SonarQube集成Okta SAML认证失败问题求助

• 环境：通过Helm Chart部署的SonarQube 10.2.1-community版本，此前LDAP认证功能正常
• 现象：集成Okta SAML后，页面提示「您无权访问此页面，请联系管理员」
• Pod核心报错日志：

Caused by: java.io.IOException: java.lang.IllegalArgumentException: Illegal base64 character 24
 at java.base/sun.security.provider.X509Factory.readOneBlock(Unknown Source)
Caused by: java.lang.IllegalArgumentException: Illegal base64 character 24
 at java.base/java.util.Base64$Decoder.decode0(Unknown Source)
 at java.base/java.util.Base64$Decoder.decode(Unknown Source)
ERROR web[AY3pZ3AlPh7rVGVQAAo/][c.o.s.s.Saml2Settings] idp_cert_or_fingerprint_not_found_and_required
ERROR web[AY3pZ3AlPh7rVGVQAAo/][c.o.saml2.Auth] Invalid settings: idp_cert_or_fingerprint_not_found_and_required
WARN web[AY3pZ3AlPh7rVGVQAApA][o.s.s.a.AuthenticationError] CSRF state value is invalid

解决方案排查步骤 #

1. 清理并验证证书格式 #

• 确保从Okta获取的证书是纯PEM格式，必须包含-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----首尾行
• 删除证书内容中所有非法字符：包括$（报错中明确的非法base64字符）、制表符、不可见隐藏字符，只保留首尾标记和中间的base64编码行
• 避免复制带格式的文本，建议直接从Okta导出证书文件，读取纯文本内容后粘贴到SonarQube的Identity Provider Certificate配置项中

2. 修正SAML配置逻辑 #

• 确认未同时填写证书和指纹字段：SonarQube SAML配置中，证书和指纹二选一即可，同时填写可能导致解析冲突
• 检查配置项是否完整：确保Identity Provider URL、实体ID等参数和Okta应用中的配置完全匹配

3. 排除其他干扰因素 #

• 临时禁用LDAP认证，单独测试SAML认证，排除多认证源的冲突问题
• 重启SonarQube Pod，确保配置修改完全生效
• 核对Okta应用的SAML断言签名算法，确保和SonarQube配置一致（默认推荐SHA-256）

内容的提问来源于stack exchange，提问作者Ouma