SAML

הגדרת אימות SAML ב‑FastComments דורשת הן תצורה בלוח הניהול שלך והן הגדרות אצל ספק הזהות שלך.

דרישות מוקדמות

לפני תצורת SAML, ודא שיש לך:

• תוכנית FastComments Flex או Pro (SAML אינו זמין בתוכנית Creators)
• גישה מנהלית לחשבון ה‑FastComments שלך
• גישה מנהלית אצל ספק הזהות שלך
• מטא‑נתוני SAML של ה‑IdP שלך או מידע על התעודה שלו

גישה לתצורת SAML

1. היכנס/י ללוח הניהול של FastComments
2. עבור אל API/SSO Settings בסרגל הצד השמאלי
3. לחץ/י על כפתור SAML Config

אם אינך רואה את כפתור ה‑SAML Config, אמת כי:

• לחשבונך יש את החבילה הנדרשת (Flex או Pro)
• יש לך הרשאות מנהל
• למשתמש שלך יש תפקידי API Admin או Admin Admin

תצורת SAML בסיסית

הפעלת אימות SAML

1. סמן/י את התיבה Enable SAML Authentication
2. פעולה זו מפעילה את SAML עבור השוכר שלך ומציגה את שדות התצורה

שדות חובה

IdP Single Sign-On URL (Required)

• ה‑URL שאליו המשתמשים יופנו לאימות
• בדרך כלל מסופק על‑ידי ספק הזהות שלך
• דוגמה: https://your-company.okta.com/app/fastcomments/sso/saml

IdP X.509 Certificate (Required)

• התעודה הציבורית מספק הזהות שלך
• משמשת לאימות האותנטיות של תגובות SAML
• חייבת לכלול את התעודה המלאה עם סימני BEGIN/END
• פורמט לדוגמה:

-----BEGIN CERTIFICATE-----
MIICXjCCAcegAwIBAgIBADANBgkqhkiG9w0BAQsFADA...
-----END CERTIFICATE-----

שדות אופציונליים

IdP Entity ID / Issuer

• מזהה את ספק הזהות שלך
• אם נשאר ריק, ברירת המחדל היא ה‑URL של FastComments שלך
• צריך להתאים ל‑issuer המוגדר ב‑IdP שלך

תצורה מתקדמת

הגדרות אבטחה

Signature Algorithm

• ברירת מחדל SHA-256 (מומלץ)
• אפשרויות: SHA-1, SHA-256, SHA-512
• צריך להתאים להגדרות ה‑IdP שלך

Digest Algorithm

• ברירת מחדל SHA-256 (מומלץ)
• משמש לחישוב digest בתגובות SAML
• צריך להתאים להגדרות ה‑IdP שלך

Name ID Format

• ברירת מחדל: פורמט כתובת אימייל
• קובע כיצד מזהי משתמשים מעוצבים
• אפשרויות נפוצות: Email Address, Persistent, Transient

הצפנה (אופציונלי)

Private Key for Decryption

• נדרש רק אם ה‑IdP שלך מוצפן את ההצהרות (assertions) של SAML
• הדבק/י כאן את המפתח הפרטי המשמש לפענוח
• ברוב הפריסות אין צורך בהצפנת ה‑assertion

שמירת התצורה

1. סקור/י את כל ההגדרות לוודא שהן נכונות
2. לחץ/י על Save SAML Configuration
3. המערכת תבצע אימות של התצורה שלך
4. אם האימות מצליח, תראה/י הודעת אישור

שלבים הבאים

לאחר שמירת תצורת SAML של FastComments שלך:

1. הגדר/י את ספק הזהות שלך באמצעות המידע של ה‑Service Provider
2. בדוק/י את מהלך האימות
3. קבע/י תפקידי משתמש והרשאות לפי הצורך

מידע ה‑Service Provider הדרוש להגדרת ה‑IdP שלך יוצג ברגע ש‑SAML יופעל.

לאחר קביעת תצורת SAML ב‑FastComments, עליך להגדיר את FastComments כספק שירות (Service Provider) בספק הזהות שלך.

