Nastavitev SAML overjanja v FastComments zahteva tako konfiguracijo v vašem upravljalskem vmesniku kot nastavitve pri vašem ponudniku identitete.

Predpogoji

Pred konfiguracijo SAML zagotovite, da imate:

• Načrt FastComments Flex ali Pro (SAML ni na voljo v načrtu Creators)
• Administrativni dostop do vašega FastComments računa
• Administrativni dostop do vašega ponudnika identitete
• SAML metapodatke ali informacije o certifikatu vašega IdP

Dostop do konfiguracije SAML

1. Prijavite se v vaš FastComments admin dashboard
2. Navigirajte do API/SSO Settings v levem stranskem meniju
3. Kliknite gumb SAML Config

Če ne vidite gumba SAML Config, preverite, da:

• Vaš račun ima zahtevan paket (Flex ali Pro)
• Imate administratorske pravice
• Vaš uporabnik ima vloge API Admin ali Admin Admin

Osnovna konfiguracija SAML

Omogočanje SAML overjanja

1. Označite potrditveno polje Enable SAML Authentication
2. To aktivira SAML za vašega najemnika in omogoči polja konfiguracije

Obvezna polja

IdP Single Sign-On URL (Obvezno)

• URL, na katerega bodo uporabniki preusmerjeni za overjanje
• Običajno ga zagotovi vaš ponudnik identitete
• Primer: https://your-company.okta.com/app/fastcomments/sso/saml

IdP X.509 Certificate (Obvezno)

• Javni certifikat vašega ponudnika identitete
• Uporablja se za preverjanje pristnosti SAML odgovorov
• Mora vsebovati celoten certifikat z oznakami BEGIN/END
• Primer formata: ```
• ----BEGIN CERTIFICATE----- MIICXjCCAcegAwIBAgIBADANBgkqhkiG9w0BAQsFADA...
• ----END CERTIFICATE-----

Neobvezna polja

IdP Entity ID / Issuer

• Identificira vašega ponudnika identitete
• Če je prazno, privzeto uporabi vaš FastComments URL
• Mora se ujemati z izdajateljem, nastavljenim v vašem IdP

Napredna konfiguracija

Varnostne nastavitve

Signature Algorithm

• Privzeto SHA-256 (priporočeno)
• Možnosti: SHA-1, SHA-256, SHA-512
• Mora ustrezati konfiguraciji vašega IdP

Digest Algorithm

• Privzeto SHA-256 (priporočeno)
• Uporablja se za izračun zgoščevanja v SAML odgovorih
• Mora ustrezati konfiguraciji vašega IdP

Name ID Format

• Privzeto: oblika e-poštnega naslova
• Določa, kako so oblikovani identifikatorji uporabnikov
• Pogoste možnosti: Email Address, Persistent, Transient

Šifriranje (neobvezno)

Private Key for Decryption

• Potreben samo, če vaš IdP šifrira SAML trditve
• Prilepite vaš zasebni ključ, uporabljen za dešifriranje
• Večina namestitev ne zahteva šifriranja trditev

Shranjevanje konfiguracije

1. Preglejte vse nastavitve za točnost
2. Kliknite Save SAML Configuration
3. Sistem bo preveril vašo konfiguracijo
4. Če je uspešno, boste videli potrdilno sporočilo

Naslednji koraki

Po shranitvi vaše FastComments SAML konfiguracije:

1. Konfigurirajte vašega ponudnika identitete z uporabo informacij o ponudniku storitev
2. Preizkusite postopek overjanja
3. Nastavite uporabniške vloge in dovoljenja po potrebi

Informacije o ponudniku storitev, potrebne za konfiguracijo vašega IdP, bodo prikazane, ko bo SAML omogočen.

Po konfiguraciji SAML v FastComments morate v svojem ponudniku identitete (IdP) nastaviti FastComments kot ponudnika storitev.

