常见的 SAML 问题

症状

Kibana 中的身份验证失败，并且 Elasticsearch 日志中打印出以下错误

Cannot find any matching realm for [SamlPrepareAuthenticationRequest{realmName=saml1,
assertionConsumerServiceURL=https://my.kibana.url/api/security/saml/callback}]

解决方案

为了启动 SAML 身份验证，Kibana 需要知道应该从 Elasticsearch 中配置的那些 SAML 领域中使用哪个 SAML 领域。您可以使用 xpack.security.authc.providers.saml.<provider-name>.realm 设置在 Kibana 中显式设置 SAML 领域的名称。它必须与在 Elasticsearch 中配置的 SAML 领域的名称匹配。

如果您遇到类似上述的错误，则可能意味着 Kibana 配置中 xpack.security.authc.providers.saml.<provider-name>.realm 的值错误。验证它是否与 Elasticsearch 中配置的领域的名称匹配，该名称是 Elasticsearch 配置中 xpack.security.authc.realms.saml. 后面的字符串。

症状

Kibana 中的身份验证失败，并且 Elasticsearch 日志中打印出以下错误

Authentication to realm saml1 failed - Provided SAML response is not valid for realm
saml/saml1 (Caused by ElasticsearchSecurityException[Conditions
[https://5aadb9778c594cc3aad0efc126a0f92e.kibana.company....ple.com/]
do not match required audience
[https://5aadb9778c594cc3aad0efc126a0f92e.kibana.company.example.com]])

解决方案

我们收到了一个发送到另一个 SAML 服务提供商的 SAML 响应。这通常意味着 elasticsearch.yml 中配置的 SAML 服务提供商实体 ID（sp.entity_id）与 SAML 身份提供商文档中配置的 SAML 服务提供商实体 ID 不匹配。

要解决此问题，请确保 Elasticsearch 中的 saml 领域和 IdP 都使用相同的字符串配置 SAML 服务提供商的实体 ID。

在 Elasticsearch 日志中，在异常消息（上面）之前，还将有一条或多条 INFO 级别的消息，形式如下：

Audience restriction
[https://5aadb9778c594cc3aad0efc126a0f92e.kibana.company.example.com/]
does not match required audience
[https://5aadb9778c594cc3aad0efc126a0f92e.kibana.company.example.com]
(difference starts at character [#68] [/] vs [])

此日志消息可以帮助确定从 IdP 收到的值与 Elasticsearch 中配置的值之间的差异。只有当两个字符串被认为相似时，才会显示描述这两个受众标识符之间差异的括号中的文本。

症状

Kibana 中的身份验证失败，并且 Elasticsearch 日志中打印出以下错误

Cannot find metadata for entity [your:entity.id] in [metadata.xml]

解决方案

我们无法在配置的元数据文件（metadata.xml）中找到 SAML 实体 ID your:entity.id 的元数据。

症状

Kibana 中的身份验证失败，并且 Elasticsearch 日志中打印出以下错误

unable to authenticate user [<unauthenticated-saml-user>]
for action [cluster:admin/xpack/security/saml/authenticate]

解决方案

此错误表示 Elasticsearch 无法处理传入的 SAML 身份验证消息。由于无法处理该消息，Elasticsearch 不知道要验证的用户是谁，因此使用 <unauthenticated-saml-user> 占位符。要诊断实际问题，您必须检查 Elasticsearch 日志以获取更多详细信息。

症状

Kibana 中的身份验证失败，并且 Elasticsearch 日志中打印出以下错误

Authentication to realm <saml-realm-name> failed - SAML Attribute [<AttributeName0>] for
[xpack.security.authc.realms.saml.<saml-realm-name>.attributes.principal] not found in saml attributes
[<AttributeName1>=<AttributeValue1>, <AttributeName2>=<AttributeValue2>, ...] or NameID [ NameID(format)=value ]

解决方案

此错误表示 Elasticsearch 无法在身份提供商发送的 SAML 响应中找到必要的 SAML 属性。在此示例中，Elasticsearch 配置如下：

xpack.security.authc.realms.saml.<saml-realm-name>.attributes.principal: AttributeName0

