Perguntas frequentes sobre SSO - CloudSSO: Central de Documentação do Alibaba Cloud

Este tópico responde a algumas perguntas frequentes sobre o logon único (SSO) no CloudSSO.

Visualize uma resposta SAML no navegador

Para solucionar problemas de SSO, visualize a resposta SAML no Google Chrome. As etapas a seguir usam o Google Chrome 108.0.5359.125 (64 bits) como exemplo. As etapas podem variar de acordo com a versão do navegador.

Pressione F12 para abrir o console do DevTools.
Em seguida, clique em Network e selecione Preserve log.
Reproduza o problema.
Na guia Network, pesquise sso no log. Selecione a entrada correspondente, clique em Payload e visualize a resposta SAML.

O que fazer se a mensagem de erro "InvalidSubjectValue" ou "InvalidUser" for exibida durante o SSO?

Causa	Solução
Você não criou nenhum usuário no CloudSSO, ou o nome do usuário criado no CloudSSO difere do nome de usuário no seu provedor de identidade (IdP).	Altere o nome de usuário no CloudSSO para corresponder ao nome de usuário no seu IdP. O nome de usuário no CloudSSO pode ter até 64 caracteres e conter apenas os seguintes caracteres especiais: `@ _ - .`. O nome de usuário no seu IdP também deve atender a esses requisitos. Caso contrário, use um dos seguintes métodos para resolver o problema: Altere o nome de usuário no seu IdP de acordo com os requisitos mencionados. Altere o campo que identifica o usuário de forma exclusiva nas configurações de SSO do seu IdP. Por exemplo, use o endereço de e-mail, que identifica o usuário de forma exclusiva e não contém caracteres especiais. Configure uma regra de conversão para mapear nomes de usuário nas configurações de SSO do seu IdP.
Ocorreu uma falha ao sincronizar o usuário por meio do System for Cross-domain Identity Management (SCIM).	Consulte os logs de sincronização do SCIM no seu IdP e solucione o problema.
O User Principal Name (UPN) do usuário no seu IdP difere do UPN sincronizado com o CloudSSO. A lista a seguir descreve as possíveis causas: O nome de usuário sincronizado com o CloudSSO via SCIM não utiliza um UPN. As configurações de sincronização do SCIM incluem uma regra de conversão de mapeamento de nome de usuário.	Certifique-se de que a regra de conversão nas configurações de SSO do seu IdP seja idêntica à regra das configurações de sincronização do SCIM.

O que fazer se as mensagens de erro "The assertion signature is invalid" e "The assertion signature is invalid or Sigin token expired" forem exibidas durante o logon via SSO?

Causa	Solução
Seu IdP rotacionou o par de chaves pública e privada usado para assinaturas, mas você não atualizou os metadados do IdP no Alibaba Cloud.	Atualize os metadados do seu IdP no Alibaba Cloud. Para isso, baixe o arquivo de metadados mais recente do seu IdP e carregue-o no Alibaba Cloud.
Seu IdP rotacionou o par de chaves pública e privada para assinaturas e você atualizou os metadados do IdP no Alibaba Cloud. Durante a rotação, o IdP ainda pode usar a chave privada original. Os metadados no Alibaba Cloud contêm apenas a nova chave pública.	Especifique tanto a chave pública original quanto a nova chave pública nos metadados do seu IdP. Crie um certificado e não desative nem exclua o certificado original. Em seguida, baixe o novo arquivo de metadados e verifique se a chave pública original e a nova chave pública estão incluídas no arquivo de metadados. Para alguns IdPs, como o Azure AD, o certificado original e o novo certificado estão incluídos no novo arquivo de metadados. Se o novo arquivo de metadados não contiver as chaves públicas original e nova, adicione os certificados manualmente. Primeiro, baixe o arquivo de metadados original nas configurações de SSO do console do CloudSSO. Copie as informações do elemento `X509Certificate`, que correspondem ao certificado original. Em seguida, adicione essas informações ao elemento `KeyDescriptor` do novo arquivo de metadados e salve as alterações. Carregue o novo arquivo de metadados nas configurações de SSO no console do CloudSSO. Ative o novo certificado e desative o certificado original nas configurações de SSO do seu IdP.
O upload do arquivo de metadados falhou porque o tamanho do arquivo é excessivo.	Aguarde a conclusão do upload. Depois, baixe o arquivo de metadados carregado para verificar se o upload terminou com sucesso.

IdP autogerenciado: metadados ausentes ou incorretos

Causa	Resolução
Os parâmetros de metadados não estão em conformidade com o protocolo SAML 2.0.	Configure os parâmetros em conformidade com o protocolo SAML 2.0. SAML 2.0.