תצורת IdP כללית

רוב ספקי הזהות דורשים את המידע הבא כדי להוסיף את FastComments כיישום SAML:

מידע נדרש על ספק השירות

הערכים האלה נוצרים אוטומטית ומוצגים בדף תצורת SAML של FastComments:

SP Entity ID / Audience

• פורמט: https://fastcomments.com/saml/{your-tenant-id}
• מזהה באופן ייחודי את המופע של FastComments שלך

Assertion Consumer Service (ACS) URL

• פורמט: https://fastcomments.com/saml/callback/{your-tenant-id}
• המקום שבו ה‑IdP שלך שולח תגובות SAML לאחר האימות

SP Metadata URL (אם נתמך על ידי ה‑IdP שלך)

• פורמט: https://fastcomments.com/saml/metadata/{your-tenant-id}
• מספק תצורת SAML מלאה בפורמט XML

SAML Login URL

• פורמט: https://fastcomments.com/saml/login/{your-tenant-id}
• קישור ישיר להתחלת אימות SAML

תכונות SAML נדרשות

הגדר את ספק הזהות שלך לשלוח את התכונות האלה עם תגובות SAML:

תכונות חיוניות

כתובת דוא"ל (נדרש)

• שם תכונה: email, emailAddress, or http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
• מטרה: זיהוי משתמש ייחודי והודעות
• פורמט: כתובת דוא"ל תקינה

תכונות אופציונליות

שם פרטי

• שמות תכונות: firstName, givenName, or http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
• מטרה: שם תצוגה של המשתמש

שם משפחה

• שמות תכונות: lastName, surname, or http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
• מטרה: שם תצוגה של המשתמש

תפקידים (חשוב לבקרת גישה)

• שמות תכונות: roles, groups, memberOf, or custom attribute names
• מטרה: הקצאת תפקידים והרשאות ב‑FastComments
• פורמט: מערך של מחרוזות תפקיד או ערכים מופרדים בפסיקים

תצורות נפוצות של ספקי זהות

Microsoft Azure AD

1. הוספת יישום ארגוני

   • חפש את "FastComments" או צור יישום SAML מותאם אישית
   • השתמש במידע SP שסופק על ידי FastComments

2. הגדרת תכונות

   • דוא"ל: user.mail or user.userprincipalname
   • שם פרטי: user.givenname
   • שם משפחה: user.surname
   • תפקידים: user.assignedroles or directory groups

Okta

1. יצירת יישום SAML

   • השתמש ב-"Create New App" ובחר SAML 2.0
   • הגדר עם מידע SP של FastComments

2. הצהרות תכונה

   • דוא"ל: user.email
   • שם פרטי: user.firstName
   • שם משפחה: user.lastName
   • תפקידים: user.groups or custom attributes

Google Workspace

1. הוספת יישום SAML

   • עבור ל‑Apps > Web and mobile apps > Add App > Add custom SAML app
   • הגדר עם מידע SP של FastComments

2. מיפוי תכונות

   • דוא"ל: דוא"ל ראשי
   • שם פרטי: שם פרטי
   • שם משפחה: שם משפחה
   • תפקידים: קבוצות או תכונות מותאמות

Active Directory Federation Services (ADFS)

1. הוספת אמון של צד תלוי

   • השתמש בכתובת URL של מטא‑נתונים של FastComments או בתצורה ידנית
   • הגדר מידע SP כפי שסופק

2. כללי תביעות

   • דוא"ל: תביעת כתובת דוא"ל
   • שם: תביעת Name ID
   • תפקידים: חברות בקבוצה או תביעות מותאמות

גמישות בשם תכונה

FastComments מקבל מידע תפקידים ממספר שמות תכונות כדי להתאים לתצורות IdP שונות:

• roles
• groups
• memberOf
• role
• group
• http://schemas.microsoft.com/ws/2008/06/identity/claims/role
• http://schemas.xmlsoap.org/ws/2005/05/identity/claims/role

גמישות זו מבטיחה תאימות עם ספקי זהות שונים מבלי לדרוש קונציות שמות תכונות ספציפיות.

בדיקת התצורה שלך

לאחר תצורת ספק הזהות שלך:

1. שמור את תצורת ה‑IdP
2. בדוק עם חשבון משתמש בדיקה ייעודי
3. אמת שהתכונות נשלחות כראוי
4. בדוק שהתפקידים ממופים כהלכה
5. וודא שהזרם האימותי מסתיים בהצלחה

רוב ספקי הזהות מציעים כלי בדיקת SAML לאימות התצורה לפני פריסת משתמשים בייצור.

