SAML 认证失败与错误："在验证 SAML 从IdP收到的消息签名时失败"
43995
Created On 01/24/21 19:00 PM - Last Modified 03/26/21 18:57 PM
Symptom
SAML 身份验证失败，并看到以下错误消息：
Failure while validating the signature of SAML message received from the IdP, because the certificate
in the SAML Message doesn't match the IDP certificate configured on the IdP Server Profile.
Environment
- 任何帕洛阿尔托 Firewall 或 Panorama .
- 任何 PAN-OS 版本。
- SAML 配置。
Cause
当用户请求服务或应用程序时， firewall 或 Panorama 截获请求并将用户重定向到 IdP 进行身份验证。 然后，IDP 对用户进行身份验证并返回 SAML 断言。 在这种情况下，IDP 发送的断言与之前导入的元数据文件中的证书不同 firewall 。
Resolution
- 将 SAML 元数据文件从 IdP 导出到可以访问的端点 firewall 。
- 转到 GUI ： 设备>服务器配置文件> SAML 身份提供商。
- 单击选项卡 底部 的"导入"按钮，然后选择元数据文件从 IdP 重新导入证书。
- 转到 GUI ：设备>身份验证配置文件，使用旧的身份提供商查找配置文件 SAML ，并将旧配置文件名称替换为新的配置文件名称。
- 如果身份验证在执行上述步骤后仍因证书错误而失败，则在 IdP 上生成新证书，使其处于活动状态，然后再次执行步骤 1-4。