Configurar XFA como proveedor de identidad para un proveedor de servicios SAML Beta

Aquí XFA es el proveedor de identidad: el proveedor de servicios entrega el inicio de sesión a XFA, que inicia la sesión de los usuarios con una passkey y comprueba su dispositivo. Para Google Workspace, siga en su lugar la guía de Google Workspace.

_Nota: esta guía supone que su organización tiene una cuenta de XFA, que usted es administrador de esa organización en XFA y que puede configurar el single sign-on en el proveedor de servicios. Si no tiene una cuenta de XFA, puede crear una en

https://dashboard.xfa.tech/signup._

Cree una conexión SAML en el panel de control de XFA

Después de iniciar sesión en el panel de control de XFA, abra Proveedor de identidad en la barra lateral, haga clic en Añadir conexión y elija App SAML. XFA crea la conexión y abre su configuración guiada: Datos básicos y, después, cuatro pasos que completa entre XFA y el proveedor de servicios, en cualquier orden.

En Datos básicos, indique:

un Nombre para la conexión y la política cuyas comprobaciones de dispositivo se aplican durante el inicio de sesión;
Dominios de correo permitidos: el dominio o los dominios de las personas que iniciarán sesión (por ejemplo example.com). XFA solo inicia la sesión de personas con una dirección de correo de estos dominios o de los dominios de correo de su organización (en Configuración). Si no hay dominios aquí ni en los dominios de correo de su organización, nadie puede iniciar sesión.

El paso 1, Añadir XFA como proveedor de identidad, muestra los valores que el proveedor de servicios necesita para confiar en XFA: la URL de metadatos del IdP, el ID de entidad, la URL de SSO y un Certificado que puede descargar. Introdúzcalos en la configuración de single sign-on del proveedor de servicios; la mayoría de los proveedores de servicios pueden importar la URL de metadatos del IdP de una sola vez.

Cada persona inicia sesión con una passkey en un dispositivo registrado en XFA. Prepárelas antes de activar el single sign-on, como se describe en Prepare a los usuarios para su primer dispositivo.

Introduzca los datos del proveedor de servicios

En el paso 2, Pegar los datos del proveedor de servicios, XFA necesita saber qué proveedor de servicios envía las solicitudes de inicio de sesión y adónde enviar la respuesta SAML firmada:

ID de entidad del proveedor de servicios: el ID de entidad del proveedor de servicios (a veces llamado Issuer o Audience).
URL del servicio consumidor de aserciones (ACS): adonde XFA envía la respuesta SAML.
Certificado de firma del proveedor de servicios: solo si el proveedor de servicios firma sus solicitudes (consulte Solicitudes firmadas). Si no, déjelo vacío.

XFA siempre firma sus aserciones SAML, así que un ajuste del proveedor de servicios como "sign the response and assertion" no necesita ningún equivalente en XFA. XFA envía la dirección de correo como NameID.

Importar desde URL de metadatos

Si el proveedor de servicios publica sus metadatos SAML en una URL, no tiene que copiar los valores uno por uno:

En el paso 2, pegue la URL de metadatos del proveedor de servicios (empieza por https://) en Importar desde URL de metadatos y haga clic en Importar.
XFA obtiene los metadatos y rellena ID de entidad del proveedor de servicios y URL del servicio consumidor de aserciones (ACS). Si los metadatos indican que el proveedor de servicios firma sus solicitudes de inicio de sesión, XFA también rellena Certificado de firma del proveedor de servicios.
Revise los valores y haga clic en Terminar la configuración (o Guardar y continuar más tarde).

Si la importación falla, abra la URL de metadatos en un navegador: debe devolver el XML de metadatos SAML del proveedor de servicios. Siempre puede pegar los valores a mano.

En el paso 3, active el single sign-on en el proveedor de servicios para los usuarios o grupos que XFA debe comprobar; empiece con un grupo pequeño. El paso 4 es un inicio de sesión de prueba opcional.

Solicitudes firmadas

Algunos proveedores de servicios firman cada solicitud de inicio de sesión que envían a XFA; la mayoría no. Con un Certificado de firma del proveedor de servicios guardado, XFA solo acepta solicitudes firmadas con ese certificado, y Exigir solicitudes firmadas está activado en Ajustes en la página de la conexión. Sin certificado, XFA acepta solicitudes sin firmar, y el usuario sigue demostrando su identidad con su passkey.

Cuando el proveedor de servicios renueva su certificado de firma

Los proveedores de servicios que firman sus solicitudes renuevan su certificado de firma de vez en cuando y publican el nuevo en sus metadatos. XFA todavía no vuelve a obtener los metadatos por sí solo. Tras una renovación, el inicio de sesión falla con el motivo invalid_signature hasta que abra Cambiar conexión, vuelva a hacer clic en Importar en el paso 2 (o pegue el nuevo certificado) y guarde la conexión.

Solución de problemas

Cuando XFA rechaza una solicitud de inicio de sesión del proveedor de servicios, la página de error muestra una línea Reason: seguida de un código. La misma lista, con un botón que le lleva al campo que debe corregir, está en Si la página de error muestra uno de estos motivos en el paso 4 de la configuración.

Motivo	Qué hacer
`missing_sp_entity_id`	Rellene ID de entidad del proveedor de servicios en el paso 2, o importe los metadatos.
`issuer_mismatch`	La solicitud viene de otro ID de entidad. Copie exactamente el ID de entidad del proveedor de servicios en ID de entidad del proveedor de servicios en el paso 2.
`missing_signature`	El proveedor de servicios envió una solicitud sin firmar. Active la firma de solicitudes en el proveedor de servicios, o desactive Exigir solicitudes firmadas en Ajustes.
`invalid_signature`	La firma no coincide con el certificado, normalmente tras una renovación. Vuelva a importar los metadatos en el paso 2 y guarde.
`unsupported_sigalg`	XFA acepta firmas RSA-SHA256 y RSA-SHA1. Configure el proveedor de servicios para firmar con RSA-SHA256.
`invalid_sp_certificate`	XFA no puede leer el certificado guardado. Pegue el certificado completo, incluidas sus líneas `BEGIN` y `END`, o importe los metadatos.
`malformed_request`	La solicitud no indica ningún issuer. Compruebe que el proveedor de servicios envía su entity ID como Issuer en sus solicitudes SAML, y contacte con el soporte de XFA si persiste.