XFA:n määrittäminen SAML-palveluntarjoajan identiteetintarjoajaksi Beta

Tässä XFA on identiteetintarjoaja: palveluntarjoaja antaa kirjautumisen XFA:lle, joka kirjaa käyttäjät sisään passkeyllä ja tarkistaa heidän laitteensa. Google Workspacen kohdalla seuraa sen sijaan Google Workspace -ohjetta.

_Huomautus: tämä ohje olettaa, että organisaatiollasi on XFA-tili, että olet organisaation ylläpitäjä XFA:ssa ja että voit määrittää kertakirjautumisen palveluntarjoajassa. Jos sinulla ei ole XFA-tiliä, voit luoda sellaisen osoitteessa

https://dashboard.xfa.tech/signup._

SAML-yhteyden luominen XFA:n hallintapaneelissa

Kun olet kirjautunut XFA:n hallintapaneeliin, avaa sivupalkista Identiteetin tarjoaja, napsauta Lisää yhteys ja valitse SAML-sovellus. XFA luo yhteyden ja avaa sen ohjatun käyttöönoton: Perustiedot ja sen jälkeen neljä vaihetta, jotka käyt läpi XFA:n ja palveluntarjoajan välillä missä järjestyksessä tahansa.

Määritä kohdassa Perustiedot:

yhteyden Nimi sekä käytäntö, jonka laitetarkistuksia sovelletaan kirjautumisen aikana;
Sallitut sähköpostiverkkotunnukset: niiden ihmisten verkkotunnus tai verkkotunnukset, jotka kirjautuvat sisään (esimerkiksi example.com). XFA kirjaa sisään vain ihmiset, joiden sähköpostiosoite on näissä verkkotunnuksissa tai organisaatiosi sähköpostiverkkotunnuksissa (kohdassa Asetukset). Jos verkkotunnuksia ei ole täällä eikä organisaatiosi sähköpostiverkkotunnuksissa, kukaan ei voi kirjautua sisään.

Vaihe 1, Lisää XFA tunnistautumispalveluksi, näyttää arvot, joita palveluntarjoaja tarvitsee luottaakseen XFA:han: IdP-metatietojen URL, Entity ID, SSO-URL sekä ladattava Varmenne. Syötä ne palveluntarjoajan kertakirjautumisasetuksiin; useimmat palveluntarjoajat voivat tuoda IdP-metatietojen URL:n yhdellä kertaa.

Jokainen kirjautuu sisään passkeyllä laitteella, joka on rekisteröity XFA:han. Valmistele heidät ennen kuin otat kertakirjautumisen käyttöön, kuten kohdassa Käyttäjien valmistelu ensimmäistä laitetta varten kuvataan.

Palveluntarjoajan tietojen syöttäminen

Vaiheessa 2, Liitä palveluntarjoajan tiedot, XFA:n täytyy tietää, mikä palveluntarjoaja lähettää kirjautumispyynnöt ja minne allekirjoitettu SAML-vastaus lähetetään:

Palveluntarjoajan entiteetin tunnus: palveluntarjoajan entity ID (jota kutsutaan joskus nimellä Issuer tai Audience).
Assertion Consumer Service (ACS) -URL: osoite, johon XFA lähettää SAML-vastauksen.
Palveluntarjoajan allekirjoitusvarmenne: vain jos palveluntarjoaja allekirjoittaa pyyntönsä (katso Allekirjoitetut pyynnöt). Jätä se muuten tyhjäksi.

XFA allekirjoittaa SAML-väitteensä aina, joten palveluntarjoajan asetus kuten "sign the response and assertion" ei tarvitse vastinetta XFA:ssa. XFA lähettää sähköpostiosoitteen NameID:nä.