Splošna konfiguracija IdP

Večina ponudnikov identitete (IdP) zahteva naslednje informacije za dodajanje FastComments kot SAML aplikacije:

Zahtevane informacije o ponudniku storitev

Te vrednosti so samodejno ustvarjene in prikazane na strani za SAML konfiguracijo v FastComments:

SP Entity ID / Ciljna publika

• Format: https://fastcomments.com/saml/{your-tenant-id}
• To enolično identificira vašo FastComments instanco

Assertion Consumer Service (ACS) URL

• Format: https://fastcomments.com/saml/callback/{your-tenant-id}
• Kam vaš IdP pošlje SAML odgovore po overitvi

SP Metadata URL (če ga vaš IdP podpira)

• Format: https://fastcomments.com/saml/metadata/{your-tenant-id}
• Ponuja celotno SAML konfiguracijo v XML formatu

SAML Login URL

• Format: https://fastcomments.com/saml/login/{your-tenant-id}
• Neposredna povezava za začetek SAML overjanja

Zahtevani SAML atributi

Konfigurirajte svoj ponudnik identitete, da pošilja te atribute z SAML odgovori:

Bistveni atributi

E-poštni naslov (zahtevano)

• Ime atributa: email, emailAddress, or http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
• Namen: Enolična identifikacija uporabnika in obvestila
• Format: Veljaven e-poštni naslov

Neobvezni atributi

Ime

• Imena atributov: firstName, givenName, or http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
• Namen: Prikazno ime uporabnika

Priimek

• Imena atributov: lastName, surname, or http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
• Namen: Prikazno ime uporabnika

Vloge (pomembno za nadzor dostopa)

• Imena atributov: roles, groups, memberOf, or custom attribute names
• Namen: Dodeljevanje vlog in dovoljenj v FastComments
• Format: Polje nizov vlog ali vrednosti, ločenih z vejico

Pogoste konfiguracije ponudnikov identitete

Microsoft Azure AD

1. Dodajte Enterprise Application

   • Poiščite "FastComments" ali ustvarite prilagojeno SAML aplikacijo
   • Uporabite SP informacije, ki jih zagotavlja FastComments

2. Konfigurirajte atribute

   • Email: user.mail or user.userprincipalname
   • First Name: user.givenname
   • Last Name: user.surname
   • Roles: user.assignedroles or directory groups

Okta

1. Ustvarite SAML aplikacijo

   • Uporabite "Create New App" in izberite SAML 2.0
   • Konfigurirajte s SP informacijami FastComments

2. Izjave o atributih

   • E-pošta: user.email
   • Ime: user.firstName
   • Priimek: user.lastName
   • Vloge: user.groups or custom attributes

Google Workspace

1. Dodajte SAML aplikacijo

   • Pojdite v Apps > Web and mobile apps > Add App > Add custom SAML app
   • Konfigurirajte s SP informacijami FastComments

2. Preslikava atributov

   • E-pošta: Primary email
   • Ime: First name
   • Priimek: Last name
   • Vloge: Groups or custom attributes

Active Directory Federation Services (ADFS)

1. Dodajte Relying Party Trust

   • Uporabite FastComments metadata URL ali ročno konfiguracijo
   • Konfigurirajte SP informacije, kot so podane

2. Pravila zahtevkov

   • Email: Email Address claim
   • Ime: Name ID claim
   • Vloge: Članstvo v skupinah ali prilagojeni zahtevki

Fleksibilnost imen atributov

FastComments sprejema informacije o vlogah iz več imen atributov, da se prilagodi različnim konfiguracijam IdP:

• roles
• groups
• memberOf
• role
• group
• http://schemas.microsoft.com/ws/2008/06/identity/claims/role
• http://schemas.xmlsoap.org/ws/2005/05/identity/claims/role

Ta prilagodljivost zagotavlja združljivost z različnimi ponudniki identitete, brez potrebe po specifičnih konvencijah poimenovanja atributov.

Preizkušanje vaše konfiguracije

Po konfiguraciji ponudnika identitete:

1. Shranite IdP konfiguracijo
2. Preizkusite z namenskim testnim uporabniškim računom
3. Preverite, ali se atributi pravilno pošiljajo
4. Preverite, ali so vloge pravilno preslikane
5. Zagotovite, da se postopek overjanja uspešno zaključi

Večina ponudnikov identitete ponuja orodja za testiranje SAML, s katerimi lahko preverite konfiguracijo, preden jo uvedete za produkcijske uporabnike.

Ko je SAML vklopljen v FastComments, sistem samodejno ustvari informacije ponudnika storitev (SP), ki jih morate konfigurirati v svojem ponudniku identitete.

