帶有Websphere Application Server v9 CWWSS8017E的MS Azure的TAI：身份驗證錯誤

Question

我正在嘗試在MS Azure AD和位於AWS中的WebSphere v9 CF11服務器之間配置SAML。 但是它沒有意識到TAI的建立

我在這里遵循了所有步驟： https : //www.ibm.com/support/knowledgecenter/en/SSAW57_9.0.0/com.ibm.websphere.nd.multiplatform.doc/ae/tsec_enable_saml_sp_sso.html和https：// //www.ibm.com/support/knowledgecenter/en/SSAW57_9.0.0/com.ibm.websphere.nd.multiplatform.doc/ae/twbs_configuresamlssopartners.html

我已經在WebSphere中安裝了SAMLSA應用程序，導入了Azure管理員提供的元數據文件，還導入了證書。 我已經設置了ACSTrustAssociationInterceptor攔截器，並為服務器輸入了（我認為是）正確的sso_1.sp.acsUrl和其他設置。

SystemOut日志顯示ACSTrustAssociationInterceptor正在加載：

SECJ0121I：信任關聯初始化類com.ibm.ws.security.web.saml.ACSTrustAssociationInterceptor已成功加載

但版本為null：

SECJ0122I：信任協會初始化攔截器簽名：

如上設置所有內容后，當我轉到URL時，它僅顯示：

錯誤403：身份驗證失敗

並且日志中有關於缺少Cookie的錯誤：

SECJ0126E：信任關聯在驗證期間失敗。 異常是com.ibm.websphere.security.WebTrustAssociationFailedException：CWWSS8017E：認證錯誤：單點登錄cookie不存在或無法驗證。 請登錄到SAML身份提供程序，然后重試。

就像從未被“攔截”通過一樣。 只是失敗。 沒有網絡流量去往AD服務器

轉到URL時，應將我重定向到MS登錄名，然后返回到應用程序，但不是

Answer 1

聽起來您可能缺少sso_1.sp.login.error.page屬性定義。 如果沒有該屬性，則期望用戶將轉到IdP來啟動登錄。 如果您定義屬性並將其值設置為IdP的登錄頁面，那么您所獲得的403（由於未經身份驗證）將最終將您重定向到IdP，以從此處啟動登錄過程。

有關更多信息，請參見“書簽樣式”描述： https : //www.ibm.com/support/knowledgecenter/zh-CN/SSAW57_9.0.0/com.ibm.websphere.nd.multiplatform.doc/ae/cwbs_samlssosummary.html