Resolução de Problemas da Federação Empresarial para Administradores

Oferecemos uma lista de problemas comuns que podem ocorrer com a federação empresarial no Omnissa Connect e descrevemos as etapas sugeridas de solução de problemas.

Boas práticas

Siga as boas práticas listadas ao solucionar problemas de federação empresarial para administradores do Omnissa Connect.

• Sempre verifique os nomes dos atributos e a diferenciação de maiúsculas e minúsculas.
• Certifique-se de que os atributos obrigatórios estejam presentes nas respostas SAML (email, firstName, lastName e userName).
• Use um método de autenticação não especificado para o Microsoft Entra ID.
• Verifique e atualize regularmente os certificados de Assinatura SAML.
• Mantenha o formato de NameID e os valores de NameID consistentes.
• Comunique as alterações de configuração prontamente para evitar falhas de login.

Ajuda da Comunidade da Omnissa com mapeamentos de atributos

Consulte o artigo Como Solucionar Problemas e Otimizar Mapeamentos de Atributos para o Identity Service e a Federação Empresarial para obter ajuda com o mapeamento de atributos.

Problemas do Microsoft Entra ID

Veja alguns possíveis problemas que podem surgir ao configurar a federação empresarial com o provedor de identidade do Microsoft Entra ID.

Problemas com Namespaces de atributos

• Problema: o Omnissa Access não oferece suporte a definições de Namespace para atributos. Ao configurar a federação empresarial usando o Entra ID, você não pode deixar o Namespace específico do Entra ID nas definições de atributo.

  • Correção: remova o atributo do Namespace das definições de atributo no Entra ID.

• Problema: muitas vezes, as definições de Namespace no Entra ID criam declarações incorretas durante a configuração da federação.

  • Correção: certifique-se de que os atributos sejam definidos sem Namespace.
  • Exemplos:
    • Formatos incorretos
      • Nome da reivindicação: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress → Value: user.mail
      • Nome da reivindicação: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname → Value: user.givenname
      • Nome da reivindicação: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name → Value: user.userprincipalname
      • Nome da reivindicação: http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname → Value: user.surname
    • Formatos corretos
      • Nome da reivindicação: Unique User Identifier (Name ID) → Value: user.userPrincipalName
      • Nome da reivindicação: email → Value: user.mail
      • Nome da reivindicação: firstName → Value: user.givenName
      • Nome da reivindicação: lastName → Value: user.surname
      • Nome da reivindicação: userName → Value: user.userPrincipalName

Problemas com o método de autenticação

• Problema: um administrador define um contexto de autenticação específico ( urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport). Se um usuário não usar o método especificado, a autenticação falhará.
  • Exemplo de mensagem de erro:

    Sorry, but we’re having trouble signing you in. 
    AADSTS75011: Authentication method 'Password, MultiFactor' by which the user authenticated with the service doesn't match requested authentication method 'WindowsIntegrated'. Contact the Microsoft Entra SAML Toolkit application owner.
    

  • Correção: sempre defina o método de autenticação não especificado para logins bem-sucedidos (urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified).

Configuração Inválida do Método de Autenticação no Omnissa Connect

• Problema: a configuração do locatário do Omnissa Access precisa de atualização.
  • Exemplo incorreto: contexto SAML | do método IdP SAML do Microsoft Entra ID: urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos
  • Correção: atualize o locatário do Omnissa Access para as configurações corretas.
    • Exemplo correto: contexto SAML | do método IdP SAML do Microsoft Entra ID: urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified | Description: Enter Auth Method description…

Problemas gerais

Veja alguns possíveis problemas que podem surgir ao configurar a federação empresarial.

Distinção entre maiúsculas e minúsculas

• Problema: os nomes de atributo no Omnissa Access diferenciam maiúsculas e minúsculas.
  • Correção: use o caso documentado para nomes de atributo, conforme descrito em Gerenciamento de Atributos de Usuário no Omnissa Access.

Atributos obrigatórios

• Problema: o Omnissa Access assume quatro atributos como obrigatórios; email, firstName, lastNamee userName. A falta de qualquer um desses quatro atributos faz com que o provisionamento JIT falhe.
  • Correção: verifique se todos os quatro atributos listados são enviados na resposta SAML.

Atributos ausentes no provedor de identidade (IdP)

• Problema: algumas contas não têm atributos obrigatórios.
  • Correção: audite o registro IdP para os atributos ausentes (email, firstName``lastName, e userName) e mapeie-os.
  • Exemplo de API de registro de auditoria

  "message": "Failed to save jit user" 
  "success": "false" 
  "successAuthMethods": "WS1 SAML IdP Method" 
  "isForceAuth": "false"
  

Incompatibilidade de formato do ID de nome

• Problema: o formato de NameID no Omnissa Connect não corresponde ao formato de NameID na resposta SAML do IdP.
  • Correção: verifique se ambos os sistemas usam o mesmo formato NameID.
  • Exemplo de formato esperado: urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified
  • Exemplo de registro de auditoria

  { 
      "failedAuthMethods": "[{ 
          \"reason\": \"AUTHENTICATION_FAILURE\", 
          \"authMethod\": \"<IDP_NAME>\", 
          \"failureMessage\": \"Unable to resolve user identity from SAML response subject, IDP[id: <IDP_UUID>, name: <IDP_NAME>], configured format mapping: {urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified: userName}, subject format in SAML response: urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress\" 
          }]", 
      "authMethods": "SAML", 
      "message": "Authentication failed." 
  }
  

Valor de NameID não enviado

• Problema: se o valor de NameID estiver ausente na resposta SAML, os logins falharão.
  • Correção: certifique-se de incluir o atributo de valor de NameID.

Expiração do certificado de assinatura SAML

• Problema: certificados expirados causam erros de assinatura.
  • Correção: atualize os metadados do IdP com novos certificados.

Omnissa Connect desativado

• Problema: se o Omnissa Connect estiver desativado ou se as configurações tiverem sido alteradas sem comunicação a outras pessoas, os logins de federação falharão.
  • Exemplos de mensagens de erro:
    • "Failed to retrieve metadata for [Tenant: TenantName, URL: https://idp.example.com/saml/metadata/uniqueGUID, Status: 400 , Message: Bad Request]" } }
    • "message": "Failed to retrieve metadata for [Tenant: TenantName, URL: https://idp.example.com/app/applicationID/sso/saml/metadata, Status: 404 , Message: Not Found]" }
  • Correção: ative o Omnissa Connect ou restaure as configurações originais.

Outros possíveis problemas

Obter Suporte

Use a página Início no Omnissa Connect para acessar o Customer Connect para suas solicitações de suporte. No Omnissa Connect, vá para Início > Recursos e selecione o bloco Customer Connect.

Você registra solicitações de suporte no Customer Connect quando há problemas com sua configuração atual que não é possível reparar por meio do dashboard de Federação Empresarial ou quando deseja executar uma das seguintes operações:

• Remover um domínio ou subdomínio que já está adicionado à configuração da federação.
• Desfazer a federação para todos os domínios e subdomínios.
• Fazer alterações na configuração do provedor de identidade, como alternar para um provedor de identidade diferente ou alterar a preferência de identificação do usuário.

Para registrar uma solicitação de suporte para federação empresarial, verifique se você está conectado como Proprietário ou Administrador Empresarial na Organização de Gerenciamento da sua empresa.