כאשר SAML מופעל ב-FastComments, המערכת יוצרת אוטומטית מידע של ספק שירות (SP) שעליך להגדיר בספק הזהות שלך.

גישה למידע של ספק השירות

מידע ה-SP מוצג בעמוד התצורה של SAML לאחר הפעלת אימות SAML. מידע זה כולל את כל הפרטים שספק הזהות שלך צריך כדי להקים את יחס האמון ב-SAML.

נקודות קצה של ספק השירות

SP Entity ID / Audience

מטרה: מזהה באופן ייחודי את מופע FastComments שלך כספק שירות
פורמט: https://fastcomments.com/saml/{your-tenant-id}
שימוש: הגדר זאת כ-Entity ID או Audience ב-IdP שלך

מזהה זה מבטיח שתשובות SAML מיועדות לשוכר FastComments הספציפי שלך ומונע קבלת תשובות SAML על ידי מופעים אחרים.

Assertion Consumer Service (ACS) URL

מטרה: נקודת הקצה שאליה ספק הזהות (IdP) שולח תשובות SAML לאחר אימות המשתמש
פורמט: https://fastcomments.com/saml/callback/{your-tenant-id}
שימוש: הגדר זאת כ-ACS URL או Reply URL ב-IdP שלך

זה המקום שאליו המשתמשים מועברים לאחר אימות מוצלח עם ספק הזהות שלך, יחד עם ה-SAML assertion המכיל מידע על המשתמש.

SP Metadata URL

מטרה: מספק תצורת SAML מלאה בפורמט XML סטנדרטי
פורמט: https://fastcomments.com/saml/metadata/{your-tenant-id}
שימוש: חלק מספקי הזהות יכולים לייבא אוטומטית את התצורה באמצעות כתובת URL זו

כתובת המטא-דטה מכילה את כל המידע הנחוץ של ה-SP בפורמט XML, מה שמקל על תצורת ספקי זהות תואמים באופן אוטומטי.

SAML Login URL

מטרה: קישור ישיר להתחלת אימות SAML עבור השוכר שלך
פורמט: https://fastcomments.com/saml/login/{your-tenant-id}
שימוש: קישור משתמשים ישירות לאימות SAML או לבדיקת הזרימה

ניתן להשתמש בכתובת URL זו כדי לבדוק את אימות SAML או לספק למשתמשים קישור ישיר להתחברות דרך SAML.

תמיכה ב-SAML Binding

FastComments תומך ב-bindings הבאים של SAML:

HTTP-POST Binding

• שיטה עיקרית: ה-binding השכיח ביותר לתשובות SAML
• אבטחה: תשובת SAML נשלחת באמצעות HTTP POST ל-ACS URL
• שימוש: מומלץ לפריסות בייצור

HTTP-Redirect Binding

• שיטה חלופית: תשובת SAML נשלחת באמצעות הפניה HTTP
• מגבלות: גודל המטען מוגבל בשל מגבלות אורך ה-URL
• שימוש: נתמך אך HTTP-POST מועדף

מדיניות Name ID

FastComments מגדיר את מדיניות ה-Name ID הבאה בבקשות SAML:

• פורמט ברירת מחדל: urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
• פורמטים חלופיים: Persistent, Transient, Unspecified (ניתנים להגדרה)
• דרישה: כתובת הדוא"ל משמשת כמזהה המשתמש הראשי

מאפייני בקשת SAML

בעת התחלת אימות SAML, FastComments שולח בקשות עם המאפיינים הבאים:

Request Signing

• סטטוס: אופציונלי (ניתן להגדרה)
• אלגוריתם: מתאים לאלגוריתם החתימה המוגדר
• תעודה: משתמשת בתעודה ייעודית לשוכר אם חתימת בקשות מופעלת

Requested Attributes

FastComments מבקש את המאפיינים הבאים ב-AuthnRequests של SAML:

• Email: נדרש לזיהוי המשתמש
• First Name: אופציונלי לצרכי תצוגה
• Last Name: אופציונלי לצרכי תצוגה
• Roles/Groups: אופציונלי לבקרת גישה והרשאות

