Microsoft Entra ID SAML SSO로 ISE 스폰서 포털 구성

다운로드 옵션

PDF (4.1 MB)
다양한 디바이스에서 Adobe Reader로 보기
ePub (4.1 MB)
iPhone, iPad, Android, Sony Reader 또는 Windows Phone의 다양한 앱에서 보기
Mobi (Kindle) (3.4 MB)
Kindle 디바이스에서 보기 또는 다양한 디바이스의 Kindle 앱에서 보기

업데이트:2026년 10월 2일

문서 ID:216129

편견 없는 언어

본 제품에 대한 문서 세트는 편견 없는 언어를 사용하기 위해 노력합니다. 본 설명서 세트의 목적상, 편견 없는 언어는 나이, 장애, 성별, 인종 정체성, 민족 정체성, 성적 지향성, 사회 경제적 지위 및 교차성에 기초한 차별을 의미하지 않는 언어로 정의됩니다. 제품 소프트웨어의 사용자 인터페이스에서 하드코딩된 언어, RFP 설명서에 기초한 언어 또는 참조된 서드파티 제품에서 사용하는 언어로 인해 설명서에 예외가 있을 수 있습니다. 시스코에서 어떤 방식으로 포용적인 언어를 사용하고 있는지 자세히 알아보세요.

이 번역에 관하여

Cisco는 전 세계 사용자에게 다양한 언어로 지원 콘텐츠를 제공하기 위해 기계 번역 기술과 수작업 번역을 병행하여 이 문서를 번역했습니다. 아무리 품질이 높은 기계 번역이라도 전문 번역가의 번역 결과물만큼 정확하지는 않습니다. Cisco Systems, Inc.는 이 같은 번역에 대해 어떠한 책임도 지지 않으며 항상 원본 영문 문서(링크 제공됨)를 참조할 것을 권장합니다.

소개

이 문서에서는 Cisco ISE 후원자 포털에 대한 SAML ID 공급자로 Microsoft Entra ID를 구성하는 방법에 대해 설명합니다.

사전 요구 사항

요구 사항

다음 주제에 대한 지식을 보유하고 있으면 유용합니다.

Microsoft Entra ID
Cisco ISE(Identity Services Engine) 3.0
SAML(Security Assertion Markup Language) SSO(Single Sign-On) 구축에 대한 기본 지식

사용되는 구성 요소

이 문서의 정보는 다음 하드웨어 및 소프트웨어 버전을 기반으로 합니다.

Cisco ISE 3.4(이 절차는 Cisco ISE 3.1 이상에 적용됨)
Microsoft Entra ID

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

고급 흐름도

High-Level Flow Diagram

구성

1단계. ISE에서 SAML ID 제공자 및 스폰서 포털을 구성합니다

SAML ID 제공자 추가

1. ISE에서 Administration(관리) > Identity Management(ID 관리) > External Identity Sources(외부 ID 소스) > SAML Id Providers(SAML ID 제공자)로 이동하고 Add(추가) 버튼을 클릭합니다.

2. ID 제공자명을 입력하고 실행을 눌러 이를 저장합니다. ID 제공자 이름은 그림과 같이 ISE에서만 유효합니다.

External Identity Sources - SAML ID Providers - General - Entra SAML

idP에 대한 스폰서 포털 구성

1. Work Centers(작업 센터) > Guest Access(게스트 액세스) > Portals & Components(포털 및 구성 요소) > Sponsor Portals(스폰서 포털)로 이동하고 스폰서 포털을 선택합니다. 이 예에서는 스폰서 포털(기본값)이 사용됩니다.

Sponsor Portals

2. Portal Settings(포털 설정)를 확장하고 ID 소스 시퀀스에서 새 SAML ID 제공자를 선택합니다. 스폰서 포털의 FQDN(Fully Qualified Domain Name)을 구성하고 HTTPS 포트(8445가 스폰서 포털 기본값)를 확인합니다. 저장을 클릭합니다.

HTTPS Port

서비스 공급자 정보 내보내기

1. SAML 제공자로 다시 이동하고 서비스 제공자 정보 탭을 엽니다. 스폰서 포털이 "다음 포털 포함" 아래에 나타나는지 확인합니다. 내보내기를 수행하려면 포털이 IdP에 바인딩되어 있어야 합니다. 그렇지 않으면 메타데이터에 해당 포털이 포함되지 않습니다. Export(내보내기)를 클릭합니다.