Dostop do informacij ponudnika storitev

Informacije SP so prikazane na vaši strani za konfiguracijo SAML po vklopu SAML overjanja. Te informacije vključujejo vse podrobnosti, ki jih vaš ponudnik identitete potrebuje za vzpostavitev SAML zaupanja.

Končne točke ponudnika storitev

SP Entity ID / Dovzetnik

Namen: Edinstveno identificira vašo FastComments instanco kot ponudnika storitev
Oblika: https://fastcomments.com/saml/{your-tenant-id}
Uporaba: Konfigurirajte to kot Entity ID ali Audience v vašem IdP

Ta identifikator zagotavlja, da so SAML odgovori namenjeni vašemu konkretnemu najemniku FastComments in preprečuje sprejemanje SAML odgovorov s strani drugih instanc.

Assertion Consumer Service (ACS) URL

Namen: Končna točka, kamor vaš IdP pošlje SAML odgovore po overitvi uporabnika
Oblika: https://fastcomments.com/saml/callback/{your-tenant-id}
Uporaba: Konfigurirajte to kot ACS URL ali Reply URL v vašem IdP

To je mesto, kamor so uporabniki preusmerjeni po uspešni overitvi pri vašem ponudniku identitete, skupaj s SAML trditvijo, ki vsebuje informacije o uporabniku.

SP Metadata URL

Namen: Nudi celotno SAML konfiguracijo v standardni XML obliki
Oblika: https://fastcomments.com/saml/metadata/{your-tenant-id}
Uporaba: Nekateri IdP-ji lahko samodejno uvozijo konfiguracijo z uporabo tega URL-ja

URL metapodatkov vsebuje vse potrebne informacije SP v XML formatu, kar olajša samodejno konfiguracijo združljivih ponudnikov identitete.

SAML Login URL

Namen: Neposredna povezava za začetek SAML overjanja za vaš najemnik
Oblika: https://fastcomments.com/saml/login/{your-tenant-id}
Uporaba: Povežite uporabnike neposredno do SAML overjanja ali preizkusite potek

Ta URL lahko uporabite za testiranje SAML overjanja ali za zagotavljanje neposredne povezave uporabnikom za prijavo preko SAML.

Podpora SAML vezavam

FastComments podpira naslednje SAML vezave:

HTTP-POST vezava

• Primarni način: Najpogostejša vezava za SAML odgovore
• Varnost: SAML odgovor se pošlje preko HTTP POST na ACS URL
• Uporaba: Priporočeno za produkcijske namestitve

HTTP-Redirect vezava

• Alternativni način: SAML odgovor se pošlje preko HTTP preusmeritve
• Omejitve: Omejena velikost predmeta zaradi omejitev dolžine URL-ja
• Uporaba: Podprto, vendar je HTTP-POST prednostna izbira

Politika Name ID

FastComments konfigurira naslednjo politiko Name ID v SAML zahtevah:

• Privzeta oblika: urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
• Alternativne oblike: Persistent, Transient, Unspecified (konfigurabilno)
• Zahteva: E-poštni naslov se uporablja kot primarni identifikator uporabnika

Atributi SAML zahtev

Ko se sproži SAML overjanje, FastComments pošlje zahteve s temi značilnostmi:

Podpisovanje zahtev

• Stanje: Neobvezno (konfigurabilno)
• Algoritem: Usklaja se s konfiguriranim algoritmom podpisa
• Certifikat: Uporablja certifikat specifičen za najemnika, če je podpisovanje zahtev omogočeno

Zahtevani atributi

FastComments zahteva naslednje atribute v SAML AuthnRequests:

• E-pošta: Obvezno za identifikacijo uporabnika
• Ime: Neobvezno za prikaz
• Priimek: Neobvezno za prikaz
• Vloge/Skupine: Neobvezno za nadzor dostopa in dovoljenja

Kopiranje informacij SP

Stran za konfiguracijo SAML nudi klikabilna polja, ki samodejno kopirajo informacije SP v vaš odložišče:

1. Kliknite katerokoli polje z informacijami SP (Entity ID, ACS URL itd.)
2. Vrednost se samodejno kopira v vaše odložišče
3. Prilepite vrednost v konfiguracijo vašega ponudnika identitete
4. Kratka osvetlitev označi uspešno kopiranje

To olajša natančen prenos informacij SP v vaš IdP brez tipkarskih napak.

