Solucionar problemas de configuración de SAML

Describe cómo solucionar problemas de configuración de SAML.

Al solucionar problemas, es importante comprender su configuración.

• ¿Auth0 actúa como el proveedor de servicios (SP) de SAML, como el Proveedor de identidad (IdP) de SAML, o como ambos?

  El SP redirige a los usuarios a otro lugar para autenticarse. El IdP autentica al usuario pidiéndole que inicie sesión y validando la información proporcionada. Si su aplicación redirige al usuario a Auth0 para autenticarse mediante SAML, entonces Auth0 es el IdP. Si Auth0 redirige a los usuarios mediante una Conexión a un IdP remoto a través de SAML, entonces Auth0 es el SP frente al IdP remoto. Auth0 puede actuar como SP, IdP o ambos.

• ¿Su flujo de autenticación utiliza un modelo iniciado por SP, un modelo iniciado por IdP o ambos?

  Los flujos de autenticación iniciados por SP comienzan cuando el usuario accede a la aplicación SP y es redirigido al IdP para iniciar sesión. Un flujo iniciado por IdP significa que el usuario accede al IdP, inicia sesión y luego es redirigido a la aplicación SP.

  En entornos empresariales, el flujo iniciado por IdP es el más habitual.

• ¿Qué atributo del perfil de usuario identifica al usuario en el IdP (durante el inicio de sesión) y en cada aplicación?

  Si el atributo identificador difiere entre el IdP y la(s) aplicación(es), deberá configurar las asignaciones adecuadas en Auth0 para que envíe los atributos correctos del perfil de usuario a la(s) aplicación(es).

  • Según nuestra experiencia, usar la dirección de correo electrónico como identificador único es la opción más sencilla, aunque esta opción plantea consideraciones de privacidad.
  • Las organizaciones empresariales suelen usar algún tipo de ID interno con el IdP, que debe asignarse a otro atributo relevante para las aplicaciones SaaS externas.

• ¿Sus solicitudes de autenticación están firmadas?

• ¿Sus aserciones de autenticación están cifradas?

Al solucionar problemas, recomendamos empezar recopilando información que ayude a responder las siguientes preguntas:

1. ¿Cuántos usuarios experimentan el problema? ¿Solo uno? ¿Todos?
2. ¿Se trata de un problema con una configuración nueva o de una integración existente que dejó de funcionar?
3. ¿A cuántas aplicaciones afecta el problema?
4. ¿Cuál es el comportamiento esperado? ¿Qué comportamiento está observando?
5. ¿Hasta qué punto de la secuencia de inicio de sesión llega el usuario?

Revise a los usuarios afectados

• Revise el perfil del usuario, el navegador o el dispositivo para detectar cualquier problema.
• Compruebe si ocurre en todos los navegadores de los usuarios afectados (lo que indicaría un problema de datos) o solo en determinados tipos de navegadores (lo que indicaría un problema específico del navegador).
• Compruebe si el navegador tiene JavaScript y cookies habilitados.
• Compruebe que la tecla de bloqueo de mayúsculas esté desactivada.
• Si el usuario utiliza un dispositivo móvil, compruebe si hay algún software que pueda afectar a la autenticación y/o la autorización (por ejemplo, si no se está ejecutando algún software necesario).
• Compruebe si el usuario puede acceder a algunas de las URL clave de la aplicación, como la URL de inicio de sesión único (SSO) del IdP (lo que indicaría un problema de conectividad de red).

Solución de problemas de Auth0 como proveedor de servicios

Errores comunes

Estos son algunos errores comunes que puedes encontrar cuando Auth0 actúa como proveedor de servicios, así como los pasos que debes seguir para resolverlos.

Error: Conexión deshabilitada

Este mensaje indica que la aplicación no tiene asociada ninguna conexión activa:

"error": "invalid_request", "error_description": "the connection was disabled"

1. Vaya a Auth0 Dashboard > Authentication > Enterprise y seleccione un tipo de conexión.
2. Seleccione el nombre de su conexión.
3. Seleccione la vista Applications.
4. Habilite al menos una aplicación (si no ve ninguna en la lista, deberá crear una aplicación antes de continuar).

Error: inicio de sesión iniciado por IdP no habilitado

Este error suele producirse porque la URL de ACS configurada en el IdP usaba el dominio predeterminado del tenant de Auth0, mientras que la transacción de autenticación se inició mediante una llamada al endpoint /authorize de Custom Domain.

