Configurer Microsoft Entra ID comme IDP SAML ou OAuth pour SSO

Cause:

L'utilisateur n'a pas obtenu l'accès à l'application dans Microsoft Entra ID (anciennement Azure AD). L'utilisateur doit appartenir à un groupe affecté à l'application ou être affecté directement.

Résolution:

Pour affecter directement un ou plusieurs utilisateurs à une application, voir Démarrage rapide : Affecter des utilisateurs à une application.

Cause:

L’objet d’application est corrompu et Microsoft Entra ID (anciennement Azure AD) ne reconnaît pas le certificat configuré pour l’application.

Résolution:

Pour supprimer et créer un nouveau certificat, suivez les étapes ci-dessous :

• Dans l’écran de configuration SSO basé sur SAML, sélectionnez Créer un nouveau certificat dans la section Certificat de signature SAML.
• Sélectionnez la date d’expiration, puis cliquez sur Enregistrer.
• Cochez la case Rendre le nouveau certificat actif pour remplacer le certificat actif. Cliquez ensuite sur Enregistrer en haut du volet et acceptez pour activer le certificat de remplacement.
• Dans la section Certificat de signature SAML, cliquez sur Supprimer pour supprimer le certificat inutilisé.

Cause:

La valeur AssertionConsumerServiceURL dans la requête SAML ne correspond pas à la valeur ou au modèle d'URL de réponse configuré dans Microsoft Entra ID (anciennement Azure AD). La valeur AssertionConsumerServiceURL dans la requête SAML est l'URL que vous voyez dans l'erreur.

Résolution:

Pour résoudre le problème, suivez ces étapes :

• Assurez-vous que la valeur AssertionConsumerServiceURL dans la demande SAML correspond à la valeur URL de réponse configurée dans Microsoft Entra ID (anciennement Azure AD).
• Vérifiez ou mettez à jour la valeur dans la zone de texte URL de réponse pour qu’elle corresponde à la valeur AssertionConsumerServiceURL dans la requête SAML.

Cause:

L'attribut Issuer envoyé depuis miniOrange vers Microsoft Entra ID (anciennement Azure AD) dans la requête SAML ne correspond pas à la valeur Identifier configurée pour miniOrange dans Microsoft Entra ID (anciennement Azure AD).

Résolution:

Assurez-vous que l’attribut Issuer dans la demande SAML correspond à la valeur Identifier configurée dans Microsoft Entra ID (anciennement Azure AD).

Vérifiez que la valeur dans la zone de texte Identificateur correspond à la valeur de l’identifiant affichée dans l’erreur.

Cause:

L’attribut Issuer envoyé depuis l’application à Microsoft Entra ID (anciennement Azure AD) dans la demande SAML ne correspond pas à la valeur Identifier configurée pour l’application dans Microsoft Entra ID (anciennement Azure AD).

Résolution:

Assurez-vous que l’attribut Issuer dans la demande SAML correspond à la valeur Identifier configurée dans Microsoft Entra ID (anciennement Azure AD).

Sur la page de configuration SSO basée sur SAML, dans la section Configuration SAML de base, vérifiez que la valeur de la zone de texte Identifiant correspond à la valeur de l'identifiant affichée dans l'erreur. S'il y a une barre oblique à la fin de l'URL, elle doit également être incluse.

Cause:

Microsoft Entra ID (anciennement Azure AD) ne prend pas en charge la requête SAML envoyée par miniOrange pour l'authentification unique. Voici quelques problèmes courants :

• Champs obligatoires manquants dans la requête SAML.
• Méthode codée par requête SAML.

Résolution:

Capturez la requête SAML dans SAML Tracer.

Contactez-nous et partagez les informations suivantes :

• Requête SAML
• Exigences du protocole SAML pour l'authentification unique Microsoft Entra

Pour savoir comment personnaliser les revendications d'attributs SAML envoyées à votre application, consultez Mappage des revendications dans Microsoft Entra ID (anciennement Azure AD). Et aussi, voir ci-dessous le mappage d'attributs dans miniOrange.

Dans le portail Azure, vous pouvez accéder aux journaux pour vérifier les connexions réussies. Cela permettra d’établir une base de référence pour une authentification réussie. Chaque fois que l’accès à la connexion est refusé, examinez attentivement les tentatives de connexion dans les journaux.

Résoudre les problèmes de connexion sans Azure :

Vous pouvez utiliser l'extension SAML-tracer pour Chrome pour diagnostiquer et résoudre les problèmes liés à SAML dans Operations Hub. Suivez ces étapes :

• Installer SAML-tracer : ajouter le Traceur SAML extension pour votre navigateur Chrome.
• Accéder à SAML-tracer : ouvrez SAML-tracer à partir des extensions de votre navigateur.
• Reproduisez le problème : connectez-vous à Operations Hub comme vous le feriez normalement pour reproduire le problème de connexion SSO.
• Inspecter les messages SAML : dans SAML-tracer, recherchez les messages POST
• Sélectionnez le message POST spécifique lié à la tentative de connexion SSO.
• Sélectionnez ensuite le Résumé onglet pour des informations détaillées sur les attributs SAML échangés.
• Examinez les noms et valeurs d’attributs SAML échangés pendant la tentative SSO et comparez-les aux valeurs attendues.
• Si vous remarquez que les noms d’attributs de groupe SAML sont incorrects (reportez-vous à la capture d’écran), cela peut être la cause du problème de connexion.



• Remplacez les noms d’attributs incorrects par les bons pour résoudre le problème de connexion.

Récupération de l'écran de connexion Azure :

Si vous rencontrez une situation dans laquelle l’écran de connexion Azure n’apparaît pas, procédez comme suit pour résoudre ce problème :

• Vérifiez votre configuration SAML Azure. Vérifiez le nom de l’attribut de groupe et le nom du groupe correspondant. Toute incompatibilité dans les noms d’attribut peut entraîner des problèmes d’accès.
• Videz le cache de votre navigateur et reconnectez-vous.