Fehlermeldungen zu SAML-Apps

In diesem Artikel erfahren Sie mehr über Fehlermeldungen zu SAML-Apps (Security Assertion Markup Language) und dazu, wie Sie die Fehler beheben.

SAML-Anfragen und -Antworten codieren oder decodieren

Mit dem Tool „Codieren/Decodieren“ können Sie eine SAML-Anfrage und die dazugehörige Antwort aus einer HAR-Datei (HTTP Archive Format) in für Menschen lesbarer Form darstellen lassen. So vereinfachen Sie die Fehlerbehebung. Gehen Sie einfach zu https://toolbox.googleapps.com/apps/encode_decode/.

Fehlermeldungen beim Erstellen von SAML-Apps

Beim Erstellen einer SAML-App in der Admin-Konsole kann folgende 400-Fehlermeldung angezeigt werden:

400 duplicate entity id (Entitäts-ID bereits vorhanden)

Diese Fehlermeldung wird angezeigt, wenn Sie versuchen, eine Anwendung mit einer bereits vorhandenen Entitäts-ID zu erstellen.

So beheben Sie den Fehler:

Verwenden Sie die bereits konfigurierte Anwendung oder eine andere Entitäts-ID.

500-Fehlermeldungen beim Erstellen von SAML-Apps

Wenn Sie eine SAML-App in der Admin-Konsole erstellen, kann Ihnen in den folgenden Fällen eine 500-Fehlermeldung angezeigt werden:

• Sie klicken im Abschnitt Details zum Google-Identitätsanbieter auf Zertifikat herunterladen oder Metadaten herunterladen und der Back-End-Dienst des Zertifikats ist nicht verfügbar.
• Beim Laden der Schemas unter NameID-Zuordnung oder Attributzuordnung tritt eine Zeitüberschreitung des Schemadienstes ein oder eine Back-End-Ausnahme wird ausgelöst.
• Der Dienst Service Provider Config ist nicht verfügbar und Sie klicken auf Beenden.

So beheben Sie die Fehler:

Warten Sie einen Moment und wiederholen Sie den Vorgang. Falls der Fehler weiterhin auftritt, wenden Sie sich an den Google Cloud-Support.

Laufzeitfehler bei SAML

Die folgenden Fehler können auftreten, wenn Sie die Einmalanmeldung (SSO) über SAML in Abläufen verwenden, die vom Identitätsanbieter (identity provider, IdP) oder vom Dienstanbieter (service provider, SP) initiiert wurden:

403 app_not_configured (App nicht konfiguriert)

Diese Fehlermeldung kann in folgenden Fällen angezeigt werden:

• In einem vom Dienstanbieter initiierten Ablauf wurde die Anwendung, die zur Entitäts-ID in der Anfrage gehört, nicht in der Admin-Konsole erstellt.

• In einem vom Dienstanbieter initiierten Ablauf stimmt die Entitäts-ID, die in der SAML-Anfrage angegeben wurde, mit keiner Entitäts-ID aktuell installierter Apps überein oder jemand hat die Anwendungs-ID (SP ID) manipuliert, die in der vom Identitätsanbieter initiierten URL enthalten ist.

So beheben Sie den Fehler:

1. Bevor Sie die Anfrage initiieren, stellen Sie sicher, dass die Anwendung installiert wurde, zu der die Entitäts-ID in der Anfrage gehört.
2. Überprüfen Sie, ob die Entitäts-ID in der SAML-Anfrage korrekt ist und mit der übereinstimmt, die Sie beim Erstellen der App angegeben haben.
3. Achten Sie darauf, dass die ID des Dienstanbieters (SP ID) in der Anfrage-URL mit derjenigen aus „app-id app_not_enabled“ (App-ID App nicht aktiviert) übereinstimmt.

403 app_not_configured_for_user (App nicht für Nutzer konfiguriert)

So beheben Sie den Fehler:

Überprüfen Sie, ob der Wert im Tag saml:Issuer der SAML-Anfrage mit der Entitäts-ID übereinstimmt, die in der Admin-Konsole im Abschnitt Details zum Dienstanbieter konfiguriert wurde. Beachten Sie die Groß- und Kleinschreibung.

403 app_not_enabled_for_user (App nicht für Nutzer aktiviert)

So beheben Sie den Fehler:

1. Melden Sie sich in der Google Admin-Konsole an.

   Melden Sie sich mit Ihrem Administratorkonto an. Dieses Konto endet nicht auf @gmail.com.

2. Gehen Sie in der Admin-Konsole zu „Menü“  AppsWeb- und mobile Apps.

3. Suchen Sie in der App-Liste die SAML-App, die den Fehler hervorruft.
4. Klicken Sie auf die App, um die zugehörige Einstellungsseite zu öffnen.
5. Klicken Sie auf Nutzerzugriff.
6. Aktivieren Sie die App für alle oder für die Organisation des Nutzers.