Informacije o certifikatu SP

Uporaba certifikata

• Namen: Šifrira komunikacijo in preverja identiteto SP
• Rotacija: Certifikati so samodejno upravljani s strani FastComments
• Dostop: Javne certifikate je mogoče pridobiti preko URL-ja metapodatkov

Podrobnosti certifikata

• Algoritem: RSA-2048 ali več
• Veljavnost: Certifikati se samodejno obnavljajo pred potekom
• Distribucija: Na voljo preko standardnih SAML metapodatkov

Odpravljanje težav s konfiguracijo SP

Če vaš ponudnik identitete poroča o težavah z informacijami SP:

1. Preverite URL-je: Prepričajte se, da vsi URL-ji uporabljajo HTTPS in vključujejo pravilen ID najemnika
2. Preverite metapodatke: Uporabite URL metapodatkov za preverjanje konfiguracije
3. Preizkusite povezljivost: Prepričajte se, da vaš IdP lahko doseže FastComments končne točke
4. Preverite format: Potrdite, da vaš IdP podpira obliko informacij SP

Pogoste težave vključujejo:

• Nepravilen ID najemnika v URL-jih
• Težave s omrežno povezljivostjo med IdP in FastComments
• IdP pričakuje drugačne oblike URL-jev ali dodatne možnosti konfiguracije

Preizkušanje vaše SAML konfiguracije zagotavlja, da avtentikacija deluje pravilno, preden jo uvedete med produkcijske uporabnike.

Seznam za preverjanje pred testiranjem

Pred testiranjem SAML avtentikacije preverite:

• ✅ SAML je omogočen v FastComments
• ✅ Vsa zahtevana polja so izpolnjena (IdP URL, Certificate)
• ✅ Identitetni ponudnik je konfiguriran z informacijami FastComments SP
• ✅ V vašem IdP obstaja testni uporabniški račun
• ✅ Testnemu uporabniku so dodeljene ustrezne vloge

Metode testiranja

Metoda 1: Neposredni SAML URL za prijavo

1. Pridobite SAML URL za prijavo:

   • Kopirajte ga s strani za konfiguracijo SAML
   • Format: https://fastcomments.com/saml/login/{your-tenant-id}

2. Preizkusite avtentikacijo:

   • Odprite SAML URL za prijavo v zasebnem/inkognito oknu brskalnika
   • Preusmerjeni bi morali biti na svoj identitetni ponudnik
   • Prijavite se s testnimi poverilnicami
   • Preverite uspešno preusmeritev nazaj na FastComments

Metoda 2: Dostop do skrbniške nadzorne plošče

1. Pojdite na FastComments:

   • Pojdite na FastComments admin dashboard
   • Poiščite možnost SAML prijave ali uporabite SAML URL za prijavo

2. Dokončajte avtentikacijski potek:

   • Avtenticirajte se preko svojega identitetnega ponudnika
   • Preverite dostop do ustreznih skrbniških funkcij glede na dodeljene vloge

Metoda 3: Testiranje integracije vtičnika

Za testiranje SAML z vtičniki za komentarje:

1. Vdelajte vtičnik: Uporabite FastComments vtičnik na testni strani
2. Avtentikacija: Kliknite prijavo in izberite možnost SAML (če je na voljo)
3. Preverjanje: Potrdite, da se uporabnik v vtičniku prikaže kot avtenticiran

Kaj preveriti med testiranjem

Potek avtentikacije

Uspešna preusmeritev:

• Uporabnik je preusmerjen na prijavno stran IdP
• Prijavna stran IdP se pravilno naloži
• Ne pojavijo se napake s certifikatom ali SSL

Avtentikacija pri IdP:

• Uporabnik se lahko prijavi s svojimi IdP poverilnicami
• Večfaktorska avtentikacija deluje (če je konfigurirana)
• Ni napak pri avtentikaciji iz IdP

Vrnitev v FastComments:

• Uporabnik je po uspešni prijavi pri IdP preusmerjen nazaj v FastComments
• Ni napak pri preverjanju SAML trditve (assertion)
• Uporabnik pridobi dostop do ustreznih funkcij FastComments

