Dépannage
Que dois-je fournir au support et à l’ingénierie Citrix lorsque j’ouvre un dossier de support SAML ?
Si vous avez besoin d’aide pour un problème lié à SAML, le support et l’ingénierie Citrix requièrent les informations suivantes :
- Incluez un contexte suffisant et décrivez votre scénario de connexion ainsi que votre environnement Citrix ou Active Directory.
- Quels documents électroniques Citrix vous avez suivis lors de la configuration initiale.
- Captures d’écran et détails de votre application SAML au sein de votre IdP.
- Détails de votre Active Directory.
- Un fichier SAML-tracer (
.json) provenant de l’extension de navigateur SAML tracer. - Un fichier HAR (
.har) de vos outils de développement de navigateur. - Détails des utilisateurs finaux fonctionnels et défaillants ou des utilisateurs administrateurs de Citrix Cloud.
- L’adresse IP publique de l’appelant de la machine effectuant une connexion SAML vers le magasin ou Citrix Cloud.
Capturer les traces SAML pour le support et l’ingénierie Citrix
L’ingénierie et le support Citrix recommandent l’utilisation de l’extension de navigateur SAML-tracer pour tous les débogages SAML ainsi que les fichiers .HAR générés par les outils de développement du navigateur. Cette extension est disponible pour la plupart des navigateurs web courants et exporte des fichiers .JSON. L’extension décode les requêtes et réponses SAML en XML, ce qui les rend lisibles par l’homme et beaucoup plus faciles à comprendre et à déboguer.
Comment collecter un fichier HAR depuis mon navigateur pour l’envoyer au support et à l’ingénierie Citrix ?
Pour plus d’informations, consultez l’article Collecter un fichier HAR
Outils de débogage SAML tiers utiles
IMPORTANT :
Citrix décline toute responsabilité lorsque des outils tiers sont utilisés à des fins de débogage. L’utilisation et l’accès aux outils et sites web tiers se font à vos propres risques.
| Outil | Objectif |
|---|---|
| https://www.samltool.io/ | Décode les requêtes et réponses SAML en base 64 |
| https://www.sslshopper.com/certificate-decoder.html | Décode les données de certificat |
| https://www.rcfed.com/SAMLWSFed/MetadataCertificateExtract | Extrait les certificats de signature et de chiffrement sous forme de fichiers à partir des métadonnées SAML |
| https://www.whatismyip.com/ | Fournit l’adresse IP de l’appelant du client qui tente une connexion SAML. |
Erreurs d’attribut
Des erreurs d’attribut peuvent survenir dans l’une des conditions suivantes :
- Les attributs requis dans votre configuration SAML ne sont pas encodés correctement.
- Les attributs
cip_sidetcip_upnsont manquants dans l’assertion SAML. - Les attributs
cip_sidoucip_oidsont manquants dans l’assertion SAML et Citrix Cloud ne peut pas les récupérer depuis Active Directory en raison d’un problème de connectivité.
Lorsqu’une erreur d’attribut se produit, Citrix Cloud affiche un message d’erreur qui inclut les attributs défectueux.
Pour résoudre ce type d’erreur :
-
Assurez-vous que votre fournisseur SAML envoie les attributs requis avec l’encodage correct, comme indiqué dans le tableau suivant. Au minimum, l’attribut SID ou UPN doit être inclus.
Attribut Encodage Requis cip_email Doit être au format String ( user@domain)cip_oid Doit être au format Base64 ou Chaîne de caractères cip_sid Doit être au format Base64 ou Chaîne de caractères Oui, si cip_upnn’est pas utilisécip_upn Doit être au format Chaîne de caractères ( user@domain)Oui, si cip_sidn’est pas utilisé -
Vérifiez que les Cloud Connectors sont en ligne et sains afin que Citrix Cloud puisse récupérer les attributs manquants dont il a besoin. Pour plus d’informations, consultez Vérifications avancées de l’état des Cloud Connectors.
Erreurs inattendues
Citrix Cloud peut rencontrer une erreur inattendue lorsque :
- Un utilisateur initie une requête SAML à l’aide d’un flux initié par l’IDP. Par exemple, la requête est effectuée en sélectionnant une vignette via le portail d’applications du fournisseur d’identité au lieu de naviguer directement vers l’URL du magasin (
customer.cloud.com). - Le certificat SAML est invalide ou a expiré.
- Le contexte d’authentification est invalide.
- La signature de l’assertion et de la réponse SAML ne correspond pas.
Lorsque cette erreur se produit, Citrix Cloud affiche un message d’erreur générique.
Message d’erreur inattendu(/fr-fr/citrix-cloud/media/saml-idp-flow-error.png)
Si cette erreur résulte de la navigation vers Citrix Cloud via le portail d’applications d’un fournisseur d’identité, vous pouvez utiliser la solution de contournement suivante :
- Créez une application de signet dans le portail d’applications du fournisseur d’identité qui référence l’URL de votre magasin (par exemple,
https://customer.cloud.com). - Attribuez des utilisateurs à l’application SAML et à l’application de signet.
- Modifiez les paramètres de visibilité de l’application SAML et de l’application de signet afin que l’application de signet soit visible et que l’application SAML soit masquée dans le portail d’applications.
- Désactivez le paramètre Toujours demander aux utilisateurs finaux leurs informations d’identification dans Citrix® StoreFront Cloud pour supprimer les invites de mot de passe supplémentaires. Pour obtenir des instructions, consultez Toujours demander aux utilisateurs finaux leurs informations d’identification.
Dans cet article
- Que dois-je fournir au support et à l’ingénierie Citrix lorsque j’ouvre un dossier de support SAML ?
- Capturer les traces SAML pour le support et l’ingénierie Citrix
- Comment collecter un fichier HAR depuis mon navigateur pour l’envoyer au support et à l’ingénierie Citrix ?
- Outils de débogage SAML tiers utiles
- Erreurs d’attribut
- Erreurs inattendues