saml-2.0 - 验证 SAML 消息时出错

Question

我正在尝试针对 Java tomcat SAML 的 Okta 快速入门，我对这个主题非常陌生。
当我启动测试应用程序时，我确实看到了 Okta IDP 的链接，单击“开始单点登录”按钮后，我将被重定向到 Okta 地址，其中包含信息“Sining in to SAML - Test”(我的 Okta 测试名称)我再次被重定向到我的应用程序:

<strong>Error</strong>
Error validating SAML message

之后有一个堆栈跟踪

Caused by: org.opensaml.common.SAMLException: <strong>Response doesn't have any valid assertion which would pass subject validation</strong>
at org.springframework.security.saml.websso.WebSSOProfileConsumerImpl.processAuthenticationResponse(WebSSOProfileConsumerImpl.java:229)
at org.springframework.security.saml.SAMLAuthenticationProvider.authenticate(SAMLAuthenticationProvider.java:82)
... 27 more
Caused by: org.opensaml.common.SAMLException: <strong>Local entity is not the intended audience of the assertion in at least one AudienceRestriction</strong>
at org.springframework.security.saml.websso.WebSSOProfileConsumerImpl.verifyAudience(WebSSOProfileConsumerImpl.java:506)
at org.springframework.security.saml.websso.WebSSOProfileConsumerImpl.verifyAssertionConditions(WebSSOProfileConsumerImpl.java:458)
at org.springframework.security.saml.websso.WebSSOProfileConsumerImpl.verifyAssertion(WebSSOProfileConsumerImpl.java:303)
at org.springframework.security.saml.websso.WebSSOProfileConsumerImpl.processAuthenticationResponse(WebSSOProfileConsumerImpl.java:214)
... 28 more

我缺少什么？我究竟做错了什么？
感谢扎克的帮助。

Answer 1

您的 Spring SAML 服务提供商的实体 ID 与 Okta 的 SAML 响应中的目标元素不匹配。比较这两个值并在 Spring SAML 或 Okta 端修复该值。