FortiGate调用Azure SAML Group不匹配，报错显示

最新推荐文章于 2024-04-23 19:05:55 发布

叫我小火柴

最新推荐文章于 2024-04-23 19:05:55 发布

阅读量2.7k

点赞数

分类专栏： # FortiGate 技术小贴士文章标签：网络网络安全

本文链接：https://blog.csdn.net/hqj7394314/article/details/122986196

版权

本文详细介绍了在FortiGate设备上遇到的Azure SAML Group匹配失败，导致用户登录Web SSL-VPN时出现“Session Ended”错误的情况。通过排查发现是Azure Portal中用户属性和声明配置问题，解决方案是正确设置SAML的组声明以匹配FortiGate上的组名。配置包括在Azure中添加组声明，调整FortiGate的SAML和用户组设置，确保组ID能成功匹配。

摘要由CSDN通过智能技术生成

场景：

本文主要介绍FortiGate未从Azure上获取group-id的attributes属性参数，导致组不匹配的问题处理方法。

细节：

当用户尝试使用Azure SAML Group账号通过Web SSL-VPN登录，在输入账号用户名和密码后，用户会立即在浏览器中显示“Session Ended(会话结束)”的提示，并出现错误“/remote/logoutok”。

对SAML登录过程进行故障排除，我们可以在尝试登录时输入以下命令收集相关信息：
# diagnose vpn ssl debug-filter src-addr 1.1.1.1 //过滤SSLVPN源地址
# diagnose debug application samld -1
# diagnose debug application sslvpn -1
# diagnose debug enable

注：这里对组的 samld 响应：未获取属性值。

在Azure Portal中验证配置后，在“用户属性和声明(Users Attributes & Claims)”下，类似于为“用户名(username)”添加“新声明(new claim)”以定义属性的配置。这里的“组(group)”也被配置为“源属性(source attribute)”为“user.groups”。

删除了现有的声明名称“组”并添加了“组声明(group claim)”，在这里我们可以