SAML

הגדרת אימות SAML ב‑FastComments דורשת הן תצורה בלוח הניהול שלך והן הגדרות אצל ספק הזהות שלך.

דרישות מוקדמות

לפני תצורת SAML, ודא שיש לך:

• תוכנית FastComments Flex או Pro (SAML אינו זמין בתוכנית Creators)
• גישה מנהלית לחשבון ה‑FastComments שלך
• גישה מנהלית אצל ספק הזהות שלך
• מטא‑נתוני SAML של ה‑IdP שלך או מידע על התעודה שלו

גישה לתצורת SAML

1. היכנס/י ללוח הניהול של FastComments
2. עבור אל API/SSO Settings בסרגל הצד השמאלי
3. לחץ/י על כפתור SAML Config

אם אינך רואה את כפתור ה‑SAML Config, אמת כי:

• לחשבונך יש את החבילה הנדרשת (Flex או Pro)
• יש לך הרשאות מנהל
• למשתמש שלך יש תפקידי API Admin או Admin Admin

תצורת SAML בסיסית

הפעלת אימות SAML

1. סמן/י את התיבה Enable SAML Authentication
2. פעולה זו מפעילה את SAML עבור השוכר שלך ומציגה את שדות התצורה

שדות חובה

IdP Single Sign-On URL (Required)

• ה‑URL שאליו המשתמשים יופנו לאימות
• בדרך כלל מסופק על‑ידי ספק הזהות שלך
• דוגמה: https://your-company.okta.com/app/fastcomments/sso/saml

IdP X.509 Certificate (Required)

• התעודה הציבורית מספק הזהות שלך
• משמשת לאימות האותנטיות של תגובות SAML
• חייבת לכלול את התעודה המלאה עם סימני BEGIN/END
• פורמט לדוגמה:

-----BEGIN CERTIFICATE-----
MIICXjCCAcegAwIBAgIBADANBgkqhkiG9w0BAQsFADA...
-----END CERTIFICATE-----

שדות אופציונליים

IdP Entity ID / Issuer

• מזהה את ספק הזהות שלך
• אם נשאר ריק, ברירת המחדל היא ה‑URL של FastComments שלך
• צריך להתאים ל‑issuer המוגדר ב‑IdP שלך

תצורה מתקדמת

הגדרות אבטחה

Signature Algorithm

• ברירת מחדל SHA-256 (מומלץ)
• אפשרויות: SHA-1, SHA-256, SHA-512
• צריך להתאים להגדרות ה‑IdP שלך

Digest Algorithm

• ברירת מחדל SHA-256 (מומלץ)
• משמש לחישוב digest בתגובות SAML
• צריך להתאים להגדרות ה‑IdP שלך

Name ID Format

• ברירת מחדל: פורמט כתובת אימייל
• קובע כיצד מזהי משתמשים מעוצבים
• אפשרויות נפוצות: Email Address, Persistent, Transient

הצפנה (אופציונלי)

Private Key for Decryption

• נדרש רק אם ה‑IdP שלך מוצפן את ההצהרות (assertions) של SAML
• הדבק/י כאן את המפתח הפרטי המשמש לפענוח
• ברוב הפריסות אין צורך בהצפנת ה‑assertion

שמירת התצורה

1. סקור/י את כל ההגדרות לוודא שהן נכונות
2. לחץ/י על Save SAML Configuration
3. המערכת תבצע אימות של התצורה שלך
4. אם האימות מצליח, תראה/י הודעת אישור

שלבים הבאים

לאחר שמירת תצורת SAML של FastComments שלך:

1. הגדר/י את ספק הזהות שלך באמצעות המידע של ה‑Service Provider
2. בדוק/י את מהלך האימות
3. קבע/י תפקידי משתמש והרשאות לפי הצורך

מידע ה‑Service Provider הדרוש להגדרת ה‑IdP שלך יוצג ברגע ש‑SAML יופעל.

לאחר קביעת תצורת SAML ב‑FastComments, עליך להגדיר את FastComments כספק שירות (Service Provider) בספק הזהות שלך.