SAML Identity Provider - Service Provider Info - Export

2. 다운로드한 XML에서 다음 사항을 확인합니다.

엔터티 ID: 예: http://CiscoISE/1f789a00-ad9d-4ec0-9a47-ce4909a65db2
모든 AssertionConsumerService 위치(노드 이름/IP당 하나 - 독립형 노드는 3개를 생성합니다. 다중 노드 구축은 더 많은 것을 만들어 냅니다.)
SingleLogoutService ResponseLocation은 다음과 같습니다. 스폰서 포털 - 로그아웃 응답


http://CiscoISE/1f789a00-ad9d-4ec0-9a47-ce4909a65db2">
  
    
      MIIFUDCC...(ISE portal signing certificate)...
    
    https://sponsor.n3tgeek.com:8445/sponsorportal/SSOLogoutResponse.action"/>
    urn:oasis:names:tc:SAML:2.0:nameid-format:transient
    ...(additional NameIDFormat entries)...

주의: 또한 XML에는 SSOLogoutRequest.action?portal=... Location 특성의 URL. Entra ID에서 로그아웃 URL로 사용할 값이 아닙니다. 이 값을 사용하면 문제 해결 섹션에 설명된 "SSO 로그아웃 실패" 오류가 발생합니다. 올바른 값은 SSOLogoutResponse.action으로 끝납니다.

참고: 다음과 같은 변경 사항이 있을 때마다 이 메타데이터를 다시 내보내고 다시 가져옵니다. 새 ISE 노드가 등록되었거나, 노드 호스트 이름 또는 IP가 변경되었거나, 스폰서 포털 FQDN이 변경되었거나, 포트 또는 인터페이스 설정이 변경되었거나, 로드 밸런서가 연결되어 있습니다. IdP가 오래된 메타데이터를 유지하면 인증 요청을 거부합니다. 내보낸 ZIP에는 IdP별 컨피그레이션 지침이 포함된 Readme 파일도 포함됩니다.

XML 파일에 따르면:

SingleLogoutService ResponseLocation="https://sponsor.n3tgeek.com:8445/sponsorportal/SSOLogoutResponse.action"
entityID="http://CiscoISE/1f789a00-ad9d-4ec0-9a47-ce4909a65db2"
AssertionConsumerService 위치="https://sponsor.n3tgeek.com:8445/sponsorportal/SSOLoginResponse.action"
AssertionConsumerService 위치="https://192.168.1.204:8445/sponsorportal/SSOLoginResponse.action"
AssertionConsumerService 위치="https://prox-ise04.n3tgeek.com:8445/sponsorportal/SSOLoginResponse.action"

참고: 이 실습에서는 단일 ISE 노드를 사용하므로 내보낸 XML에는 다음 세 가지 AssertionConsumerService 항목만 포함됩니다. 스폰서 포털 FQDN, 노드 IP 및 노드 FQDN입니다. 다중 노드 구축에서 XML은 스폰서 포털을 서비스하는 모든 노드에 대한 항목을 나열합니다(포털 FQDN, 각 노드에 대한 IP 및 FQDN 추가). 한 노드뿐 아니라 Entra ID의 회신 URL로 이 모든 항목을 추가합니다. 노드의 URL이 회신 URL에서 누락된 경우 사용자가 해당 노드로 리디렉션되면 인증이 실패합니다.

2단계. Microsoft Entra ID 구성

Azure AD 사용자 만들기

1. Microsoft Entra Admin Center에 로그인합니다.

Microsoft Entra Admin Center

2. Entra ID > 사용자 > 신규 사용자 > 신규 사용자 생성으로 이동하여 클라우드 전용 테스트 사용자를 생성합니다.

Home - Users - Create New User - User Principal Name - Account Enabled

참고: 초대 게스트가 아닌 클라우드 전용 멤버 사용자 사용 - 게스트는 홈 테넌트에 대해 인증하며 결과로 생성되는 NameID 형식은 ISE에서 사용자 이름을 추출하지 못하도록 합니다. 새 사용자는 처음 로그인할 때 비밀번호를 변경해야 하며, 보안 기본값이 있는 테넌트도 MFA 등록이 필요합니다. Verify(확인) 섹션 전에 두 번 모두 완료합니다.

