Dépannage
-
Quelles informations dois-je fournir au support et à l’ingénierie Citrix lorsque j’ouvre un cas de support SAML ?
-
Si vous avez besoin d’aide pour un problème lié à SAML, le support et l’ingénierie Citrix requièrent les informations suivantes :
- Incluez un contexte suffisant et décrivez votre scénario de connexion ainsi que votre environnement Citrix ou Active Directory.
- Les eDocs Citrix que vous avez suivis lors de la configuration initiale.
- Des captures d’écran et les détails de votre application SAML au sein de votre IdP.
- Les détails de votre Active Directory.
- Un fichier SAML-tracer (
.json) provenant de l’extension de navigateur SAML tracer. - Un fichier HAR (
.har) provenant des outils de développement de votre navigateur. - Les détails des utilisateurs finaux Workspace ou des administrateurs Citrix Cloud qui fonctionnent et ceux qui échouent.
- L’adresse IP publique de la machine effectuant une connexion SAML à Workspace ou Citrix Cloud.
Capturer les traces SAML pour le support et l’ingénierie Citrix
L’ingénierie et le support Citrix recommandent l’utilisation de l’extension de navigateur SAML-tracer pour tous les débogages SAML, ainsi que les fichiers .HAR générés par les outils de développement du navigateur. Cette extension est disponible pour la plupart des navigateurs web courants et exporte des fichiers .JSON. L’extension décode les requêtes et réponses SAML en XML, ce qui les rend lisibles par l’homme et beaucoup plus faciles à comprendre et à déboguer.
Comment collecter un fichier HAR depuis mon navigateur pour l’envoyer au support et à l’ingénierie Citrix ?
Pour plus d’informations, consultez l’article Collecter un fichier HAR
Outils de débogage SAML tiers utiles
-
IMPORTANT :
-
Citrix décline toute responsabilité lorsque des outils tiers sont utilisés à des fins de débogage. L’utilisation et l’accès aux outils et sites web tiers se font à vos propres risques.
| Outil | Objectif |
|---|---|
| https://www.samltool.io/ | Décode les requêtes et réponses SAML en Base64 |
| https://www.sslshopper.com/certificate-decoder.html | Décode les données de certificat |
| https://www.rcfed.com/SAMLWSFed/MetadataCertificateExtract | Extrait les certificats de signature et de chiffrement sous forme de fichiers à partir des métadonnées SAML |
| https://www.whatismyip.com/ | Fournit l’adresse IP de l’appelant du client qui tente une connexion SAML. |
Erreurs d’attribut
Des erreurs d’attribut peuvent survenir dans l’une des conditions suivantes :
- Les attributs requis dans votre configuration SAML ne sont pas encodés correctement.
- Les attributs
cip_sidetcip_upnsont manquants dans l’assertion SAML. - Les attributs
cip_sidoucip_oidsont manquants dans l’assertion SAML et Citrix Cloud ne peut pas les récupérer d’Active Directory en raison d’un problème de connectivité.
Lorsqu’une erreur d’attribut se produit, Citrix Cloud affiche un message d’erreur qui inclut les attributs défectueux.
Pour résoudre ce type d’erreur :
-
Assurez-vous que votre fournisseur SAML envoie les attributs requis avec l’encodage correct, comme indiqué dans le tableau suivant. Au minimum, l’attribut SID ou UPN doit être inclus.
Attribut Encodage Requis cip_email Doit être au format chaîne ( user@domain)cip_oid Doit être au format Base64 ou chaîne cip_sid Doit être au format Base64 ou chaîne Oui, si cip_upnn’est pas utilisécip_upn Doit être au format chaîne ( user@domain)Oui, si cip_sidn’est pas utilisé -
Vérifiez que les Cloud Connectors sont en ligne et sains afin que Citrix Cloud puisse récupérer les attributs manquants dont il a besoin. Pour plus d’informations, consultez Vérifications avancées de l’état du Cloud Connector.
Erreurs inattendues
Citrix Cloud peut rencontrer une erreur inattendue lorsque :
- Un utilisateur initie une requête SAML à l’aide d’un flux initié par l’IdP. Par exemple, la requête est effectuée en sélectionnant une vignette via le portail d’applications du fournisseur d’identité au lieu de naviguer directement vers l’URL de l’espace de travail (
https://customer.cloud.com). - Le certificat SAML est invalide ou a expiré.
- Le contexte d’authentification est invalide.
- La signature de l’assertion et de la réponse SAML ne correspond pas.
Lorsque cette erreur se produit, Citrix Cloud affiche un message d’erreur générique.
Si cette erreur résulte de la navigation vers Citrix Cloud via le portail d’applications d’un fournisseur d’identité, vous pouvez utiliser la solution de contournement suivante :
- Créez une application de signet dans le portail d’applications du fournisseur d’identité qui référence l’URL de votre espace de travail (par exemple,
https://customer.cloud.com). - Attribuez des utilisateurs à l’application SAML et à l’application de signet.
- Modifiez les paramètres de visibilité de l’application SAML et de l’application de signet afin que l’application de signet soit visible et que l’application SAML soit masquée dans le portail d’applications.
- Désactivez le paramètre Sessions du fournisseur d’identité fédéré dans la configuration de Workspace pour supprimer les invites de mot de passe supplémentaires. Pour obtenir des instructions, consultez Sessions du fournisseur d’identité fédéré dans la documentation produit de Citrix Workspace.
Dans cet article
- Quelles informations dois-je fournir au support et à l’ingénierie Citrix lorsque j’ouvre un cas de support SAML ?
- Capturer les traces SAML pour le support et l’ingénierie Citrix
- Comment collecter un fichier HAR depuis mon navigateur pour l’envoyer au support et à l’ingénierie Citrix ?
- Outils de débogage SAML tiers utiles
- Erreurs d’attribut
- Erreurs inattendues