DE EN IT

~/errors / SAML / SSO

SAML: Invalid audience for this Response (AudienceRestriction)

L'identity provider indirizza la sua asserzione a un pubblico, l'Entity ID del service provider. La tua app controlla che il valore coincida con il proprio Entity ID e altrimenti rifiuta. I controlli di firma e tempo sono separati, quindi qui si tratta solo di un nome diverso.

daniele@mikweb: ~/errors — less saml-invalid-audience-for-this-response.md

Come appare il messaggio

OneLogin_Saml2_ValidationError: Invalid audience for this Response (expected 'https://cloud.example.com/apps/user_saml/saml/metadata', got 'https://cloud.example.com')

Cause frequenti

  • L'Entity ID (audience) configurato nell'IdP è diverso da quello del service provider, spesso per una barra finale, http contro https o l'URL dei metadati contro un nome semplice.
  • L'applicazione nell'IdP è stata creata per un'altra app o ambiente, ad esempio test al posto di produzione, e mantiene il vecchio valore.
  • Il service provider costruisce il suo Entity ID dall'URL della richiesta e dietro un reverse proxy quell'URL è diverso da quello pubblico.
  • I metadati dell'IdP sono stati importati prima che l'Entity ID cambiasse e non sono mai stati aggiornati.

Verifica

  1. Quale audience porta la response? (metti la response decodificata in un file)
    base64 -d saml-response.b64 | xmllint --format - | grep -i -A2 Audience
  2. Quale Entity ID pubblica il service provider?
    curl -s https://cloud.example.com/index.php/apps/user_saml/saml/metadata | grep -o 'entityID="[^"]*"'
  3. Cosa c'è nelle impostazioni SAML di Nextcloud?
    sudo -u www-data php occ saml:config:get | grep -i entityid
  4. Nextcloud conosce il suo protocollo pubblico?
    sudo -u www-data php occ config:system:get overwriteprotocol

Soluzione

  • Scegli un Entity ID esatto e rendi uguali le due parti carattere per carattere, comprese maiuscole e barra finale.
  • Inserisci quel valore come audience o Entity ID dell'applicazione nell'IdP e come Entity ID del service provider nell'app.
  • Dietro un proxy imposta occ config:system:set overwriteprotocol --value=https e l'host giusto, così l'app costruisce l'indirizzo pubblico.
  • Dopo ogni modifica reimporta o risalva i metadati dell'IdP e quelli del service provider.
  • Accedi di nuovo in una finestra privata e decodifica una nuova response per verificare che l'audience ora coincida.

Domande frequenti

È lo stesso di un errore di sfasamento dell'orologio?

No. Un errore di orario mostra NotBefore o NotOnOrAfter e riguarda il tempo. Invalid audience riguarda solo i nomi, e gli orologi possono essere perfetti.

L'Entity ID deve essere l'URL dei metadati?

Può esserlo, se entrambe le parti usano lo stesso. Molti IdP precompilano l'URL dei metadati, altri usano un nome semplice o un URN. Conta che le due parti abbiano la stessa stringa.

daniele@mikweb: ~/tools — ls

Strumento utile

daniele@mikweb: ~/blog — ls

Articoli correlati

Nextcloud con SAML e OIDC: 8 errori che tornano sempre nel supportoLoop di redirect, orologi sfasati, UID sbagliato, account doppi, gruppi mancanti: 8 errori SAML/OIDC dal supporto Nextcloud — con causa e soluzione.Mail nello spam: SPF, DKIM e allineamento DMARC spiegatiSPF, DKIM e DMARC spiegati semplice: cosa verifica ognuno, perché la mail va nello spam anche con SPF valido, come leggere gli header — con tabella.
daniele@mikweb: ~/errors — ls

Altri errori

invalid_clientOIDC: invalid_client (autenticazione del client fallita)SAML signatureErrore SAML: signature validation failed in Nextcloudinvalid_grantOIDC/OAuth2: invalid_grant sul token endpointredirect_uri_mismatchOIDC: redirect_uri_mismatch / invalid redirect_uriNotBeforeSAML: “not yet valid”, clock skew su NotBefore550 5.7.1SMTP 550 5.7.1: relay access denied e rifiuti per policy

Nuovi articoli via e-mail

Un'e-mail per ogni nuovo articolo. Nessun tracciamento, puoi annullare quando vuoi. Come ringraziamento dopo la conferma: la mia checklist “Gestione server e patching” (PDF).

← Tutti i codici d'errore