"invalid_request": "IdP-Initiated login is not enabled for connection 'CONNECTION_NAME'."

Si aparece este error al usar un flujo iniciado por el SP, falta alguno de los siguientes elementos o está vacío:

• parámetro RelayState
• atributo InResponseTo en la respuesta SAML

Si faltan o están vacíos, Auth0 trata el inicio de sesión como iniciado por IdP. Puede corregir este error revisando la configuración para asegurarse de que ambos campos estén rellenos y se devuelvan correctamente.

Para corregirlo:

1. Vaya a Auth0 Dashboard > Authentication > Enterprise y seleccione un tipo de conexión.
2. Seleccione el nombre de su Conexión.
3. Seleccione la vista IdP-Initiated SSO.
4. Busque IdP-Initiated SSO Behavior y seleccione Accept Requests para habilitar los inicios de sesión iniciados por IdP.
5. Seleccione la Default Application y el Response Protocol que usa esa aplicación y, opcionalmente, especifique cualquier parámetro adicional que quiera pasar a la aplicación.

Error: El atributo InResponseTo no coincide con el ID de AuthNRequest

Este error se produce cuando el atributo InResponseTo de la respuesta SAML no es reconocido por el tenant de Auth0. Este error puede deberse a lo siguiente:

• cookies bloqueadas
• IDs de la solicitud SAML más reciente que no coinciden
• uso incoherente de dominios

Si su tenant usa un dominio personalizado, podría producirse una discrepancia si el flujo de inicio de sesión comienza en el dominio personalizado y finaliza en el dominio canónico. Por ejemplo, el usuario empieza en el dominio personalizado:

Pero el Proveedor de identidad está configurado para devolver la respuesta SAML a la URL de ACS del dominio canónico:

https://{yourTenant}.auth0.com/login/callback

Si el ID se devuelve a otro dominio en el atributo InResponseTo de una respuesta SAML, su tenant de Auth0 no tiene constancia de él y devuelve el error anterior.

Para corregirlo:

Use el mismo dominio en todo el flujo de inicio de sesión. Cambie el dominio en la solicitud inicial a /authorize o la URL del ACS en su Proveedor de identidad.

Error: Aplicación predeterminada para IdP-Initiated no configurada

Este error suele producirse cuando ha habilitado flujos IdP-Initiated, pero no ha proporcionado la información necesaria para ejecutarlos.

"invalid_request": "Default App for IdP-Initiated is not configured. Make sure to configure that from connection settings or include client_id in RelayState parameter."

La URL de ACS debe usar el mismo dominio que la solicitud de autenticación inicial. Si usa dominios personalizados, debe usar la URL de devolución de llamada del dominio personalizado.

Si ve este error al usar un flujo iniciado por SP, falta uno de los siguientes elementos o está vacío:

• el parámetro RelayState
• el atributo InResponseTo en la respuesta SAML

Si faltan o están vacíos, Auth0 trata el inicio de sesión como iniciado por IdP. Puede corregir este error revisando la configuración para asegurarse de que ambos campos estén completos y se devuelvan correctamente.

Para corregirlo:

1. Vaya a Auth0 Dashboard > Authentication > Enterprise y seleccione un tipo de conexión.
2. Seleccione el nombre de su Conexión.
3. Seleccione la vista IdP-Initiated SSO.
4. Seleccione la Default Application y el Response Protocol que usa esa aplicación y, opcionalmente, especifique cualquier parámetro adicional que quiera pasar a la aplicación.

Error: Falta el parámetro RelayState

Este error se produce cuando el Proveedor de identidad no devuelve el parámetro RelayState junto con la respuesta.

Trabaje con el Proveedor de identidad para asegurarse de que devuelva el parámetro RelayState.

Error: Audiencia no válida

Este error se produce si el valor del elemento audience de la respuesta SAML del Proveedor de identidad no coincide con el valor que espera Auth0. Auth0 espera que el valor sea el Entity ID de la conexión.

Busque el Entity ID de su conexión:

1. Vaya a Auth0 Dashboard > Authentication > Enterprise y seleccione un tipo de conexión.
2. Seleccione el nombre de su conexión.
3. Seleccione la vista Setup y busque la sección Common Settings; su Entity ID es el segundo parámetro que aparece.

Asegúrese de que el Proveedor de identidad envíe el valor correcto de audience en la respuesta SAML.

