全部產品
Search

搜尋本產品

    CloudSSO：單點登入（SSO）常見問題

    文件中心

    CloudSSO：單點登入（SSO）常見問題

    更新時間：Jul 13, 2024

    本文為您介紹雲SSO中單點登入（SSO）相關的一些常見問題。

    如何在瀏覽器中查看SAML響應？

    當您在單點登入過程中遇到問題時，您可以在Google Chrome瀏覽器中，查看SAML響應，方便定位問題。不同瀏覽器版本的操作可能略有差異，如下以Google Chrome 108.0.5359.125（64位）為例，為您介紹具體的操作步驟。

    1. 按F12，開啟開發人員工具控制台。

    2. 單擊Network頁簽，然後選中Preserve log。

    3. 重現問題。

    4. 在Network的日誌資料中，尋找sso。選擇目標資料，單擊Payload頁簽，查看SAML響應。

    單點登入時，報錯“InvalidSubjectValue”或“InvalidUser”，怎麼辦？

    問題原因解決方案
    在雲SSO中沒有建立使用者，或建立的雲SSO使用者名稱與IdP中的使用者名稱不一致。
    • 修改雲SSO使用者名稱，使其與IdP中的使用者名稱保持一致。
    • 因雲SSO使用者名稱存在字元限制，只能包含英文字母、數字和特殊字元@_-.，最多64個字元，所以IdP中的使用者名稱需要遵從雲SSO的這個字元限制。如果不滿足，請嘗試以下方法：
      • 修改IdP中的使用者名稱，使其符合雲SSO的字元要求。
      • 修改IdP單點登入配置中唯一標識使用者的欄位。您可以選擇E-mail等其他能唯一標識使用者且不帶有特殊字元的欄位。
      • 在IdP單點登入配置中設定使用者名稱對應的轉換規則。
    SCIM使用者同步沒有成功。查詢IdP中SCIM同步處理記錄，尋找同步失敗的原因做對應處理。
    同一個使用者，IdP中的UPN和同步到雲SSO中的UPN不一致。可能的情況：
    • SCIM同步時選擇同步到雲SSO的使用者名稱使用的不是UPN。
    • SCIM同步配置了使用者名稱對應的轉換規則。
    		在IdP單點登入配置中設定的使用者名稱對應轉換規則與SCIM同步中的配置的保持一致。

    SSO登入時，報錯“The assertion signature is invalid” 和“The assertion signature is invalid 或 Sigin token到期”，怎麼辦？

    問題原因解決方案
    企業IdP中使用的簽名公私密金鑰對發生了輪轉，但未更新在阿里雲中配置的IdP中繼資料。更新在阿里雲中配置的IdP中繼資料。您可以從企業IdP下載最新的中繼資料檔案，重新上傳到阿里雲中。
    企業IdP中使用的簽名公私密金鑰對發生了輪轉，且更新了在阿里雲中配置的IdP中繼資料。但IdP在輪轉期間可能仍在使用舊的私密金鑰，而阿里雲中配置的中繼資料只包含新的公開金鑰。在阿里雲中配置的IdP中繼資料應該同時包含新舊公開金鑰。配置包含兩個公開金鑰的中繼資料方法如下：
    • 建立新的認證（不要禁用或刪除舊認證）。
    • 下載新的中繼資料檔案，確認中繼資料檔案中是否包含新舊認證公開金鑰。
      • 部分IdP（例如：Azure AD）的中繼資料檔案自動包含新舊認證。
      • 如果中繼資料檔案未包含新舊認證公開金鑰，需要手動修改中繼資料檔案添加認證。在雲SSO的單點登入配置中下載舊的中繼資料檔案，在中繼資料檔案中的KeyDescriptor的部分，複製X509Certificate原認證資訊，粘貼到新的中繼資料檔案中相同位置，然後儲存。
      • 雲SSO的單點登入配置中上傳新的中繼資料檔案。
      • 在IdP單點登入配置中啟用新的認證，禁用老的認證。
    中繼資料檔案較大導致上傳沒有成功。請在上傳檔案後稍等片刻，直至上傳完成。完成後，下載中繼資料檔案檢查上傳內容是否完整。

    自建IdP的metadata參數缺失或參數不正確，怎麼辦？

    問題原因

    解決方案

    metadata參數未按SAML 2.0協議配置。

    參照SAML 2.0協議正確配置參數。更多資訊，請參見SAML 2.0。