תצורת IdP כללית

רוב ספקי הזהות דורשים את המידע הבא כדי להוסיף את FastComments כיישום SAML:

מידע נדרש על ספק השירות

הערכים האלה נוצרים אוטומטית ומוצגים בדף תצורת SAML של FastComments:

SP Entity ID / Audience

• פורמט: https://fastcomments.com/saml/{your-tenant-id}
• מזהה באופן ייחודי את המופע של FastComments שלך

Assertion Consumer Service (ACS) URL

• פורמט: https://fastcomments.com/saml/callback/{your-tenant-id}
• המקום שבו ה‑IdP שלך שולח תגובות SAML לאחר האימות

SP Metadata URL (אם נתמך על ידי ה‑IdP שלך)

• פורמט: https://fastcomments.com/saml/metadata/{your-tenant-id}
• מספק תצורת SAML מלאה בפורמט XML

SAML Login URL

• פורמט: https://fastcomments.com/saml/login/{your-tenant-id}
• קישור ישיר להתחלת אימות SAML

תכונות SAML נדרשות

הגדר את ספק הזהות שלך לשלוח את התכונות האלה עם תגובות SAML:

תכונות חיוניות

כתובת דוא"ל (נדרש)

• שם תכונה: email, emailAddress, or http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
• מטרה: זיהוי משתמש ייחודי והודעות
• פורמט: כתובת דוא"ל תקינה

תכונות אופציונליות

שם פרטי

• שמות תכונות: firstName, givenName, or http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
• מטרה: שם תצוגה של המשתמש

שם משפחה

• שמות תכונות: lastName, surname, or http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
• מטרה: שם תצוגה של המשתמש

תפקידים (חשוב לבקרת גישה)

• שמות תכונות: roles, groups, memberOf, or custom attribute names
• מטרה: הקצאת תפקידים והרשאות ב‑FastComments
• פורמט: מערך של מחרוזות תפקיד או ערכים מופרדים בפסיקים

תצורות נפוצות של ספקי זהות

Microsoft Azure AD

1. הוספת יישום ארגוני

   • חפש את "FastComments" או צור יישום SAML מותאם אישית
   • השתמש במידע SP שסופק על ידי FastComments

2. הגדרת תכונות

   • דוא"ל: user.mail or user.userprincipalname
   • שם פרטי: user.givenname
   • שם משפחה: user.surname
   • תפקידים: user.assignedroles or directory groups

Okta

1. יצירת יישום SAML

   • השתמש ב-"Create New App" ובחר SAML 2.0
   • הגדר עם מידע SP של FastComments

2. הצהרות תכונה

   • דוא"ל: user.email
   • שם פרטי: user.firstName
   • שם משפחה: user.lastName
   • תפקידים: user.groups or custom attributes

Google Workspace

1. הוספת יישום SAML

   • עבור ל‑Apps > Web and mobile apps > Add App > Add custom SAML app
   • הגדר עם מידע SP של FastComments

2. מיפוי תכונות

   • דוא"ל: דוא"ל ראשי
   • שם פרטי: שם פרטי
   • שם משפחה: שם משפחה
   • תפקידים: קבוצות או תכונות מותאמות

Active Directory Federation Services (ADFS)

1. הוספת אמון של צד תלוי

   • השתמש בכתובת URL של מטא‑נתונים של FastComments או בתצורה ידנית
   • הגדר מידע SP כפי שסופק

2. כללי תביעות

   • דוא"ל: תביעת כתובת דוא"ל
   • שם: תביעת Name ID
   • תפקידים: חברות בקבוצה או תביעות מותאמות

גמישות בשם תכונה

FastComments מקבל מידע תפקידים ממספר שמות תכונות כדי להתאים לתצורות IdP שונות:

• roles
• groups
• memberOf
• role
• group
• http://schemas.microsoft.com/ws/2008/06/identity/claims/role
• http://schemas.xmlsoap.org/ws/2005/05/identity/claims/role

גמישות זו מבטיחה תאימות עם ספקי זהות שונים מבלי לדרוש קונציות שמות תכונות ספציפיות.

בדיקת התצורה שלך

לאחר תצורת ספק הזהות שלך:

1. שמור את תצורת ה‑IdP
2. בדוק עם חשבון משתמש בדיקה ייעודי
3. אמת שהתכונות נשלחות כראוי
4. בדוק שהתפקידים ממופים כהלכה
5. וודא שהזרם האימותי מסתיים בהצלחה

רוב ספקי הזהות מציעים כלי בדיקת SAML לאימות התצורה לפני פריסת משתמשים בייצור.

