Felmeddelanden för SAML-appar

Om du stöter på felmeddelanden i SAML-appen (Security Assertion Markup Language) kan du testa följande felsökningssteg.

Koda eller avkoda SAML-förfrågningar och SAML-svar

Använd SAML-kodnings-/avkodningsverktyget för att behandla en SAML-begäran och ett SAML-svar i läsbar form från filen i HTTP-arkivformat (HAR) för att underlätta felsökningen. Mer information finns på https://toolbox.googleapps.com/apps/encode_decode/.

Fel vid generering av SAML-app

När du skapar en SAML-app i administratörskonsolen kan följande 400-fel visas:

400 duplicerat enhets-id

Det här meddelandet visas om du försöker skapa en app med ett enhets-id som redan finns.

Så här åtgärdar du felet 400 med dubblett av enhets-id:

Använd appen som redan har konfigurerats eller ett annat enhets-id.

500-fel när du skapar en SAML-app

När du skapar en SAML-app i administratörskonsolen kan följande 500-fel visas:

  • Om du klickar på knappen Ladda ned certifikat eller Ladda ned metadata i avsnittet Information om Google-identitetsleverantör när backend-tjänsten för certifikattjänsten inte är tillgänglig visas ett 500-fel högst upp på skärmen.
  • Om schematjänsten överskrider tidsgränsen eller visar ett backend-undantag när scheman läses in i NameID Mapping eller Attribute Mapping visas ett 500-fel högst upp på skärmen.
  • Om tjänsten Service Provider Config inte är tillgänglig visas ett 500-fel högst upp på skärmen när du klickar på Finish.

Så här åtgärdar du eventuella 500-fel vid skapande av SAML-appar:

Vänta en stund och försök sedan igen. Kontakta support för Google Cloud om felen kvarstår.

SAML-körtidsfel

Följande felscenarier kan uppstå när du testar ett SAML-flöde för enkel inloggning (SSO) i flöden som initieras av identitetsleverantören (IdP) eller tjänstleverantören (SP):

403 app_not_configured

Det här felet kan uppstå i följande fall:

  • I ett SP-initierat flöde har appen som motsvarar enhets-id:t som nämns i begäran inte skapats i administratörskonsolen.
  • I ett SP-initierat flöde matchar inte enhets-id:t som anges i SAMLRequest något av enhets-id:na för de appar som för närvarande är installerade. Om någon manipulerar app-id:t (tjänstleverantörs-id) som nämns i den webbadress som initieras av identitetsleverantören visas ett app_not_configured-fel.

Så här åtgärdar du felet 403 app_not_configured:

  1. Se till att appen som motsvarar enhets-id:t som nämns i begäran har installerats innan du initierar begäran.
  2. Kontrollera att enhets-id:t som anges i SAMLRequest är korrekt och matchar det du angav när du skapade appen.
  3. Kontrollera att det tjänstleverantörs-id som överförts i webbadressen för begäran är detsamma som app-id app_not_enabled.

403 app_not_configured_for_user

Så här åtgärdar du felet 403 app_not_configured_for_user:

Kontrollera att värdet i taggen saml:Issuer i SAMLRequest matchar värdet för enhets-id som har konfigurerats i avsnittet Information om SAML-tjänstleverantör i administratörskonsolen. Värdet är skiftlägeskänsligt.

403 app_not_enabled_for_user

Så här åtgärdar du felet 403 app_not_enabled_for_user:

  1. Öppna menyn följt av Appar följt av Webb- och mobilappar i Googles administratörskonsol.

    Administratörsbehörighet för Mobile Device Management krävs.

  2. Leta upp SAML-appen som skapar felet på applistan.
  3. Klicka på appen för att öppna inställningssidan.
  4. Klicka på Användaråtkomst.
  5. Aktivera appen för alla eller för användarens organisation.

400 saml_invalid_user_id_mapping

Om en SP skickar en NAMEID-parameter i SAMLRequest måste denna parameter vara samma som den som konfigurerats på IdP-sidan. I annat fall misslyckas SAMLRequest med det här felet.