2. 그룹을 생성하고 사용자를 추가합니다.

1. Entra ID > 그룹 > 신규 그룹으로 이동합니다.

Home - Users - Create New User - Groups - New Group - All Groups

2. 그룹 유형을 보안으로 유지합니다. 이미지에 표시된 대로 그룹 이름을 구성합니다.

Microsoft Entra Admin Center - Home - Users - Create New User - Groups - All Groups - Group Type - Group Name

3. 그룹 구성원 페이지를 열고 구성원 추가를 누른 후 테스트 사용자를 검색하여 선택한 후 선택을 누릅니다.

Microsoft Entra Admin Center - Home - Users - Create New User - Groups - All Groups - Sponsor Group - Members - Add Members

4. 이 화면에서 그룹 개체 ID를 메모합니다. 이 ID는 스폰서 그룹의 48f07fce-26e5-41e5-a82b-ed095b32bab8입니다.

Home - Users - Groups - All Groups - Sponsor Group - Overview - Object ID

3. Enterprise 응용 프로그램 생성

1. Enterprise ID > Enterprise apps > All applications > New application으로 이동합니다.

Microsoft Entra Admin Center - Home - Users - Groups - All Groups - Sponsor Group - Enterprise Applications - New Application

2. 자체 애플리케이션 생성을 선택합니다.

Microsoft Entra Admin Center - Home - Users - Groups - All Groups - Sponsor Group - Enterprise Applications

3. 이름을 입력하고 "갤러리에서 찾을 수 없는 다른 모든 응용 프로그램 통합(비갤러리)"을 선택한 다음 생성을 클릭합니다.

Create Your Own Application

4. 애플리케이션에 그룹(또는 사용자)을 지정합니다

1. 애플리케이션에서 사용자 및 그룹 > 사용자/그룹 추가로 이동하여 이전에 생성한 그룹을 지정합니다.

ISE Sponsor Portal - Overview - Properties - Assign Users and Groups

사용자/그룹 추가:

참고: 테넌트가 Microsoft Entra ID Free에 있는 경우 그룹 할당을 사용할 수 없습니다. 대신 테스트 사용자를 직접 할당하십시오. 모든 다른 단계가 동일합니다.

ISE Sponsor Portal - Users and Groups - Add User Group - Display Name

참고: 액세스 권한을 적용할 올바른 사용자 또는 그룹 집합을 선택하는 것은 사용자의 책임입니다.

1. 따라서 애플리케이션의 Users and groups(사용자 및 그룹) 메뉴는 선택한 Group(그룹)으로 채워져야 합니다.

ISE Sponsor Portal - User and Groups - Display Name

3단계. Entra ID에서 SAML Single Sign-On 구성

1. 애플리케이션에서 Single Sign-On 설정으로 이동합니다.

ISE Sponsor Portal - Overview - Set up Single Sign-On

2. SAML을 선택하고 기본 SAML 구성 옆에 있는 편집을 누릅니다.

ISE Sponsor Portal - SAML Based Sign-On - Basic SAML Configuration

3. ISE SP 메타데이터 XML의 entityID 값으로 식별자(엔티티 ID)를 채우고 여기에 나열된 각 AssertionConsumerService 위치로 회신 URL을 입력합니다. 로그아웃 Url의 경우 SingleLogoutService ResponseLocation 값을 사용합니다. Sign-on URL(로그인 URL) 및 Relay State(릴레이 상태)를 비워 두고 Save(저장)를 클릭합니다.

Basic SAML Configuration - Identifier Entity ID - Reply URL - Logout URL Optional

참고: 회신 URL은 통과 목록 역할을 하며, 이를 통해 특정 URL이 IdP 페이지로 리디렉션될 때 소스 역할을 할 수 있습니다.

2. Entra 그룹 속성 구성

1. 속성 및 청구 옆의 편집을 클릭합니다.