העתקת מידע של ספק השירות

עמוד התצורה של SAML מספק שדות ניתנים ללחיצה שמעתיקים אוטומטית את מידע ה-SP אל הלוח שלך:

1. לחץ על כל שדה של מידע SP (Entity ID, ACS URL, וכו')
2. הערך מועתק אוטומטית ללוח
3. הדבק את הערך בקונפיגורציית ספק הזהות שלך
4. הדגשה קצרה מצביעה על העתקה מוצלחת

זה מקל על העברת מידע ה-SP אל ה-IdP שלך ללא שגיאות הקלדה.

מידע על תעודת ה-SP

שימוש בתעודה

• מטרה: מצפנת תקשורת ומאמתת את זהות ה-SP
• סיבוב (Rotation): התעודות מנוהלות אוטומטית על ידי FastComments
• גישה: תעודות ציבוריות זמינות דרך כתובת המטא-דטה

פרטי התעודה

• אלגוריתם: RSA-2048 או גבוה יותר
• תוקף: התעודות מתחדשות אוטומטית לפני תפוגה
• הפצה: זמינה דרך מטא-דטה סטנדרטי של SAML

פתרון תקלות בתצורת ה-SP

אם ספק הזהות שלך מדווח על בעיות במידע ה-SP:

1. אמת את כתובות ה-URL: ודא שכל הכתובות משתמשות ב-HTTPS וכוללות את ה-tenant ID הנכון
2. בדוק את המטא-דטה: השתמש בכתובת המטא-דטה כדי לאמת את התצורה
3. בדוק קישוריות: ודא שה-IdP שלך יכול להגיע לנקודות הקצה של FastComments
4. אמת את הפורמט: אשר ש-IdP שלך תומך בפורמט המידע של ה-SP

בעיות נפוצות כוללות:

• tenant ID שגוי בכתובות ה-URL
• בעיות קישוריות רשת בין ה-IdP ל-FastComments
• IdP שמצפה לפורמטים שונים של כתובות URL או לאפשרויות תצורה נוספות

בדיקה של תצורת SAML שלך מוודאת שהאימות פועל כראוי לפני פריסה למשתמשי ייצור.

רשימת בדיקה לפני הבדיקה

לפני בדיקת אימות SAML, ודא:

• ✅ SAML מופעל ב-FastComments
• ✅ כל השדות הדרושים מלאים (IdP URL, Certificate)
• ✅ ה-Identity provider מוגדר עם מידע ה-SP של FastComments
• ✅ חשבון משתמש מבחן קיים ב-IdP שלך
• ✅ למשתמש המבחן מוקצים התפקידים המתאימים

שיטות בדיקה

שיטה 1: כתובת כניסה SAML ישירה

1. קבל את כתובת הכניסה SAML:

   • העתק מדף התצורה של SAML שלך
   • פורמט: https://fastcomments.com/saml/login/{your-tenant-id}

2. בדוק את האימות:

   • פתח את כתובת הכניסה של SAML בחלון דפדפן בסתר/פרטי
   • תועבר ל-identity provider שלך
   • היכנס עם אישורי המבחן
   • אמת את ההפניה המוצלחת חזרה ל-FastComments

שיטה 2: גישה ללוח הניהול

1. נווט ל-FastComments:

   • עבור אל לוח הניהול של FastComments
   • חפש את אפשרות הכניסה באמצעות SAML או השתמש בכתובת הכניסה של SAML

2. השלים את זרימת האימות:

   • אמת דרך ה-identity provider שלך
   • אמת גישה לתכונות הניהול המתאימות בהתאם לתפקידים שהוקצו

שיטה 3: בדיקת אינטגרציה עם הווידג'ט

לבדיקת SAML עם ווידג'טים של תגובות:

1. הטמע את הווידג'ט: השתמש בווידג'ט של FastComments בעמוד מבחן
2. אימות: לחץ על כניסה ובחר באפשרות SAML (אם זמינה)
3. אימות: אשר שהמשתמש מופיע כמאומת בווידג'ט

מה לאמת במהלך הבדיקה

זרימת האימות

הפניה מוצלחת:

• המשתמש מועבר לדף ההתחברות של IdP
• דף ההתחברות של IdP נטען כהלכה
• לא מתרחשים שגיאות תעודה או SSL

אימות ב-IdP:

• המשתמש יכול להיכנס עם אישורי ה-IdP שלו
• אימות רב-שלבי עובד (אם הוגדר)
• אין שגיאות אימות מה-IdP

חזרה ל-FastComments:

• המשתמש מועבר חזרה ל-FastComments לאחר התחברות מוצלחת ב-IdP
• אין שגיאות אימות של טענת SAML
• המשתמש מקבל גישה לתכונות המתאימות ב-FastComments

מידע על המשתמש

נתוני פרופיל בסיסיים:

• כתובת האימייל מתקבלת כראוי
• שם פרטי ושם משפחה מופיעים אם סופקו
• פרופיל המשתמש נוצר או מעודכן

הקצאת תפקידים:

• תפקידים ניהוליים מוקצים כראוי
• המשתמש בעל גישה לתכונות ניהול צפויות
• ההרשאות תואמות את התפקידים שהוקצו

אימות תגובת SAML

אימות תעודה:

• חתימת תגובת SAML מאומתת בהצלחה
• אין שגיאות אימות תעודה ביומנים
• התגובה מתקבלת כאמיתית

עיבוד מאפיינים:

• המאפיינים הנדרשים (email) קיימים
• המאפיינים האופציונליים מעובדים כהלכה
• מאפייני תפקיד מפורשים ומוחלים כראוי

בדיקת תרחישים שונים

זרימת משתמש סטנדרטית

1. משתמש חדש:

   • כניסת SAML בפעם הראשונה
   • יצירת חשבון
   • הקצאת הרשאות בסיסיות

2. משתמש קיים:

   • כניסה של משתמש חוזר
   • עדכוני פרופיל
   • שינויים בתפקיד

בדיקת גישת מנהל

1. תפקידים ניהוליים:

   • בדוק משתמשים עם התפקיד fc-admin-admin
   • אמת גישה ללוח הניהול
   • אשר יכולות ניהוליות

2. תפקידים מיוחדים:

   • בדוק גישת fc-moderator לתכונות המודרציה
   • בדוק גישת fc-analytics-admin לניתוחים
   • בדוק גישת fc-billing-admin לתכונות החיוב

תרחישי שגיאה

1. תעודות לא תקפות:

   • בדוק עם תעודות שפג תוקפן או שגויות
   • אמת טיפול שגיאות תקין

2. מאפיינים חסרים:

   • בדוק תגובות SAML ללא מאפיין ה-email הנדרש
   • אמת טיפול שגיאות תקין

3. בעיות רשת:

   • בדוק עם בעיות קישוריות
   • אמת טיפול בזמן המתנה

פתרון בעיות בבדיקות

בעיות אימות נפוצות

לולאת הפניה:

• בדוק ש-SP Entity ID תואם לתצורת ה-IdP
• אמת שכתובת ה-ACS (ACS URL) מוגדרת נכון
• אשר שהגדרות SAML binding תואמות

שגיאות תעודה:

• וודא שהתעודה כוללת את סימני BEGIN/END
• אמת שהתעודה לא פגה תוקף
• בדוק רווחים מיותרים או בעיות עיצוב

בעיות מאפיינים:

• אשר שמאפיין ה-email נשלח
• אמת שמאפייני התפקיד משתמשים בשם נכון
• בדוק את פורמט המאפיין (array לעומת מופרד בפסיקים)

כלי דיבוג

כלי המפתחים בדפדפן:

• נטר בקשות רשת במהלך זרימת SAML
• בדוק שגיאות HTTP או הפניות
• בדוק את נתוני POST של SAML (אם גלויים)

כלי בדיקה של IdP:

• רוב ה-IdP מספקים ממשקי בדיקה ל-SAML
• השתמש בכלי ה-IdP כדי לאמת את פורמט תגובת SAML
• בדוק את קונפיגורציית המאפיינים לפני שליחה ל-FastComments

תמיכת FastComments:

• הפעל רישום דיבוג במהלך הבדיקה
• שמור הודעות שגיאה וחותמות זמן
• פנה לתמיכה עם פרטי שגיאה ספציפיים

