Solución de problemas
¿Qué debo proporcionar al Soporte y al Departamento de Ingeniería de Citrix cuando abro un caso de soporte de SAML?
En caso de que necesite ayuda con un problema relacionado con SAML, el Soporte y el Departamento de Ingeniería de Citrix requieren la siguiente información:
- Incluya suficiente contexto y describa su escenario de inicio de sesión y su entorno de Citrix o Active Directory.
- Qué eDocs de Citrix siguió durante la configuración inicial.
- Capturas de pantalla y detalles de su aplicación SAML dentro de su IdP.
- Detalles de su Active Directory.
- Un archivo de rastreo SAML (
.json) de la extensión de navegador SAML tracer. - Un archivo HAR (
.har) de las herramientas de desarrollo de su navegador. - Detalles de los usuarios finales o usuarios administradores de Citrix Cloud que funcionan y los que fallan.
- La IP pública del llamante de la máquina que realiza un inicio de sesión SAML en el almacén o en Citrix Cloud.
Capturar rastreos SAML para el Soporte y el Departamento de Ingeniería de Citrix
El Departamento de Ingeniería y Soporte de Citrix recomienda el uso de la extensión de navegador SAML-tracer para toda la depuración de SAML, así como los archivos .HAR generados por las herramientas de desarrollo del navegador. Esta extensión está disponible para la mayoría de los navegadores web comunes y exporta archivos .JSON. La extensión decodifica las solicitudes y respuestas SAML en XML, lo que las hace legibles para humanos y mucho más fáciles de entender y depurar.
¿Cómo recopilo un archivo HAR de mi navegador para enviarlo al Soporte y al Departamento de Ingeniería de Citrix?
Para obtener más información, consulte el artículo Recopilar archivo HAR
Herramientas útiles de depuración de SAML de terceros
IMPORTANTE:
Citrix no asume ninguna responsabilidad cuando se utilizan herramientas de terceros con fines de depuración. Utilice y acceda a herramientas y sitios web de terceros bajo su propio riesgo.
| Herramienta | Propósito |
|---|---|
| https://www.samltool.io/ | Decodifica solicitudes y respuestas SAML en base 64 |
| https://www.sslshopper.com/certificate-decoder.html | Decodifica datos de certificados |
| https://www.rcfed.com/SAMLWSFed/MetadataCertificateExtract | Extrae certificados de firma y cifrado como archivos de los metadatos SAML |
| https://www.whatismyip.com/ | Proporciona la IP del llamante del cliente que intenta iniciar sesión en SAML. |
Errores de atributo
Los errores de atributo pueden surgir bajo cualquiera de las siguientes condiciones:
- Los atributos obligatorios de su configuración SAML no están codificados correctamente.
- Los atributos
cip_sidycip_upnfaltan en la aserción SAML. - Los atributos
cip_sidocip_oidfaltan en la aserción SAML y Citrix Cloud no puede recuperarlos de Active Directory debido a un problema de conectividad.
Cuando se produce un error de atributo, Citrix Cloud muestra un mensaje de error que incluye los atributos defectuosos.
Mensaje de error de atributo con cip_oid citado(/es-es/citrix-cloud/media/saml-idp-missing-attribute-error.png)
Para resolver este tipo de error:
-
Asegúrese de que su proveedor SAML envíe los atributos obligatorios con la codificación correcta, como se muestra en la siguiente tabla. Como mínimo, debe incluirse el atributo SID o UPN.
Atributo Codificación Obligatorio cip_email Debe estar en formato de cadena ( user@domain)cip_oid Debe estar en formato Base64 o String cip_sid Debe estar en formato Base64 o String Sí, si no se utiliza cip_upncip_upn Debe estar en formato String ( user@domain)Sí, si no se utiliza cip_sid -
verificar que los Cloud Connectors están en línea y en buen estado para que Citrix Cloud pueda recuperar los atributos que le falten. Para obtener más información, consulte Comprobaciones avanzadas de estado de Cloud Connector.
Errores inesperados
Citrix Cloud puede experimentar un error inesperado cuando:
- Un usuario inicia una solicitud SAML mediante un flujo iniciado por IDP. Por ejemplo, la solicitud se realiza seleccionando un icono a través del portal de aplicaciones del proveedor de identidades en lugar de navegar directamente a la URL de la tienda (
customer.cloud.com). - El certificado SAML no es válido o ha caducado.
- El contexto de autenticación no es válido.
- La aserción SAML y la firma de respuesta no coinciden.
Cuando se produce este error, Citrix Cloud muestra un mensaje de error genérico.
Si este error se produce al navegar a Citrix Cloud a través del portal de aplicaciones de un proveedor de identidades, puede utilizar la siguiente solución alternativa:
- Cree una aplicación de marcador en el portal de aplicaciones del proveedor de identidades que haga referencia a la URL de su tienda (por ejemplo,
https://customer.cloud.com). - Asigne usuarios tanto a la aplicación SAML como a la aplicación de marcador.
- Cambie la configuración de visibilidad de la aplicación SAML y la aplicación de marcador para que la aplicación de marcador sea visible y la aplicación SAML esté oculta en el portal de aplicaciones.
- Deshabilite la configuración Solicitar siempre a los usuarios finales sus credenciales en Citrix® StoreFront Cloud para eliminar las solicitudes de contraseña adicionales. Para obtener instrucciones, consulte Solicitar siempre a los usuarios finales sus credenciales.
En este artículo
- ¿Qué debo proporcionar al Soporte y al Departamento de Ingeniería de Citrix cuando abro un caso de soporte de SAML?
- Capturar rastreos SAML para el Soporte y el Departamento de Ingeniería de Citrix
- ¿Cómo recopilo un archivo HAR de mi navegador para enviarlo al Soporte y al Departamento de Ingeniería de Citrix?
- Herramientas útiles de depuración de SAML de terceros
- Errores de atributo
- Errores inesperados