応しています