Solucionar errores de SAML

Describe cómo solucionar errores comunes de SAML.

Solicitud no válida: conexión deshabilitada

Causa

Este mensaje indica que la aplicación no tiene ninguna conexión activa asociada.

Solución

1. Ve a Authentication > Enterprise.
2. Haz clic en SAML.
3. Haz clic en la conexión que quieras comprobar.
4. Haz clic en la pestaña Applications.
5. Habilita al menos una aplicación (si no ves ninguna en la lista, tendrás que crear una aplicación antes de continuar).

Aplicación predeterminada para inicio de sesión iniciado por IdP no configurada

Causa

Este error aparece si no ha proporcionado la información necesaria para admitir los flujos de inicio de sesión iniciados por el IdP.

Solución

1. Vaya a Authentication > Enterprise.
2. Haga clic en SAML
3. Haga clic en la conexión que quiere comprobar.
4. Cambie a la pestaña IdP-Initiated SSO.
5. Seleccione Accept Requests y, a continuación, la Aplicación predeterminada y el Protocolo de respuesta que usa esa aplicación; opcionalmente, especifique cualquier parámetro adicional que quiera pasar a la aplicación.
6. Haga clic en Save Changes.

Solución de problemas del inicio de sesión iniciado por SP

Si ve este error al usar un flujo iniciado por SP, falta uno de los siguientes elementos o está vacío:

• El parámetro RelayState
• El atributo InResponseTo en la respuesta SAML

Si faltan o están vacíos, Auth0 trata el inicio de sesión como iniciado por IdP. Puede corregir este error revisando la configuración para asegurarse de que ambos campos estén rellenos y se devuelvan correctamente.

Falta el parámetro RelayState

Causa

Este error se produce cuando el Proveedor de identidad no devuelve el parámetro RelayState junto con la respuesta.

Solución

Trabaje con el Proveedor de identidad para asegurarse de que devuelva el parámetro RelayState.

La audiencia es inválida

Este error se produce si el valor del elemento audience de la respuesta SAML del Proveedor de identidad no coincide con el valor que espera Auth0. Auth0 espera que el valor sea el ID de entidad de la conexión.

Solución

1. Vaya a Authentication > Enterprise.
2. Haga clic en SAML.
3. Haga clic en la conexión que quiera comprobar.
4. En la pestaña Setup, dentro de la sección Common Settings, el Entity ID es el segundo parámetro proporcionado. Asegúrese de que el Proveedor de identidad envíe el valor correcto de audience en la respuesta SAML.

Se especificó un protocolo incorrecto

Hay un protocolo de respuesta incorrecto en la pestaña IdP-Initiated. El protocolo de respuesta es el que se usa entre Auth0 y la aplicación (no el proveedor de identidad remoto). Por ejemplo, si establece este valor en SAML cuando su aplicación espera OpenID Connect o WS-Fed, se producirán errores debido a la configuración incorrecta.

Solución

1. Vaya a Authentication > Enterprise.
2. Haga clic en SAML.
3. Haga clic en la conexión que desea verificar.
4. En la pestaña Settings, verifique el valor configurado en el campo protocolo de respuesta.

El usuario no cierra sesión en el IdP

Cuando ADFS está configurado como IdP de SAML, si no se asigna el atributo Name ID de la confianza para usuario autenticado de ADFS, el flujo de cierre de sesión falla. Por ejemplo, con el parámetro federado v2/logout?federated&..., el usuario no es redirigido al endpoint de cierre de sesión SAML de ADFS, sino que se le redirige directamente a la URL de devolución de llamada de la aplicación. Como consecuencia, en ese caso el usuario no cierra sesión en el IdP.

Solución

Agregue el atributo Name ID como una regla en la SAML Relaying Party Trust.