XFA instellen als identity provider voor een SAML-service provider Beta

XFA is hier de identity provider: de service provider geeft de aanmelding door aan XFA, dat gebruikers aanmeldt met een passkey en hun toestel controleert. Volg voor Google Workspace in de plaats de Google Workspace-handleiding.

_Opmerking: deze handleiding gaat ervan uit dat je organisatie een XFA-account heeft, dat je daar beheerder bent in XFA en dat je single sign-on kunt instellen in de service provider. Heb je nog geen XFA-account, dan kun je er een aanmaken op

https://dashboard.xfa.tech/signup._

Maak een SAML-koppeling aan in het XFA-dashboard

Meld je aan bij het XFA-dashboard, open Identity provider in de zijbalk, klik op Koppeling toevoegen en kies SAML-app. XFA maakt de koppeling aan en opent de begeleide installatie: Basisgegevens, en daarna vier stappen die je tussen XFA en de service provider doorloopt, in willekeurige volgorde.

Stel onder Basisgegevens in:

een Naam voor de koppeling en het beleid waarvan de toestelcontroles gelden tijdens het aanmelden;
Toegestane e-maildomeinen: de domein(en) van de mensen die zich zullen aanmelden (bijvoorbeeld example.com). XFA meldt alleen mensen aan met een e-mailadres in deze domeinen of in de e-maildomeinen van je organisatie (onder Instellingen). Staan er hier en in de e-maildomeinen van je organisatie geen domeinen, dan kan niemand zich aanmelden.

Stap 1, Voeg XFA toe als identity provider, toont de waarden die de service provider nodig heeft om XFA te vertrouwen: de IdP-metadata-URL, de Entity ID, de SSO URL en een Certificaat dat je kunt downloaden. Vul ze in bij de single-sign-on-instellingen van de service provider; de meeste service providers kunnen de IdP-metadata-URL in één keer importeren.

Elke persoon meldt zich aan met een passkey op een toestel dat bij XFA is ingeschreven. Bereid hen voor voordat je single sign-on inschakelt, zoals beschreven in Gebruikers voorbereiden op hun eerste toestel.

Vul de gegevens van de service provider in

In stap 2, Plak de gegevens van de serviceprovider, moet XFA weten welke service provider de aanmeldverzoeken stuurt en waar het ondertekende SAML-antwoord naartoe moet:

Entity ID van de service provider: de entity ID van de service provider (soms Issuer of Audience genoemd).
Assertion Consumer Service (ACS) URL: waar XFA het SAML-antwoord naartoe post.
Ondertekeningscertificaat van de service provider: alleen als de service provider zijn verzoeken ondertekent (zie Ondertekende aanvragen). Laat het anders leeg.

XFA ondertekent zijn SAML-assertions altijd, dus een instelling van de service provider zoals "sign the response and assertion" heeft geen tegenhanger in XFA nodig. XFA stuurt het e-mailadres mee als NameID.

Importeren via metadata-URL

Publiceert de service provider zijn SAML-metadata op een URL, dan hoef je de waarden niet een voor een over te nemen:

Plak in stap 2 de metadata-URL van de service provider (die begint met https://) onder Importeren via metadata-URL en klik op Importeren.
XFA haalt de metadata op en vult Entity ID van de service provider en Assertion Consumer Service (ACS) URL in. Staat in de metadata dat de service provider zijn aanmeldverzoeken ondertekent, dan vult XFA ook het Ondertekeningscertificaat van de service provider in.
Controleer de waarden en klik dan op Instellen afronden (of Opslaan en later verdergaan).

Mislukt het importeren, open de metadata-URL dan in een browser: die moet de SAML-metadata-XML van de service provider teruggeven. Je kunt de waarden altijd ook met de hand plakken.

Schakel in stap 3 single sign-on in bij de service provider voor de gebruikers of groepen die XFA moet controleren; begin met een kleine groep. Stap 4 is een optionele testaanmelding.

Ondertekende aanvragen

Sommige service providers ondertekenen elk aanmeldverzoek dat ze naar XFA sturen; de meeste niet. Is er een Ondertekeningscertificaat van de service provider opgeslagen, dan aanvaardt XFA alleen verzoeken die met dat certificaat ondertekend zijn, en staat Ondertekende aanvragen vereisen aan onder Instellingen op de pagina van de koppeling. Zonder certificaat aanvaardt XFA niet-ondertekende verzoeken en bewijst de gebruiker zijn identiteit nog steeds met zijn passkey.

Wanneer de service provider zijn ondertekeningscertificaat vervangt

Service providers die hun verzoeken ondertekenen, vervangen hun ondertekeningscertificaat af en toe en publiceren het nieuwe in hun metadata. XFA haalt de metadata nog niet vanzelf opnieuw op. Na een vervanging mislukt de aanmelding met de reden invalid_signature tot je Verbinding wijzigen opent, in stap 2 opnieuw op Importeren klikt (of het nieuwe certificaat plakt) en de koppeling opslaat.

Problemen oplossen

Weigert XFA een aanmeldverzoek van de service provider, dan toont de foutpagina een regel Reason: gevolgd door een code. Dezelfde lijst, met een knop die je naar het te corrigeren veld brengt, staat onder Als de foutpagina een van deze redenen toont in stap 4 van de installatie.

Reden	Wat te doen
`missing_sp_entity_id`	Vul Entity ID van de service provider in stap 2 in, of importeer de metadata.
`issuer_mismatch`	Het verzoek komt van een andere entity ID. Neem de entity ID van de service provider exact over in Entity ID van de service provider in stap 2.
`missing_signature`	De service provider stuurde een niet-ondertekend verzoek. Zet het ondertekenen van verzoeken aan in de service provider, of zet Ondertekende aanvragen vereisen uit onder Instellingen.
`invalid_signature`	De handtekening past niet bij het certificaat, meestal na een vervanging van het certificaat. Importeer de metadata opnieuw in stap 2 en sla op.
`unsupported_sigalg`	XFA aanvaardt RSA-SHA256- en RSA-SHA1-handtekeningen. Laat de service provider ondertekenen met RSA-SHA256.
`invalid_sp_certificate`	XFA kan het opgeslagen certificaat niet lezen. Plak het volledige certificaat, inclusief de regels `BEGIN` en `END`, of importeer de metadata.
`malformed_request`	Het verzoek noemt geen issuer. Controleer of de service provider zijn entity ID als Issuer in zijn SAML-verzoeken meestuurt, en neem contact op met XFA-support als het blijft.