Se especificó un protocolo incorrecto

Un error común es especificar un protocolo de respuesta incorrecto en la pestaña IdP-Initiated. El protocolo de respuesta es el que se usa entre Auth0 y la aplicación (no el Proveedor de identidad remoto). Por ejemplo, si configuras este valor como SAML cuando tu aplicación espera OpenID Connect o WS-Fed, se producirán errores debido a la configuración incorrecta.

1. Ve a Auth0 Dashboard > Authentication > Enterprise y selecciona un tipo de conexión.
2. Selecciona el nombre de tu Conexión.
3. Selecciona la vista IdP-Initiated SSO, busca Response Protocol y comprueba su valor.

El usuario no cierra sesión en el IdP

Cuando ADFS está configurado como IdP de SAML, si el atributo Name ID de la confianza para usuario autenticado de ADFS no está asignado, el flujo de cierre de sesión falla. Por ejemplo, con el parámetro federado v2/logout?federated&..., el usuario no es redirigido al endpoint de cierre de sesión SAML de ADFS, sino que vuelve directamente a la URL de devolución de llamada de la aplicación. Como consecuencia, en ese caso el usuario no cierra sesión en el IdP.

Agrega el atributo Name ID como una regla en la confianza para usuario autenticado de SAML.

Problemas de inicio de sesión de SAML

Al solucionar problemas de inicio de sesión de SAML, hay cuatro etapas principales que debe revisar:

• Etapa 1: El usuario es redirigido correctamente a un Proveedor de identidad (IdP) y puede iniciar sesión.
• Etapa 2: Después de iniciar sesión con el IdP, el usuario vuelve a Auth0 y queda registrado un evento de inicio de sesión correcto.
• Etapa 3: Después de que se registre un evento de inicio de sesión correcto en Auth0, el perfil de usuario en Auth0 es correcto.
• Etapa 4: El usuario es redirigido correctamente de vuelta a la aplicación y puede acceder a ella.

En las siguientes secciones se describe cómo revisar cada etapa y cómo identificar si hay algún problema en una etapa determinada.

No se muestra la página de inicio de sesión del IdP

1. Vaya a Auth0 Dashboard > Authentication > Enterprise y seleccione SAML.

2. Busque su conexión y seleccione el icono Try (triángulo/reproducir) para probar la interacción entre Auth0 y el IdP remoto. Si la conexión no funciona, continúe con los pasos detallados en esta sección. Si funciona, continúe con la siguiente sección.

3. Junto a la conexión SAML, haga clic en Settings (representado por el icono de engranaje).

   

4. Verifique y confirme lo siguiente con el administrador del IdP:

   1. Que la URL de inicio de sesión sea la URL correcta de inicio de sesión único (SSO). Esta es la URL a la que Auth0 redirigirá al usuario para autenticarse.
   2. Si el IdP espera el Binding HTTP-POST o el Binding HTTP-Redirect. Puede cambiar el Binding predeterminado en la pestaña Settings.
   3. Si sus solicitudes de autenticación deben ir firmadas. Si es así, ¿qué algoritmo de firma espera que use el IdP? (Tenga en cuenta que las solicitudes de autenticación no suelen ir firmadas). Si está enviando solicitudes firmadas, habilite el interruptor Sign Request en la configuración de la conexión y asegúrese de que el valor de Signing Algorithm coincida con lo que espera el IdP.
   4. Pida al administrador del IdP que revise los registros que puedan proporcionar información sobre el problema.

Los Logs no muestran un evento de inicio de sesión correcto

En este caso, el usuario inicia sesión correctamente con el Proveedor de identidad (IdP), pero los logs de Auth0 no muestran ningún evento de inicio de sesión correcto.

1. Consulta las páginas Logs y Users en el Auth0 Dashboard para ver si Auth0 muestra un evento de inicio de sesión correcto. Si los logs de Auth0 no muestran un evento de inicio de sesión correcto, probablemente haya un problema con la aserción de autenticación SAML devuelta por el IdP, o Auth0 no pueda procesar la aserción.

2. Comprueba la información que Auth0 envía a la aplicación capturando una traza HTTP de la secuencia de inicio de sesión y analizándola.

