强制门户身份验证失败，并显示“用户不在允许列表中”SAML身份验证配置文件
8881
Created On 07/19/22 13:53 PM - Last Modified 06/07/23 17:40 PM
Symptom
- 身份验证将失败，用户不在允许列表中
- Authd.log 会在认证失败时显示如下日志
pan_auth_cache_user_is_allowed(pan_auth_cache_allowlist_n_grp.c:786): user "user1@sarad.com" is NOT in allow list of auth prof/vsys "SAML Okta-captive portal test/vsys1" (vsys in request "vsys1")
Environment
- GlobalProtect/强制门户
- SAML 在共享位置下配置的身份验证配置文件
- PAN-OS 版本 10.1.0 及以上
Cause
- 当身份验证配置文件配置为共享但响应被复制为 vsys 值作为 vsys1 时，会出现问题。 vsys 值是从请求中填充的，而不是从 get_saml_info 中复制的
Resolution
- 配置SAML验证在特定 vsys 而不是共享位置下的配置文件
Additional Information
身份验证配置文件 (paloaltonetworks.com)