企業聯盟管理員疑難排解

我們列出 Omnissa Connect 企業聯盟的常見問題，並概述建議的疑難排解步驟。

最佳做法

為 Omnissa Connect 管理員對企業聯盟問題進行疑難排解時，請遵循所列的最佳做法。

• 請務必驗證屬性名稱與區分大小寫。
• 確保在 SAML 回應中包含必要的屬性 (email、firstName、lastName 和 userName)。
• 對 Microsoft Entra ID 使用未指定的驗證方法。
• 定期檢查和更新 SAML 簽署憑證。
• 保持 NameID 格式與 NameID 值的一致性。
• 請即時傳達設定變更，以避免登入失敗。

有關屬性對應的 Omnissa 社群說明文件

如需屬性對應的說明，請參閱如何疑難排解並最佳化 Identity Service 與企業聯盟的屬性對應一文。

Microsoft Entra ID 問題

檢視在使用身分識別提供者 Microsoft Entra ID 設定企業聯盟時可能出現的一些問題。

屬性命名空間問題

• 問題：Omnissa Access 不支援屬性的命名空間定義。使用 Entra ID 設定企業聯盟時，無法在屬性定義中保留 Entra ID 特定的命名空間。

  • 修正：從 Entra ID 的屬性定義中移除命名空間屬性。

• 問題：在 Entra ID 中，命名空間定義常常會在聯盟設定過程中產生不正確的宣告。

  • 修正：確保定義屬性時不含命名空間命名空間。
  • 範例：
    • 不正確的格式
      • 宣告名稱：http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress → Value: user.mail
      • 宣告名稱：http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname → Value: user.givenname
      • 宣告名稱：http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name → Value: user.userprincipalname
      • 宣告名稱：http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname → Value: user.surname
    • 正確的格式
      • 宣告名稱：Unique User Identifier (Name ID) → Value: user.userPrincipalName
      • 宣告名稱：email → Value: user.mail
      • 宣告名稱：firstName → Value: user.givenName
      • 宣告名稱：lastName → Value: user.surname
      • 宣告名稱：userName → Value: user.userPrincipalName

驗證方法問題

• 問題：管理員定義特定的驗證內容 (urn:oasis:names:tc:SAML:2.0:ac:classes:PasswordProtectedTransport)。如果使用者未使用指定的方法，驗證會失敗。
  • 錯誤訊息範例：

    Sorry, but we’re having trouble signing you in. 
    AADSTS75011: Authentication method 'Password, MultiFactor' by which the user authenticated with the service doesn't match requested authentication method 'WindowsIntegrated'. Contact the Microsoft Entra SAML Toolkit application owner.
    

  • 修正：請務必定義未指定的驗證方法，以確保登入成功 (urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified)。

Omnissa Connect 中的驗證方法設定無效

• 問題：Omnissa Access 租用戶組態需要更新。
  • 不正確的範例：Microsoft Entra ID SAML IdP 方法 | SAML 內容：urn:oasis:names:tc:SAML:2.0:ac:classes:Kerberos
  • 修正：將 Omnissa Access 租用戶更新為正確的設定。
    • 正確的範例：Microsoft Entra ID SAML IdP 方法 | SAML 內容：urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified | Description: Enter Auth Method description…

一般問題

檢視在設定企業聯盟時可能出現的一些問題。

屬性區分大小寫

• 問題：Omnissa Access 中的屬性名稱區分大小寫。
  • 修正：請依照在 Omnissa Access 中管理使用者屬性 中的說明，確保屬性名稱的大小寫與文件記載一致。

必要屬性

• 問題：Omnissa Access 將四個屬性視為必要；email、firstName、lastName 和 userName。若缺少這四個屬性中的任何一個，JIT 佈建將會失敗。
  • 修正：確保在 SAML 回應中傳送所有列出的四個屬性。

身分識別提供者 (IdP) 中缺少屬性

• 問題：有些帳戶沒有必要屬性。
  • 修正：稽核 IdP 記錄中缺少的屬性 (email、firstName、lastName 和 userName)，並將其對應。
  • 稽核記錄 API 範例

  "message": "Failed to save jit user" 
  "success": "false" 
  "successAuthMethods": "WS1 SAML IdP Method" 
  "isForceAuth": "false"
  

NameID 格式不符

• 問題：Omnissa Connect 中的 NameID 格式與 IdP 的 SAML 回應中的 NameID 格式不相符。
  • 修正：確保兩個系統使用相同的 NameID 格式。
  • 範例預期格式：urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified
  • 稽核記錄範例

  { 
      "failedAuthMethods": "[{ 
          \"reason\": \"AUTHENTICATION_FAILURE\", 
          \"authMethod\": \"<IDP_NAME>\", 
          \"failureMessage\": \"Unable to resolve user identity from SAML response subject, IDP[id: <IDP_UUID>, name: <IDP_NAME>], configured format mapping: {urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified: userName}, subject format in SAML response: urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress\" 
          }]", 
      "authMethods": "SAML", 
      "message": "Authentication failed." 
  }
  

未傳送 NameID 值

• 問題：如果 SAML 回應中缺少 NameID 值，則登入會失敗。
  • 修正：確保包含 NameID 值屬性。

SAML 簽署憑證到期

• 問題：已過期的憑證會導致簽章錯誤。
  • 修正：使用新憑證更新 IdP 中的中繼資料。

Omnissa Connect 已停用

• 問題：如果 Omnissa Connect 已停用，或在未通知他人的情況下變更了設定，聯盟登入將會失敗。
  • 錯誤訊息範例：
    • "Failed to retrieve metadata for [Tenant: TenantName, URL: https://idp.example.com/saml/metadata/uniqueGUID, Status: 400 , Message: Bad Request]" } }
    • "message": "Failed to retrieve metadata for [Tenant: TenantName, URL: https://idp.example.com/app/applicationID/sso/saml/metadata, Status: 404 , Message: Not Found]" }
  • 修正：啟用 Omnissa Connect 或還原原始組態。

其他可能的問題

取得支援

使用 Omnissa Connect 中的首頁存取 Customer Connect，以滿足您的支援要求。在 Omnissa Connect，移至首頁 > 資源，然後選取 Customer Connect 圖磚。

如果目前設定出現問題但無法透過企業聯盟儀表板進行修正，或當您想要執行下列其中一項作業時，可以在 Customer Connect 提出支援請求：

• 移除已新增至聯盟設定的網域或子網域。
• 復原所有網域和子網域的聯盟。
• 對身分識別提供者組態進行變更，例如，切換至其他身分識別提供者或變更使用者識別喜好設定。

如要針對企業聯盟提出支援請求，請確保您以擁有者或企業管理員身分登入企業的管理組織。