Resolución de problemas

Errores SAML y OpenID Connect: causa y solución

Encuentre su mensaje de error: cada página da la causa probable y la corrección.

SAML

• «Audiencia no válida» / «Audience restriction»
• «ACS URL incorrecta» / «Recipient» / «Destination»
• «Firma no válida» / «digest mismatch»
• «Certificado desconocido» / «la firma no coincide con ningún certificado»
• «Aserción caducada» / «aún no válida» (NotBefore, NotOnOrAfter)
• «InResponseTo inesperado» / «respuesta no solicitada»
• «NameID ausente» o formato inesperado
• Los atributos (nombre, grupos…) están vacíos
• Bucle de redirección infinito
• El usuario está autenticado pero «acceso denegado»
• «Aserción cifrada» ilegible
• «No se puede decodificar SAMLRequest»
• «Estado: RequestDenied» / «AuthnFailed»

OpenID Connect, OAuth y Entra ID

• invalid_grant: el código o el token de actualización se rechaza
• redirect_uri_mismatch: se rechaza la dirección de retorno
• invalid_client: la aplicación no está autenticada
• invalid_scope: se rechaza el alcance solicitado
• PKCE: falla la verificación del code_verifier
• state o nonce no coincide
• AADSTS50011: la dirección de respuesta no coincide (Entra ID)
• AADSTS700016 / AADSTS50020: la aplicación o la cuenta no existe en este inquilino (Entra ID)
• invalid_token: la API rechaza el token de acceso
• AADSTS65001: se requiere consentimiento (Entra ID)
• AADSTS50105: el usuario no está asignado a la aplicación (Entra ID)
• AADSTS7000215: el secreto de cliente proporcionado no es válido (Entra ID)

Okta, Keycloak, AD FS, Auth0, Cognito y Google

• Okta: el usuario no está asignado a la aplicación (access_denied)
• Okta: el redirect_uri no está en la lista permitida
• Keycloak: «Invalid parameter: redirect_uri»
• Keycloak: «Invalid client credentials» o «Client not found»
• AD FS: MSIS7042, la misma sesión hizo demasiadas solicitudes de inicio de sesión
• AD FS: MSIS7065, ningún controlador de protocolo registrado
• Auth0: «Callback URL mismatch»
• Amazon Cognito: redirect_mismatch
• Google: «Error 400: redirect_uri_mismatch»

¿Tiene un mensaje que esta lista no cubre? Péguelo en el diagnostic.