כאשר SAML מופעל ב-FastComments, המערכת מייצרת באופן אוטומטי מידע של ספק שירות (SP) שעליך להגדיר בספק הזהויות שלך.

גישה למידע של ספק השירות

מידע ה-SP מוצג בדף הגדרות ה-SAML שלך לאחר הפעלת אימות SAML. מידע זה כולל את כל הפרטים שספק הזהויות שלך צריך כדי ליצור את יחסי האמון של SAML.

נקודות קצה של ספק השירות

SP Entity ID / Audience

מטרה: מזהה באופן ייחודי את המופע שלך ב-FastComments כספק שירות פורמט: https://fastcomments.com/saml/{your-tenant-id} שימוש: הגדר זאת כ-Entity ID או Audience ב-IdP שלך

מזהה זה מבטיח שתגובות SAML מיועדות לטננט הספציפי שלך ב-FastComments ומונע מתגובות SAML להתקבל על ידי מופעים אחרים.

Assertion Consumer Service (ACS) URL

מטרה: נקודת הקצה אליה ה-IdP שלך שולח תגובות SAML לאחר אימות המשתמש פורמט: https://fastcomments.com/saml/callback/{your-tenant-id} שימוש: הגדר זאת כ-ACS URL או Reply URL ב-IdP שלך

זהו המקום אליו משתמשים מועברים לאחר אימות מוצלח מול ספק הזהויות שלך, יחד עם הצהרת ה-SAML המכילה מידע על המשתמש.

SP Metadata URL

מטרה: מספק תצורת SAML מלאה בפורמט XML תקני פורמט: https://fastcomments.com/saml/metadata/{your-tenant-id} שימוש: חלק מה-IdPs יכולים לייבא תצורה באופן אוטומטי באמצעות כתובת URL זו

כתובת ה-metadata מכילה את כל מידע ה-SP הדרוש בפורמט XML, מה שמקל על הגדרת ספקי זהויות תואמים באופן אוטומטי.

SAML Login URL

מטרה: קישור ישיר ליזום אימות SAML עבור הטננט שלך פורמט: https://fastcomments.com/saml/login/{your-tenant-id} שימוש: קישור משתמשים ישירות לאימות SAML או בדיקת הזרימה

באפשרותך להשתמש בכתובת URL זו כדי לבדוק אימות SAML או לספק למשתמשים קישור ישיר להתחברות באמצעות SAML.

תמיכה ב-SAML Bindings

FastComments תומך ב-SAML bindings הבאים:

HTTP-POST Binding

• שיטה עיקרית: ה-binding הנפוץ ביותר עבור תגובות SAML
• אבטחה: תגובת ה-SAML נשלחת באמצעות HTTP POST אל כתובת ה-ACS URL
• שימוש: מומלץ לפריסות בסביבת הייצור

HTTP-Redirect Binding

• שיטה חלופית: תגובת SAML נשלחת באמצעות הפניית HTTP
• מגבלות: גודל מטען מוגבל עקב מגבלות אורך URL
• שימוש: נתמך, אך HTTP-POST מועדף

מדיניות Name ID

FastComments מגדיר את מדיניות ה-Name ID הבאה בבקשות SAML:

• פורמט ברירת מחדל: urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
• פורמטים חלופיים: Persistent, Transient, Unspecified (ניתן להגדרה)
• דרישה: כתובת הדוא"ל משמשת כמזהה המשתמש הראשי

מאפייני בקשות SAML

בעת יזום אימות SAML, FastComments שולח בקשות עם המאפיינים הבאים:

חתימת בקשות

• סטטוס: אופציונלי (ניתן להגדרה)
• אלגוריתם: תואם לאלגוריתם החתימה המוגדר
• תעודה: משתמש בתעודה ייחודית לטננט אם חתימת בקשות מופעלת

מאפיינים מבוקשים

FastComments מבקש את המאפיינים הבאים בבקשות SAML AuthnRequests:

• Email: נדרש לזיהוי המשתמש
• First Name: אופציונלי לצורכי תצוגה
• Last Name: אופציונלי לצורכי תצוגה
• Roles/Groups: אופציונלי לבקרת גישה והרשאות

העתקת מידע SP

דף הגדרות ה-SAML מספק שדות לחיצים שמעתיקים באופן אוטומטי מידע SP ללוח שלך:

1. לחץ על כל שדה מידע SP (Entity ID, ACS URL וכו')
2. הערך מועתק באופן אוטומטי ללוח שלך
3. הדבק את הערך בתצורת ספק הזהויות שלך
4. הדגשה קצרה מציינת העתקה מוצלחת

זה מקל על העברת מידע ה-SP במדויק אל ה-IdP שלך ללא שגיאות הקלדה.