   Antes de compartir un archivo HAR con alguien (incluido Auth0), asegúrate de eliminar u ofuscar todos los datos sensibles, como:

   • Información confidencial del usuario
   • Información de identificación personal (PII)
   • Información confidencial de la aplicación

   Para obtener más información, consulta los siguientes artículos en Auth0 Community:

   • Saneamiento de trazas HTTP
   • Cómo sanear un archivo de traza HTTP automáticamente
   • Cómo redactar manualmente información sensible
   • El archivo HAR es demasiado grande para cargarlo en el caso de soporte

3. Puedes ver la traza HTTP en un analizador de archivos HAR, como el HAR Analyzer de Google.

   1. Revisa la secuencia de URL invocadas en la traza HTTP.

      1. Las primeras serán URL de tu aplicación.
      2. Después habrá una redirección a una URL de Auth0 (como {yourDomain}).

   2. Después de una o más URL intermedias, habrá un POST de vuelta a Auth0 que contendrá la aserción SAML con información del usuario. La URL debe corresponder al Assertion Consumer Service (ACS) de Auth0, que procesa la aserción y extrae la información necesaria.

   3. Haz clic en la fila de la llamada POST en el analizador HAR.

   4. Cambia a la pestaña POST Data y busca la respuesta SAML.

   5. Copia y pega la respuesta SAML en un depurador de SAML.

   6. Elimina “SAML response” del principio, así como cualquier contenido que empiece por &RelayState= al final.

4. Después de recuperar y decodificar el mensaje SAML, comprueba los siguientes campos:

Campo	Descripción

Los atributos del perfil de usuario son incorrectos

En este caso, el usuario inicia sesión correctamente con el IdP, los logs de Auth0 muestran un evento de inicio de sesión exitoso, pero los atributos del perfil del usuario no son correctos.

Compruebe si el perfil del usuario en Auth0 se completó correctamente:

1. Vaya a Dashboard > User Management > Users.

2. Busque y haga clic en el usuario correspondiente para abrir su perfil. Si hay varias filas para un usuario determinado, asegúrese de abrir el registro asociado con la Conexión SAML.

3. En el perfil del usuario, puede ver sus detalles de una de estas dos maneras. Puede usar la pestaña Details o la pestaña Raw JSON. Esto le muestra qué atributos ha recibido Auth0 del Proveedor de identidad.

4. Si falta el atributo, compruebe si se incluyó en la aserción. Puede hacerlo decodificando la aserción SAML o habilitando la depuración para la conexión.

   1. Para habilitar la depuración para la conexión, vaya a Authentication > Enterprise.

   2. Abra la lista de conexiones de IdP SAML, haga clic en Settings y habilite Debug Mode.

      

   3. Con Debug Mode habilitado, las entradas de registro Warning During Login en el Dashboard tienen una propiedad original_profile que enumera todos los atributos incluidos en la aserción SAML por el Proveedor de identidad. Puede usar esta lista para ver la información que envía el IdP y para ayudarle a crear las asignaciones. Si el atributo que falta no aparece en la aserción, trabaje con el IdP para asegurarse de que se incluya.

5. Si existe un valor de atributo en el perfil de usuario de Auth0, pero no está asignado al atributo correcto, puede corregirlo mediante la funcionalidad de asignación de la conexión.

   1. Puede hacerlo yendo a Authentication > Enterprise.

   2. Abra la lista de conexiones de IdP SAML y vaya a la pestaña Mappings.

      

   3. En el editor proporcionado, hay un fragmento JSON que puede editar para configurar sus asignaciones. El nombre de la izquierda es el atributo del perfil de usuario de Auth0 al que se asignará el valor de la aserción. El valor de la derecha es el identificador de la aserción SAML del que procede el atributo. Cuando Auth0 incorpora atributos SAML no asignados al perfil de usuario, los identificadores de atributo que contienen puntos . se reemplazan por dos puntos :. Al configurar sus asignaciones, asegúrese de que los identificadores que proporciona coincidan con los de la aserción SAML.

El usuario no puede acceder a la aplicación

En este caso, el usuario inicia sesión correctamente con el IdP, los registros de Auth0 muestran un evento de inicio de sesión correcto y los atributos del perfil de usuario son correctos; pero el usuario no puede acceder a la aplicación.

1. Revise los archivos de registro de su aplicación para ver si hay algún mensaje de error que indique por qué el usuario no puede acceder a la aplicación. Las dos causas más comunes de este problema son:

   1. Falta información en el perfil de usuario.
   2. Información de autorización incorrecta o ausente.

2. Verifique la información que Auth0 envía a la aplicación capturando una traza HTTP de la secuencia de inicio de sesión y analizando la traza HTTP. Puede ver la traza HTTP en un analizador de archivos HAR, como HAR Analyzer de Google.

