Error intermitente "Unable to Sign In" (No se puede iniciar sesión) con el SSO de SAML en Tableau Server

Problema

Cuando Tableau Server se configura para la autenticación SAML, los usuarios reciben de forma intermitente el error siguiente:

Unable to Sign In (No se puede iniciar sesión)
Invalid username or password (El nombre de usuario o la contraseña no son válidos).
Try again (Vuelva a intentarlo).

Además, aparece el siguiente mensaje en los registros VizPortal de Tableau Server:

Authentication statement is too old to be used with value. (La instrucción de autenticación es demasiado antigua para usarla con el valor).

Entorno

Tableau Server
Autenticación SAML

Solución

Para solucionar el error de forma temporal, cierre la sesión de IdP y vuelva a iniciarla.

Para impedir que se produzca el error, configure Tableau Server e IdP/AD (proveedor de identidades o Active Directory) para que todos tengan la misma antigüedad máxima de autenticación. El ajuste de la antigüedad máxima de autenticación de Tableau Server es wgserver.saml.maxauthenticationage y acepta tiempo en unidades de segundos.

Los siguientes pasos requieren reiniciar Tableau Server.

Pasos para Linux o Windows 2018.2, o versiones posteriores:

Abra un shell de comando de Linux o cmd de Windows con la opción Ejecutar como administrador:
tsm authentication saml configure -a <maximum authentication age in seconds>
tsm pending-changes apply

Pasos para Windows 2018.1 o una versión anterior:

Abra el símbolo del sistema con la opción Ejecutar como administrador.
Cambie el directorio al directorio bin de Tableau Server. La ubicación predeterminada es C:\Program Files\Tableau\Tableau Server\<versión>\bin.
tabadmin set wgserver.saml.maxauthenticationage <maximum authentication age in seconds>
tabadmin config
tabadmin restart

Causa

Si se establece el valor de IdP o AD para la antigüedad máxima de tokens en una duración superior al tiempo del valor de antigüedad máxima en Tableau Server, si un token es anterior a la antigüedad permitida de Tableau Server, se mostrará el error “No se puede iniciar sesión, nombre de usuario o contraseña no válidos” porque IdP considera el token como válido, pero Tableau Server no lo reconoce como válido.

Información adicional

La opción maxauthage en segundos para Tableau Server 2018.2 y las versiones más recientes se configura en 2100000000, lo que equivale a unos 66 años.
A partir de la versión 2020.4, puede deshabilitar esta opción si la configura en -1.

Comente sobre este artículo… Foro de comentarios