Dépannage des erreurs SAML

Invalid request - connection disabled (Demande non valide - connexion désactivée)

Cause

Ce message indique que l’application n’a pas de connexion active associée.

Solution

  1. Allez à Authentication (Authentification) > Enterprise (Entreprise).

  2. Cliquez sur SAML.

  3. Cliquez sur la connexion que vous souhaitez vérifier.

  4. Cliquez sur l’onglet Applications.

  5. Activez au moins une application (si vous n’en voyez aucune dans la liste, vous devrez créer une application avant de continuer).

IdP-Initiated Default App Not Configured (Application par défaut initiée par l’IdP non configurée)

Cause

Cette erreur apparaît si vous n’avez pas fourni les informations nécessaires pour prendre en charge les flux de connexion initiés par l’IdP.

Solution

  1. Allez à Authentication (Authentification) > Enterprise (Entreprise).

  2. Cliquez sur SAML.

  3. Cliquez sur la connexion que vous souhaitez vérifier.

  4. Passez à l’onglet IdP-Initiated SSO (SSO initié par IDP).

  5. Sélectionnez Accept Requests (Accepter les requêtes) et sélectionnez Default Application (Application par défaut) et le Response Protocol (Protocole de réponse) utilisés par cette application, et spécifiez (le cas échéant) tout paramètre supplémentaire que vous souhaitez transmettre à l’application.

  6. Cliquez sur Enregistrer les modifications.

Dépannage des connexions initiées par SP

Si vous voyez une erreur lorsque vous utilisez un flux initié par SP, l’un des éléments suivants est manquant ou vide :

  • Le paramètre RelayState

  • L’attribut InResponseTo dans l’assertion SAML

Si ces éléments sont manquants ou vides, Auth0 traite la connexion comme étant initiée par IdP. Vous pouvez corriger cette erreur en vérifiant la configuration afin de vous assurer que les deux champs sont remplis et retournent de manière adéquate.

Missing RelayState parameter (Paramètre RelayState Manquant)

Cause

Cette erreur se produit lorsque le fournisseur d’identité ne renvoie pas le paramètre RelayState avec sa réponse.

Solution

Collaborez avec le fournisseur d’identité pour vous assurer qu’il renvoie le paramètre RelayState .

Paramètre Audience non valide

Cette erreur se produit si la valeur de l’élément audience de la réponse SAML du fournisseur d’identité ne correspond pas à la valeur attendue par Auth0. Auth0 s’attend à ce que la valeur soit l’identifiant/identification de l’entité pour la connexion.

Solution

  1. Allez à Authentication (Authentification) > Enterprise (Entreprise).

  2. Cliquez sur SAML.

  3. Cliquez sur la connexion que vous souhaitez vérifier.

  4. Dans l’onglet Configuration, à la section Paramètres communs, votre Identifiant d’entité est le deuxième paramètre fourni. Assurez-vous que le fournisseur d’identité envoie la valeur audience correcte dans la réponse SAML.

Incorrect protocol specified (Protocole incorrect spécifié)

Le protocole de réponse est incorrect dans l’onglet IdP-Initiated (Initié par IdP). Le protocole de réponse est celui utilisé entre Auth0 et l’application (et non le fournisseur d’identité distant) Par exemple, si vous définissez cette valeur sur SAML alors que votre application attend OpenID Connect ou WS-Fed, des erreurs se produiront en raison de la configuration incorrecte.

Solution

  1. Allez à Authentication (Authentification) > Enterprise (Entreprise).

  2. Cliquez sur SAML.

  3. Cliquez sur la connexion que vous souhaitez vérifier.

  4. Dans l’onglet Settings (Paramètres), vérifiez la valeur que vous avez définie dans le champ Response Protocol (Protocole de réponse).

User isn’t logged out from the IdP (L’utilisateur n’est pas déconnecté de l’IdP)

Lorsque ADFS est configuré en tant que IdP SAML, si l’attribut Name ID (Identifiant de nom) de la partie de confiance relayée par ADFS n’est pas mappé, le flux de déconnexion échoue. Par exemple, avec le paramètre fédéré v2/logout?federated&... l’utilisateur n’est pas redirigé vers le point de terminaison de déconnexion SAML ADFS, mais est redirigé directement vers l’URL de rappel de l’application. En conséquence, l’utilisateur n’est pas déconnecté de l’IdP dans ce cas.

Solution

Ajoutez l’attribut Name identifiant en tant que règle sur la partie de confiance relayée par ADFS

Si vous souhaitez utiliser la SSO initiée par l’IdP, veuillez vous adresser à votre fournisseur d’identité SAML et assurez-vous d’inclure le paramètre de connexion dans l’URL de renvoi (également appelée Assertion Consumer Service URL) [URL de rappel suggérée].

La requête vers /login/callback (connexion/rappel) n’inclut pas de paramètre connection=xxxx dans la chaîne de requête.

Solution

Incluez le paramètre connection=xxxx dans la chaîne de requête.