   Antes de compartir un archivo HAR con cualquier persona (incluido Auth0), asegúrese de eliminar u ofuscar todos los datos sensibles, como:

   • Información confidencial del usuario
   • Información de identificación personal (PII)
   • Información confidencial de la aplicación

   Para obtener más información, consulte los siguientes artículos en Auth0 Community:

   • Depuración de trazas HTTP
   • Cómo depurar automáticamente un archivo de traza HTTP
   • Cómo redactar manualmente información confidencial
   • El archivo HAR es demasiado grande para cargarlo en el caso de soporte

   1. Revise la secuencia de URL invocadas en la traza HTTP.

      1. Las primeras serán URL de su aplicación.
      2. Después habrá una redirección a una URL de Auth0 (como {yourDomain}).

   2. Después de una o más URL intermedias, habrá un POST de vuelta a Auth0 que contendrá la aserción SAML con la información del usuario. La URL debe ser la del Assertion Consumer Service (ACS) de Auth0, que consume la aserción y extrae la información necesaria.

   3. Haga clic en la fila correspondiente a la llamada POST en el analizador HAR.

   4. Cambie a la pestaña POST Data y busque la respuesta SAML.

   5. Copie y pegue la respuesta SAML en un depurador de SAML.

   6. Elimine la respuesta SAML del comienzo, así como cualquier contenido que empiece con &RelayState= al final.

3. Después de recuperar y decodificar el mensaje SAML, verifique los siguientes campos:

Campo	Descripción

4. Si tu flujo de autorización usa un protocolo conforme a OIDC, puedes capturar una traza HAR y verla con HAR Analyzer de Google.

   1. Revisa la secuencia de URL de la traza y busca lo siguiente:

      1. Las primeras serán URL de tu aplicación.
      2. Después habrá una redirección a una URL de Auth0 (como {yourDomain}).

   2. Más adelante aparecerá la URL de devolución de llamada de tu aplicación. Asegúrate de que sea correcta.

   3. Obtén el ID Token de esta llamada y pégalo en un decodificador de JWT. Verifica que los claims del token contengan la información que necesita la aplicación.

5. Si usas un flujo iniciado por el IdP (por ejemplo, el usuario empieza en el Proveedor de identidad desde una aplicación de portal), asegúrate de que:

   1. La URL del Assertion Consumer Service (ACS) en el Proveedor de identidad incluya el nombre de la conexión (por ejemplo, https://{yourDomain}/login/callback?connection=CONNECTION_NAME)

   2. La pestaña de configuración de SSO iniciado por el IdP para la Conexión esté correctamente completada, incluidos:

      1. Que el comportamiento de SSO iniciado por el IdP esté configurado en Accept Requests;
      2. La aplicación a la que debe enviarse al usuario;
      3. El protocolo entre la aplicación y Auth0 (que no tiene por qué ser SAML como la conexión, y probablemente sea OpenID Connect);
      4. Cualquier valor específico del protocolo que deba incluirse en la cadena de consulta, como scope, response_type, redirect_uri y audience. Estos valores deben coincidir con los que espera la aplicación al usar un flujo iniciado por SP.

   3. Desactiva temporalmente tus Rules para asegurarte de que nada esté interfiriendo con el proceso de inicio de sesión.

   4. Si has habilitado MFA, desactívala temporalmente para asegurarte de que no esté interfiriendo con el proceso de inicio de sesión.

   5. Comprueba que la Conexión SAML funcione en un flujo iniciado por SP usando Try para ejecutar una prueba de la Conexión.

No se pudo procesar la solicitud debido a un error del respondedor SAML o de la autoridad SAML

El error puede aparecer de la siguiente forma:

<samlp:Status> \<samlp:StatusCodeValue="urn:oasis:names:tc:SAML:2.0:status:Responder" /> </samlp:Status>

1. Asegúrese de que el algoritmo de firma de su conexión de Auth0 sea el mismo que el de la configuración de ADFS: rsa-sha256 o rsa-sha1.
2. Como alternativa, puede ponerse en contacto con su administrador de ADFS para averiguar cuál es el método de firma esperado o si sus Logs contienen más información sobre la causa del error.