此配置意味着 Elasticsearch 期望在 SAML 响应中找到名称为 AttributeName0 的 SAML 属性或具有适当格式的 NameID，以便将其映射到 principal 用户属性。principal 用户属性是必需的属性，因此，如果此映射无法发生，则身份验证将失败。

如果您尝试映射 NameID，请确保预期的 NameID 格式与发送的格式匹配。有关更多详细信息，请参见特殊属性名称。

如果您尝试映射 SAML 属性，而该属性不在错误消息中的列表中，则可能意味着您拼写错误了属性名称，或者 IdP 没有发送此特定属性。您可以使用列表中的另一个属性映射到 principal，或者咨询您的 IdP 管理员以确定是否可以发送所需的属性。

症状

Kibana 中的身份验证失败，并且 Elasticsearch 日志中打印出以下错误

Cannot find [{urn:oasis:names:tc:SAML:2.0:metadata}IDPSSODescriptor]/[urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect] in descriptor

解决方案

此错误表示您的身份提供商的 SAML 元数据不包含具有 HTTP-Redirect 绑定 (urn:oasis:names:tc:SAML:2.0:bindings:HTTP-Redirect) 的 <SingleSignOnService> 端点。Elasticsearch 仅支持 SAML 身份验证请求的 HTTP-Redirect 绑定（并且不支持 HTTP-POST 绑定）。咨询您的 IdP 管理员以启用至少一个支持 HTTP-Redirect 绑定的 <SingleSignOnService> 并更新您的 IdP SAML 元数据。

症状

Kibana 中的身份验证失败，并且 Elasticsearch 日志中打印出以下错误

Authentication to realm my-saml-realm failed -
Provided SAML response is not valid for realm saml/my-saml-realm
(Caused by ElasticsearchSecurityException[SAML Response is not a 'success' response:
 The SAML IdP did not grant the request. It indicated that the Elastic Stack side sent
 something invalid (urn:oasis:names:tc:SAML:2.0:status:Requester). Specific status code which might
 indicate what the issue is: [urn:oasis:names:tc:SAML:2.0:status:InvalidNameIDPolicy]]
)

解决方案

这意味着 SAML 身份提供商未能验证用户身份，并向服务提供商（Elastic Stack）发送了指示此失败的 SAML 响应。该消息将传达 SAML 身份提供商是否认为问题出在服务提供商（Elastic Stack）或身份提供商本身，并且后续的特定状态代码非常有用，因为它通常指示潜在问题。SAML 2.0 核心规范 - 3.2.2.2 节中定义了特定错误代码列表，最常遇到的错误代码是

症状

Kibana 中的身份验证失败，并且 Elasticsearch 日志中打印出以下错误

The XML Signature of this SAML message cannot be validated. Please verify that the saml
realm uses the correct SAMLmetadata file/URL for this Identity Provider

解决方案

这意味着 Elasticsearch 无法验证身份提供商发送的 SAML 消息的数字签名。Elasticsearch 使用包含在 SAML 元数据中的身份提供商的公钥来验证 IdP 使用其对应的私钥创建的签名。无法做到这一点可能有许多原因

症状

由于启用了 SAML，用户无法使用本地用户名和密码登录 Kibana。

解决方案

如果您希望用户能够使用本地凭据进行 Kibana 身份验证，以及使用 SAML 领域进行单点登录，则必须在 Kibana 中启用 basic authProvider。该过程在SAML 指南中进行了说明

症状

没有 SAML 请求 ID 值从 Kibana 传递到 Elasticsearch

Caused by org.elasticsearch.ElasticsearchSecurityException: SAML content is in-response-to [_A1B2C3D4E5F6G8H9I0] but expected one of []

解决方案： 此错误表示 Elasticsearch 收到了与特定 SAML 请求绑定的 SAML 响应，但 Kibana 没有明确指定该请求的 ID。这通常意味着 Kibana 找不到之前存储 SAML 请求 ID 的用户会话。

要解决此问题，请确保在 Kibana 配置中 xpack.security.sameSiteCookies 未设置为 Strict。根据您的配置，您可以依赖默认值或显式将值设置为 None。

更多信息，请阅读 MDN SameSite Cookie

如果您在负载均衡器后运行多个 Kibana 实例，请确保所有实例都使用 相同的安全配置。