Dépannage des erreurs SAML

Décrit comment résoudre les erreurs SAML courantes.

Requête invalide - connexion désactivée

Cause

Ce message indique qu’aucune connexion active n’est associée à l’application.

Solution

1. Accédez à Authentification > Entreprise.
2. Cliquez sur SAML.
3. Cliquez sur la connexion que vous souhaitez vérifier.
4. Cliquez sur l’onglet Applications.
5. Activez au moins une application (si aucune application n’apparaît dans la liste, vous devrez créer une application avant de poursuivre).

Application par défaut lancée par l’IdP non configurée

Cause

Cette erreur s’affiche si vous n’avez pas fourni les informations nécessaires pour prendre en charge les flux de connexion initiés par le IdP.

Solution

1. Accédez à Authentication > Enterprise.
2. Cliquez sur SAML
3. Cliquez sur la connexion que vous souhaitez vérifier.
4. Ouvrez l’onglet initié par l’IdP SSO.
5. Sélectionnez Accept Requests, puis la Default Application et le Response Protocol utilisés par cette application et, au besoin, indiquez les paramètres supplémentaires à transmettre à l’application.
6. Cliquez sur Save Changes.

Dépannage de l’ouverture de session initiée par le SP

Si cette erreur s’affiche lorsque vous utilisez un flux initié par le SP, cela signifie qu’un des éléments suivants est absent ou vide :

• Le paramètre RelayState
• L’attribut InResponseTo dans la réponse SAML

Si l’un ou l’autre de ces éléments est absent ou vide, Auth0 traite l’ouverture de session comme étant initiée par l’IdP. Pour corriger cette erreur, vérifiez votre configuration afin de vous assurer que les deux champs sont bien renseignés et renvoyés correctement.

Paramètre RelayState absent

Cause

Cette erreur se produit lorsque le fournisseur d’identité ne renvoie pas le paramètre RelayState dans sa réponse.

Solution

Collaborez avec le fournisseur d’identité pour vous assurer qu’il renvoie le paramètre RelayState.

L’audience n’est pas valide

Cette erreur se produit si la valeur de l’élément audience dans la réponse SAML du fournisseur d’identité ne correspond pas à la valeur attendue par Auth0. Auth0 s’attend à ce que cette valeur soit l’ID d’entité de la connexion.

Solution

1. Accédez à Authentication > Enterprise.
2. Cliquez sur SAML.
3. Cliquez sur la connexion que vous souhaitez vérifier.
4. Dans l’onglet Setup, sous Common Settings, votre Entity ID correspond au deuxième paramètre fourni. Assurez-vous que le fournisseur d’identité envoie la valeur audience correcte dans la réponse SAML.

Protocole incorrect spécifié

Le protocole de réponse indiqué dans l’onglet initié par l’IdP est incorrect. Le protocole de réponse est celui utilisé entre Auth0 et l’application (et non le fournisseur d’identité distant). Par exemple, si vous définissez cette valeur sur SAML alors que votre application s’attend à OpenID Connect ou WS-Fed, des erreurs se produiront en raison d’une mauvaise configuration.

Solution

1. Accédez à Authentication > Enterprise.
2. Cliquez sur SAML.
3. Cliquez sur la connexion que vous souhaitez vérifier.
4. Dans l’onglet Settings, vérifiez la valeur définie dans le champ Response Protocol.

L’utilisateur n’est pas déconnecté de l’IdP

Lorsque ADFS est configuré comme IdP SAML, si l’attribut Name ID de l’approbation de partie de confiance ADFS n’est pas mis en correspondance, le flux de déconnexion échoue. Par exemple, avec le paramètre fédéré v2/logout?federated&..., l’utilisateur n’est pas redirigé vers le point de terminaison de déconnexion SAML d’ADFS, mais plutôt directement vers l’URL de rappel de l’application. Par conséquent, dans ce cas, l’utilisateur n’est pas déconnecté de l’IdP.

Solution

Ajoutez l’attribut Name ID comme règle dans l’approbation de partie de confiance SAML.