ISE 2.3 Guest Portal configureren met OKTA SAML SSO

Inleiding

In dit document wordt beschreven hoe u Identity Services Engine (ISE) kunt integreren met OKTA, zodat u de verificatie Security Assertion Markup Language Single Sign-On (SAML SSO) voor het gastenportaal kunt bieden.

Voorwaarden

Vereisten

Cisco raadt kennis van de volgende onderwerpen aan:

• Gastservices van Cisco Identity Services Engine. 
• SAML SSO. 
• (optioneel) WLC-configuratie (Wireless LAN Controller).

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Engine voor identiteitsdiensten 2.3.0.298
• OKTA SAML SSO-toepassing
• Cisco 5500 draadloze controller versie 8.3.141.0
• Lenovo Windows 7

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

Federatieve SSO

Een gebruiker binnen een organisatie kan zich één keer authenticeren en vervolgens toegang hebben tot meerdere bronnen. Deze identiteit die in organisaties wordt gebruikt, wordt federatieve identiteit genoemd.

Het begrip federatie:

• Principe: Eindgebruiker (degene die een service aanvraagt), webbrowser, in dit geval, is het eindpunt.
• Serviceprovider (SP): soms ook wel vertrouwende partij (RP) genoemd, het systeem dat een service levert, in dit geval ISE.
• Identiteitsprovider (IdP): die de authenticatie, autorisatieresultaat en attributen beheert die worden teruggestuurd naar SP, in dit geval OKTA.
• Bewering: de gebruikersinformatie die door IdP naar SP wordt verzonden.

Verschillende protocollen implementeren SSO zoals OAuth2 en OpenID. ISE gebruikt SAML.

SAML is een op XML gebaseerd raamwerk dat het gebruik en de uitwisseling van SAML-beweringen op een veilige manier tussen zakelijke entiteiten beschrijft. De standaard beschrijft de syntaxis en regels om deze beweringen aan te vragen, te maken, te gebruiken en uit te wisselen.

ISE gebruikt de SP-geïnitieerde modus. De gebruiker wordt doorgestuurd naar het gastportaal en vervolgens wordt het doorgestuurd naar IdP om te verifiëren. Daarna gaat het terug naar ISE. Het verzoek wordt gevalideerd, de gebruiker gaat door met gasttoegang of aan boord, afhankelijk van de portalconfiguratie.

netwerkstroom

1. De gebruiker maakt verbinding met de SSID en de verificatie is mac-filtering (mab).
   
   
2. ISE reageert terug met access-accept dat Redirect-URL en Redirect-ACL attributen bevat
   
3. Gebruiker probeert toegang te krijgen tot www.facebook.com.
   
4. WLC onderschept het verzoek en leidt de gebruiker door naar het ISE-gastenportaal, de gebruiker klikt op toegang van werknemers om het apparaat met SSO-referenties te registreren.
   
5. ISE leidt de gebruiker om naar de OKTA-toepassing voor verificatie.
   
6. Na succesvolle authenticatie stuurt OKTA de SAML-assertierespons naar de browser.
   
7. Browser geeft de bewering terug aan ISE.
   
8. ISE verifieert de assertierespons en als de gebruiker correct is geverifieerd, gaat deze verder naar AUP en vervolgens met apparaatregistratie.

Check de onderstaande link voor meer informatie over SAML

https://developer.okta.com/standards/SAML/

Configureren

Stap 1. Configureer SAML Identity Provider en Guest Portal op ISE.

1. Externe identiteitsbron voorbereiden.

Stap 1. Navigeer naar Beheer > Externe identiteitsbronnen > SAML ID-providers.

 Stap 2. Wijs een naam toe aan de id-provider en dien de configuratie in.

2. Portal voor SSO maken.

Stap 1. Maak het portaal dat aan OKTA is toegewezen als identiteitsbron. Elke andere configuratie voor BYOD, apparaatregistratie, Gast ... enz. is precies hetzelfde als voor de normale portal. In dit document wordt het portaal toegewezen aan het gastenportaal als een alternatieve login voor Employee.

