Configurer XFA comme fournisseur d'identité pour un fournisseur de services SAML Beta

Ici, XFA est le fournisseur d'identité : le fournisseur de services confie la connexion à XFA, qui connecte les utilisateurs avec une passkey et vérifie leur appareil. Pour Google Workspace, suivez plutôt le guide Google Workspace.

Remarque : ce guide suppose que votre organisation dispose d'un compte XFA, que vous êtes administrateur de cette organisation dans XFA et que vous pouvez configurer le single sign-on dans le fournisseur de services. Si vous n'avez pas de compte XFA, vous pouvez en créer un sur https://dashboard.xfa.tech/signup.

Créer une connexion SAML dans le tableau de bord XFA

Après vous être connecté au tableau de bord XFA, ouvrez Fournisseur d'identité dans la barre latérale, cliquez sur Ajouter une connexion et choisissez App SAML. XFA crée la connexion et ouvre sa configuration guidée : Informations de base, puis quatre étapes que vous effectuez entre XFA et le fournisseur de services, dans n'importe quel ordre.

Sous Informations de base, définissez :

un Nom pour la connexion et la politique dont les vérifications d'appareil s'appliquent lors de la connexion ;
Domaines d'e-mail autorisés : le ou les domaines des personnes qui se connecteront (par exemple example.com). XFA ne connecte que les personnes dont l'adresse e-mail appartient à ces domaines ou aux domaines e-mail de votre organisation (sous Paramètres). Sans aucun domaine ici ni dans les domaines e-mail de votre organisation, personne ne peut se connecter.

L'étape 1, Ajouter XFA comme fournisseur d'identité, affiche les valeurs dont le fournisseur de services a besoin pour faire confiance à XFA : l'URL des métadonnées IdP, l'ID d'entité, l'URL SSO et un Certificat à télécharger. Saisissez-les dans les paramètres de single sign-on du fournisseur de services ; la plupart des fournisseurs de services peuvent importer l'URL des métadonnées IdP en une fois.

Chaque personne se connecte avec une passkey sur un appareil enregistré auprès de XFA. Préparez-les avant d'activer le single sign-on, comme décrit dans Préparer les utilisateurs pour leur premier appareil.

Saisir les informations du fournisseur de services

À l'étape 2, Coller les informations du fournisseur de services, XFA doit savoir quel fournisseur de services envoie les requêtes de connexion et où envoyer la réponse SAML signée :

ID d'entité du fournisseur de services : l'ID d'entité du fournisseur de services (parfois appelé Issuer ou Audience).
URL du service consommateur d'assertions (ACS) : là où XFA envoie la réponse SAML.
Certificat de signature du fournisseur de services : uniquement si le fournisseur de services signe ses requêtes (voir Requêtes signées). Sinon, laissez-le vide.

XFA signe toujours ses assertions SAML, donc un paramètre du fournisseur de services comme "sign the response and assertion" n'a besoin d'aucun équivalent dans XFA. XFA envoie l'adresse e-mail comme NameID.

Importer depuis l'URL des métadonnées

Si le fournisseur de services publie ses métadonnées SAML à une URL, vous n'avez pas à recopier les valeurs une par une :

À l'étape 2, collez l'URL des métadonnées du fournisseur de services (elle commence par https://) sous Importer depuis l'URL des métadonnées et cliquez sur Importer.
XFA récupère les métadonnées et remplit ID d'entité du fournisseur de services et URL du service consommateur d'assertions (ACS). Si les métadonnées indiquent que le fournisseur de services signe ses requêtes de connexion, XFA remplit aussi Certificat de signature du fournisseur de services.
Vérifiez les valeurs, puis cliquez sur Terminer la configuration (ou Enregistrer et continuer plus tard).

Si l'import échoue, ouvrez l'URL des métadonnées dans un navigateur : elle doit renvoyer le XML des métadonnées SAML du fournisseur de services. Vous pouvez toujours coller les valeurs à la main.

À l'étape 3, activez le single sign-on dans le fournisseur de services pour les utilisateurs ou groupes que XFA doit vérifier ; commencez par un petit groupe. L'étape 4 est une connexion de test facultative.

Requêtes signées

Certains fournisseurs de services signent chaque requête de connexion qu'ils envoient à XFA ; la plupart non. Avec un Certificat de signature du fournisseur de services enregistré, XFA n'accepte que les requêtes signées avec ce certificat, et Exiger des requêtes signées est activé sous Paramètres sur la page de la connexion. Sans certificat, XFA accepte les requêtes non signées, et l'utilisateur prouve tout de même son identité avec sa passkey.

Quand le fournisseur de services renouvelle son certificat de signature

Les fournisseurs de services qui signent leurs requêtes renouvellent leur certificat de signature de temps en temps et publient le nouveau dans leurs métadonnées. XFA ne récupère pas encore les métadonnées de lui-même. Après un renouvellement, la connexion échoue avec le motif invalid_signature jusqu'à ce que vous ouvriez Modifier la connexion, cliquiez à nouveau sur Importer à l'étape 2 (ou colliez le nouveau certificat) et enregistriez la connexion.

Dépannage

Quand XFA refuse une requête de connexion du fournisseur de services, la page d'erreur affiche une ligne Reason: suivie d'un code. La même liste, avec un bouton qui vous amène au champ à corriger, se trouve sous Si la page d'erreur affiche l'une de ces raisons à l'étape 4 de la configuration.

Motif	Que faire
`missing_sp_entity_id`	Renseignez ID d'entité du fournisseur de services à l'étape 2, ou importez les métadonnées.
`issuer_mismatch`	La requête vient d'un autre ID d'entité. Recopiez exactement l'ID d'entité du fournisseur de services dans ID d'entité du fournisseur de services à l'étape 2.
`missing_signature`	Le fournisseur de services a envoyé une requête non signée. Activez la signature des requêtes dans le fournisseur de services, ou désactivez Exiger des requêtes signées sous Paramètres.
`invalid_signature`	La signature ne correspond pas au certificat, en général après un renouvellement. Importez à nouveau les métadonnées à l'étape 2 et enregistrez.
`unsupported_sigalg`	XFA accepte les signatures RSA-SHA256 et RSA-SHA1. Configurez le fournisseur de services pour signer en RSA-SHA256.
`invalid_sp_certificate`	XFA ne peut pas lire le certificat enregistré. Collez le certificat complet, y compris ses lignes `BEGIN` et `END`, ou importez les métadonnées.
`malformed_request`	La requête n'indique aucun issuer. Vérifiez que le fournisseur de services envoie son entity ID comme Issuer dans ses requêtes SAML, et contactez le support XFA si cela persiste.