מידע על תעודת SP

שימוש בתעודה

• מטרה: מצפין תקשורת ומאמת את זהות ה-SP
• החלפה: תעודות מנוהלות באופן אוטומטי על ידי FastComments
• גישה: תעודות ציבוריות זמינות באמצעות כתובת ה-metadata

פרטי התעודה

• אלגוריתם: RSA-2048 או גבוה יותר
• תוקף: תעודות מחודשות באופן אוטומטי לפני פקיעתן
• הפצה: זמינות באמצעות metadata תקני של SAML

פתרון בעיות בתצורת SP

אם ספק הזהויות שלך מדווח על בעיות במידע ה-SP:

1. אמת כתובות URL: ודא שכל הכתובות משתמשות ב-HTTPS וכוללות את מזהה הטננט הנכון
2. בדוק Metadata: השתמש בכתובת ה-metadata כדי לאמת את התצורה
3. בדוק קישוריות: ודא שה-IdP שלך יכול להגיע לנקודות הקצה של FastComments
4. אמת פורמט: ודא שה-IdP שלך תומך בפורמט של מידע ה-SP

בעיות נפוצות כוללות:

• מזהה טננט שגוי בכתובות URL
• בעיות קישוריות רשת בין ה-IdP ל-FastComments
• IdP שמצפה לפורמטי URL שונים או לאפשרויות תצורה נוספות

בדיקה של תצורת SAML שלך מוודאת שהאימות פועל כראוי לפני פריסה למשתמשי ייצור.

רשימת בדיקה לפני הבדיקה

לפני בדיקת אימות SAML, ודא:

• ✅ SAML מופעל ב-FastComments
• ✅ כל השדות הדרושים מלאים (IdP URL, Certificate)
• ✅ ה-Identity provider מוגדר עם מידע ה-SP של FastComments
• ✅ חשבון משתמש מבחן קיים ב-IdP שלך
• ✅ למשתמש המבחן מוקצים התפקידים המתאימים

שיטות בדיקה

שיטה 1: כתובת כניסה SAML ישירה

1. קבל את כתובת הכניסה SAML:

   • העתק מדף התצורה של SAML שלך
   • פורמט: https://fastcomments.com/saml/login/{your-tenant-id}

2. בדוק את האימות:

   • פתח את כתובת הכניסה של SAML בחלון דפדפן בסתר/פרטי
   • תועבר ל-identity provider שלך
   • היכנס עם אישורי המבחן
   • אמת את ההפניה המוצלחת חזרה ל-FastComments

שיטה 2: גישה ללוח הניהול

1. נווט ל-FastComments:

   • עבור אל לוח הניהול של FastComments
   • חפש את אפשרות הכניסה באמצעות SAML או השתמש בכתובת הכניסה של SAML

2. השלים את זרימת האימות:

   • אמת דרך ה-identity provider שלך
   • אמת גישה לתכונות הניהול המתאימות בהתאם לתפקידים שהוקצו

שיטה 3: בדיקת אינטגרציה עם הווידג'ט

לבדיקת SAML עם ווידג'טים של תגובות:

1. הטמע את הווידג'ט: השתמש בווידג'ט של FastComments בעמוד מבחן
2. אימות: לחץ על כניסה ובחר באפשרות SAML (אם זמינה)
3. אימות: אשר שהמשתמש מופיע כמאומת בווידג'ט

מה לאמת במהלך הבדיקה

זרימת האימות

הפניה מוצלחת:

• המשתמש מועבר לדף ההתחברות של IdP
• דף ההתחברות של IdP נטען כהלכה
• לא מתרחשים שגיאות תעודה או SSL

אימות ב-IdP:

• המשתמש יכול להיכנס עם אישורי ה-IdP שלו
• אימות רב-שלבי עובד (אם הוגדר)
• אין שגיאות אימות מה-IdP

חזרה ל-FastComments:

• המשתמש מועבר חזרה ל-FastComments לאחר התחברות מוצלחת ב-IdP
• אין שגיאות אימות של טענת SAML
• המשתמש מקבל גישה לתכונות המתאימות ב-FastComments

מידע על המשתמש

נתוני פרופיל בסיסיים:

• כתובת האימייל מתקבלת כראוי
• שם פרטי ושם משפחה מופיעים אם סופקו
• פרופיל המשתמש נוצר או מעודכן

הקצאת תפקידים:

• תפקידים ניהוליים מוקצים כראוי
• המשתמש בעל גישה לתכונות ניהול צפויות
• ההרשאות תואמות את התפקידים שהוקצו

אימות תגובת SAML

אימות תעודה:

• חתימת תגובת SAML מאומתת בהצלחה
• אין שגיאות אימות תעודה ביומנים
• התגובה מתקבלת כאמיתית

עיבוד מאפיינים:

• המאפיינים הנדרשים (email) קיימים
• המאפיינים האופציונליים מעובדים כהלכה
• מאפייני תפקיד מפורשים ומוחלים כראוי

בדיקת תרחישים שונים

זרימת משתמש סטנדרטית

1. משתמש חדש:

   • כניסת SAML בפעם הראשונה
   • יצירת חשבון
   • הקצאת הרשאות בסיסיות

2. משתמש קיים:

   • כניסה של משתמש חוזר
   • עדכוני פרופיל
   • שינויים בתפקיד

בדיקת גישת מנהל

1. תפקידים ניהוליים:

   • בדוק משתמשים עם התפקיד fc-admin-admin
   • אמת גישה ללוח הניהול
   • אשר יכולות ניהוליות

2. תפקידים מיוחדים:

   • בדוק גישת fc-moderator לתכונות המודרציה
   • בדוק גישת fc-analytics-admin לניתוחים
   • בדוק גישת fc-billing-admin לתכונות החיוב

תרחישי שגיאה

1. תעודות לא תקפות:

   • בדוק עם תעודות שפג תוקפן או שגויות
   • אמת טיפול שגיאות תקין

2. מאפיינים חסרים:

   • בדוק תגובות SAML ללא מאפיין ה-email הנדרש
   • אמת טיפול שגיאות תקין

3. בעיות רשת:

   • בדוק עם בעיות קישוריות
   • אמת טיפול בזמן המתנה

פתרון בעיות בבדיקות

בעיות אימות נפוצות

לולאת הפניה:

• בדוק ש-SP Entity ID תואם לתצורת ה-IdP
• אמת שכתובת ה-ACS (ACS URL) מוגדרת נכון
• אשר שהגדרות SAML binding תואמות

שגיאות תעודה:

• וודא שהתעודה כוללת את סימני BEGIN/END
• אמת שהתעודה לא פגה תוקף
• בדוק רווחים מיותרים או בעיות עיצוב

בעיות מאפיינים:

• אשר שמאפיין ה-email נשלח
• אמת שמאפייני התפקיד משתמשים בשם נכון
• בדוק את פורמט המאפיין (array לעומת מופרד בפסיקים)

כלי דיבוג

כלי המפתחים בדפדפן:

• נטר בקשות רשת במהלך זרימת SAML
• בדוק שגיאות HTTP או הפניות
• בדוק את נתוני POST של SAML (אם גלויים)

כלי בדיקה של IdP:

• רוב ה-IdP מספקים ממשקי בדיקה ל-SAML
• השתמש בכלי ה-IdP כדי לאמת את פורמט תגובת SAML
• בדוק את קונפיגורציית המאפיינים לפני שליחה ל-FastComments

תמיכת FastComments:

• הפעל רישום דיבוג במהלך הבדיקה
• שמור הודעות שגיאה וחותמות זמן
• פנה לתמיכה עם פרטי שגיאה ספציפיים

שיטות מומלצות לבדיקות

הגדרת סביבות בדיקה

1. משתמשי מבחן ייעודיים:

   • צור חשבונות מבחן ספציפיים ב-IdP שלך
   • הקצה שילובי תפקידים שונים
   • השתמש בכתובות דוא"ל של מבחן שקל לזהות

