[Access Control] 單一登入疑難排解

即使已完成 SAML SSO 的設定，於確認 SSO 連線時仍發生錯誤的排查步驟如下。

1. 因連線設定所致的情況
請在 Access Control 端及 SP 端雙方確認以下項目。

Access Control 端

請於［設定連線的服務］確認對象 SP 的設定是否已有效。
參考：[Access Control] 編輯服務供應商設定

• 確認存取 SP 的 Access Control 使用者是否已設定 SP 的存取權限。
  參考：[Access Control] 建立／編輯存取原則群組
• 確認 ACS URL、SP Issuer（Entity ID）中設定的值是否與從 SP 端取得的值完全一致，以及是否包含不必要的空格或符號。
• 確認屬性的對應設定中，SP 要求的屬性（NameID）是否正確設定。通常會設定對應 SP 端登入 ID 的 Access Control 屬性。
• 確認 NameID 格式的設定值（email/unspecified/persistent）是否符合 SP 端需求。
• 確認是否已正確設定屬性編輯器所需的新增屬性列。
  ※依 SP 而定，可能需要在 IdP 端新增屬性列。此時，請視需要於「屬性」及「值」中設定 SP 端指定的值。

SP 端

• 確認 Access Control 的後設資料（端點 URL、憑證）是否已正確提交。
  ※可從 Access Control 端的設定連線的服務編輯畫面右上方［後設資料］確認 Access Control 的後設資料。
• 確認 SP 端的 SSO 設定是否為「有效」。

2. 因網路或環境所致的情況

在防火牆或 Proxy 環境中，Access Control、SP 與使用者裝置之間的通訊可能會遭到封鎖。

• 確認是否已授予與 Access Control 或 SP 通訊的權限。
  ※如需允許與 Access Control 通訊的必要資訊，請參閱後述「HENNGE One 我們支援的瀏覽器」說明文章中［網路］－［服務的 FQDN（URL）］表格內的「Access Control」。
• 確認用於存取 SP 的瀏覽器同一視窗中，是否已使用其他 Access Control 使用者登入。
  ※例如，若在為設定 SSO 連線而以 Access Control 管理員帳戶登入的視窗中嘗試進行 SSO 連線測試，可能會與用於進行 SSO 連線測試之 SP 端帳戶所關聯的 Access Control 使用者發生衝突，而導致錯誤。
• 變更網路後，確認是否能重現該現象。
• 清除瀏覽器的快取及 Cookie 後重新嘗試。

參考：
HENNGE One 我們支援的瀏覽器
清除瀏覽器快取紀錄和非快取模式的使用方法

若 SSO 的行為因使用裝置的作業系統而異，請確認以下項目。

• SP 是否支援從對象環境進行 SSO
• 是否可使用 ID、密碼登入
  ※Android 裝置及各作業系統的 Chrome/Safari 瀏覽器之憑證支援狀況，可能會因作業系統版本或瀏覽器更新而有所變更。

參考：
HENNGE One 我們支援的瀏覽器
[Device Certificate] 在 iOS / iPad 作業系統使用裝置憑證時的限制事項

請確認以下項目。

1. 請於 Access Control 管理介面確認使用者的狀態是否為「有效」。

2. 確認對象使用者是否已指派至正確的存取原則群組。

3. 確認 SP 端的對象使用者帳戶是否也為有效。

4. 確認 Access Control 的使用者 ID 與 SP 端的使用者 ID 是否一致（亦請確認大小寫差異）。

請確認以下內容。

原因 1：對象服務不支援 IdP Initiated

部分服務可能不支援透過 IdP Initiated 的登入方式。在此情況下，若從 Access Control 的使用者入口網站或書籤 URL 存取對象服務，可能會在驗證後未跳轉至正確的畫面，或導致 SSO 失敗。

確認事項

請確認對象服務的規格，以確認其是否支援 IdP Initiated。若對象服務僅支援 SP Initiated，請從服務端的登入 URL 開始 SSO。

原因 2：RelayState 未回傳至 SP

依據 SSO 方式，RelayState 的行為如下。

確認事項

1. 請在 Access Control 管理介面的設定連線的服務中確認 RelayState。

2. 若 Access Control 中的 RelayState 為空白，但未跳轉至 SP 端預期的畫面，請確認 SP 端的設定或規格。

若先前運作正常的 SSO 突然無法使用，請確認以下內容。

1. 因連線服務的規格變更而導致 ACS URL・SP Issuer 變更

隨著連線服務（SP）的更新或 UI 變更，ACS URL 或 SP Issuer（Entity ID）的值可能已變更。請確認連線服務最新的 SSO 設定步驟，並更新 Access Control 端的設定連線的服務。

• 請在 Access Control 管理介面的［設定連線的服務］中，確認 ACS URL 及 SP Issuer（Entity ID）是否與連線服務目前的值一致。
• 請確認已在連線服務端註冊的 Access Control 後設資料（端點 URL・憑證）是否為最新狀態。

2. 使用者資訊或存取原則群組的設定遭到非預期變更

請確認使用者資訊或存取原則群組的設定是否遭到非預期變更。

詳細資訊請參閱［僅特定使用者無法使用 SSO］的疑難排解步驟。