SAML

FastComments 支援 SAML 2.0 驗證，適用於 Flex 與 Pro 方案的客戶。SAML 啟用安全的單一登入 (SSO) 驗證，透過您組織的身份提供者，允許使用者使用其現有的公司憑證存取 FastComments。本指南涵蓋 SAML 驗證的設定、組態與疑難排解。

什麼是 SAML？

SAML(安全性宣告標記語言)是一種以 XML 為基礎的開放標準,用於在各方之間交換身分驗證與授權資料,特別是在身分提供者(IdP)與服務提供者(SP)之間。

SAML 的運作方式

SAML 透過讓使用者只需向其身分提供者驗證一次,即可存取多個應用程式而無需重新輸入憑證,來實現單一登入(SSO)。當使用者嘗試存取 FastComments 時:

驗證請求:FastComments 將使用者重新導向至您的身分提供者
使用者驗證:使用者向您的 IdP 進行驗證(例如 Active Directory、Okta、Azure AD)
SAML 回應:IdP 將已簽署的 SAML 宣告傳回給 FastComments
使用者存取:FastComments 驗證該宣告並授予已驗證使用者存取權限

SAML 的優點

強化安全性:集中式驗證可降低與密碼相關的安全風險
改善使用者體驗:使用者只需登入一次即可順暢存取多個應用程式
合規性:有助於滿足存取控制與稽核軌跡的法規要求
管理控制:IT 管理員可維持集中式的使用者管理

SAML 2.0 支援

FastComments 實作了 SAML 2.0,這是 SAML 標準中被最廣泛採用的版本。我們的實作支援:

HTTP-POST 與 HTTP-Redirect 綁定
已簽署的 SAML 回應與宣告
加密宣告(選用)
多種簽章與摘要演算法
各種名稱識別碼格式

SAML 與 SSO 的比較

FastComments 同時提供 SSO 與 SAML 驗證。了解兩者的差異有助於為您的組織選擇合適的方式。

Simple/Secure SSO 簡介

FastComments 提供兩種不同的 SSO 流程，用於透過您的網站對留言小工具進行身分驗證。這與 SAML 不同，且不需要 SAML。Simple SSO 只需將一個物件傳遞給留言小工具，而 Secure SSO 則在此基礎上，再使用 API 金鑰對酬載進行雜湊處理。

另一方面，SAML 則是根據使用者的權限，對整個產品進行身分驗證，同時也涵蓋留言小工具（前提是他們針對我們的網域啟用了第三方 Cookie）。

SAML 驗證

SAML 是一種企業級驗證協定，提供更強大的安全性與整合能力：

實作方式：需要設定身分識別提供者（IdP）並交換憑證
安全性：使用簽署的 XML 斷言並支援加密
適用情境：適合已擁有 SAML 基礎架構的企業（Active Directory、Okta 等）
設定複雜度：較為繁瑣——需要設定 IdP 並管理憑證
企業功能：進階角色對應、集中式使用者管理、稽核軌跡

何時選擇 SAML

如果您的組織符合以下條件，可考慮使用 SAML 驗證：

已使用支援 SAML 的身分識別提供者（Okta、Azure AD、ADFS 等）
需要企業級的安全性與合規性
需要集中式的使用者管理與存取控制
有多個應用程式使用 SAML 進行驗證
需要詳細的稽核軌跡與安全性報告

何時選擇 Simple 或 Secure SSO

如果您符合以下情況，專注於小工具的 SSO 解決方案可能就已足夠：

擁有自訂的驗證系統
需要快速實作且設定最少
不需要整合企業身分識別提供者
希望直接從您的應用程式控制使用者資料
安全性需求較為簡單

Simple 與 Secure SSO 常用於線上入口網站、部落格等情境，使用者已透過您的網站或應用程式擁有帳號，但不一定使用 SAML。

設定 SAML

在 FastComments 中設定 SAML 驗證需要同時在您的管理後台進行配置，並在您的身份提供者（IdP）端完成設定。

前置需求

在配置 SAML 之前，請確保您具備：

FastComments Flex 或 Pro 方案（Creators 方案不提供 SAML 功能）
FastComments 帳戶的管理員權限
身份提供者的管理員權限
您 IdP 的 SAML 中繼資料或憑證資訊