Tuo metatietojen URL-osoitteesta

Jos palveluntarjoaja julkaisee SAML-metatietonsa URL-osoitteessa, arvoja ei tarvitse kopioida yksitellen:

Liitä vaiheessa 2 palveluntarjoajan metatietojen URL (se alkaa https://) kohtaan Tuo metatietojen URL-osoitteesta ja napsauta Tuo.
XFA hakee metatiedot ja täyttää kentät Palveluntarjoajan entiteetin tunnus ja Assertion Consumer Service (ACS) -URL. Jos metatiedoissa kerrotaan, että palveluntarjoaja allekirjoittaa kirjautumispyyntönsä, XFA täyttää myös kentän Palveluntarjoajan allekirjoitusvarmenne.
Tarkista arvot ja napsauta sitten Viimeistele käyttöönotto (tai Tallenna ja jatka myöhemmin).

Jos tuonti epäonnistuu, avaa metatietojen URL selaimessa: sen täytyy palauttaa palveluntarjoajan SAML-metatietojen XML. Voit aina myös liittää arvot käsin.

Ota vaiheessa 3 kertakirjautuminen käyttöön palveluntarjoajassa niille käyttäjille tai ryhmille, jotka XFA:n pitää tarkistaa; aloita pienellä ryhmällä. Vaihe 4 on valinnainen testikirjautuminen.

Allekirjoitetut pyynnöt

Jotkin palveluntarjoajat allekirjoittavat jokaisen XFA:lle lähettämänsä kirjautumispyynnön; useimmat eivät. Kun Palveluntarjoajan allekirjoitusvarmenne on tallennettu, XFA hyväksyy vain pyynnöt, jotka on allekirjoitettu sillä varmenteella, ja Vaadi allekirjoitetut pyynnöt on käytössä yhteyden sivulla kohdassa Asetukset. Ilman varmennetta XFA hyväksyy allekirjoittamattomat pyynnöt, ja käyttäjä todistaa silti henkilöllisyytensä passkeyllä.

Kun palveluntarjoaja vaihtaa allekirjoitusvarmenteensa

Pyyntönsä allekirjoittavat palveluntarjoajat vaihtavat allekirjoitusvarmenteensa ajoittain ja julkaisevat uuden metatiedoissaan. XFA ei vielä hae metatietoja uudelleen itsestään. Vaihdon jälkeen kirjautuminen epäonnistuu syyllä invalid_signature, kunnes avaat Muuta yhteyttä, napsautat vaiheessa 2 uudelleen Tuo (tai liität uuden varmenteen) ja tallennat yhteyden.

Vianmääritys

Kun XFA hylkää palveluntarjoajan kirjautumispyynnön, virhesivulla näkyy rivi Reason: ja sen perässä koodi. Sama luettelo, jossa on painike korjattavaan kenttään, löytyy käyttöönoton vaiheesta 4 kohdasta Jos virhesivu näyttää jonkin näistä syistä.

Syy	Mitä tehdä
`missing_sp_entity_id`	Täytä Palveluntarjoajan entiteetin tunnus vaiheessa 2 tai tuo metatiedot.
`issuer_mismatch`	Pyyntö tulee eri entity ID:ltä. Kopioi palveluntarjoajan entity ID täsmälleen kenttään Palveluntarjoajan entiteetin tunnus vaiheessa 2.
`missing_signature`	Palveluntarjoaja lähetti allekirjoittamattoman pyynnön. Ota pyyntöjen allekirjoitus käyttöön palveluntarjoajassa tai poista Vaadi allekirjoitetut pyynnöt käytöstä kohdassa Asetukset.
`invalid_signature`	Allekirjoitus ei vastaa varmennetta, yleensä varmenteen vaihdon jälkeen. Tuo metatiedot uudelleen vaiheessa 2 ja tallenna.
`unsupported_sigalg`	XFA hyväksyy RSA-SHA256- ja RSA-SHA1-allekirjoitukset. Määritä palveluntarjoaja allekirjoittamaan RSA-SHA256:lla.
`invalid_sp_certificate`	XFA ei pysty lukemaan tallennettua varmennetta. Liitä koko varmenne `BEGIN`- ja `END`-rivit mukaan lukien, tai tuo metatiedot.
`malformed_request`	Pyynnössä ei ole issueria. Tarkista, että palveluntarjoaja lähettää entity ID:nsä SAML-pyyntöjensä Issuer-kenttänä, ja ota yhteyttä XFA-tukeen, jos ongelma jatkuu.