Die SAML-Authentifizierung mit Cloud Identity Engine (CIE) schlägt mit der Meldung „CSP-ID stimmt nicht überein“ in den Systemprotokollen fehl.

• Das Authentifizierungsprofil ist so konfiguriert, dass Cloud Identity Engine (CIE) als SAML-Anbieter verwendet wird.
• Die Client-Authentifizierung schlägt mit der folgenden Meldung im Systemprotokoll ( show log system ) und authd.log fehl.

Failed to parse CAS token from client 'xxx.xxx.xxx.xxx' from 'https://cloud-auth.jp.apps.paloaltonetworks.com/auth' with auth_session_id 
'********-****-****-****-************' : CSP ID mismatch (received AAA vs on-device BBB) for CAS profile "********-****-****-****-************" ; 
tenant "<TENANT_ID>" ; region "<REGION>" ; username "<USERNAME>"

• Palo Alto Firewalls der nächsten Generation (NGFW)
• Cloud Identity Engine (CIE) ist aktiviert
• Firewalls, die CIE als SAML-Authentifizierungsanbieter verwenden

Wie in der Fehlermeldung angezeigt, sind die CSP-ID, die CIE zuordnet ( AAA in der obigen Beispiel-Protokollnachricht), und die lokal vom Authd-Prozess zwischengespeicherte CSP-ID ( BBB in der obigen Beispiel-Protokollnachricht) unterschiedlich.

Dieses Problem kann behoben werden, indem der Authd-Prozess mit dem folgenden CLI-Befehl neu gestartet wird:

> debug software restart process authd