存取 SAML 配置

登入您的 FastComments 管理後台
在左側邊欄導覽至 API/SSO Settings
點擊 SAML Config 按鈕

如果您沒有看到 SAML Config 按鈕，請確認：

您的帳戶具有所需的方案（Flex 或 Pro）
您具有管理員權限
您的使用者具有 API Admin 或 Admin Admin 角色

基本 SAML 配置

啟用 SAML 驗證

勾選 Enable SAML Authentication 核取方塊
這將為您的租戶啟用 SAML，並使配置欄位可用

必填欄位

IdP Single Sign-On URL (必填)

使用者將被重新導向以進行驗證的 URL
通常由您的身份提供者提供
範例：https://your-company.okta.com/app/fastcomments/sso/saml

IdP X.509 Certificate (必填)

來自您身份提供者的公開憑證
用於驗證 SAML 回應的真實性
必須包含完整的憑證，包括 BEGIN/END 標記
範例格式：

-----BEGIN CERTIFICATE-----
MIICXjCCAcegAwIBAgIBADANBgkqhkiG9w0BAQsFADA...
-----END CERTIFICATE-----

選填欄位

IdP Entity ID / Issuer

識別您的身份提供者
若留空，預設為您的 FastComments URL
應與您 IdP 中配置的簽發者一致

進階配置

安全性設定

Signature Algorithm

預設為 SHA-256（建議）
選項：SHA-1、SHA-256、SHA-512
應與您 IdP 的配置一致

Digest Algorithm

預設為 SHA-256（建議）
用於 SAML 回應中的摘要計算
應與您 IdP 的配置一致

Name ID Format

預設為 Email Address 格式
決定使用者識別碼的格式化方式
常見選項：Email Address、Persistent、Transient

加密（選填）

Private Key for Decryption

僅在您的 IdP 加密 SAML 斷言（assertion）時才需要
貼上您用於解密的私密金鑰
大多數部署不需要加密斷言

儲存配置

檢查所有設定的正確性
點擊 Save SAML Configuration
系統將驗證您的配置
若成功，您將看到確認訊息

後續步驟

儲存您的 FastComments SAML 配置後：

使用服務提供者（Service Provider）資訊配置您的身份提供者
測試驗證流程
根據需要設定使用者角色與權限

啟用 SAML 後，您的 IdP 配置所需的服務提供者資訊將會顯示出來。

身分提供者設定

在 FastComments 中設定 SAML 後，您需要在您的身份提供者中將 FastComments 設定為服務提供者 (Service Provider)。

一般 IdP 設定

大多數身份提供者需要以下資訊來將 FastComments 新增為 SAML 應用程式：

必要的服務提供者資訊

這些值會自動產生並顯示在您的 FastComments SAML 設定頁面中：

SP Entity ID / Audience

Format: https://fastcomments.com/saml/{your-tenant-id}
這會唯一識別您的 FastComments 實例

Assertion Consumer Service (ACS) URL

Format: https://fastcomments.com/saml/callback/{your-tenant-id}
您的 IdP 在驗證後將 SAML 回應傳送到此處

SP Metadata URL (if supported by your IdP)

Format: https://fastcomments.com/saml/metadata/{your-tenant-id}
以 XML 格式提供完整的 SAML 設定

SAML Login URL

Format: https://fastcomments.com/saml/login/{your-tenant-id}
啟動 SAML 驗證的直接連結

所需的 SAML 屬性

請將您的身份提供者設定為在 SAML 回應中傳送這些屬性：

重要屬性

Email Address (Required)

Attribute Name: email, emailAddress, or http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress
Purpose: 用於唯一使用者識別與通知
Format: 有效的電子郵件地址

可選屬性

First Name

Attribute Names: firstName, givenName, or http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname
Purpose: 使用者顯示名稱

Last Name

Attribute Names: lastName, surname, or http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname
Purpose: 使用者顯示名稱

Roles (Important for access control)

Attribute Names: roles, groups, memberOf, or custom attribute names
Purpose: FastComments 角色指派與權限
Format: 角色字串陣列或以逗號分隔的值