Stap 2. Navigeer naar Werkcentra > Gasttoegang > Portalen en onderdelen en maak het portaal.

Stap 3. Kies de verificatiemethode om naar de eerder geconfigureerde identiteitsprovider te verwijzen.

Stap 4. Kies een OKTA-identiteitsbron als verificatiemethode.

(optioneel) kies de BYOD-instellingen.

Stap 5. Sla de portaalconfiguratie op, met BYOD ziet de stroom er als volgt uit:

3. Alternatieve aanmelding configureren.

Opmerking: U kunt dit onderdeel overslaan als u geen gebruik maakt van de alternatieve login.

Navigeer naar het zelf-registrerende Guest Portal of een andere portal die is aangepast voor toegang voor gasten.

Voeg op de instellingen van de aanmeldingspagina het alternatieve aanmeldportaal toe: OKTA_SSO.

Dit is nu de portaalstroom.

Stap 2. De instellingen van de OKTA-toepassing en de SAML Identity Provider configureren.

1. OKTA-toepassing maken.

Stap 1. Meld u aan bij de website van OKTA met een beheerdersaccount.

Stap 2. Klik op Toepassing toevoegen.

Stap 3. Maak een nieuwe app, kies voor SAML2.0

Algemene instellingen

Stap 4. Download het certificaat en installeer het in ISE Trusted Certificates.

2. SP-informatie exporteren van SAML Identity Provider.

Navigeer naar de eerder geconfigureerde Identity Provider. Klik op Serviceproviderinformatie en exporteer deze, zoals weergegeven in de afbeelding.

De geëxporteerde zip-map bevat XML-bestand en readme.txt

Voor sommige Identity providers kunt u de XML direct importeren, maar in dit geval moet deze handmatig worden geïmporteerd.

• URL voor eenmalige aanmelding (kleine opmerking )
  
  

  Location="https://10.48.35.19:8443/portal/SSOLoginResponse.action"
  Location="https://10.48.17.71:8443/portal/SSOLoginResponse.action" 

  Location="https://isepan.bikawi.lab:8443/portal/SSOLoginResponse.action" 
  Location="https://isespan.bikawi.lab:8443/portal/SSOLoginResponse.action"

• ID SP-entiteit

entityID="http://CiscoISE/9c969a72-b9cd-11e8-a542-d2e41bbdc546"

De SSO-URL is beschikbaar in IP-adres en FQDN-indeling.

Let op: De keuze van de indeling is afhankelijk van de instellingen voor omleiding in het autorisatieprofiel. Als u statische ip gebruikt, moet u het IP-adres gebruiken voor de SSO-URL.

3. OKTA SAML-instellingen.

Stap 1. Voeg die URL's toe aan de SAML-instellingen.

Stap 2. U kunt meer dan één URL toevoegen uit het XML-bestand, op basis van het aantal PSN's dat deze service host. De naam-ID-indeling en de gebruikersnaam van de toepassing zijn afhankelijk van uw ontwerp.