שיטות מומלצות לבדיקות

הגדרת סביבות בדיקה

1. משתמשי מבחן ייעודיים:

   • צור חשבונות מבחן ספציפיים ב-IdP שלך
   • הקצה שילובי תפקידים שונים
   • השתמש בכתובות דוא"ל של מבחן שקל לזהות

2. בדיקות מבודדות:

   • השתמש בחלונות דפדפן בסתר/פרטיים
   • נקה עוגיות בין בדיקות
   • בדוק עם חשבונות משתמש שונים

3. תיעוד:

   • רישום תרחישי בדיקה ותוצאותיהם
   • תעד כל שינוי תצורה שנדרש
   • ציין פרטי קונפיגורציה מוצלחים

אימות לפני פריסה

1. בדיקות מקיפות:

   • בדוק את כל שילובי התפקידים
   • אמת מקרים קצה ותנאי שגיאה
   • אשר שהביצועים מקובלים

2. קבלת משתמשים:

   • תן למשתמשי קצה לבדוק את זרימת האימות
   • אסוף משוב על חוויית המשתמש
   • אמת שהזרימה עונה על הדרישות

3. סקירת אבטחה:

   • אשר שאימות התעודה עובד
   • אמת שהקצאות התפקידים בטוחות
   • בדוק אכיפת בקרת הגישה

פריסה לייצור

לאחר בדיקות מוצלחות:

1. פריסה הדרגתית: שקול לפרוס את SAML תחילה לחלק מהמשתמשים
2. ניטור: נטר את שיעורי ההצלחה של האימות ואת יומני השגיאות
3. הכנת תמיכה: הכין את צוות התמיכה לשאלות הקשורות ל-SAML
4. תיעוד: ספק תיעוד למשתמש עבור תהליך הכניסה ב-SAML

מדריך זה מכסה בעיות נפוצות באימות SAML והפתרונות להן.

Certificate and Security Issues

Invalid Certificate Error

Symptoms:

• "Certificate validation failed" error
• משתמשים אינם מצליחים להשלים אימות SAML
• תגובות SAML נדחות

Common Causes:

• פורמט התעודה שגוי
• התעודה פגה
• סופקה תעודה שגויה
• תווים נוספים או רווחים בתעודה

Solutions:

1. Verify Certificate Format:

   • ודא שהתעודה כוללת את הסימונים -----BEGIN CERTIFICATE----- ו------END CERTIFICATE-----
   • הסר כל רווחים או שבירות שורה מיותרות
   • העתק את התעודה ישירות ממטאדטה או מהקונפיגורציה של ה-IdP

2. Check Certificate Validity:

   • ודא שהתעודה לא פגה
   • אשר שהתעודה מיועדת ל-IdP הנכון
   • השתמש בוולידטורים מקוונים של תעודות כדי לבדוק את הפורמט

3. Re-download Certificate:

   • הורד תעודה חדשה מה-IdP
   • השתמש ב-IdP metadata URL אם זמין
   • אשר שהתעודה תואמת לקונפיגורציה הנוכחית של ה-IdP

Signature Verification Failed

Symptoms:

• שגיאות אימות חתימה של אסרטיפיקציית SAML
• האימות נכשל לאחר כניסה ב-IdP
• הודעות שגיאה "Invalid signature"

Solutions:

1. Algorithm Mismatch:

   • בדוק שהאלגוריתם של החתימה ב-FastComments תואם את ה-IdP
   • נסה אלגוריתמים שונים לחתימה (SHA-256, SHA-1, SHA-512)
   • אמת שהאלגוריתם של הסיכום (digest) תואם לקונפיגורציה של ה-IdP

2. Certificate Issues:

   • ודא שהתעודה הנכונה לחתימה מוגדרת
   • אמת שהתעודה תואמת למפתח הפרטי שנמצא בשימוש ע"י ה-IdP
   • בדוק אם יש סיבוב תעודות (certificate rotation) ב-IdP

Configuration Issues

Wrong Entity ID or ACS URL

Symptoms:

• ה-IdP מדווח "Unknown Service Provider"
• תגובות SAML נשלחות ל-endpoint שגוי
• האימות לא מסתיים

Solutions:

1. Verify SP Information:

   • העתק במדויק את ה-Entity ID מהקונפיגורציה של FastComments
   • ודא ש-ACS URL תואם לפורמט: https://fastcomments.com/saml/callback/{tenant-id}
   • בדוק שגיאות הקלדה ב-tenant ID

2. IdP Configuration:

   • עדכן את ה-IdP עם ה-SP Entity ID הנכון
   • קבע את ה-ACS/Reply URL המתאים
   • אמת את הגדרות ה-binding של ה-IdP (HTTP-POST מועדף)

Missing or Incorrect Attributes

Symptoms:

• משתמשים נוצרים ללא תפקידים מתאימים
• חסר מידע בפרופיל המשתמש
• שגיאות "Email required"

Solutions:

1. Email Attribute:

   • ודא שה-IdP שולח את התכונה של המייל
   • בדוק מיפוי שמות התכונות (email, emailAddress, וכו')
   • אמת שהערך של המייל הוא כתובת מייל תקינה

2. Role Attributes:

   • אשר שה-IdP שולח מידע על תפקידים/קבוצות
   • בדוק ששמות תכונות התפקידים תואמים לציפיות של FastComments
   • אמת שערכי התפקיד תואמים בדיוק לשמות התפקידים ב-FastComments

3. Attribute Format:

   • בדוק גם פורמט מערך וגם פורמט מופרד בפסיקים עבור תפקידי משתמש
   • ודא שערכי התכונה אינם מכילים רווחים מיותרים
   • בדוק רגישות לאותיות בשמות תפקידים

Authentication Flow Issues

Redirect Loop

Symptoms:

• הדפדפן מבצע הפניות אינסופיות בין FastComments ל-IdP
• האימות לעולם לא מסתיים
• מספר הפניות מוצג בכלי המפתחים של הדפדפן

Solutions:

1. Check SP Configuration:

   • ודא שה-Entity ID תואם בדיוק לקונפיגורציה של ה-IdP
   • ודא ש-ACS URL מוגדר נכון ב-IdP
   • בדוק סלאשים בסוף ה-URLs

2. Session Issues:

   • נקה עוגיות בדפדפן ונסה שוב
   • בדוק בחלון דפדפן פרטי/incognito
   • בדוק הגדרות timeout של סשן

Access Denied After Authentication

Symptoms:

• אימות SAML מצליח
• המשתמש מופרש חזרה ל-FastComments
• מוצגת הודעת "Access denied" או שגיאת הרשאות

Solutions:

1. Role Assignment:

   • ודא שלמשתמש יש תפקידים מתאימים ב-IdP
   • בדוק שהתכונת התפקיד נשלחת בתשובת ה-SAML
   • אשר ששמות התפקידים תואמים בדיוק לדרישות של FastComments

2. Package Limitations:

   • בדוק שלחשבון יש תוכנית Flex או Pro
   • ודא שתכונת ה-SAML מופעלת בחבילה
   • פנה לתמיכה אם החבילה כוללת SAML אך התכונה לא זמינה

Identity Provider Specific Issues

Microsoft Azure AD

Common Issues:

• הקצאות תפקידי אפליקציה לא משתקפות בטוקנים
• Claims לא נשלחות כראוי
• דרישות הקצאת משתמשים

Solutions:

• בדוק הקצאת משתמש לאפליקציית FastComments
• אמת שתפקידי האפליקציה מוגדרים כראוי
• ודא שמיפוי ה-claims כולל את התכונות הנדרשות

Okta

Common Issues:

• מסנני קבוצות לא עובדים כראוי
• הצהרות תכונה (attribute statements) מוגדרות לא נכון
• בעיות בהקצאת אפליקציה

Solutions:

• סקור את קונפיגורציית ה-attribute statements
• בדוק הקצאת קבוצות וכללי סינון
• אמת שהאפליקציה מוקצת למשתמשים/קבוצות המתאימות

Google Workspace

Common Issues:

• תכונות מותאמות אישית לא ממופות כראוי
• חברות בקבוצה לא נשלחות
• שגיאות בקונפיגורציית אפליקציית SAML

Solutions:

• הגדר סכימה מותאמת אישית לתכונות תפקידים
• בדוק הפצת חברות הקבוצה
• אמת מיפוי תכונות של אפליקציית SAML