Så här åtgärdar du felet 400 saml_invalid_user_id_mapping:

  1. Öppna Grundläggande information och kontrollera parametern NAMEID.
  2. Kontrollera att parametern NAMEID som skickas i SAMLRequest är samma som den som har konfigurerats på IdP-sidan.

400 saml_invalid_sp_id

Det här felet uppstår när tjänstleverantörs-id:t i webbadressen till IdP-flödet är felaktigt på grund av felkonfiguration eller manipulering av webbadressen.

Så här åtgärdar du felet 400 saml_invalid_sp_id:

  1. Öppna Grundläggande information och kontrollera fältet app-id.
  2. Kontrollera att det tjänstleverantörs-id som överförts i webbadressen för begäran är detsamma som app-id:t.

SAML-svaret returnerar statusen AVVISAD i följande scenarier. Något av följande tre relaterade felmeddelanden kan visas.

Ogiltig begäran om tjänstleverantörsinitierat flöde, ACS-webbadress i $parameter för begäran matchar inte konfigurerad $parameter för ACS-webbadress.

I det här fallet matchar inte ACS-webbadressen som anges i SAMLRequest och ACS URL som konfigurerats i administratörskonsolen för motsvarande app.

Så här åtgärdar du felet ACS-webbadressen i begäran $parameter matchar inte den konfigurerade ACS-webbadressen $parameter:

  1. Öppna Uppgifter om tjänstleverantör.
  2. Kontrollera att webbadressen för ACS matchar den i SAMLRequest.

Ogiltigt IdP-id har angetts i webbadressen

IdP-id:t (ett dolt kund-id) som anges i webbadressen har manipulerats och är felaktigt.

Så här åtgärdar du felet med ogiltigt IdP-id i webbadressen:

  1. I Googles administratörskonsol går du till menyn följt av Säkerhet följt av Autentisering följt av SSO med SAML-appar.

    Du måste vara inloggad som avancerad administratör för den här uppgiften.

  2. Hämta strängen idpid från slutet av webbadressen för Enhets-id.
  3. Kontrollera att IdP-id:t i webbadressen för begäran är samma som i webbadressen för enhets-id.

IdP-initierat flöde Ogiltigt IdP-id har angetts i begäran.

Den anropande användaren har manipulerat den IdP-initierade SSO-webbadressen och ändrat IdP ID till ett annat kund-id (obfuskerat).

Så här åtgärdar du felet med ogiltigt IdP-id i begäran:

  1. I Googles administratörskonsol går du till menyn följt av Säkerhet följt av Autentisering följt av SSO med SAML-appar.

    Du måste vara inloggad som avancerad administratör för den här uppgiften.

  2. Hämta strängen idpid från slutet av webbadressen för Enhets-id.
  3. Kontrollera att IdP-id:t i webbadressen för Request är samma som i webbadressen för Enhets-id.

500-fel vid testning av ett SAML SSO-flöde

När användarna testar ett SAML SSO-flöde i IdP-initierade eller SP-initierade flöden kan de stöta på ett av flera 500-fel på grund av att backendprocesser inte är tillgängliga.

Så här åtgärdar du 500-fel när du testar ett SAML SSO-flöde:

Vänta en stund och testa flödet igen. Om det fortfarande inte fungerar kontaktar du supporten för Google Cloud.

Felmeddelanden för åtkomst till SAML-appar

1000 vid åtkomst till SAML-appens sida

Så här åtgärdar du felet med åtkomst till SAML-appsidan:

Kontakta support för Google Cloud.

1000 vid åtkomst till SAML-appens inställningar

Så här åtgärdar du åtkomstfelet för SAML-appinställningarna:

Kontakta support för Google Cloud.

Felmeddelande vid borttagning av användarschema för SAML-appar

400

Det här felet uppstår om du försöker radera ett anpassat schema som är kopplat som en attributmappning för en SAML-app som redan har raderats. Om du har skapat schemat innan problemet åtgärdades kan det här felet uppstå.

Så här åtgärdar du felet med radering av användarschemat för SAML-appar:

Kontakta support för Google Cloud.