Konfigurieren Sie die Microsoft Entra-ID als SAML- oder OAuth-IDP für SSO

Ursache:

Dem Benutzer wurde kein Zugriff auf die Anwendung in Microsoft Entra ID (ehemals Azure AD) gewährt. Der Benutzer muss einer Gruppe angehören, die der Anwendung zugewiesen ist, oder direkt zugewiesen werden.

Auflösung:

Um einen oder mehrere Benutzer direkt einer Anwendung zuzuweisen, siehe Schnellstart: Zuweisen von Benutzern zu einer App.

Ursache:

Das Anwendungsobjekt ist beschädigt und Microsoft Entra ID (ehemals Azure AD) erkennt das für die Anwendung konfigurierte Zertifikat nicht.

Auflösung:

Um das Zertifikat zu löschen und ein neues zu erstellen, führen Sie die folgenden Schritte aus:

• Wählen Sie auf dem SAML-basierten SSO-Konfigurationsbildschirm im Abschnitt „SAML-Signaturzertifikat“ die Option „Neues Zertifikat erstellen“ aus.
• Wählen Sie das Ablaufdatum aus und klicken Sie dann auf Speichern.
• Aktivieren Sie „Neues Zertifikat aktivieren“, um das aktive Zertifikat zu überschreiben. Klicken Sie dann oben im Fenster auf „Speichern“ und akzeptieren Sie die Aktivierung des Rollover-Zertifikats.
• Klicken Sie im Abschnitt „SAML-Signaturzertifikat“ auf „Entfernen“, um das nicht verwendete Zertifikat zu entfernen.

Ursache:

Der AssertionConsumerServiceURL-Wert in der SAML-Anforderung stimmt nicht mit dem in Microsoft Entra ID (ehemals Azure AD) konfigurierten Wert oder Muster der Antwort-URL überein. Der AssertionConsumerServiceURL-Wert in der SAML-Anforderung ist die URL, die im Fehler angezeigt wird.

Auflösung:

Um das Problem zu beheben, führen Sie die folgenden Schritte aus:

• Stellen Sie sicher, dass der AssertionConsumerServiceURL-Wert in der SAML-Anforderung mit dem in Microsoft Entra ID (früher Azure AD) konfigurierten Wert der Antwort-URL übereinstimmt.
• Überprüfen oder aktualisieren Sie den Wert im Textfeld „Antwort-URL“, damit er mit dem Wert „AssertionConsumerServiceURL“ in der SAML-Anforderung übereinstimmt.

Ursache:

Das in der SAML-Anforderung von miniOrange an Microsoft Entra ID (ehemals Azure AD) gesendete Issuer-Attribut stimmt nicht mit dem für miniOrange in Microsoft Entra ID (ehemals Azure AD) konfigurierten Bezeichnerwert überein.

Auflösung:

Stellen Sie sicher, dass das Issuer-Attribut in der SAML-Anforderung mit dem in Microsoft Entra ID (früher Azure AD) konfigurierten Bezeichnerwert übereinstimmt.

Überprüfen Sie, ob der Wert im Textfeld „Bezeichner“ mit dem im Fehler angezeigten Bezeichnerwert übereinstimmt.

Ursache:

Das von der Anwendung an Microsoft Entra ID (ehemals Azure AD) in der SAML-Anforderung gesendete Ausstellerattribut stimmt nicht mit dem Bezeichnerwert überein, der für die Anwendung in Microsoft Entra ID (ehemals Azure AD) konfiguriert ist.

Auflösung:

Stellen Sie sicher, dass das Issuer-Attribut in der SAML-Anforderung mit dem in Microsoft Entra ID (früher Azure AD) konfigurierten Bezeichnerwert übereinstimmt.

Überprüfen Sie auf der SAML-basierten SSO-Konfigurationsseite im Abschnitt Grundlegende SAML-Konfiguration, ob der Wert im Textfeld „Bezeichner“ mit dem Wert für den im Fehler angezeigten Bezeichnerwert übereinstimmt. Wenn am Ende der URL ein abschließender Schrägstrich steht, sollte dieser ebenfalls enthalten sein.

Ursache:

Microsoft Entra ID (ehemals Azure AD) unterstützt die von miniOrange gesendete SAML-Anforderung für einmaliges Anmelden nicht. Einige häufige Probleme sind:

• In der SAML-Anforderung fehlen erforderliche Felder.
• SAML-Anforderungscodierte Methode.

Auflösung:

Erfassen Sie die SAML-Anforderung im SAML Tracer.

Kontaktieren Sie uns und teilen Sie uns die folgenden Informationen mit:

• SAML-Anforderung
• SAML-Protokollanforderungen für Microsoft Entra Single Sign-On

Informationen zum Anpassen der an Ihre Anwendung gesendeten SAML-Attributansprüche finden Sie unter Anspruchszuordnung in Microsoft Entra ID (früher Azure AD). Und siehe unten auch die Attributzuordnung in miniOrange.

Im Azure-Portal können Sie auf die Protokolle zugreifen, um erfolgreiche Anmeldungen zu überprüfen. Dies hilft dabei, eine Grundlage für eine erfolgreiche Authentifizierung zu schaffen. Wenn der Anmeldezugriff verweigert wird, überprüfen Sie die Anmeldeversuche in den Protokollen genau.

Beheben von Anmeldeproblemen ohne Azure:

Sie können die SAML-Tracer-Erweiterung für Chrome verwenden, um SAML-bezogene Probleme in Operations Hub zu diagnostizieren und zu beheben. Führen Sie die folgenden Schritte aus:

• SAML-Tracer installieren: Fügen Sie den SAML-Tracer Erweiterung für Ihren Chrome-Browser.
• Zugriff auf SAML-Tracer: Öffnen Sie SAML-Tracer über Ihre Browsererweiterungen.
• Reproduzieren Sie das Problem: Melden Sie sich wie gewohnt bei Operations Hub an, um das SSO-Anmeldeproblem zu reproduzieren.
• SAML-Nachrichten prüfen: Suchen Sie im SAML-Tracer nach POST-Nachrichten
• Wählen Sie die spezifische POST-Nachricht aus, die sich auf den SSO-Anmeldeversuch bezieht.
• Als nächstes wählen Sie die Zusammenfassung für detaillierte Informationen zu den ausgetauschten SAML-Attributen.
• Überprüfen Sie die während des SSO-Versuchs ausgetauschten SAML-Attributnamen und -Werte und vergleichen Sie sie mit den erwarteten Werten.
• Wenn Sie feststellen, dass die Attributnamen der SAML-Gruppe falsch sind (siehe Screenshot), kann dies die Ursache für das Anmeldeproblem sein.



• Ersetzen Sie die falschen Attributnamen durch die richtigen, um das Anmeldeproblem zu beheben.

Azure-Anmeldebildschirm wird abgerufen:

Falls der Azure-Anmeldebildschirm nicht angezeigt wird, gehen Sie wie folgt vor, um das Problem zu beheben:

• Überprüfen Sie Ihre SAML Azure-Konfiguration. Überprüfen Sie den Gruppenattributnamen und den entsprechenden Gruppennamen. Jede Nichtübereinstimmung bei Attributnamen kann zu Zugriffsproblemen führen.
• Leeren Sie Ihren Browser-Cache und melden Sie sich erneut an.