Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Achtergrondinformatie

Probleem: Certificaat komt niet overeen

Oplossing

Probleem: ADSTS 900235 - Problemen met verificatiecontext

Oplossing

Probleem: SAML-respons wordt niet ondertekend

Oplossing

Probleem: Afgifte met claimregels

Oplossing

Probleem: ADSTS50011 - URL voor antwoord komt niet overeen

Oplossing

Inleiding

In dit document wordt beschreven hoe u problemen kunt oplossen bij het integreren van UCCE SSO's in Microsoft Messenger IDP.

Bijgedragen door Anurag Atul Agarwal, Cisco TAC Engineer.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

- Security Association Markup Language (SAML) 2.0

- Cisco Unified/Packet Contact Center Enterprise UCCE/PCCE

- Enkelvoudige aanmelding (SSO)

- Cisco-identiteitsservice (ID’s)

- Identity Provider (IDP)

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- IDP

- UCS E12.0.1

- Cisco IDs 12.0.1

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk levend is, zorg er dan voor dat u de mogelijke impact van om het even welke opdracht begrijpt.

Achtergrondinformatie

In dit document worden een aantal gemeenschappelijke problemen beschreven waarmee wordt geconfronteerd bij de integratie van Cisco Identity Services (IDS) en Identity Provider (IDP) voor een en hun potentiële oplossingen.  Het wordt altijd aanbevolen om deze bestanden te verzamelen voor problemen met probleemoplossing bij de SSO-integratie:

- Cisco IDs-loggen: Verband met verzameling: IDS-logboeken

- browser-console

- Alle logbestanden van IDP

Probleem: Certificaat komt niet overeen

Test SSO faalt met bericht 'IDs kon de SAML-respons niet verwerken, hoewel de authenticatie succesvol was en IDs-logboeken de foutmelding afdrukken: "SAML-responsverwerking is mislukt met uitzondering van com.sun.Identity.saml2.common.SAML2Exception: Het ondertekeningscertificaat komt niet overeen met wat is gedefinieerd in de "metadata van de entiteit"

Oplossing

Controleer het certificaat en de instelling van Signing Algorithm in de KRI-modus. Zorg ervoor dat deze overeenkomt met het ondersteunde hashalgoritme op basis van de IDS-versie. Raadpleeg Hoofdstuk 'Single Sign-On' in Functiegids en controleer het ondersteunde veilige algoritme. Download het laatste IDP-metagegevensbestand en uploaden het naar Cisco IDS via de gebruikersinterface voor Identity Service Management.

Probleem: ADSTS 900235 - Problemen met verificatiecontext

Test SSO's omleiden naar Microsoft pagina en mislukt met bericht: "Sorry, maar we kunnen je niet opgeven."

ADSTS 900235: De Vergelijkingswaarde van de SAML-verificatieaanvraag moet exact zijn. Ontvangen waarde: Minimaal

Oplossing

AuthContext moet mogelijk worden afgestemd op de bug CSCvm69290 . Neem contact op met Cisco TAC om het werkgebied in IDs uit te voeren.

Probleem: SAML-respons wordt niet ondertekend

Test SSO faalt met bericht, IDS kon de SAML-respons niet verwerken, hoewel de authenticatie succesvol was en IDs-logboeken de foutmelding afdrukken: "SAML-responsverwerking is mislukt met uitzondering van com.sun.Identity.saml2.common.SAML2Exception: Response is niet getekend."

Oplossing

IDP moet ondertekende aanname naar IDS sturen. Wijzig instelling om gebarenteringsoptie te krijgen: Sign SAML reactie en bewering

Probleem: Afgifte met claimregels

Test SSO faalt met bericht 'IDP configuratie error: SAML-verwerking is mislukt. Het is niet mogelijk om het hoofd van de gebruiker terug te halen uit de SAML respons. " en IDs-logbestanden afdrukken de foutmelding: "SAML reactie verwerking faalde met uitzondering van com.sun.Identity.saml.common.SAMLExeption: Kon het hoofd van de gebruiker niet terugkrijgen van de SAML respons."

Oplossing

Deze fout wijst op verkeerde 'Claim Name' in de Kuurtijd. Dit zou kunnen gebeuren met andere eigenschappen zoals UID, NameID enz. en soortgelijke fouten met verschillende attributennamen worden gegenereerd. Om dit te repareren, moet u elke eigenschap in deze indeling vinden: 'schemas.xmlsoap.org/ws/2005/05/identity/claims/<attribuut_name>'. Verwijder alles vóór de eigenlijke attributennaam.

Dit deel geeft de voorbeeldconfiguratie voor ADFS in de Functiehandleiding en die moet worden gerepliceerd in de KRI.

Configuratie van ADFS-voorbeelden

Probleem: ADSTS50011 - URL voor antwoord komt niet overeen

Test SSO's omleiden naar Microsoft pagina en mislukt met bericht: "Sorry, maar we kunnen je niet opgeven.

ADSTS 50011: De URL die in het verzoek wordt gespecificeerd, komt niet overeen met de URL die voor de toepassing is ingesteld"

Oplossing

Neem contact op met Cisco TAC. De parameter klantenservice van de 'beoordeling' moet bij wortel op het IDS-knooppunt worden gecontroleerd wanneer dit mislukt. Als de parameter juist is, moet Microsoft Messenger dit problemen oplossen.