<?xml version="1.0" encoding="UTF-8"?>
<saml2:Assertion
    xmlns:saml2="urn:oasis:names:tc:SAML:2.0:assertion" ID="id127185945833795871212409124" IssueInstant="2018-09-21T15:47:03.790Z" Version="2.0">
    <saml2:Issuer Format="urn:oasis:names:tc:SAML:2.0:nameid-format:entity">http://www.okta.com/Issuer</saml2:Issuer>
    <saml2:Subject>
        <saml2:NameID Format="urn:oasis:names:tc:SAML:1.1:nameid-format:x509SubjectName">userName</saml2:NameID>
        <saml2:SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer">
            <saml2:SubjectConfirmationData NotOnOrAfter="2018-09-21T15:52:03.823Z" Recipient="https://isespan.bikawi.lab:8443/portal/SSOLoginResponse.action"/>
        </saml2:SubjectConfirmation>
    </saml2:Subject>
    <saml2:Conditions NotBefore="2018-09-21T15:42:03.823Z" NotOnOrAfter="2018-09-21T15:52:03.823Z">
        <saml2:AudienceRestriction>
            <saml2:Audience>http://CiscoISE/9c969a72-b9cd-11e8-a542-d2e41bbdc546</saml2:Audience>
        </saml2:AudienceRestriction>
    </saml2:Conditions>
    <saml2:AuthnStatement AuthnInstant="2018-09-21T15:47:03.790Z">
        <saml2:AuthnContext>
            <saml2:AuthnContextClassRef>urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport</saml2:AuthnContextClassRef>
        </saml2:AuthnContext>
    </saml2:AuthnStatement>
</saml2:Assertion>

Stap 3. Klik op Volgende en kies de tweede optie.

 4. Metagegevens uit de toepassing exporteren.

Metagegevens:

<md:EntityDescriptor xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata" entityID="http://www.okta.com/exk1rq81oEmedZSf4356">
<md:IDPSSODescriptor WantAuthnRequestsSigned="false" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol">
<md:KeyDescriptor use="signing">
<ds:KeyInfo xmlns:ds="http://www.w3.org/2000/09/xmldsig#">
<ds:X509Data>
<ds:X509Certificate>
MIIDrDCCApSgAwIBAgIGAWWPlTasMA0GCSqGSIb3DQEBCwUAMIGWMQswCQYDVQQGEwJVUzETMBEG A1UECAwKQ2FsaWZvcm5pYTEWMBQGA1UEBwwNU2FuIEZyYW5jaXNjbzENMAsGA1UECgwET2t0YTEU MBIGA1UECwwLU1NPUHJvdmlkZXIxFzAVBgNVBAMMDmNpc2NvLXlhbGJpa2F3MRwwGgYJKoZIhvcN AQkBFg1pbmZvQG9rdGEuY29tMB4XDTE4MDgzMTEwNDMwNVoXDTI4MDgzMTEwNDQwNVowgZYxCzAJ BgNVBAYTAlVTMRMwEQYDVQQIDApDYWxpZm9ybmlhMRYwFAYDVQQHDA1TYW4gRnJhbmNpc2NvMQ0w CwYDVQQKDARPa3RhMRQwEgYDVQQLDAtTU09Qcm92aWRlcjEXMBUGA1UEAwwOY2lzY28teWFsYmlr YXcxHDAaBgkqhkiG9w0BCQEWDWluZm9Ab2t0YS5jb20wggEiMA0GCSqGSIb3DQEBAQUAA4IBDwAw ggEKAoIBAQClP7DvzVng7wSQWVOzgShwn+Yq2U4f3kbVgXWGuM0a7Bk6lAUBoq485EQJ1+heB/6x IMt8u1Z8HUsOspBECLYcI75gH4rpc2FM4kzZiDbNLb95AW6dlUztC66x42uhRYgduD5+w3/yvdwx l99upWb6SdRtnwK8cx7AyIJA4E9KK22cV3ek2rFTrMEC5TT5iEDsnVzC9Bs9a1SRIjiadvhCSPdy +qmMx9eFtZwzNl/g/vhS5F/CoC6EfOsFPr6aj/1PBeZuWuWjBFHW3Zy7hPEtHgjYQO/7GRK2RzOj bSZgeAp5YyytjA3NCn9x6FMY5Rppc3HjtG4cjQS/MQVaJpn/AgMBAAEwDQYJKoZIhvcNAQELBQAD ggEBAJUK5zGPZwxECv5dN6YERuV5C5eHUXq3KGul2yIfiH7x8EartZ4/wGP/HYuCNCNw3HTh+6T3 oLSAevm6U3ClNELRvG2kG39b/9+ErPG5UkSQSwFekP+bCqd83Jt0kxshYMYHi5FNB5FCTeVbfqRI TJ2Tq2uuYpSveIMxQmy7r5qFziWOTvDF2Xp0Ag1e91H6nbdtSz3e5MMSKYGr9HaigGgqG4yXHkAs 77ifQOnRz7au0Uo9sInH6rWG+eOesyysecPuWQtEqNqt+MyZnlCurJ0e+JTvKYH1dSWapM1dzqoX OzyF7yiId9KPP6I4Ndc+BXe1dA8imneYy5MHH7/nE/g=
</ds:X509Certificate>
</ds:X509Data>
</ds:KeyInfo>
</md:KeyDescriptor>
<md:NameIDFormat>
urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified
</md:NameIDFormat>
<md:NameIDFormat>
urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
</md:NameIDFormat>
<md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="https://cisco-yalbikaw.okta.com/app/ciscoorg808433_iseokta_2/exk1rq81oEmedZSf4356/sso/saml"/>
<md:SingleSignOnService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect" Location="https://cisco-yalbikaw.okta.com/app/ciscoorg808433_iseokta_2/exk1rq81oEmedZSf4356/sso/saml"/>
</md:IDPSSODescriptor>
</md:EntityDescriptor>

