azure - TAI for MS Azure with Websphere Application Server v9 CWWSS8017E : Authentication Error

Question

我正在尝试在 MS Azure AD 和位于 AWS 中的 WebSphere v9 CF11 服务器之间配置 SAML。但它不承认 TAI 的设置

我已执行此处的所有步骤:https://www.ibm.com/support/knowledgecenter/en/SSAW57_9.0.0/com.ibm.websphere.nd.multiplatform.doc/ae/tsec_enable_saml_sp_sso.html在这里 https://www.ibm.com/support/knowledgecenter/en/SSAW57_9.0.0/com.ibm.websphere.nd.multiplatform.doc/ae/twbs_configuresamlssopartners.html

我已在 WebSphere 中安装了 SAMLSA 应用程序，导入了 Azure 管理员提供的元数据文件，并导入了证书。我已经设置了 ACSTrustAssociationInterceptor 拦截器并输入(我认为的)正确的 sso_1.sp.acsUrl 和服务器的其他设置。

SystemOut 日志显示 ACSTrustAssociationInterceptor 正在加载:

SECJ0121I:信任关联初始化类 com.ibm.ws.security.web.saml.ACSTrustAssociationInterceptor 已成功加载

但版本为空:

SECJ0122I:信任关联初始化拦截器签名:

按照上述方式全部设置后，当我转到 URL 时，它只会显示:

错误 403:身份验证失败

日志中包含有关缺少 cookie 的错误:

SECJ0126E:验证期间信任关联失败。异常(exception)情况是 com.ibm.websphere.security.WebTrustAssociationFailedException:CWWSS8017E:身份验证错误:单点登录 cookie 不存在或无法验证。请登录 SAML 身份提供商，然后重试。

就好像它从来没有被“拦截”过一样。只是失败了。没有网络流量进入 AD 服务器

当访问 URL 时，它应该将我重定向到 MS 登录，然后返回到应用程序，但事实并非如此

Answer 1

听起来您可能缺少 sso_1.sp.login.error.page 属性定义。如果没有该属性，则用户将前往 IdP 发起登录；如果您定义该属性并将其值设置为 IdP 的登录页面，那么您收到的 403(由于未经身份验证)最终会将您重定向到 IdP，以从那里启动登录过程。

更多信息请参见“书签样式”描述:https://www.ibm.com/support/knowledgecenter/en/SSAW57_9.0.0/com.ibm.websphere.nd.multiplatform.doc/ae/cwbs_samlssosummary.html