ISL Sponsor Portal - SAML Based Sign-On - Attributes and Claims - Edit

2. 그런 다음 그룹 클레임을 추가합니다.

Attributes and Claims - Add a Group Claim

3. 출처 속성의 보안 그룹 ID를 선택하고 저장을 클릭합니다. 다른 모든 것은 기본값으로 둡니다.

Group Claims - Security Groups - Source Attribute

주의: "그룹 클레임 이름 사용자 지정"을 선택하지 마십시오. 클레임의 이름을 바꾸려면 ISE 그룹 구성원 자격 특성 필드에 동일한 사용자 지정 이름이 필요하며 이 문서의 나머지 부분은 기본 클레임 이름으로 간주됩니다.

4. 사용자 지정 할 수 있지만 ISE의 그룹 구성원 특성 필드에 동일 한 사용자 지정 이름을 입력 해야 합니다. 예를 들어 Entra ID에 Sponsor Group(스폰서 그룹)을 입력한 경우 ISE 필드에 정확히 스폰서 그룹이 포함되어야 합니다. Entra ID에서 설정은 다음과 같습니다.

Source Attribute - Customize the Name of the Group Claim - Name

5. 그룹의 청구명을 기록합니다.

Attributes and Claims - Claim Name

3. 페더레이션 메타데이터 XML 파일 다운로드

1. SAML 서명 인증서에서 페더레이션 메타데이터 XML에 대해 다운로드를 클릭합니다.

SAML Certificates - Token Signing Certificate - Download

2. 다운로드한 페더레이션 메타데이터는 Microsoft에서 서명하고 ISE에 필요한 모든 것을 전달합니다. idP 엔티티 ID, SSO/SLO 엔드포인트 및 토큰 서명 인증서(여기에 약어):


  ...(signed by Microsoft)...
  ...(WS-Fed RoleDescriptor sections — not used by ISE)...
  
    
      MIIC8DCC...(Entra ID token signing certificate)...

3. 가져올 때(4단계) 이러한 필드는 Single Sign-On/Sign-Out URL이 되고 Identity Provider Config 탭의 Signing Certificates 항목이 됩니다.

참고: Entra ID 토큰 서명 인증서는 3년간 유효합니다. 회전하면 페더레이션 메타데이터 XML을 다시 다운로드하고 ISE로 다시 가져오거나, SSO가 갑자기 작동하지 않습니다. 만료 경고를 받도록 인증서에 대한 알림 이메일을 구성합니다.

4단계. Entra에서 ISE로 메타데이터 업로드

페더레이션 메타데이터 가져오기

1. Administration(관리) > Identity Management(ID 관리) > External Identity Sources(외부 ID 소스) > SAML Id Providers(SAML ID 제공자) > [your provider](사용자 제공자)로 이동하여 Identity Provider Config(ID 제공자 구성) 탭을 열고 Choose File(파일 선택)을 클릭한 후 Federation Metadata XML을 선택하고 Save(저장)를 클릭합니다. Single Sign-On/Sign-Out URL 및 서명 인증서가 채워집니다.

참고: 메타데이터 파일을 가져와서 저장한 후에도 제공자 ID 필드는 이 탭에서 비어 있습니다. 이는 Cisco 버그 ID CSCvv74517에서 추적한 표시 전용 문제입니다. IdP 엔터티 ID는 올바르게 저장되고 런타임에 사용되며 ise-psc.log 디버그 출력에서 IdP URI로 확인할 수 있습니다.

External Identity Sources - SAML Identity Provider - Identity Provider Config - Choose File

참고: 현재 ISE에서 내보내기를 릴리스하는 SP 메타데이터는 WantAssertionsSigned="false"를 선언합니다(이전 릴리스는 true로 선언됨). 이 속성은 이제 Advanced Settings(고급 설정) 탭의 Require Assertions Signed(서명된 어설션 필요) 확인란에 표시됩니다. 이 확인란은 기본적으로 선택되어 있지 않습니다. 이는 서명되지 않은 어설션이 수락된다는 것을 의미하지는 않습니다. ISE에서는 두 확인란을 모두 선택하지 않은 경우에도 SAML 응답 또는 어설션에 항상 하나 이상의 서명이 필요합니다.