400 saml_invalid_user_id_mapping (SAML: ungültige Zuordnung der Nutzer-ID)

Wenn ein Dienstanbieter einen NAMEID-Parameter in der SAML-Anfrage sendet, muss dieser Parameter mit dem übereinstimmen, der beim Identitätsanbieter konfiguriert wurde. Ansonsten wird für die SAML-Anfrage diese Fehlermeldung angezeigt.

So beheben Sie den Fehler:

1. Gehen Sie zu Allgemeine Angaben und suchen Sie den NAMEID-Parameter.
2. Überprüfen Sie, ob der NAMEID-Parameter in der SAML-Anfrage mit dem übereinstimmt, der beim Identitätsanbieter konfiguriert wurde.

400 saml_invalid_sp_id (SAML: ungültige Dienstanbieter-ID)

Dieser Fehler tritt auf, wenn die ID des Dienstanbieters in der URL des Identitätsanbieterablaufs falsch konfiguriert oder manipuliert wurde.

So beheben Sie den Fehler:

1. Gehen Sie zu Allgemeine Angaben und klicken Sie auf das Feld App-ID.

2. Überprüfen Sie, ob die Dienstanbieter-ID in der Anfrage-URL mit der im Feld App-ID übereinstimmt.

In folgenden Fällen wird in der SAML-Antwort der Status DENIED (Abgelehnt) zurückgesendet. Möglicherweise wird Ihnen eine der drei folgenden Fehlermeldungen angezeigt.

SP-initiated Flow Invalid request, ACS URL in request $parameter doesn't match configured ACS URL $parameter (Anfrage „Vom Dienstanbieter initiierter Ablauf ungültig“, ACS-URL in Anfrage $parameter entspricht nicht dem konfigurierten Wert von $parameter für die ACS-URL)

In diesem Fall stimmt die in der SAML-Anfrage angegebene ACS-URL nicht mit der überein, die in der Admin-Konsole für die entsprechende Anwendung konfiguriert wurde.

So beheben Sie den Fehler:

1. Gehen Sie zu Details zum Dienstanbieter.

2. Überprüfen Sie, ob die ACS-URL mit der in der SAML-Anfrage übereinstimmt.

Invalid idpid provided in the url (Ungültige IdP-ID in der URL)

Diese Fehlermeldung besagt, dass die ID des Identitätsanbieters (eine verschleierte Kunden-ID) in der URL manipuliert wurde und nicht korrekt ist. 

So beheben Sie den Fehler:

1. Klicken Sie auf Sicherheit  Einmalanmeldung (SSO) für SAML-Anwendungen einrichten.

2. Besorgen Sie sich den idpid-String vom Ende der URL der Entitäts-ID.

3. Überprüfen Sie, ob die ID des Identitätsanbieters in der Anfrage-URL mit der in der URL der Entitäts-ID übereinstimmt.

IdP-initiated Flow Invalid idpid provided in the request (IdP-initiierter Ablauf: Ungültige IdP-ID in der Anfrage)

Der anrufende Nutzer hat die vom IdP initiierte SSO-URL manipuliert und die IdP-ID zu einer anderen Kunden-ID (verschleiert) geändert.

So beheben Sie den Fehler:

1. Klicken Sie auf Sicherheit  Einmalanmeldung (SSO) für SAML-Anwendungen einrichten.

2. Besorgen Sie sich den idpid-String vom Ende der URL der Entitäts-ID.

3. Überprüfen Sie, ob die ID des Identitätsanbieters in der Anfrage-URL mit der in der URL der Entitäts-ID übereinstimmt.

500-Fehlermeldungen beim Testen eines SAML-SSO-Ablaufs

Wenn Nutzer einen SAML-SSO-Ablauf in Abläufen testen, die vom Identitäts- oder Dienstanbieter initiiert wurden, und Back-End-Vorgänge nicht verfügbar sind, kann eine 500-Fehlermeldung angezeigt werden.

So beheben Sie die Fehler:

Warten Sie und wiederholen Sie den Vorgang. Sollte das Problem weiterhin bestehen, wenden Sie sich an den Google Cloud-Support.

Fehlermeldungen beim Zugriff auf SAML-Apps

1000-Fehlermeldung beim Zugriff auf die Seite einer SAML-App

So beheben Sie den Fehler:

Wenden Sie sich an den Google Cloud-Support.

1000-Fehlermeldung beim Zugriff auf die Einstellungen einer SAML-App

So beheben Sie den Fehler:

Wenden Sie sich an den Google Cloud-Support.

Fehlermeldung beim Löschen des benutzerdefinierten Schemas einer SAML-App

400

Wenn Sie ein benutzerdefiniertes Schema löschen möchten, das als Attributzuordnung für eine bereits gelöschte SAML-App verknüpft wurde, wird diese Fehlermeldung angezeigt. 

So beheben Sie den Fehler:

Wenden Sie sich an den Google Cloud-Support.