Podatki o uporabniku

Osnovni podatki profila:

• E-poštni naslov je pravilno zajet
• Ime in priimek se prikažeta, če sta posredovana
• Uporabniški profil se ustvari ali posodobi

Dodeljevanje vlog:

• Skrbniške vloge so pravilno dodeljene
• Uporabnik ima dostop do pričakovanih skrbniških funkcij
• Dovoljenja ustrezajo dodeljenim vlogam

Preverjanje SAML odziva

Preverjanje certifikata:

• Podpis SAML odziva je uspešno preverjen
• V dnevnikih ni napak pri preverjanju certifikata
• Odziv se sprejme kot avtentičen

Obdelava atributov:

• Zahtevani atributi (e-pošta) so prisotni
• Neobvezni atributi so pravilno obdelani
• Atributi vlog so pravilno analizirani in uporabljeni

Testiranje različnih scenarijev

Standardni potek uporabnika

1. Nov uporabnik:

   • Prva SAML prijava
   • Ustvarjanje računa
   • Dodelitev osnovnih dovoljenj

2. Obstoječ uporabnik:

   • Ponovna prijava obstoječega uporabnika
   • Posodobitve profila
   • Spremembe vlog

Testiranje skrbniškega dostopa

1. Skrbniške vloge:

   • Testni uporabniki z fc-admin-admin vlogo
   • Preverite dostop do skrbniške nadzorne plošče
   • Potrdite skrbniške zmogljivosti

2. Specializirane vloge:

   • Testirajte dostop fc-moderator do moderacijskih funkcij
   • Testirajte dostop fc-analytics-admin do analitike
   • Testirajte dostop fc-billing-admin do funkcij za obračunavanje

Scenariji napak

1. Neveljavni certifikati:

   • Preizkusite z poteklimi ali nepravilnimi certifikati
   • Preverite pravilno obravnavo napak

2. Manjkajoči atributi:

   • Preizkusite SAML odzive brez zahtevane lastnosti e-pošte
   • Preverite ustrezno obravnavo napak

3. Težave z omrežjem:

   • Preizkusite s težavami povezljivosti
   • Preverite obravnavo časovnih omejitev

Odpravljanje težav pri testiranju

Pogoste težave z avtentikacijo

Zanka preusmeritev:

• Preverite, da se SP Entity ID ujema s konfiguracijo IdP
• Preverite, da je ACS URL pravilno konfiguriran
• Potrdite, da se nastavitve SAML binding ujemajo

Napake s certifikati:

• Prepričajte se, da certifikat vsebuje označbe BEGIN/END
• Preverite, da certifikat ni potekel
• Preverite morebitne dodatne presledke ali težave s formatiranjem

Težave z atributi:

• Potrdite, da se atribut e-pošte pošlje
• Preverite, da atributi vlog uporabljajo pravilno poimenovanje
• Preverite format atributov (array vs. comma-separated)

Orodja za odpravljanje napak

Razvojna orodja brskalnika:

• Spremljajte omrežne zahteve med SAML potekom
• Preverite HTTP napake ali preusmeritve
• Preverite SAML POST podatke (če so vidni)

Orodja za testiranje IdP:

• Večina IdP-jev nudi vmesnike za testiranje SAML
• Uporabite IdP orodja za preverjanje formata SAML odziva
• Preizkusite konfiguracijo atributov, preden jih pošljete FastComments

Podpora FastComments:

• Omogočite debug zapisovanje med testiranjem
• Shranite sporočila o napakah in časovne žige
• Kontaktirajte podporo s specifičnimi podatki o napaki

Najboljše prakse testiranja

Nastavitev testnega okolja

1. Posvečeni testni uporabniki:

   • Ustvarite posebne testne račune v vašem IdP
   • Dodelite različne kombinacije vlog
   • Uporabljajte lahko prepoznavne testne e-poštne naslove

2. Izolirano testiranje:

   • Uporabljajte inkognito/zasebna okna brskalnika
   • Po vsakem testu počistite piškotke
   • Testirajte z različnimi uporabniškimi računi

3. Dokumentacija:

   • Zabeležite testne scenarije in rezultate
   • Dokumentirajte morebitne potrebne spremembe konfiguracije
   • Zapišite podrobnosti uspešne konfiguracije