Solucionar problemas de Auth0 como Proveedor de identidad

Al solucionar problemas con un inicio de sesión de SAML, hay cuatro etapas principales que debe comprobar:

• Etapa 1: El usuario es redirigido correctamente al IdP y puede iniciar sesión.
• Etapa 2: Después de iniciar sesión con el IdP, el usuario vuelve a Auth0 y se registra un evento de inicio de sesión exitoso.
• Etapa 3: Después de que se registra un evento de inicio de sesión exitoso en Auth0, el perfil de usuario en Auth0 es correcto.
• Etapa 4: El usuario es redirigido correctamente de vuelta a la aplicación y puede acceder a ella.

El evento de inicio de sesión exitoso no aparece en los logs

En este caso, el usuario inicia sesión correctamente con el IdP, pero el evento de inicio de sesión exitoso no aparece en los logs de Auth0.

1. Si usa una Conexión de base de datos de Auth0:

   1. Compruebe que el usuario exista y que la contraseña introducida sea correcta.
   2. Deshabilite temporalmente sus Rules para asegurarse de que nada esté interfiriendo con el proceso de inicio de sesión.
   3. Si ha habilitado MFA (autenticación multifactor), desactívela temporalmente para asegurarse de que no esté interfiriendo con el proceso de inicio de sesión.

2. Si usa una Conexión de base de datos de Auth0 o una conexión SAML remota, compruebe que la conexión SAML funcione usando Try para ejecutar una prueba de conexión.

Los atributos del perfil de usuario son incorrectos

En este caso, el usuario inicia sesión correctamente con el IdP, aparece un evento de inicio de sesión correcto en los Logs de Auth0, pero los atributos del perfil de usuario son incorrectos. Si el usuario:

• Parece iniciar sesión correctamente.
• Las páginas Logs y Users en el Auth0 Dashboard deberían mostrar eventos de inicio de sesión correctos

El siguiente paso es comprobar que el perfil de usuario contenga los atributos de perfil necesarios.

1. Vaya a Dashboard > User Management > Users.
2. Busque y haga clic en el usuario específico para abrir su perfil. Si hay varias filas para un usuario determinado, asegúrese de abrir el registro asociado con la Conexión SAML.
3. En el perfil del usuario, puede ver sus detalles de una de estas dos formas. Puede usar la pestaña Details o la pestaña Raw JSON. Esto le muestra qué atributos ha recibido Auth0 del Proveedor de identidad. Si falta un atributo, consulte con el proveedor de identidad para confirmar que tiene ese atributo y que lo está devolviendo a Auth0.

El usuario no puede acceder a la aplicación

En este caso, el usuario inicia sesión correctamente con el IdP, aparece un evento de inicio de sesión correcto en los registros de Auth0 y los atributos del perfil del usuario son correctos, pero el usuario no puede acceder a la aplicación.

1. Compruebe si el perfil del usuario en Auth0 se ha completado correctamente:

   1. Vaya a Dashboard > User Management > Users.
   2. Busque al usuario en cuestión y haga clic en él para abrir su perfil. Si hay varias filas para un mismo usuario, asegúrese de abrir el registro asociado a la Conexión SAML.
   3. En el perfil del usuario, consulte sus detalles de una de estas dos formas: puede usar la pestaña Details o la pestaña Raw JSON. Esto le muestra qué atributos ha recibido Auth0 del Proveedor de identidad. Asegúrese de que el perfil incluya todos los detalles que requiere la aplicación. Si falta algún atributo del usuario, consulte con el Proveedor de identidad para confirmar que dispone de ese atributo y que lo está devolviendo a Auth0.

2. Revise los archivos de registro de la aplicación para ver si hay mensajes de error que indiquen por qué el usuario no puede acceder a la aplicación. Las dos causas más comunes de este problema son la falta de información en el perfil del usuario o información de autorización incorrecta o ausente.

3. Revise la información que Auth0 envía a la aplicación capturando una traza HTTP de la secuencia de inicio de sesión y analizando esa traza HTTP. Puede ver la traza HTTP en un analizador de archivos HAR, como HAR Analyzer de Google.