Sla het bestand op in XML-indeling.

5. Gebruikers toewijzen aan de toepassing.

Als u gebruikers aan deze toepassing toewijst, is er een manier voor AD-integratie, zoals wordt uitgelegd in: okta-active directory

6. Metagegevens importeren van Idp naar ISE.

Stap 1. Selecteer onder SAML Identity Provider de optie Identity Provider Config. en Importeer Metagegevens.

Stap 2. Sla de configuratie op.

Stap 3.CWA-configuratie.

In dit document wordt de configuratie voor ISE en WLC beschreven.

https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/115732-central-web-auth-00.html

URL's toevoegen in Redirect-ACL.

https://cisco-yalbikaw.okta.com / voeg uw applicatie-URL toe

https://login.okta.com

Verifiëren

Test het portaal en controleer of u de OKTA-toepassing kunt bereiken

Stap 1. Klik op de portal test, dan moet u worden omgeleid naar SSO applicatie.

Stap 2. Controleer de verbinding van de informatie met <naam van toepassing>

Stap 3. Als u de referenties invoert die u mogelijk ziet, betekent dit niet noodzakelijk dat de configuratie op dit moment verkeerd is.

Verificatie van eindgebruiker

 ISE-verificatie 

Controleer de levenslogboeken om de verificatiestatus te controleren.

Problemen oplossen

 OKTA-probleemoplossing

Stap 1. Controleer de logs op het tabblad Rapporten.

Stap 2. Ook vanuit de applicatieweergave de gerelateerde logs.

ISE-probleemoplossing

Er zijn twee logbestanden om te controleren

• ISE-PSC.log
•  guest.log 

Navigeer naar Beheer > Systeem > Logboekregistratie > Logboekconfiguratie voor foutopsporing. Schakel het niveau in voor DEBUG.

SAML	ISE-PSC.log
toegang voor gasten	guest.log
portaal	guest.log

De tabel toont de component die moet debuggen en het bijbehorende logbestand.

Gemeenschappelijke problemen en oplossingen

Scenario 1. Slechte SAML-aanvraag.

Deze fout is generiek, controleer de logs om de stroom te controleren en het probleem te lokaliseren. Op ISE guest.log:

ISE# toon logboekregistratie toepassing guest.log | laatste 50 

2018-09-30 01:32:35,624 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.configmanager.SSOLoginConfigHandler -::- SSOLoginTransitionResult: SSOLoginTransitionResult:

        Portal Name: OKTA_SSO
        Portal ID: 9c969a72-b9cd-11e8-a542-d2e41bbdc546
        Portal URL: https://isespan.bikawi.lab:8443/portal/SSOLoginResponse.action
        Identity Provider: com.cisco.cpm.acs.im.identitystore.saml.IdentityProvider@56c50ab6
2018-09-30 01:32:35,624 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.configmanager.SSOLoginConfigHandler -::- portalSessionInfo: portalId=9c969a72-b9cd-11e8-a542-d2e41bbdc546;portalSessionId=6770f0a4-bc86-4565-940a-b0f83cbe9372;radiusSessi
onId=0a3e949b000002c55bb023b3;
2018-09-30 01:32:35,624 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.configmanager.SSOLoginConfigHandler -::- no Load balancer is configured; no redirect should be made
2018-09-30 01:32:35,624 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.configmanager.SSOLoginConfigHandler -::- No redirect manipulation is required - start the SAML flow with 'GET'...
2018-09-30 01:32:35,626 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.configmanager.SSOLoginConfigHandler -::- Redirect to IDP: https://cisco-yalbikaw.okta.com/app/ciscoorg808433_iseokta_2/exk1rq81oEmedZSf4356/sso/saml?SAMLRequest=nZRdb9owF
Ib%2FSuT7EJMPIBahYpRqkWBlJOxiN5XtHFprwc5sQ%2Bm%2Fn0NKi%2FZRoeUyPu95j9%2FzJOOb4672DqCNUDJD%2FR5GHkiuKiEfM7Qp7%2FwRupmMDd3VDZnu7ZNcw889GOs5nTTkdJChvZZEUSMMkXQHhlhOiulyQcIeJo1WVnFVI29qDGjrjGZKmv0OdAH6IDhs1osMPVnbGBIEwoBpqOwx8YM%2Bi15NGRnFcRQ0SltaB0Vxv1CPwo1hGtcFepS3HZF3pzS
H04QZ2tLaAPLy2ww9pDwdpHQY%2Bizlld%2Fvw8inSRz6VQhxn7GKJ%2FHg4Xa%2ByJd5OV93Lnn1MP%2B6mS6Kq8TFfJl3ugJMm%2BObfDAc4i2msc%2F4aODHySDx0xhTn%2BHtKOIM0mgYnuSaVmJvfpdjGkEapwy3T8iThDEcRiw6Sd5n%2FjMxd3Wzoq7ZAd7DMGYPuTSWSpuhEPdHPk79CJe4T6KQRElvECbfkbd6XdcnITsIPtot64oM%2BVyWK391X5TI%
2B3aGyRWgMzond309NPSMCpq0YDguZsJwlRfz4JqdjINL226IsCFfnE9%2Bu1K14C8Xs4TXE1zX6nmmgdq3YIO37q9fBlQnCh3jFo72v2xmatdQLUybIhwd4a85ksvOs9qFtIbthcPVmX5YxglvW7vXLUPPSlctE8DdzUpNpWlZ7wL%2B6zyT7uxfgUzOu7n8m0x%2BAQ%3D%3D&RelayState=_9c969a72-b9cd-11e8-a542-d2e41bbdc546_DELIMITERport
alId_EQUALS9c969a72-b9cd-11e8-a542-d2e41bbdc546_SEMIportalSessionId_EQUALS6770f0a4-bc86-4565-940a-b0f83cbe9372_SEMIradiusSessionId_EQUALS0a3e949b000002c55bb023b3_SEMI_DELIMITERisespan.bikawi.lab