Validacija pred produkcijo

1. Celovito testiranje:

   • Preizkusite vse kombinacije vlog
   • Preverite robne primere in pogoje napak
   • Potrdite, da je zmogljivost sprejemljiva

2. Sprejemanje s strani uporabnikov:

   • Naj končni uporabniki preizkusijo potek avtentikacije
   • Zberite povratne informacije o uporabniški izkušnji
   • Preverite, da delovni proces izpolnjuje zahteve

3. Varnostni pregled:

   • Potrdite, da preverjanje certifikatov deluje
   • Preverite, da so dodelitve vlog varne
   • Preizkusite izvajanje nadzora dostopa

Uvedba v produkcijo

Po uspešnem testiranju:

1. Postopen uvod: Razmislite o postopnem uvajanju SAML najprej za del uporabnikov
2. Nadzor: Spremljajte stopnje uspešnosti avtentikacije in dnevnike napak
3. Priprava podpore: Pripravite podporno ekipo za vprašanja v zvezi s SAML
4. Dokumentacija: Zagotovite uporabniško dokumentacijo za postopek SAML prijave

This guide covers common SAML authentication issues and their solutions.

Certificate and Security Issues

Invalid Certificate Error

Symptoms:

• "Certificate validation failed" error
• Users cannot complete SAML authentication
• SAML responses are rejected

Common Causes:

• Certificate format is incorrect
• Certificate has expired
• Wrong certificate was provided
• Extra characters or whitespace in certificate

Solutions:

1. Verify Certificate Format:

   • Ensure certificate includes -----BEGIN CERTIFICATE----- and -----END CERTIFICATE----- markers
   • Remove any extra whitespace or line breaks
   • Copy certificate directly from IdP metadata or configuration

2. Check Certificate Validity:

   • Verify certificate hasn't expired
   • Confirm certificate is for the correct IdP
   • Use online certificate validators to check format

3. Re-download Certificate:

   • Download fresh certificate from IdP
   • Use IdP metadata URL if available
   • Confirm certificate matches current IdP configuration

Signature Verification Failed

Symptoms:

• SAML assertion signature validation errors
• Authentication fails after IdP login
• "Invalid signature" error messages

Solutions:

1. Algorithm Mismatch:

   • Check signature algorithm in FastComments matches IdP
   • Try different signature algorithms (SHA-256, SHA-1, SHA-512)
   • Verify digest algorithm matches IdP configuration

2. Certificate Issues:

   • Ensure correct signing certificate is configured
   • Verify certificate corresponds to private key used by IdP
   • Check for certificate rotation in IdP

Configuration Issues

Wrong Entity ID or ACS URL

Symptoms:

• IdP reports "Unknown Service Provider"
• SAML responses go to wrong endpoint
• Authentication doesn't complete

Solutions:

1. Verify SP Information:

   • Copy exact Entity ID from FastComments configuration
   • Ensure ACS URL matches format: https://fastcomments.com/saml/callback/{tenant-id}
   • Check for typos in tenant ID

2. IdP Configuration:

   • Update IdP with correct SP Entity ID
   • Configure proper ACS/Reply URL
   • Verify IdP binding settings (HTTP-POST preferred)

Missing or Incorrect Attributes

Symptoms:

• Users created without proper roles
• Missing user profile information
• "Email required" errors

Solutions:

1. Email Attribute:

   • Ensure IdP sends email attribute
   • Check attribute name mapping (email, emailAddress, etc.)
   • Verify email value is valid email address

2. Role Attributes:

   • Confirm IdP sends role/group information
   • Check role attribute names match FastComments expectations
   • Verify role values match FastComments role names exactly

3. Attribute Format:

   • Test both array and comma-separated role formats
   • Ensure attribute values don't have extra whitespace
   • Check for case sensitivity in role names

Authentication Flow Issues

Redirect Loop

Symptoms:

• Browser redirects endlessly between FastComments and IdP
• Authentication never completes
• Multiple redirects shown in browser developer tools

Solutions:

1. Check SP Configuration:

   • Verify Entity ID matches IdP configuration exactly
   • Ensure ACS URL is correctly configured in IdP
   • Check for trailing slashes in URLs

