知识库：SAML SSO 登录失败，提示“用户名或密码不正确”

解决方案详情

连接测试成功，但登录失败

SAML 配置可能看起来运行正常，因为 SAML Connection Test 已成功完成，并显示类似以下内容的消息：

Connection Test Successful
You would have been signed in as username@domain.com

但是，当用户尝试通过 SSO 登录时：

1. 在身份提供商处的身份验证成功。
2. 用户被重定向回 Enterprise Server。
3. Enterprise Server 显示以下错误：

"Our system hit a snag, please try again in a moment.
Invalid UserName/Password combination"

用户名必须完全匹配

Enterprise Server 使用身份提供商提供的用户名来查找用户，并将其映射到现有的 Enterprise Server 账户。

IdP 返回的用户名必须与 Enterprise Server 中该用户的 Username 字段所配置的值完全匹配。

例如，如果 SAML 连接测试报告的用户名为：

username@domain.com

但 Enterprise Server 账户配置的用户名为：

username

或：

Username@domain.com

则 SSO 登录可能会因这些值不完全匹配而失败。

Important:用户名比较case-sensitive。以下值会被视为不同：

username@domain.com
Username@domain.com

此用户名映射行为与用户的身份验证类型无关，适用于以下两种类型：

• 内置身份验证
• Windows 身份验证

确认身份提供商返回的用户名

• 运行 SAML Connection Test，以确定身份提供商返回的用户名。
• 将返回的用户名与 Enterprise Server 中该用户的 Username 字段进行比较。
• 确认拼写、电子邮件格式和大小写完全一致。
• 如有必要，更新 Enterprise Server 用户名。
• 如果确认完全匹配后问题仍然存在，请查看 UnifiedLogin 日志以获取更多详细信息。这些日志位于以下路径：
  C:\ProgramData\Altium\Altium365Data\logs\UnifiedLogin

验证并更正用户名映射

1. 打开 Enterprise Server Web 界面。
2. 导航至 Admin » Settings » Authentication。
3. 打开已配置的 SAML 身份验证提供商。
4. 运行 Connection Test。
5. 在身份提供商处完成身份验证。
6. 记录测试报告的用户名。
7. 导航至 Admin » Users。
8. 打开相应的用户账户。
9. 确认 Username 字段与 SAML 连接测试返回的值完全匹配，包括大小写。
10. 保存所需的更改。
11. 再次尝试通过 SSO 登录。

补充说明

• SSO 用户映射使用 Enterprise Server 的 Username 字段。
• 无论账户使用 Built-In 还是 Windows 身份验证，此行为均适用。
• 用户名匹配case-sensitive。
• 如果需要进一步排查问题，请查看位于以下路径的 UnifiedLogin 日志：
  C:\ProgramData\Altium\Altium365Data\logs\UnifiedLogin
• UnifiedLogin 日志可提供有关从 IdP 接收的身份信息、用户映射以及身份验证处理错误的详细信息。
• 预期结果：当 Enterprise Server 用户名与身份提供商提供的用户名完全匹配后，用户会成功映射到现有账户，SSO 身份验证顺利完成，且不再出现该错误。

参考资料

• 配置单点登录身份验证