SAML Single-Sign-On fehlgeschlagen

• Benutzer können sich nicht mit Single Sign On ( ) bei firewall / panorama SSO anmelden.
• Die Fehlermeldung wird wie folgt empfangen.

SSO Response Status
Status: Failed
SAML single-sign-on failed

• Jede Palo Alto Firewall oder Panorama
• Beliebig PAN-OS .
• Single Signon mit Okta konfiguriert.

• Aus Authentifizierungsprotokollen (authd.log) weist der relevante Teil des protokolls unten auf das Problem hin:

.... username: entered "john_doe@abc.com" != returned "John_Doe@abc.com" from IdP "http://www.okta.com/xxxx" -> reject SAML auth due to security concerns 
.... Error: _handle_request(pan_authd_saml.c:2102): occurs in _parse_sso_response()
     Sent PAN_AUTH_FAILURE SAML response:(authd_id: 6923201339409303840) (SAML err code "2" means SSO failed) (return username 'John_Doe@abc.com')
     

• Beim bei der Assertion verwendeten SAML Username-Wert wird zwischen Groß- und Kleinschreibung unterschieden.
• In diesem Fall muss der Kunde dasselbe Format verwenden, das im SAML NameID-Attribut eingegeben wurde.
• Fehlercode 2 - " SAML Validierung (IdP weiß nicht, wie die Anforderung wie konfiguriert verarbeitet werden soll") " falsche # oder unsignierte Aussteller als Antwort oder ein falsches nameID-Format angegeben.Diese Informationen finden Sie unter diesem Link: SSO Setup-Anleitungen: Anmeldefehlercodes nach SSO Typ

1. Schritt 1 - Überprüfen Sie, welches Benutzernamenformat auf der Seite erwartet SP wird.
2. Schritt 2 - Überprüfen Sie, welchen Benutzernamen Okta in der Assertion sendet.