2. Session Issues:

   • Clear browser cookies and try again
   • Test in incognito/private browser window
   • Check for session timeout settings

Access Denied After Authentication

Symptoms:

• SAML authentication succeeds
• User is redirected to FastComments
• "Access denied" or permissions error displayed

Solutions:

1. Role Assignment:

   • Verify user has appropriate roles in IdP
   • Check role attribute is being sent in SAML response
   • Confirm role names match FastComments requirements exactly

2. Package Limitations:

   • Verify account has Flex or Pro plan
   • Check SAML feature is enabled for the package
   • Contact support if package includes SAML but feature unavailable

Identity Provider Specific Issues

Microsoft Azure AD

Common Issues:

• App role assignments not reflecting in tokens
• Claims not being sent properly
• User assignment requirements

Solutions:

• Check user assignment to FastComments application
• Verify app roles are properly configured
• Ensure claims mapping includes required attributes

Okta

Common Issues:

• Group filters not working correctly
• Attribute statements misconfigured
• Application assignment problems

Solutions:

• Review attribute statement configuration
• Check group assignment and filtering rules
• Verify application is assigned to appropriate users/groups

Google Workspace

Common Issues:

• Custom attributes not mapping correctly
• Group membership not being sent
• SAML application configuration errors

Solutions:

• Configure custom schema for role attributes
• Check group membership propagation
• Verify SAML application attribute mapping

Network and Connectivity Issues

Timeout Errors

Symptoms:

• Authentication process times out
• "Request timeout" or similar errors
• Slow authentication flow

Solutions:

1. Network Connectivity:

   • Check firewall rules allow FastComments communication
   • Verify DNS resolution for fastcomments.com
   • Test network connectivity from IdP to FastComments

2. Performance Issues:

   • Check IdP response times
   • Verify certificate chain validation isn't slow
   • Consider network latency between IdP and users

SSL/TLS Issues

Symptoms:

• Certificate warnings during authentication
• SSL handshake failures
• "Secure connection failed" errors

Solutions:

• Ensure all SAML endpoints use HTTPS
• Check certificate validity for all involved domains
• Verify TLS version compatibility

Debugging and Logging

Enabling Debug Information

1. Browser Developer Tools:

   • Monitor Network tab during SAML flow
   • Check Console for JavaScript errors
   • Examine SAML POST requests (if visible)

2. IdP Logging:

   • Enable SAML debugging in your IdP
   • Review IdP logs for SAML request/response details
   • Check for attribute mapping issues

Common Log Messages

FastComments Logs:

• "SAML config not found" - SAML not enabled or misconfigured
• "Invalid certificate" - Certificate validation failed
• "Missing email attribute" - Required email not provided in SAML response

IdP Logs:

• "Unknown service provider" - Entity ID mismatch
• "Invalid ACS URL" - Assertion Consumer Service URL incorrect
• "User not assigned" - User lacks access to SAML application

Getting Help

Information to Gather

When contacting support, provide:

• Exact error messages and timestamps
• SAML configuration details (without sensitive data)
• IdP type and version
• Steps to reproduce the issue
• Browser and network information

FastComments Support

For SAML-related issues:

1. Use the support portal
2. Include tenant ID and affected user emails
3. Provide error messages and configuration details
4. Specify IdP type and configuration approach

IdP Support

For IdP-specific issues:

• Consult IdP documentation for SAML troubleshooting
• Use IdP support channels for configuration problems
• Leverage IdP community forums for common issues

Prevention Tips

Best Practices

1. Test Thoroughly:

   • Test configuration changes in non-production environment
   • Verify with multiple test users
   • Document working configurations

2. Monitor Regularly:

   • Set up monitoring for SAML authentication failures
   • Review certificate expiration dates
   • Monitor for IdP configuration changes

3. Documentation:

   • Maintain documentation of SAML configuration
   • Document any custom configurations or workarounds
   • Keep contact information for IdP administrators

Proactive Maintenance

1. Certificate Management:

   • Monitor certificate expiration dates
   • Plan certificate rotation procedures
   • Test certificate updates before expiration

2. Configuration Reviews:

   • Regularly review SAML configuration
   • Verify IdP configuration remains current
   • Update documentation as changes are made