Fehlerbehebung

SAML- und OpenID-Connect-Fehler: Ursache und Lösung

Finden Sie Ihre Fehlermeldung: Jede Seite nennt die wahrscheinliche Ursache und die Korrektur.

SAML

• „Ungültige Audience“ / „Audience Restriction“
• „Falsche ACS-URL“ / „Recipient“ / „Destination“
• „Ungültige Signatur“ / „Digest Mismatch“
• „Unbekanntes Zertifikat“ / „Signatur passt zu keinem Zertifikat“
• „Abgelaufene Assertion“ / „noch nicht gültig“ (NotBefore, NotOnOrAfter)
• „Unerwartetes InResponseTo“ / „unaufgeforderte Antwort“
• „NameID fehlt“ oder unerwartetes Format
• Die Attribute (Name, Gruppen …) sind leer
• Endlose Weiterleitungsschleife
• Der Benutzer ist authentifiziert, aber „Zugriff verweigert“
• „Verschlüsselte Assertion“ nicht lesbar
• „SAMLRequest lässt sich nicht dekodieren“
• „Status: RequestDenied“ / „AuthnFailed“

OpenID Connect, OAuth und Entra ID

• invalid_grant: Code oder Refresh-Token wird abgelehnt
• redirect_uri_mismatch: die Rückkehradresse wird abgelehnt
• invalid_client: die Anwendung ist nicht authentifiziert
• invalid_scope: der angeforderte Scope wird abgelehnt
• PKCE: Die Prüfung des code_verifier schlägt fehl
• state oder nonce stimmt nicht überein
• AADSTS50011: Die Antwortadresse stimmt nicht überein (Entra ID)
• AADSTS700016 / AADSTS50020: Die Anwendung oder das Konto existiert in diesem Mandanten nicht (Entra ID)
• invalid_token: die API lehnt das Zugriffstoken ab
• AADSTS65001: Zustimmung erforderlich (Entra ID)
• AADSTS50105: Der Benutzer ist der Anwendung nicht zugewiesen (Entra ID)
• AADSTS7000215: Das angegebene Client-Secret ist ungültig (Entra ID)

Okta, Keycloak, AD FS, Auth0, Cognito und Google

• Okta: Der Benutzer ist der Anwendung nicht zugewiesen (access_denied)
• Okta: Der redirect_uri steht nicht in der Erlaubnisliste
• Keycloak: „Invalid parameter: redirect_uri“
• Keycloak: „Invalid client credentials“ oder „Client not found“
• AD FS: MSIS7042, dieselbe Sitzung hat zu viele Anmeldeanfragen gestellt
• AD FS: MSIS7065, kein Protokollhandler registriert
• Auth0: „Callback URL mismatch“
• Amazon Cognito: redirect_mismatch
• Google: „Error 400: redirect_uri_mismatch“

Haben Sie eine Meldung, die diese Liste nicht abdeckt? Fügen Sie sie hier ein: diagnostic.