   Antes de compartir un archivo HAR con cualquier persona (incluido Auth0), asegúrese de eliminar u ofuscar todos los datos confidenciales, como:

   • Información confidencial del usuario
   • Información de identificación personal (PII)
   • Información confidencial de la aplicación

   Para obtener más información, lea los siguientes artículos en Auth0 Community:

   • Sanitizing HTTP Traces
   • How to Sanitize an HTTP Trace File Automatically
   • How to Manually Redact Sensitive Information
   • HAR File is Too Large to Upload to the Support Case

   1. Revise la secuencia de URL invocadas en la traza HTTP.

      1. Las primeras serán URL de su aplicación.
      2. A continuación, habrá una redirección a una URL de Auth0 (como {yourDomain}).

   2. Después de una o más URL intermedias, habrá una solicitud POST de vuelta a Auth0 que contendrá la aserción SAML con información del usuario. La URL debe ser la del Assertion Consumer Service (ACS) de Auth0, que consume la aserción y extrae la información necesaria.

   3. Haga clic en la fila correspondiente a la llamada POST en el analizador HAR.

   4. Cambie a la pestaña POST Data y busque la respuesta SAML.

   5. Copie y pegue la respuesta SAML en un depurador de SAML.

   6. Elimine la respuesta SAML del principio, así como cualquier contenido que comience por &RelayState= al final.

4. Después de recuperar y decodificar el mensaje SAML, revise los siguientes campos:

Campo	Descripción

5. Asegúrese de que la aserción SAML contenga toda la información adicional que requiera la aplicación y de que dicha información esté presente en los atributos que la aplicación espera.

   1. Si necesita modificar la aserción que Auth0 envía a su aplicación, puede agregar o asignar atributos mediante Rules.

      1. Inicie sesión en Auth0 y vaya a Rules.

      2. Haga clic en Create Rule y, en la página siguiente, elija la plantilla Change your SAML configuration.

      3. En el editor de reglas, quite los comentarios de las líneas que quiera usar. Use las líneas 9-17 de la plantilla para asignar atributos según sea necesario. También puede agregar líneas para implementar asignaciones. El lado izquierdo de cada línea especifica el identificador del atributo en la aserción. El lado derecho de cada línea hace referencia al atributo del perfil de usuario de Auth0 cuyo valor se usará para completar la aserción saliente que se envía a la aplicación.

         //context.samlConfiguration.mappings = {    
             // "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/nameidentifier":      "user_id",    
             // "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress":        "email",    
             // "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name":                "name",    
             // "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname":           "given_name",    
             // "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname":             "family_name",    
             // "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn":                 "upn",    
             // "http://schemas.xmlsoap.org/claims/Group":                                   "groups"    
             // };
         

Error de LogoutRequest: no se encontró ninguna sesión activa coincidente

Los valores SessionIndex y NameID de la solicitud de cierre de sesión de SAML deben coincidir con los que el proveedor de servicios recibió en la aserción SAML original.

Contacte con soporte

Si los pasos de solución de problemas indicados anteriormente no resuelven los problemas, solicite ayuda a Auth0 abriendo un ticket en el Support Center. Asegúrese de incluir la siguiente información:

1. El número de usuarios que experimentan este problema. ¿Uno? ¿Todos?

2. Si este problema afecta a una configuración nueva o a una integración existente que dejó de funcionar de repente

3. El número de aplicaciones afectadas

4. Cuál es el comportamiento esperado y cuál es el comportamiento actual

5. Hasta qué punto de la secuencia de inicio de sesión llega el usuario

6. El nombre de la aplicación registrada en Auth0 y el protocolo de identidad que utiliza

7. El nombre de la Conexión implicada

8. Si está utilizando el widget Auth0 Lock (si es así, ¿qué versión?)

9. Si se utiliza una versión personalizada de Lock

10. Una traza HTTP de la interacción de SSO en un archivo .har

    Antes de compartir un archivo HAR con alguien (incluido Auth0), asegúrese de eliminar u ofuscar todos los datos confidenciales, como:

    • Información confidencial del usuario
    • Información de identificación personal (PII)
    • Información confidencial de la aplicación

    Para obtener más información, lea los siguientes artículos en Auth0 Community:

    • Sanitizing HTTP Traces
    • How to Sanitize an HTTP Trace File Automatically
    • How to Manually Redact Sensitive Information
    • HAR File is Too Large to Upload to the Support Case

11. Una entrada de registro de Auth0 correspondiente a la autenticación fallida

12. Un archivo de registro de autenticación de cualquier aplicación de terceros implicada (como Sharepoint)

Más información

• Integraciones de inicio de sesión único con SAML
• Probar SAML SSO con Auth0 como proveedor de servicios y proveedor de identidad