常見的身份提供者設定

Microsoft Azure AD

Add Enterprise Application
- 搜尋 "FastComments" 或建立自訂 SAML 應用程式
- 使用 FastComments 提供的 SP 資訊
Configure Attributes
- Email: user.mail or user.userprincipalname
- First Name: user.givenname
- Last Name: user.surname
- Roles: user.assignedroles or directory groups

Okta

Create SAML Application
- 使用 "Create New App" 並選擇 SAML 2.0
- 使用 FastComments SP 資訊進行設定
Attribute Statements
- Email: user.email
- FirstName: user.firstName
- LastName: user.lastName
- Roles: user.groups or custom attributes

Google Workspace

Add SAML Application
- 前往 Apps > Web and mobile apps > Add App > Add custom SAML app
- 使用 FastComments SP 資訊進行設定
Attribute Mapping
- Email: Primary email
- First Name: First name
- Last Name: Last name
- Roles: Groups or custom attributes

Active Directory Federation Services (ADFS)

Add Relying Party Trust
- 使用 FastComments metadata URL 或手動設定
- 根據提供的資訊設定 SP
Claim Rules
- Email: Email Address claim
- Name: Name ID claim
- Roles: Group membership or custom claims

屬性名稱彈性

為了配合不同的 IdP 設定，FastComments 接受多種屬性名稱來傳遞角色資訊：

roles
groups
memberOf
role
group
http://schemas.microsoft.com/ws/2008/06/identity/claims/role
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/role

此彈性確保與各種身份提供者相容，而不需特定的屬性命名慣例。

測試您的設定

在設定身份提供者後：

儲存 IdP 設定
使用專用的測試使用者帳號進行測試
驗證屬性是否正確傳送
檢查角色是否正確映射
確保驗證流程成功完成

大多數身份提供者提供 SAML 測試工具，可在部署給生產使用者前驗證設定。

服務提供者資訊

當 FastComments 中啟用 SAML 時,系統會自動產生您需要在身份提供者中設定的服務提供者(SP)資訊。

存取服務提供者資訊

啟用 SAML 驗證後,SP 資訊會顯示在您的 SAML 設定頁面中。此資訊包含您的身份提供者建立 SAML 信任關係所需的所有詳細資料。

服務提供者端點

SP Entity ID / Audience

用途:唯一識別您的 FastComments 執行個體作為服務提供者格式:https://fastcomments.com/saml/{your-tenant-id} 用法:在您的 IdP 中將此設定為 Entity ID 或 Audience

此識別碼確保 SAML 回應是針對您特定的 FastComments 租戶,並防止 SAML 回應被其他執行個體接受。

Assertion Consumer Service(ACS)URL

用途:您的 IdP 在使用者驗證後傳送 SAML 回應的端點格式:https://fastcomments.com/saml/callback/{your-tenant-id} 用法:在您的 IdP 中將此設定為 ACS URL 或 Reply URL

這是使用者透過您的身份提供者成功驗證後被重新導向的位置,同時包含使用者資訊的 SAML 斷言。

SP Metadata URL

用途:以標準 XML 格式提供完整的 SAML 設定格式:https://fastcomments.com/saml/metadata/{your-tenant-id} 用法:某些 IdP 可以使用此 URL 自動匯入設定

Metadata URL 以 XML 格式包含所有必要的 SP 資訊,讓相容的身份提供者可以輕鬆自動設定。

SAML 登入 URL

用途:為您的租戶啟動 SAML 驗證的直接連結格式:https://fastcomments.com/saml/login/{your-tenant-id} 用法:將使用者直接連結至 SAML 驗證或測試流程

您可以使用此 URL 測試 SAML 驗證,或為使用者提供透過 SAML 登入的直接連結。

SAML 綁定支援

FastComments 支援以下 SAML 綁定:

HTTP-POST 綁定

主要方法:最常用的 SAML 回應綁定方式
安全性:SAML 回應透過 HTTP POST 傳送至 ACS URL
用法:建議用於正式環境部署

HTTP-Redirect 綁定

替代方法:透過 HTTP 重新導向傳送 SAML 回應
限制:由於 URL 長度限制,承載量有限
用法:支援,但建議使用 HTTP-POST

Name ID 政策

FastComments 在 SAML 請求中設定以下 Name ID 政策:

預設格式:urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress
替代格式:Persistent、Transient、Unspecified(可設定)
要求:電子郵件地址作為主要使用者識別碼

SAML 請求屬性

啟動 SAML 驗證時,FastComments 會傳送具有以下特性的請求:

請求簽署

狀態:選用(可設定)
演算法:符合設定的簽署演算法
憑證:若啟用請求簽署,則使用租戶專屬憑證

請求的屬性

FastComments 在 SAML AuthnRequests 中請求以下屬性:

Email:使用者識別所需
First Name:選用,用於顯示目的
Last Name:選用,用於顯示目的
Roles/Groups:選用,用於存取控制與權限

複製 SP 資訊

SAML 設定頁面提供可點擊的欄位,可自動將 SP 資訊複製到您的剪貼簿:

點擊任何 SP 資訊欄位(Entity ID、ACS URL 等)
該值會自動複製到您的剪貼簿
將該值貼到您的身份提供者設定中
簡短的高亮顯示表示複製成功

這讓您可以輕鬆準確地將 SP 資訊轉移到您的 IdP,而不會產生輸入錯誤。

SP 憑證資訊

憑證用途

用途:加密通訊並驗證 SP 身份
輪替:憑證由 FastComments 自動管理
存取:公開憑證可透過 metadata URL 取得

憑證詳細資訊

演算法:RSA-2048 或更高
有效期:憑證會在到期前自動更新
發佈:可透過標準 SAML metadata 取得

SP 設定疑難排解

如果您的身份提供者回報 SP 資訊有問題:

驗證 URL:確保所有 URL 使用 HTTPS 並包含正確的租戶 ID
檢查 Metadata:使用 metadata URL 驗證設定
測試連線:確保您的 IdP 可以連線至 FastComments 端點
驗證格式:確認您的 IdP 支援 SP 資訊格式

常見問題包括:

URL 中的租戶 ID 不正確
IdP 與 FastComments 之間的網路連線問題
IdP 預期不同的 URL 格式或需要額外的設定選項

使用者角色與權限

FastComments 將 SAML 使用者角色對應到內部權限，為您的組織啟用基於角色的存取控制。

FastComments 角色系統

FastComments 使用基於角色的權限系統，使用者可擁有一個或多個角色以決定其存取等級與權限。

可用的 FastComments 角色

管理角色

fc-account-owner

Permissions: 完整的管理存取權限
Capabilities: 所有功能、帳務管理、使用者管理
Use Case: 主要的帳戶管理員與擁有者

fc-admin-admin

Permissions: 大部分功能的管理存取權限
Capabilities: 使用者管理、設定、審核。可管理其他管理員。
Use Case: 次要管理員與 IT 人員

fc-billing-admin

Permissions: 帳務與訂閱管理
Capabilities: 付款方式、發票、訂閱變更
Use Case: 財務團隊成員與帳務聯絡人

專門角色

fc-analytics-admin

Permissions: 存取分析與報告
Capabilities: 檢視網站統計、使用者互動資料
Use Case: 行銷團隊與資料分析師

fc-api-admin

Permissions: API 存取與管理
Capabilities: API 憑證、Webhook 設定
Use Case: 開發人員與技術整合者

fc-moderator

Permissions: 留言審核權限
Capabilities: 核准/拒絕留言、管理垃圾留言
Use Case: 社群版主與內容管理人員

角色映射設定

SAML 屬性來源

FastComments 可接受來自不同 SAML 屬性名稱的角色資訊，以確保與不同身分提供者相容：

標準屬性名稱:

roles
groups
memberOf
role
group

Microsoft/ADFS 屬性:

http://schemas.microsoft.com/ws/2008/06/identity/claims/role
http://schemas.xmlsoap.org/ws/2005/05/identity/claims/role

支援的角色格式

陣列格式 (首選):

<saml:Attribute Name="roles">
    <saml:AttributeValue>fc-admin-admin</saml:AttributeValue>
    <saml:AttributeValue>fc-moderator</saml:AttributeValue>
</saml:Attribute>

逗號分隔格式:

<saml:Attribute Name="roles">
    <saml:AttributeValue>fc-admin-admin,fc-moderator</saml:AttributeValue>
</saml:Attribute>

單一角色格式:

<saml:Attribute Name="roles">
    <saml:AttributeValue>fc-admin-admin</saml:AttributeValue>
</saml:Attribute>

身分提供者角色設定

Microsoft Azure AD

應用程式角色設定:
- 在您的 Azure AD 應用中定義 FastComments 角色
- 將使用者指派到適當的應用角色
- 設定 claim 以包含已指派的角色

屬性對應:

Attribute Name: roles
Source Attribute: user.assignedroles

Okta

群組指派:
- 建立與 FastComments 角色名稱相符的群組
- 將使用者指派到適當的群組
- 設定屬性聲明

屬性聲明:

Name: roles
Value: user.groups
Filter: Starts with "fc-"

Google Workspace

群組對應:
- 建立組織單位或群組
- 使用 FastComments 角色前綴命名群組
- 設定屬性對應

自訂屬性:

Attribute Name: roles
Value: Groups or custom schema attribute

使用者的預設行為

沒有角色的使用者

當 SAML 使用者沒有角色或角色無法辨識時：

使用者會被建立為一般留言者
不會授予任何管理存取權
可以發佈並管理自己的留言
無法存取管理後台功能

角色繼承

使用者可以同時擁有多個角色
權限為累加（採用最高權限層級）
IdP 中的角色變更會在下一次登入時反映

管理 SAML 使用者

使用者建立

當使用者第一次透過 SAML 登入時：

使用者帳戶: 以電子郵件為識別自動建立
角色指派: 根據 SAML 屬性套用角色
個人資料資訊: 若提供則填入名字/姓氏
權限啟用: 角色會立即生效

角色更新

既有的 SAML 使用者會接收角色更新：

登入觸發: 角色更新在每次 SAML 登入時發生
立即生效: 新權限會立即套用
角色移除: 被移除的角色會自動撤銷
稽核追蹤: 角色變更會記錄在稽核日誌中

自訂角色對應

企業自訂化

針對有特定需求的企業客戶：

可將自訂角色名稱對應到 FastComments 權限
可實作複雜的角色層級
可設定部門專屬的存取控制

如需自訂角色對應設定，請聯絡 FastComments 支援。

角色驗證

FastComments 會驗證進入的角色：

無法辨識的角色會被忽略（不會被拒絕）
格式錯誤的角色屬性會記錄以供故障排除
若 SAML 聲明缺少角色資訊，使用者會保留現有角色

最佳實務

角色管理

最小權限原則: 指派最少必要的權限
定期稽核: 定期檢視使用者角色與存取權
清晰命名: 在您的 IdP 中使用具描述性的群組名稱
文件化: 維護角色指派的文件

安全考量

角色屬性: 確保 SAML 回應中的角色屬性已妥善保護
屬性驗證: 驗證只有授權系統能指派角色
存取檢閱: 定期檢查管理角色的指派
監控: 監控角色變更與管理操作

疑難排解角色問題

常見問題

角色未套用:

檢查 SAML 屬性名稱是否符合支援格式
驗證 IdP 是否發送角色資訊
確認角色值與 FastComments 角色名稱完全相符

存取被拒:

驗證使用者在 IdP 中是否有適當的角色指派
檢查角色拼寫與大小寫敏感性
確認角色在 SAML 回應中格式正確

權限遺失:

檢視角色定義與所需權限
檢查是否有衝突的角色指派
驗證使用者在角色變更後是否已登入過

測試 SAML 認證

測試您的 SAML 配置可以確保在部署給生產用戶之前，驗證能正常運作。

測試前清單

在測試 SAML 身分驗證之前，請確認：

✅ 已在 FastComments 中啟用 SAML
✅ 所有必要欄位已填寫（IdP URL、憑證）
✅ 身分提供者已使用 FastComments SP 資訊進行設定
✅ 在您的 IdP 中存在測試使用者帳戶
✅ 測試使用者已分配適當的角色