선택적 고급 설정 탭: ID 속성(기본값: Subject Name)은 사용자 이름을 가져올 위치를 선택합니다. 스폰서가 승인 보류 중인 게스트 목록을 필터링하는 경우 Email 특성을 구성해야 합니다. Sign Authentication Request(인증 요청 서명)는 요청 서명을 제어하며 이전 탭의 읽기 전용 "Want Authentication Requests Signed(인증 요청 서명 필요)" 확인란보다 우선합니다.

External Identity Sources - SAML Identity Provider - Advanced Settings

ISE에서 SAML 그룹 구성

1. Groups(그룹) 탭을 열고 Group Membership Attribute(그룹 멤버십 특성)에서 3단계의 클레임명을 붙여넣습니다.

http://schemas.microsoft.com/ws/2008/06/identity/claims/groups

2. 추가를 클릭합니다. 어설션의 이름에 2단계에서 캡처된 그룹 개체 ID를 입력합니다(이 값은 정확히 일치해야 함). ISE의 이름에 의미 있는 로컬 레이블(ISE 메뉴 내부에서만 사용되는 자유 형식 별칭)을 입력합니다. OK(확인), Save(저장)를 차례로 클릭합니다.

SAML Identity Provider - Groups - Name in Assertion

3. 이렇게 하면 Entra의 그룹과 ISE에서 사용할 수 있는 그룹 이름 간의 매핑이 생성됩니다.

5단계. ISE에서 스폰서 그룹 매핑 구성

1. Work Centers(작업 센터) > Guest Access(게스트 액세스) > Portals & Components(포털 및 구성 요소) > Sponsor Groups(스폰서 그룹)로 이동하고 매핑할 스폰서 그룹을 선택합니다. 이 예에서는 ALL_ACCOUNTS(기본값)입니다.

Configure Sponsor Group Mapping

2. Members...를 클릭하고, ISE 항목의 IdP:Name을 Selected User Groups(선택한 사용자 그룹)로 이동하고, OK(확인), Save(저장)를 차례로 클릭합니다.

Select Sponsor Group Members - Name

참고: 스폰서에게 일치하는 모든 스폰서 그룹의 권한이 할당됩니다. 권한 축적을 의도하지 않는 한 Entra ID 그룹을 단일 스폰서 그룹에 매핑합니다.

다음을 확인합니다.

1. Portal Test URL(포털 테스트 URL) 링크에서 스폰서 포털을 시작합니다. ISE가 Microsoft 로그인 페이지로 리디렉션됩니다. 테스트 사용자 자격 증명으로 인증합니다.

Microsoft Sign-in Page

참고: 새 사용자는 처음 로그인할 때 사용자 비밀번호를 변경해야 합니다. 그리고 Accept the AUP Verification Steps(AUP 확인 단계 수락)에서는 이 작업을 다루지 않습니다. 확인은 사용자가 처음 로그인하고 스폰서(alice)가 이미 AUP를 한 번 수락한 시나리오를 다룹니다.

2. 인증 후 브라우저가 포털로 돌아오고 AUP가 표시됩니다. 승인 후 스폰서는 매핑된 스폰서 그룹 권한을 갖습니다.

Cisco Sponsor Portal

3. 시작 메뉴에서 로그아웃하면 포털 세션과 SSO 세션이 모두 정상적으로 종료됩니다.

Microsoft Sign-Out Confirmation Page

IdP 개시 SSO가 지원되지 않음: Cisco ISE는 IdP 개시 SAML을 지원하지 않습니다. Microsoft Entra ID의 Test Single Sign-On 버튼("Test this application")은 이 통합에 대해 항상 실패합니다. IdP에서 시작한 POST가 SSOLoginResponse.action에 도달하고 포털에서 HTTP [400] 잘못된 요청("잘못된 구문 또는 잘못된 데이터로 인해 요청이 잘못되었습니다.")을 반환합니다. 이는 잘못된 컨피그레이션이 아니라 예상되는 동작입니다. 항상 스폰서 포털 측에서 확인합니다.

400 Bad Request Error Message

문제 해결

SAML 인증은 브라우저와 Microsoft Entra ID 간에 발생합니다. ISE가 개입되기 전에 IdP에서 직접 오류가 발생할 수 있습니다.

