관리자를 위한 엔터프라이즈 페더레이션 문제 해결

Omnissa Connect의 엔터프라이즈 페더레이션에서 발생할 수 있는 일반적인 문제들을 제공하고 제안된 문제 해결 단계를 간략하게 설명합니다.

모범 사례

Omnissa Connect 관리자를 위한 엔터프라이즈 페더레이션 문제를 해결할 때 나열된 모범 사례를 따릅니다.

• 특성 이름 및 대/소문자 구분을 항상 확인합니다.
• SAML 응답에 필수 특성(email, firstName, lastName, userName)이 있는지 확인합니다.
• Microsoft Entra ID에 지정되지 않은 인증 방법을 사용합니다.
• SAML 서명 인증서를 정기적으로 확인하고 업데이트합니다.
• 일관된 NameID 형식 및 NameID 값을 유지합니다.
• 구성 변경 사항을 즉시 전달하여 로그인 실패를 방지합니다.

특성 매핑에 대한 Omnissa Community 도움말

특성 매핑에 대한 도움말은 ID 서비스 및 엔터프라이즈 페더레이션에 대한 특성 매핑 문제를 해결하고 최적화하는 방법 문서를 참조하십시오.

Microsoft Entra ID 문제

ID 제공자 Microsoft Entra ID를 사용하여 엔터프라이즈 페더레이션을 구성하는 동안 발생할 수 있는 몇 가지 가능한 문제를 확인합니다.

특성 네임스페이스 문제

• 문제: Omnissa Access가 특성에 대한 네임스페이스 정의를 지원하지 않습니다. Entra ID를 사용하여 엔터프라이즈 페더레이션을 구성할 때 특성 정의에서 Entra ID별 네임스페이스를 그대로 둘 수 없습니다.

  • 해결: Entra ID의 특성 정의에서 특성 네임스페이스를 제거합니다.

• 문제: Entra ID의 네임스페이스 정의가 페더레이션 구성 중에 잘못된 할당을 생성하는 경우가 많습니다.

  • 해결: 특성이 네임스페이스 없이 정의되었는지 확인합니다.
  • 예:
    • 잘못된 형식
      • 할당 이름: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress → Value: user.mail
      • 할당 이름: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname → Value: user.givenname
      • 할당 이름: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name → Value: user.userprincipalname
      • 할당 이름: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname → Value: user.surname
    • 정확한 형식
      • 할당 이름: Unique User Identifier (Name ID) → Value: user.userPrincipalName
      • 할당 이름: email → Value: user.mail
      • 할당 이름: firstName → Value: user.givenName
      • 할당 이름: lastName → Value: user.surname
      • 할당 이름: userName → Value: user.userPrincipalName

인증 방법 문제

• 문제: 관리자가 특정 인증 컨텍스트( urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport)를 정의합니다. 사용자가 지정된 방법을 사용하지 않으면 인증에 실패합니다.
  • 오류 메시지 예:

    Sorry, but we’re having trouble signing you in. 
    AADSTS75011: Authentication method 'Password, MultiFactor' by which the user authenticated with the service doesn't match requested authentication method 'WindowsIntegrated'. Contact the Microsoft Entra SAML Toolkit application owner.
    

  • 해결: 성공적인 로그인에 대해 지정되지 않은 인증 방법을 항상 정의합니다(urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified).

Omnissa Connect의 인증 방법 구성이 잘못되었습니다.

• 문제: Omnissa Access 테넌트 구성을 업데이트해야 합니다.
  • 잘못된 예: Microsoft Entra ID SAML IdP 메서드 | SAML 컨텍스트: urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos
  • 해결: Omnissa Access 테넌트를 올바른 설정으로 업데이트합니다.
    • 정확한 예: Microsoft Entra ID SAML IdP 메서드 | SAML 컨텍스트: urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified | Description: Enter Auth Method description…

일반 문제

엔터프라이즈 페더레이션을 구성하는 동안 발생할 수 있는 몇 가지 가능한 문제를 확인합니다.