測試方法

方法 1：直接 SAML 登入 URL

取得 SAML 登入 URL:
- 從您的 SAML 設定頁複製
- 格式： https://fastcomments.com/saml/login/{your-tenant-id}
測試驗證:
- 在無痕/私人瀏覽視窗中開啟 SAML 登入 URL
- 您應該會被導向至您的身分提供者
- 使用測試憑證登入
- 確認成功導回 FastComments

方法 2：管理後台存取

前往 FastComments:
- 前往 FastComments 管理後台
- 尋找 SAML 登入選項或使用 SAML 登入 URL
完成驗證流程:
- 透過您的身分提供者進行驗證
- 根據分配的角色，確認可存取適當的管理功能

方法 3：Widget 整合測試

針對留言 widget 測試 SAML：

嵌入 Widget：在測試頁面上使用 FastComments widget
驗證：點擊登入並選擇 SAML 選項（如有）
驗證：確認使用者在 widget 中顯示為已驗證

測試期間需要確認的項目

驗證流程

成功轉向:

使用者被導向至 IdP 登入頁面
IdP 登入頁面正確載入
沒有憑證或 SSL 錯誤發生

IdP 驗證:

使用者可使用其 IdP 憑證登入
多重驗證運作正常（如已設定）
沒有來自 IdP 的驗證錯誤

返回 FastComments:

使用者在 IdP 成功登入後被導回 FastComments
沒有 SAML assertion 驗證錯誤
使用者能夠存取適當的 FastComments 功能

使用者資訊

基本個人資料:

電子郵件地址正確擷取
若有提供，名字與姓氏會顯示
使用者檔案會被建立或更新

角色分配:

管理角色正確分配
使用者可存取預期的管理功能
權限與分配的角色相符

SAML 回應驗證

憑證驗證:

SAML 回應簽章驗證成功
日誌中沒有憑證驗證錯誤
回應被接受為真實

屬性處理:

必要屬性（例如 email）存在
選用屬性正確處理
角色屬性被正確解析並套用

測試不同情境

一般使用者流程

新使用者:
- 首次 SAML 登入
- 帳戶建立
- 基本權限分配
既有使用者:
- 回訪使用者登入
- 個人檔案更新
- 角色變更

管理存取測試

管理角色:
- 測試擁有 fc-admin-admin 角色的使用者
- 確認能存取管理後台
- 確認管理權限
專用角色:
- 測試 fc-moderator 對審核功能的存取
- 測試 fc-analytics-admin 存取分析功能
- 測試 fc-billing-admin 存取帳單功能

錯誤情境

無效憑證:
- 使用過期或錯誤的憑證進行測試
- 確認正確的錯誤處理
缺少屬性:
- 測試缺少必要 email 屬性的 SAML 回應
- 確認能優雅處理錯誤
網路問題:
- 在連線問題情況下進行測試
- 確認逾時處理

測試問題排解

常見驗證問題

重導迴圈:

檢查 SP Entity ID 是否與 IdP 設定相符
確認 ACS URL 已正確設定
確認 SAML binding 設定吻合

憑證錯誤:

確保憑證包含 BEGIN/END 標記
確認憑證尚未過期
檢查是否有多餘空白或格式問題

屬性問題:

確認 email 屬性有被傳送
確認角色屬性使用正確命名
檢查屬性格式（陣列或逗號分隔）

除錯工具

瀏覽器開發者工具:

在 SAML 流程中監控網路請求
檢查 HTTP 錯誤或重導
檢查 SAML POST 資料（如果可見）

IdP 測試工具:

大多數 IdP 提供 SAML 測試介面
使用 IdP 工具驗證 SAML 回應格式
在送至 FastComments 前測試屬性設定

FastComments 支援:

在測試期間啟用除錯日誌
保存錯誤訊息與時間戳記
向支援團隊提供具體錯誤詳情

測試最佳實務

測試環境設定

專用測試使用者:
- 在您的 IdP 中建立專用測試帳戶
- 分配各種角色組合
- 使用易於識別的測試電子郵件地址
隔離測試:
- 使用無痕/私人瀏覽視窗
- 在測試間清除 Cookie
- 使用不同的使用者帳戶進行測試
文件記錄:
- 記錄測試情境與結果
- 記錄任何所需的設定變更
- 註記成功的設定細節

