Общие проблемы SAML

Симптомы:

Аутентификация в Kibana завершается неудачей, и в логах Elasticsearch отображается следующая ошибка:

Cannot find any matching realm for [SamlPrepareAuthenticationRequest{realmName=saml1,
assertionConsumerServiceURL=https://my.kibana.url/api/security/saml/callback}]

Решение:

Для инициирования аутентификации SAML Kibana должна знать, какой домен SAML использовать из тех, что настроены в Elasticsearch. Можно использовать параметр xpack.security.authc.providers.saml.<provider-name>.realm, чтобы явно задать имя домена SAML в Kibana. Оно должно совпадать с именем домена SAML, настроенного в Elasticsearch.

Если вы получаете ошибку, подобную приведенной выше, это, возможно, означает, что значение xpack.security.authc.providers.saml.<provider-name>.realm в вашей конфигурации Kibana неверно. Убедитесь, что оно совпадает с именем настроенного домена в Elasticsearch, которое является строкой после xpack.security.authc.realms.saml. в вашей конфигурации Elasticsearch.

Симптомы:

Аутентификация в Kibana завершается неудачей, и в логах Elasticsearch отображается следующая ошибка:

Authentication to realm saml1 failed - Provided SAML response is not valid for realm
saml/saml1 (Caused by ElasticsearchSecurityException[Conditions [https://some-url-here...]
do not match required audience [https://my.kibana.url]])

Решение:

Получен ответ SAML, адресованный другому поставщику услуг SAML. Обычно это означает, что настроенный идентификатор субъекта поставщика услуг SAML в elasticsearch.yml (sp.entity_id) не соответствует тому, что настроено как идентификатор субъекта поставщика услуг SAML в документации поставщика удостоверений SAML.

Для решения этой проблемы убедитесь, что как домен SAML в Elasticsearch, так и IdP настроены с одинаковой строкой для идентификатора субъекта поставщика услуг SAML.

Симптомы:

Аутентификация в Kibana завершается неудачей, и в логах Elasticsearch отображается следующая ошибка:

Cannot find metadata for entity [your:entity.id] in [metadata.xml]

Решение:

Не удалось найти метаданные для идентификатора субъекта SAML your:entity.id в настроенном файле метаданных (metadata.xml).

Симптомы:

Аутентификация в Kibana завершается неудачей, и в логах Elasticsearch отображается следующая ошибка:

unable to authenticate user [<unauthenticated-saml-user>]
for action [cluster:admin/xpack/security/saml/authenticate]

Решение:

Эта ошибка указывает на то, что Elasticsearch не смог обработать входящее сообщение об аутентификации SAML. Поскольку сообщение не может быть обработано, Elasticsearch не знает, кто является пользователем, который должен пройти аутентификацию, и вместо этого используется заполнитель <unauthenticated-saml-user>. Для диагностики фактической проблемы необходимо проверить лог Elasticsearch на наличие дополнительных подробностей.

Симптомы:

Аутентификация в Kibana завершается неудачей, и в логах Elasticsearch отображается следующая ошибка:

Authentication to realm <saml-realm-name> failed - SAML Attribute [<AttributeName0>] for
[xpack.security.authc.realms.saml.<saml-realm-name>.attributes.principal] not found in saml attributes
[<AttributeName1>=<AttributeValue1>, <AttributeName2>=<AttributeValue2>, ...] or NameID [ NameID(format)=value ]

Решение:

Эта ошибка указывает на то, что Elasticsearch не смог найти необходимый атрибут SAML в ответе SAML, отправленном поставщиком удостоверений. В данном примере Elasticsearch настроен следующим образом:

xpack.security.authc.realms.saml.<saml-realm-name>.attributes.principal: AttributeName0

Эта конфигурация означает, что Elasticsearch ожидает найти атрибут SAML с именем AttributeName0 или NameID с соответствующим форматом в ответе SAML, чтобы он мог сопоставить его с свойством пользователя principal. Свойство пользователя principal является обязательным, поэтому если это сопоставление не удается, аутентификация завершается неудачей.

Если вы пытаетесь сопоставить NameID, убедитесь, что ожидаемый формат NameID соответствует отправленному. Подробности см. в разделе Специальные имена атрибутов.

Если вы пытаетесь сопоставить атрибут SAML, и он не входит в список в сообщении об ошибке, это может означать, что вы ошиблись в написании имени атрибута или что IdP не отправляет этот конкретный атрибут. Возможно, вы сможете использовать другой атрибут из списка для сопоставления со свойством principal, или проконсультируйтесь с администратором IdP, чтобы определить, можно ли отправить требуемый атрибут.

Симптомы:

Аутентификация в Kibana завершается неудачей, и в логах Elasticsearch отображается следующая ошибка:

Cannot find [{urn:oasis:names:tc:SAML:2.0:metadata}IDPSSODescriptor]/[urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect] in descriptor

Решение:

Эта ошибка указывает на то, что метаданные SAML вашего поставщика удостоверений не содержат конечную точку <SingleSignOnService> с типом связи HTTP-Redirect (urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect). Elasticsearch поддерживает только тип связи HTTP-Redirect для запросов аутентификации SAML (и не поддерживает тип связи HTTP-POST). Обратитесь к администратору IdP, чтобы включить по крайней мере один тип связи <SingleSignOnService>, поддерживающий тип связи HTTP-Redirect, и обновите метаданные SAML IdP.

Симптомы:

Аутентификация в Kibana завершается неудачей, и в логах Elasticsearch отображается следующая ошибка:

Authentication to realm my-saml-realm failed -
Provided SAML response is not valid for realm saml/my-saml-realm
(Caused by ElasticsearchSecurityException[SAML Response is not a 'success' response:
 The SAML IdP did not grant the request. It indicated that the Elastic Stack side sent
 something invalid (urn:oasis:names:tc:SAML:2.0:status:Requester). Specific status code which might
 indicate what the issue is: [urn:oasis:names:tc:SAML:2.0:status:InvalidNameIDPolicy]]
)

Решение:

Это означает, что поставщик удостоверений SAML не смог пройти аутентификацию пользователя и отправил ответ SAML поставщику услуг (Elastic Stack), указав об этом неудаче. Сообщение сообщит, считает ли поставщик удостоверений SAML, что проблема связана с поставщиком услуг (Elastic Stack) или самим поставщиком удостоверений, и конкретный код состояния, который следует за ним, очень полезен, так как он обычно указывает на основную проблему. Список конкретных кодов ошибок определен в Спецификации SAML 2.0 Core - Раздел 3.2.2.2, и наиболее часто встречающимися являются:

Симптомы:

Аутентификация в Kibana завершается неудачей, и в логах Elasticsearch отображается следующая ошибка:

The XML Signature of this SAML message cannot be validated. Please verify that the saml
realm uses the correct SAMLmetadata file/URL for this Identity Provider

Решение:

Это означает, что Elasticsearch не смог проверить цифровую подпись сообщения SAML, отправленного поставщиком удостоверений. Elasticsearch использует открытый ключ поставщика удостоверений, который включён в метаданные SAML, для проверки подписи, созданной IdP с помощью соответствующего закрытого ключа. Невозможность этого может иметь ряд причин:

Симптомы:

Пользователи не могут войти в систему с локальным именем пользователя и паролем в Kibana, так как SAML включён.

Решение:

Если вы хотите, чтобы ваши пользователи могли использовать локальные учетные данные для аутентификации в Kibana помимо использования домена SAML для единого входа, вы должны включить basic authProvider в Kibana. Процесс описан в Руководстве SAML