Fehlerbehebung
Die Fehlermeldung hängt vom Werkzeug ab, die Ursachen sind aber fast immer dieselben. Finden Sie Ihre.
Tipp: Fügen Sie die SAML-Antwort in den Decoder ein oder nutzen Sie den Test-SP, um genau zu sehen, welche Prüfung fehlschlägt.
Wahrscheinliche Ursache. Die Assertion ist für einen anderen Anwendungsnamen bestimmt als den, den die Anwendung erwartet. Der Unterschied kann ein einzelnes Zeichen sein: Schrägstrich am Ende, http statt https, URL statt URN, Großbuchstaben.
Wahrscheinliche Ursache. Die Adresse, an die der IdP die Antwort sendet, ist nicht exakt die der Anwendung. Häufiger Fall: Ein Reverse-Proxy macht intern aus https ein http oder fügt einen Pfad hinzu.
Wahrscheinliche Ursache. Der Inhalt wurde nach der Signierung geändert oder eine Komponente hat das XML unterwegs neu formatiert (Gateway, Web-Virenscanner, Copy-and-paste).
SAMLResponse), ohne sie zu verändern. Prüfen Sie, dass die Base64-Kodierung nicht durch Zeilenumbrüche zerstört oder doppelt kodiert wurde.Wahrscheinliche Ursache. Das in der Anwendung konfigurierte Zertifikat ist nicht das, mit dem signiert wird. Sehr oft hat der IdP sein Zertifikat erneuert und die Anwendung das alte behalten.
Wahrscheinliche Ursache. Die Uhren von Anwendungsserver und IdP sind nicht synchronisiert, oder der Gültigkeitszeitraum ist sehr kurz.
Wahrscheinliche Ursache. Die Anwendung findet die Anfrage nicht, auf die sich die Antwort bezieht: zwischenzeitlich verlorene Sitzung (blockiertes Cookie, anderer Browser, anderer Tab), mehrere Server ohne Sitzungsteilung oder eine vom IdP gestartete Anmeldung, die die Anwendung untersagt.
Wahrscheinliche Ursache. Die Anwendung erwartet eine E-Mail-Adresse und der IdP sendet einen opaken Bezeichner (oder umgekehrt).
emailAddress oder persistent auf beiden Seiten, und prüfen Sie, ob der IdP den passenden Wert für den Benutzer hat.Wahrscheinliche Ursache. Der IdP sendet das Attribut nicht oder unter einem anderen Namen (mail, email oder ein langer Name im URI-Stil).
Wahrscheinliche Ursache. Die Anwendung kann nach der Antwort ihre Sitzung nicht erstellen (blockiertes Cookie, Secure bei internem http oder ein ACS, der selbst zur Anmeldung umleitet).
Secure, SameSite) und ob der ACS nicht durch genau die Anmeldung geschützt ist, die er abschließen soll.Wahrscheinliche Ursache. Auf IdP-Seite ist der Benutzer der Anwendung nicht zugewiesen, oder seine Gruppen passen nicht zu den Regeln der Anwendung.
Wahrscheinliche Ursache. Der IdP verschlüsselt Assertions, aber die Anwendung hat den Entschlüsselungsschlüssel nicht, oder dem IdP wurde das falsche Verschlüsselungszertifikat gegeben.
use="encryption") und behalten Sie den passenden privaten Schlüssel. ID-Kit entschlüsselt noch nicht: Deaktivieren Sie die Verschlüsselung für den Test.Wahrscheinliche Ursache. Beim Redirect-Binding wird die Anfrage vor dem Base64 komprimiert (Deflate). Ein Werkzeug, das nur Base64 dekodiert, sieht unleserliche Zeichen.
Wahrscheinliche Ursache. Der IdP lehnt ab: unbekannte Anwendung (nicht deklarierte Entity ID), nicht deklarierter ACS, unbekannter Benutzer oder fehlgeschlagene Authentifizierung.
Möchten Sie es live sehen? ID-Kit übernimmt die Rolle, die Ihnen fehlt, und zeigt Ihnen jeden Schritt.