Azure Entra IDを使用したSNAマネージャSSO認証エラーのトラブルシューティング
内容
お問い合わせ内容
SAML認証用のIDプロバイダー(IdP)としてAzure Entra IDと統合した後、SNA Managerにログインしようとすると、SSO認証エラーが発生しました。表示されたエラーメッセージは次のとおりです。
“認証サービスは要求を満たすことができませんでした。問題が解決しない場合は、管理者に問い合わせてください。」
セットアップ中に、SP（サービスプロバイダー）メタデータファイルをインポートした後、SNAマネージャFQDNが元のSNAマネージャURLから「/fedlet」を含むように自動的に変更され、これが認証セットアップの失敗の原因になりました。システム監査ログには、確認された認証エラーが「不明なユーザー」エラーとともに記録されます。これは、SNAマネージャがAzureからのSAML応答で送信されたユーザー名を認識していないことを示します。
環境
Cisco Secure Network Analytics(SNA)Managerバージョン7.6.0
SAML IDプロバイダーとして構成されたMicrosoft Azure Entra ID
解決策
この問題を解決するには、Azure Entra IDとSNAマネージャの両方でSAML NameID属性の構成を修正し、ユーザ名の形式が正しく一致するようにする必要がありました。
手順1:SAMLトレース分析の実行
ブラウザ開発者ツールを使用してSAMLトレースを実行し、AzureからのIdP応答を検査して、送信されるNameID形式を特定します。トレースは、Azureが完全なユーザープリンシパル名(UPN)をNameID属性で送信していることを示しました：
<Subject><NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent" SPNameQualifier="https://device.corp.example.com/fedlet">username@example.com</NameID>
手順2: SNAマネージャの監査ログを確認する
SNA Manager監査ログを調べて、不正なNameIDに関連する認証障害を確認します。
Aug 3 06:53:36 device AuditLogger[1480861]: AuditLogger: osaxsd/1480861,4003,2026-08-03T06:53:36TZD+0000,Bad User,x.x.x.x,Login on ssh failed: Unknown User
手順3: Azure SAML NameID構成を変更します
Azure Entra ID SAML構成で、NameID属性をデフォルトのユーザープリンシパル名(UPN)から「オンプレミスのSAMアカウント名」を使用するように変更します。 これにより、NameIDにはドメインサフィックスのないユーザ名だけが含まれるようになります（username@example.comがユーザ名になります）。
ステップ4:SNAマネージャSAML ID設定の更新
SNA Managerユーザー管理ページに移動し、SAML ID値を更新して、構成変更後にAzureによって送信される修正されたNameID形式と一致するようにします。
手順5:SSO認証の確認
SAMLワークフローを使用してログインを試み、SSO認証をテストします。ユーザは前のエラーメッセージを受信することなく正常に認証されました。
原因
認証エラーは、Azure Entra IDによって送信されたNameID形式とSNAマネージャーによって予期されたユーザー名形式の不一致が原因で発生しました。Azureは、ユーザープリンシパル名(UPN)をSAML NameID属性で「username@example.com」の形式で送信するように構成されていますが、SNAマネージャーはドメインサフィックスのないユーザー名部分のみを予期していました。この形式の不一致が原因で、SNAマネージャは受信した認証要求を認識されていないユーザからのものとして扱い、「不明なユーザ」の認証エラーを引き起こしました。
関連コンテンツ
更新履歴
| 改定 | 発行日 | コメント |
|---|---|---|
1.0 |
06-Aug-2026
|
初版 |
フィードバック