특성 대/소문자 구분

• 문제: Omnissa Access의 특성 이름은 대/소문자를 구분합니다.
  • 해결: Omnissa Access에서 사용자 특성 관리에 설명된 대로 특성 이름에 문서화된 대/소문자를 사용합니다.

필수 특성

• 문제: Omnissa Access는 네 가지 특성(email, firstName, lastName, userName)을 필수로 가정합니다. 이러한 네 가지 특성 중 하나라도 누락되면 JIT 프로비저닝이 실패합니다.
  • 해결: 나열된 네 가지 특성이 모두 SAML 응답에 전송되는지 확인합니다.

IdP(ID 제공자)에서 특성 누락

• 문제: 일부 계정에 필수 특성이 없습니다.
  • 해결: IdP 레코드에서 누락된 특성(email, firstName, lastName, userName)을 감사하고 이를 매핑합니다.
  • 감사 레코드 API 예

  "message": "Failed to save jit user" 
  "success": "false" 
  "successAuthMethods": "WS1 SAML IdP Method" 
  "isForceAuth": "false"
  

이름 ID 형식 불일치

• 문제: Omnissa Connect의 NameID 형식이 IdP의 SAML 응답에 있는 NameID 형식과 일치하지 않습니다.
  • 해결: 두 시스템이 동일한 NameID 형식을 사용하는지 확인합니다.
  • 올바른 형식 예: urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified
  • 감사 레코드 예

  { 
      "failedAuthMethods": "[{ 
          \"reason\": \"AUTHENTICATION_FAILURE\", 
          \"authMethod\": \"<IDP_NAME>\", 
          \"failureMessage\": \"Unable to resolve user identity from SAML response subject, IDP[id: <IDP_UUID>, name: <IDP_NAME>], configured format mapping: {urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified: userName}, subject format in SAML response: urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress\" 
          }]", 
      "authMethods": "SAML", 
      "message": "Authentication failed." 
  }
  

NameID 값이 전송되지 않음

• 문제: SAML 응답에 NameID 값이 없으면 로그인이 실패합니다.
  • 해결: NameID 값 특성을 포함해야 합니다.

SAML 서명 인증서 만료

• 문제: 만료된 인증서로 인해 서명 오류가 발생합니다.
  • 해결: IdP 메타데이터를 새 인증서로 업데이트합니다.

Omnissa Connect 비활성화됨

• 문제: Omnissa Connect가 비활성화되었거나 다른 사용자와 통신하지 않고 구성이 변경된 경우 페더레이션 로그인이 실패합니다.
  • 오류 메시지 예:
    • "Failed to retrieve metadata for [Tenant: TenantName, URL: https://idp.example.com/saml/metadata/uniqueGUID, Status: 400 , Message: Bad Request]" } }
    • "message": "Failed to retrieve metadata for [Tenant: TenantName, URL: https://idp.example.com/app/applicationID/sso/saml/metadata, Status: 404 , Message: Not Found]" }
  • 해결: Omnissa Connect를 활성화하거나 원래 구성을 복원합니다.

기타 가능한 문제

지원받기

Omnissa Connect의 홈 페이지를 사용하여 지원 요청을 위해 Customer Connect에 액세스합니다. Omnissa Connect에서 홈 > 리소스로 이동하고 Customer Connect 타일을 선택합니다.

엔터프라이즈 페더레이션 대시보드를 통해 수정할 수 없는 현재 설정 관련 문제가 있거나 다음 작업 중 하나를 수행하려는 경우 Customer Connect에서 지원 요청을 제출할 수 있습니다.

• 페더레이션 설정에 이미 추가되어 있는 도메인 또는 하위 도메인을 제거합니다.
• 모든 도메인 또는 하위 도메인에 대한 페더레이션을 실행 취소합니다.
• ID 제공자 구성을 변경합니다(예: 다른 ID 제공자로 전환 또는 사용자 ID 기본 설정 변경).

엔터프라이즈 페더레이션에 대한 지원 요청을 제출하려면 엔터프라이즈 관리 조직의 소유자 또는 엔터프라이즈 관리자로 로그인해야 합니다.