문제 1 — 잘못된 비밀번호

Microsoft Log-in Error Message Page - Account or Password Incorrect

Microsoft 로그인 페이지에 오류가 나타납니다. 사용자 데이터가 ISE에 도달하지 않았습니다. ISE 측에서 로그는 아웃바운드 레그만 표시하고 아무 것도 표시하지 않습니다. guest.log에서 포털 흐름은 SSO_LOGIN에 도달하고, SAML 요청을 작성하고, 브라우저를 IdP로 리디렉션하며, 세션은 반환되지 않습니다.

01:20:46 DEBUG StepExecutor          -- StepTran for Step=INIT => tranEnum=PROCEED_SSO, toStep=SSO_LOGIN
01:20:46 DEBUG SSOLoginConfigHandler -- Redirect to IDP:
    https://login.microsoftonline.com//saml2?SAMLRequest=jZNRc6IwFIX...
01:20:46 INFO  ISEPortalControllerUtils -- forwarding to: pages/ssoLoginRequest.jsp
(the portal session ends here -- no SSOLoginResponse is ever POSTed back)

ise-psc.log는 SAML 프레임워크 측면에서 동일한 내용을 설명합니다.

01:20:46 DEBUG SAMLFacadeImpl  -- SAML request - providerId (as should be found in IdP
    configuration): http://CiscoISE/1f789a00-ad9d-4ec0-9a47-ce4909a65db2
01:20:46 DEBUG SAMLFacadeImpl  -- SAML request - spUrlToReturnTo:
    https://sponsor.n3tgeek.com:8445/sponsorportal/SSOLoginResponse.action
01:20:46 DEBUG SAMLFacadeImpl  -- SignAuthenRequest configuration is - off
01:20:46 DEBUG MessageComposer -- local cert is null, request won't be signed
(capture ends here -- ISE never receives a SAML response)

문제 2 — 사용자가 애플리케이션에 할당되지 않음(AADSTS50105)

SAML 응답이 실행되기 전에 Enter ID가 로그인을 차단합니다.

Microsoft ISE Sponsor Portal Error Message Page

nguest.log에는 준비 중인 리디렉션만 표시되며, ise-psc.log에는 SAML 활동이 전혀 표시되지 않습니다. IdP 쪽에 장애가 있습니다.

16:50:21 INFO  ISEPortalControllerUtils -- forwarding to: pages/ssoLoginRequest.jsp
(nothing follows -- the user never returns from the IdP)

해결: 사용자 또는 그룹을 엔터프라이즈 애플리케이션에 할당합니다(2.4단계).

문제 3 — 로그아웃 실패("SSO 로그아웃 실패")

Cisco Sponsor Portal SSO Logout Failed Error Message

이는 Entra ID의 로그아웃 URL이 SSOLogoutRequest.action?portal=... SSOLogoutResponse.action 대신 URL입니다. guest.log에서 로그아웃이 시작되고 반환된 응답을 처리할 수 없습니다.

16:54:12 INFO  ISEPortalControllerUtils -- forwarding to: /pages/ssoLogoutRequest.jsp
16:54:13 ERROR SponsorSSOLogin -- SAML Response is invalid or subject is NULL!
16:54:13 INFO  ISEPortalControllerUtils -- forwarding to: pages/error.jsp

수정: 기본 SAML 컨피그레이션에서 로그아웃 URL을 수정합니다.

문제 4 — 서명 인증서가 회전됨("인증 실패")

Entra ID 토큰 서명 인증서가 순환(3년 수명)되고, 새 인증서가 활성화되고, 페더레이션 메타데이터 XML을 ISE로 다시 가져오지 않으면 각 로그인이 실패하고 포털에서 일반 "인증 실패"가 나타나며 양쪽에서 아무것도 변경되지 않는 경우에도 마찬가지입니다.

Cisco Sponsor Portal Authentication Failed Error Message

ise-psc.log는 실제 원인을 명시적으로 나타냅니다.