2. בדיקות מבודדות:

   • השתמש בחלונות דפדפן בסתר/פרטיים
   • נקה עוגיות בין בדיקות
   • בדוק עם חשבונות משתמש שונים

3. תיעוד:

   • רישום תרחישי בדיקה ותוצאותיהם
   • תעד כל שינוי תצורה שנדרש
   • ציין פרטי קונפיגורציה מוצלחים

אימות לפני פריסה

1. בדיקות מקיפות:

   • בדוק את כל שילובי התפקידים
   • אמת מקרים קצה ותנאי שגיאה
   • אשר שהביצועים מקובלים

2. קבלת משתמשים:

   • תן למשתמשי קצה לבדוק את זרימת האימות
   • אסוף משוב על חוויית המשתמש
   • אמת שהזרימה עונה על הדרישות

3. סקירת אבטחה:

   • אשר שאימות התעודה עובד
   • אמת שהקצאות התפקידים בטוחות
   • בדוק אכיפת בקרת הגישה

פריסה לייצור

לאחר בדיקות מוצלחות:

1. פריסה הדרגתית: שקול לפרוס את SAML תחילה לחלק מהמשתמשים
2. ניטור: נטר את שיעורי ההצלחה של האימות ואת יומני השגיאות
3. הכנת תמיכה: הכין את צוות התמיכה לשאלות הקשורות ל-SAML
4. תיעוד: ספק תיעוד למשתמש עבור תהליך הכניסה ב-SAML

מדריך זה עוסק בבעיות נפוצות באימות SAML ובפתרונות שלהן.

בעיות תעודה ואבטחה

שגיאת תעודה לא תקפה

תסמינים:

• שגיאת "Certificate validation failed"
• משתמשים אינם מצליחים להשלים אימות SAML
• תגובות SAML נדחות

סיבות נפוצות:

• פורמט התעודה שגוי
• התעודה פגה
• סופקה תעודה שגויה
• תווים מיותרים או רווחים בתעודה

פתרונות:

1. אימות פורמט התעודה:

   • ודאו שהתעודה כוללת את הסמנים -----BEGIN CERTIFICATE----- ו------END CERTIFICATE-----
   • הסירו רווחים מיותרים או מעברי שורה
   • העתיקו את התעודה ישירות ממטא-דאטה של ה-IdP או מהתצורה

2. בדיקת תוקף התעודה:

   • ודאו שהתעודה לא פגה
   • אשרו שהתעודה מיועדת ל-IdP הנכון
   • השתמשו במאמתי תעודות מקוונים לבדיקת הפורמט

3. הורדת התעודה מחדש:

   • הורידו תעודה טרייה מה-IdP
   • השתמשו בכתובת המטא-דאטה של ה-IdP אם זמינה
   • אשרו שהתעודה תואמת לתצורה הנוכחית של ה-IdP

כשל באימות חתימה

תסמינים:

• שגיאות אימות חתימת טענת SAML
• האימות נכשל לאחר התחברות ל-IdP
• הודעות שגיאה "Invalid signature"

פתרונות:

1. אי-התאמת אלגוריתם:

   • בדקו שאלגוריתם החתימה ב-FastComments תואם ל-IdP
   • נסו אלגוריתמי חתימה שונים (SHA-256, SHA-1, SHA-512)
   • ודאו שאלגוריתם הדייג'סט תואם לתצורת ה-IdP

2. בעיות תעודה:

   • ודאו שתעודת החתימה הנכונה מוגדרת
   • אשרו שהתעודה תואמת למפתח הפרטי שבשימוש ה-IdP
   • בדקו אם בוצעה החלפת תעודה ב-IdP

בעיות תצורה

Entity ID או ACS URL שגויים

תסמינים:

• ה-IdP מדווח על "Unknown Service Provider"
• תגובות SAML נשלחות לנקודת קצה שגויה
• האימות אינו מושלם

פתרונות:

1. אימות פרטי ה-SP:

   • העתיקו את ה-Entity ID המדויק מתצורת FastComments
   • ודאו שה-ACS URL תואם לפורמט: https://fastcomments.com/saml/callback/{tenant-id}
   • בדקו אם יש שגיאות הקלדה במזהה הדייר (tenant ID)

