Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Informações de Apoio

Problema: O certificado não corresponde

Solução

Problema: AADSTS900235 - Problema de contexto de autenticação

Solução

Problema: A resposta SAML não está assinada

Solução

Problema: Problema com as regras da solicitação

Solução

Problema: AADSTS50011 - O URL de resposta não corresponde

Solução

Introduction

Este documento descreve como resolver alguns problemas comuns enfrentados durante a execução da integração de UCCE SSO com o Microsoft Azure IdP.

Contribuído por Anurag Atul Agarwal, engenheiro do TAC da Cisco.

Prerequisites

Requirements

A Cisco recomenda que você tenha conhecimento destes tópicos:

- Security Assertion Markup Language (SAML) 2.0

- Cisco Unified/Packaged Contact Center Enterprise UCCE/PCCE

- Login único (SSO)

- Cisco Identity Service (IdS)

- Provedor de identidade (IdP)

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware:

- IdP do Azure

- UCCE 12.0.1

- Cisco IdS 12.0.1

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

Informações de Apoio

Este documento descreve alguns dos problemas comuns enfrentados durante a integração do Cisco Identity Service (IdS) e do Identity Provider (IdP) para SSO baseado em Azure e suas correções potenciais.  É sempre recomendável reunir esses registros para solucionar problemas com a integração SSO:

- Logs do Cisco IdS: Link para a coleção: Registros IDS

- Logs de console do navegador

- Qualquer registro do IdP

Problema: O certificado não corresponde

O SSO de teste falha com a mensagem 'IdS não conseguiu processar a resposta SAML mesmo que a autenticação tenha sido bem-sucedida' e os registros de IdS imprimem a mensagem de erro: "Falha no processamento da resposta SAML com exceção com.sun.identity.saml2.common.SAML2Exceção: O certificado de assinatura não corresponde ao que está definido nos metadados da entidade'"

Solução

Verifique o certificado e defina o Algoritmo de Assinatura no Azure. Verifique se ele corresponde ao algoritmo hash suportado com base na versão IdS. Consulte o capítulo 'Logon único' no Guia de recursos e verifique o algoritmo hash seguro suportado. Baixe o arquivo de metadados IdP mais recente e faça o upload para o Cisco IdS através da interface de usuário do Identity Service Management.

Problema: AADSTS900235 - Problema de contexto de autenticação

O SSO de teste redireciona para a página da Microsoft e falha com a mensagem: "Desculpe, mas estamos com problemas para entrar."

AADSTS900235: O valor de Comparação de RequestedAuthenticationContext da solicitação de autenticação SAML deve ser Exato. Valor recebido: Mínimo

Solução

AuthContext pode precisar ser ajustado conforme descrito no bug CSCvm69290 . Entre em contato com o Cisco TAC para executar a solução alternativa em IdS.

Problema: A resposta SAML não está assinada

O SSO de teste falha com a mensagem, o IdS não conseguiu processar a resposta SAML mesmo que a autenticação tenha sido bem-sucedida' e os registros de IdS imprimem a mensagem de erro: "Falha no processamento da resposta SAML com exceção com.sun.identity.saml2.common.SAML2Exceção: A resposta não está assinada."

Solução

O IdP do Azure precisa enviar asserção assinada para IdS. Modificar a configuração do Azure para ter a opção de assinatura: Assinar resposta e asserção SAML

Problema: Problema com as regras da solicitação

O SSO de teste falha com a mensagem 'Erro de configuração do IdP : Falha no processamento SAML. Não foi possível recuperar o principal do usuário da resposta SAML.' e os registros de IdS imprimem a mensagem de erro: "Falha no processamento da resposta SAML com exceção com.sun.identity.saml.common.SAMLException: Não foi possível recuperar o principal do usuário da resposta SAML."

Solução

Este erro aponta para 'Nomes de Reivindicação' incorretos configurados no Azure. Isso pode acontecer com outros atributos como UID, NameID etc. e erros semelhantes com nomes de atributo diferentes são gerados. Para corrigir isso, localize qualquer atributo no Azure neste formato, 'schemas.xmlsoap.org/ws/2005/05/identity/claims/<attribute_name>'. Remova tudo antes do nome do atributo real.

Esta seção fornece o exemplo de configuração para ADFS no guia Recursos e que precisa ser replicado no Azure.

Exemplo de configuração de ADFS

Problema: AADSTS50011 - O URL de resposta não corresponde

O SSO de teste redireciona para a página da Microsoft e falha com a mensagem: "Desculpe, mas estamos com problemas para entrar.

AADSTS50011: O URL de resposta especificado na solicitação não corresponde aos URLs de resposta configurados para o aplicativo"

Solução

Entre em contato com o Cisco TAC. O parâmetro 'Assertion Consumer Service' precisa ser verificado na raiz no nó IdS onde isso falha. Se o parâmetro estiver correto, o Microsoft Azure precisa solucionar esse problema.