2018-09-30 01:32:35,626 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.utils.Combiner -::- combined map: {redirect_required=TRUE, sso_login_action_url=https://cisco-yalbikaw.okta.com/app/ciscoorg808433_iseokta_2/exk1rq81oEmedZSf4356/sso/saml
?SAMLRequest=nZRdb9owFIb%2FSuT7EJMPIBahYpRqkWBlJOxiN5XtHFprwc5sQ%2Bm%2Fn0NKi%2FZRoeUyPu95j9%2FzJOOb4672DqCNUDJD%2FR5GHkiuKiEfM7Qp7%2FwRupmMDd3VDZnu7ZNcw889GOs5nTTkdJChvZZEUSMMkXQHhlhOiulyQcIeJo1WVnFVI29qDGjrjGZKmv0OdAH6IDhs1osMPVnbGBIEwoBpqOwx8YM%2Bi15NGRnFcRQ0SltaB0Vxv
1CPwo1hGtcFepS3HZF3pzSH04QZ2tLaAPLy2ww9pDwdpHQY%2Bizlld%2Fvw8inSRz6VQhxn7GKJ%2FHg4Xa%2ByJd5OV93Lnn1MP%2B6mS6Kq8TFfJl3ugJMm%2BObfDAc4i2msc%2F4aODHySDx0xhTn%2BHtKOIM0mgYnuSaVmJvfpdjGkEapwy3T8iThDEcRiw6Sd5n%2FjMxd3Wzoq7ZAd7DMGYPuTSWSpuhEPdHPk79CJe4T6KQRElvECbfkbd6XdcnITsIP
tot64oM%2BVyWK391X5TI%2B3aGyRWgMzond309NPSMCpq0YDguZsJwlRfz4JqdjINL226IsCFfnE9%2Bu1K14C8Xs4TXE1zX6nmmgdq3YIO37q9fBlQnCh3jFo72v2xmatdQLUybIhwd4a85ksvOs9qFtIbthcPVmX5YxglvW7vXLUPPSlctE8DdzUpNpWlZ7wL%2B6zyT7uxfgUzOu7n8m0x%2BAQ%3D%3D&RelayState=_9c969a72-b9cd-11e8-a542-d2e4
1bbdc546_DELIMITERportalId_EQUALS9c969a72-b9cd-11e8-a542-d2e41bbdc546_SEMIportalSessionId_EQUALS6770f0a4-bc86-4565-940a-b0f83cbe9372_SEMIradiusSessionId_EQUALS0a3e949b000002c55bb023b3_SEMI_DELIMITERisespan.bikawi.lab}
2018-09-30 01:32:35,626 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.controller.PortalStepController -::- targetUrl: pages/ssoLoginRequest.jsp
2018-09-30 01:32:35,626 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.controller.PortalStepController -::- portalId: 9c969a72-b9cd-11e8-a542-d2e41bbdc546
2018-09-30 01:32:35,626 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.controller.PortalStepController -::- webappPath: /portal
2018-09-30 01:32:35,626 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.controller.PortalStepController -::- portalPath: /portal/portals/9c969a72-b9cd-11e8-a542-d2e41bbdc546
2018-09-30 01:32:35,626 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.controller.PortalPreResultListener -::- No page transition config. Bypassing transition.
2018-09-30 01:32:35,627 DEBUG  [https-jsse-nio-10.48.17.71-8443-exec-2][] cisco.ise.portalwebaction.controller.PortalFlowInterceptor -::- result: success

