SAML トラブルシューティング

概要

このページでは、SAML (Security Assertion Markup Language) 認証時によく発生するエラーのトラブルシューティングを説明します。

よくあるエラー

以下のリストにあるエラーメッセージに遭遇した場合、Datadog のマッピング構成または IDP (ID プロバイダー) の構成に問題がある可能性があります。

SAML is not enabled for this org
Arf. Unknown User
There are No Authn Mappings for this User
Assertion could not be validated
SAML NO HANDLE ERROR
No active account for a user

解決するには、具体的なエラーについて、以下のセクションを参照してください。

SAML is not enabled for this org

アカウントで SAML がオフになっています。ログイン方法に移動します。SAML セクションで、Enabled by Default が On に設定されていることを確認します。

注: SAML の構成には、Datadog の Admin Role または Org Management (org_management) 権限が必須です。

There are no authn mappings for this user

Datadog のマッピングコンフィギュレーションと IdP のコンフィギュレーションにミスマッチがあります。ロールエラーを参照してください。

Assertion could not be validated

Datadog で IdP 起動ログインを有効にした後、IdP コンフィギュレーションの Assertion Consumer Service (ACS) URL が正しくないことがあります。または、アサーションが未署名である可能性もあります。詳細については、アサーションと属性を参照してください。

SAML no handle error

アサーションに必要な eduPersonPrincipalName 属性が欠けている可能性があります。コンフィギュレーションにこの属性が設定されていることを確認してください。詳細については、アサーションと属性を参照してください。

No active account for a user

このエラーは、次のような場合に発生する可能性があります。

ジャストインタイム (JIT) プロビジョニングを有効にしても、ユーザーがログインしようとするとこのエラーが表示される場合は、JIT を有効にする前に、このユーザーに招待メールを送信していないかどうか確認してください。JIT は、すでに招待されているユーザーには適用されません。この問題を解決するには、ユーザーに招待メールを受け入れてもらいます。または、招待状の有効期限が切れている場合は、管理者が新しい招待状を送信してください。
JIT プロビジョニングが有効な Datadog 組織でユーザーが有効でなくなり、SAML で再ログインしようとして There is no active account for error が発生した場合、User settings でユーザーを再有効化してください。

IdP metadata file errors

IdP メタデータファイルの更新に問題がある場合、アップロードしようとするメタデータファイルが有効であることを確認してください。

メタデータファイルの検証を行うには

OneLogin の SAML 開発者ツールなどの SAML 検証ツールを選択します。
XML フィールドにメタデータを貼り付け、XSD (スキーマファイル) フィールドで Metadata を選択します。
Validate XML With the XSD Schema をクリックします。

Roles errors

マッピングを有効にすると、Datadog アカウントに SAML でログインするユーザーは、現在のロールが削除され、IdP から渡された SAML アサーションの詳細に基づいて新しいロールに再割り当てされます。

SAML でログインし、Datadog のロールに対応する値を持っていないユーザーは、すべてのロールが剥奪され、ログインすることができなくなります。

グループマッピングを設定してもロールが表示されない場合、Datadog アプリケーションのグループマッピングが IdP で異なって表示される可能性があります。確認するには

アカウントの IdP の SAML アサーションを取得します。拡張機能などのブラウザツールを使用して、SAML アサーションを取得します。たとえば、以下のようになります。

<saml2:Attribute Name="member_of"
                           NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified"
                           >
              <saml2:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema"
                                    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
                                    xsi:type="xs:string"
                                    >name_of_your_group_goes_here</saml2:AttributeValue>
</saml2:Attribute>

自分のプロファイルに移動し、Datadog の左下にある Organization Settings を選択します。
SAML Group Mappings を選択します。
SAML アサーションで IdP が提供する属性を、SAML Group Mappings タブで設定された属性と比較します。

Datadog SAML Group Mappings の設定、または IdP の設定のいずれかに矛盾がある場合は解決してください。たとえば、memberof が Datadog の set 属性であり、SAML アサーションでは member_Of である場合、それに応じて解決します。

属性キーと値の間に一致がない、またはミスマッチがある場合、不一致が発生することがあります。たとえば、SAML Group Mappings で memberOf と name_of_your_group_goes_here というキーと値のペアがあった場合、このペアは IdP から送信されるアサーションに含まれていないため、問題に直面することになります。

ロールベースのエラーが原因でログインに問題がある場合、管理者に連絡して上記のトラブルシューティング手順を完了させてください。

注:

各 IdP は異なる種類の属性を提供し、属性の設定方法も異なります。例えば、Azure ではオブジェクト ID を属性に使用していますが、Okta を使用している場合は Okta 設定で属性を設定する必要があります。詳しくは、IdP の属性に関するドキュメントを参照してください。
SAML Group Mappings を無効にすると、IdP でグループメンバーシップが変更された場合でも、ユーザーは SAML でログインし、割り当てられた同じロールを持つことができるようになります。