Network and Connectivity Issues

Timeout Errors

Symptoms:

• תהליך האימות פג תוקף (timeout)
• "Request timeout" או שגיאות דומות
• זרימת אימות איטית

Solutions:

1. Network Connectivity:

   • בדוק שחוקי החומת אש מאפשרים תקשורת עם FastComments
   • אמת רזולוציית DNS עבור fastcomments.com
   • בדוק חיבור רשת מה-IdP אל FastComments

2. Performance Issues:

   • בדוק זמני תגובה של ה-IdP
   • אמת שלאבדיקת שרשרת התעודות אין קושי שגורם לעיכוב
   • שקול השפעת השיהוי ברשת בין ה-IdP והמשתמשים

SSL/TLS Issues

Symptoms:

• אזהרות תעודה במהלך האימות
• כשלי SSL handshake
• שגיאות "Secure connection failed"

Solutions:

• ודא שכל נקודות הקצה של SAML משתמשות ב-HTTPS
• בדוק תוקף תעודות לכל הדומיינים המעורבים
• אמת תאימות גרסת TLS

Debugging and Logging

Enabling Debug Information

1. Browser Developer Tools:

   • עקוב אחרי לשונית ה-Network במהלך זרימת SAML
   • בדוק את ה-Console לשגיאות JavaScript
   • בחן בקשות POST של SAML (אם נראות)

2. IdP Logging:

   • אפשר דיבוג של SAML ב-IdP שלך
   • סקור לוגים של ה-IdP לפרטי בקשות/תגובות SAML
   • בדוק בעיות במיפוי תכונות

Common Log Messages

FastComments Logs:

• "SAML config not found" - SAML לא מופעל או מוגדר לא נכון
• "Invalid certificate" - אימות התעודה נכשל
• "Missing email attribute" - המייל הנדרש לא נשלח בתשובת ה-SAML

IdP Logs:

• "Unknown service provider" - חוסר התאמה של Entity ID
• "Invalid ACS URL" - כתובת Assertion Consumer Service שגויה
• "User not assigned" - למשתמש אין גישה לאפליקציית SAML

Getting Help

Information to Gather

כאשר פונים לתמיכה, ספק:

• הודעות שגיאה מדויקות וחותמות זמן
• פרטי קונפיגורציית SAML (ללא מידע רגיש)
• סוג וגרסת ה-IdP
• צעדים לשחזור הבעיה
• מידע על הדפדפן והרשת

FastComments Support

For SAML-related issues:

1. Use the פורטל התמיכה
2. כלול את tenant ID ודוא"לי המשתמשים המושפעים
3. ספק הודעות שגיאה ופרטי קונפיגורציה
4. ציין את סוג ה-IdP ושיטת הקונפיגורציה

IdP Support

For IdP-specific issues:

• עיין בתיעוד ה-IdP לפתרון בעיות SAML
• השתמש בערוצי התמיכה של ה-IdP לבעיות קונפיגורציה
• נצל פורומים קהילתיים של ה-IdP לבעיות נפוצות

Prevention Tips

Best Practices

1. Test Thoroughly:

   • בדוק שינויים בקונפיגורציה בסביבה שאינה פרודקשן
   • אמת עם מספר משתמשי בדיקה
   • תעד קונפיגורציות שפועלות

2. Monitor Regularly:

   • הגדר ניטור לכשלי אימות SAML
   • סקור תאריכי פקיעת תעודות
   • נטר שינויים בקונפיגורציית ה-IdP

3. Documentation:

   • תחזק תיעוד של קונפיגורציית SAML
   • תעד כל קונפיגורציה מותאמת אישית או פתרונות עקיפה
   • שמור פרטי קשר למנהלי ה-IdP

Proactive Maintenance

1. Certificate Management:

   • נטר תאריכי פקיעת תעודות
   • תכנן נוהלי סיבוב תעודות (certificate rotation)
   • בדוק עדכוני תעודות לפני פקיעת התוקף

2. Configuration Reviews:

   • סקור באופן קבוע את קונפיגורציית SAML
   • אמת שהגדרות ה-IdP נשארות עדכניות
   • עדכן תיעוד כאשר מבוצעים שינויים