ISE heeft de gebruiker met succes omgeleid naar IDP. Er wordt echter niet op ISE gereageerd en het slechte SAML-verzoek wordt weergegeven. Identificeer dat OKTA ons SAML-verzoek niet accepteert, hieronder is het verzoek.

https://cisco-yalbikaw.okta.com/app/ciscoorg808433_iseokta_2/exk1rq81oEmedZSf4356/sso/saml?SAMLRequest=nZRdb9owF
Ib%2FSuT7EJMPIBahYpRqkWBlJOxiN5XtHFprwc5sQ%2Bm%2Fn0NKi%2FZRoeUyPu95j9%2FzJOOb4672DqCNUDJD%2FR5GHkiuKiEfM7Qp7%2FwRupmMDd3VDZnu7ZNcw889GOs5nTTkdJChvZZEUSMMkXQHhlhOiulyQcIeJo1WVnFVI29qDGjrjGZKmv0OdAH6IDhs1osMPVnbGBIEwoBpqOwx8YM%2Bi15NGRnFcRQ0SltaB0Vxv1CPwo1hGtcFepS3HZF3pzS
H04QZ2tLaAPLy2ww9pDwdpHQY%2Bizlld%2Fvw8inSRz6VQhxn7GKJ%2FHg4Xa%2ByJd5OV93Lnn1MP%2B6mS6Kq8TFfJl3ugJMm%2BObfDAc4i2msc%2F4aODHySDx0xhTn%2BHtKOIM0mgYnuSaVmJvfpdjGkEapwy3T8iThDEcRiw6Sd5n%2FjMxd3Wzoq7ZAd7DMGYPuTSWSpuhEPdHPk79CJe4T6KQRElvECbfkbd6XdcnITsIPtot64oM%2BVyWK391X5TI%
2B3aGyRWgMzond309NPSMCpq0YDguZsJwlRfz4JqdjINL226IsCFfnE9%2Bu1K14C8Xs4TXE1zX6nmmgdq3YIO37q9fBlQnCh3jFo72v2xmatdQLUybIhwd4a85ksvOs9qFtIbthcPVmX5YxglvW7vXLUPPSlctE8DdzUpNpWlZ7wL%2B6zyT7uxfgUzOu7n8m0x%2BAQ%3D%3D&RelayState=_9c969a72-b9cd-11e8-a542-d2e41bbdc546_DELIMITERport
alId_EQUALS9c969a72-b9cd-11e8-a542-d2e41bbdc546_SEMIportalSessionId_EQUALS6770f0a4-bc86-4565-940a-b0f83cbe9372_SEMIradiusSessionId_EQUALS0a3e949b000002c55bb023b3_SEMI_DELIMITERisespan.bikawi.lab

Controleer nu opnieuw de toepassing, misschien zijn er wijzigingen aangebracht.

De SSO-URL gebruikt echter het IP-adres, de gast verzendt FQDN zoals we kunnen zien in het verzoek boven de laatste regel bevat SEMI_DELIMITER<FQDN> om dit probleem op te lossen en het IP-adres te wijzigen in FQDN op OKTA-instellingen.

Scenario 2: "Er was een probleem met de toegang tot de site. Neem contact op met de helpdesk voor hulp."

Guest.log 

2018-09-30 02:25:00,595 ERROR  [https-jsse-nio-10.48.17.71-8443-exec-1][] guestaccess.flowmanager.step.guest.SSOLoginStepExecutor -::- SSO Authentication failed or unknown user, authentication result=FAILED, isFailedLogin=true, reason=24823 Assertion does not contain ma
tching service provider identifier in the audience restriction conditions
2018-09-30 02:25:00,609 ERROR  [https-jsse-nio-10.48.17.71-8443-exec-1][] guestaccess.flowmanager.step.guest.SSOLoginStepExecutor -::- Login error with idp

Uit de logs meldt ISE dat de bewering niet juist is. Controleer OKTA Audience URI om te controleren of deze overeenkomt met de SP om deze op te lossen.

Scenario 3. Omgeleid naar de lege pagina, of de aanmeldingsoptie wordt niet weergegeven.

Het hangt af van de omgeving en de portalconfiguratie. In dit soort problemen moet u de OKTA-toepassing controleren en welke URL vereist is om te verifiëren. Klik op de portaaltest en inspecteer vervolgens het element om te controleren welke websites bereikbaar moeten zijn.

In dit scenario zijn slechts twee URL's: applicatie en login.okta.com - die moeten worden toegestaan op de WLC.

Gerelateerde informatie 

• https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine-21/200551-Configure-ISE-2-1-Guest-Portal-with-Pin.html
  
• https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine-23/213352-configure-ise-2-3-sponsor-portal-with-ms.html
  
• https://www.safaribooksonline.com/library/view/ccna-cyber-ops/9780134609003/ch05.html
  
• https://www.safaribooksonline.com/library/view/spring-security-essentials/9781785282621/ch02.html
  
• https://developer.okta.com