16:58:30,429 WARN  apache.xml.security.signature.XMLSignature -- Signature verification failed.
16:58:30,430 ERROR cpm.saml.framework.impl.SAMLFacadeImpl -- SAML Response: processing failed:
com.cisco.cpm.saml.exceptions.SAMLException: Assertion signature did not validate
    against the IdP signature certificate
Caused by: org.opensaml.xml.validation.ValidationException: Signature did not validate
    against the credential's key

수정: Entra ID에서 페더레이션 메타데이터 XML을 다시 다운로드하고 ISE에서 다시 가져옵니다.

문제 5 - 세션이 빠르게 만료됨

포털 SSO 세션 유휴 시간 제한은 기본적으로 5분(포털당 구성 가능하며 이 실습에서는 10개를 사용함)입니다. 선택적 콘텐츠 필드를 통해 포털 오류 페이지에 "다시 로그인" 버튼을 추가할 수 있습니다.

클라이언트 문제 해결

SAML 메시지는 브라우저를 통해 이동하므로 브라우저 개발자 도구(F12 > 네트워크 탭)에 전체 교환이 표시됩니다. Network(네트워크) 탭이 열린 상태에서 로그인을 재현하고 POST to SSOLoginResponse.action을 찾습니다. 브라우저가 ISE에 SAML assertion을 전달하는 순간

Client Troubleshooting

ISE 트러블슈팅

ISE에서 구성 요소의 로그 레벨을 변경해야 합니다. Operations(운영) > Troubleshoot(문제 해결) > Debug Wizard(디버그 마법사) > Debug Log Configuration(디버그 로그 컨피그레이션)으로 이동합니다.

구성 요소 이름	로그 레벨	로그 파일 이름
게스트 액세스	디버그	guest.log
포털 웹 작업	디버그	guest.log
opensaml	디버그	ise-psc.log
SAML	디버그	ise-psc.log

올바른 플로우 실행 시 디버깅 작업 집합(ise-psc.log):

1. 사용자가 스폰서 포털에서 IdP URL로 리디렉션됩니다.

2026-08-27 01:55:58,021 DEBUG  [admin-http-pool3][[]] guestaccess.apiservices.portal.view.PortalConfigConverter -
 ::::- hostName =sponsor.n3tgeek.com will be applied to URL!
    reqUtl =https://sponsor.n3tgeek.com:8445/sponsorportal/PortalSetup.action
2026-08-27 01:55:58,036 DEBUG  [https-jsse-nio-192.168.1.204-8445-exec-2][[]]
cisco.ise.portalwebaction.utils.PortalSessionUtil -::::- Portal URL:
    https://sponsor.n3tgeek.com:8445/sponsorportal/PortalSetup.action
2026-08-27 01:55:58,037 DEBUG  cisco.ise.portalwebaction.actions.BasePortalAction -::::-
    Action com.cisco.ise.portalwebaction.actions.PortalSetupAction Complete for request /sponsorportal/PortalSetup.action

2. 브라우저에서 SAML 응답을 수신합니다.

2026-08-27 01:56:19,384 DEBUG cpm.saml.framework.impl.SAMLFacadeImpl -::::-
    SAML Response: statusCode:urn:oasis:names:tc:SAML:2.0:status:Success
IdP URI: https://sts.windows.net//
SP URI: http://CiscoISE/1f789a00-ad9d-4ec0-9a47-ce4909a65db2
Assertion Consumer URL: https://sponsor.n3tgeek.com:8445/sponsorportal/SSOLoginResponse.action

3. 속성(assertion) 구문 분석이 시작됩니다.

cpm.saml.framework.validators.SAMLSignatureValidator -::::- no signature in response
cpm.saml.framework.validators.SAMLSignatureValidator -::::- Validating signature of assertion
org.opensaml.xml.signature.SignatureValidator -::::- Signature validated with key from supplied credential
cpm.saml.framework.validators.SAMLSignatureValidator -::::- Assertion signature validated succesfully
cpm.saml.framework.validators.AssertionValidator -::::- Conditions succesfully validated

4. 사용자 이름 및 그룹 특성(48f07fce-26e5-41e5-a82b-ed095b32bab8)이 어설션에서 추출되고 인증이 통과됩니다.