2. תצורת ה-IdP:

   • עדכנו את ה-IdP עם ה-SP Entity ID הנכון
   • הגדירו ACS/Reply URL תקין
   • אשרו את הגדרות ה-binding של ה-IdP (HTTP-POST מועדף)

תכונות חסרות או שגויות

תסמינים:

• משתמשים נוצרים ללא תפקידים מתאימים
• מידע פרופיל משתמש חסר
• שגיאות "Email required"

פתרונות:

1. תכונת האימייל:

   • ודאו שה-IdP שולח את תכונת האימייל
   • בדקו את מיפוי שמות התכונות (email, emailAddress וכו')
   • אשרו שערך האימייל הוא כתובת אימייל תקפה

2. תכונות תפקידים:

   • אשרו שה-IdP שולח מידע תפקידים/קבוצות
   • בדקו ששמות תכונות התפקידים תואמים לציפיות של FastComments
   • אשרו שערכי התפקידים תואמים בדיוק לשמות התפקידים ב-FastComments

3. פורמט התכונות:

   • בדקו גם פורמט מערך וגם פורמט מופרד בפסיקים לתפקידים
   • ודאו שערכי התכונות אינם מכילים רווחים מיותרים
   • בדקו רגישות לאותיות גדולות/קטנות בשמות התפקידים

בעיות בתהליך האימות

לולאת הפניות

תסמינים:

• הדפדפן מפנה ללא הפסק בין FastComments ל-IdP
• האימות לעולם אינו מושלם
• מספר הפניות מוצגות בכלי הפיתוח של הדפדפן

פתרונות:

1. בדיקת תצורת ה-SP:

   • אשרו שה-Entity ID תואם בדיוק לתצורת ה-IdP
   • ודאו שה-ACS URL מוגדר נכון ב-IdP
   • בדקו אם יש לוכסנים מיותרים בסוף ה-URLs

2. בעיות סשן:

   • נקו עוגיות דפדפן ונסו שוב
   • בדקו בחלון גלישה אנונימית/פרטית
   • בדקו הגדרות פקיעת סשן

גישה נשללת לאחר אימות

תסמינים:

• אימות SAML מצליח
• המשתמש מופנה ל-FastComments
• מוצגת שגיאת "Access denied" או הרשאות

פתרונות:

1. הקצאת תפקידים:

   • אשרו שלמשתמש יש תפקידים מתאימים ב-IdP
   • בדקו שתכונת התפקיד נשלחת בתגובת ה-SAML
   • אשרו ששמות התפקידים תואמים בדיוק לדרישות של FastComments

2. מגבלות חבילה:

   • אשרו שהחשבון כולל תוכנית Flex או Pro
   • בדקו שתכונת ה-SAML מופעלת עבור החבילה
   • פנו לתמיכה אם החבילה כוללת SAML אך התכונה אינה זמינה

בעיות ספציפיות לספקי זהות

Microsoft Azure AD

בעיות נפוצות:

• הקצאות תפקידי אפליקציה אינן משתקפות בטוקנים
• Claims אינם נשלחים כראוי
• דרישות הקצאת משתמשים

פתרונות:

• בדקו את הקצאת המשתמש לאפליקציית FastComments
• אשרו שתפקידי האפליקציה מוגדרים כראוי
• ודאו שמיפוי ה-claims כולל את התכונות הנדרשות

Okta

בעיות נפוצות:

• מסנני קבוצות אינם פועלים כראוי
• משפטי תכונות (Attribute Statements) מוגדרים שגוי
• בעיות בהקצאת אפליקציה

פתרונות:

• סקרו את תצורת משפטי התכונות
• בדקו את כללי הקצאת הקבוצות והסינון
• אשרו שהאפליקציה מוקצית למשתמשים/קבוצות המתאימים

Google Workspace

בעיות נפוצות:

• תכונות מותאמות אישית אינן ממופות כראוי
• חברות בקבוצות אינה נשלחת
• שגיאות בתצורת אפליקציית SAML

פתרונות:

• הגדירו סכמה מותאמת אישית לתכונות תפקידים
• בדקו את הפצת חברות הקבוצות
• אשרו את מיפוי התכונות של אפליקציית ה-SAML

בעיות רשת וקישוריות

שגיאות פסק זמן

תסמינים:

• תהליך האימות פוקע בפסק זמן
• שגיאות "Request timeout" או דומות
• תהליך אימות איטי

פתרונות:

1. קישוריות רשת:

   • בדקו שכללי חומת האש מאפשרים תקשורת עם FastComments
   • אשרו פתרון DNS עבור fastcomments.com
   • בדקו קישוריות רשת מה-IdP ל-FastComments

2. בעיות ביצועים:

   • בדקו את זמני התגובה של ה-IdP
   • אשרו שאימות שרשרת התעודות אינו איטי
   • שקלו את השהיית הרשת בין ה-IdP למשתמשים

בעיות SSL/TLS

תסמינים:

• אזהרות תעודה במהלך האימות
• כשלים בלחיצת יד SSL
• שגיאות "Secure connection failed"

פתרונות:

• ודאו שכל נקודות הקצה של SAML משתמשות ב-HTTPS
• בדקו את תוקף התעודות עבור כל הדומיינים המעורבים
• אשרו תאימות גרסת TLS

ניפוי באגים ורישום ביומן

הפעלת מידע ניפוי באגים

1. כלי פיתוח של הדפדפן:

   • עקבו אחרי הלשונית Network במהלך תהליך ה-SAML
   • בדקו את ה-Console לשגיאות JavaScript
   • בחנו בקשות POST של SAML (אם נראות)

2. רישום ביומן של ה-IdP:

   • הפעילו ניפוי באגים של SAML ב-IdP שלכם
   • סקרו את יומני ה-IdP לפרטי בקשות/תגובות SAML
   • בדקו בעיות מיפוי תכונות

הודעות יומן נפוצות

יומני FastComments:

• "SAML config not found" - SAML אינו מופעל או מוגדר שגוי
• "Invalid certificate" - אימות התעודה נכשל
• "Missing email attribute" - האימייל הנדרש לא סופק בתגובת ה-SAML

יומני IdP:

• "Unknown service provider" - אי-התאמת Entity ID
• "Invalid ACS URL" - כתובת Assertion Consumer Service שגויה
• "User not assigned" - למשתמש אין גישה לאפליקציית ה-SAML

קבלת עזרה

מידע לאיסוף

בפנייה לתמיכה, ספקו:

• הודעות שגיאה מדויקות וחותמות זמן
• פרטי תצורת SAML (ללא נתונים רגישים)
• סוג וגרסת ה-IdP
• שלבים לשחזור הבעיה
• מידע על הדפדפן והרשת

תמיכת FastComments

לבעיות הקשורות ל-SAML:

1. השתמשו בפורטל התמיכה
2. כללו את מזהה הדייר ואת האימיילים של המשתמשים המושפעים
3. ספקו הודעות שגיאה ופרטי תצורה
4. ציינו את סוג ה-IdP וגישת התצורה

תמיכת ה-IdP

לבעיות ספציפיות ל-IdP:

• עיינו בתיעוד ה-IdP לפתרון בעיות SAML
• השתמשו בערוצי התמיכה של ה-IdP לבעיות תצורה
• היעזרו בפורומי הקהילה של ה-IdP לבעיות נפוצות

טיפים למניעה

שיטות עבודה מומלצות

1. בדיקה יסודית:

   • בדקו שינויי תצורה בסביבה שאינה פרודקשן
   • אמתו עם מספר משתמשי בדיקה
   • תעדו תצורות עובדות

2. ניטור קבוע:

   • הקימו ניטור לכשלי אימות SAML
   • סקרו תאריכי פקיעת תעודות
   • נטרו שינויים בתצורת ה-IdP

3. תיעוד:

   • תחזקו תיעוד של תצורת ה-SAML
   • תעדו תצורות מותאמות אישית או עקיפות
   • שמרו פרטי קשר של מנהלי ה-IdP

תחזוקה יזומה

1. ניהול תעודות:

   • נטרו תאריכי פקיעת תעודות
   • תכננו נהלי החלפת תעודות
   • בדקו עדכוני תעודה לפני הפקיעה

2. סקירות תצורה:

   • סקרו את תצורת ה-SAML באופן קבוע
   • אשרו שתצורת ה-IdP נשארת עדכנית
   • עדכנו את התיעוד ככל שמבוצעים שינויים