SAMLUtils::getUserNameFromAssertion: username value from Subject is=[alice@lab.n3tgeek.com]
loginInfo: ... format=urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
[cacheGroupAttr] Adding to cache ExternalGroup values=<48f07fce-26e5-41e5-a82b-ed095b32bab8>
AuthenticatePortalUser - added user groups from SAML response to AuthenticationResult,
    all retrieved groups:[48f07fce-26e5-41e5-a82b-ed095b32bab8]
Authenticate SAML User - result:PASSED

5. 사용자 그룹이 포털에서 사용될 수 있도록 인증 결과에 추가되고 SAML 인증이 전달됩니다.

2020-09-16 10:44:11,320 DEBUG [https-jsse-nio-10.48.23.86-8445-exec-8][] cpm.saml.framework.impl.SAMLFacadeImpl -::::- AuthenticatePortalUser - added user groups from SAML response to AuthenticationResult, all retrieved groups:[f626733b-eb37-4cf2-b2a6-c2895fd5f4d3]
2020-09-16 10:44:11,320 DEBUG [https-jsse-nio-10.48.23.86-8445-exec-8][] cpm.saml.framework.impl.SAMLFacadeImpl -::::- Authenticate SAML User - result:PASSED

패킷 캡처 분석

성공적인 스폰서 로그인 동안 ISE 인터페이스(Operations(운영) > Troubleshoot(문제 해결) > Diagnostic Tools(진단 도구) > TCP Dump)에서 캡처한 캡처에는 두 가지 종류의 트래픽만 표시됩니다. 포털 FQDN의 클라이언트 DNS 확인 및 클라이언트에서 포트 8445의 포털로의 TLS 세션. 포털 FQDN은 TLS SNI(Server Name Indication)로 표시됩니다.

대화	방향	소개
클라이언트 <-> ISE:8445(TLS, SNI = 포털 FQDN)	브라우저 -> PSN	포털 페이지 + SAML 게시물(ACS)
클라이언트 -> DNS: 포털 FQDN	브라우저 -> 확인자	포털 이름 확인
login.microsoftonline.com에 대한 트래픽이 없습니다.	—	IdP 레그는 ISE에 닿지 않습니다.

TLS Client Hello — 포털 이름이 표시되는 위치

모든 것이 암호화되더라도 TLS Client Hello는 일반 텍스트로 전송되며 포털 FQDN을 SNI(Server Name Indication)로 전달합니다. 이는 TCP 스트림을 스폰서 포털에 긍정적으로 일치시킬 수 있는 캡처의 한 위치입니다.

Frame 96: 1981 bytes on wire
Internet Protocol Version 4, Src: 192.168.1.162 (client), Dst: 192.168.1.204 (ISE PSN)
Transmission Control Protocol, Src Port: 43395, Dst Port: 8445
Transport Layer Security
    TLSv1 Record Layer: Handshake Protocol: Client Hello
        Handshake Protocol: Client Hello
            Extension: server_name (len=24)
                Server Name Indication extension
                    Server Name: sponsor.n3tgeek.com
            Extension: supported_versions (len=7) TLS 1.3, TLS 1.2

클라이언트에서 캡처된 동일한 로그인

  8445  sponsor.n3tgeek.com         (x12 -- the portal leg, to ISE)
  443  login.microsoftonline.com   (the IdP leg -- never seen on ISE)
  443  aadcdn.msauth.net           (Microsoft sign-in page assets)
  443  login.live.com / login.microsoft.com
(unrelated background traffic omitted for clarity)

참고: ISE는 스폰서 인증 중에 Entra ID와 통신하지 않습니다. SAML 요청 및 응답은 사용자 브라우저를 통해 이동합니다(리디렉션 및 POST 바인딩). 즉, ISE 노드는 포털 SSO가 작동하기 위해 Microsoft에 대한 아웃바운드 연결이 필요하지 않으며 트러블슈팅 시 IdP 레그를 ISE가 아닌 클라이언트에서 캡처해야 합니다.

개정 이력

개정	게시 날짜	의견
2.0	02-Oct-2026	맞춤법, 문법, 가독성을 위해 개별 섹션에 삽입된 수평선, CCW 오류 수정, 대체 텍스트 업데이트
1.0	19-Oct-2020	최초 릴리스

Cisco 엔지니어가 작성

유진 코르네이추크
Cisco TAC 엔지니어