上線前驗證

完整測試:
- 測試所有角色組合
- 驗證邊緣案例與錯誤情況
- 確認效能可接受
使用者驗收:
- 讓最終使用者測試驗證流程
- 收集使用者體驗回饋
- 確認工作流程符合需求
安全性審查:
- 確認憑證驗證運作正常
- 確認角色分配安全
- 測試存取控制的執行

正式部署

在測試成功後：

逐步推出: 考慮先對部分使用者啟用 SAML
監控: 監視驗證成功率與錯誤日誌
支援準備: 準備支援團隊應對 SAML 相關問題
文件: 提供使用者 SAML 登入流程文件

常見問題

本指南涵蓋常見的 SAML 驗證問題及其解決方案。

憑證與安全性問題

無效憑證錯誤

症狀:

「憑證驗證失敗」錯誤
使用者無法完成 SAML 驗證
SAML 回應被拒絕

常見原因:

憑證格式不正確
憑證已過期
提供了錯誤的憑證
憑證中包含多餘的字元或空白

解決方案:

驗證憑證格式:
- 確保憑證包含 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- 標記
- 移除任何多餘的空白或換行
- 直接從 IdP 中繼資料或設定中複製憑證
檢查憑證有效性:
- 驗證憑證尚未過期
- 確認憑證屬於正確的 IdP
- 使用線上憑證驗證工具檢查格式
重新下載憑證:
- 從 IdP 下載最新的憑證
- 如有可用,使用 IdP 中繼資料 URL
- 確認憑證與目前的 IdP 設定相符

簽章驗證失敗

症狀:

SAML 斷言簽章驗證錯誤
IdP 登入後驗證失敗
「無效簽章」錯誤訊息

解決方案:

演算法不符:
- 檢查 FastComments 中的簽章演算法是否與 IdP 相符
- 嘗試不同的簽章演算法(SHA-256、SHA-1、SHA-512)
- 驗證摘要演算法與 IdP 設定相符
憑證問題:
- 確保已設定正確的簽署憑證
- 驗證憑證對應至 IdP 使用的私密金鑰
- 檢查 IdP 是否有憑證輪替

設定問題

錯誤的 Entity ID 或 ACS URL

症狀:

IdP 回報「未知的服務提供者」
SAML 回應傳送至錯誤的端點
驗證無法完成

解決方案:

驗證 SP 資訊:
- 從 FastComments 設定中複製確切的 Entity ID
- 確保 ACS URL 符合格式:https://fastcomments.com/saml/callback/{tenant-id}
- 檢查租戶 ID 是否有拼字錯誤
IdP 設定:
- 使用正確的 SP Entity ID 更新 IdP
- 設定正確的 ACS/回覆 URL
- 驗證 IdP 綁定設定(建議使用 HTTP-POST)

缺失或不正確的屬性

症狀:

建立的使用者沒有正確的角色
缺少使用者個人資料資訊
「需要電子郵件」錯誤

解決方案:

電子郵件屬性:
- 確保 IdP 傳送電子郵件屬性
- 檢查屬性名稱對應(email、emailAddress 等)
- 驗證電子郵件值是有效的電子郵件地址
角色屬性:
- 確認 IdP 傳送角色/群組資訊
- 檢查角色屬性名稱是否符合 FastComments 的預期
- 驗證角色值與 FastComments 的角色名稱完全相符
屬性格式:
- 測試陣列與逗號分隔兩種角色格式
- 確保屬性值沒有多餘的空白
- 檢查角色名稱的大小寫敏感性

驗證流程問題

重新導向迴圈

症狀:

瀏覽器在 FastComments 與 IdP 之間無止盡地重新導向
驗證永遠無法完成
瀏覽器開發者工具中顯示多次重新導向

解決方案:

檢查 SP 設定:
- 驗證 Entity ID 與 IdP 設定完全相符
- 確保 ACS URL 在 IdP 中正確設定
- 檢查 URL 是否有結尾斜線
工作階段問題:
- 清除瀏覽器 Cookie 後再試一次
- 在無痕/私人瀏覽視窗中測試
- 檢查工作階段逾時設定

驗證後存取被拒

症狀:

SAML 驗證成功
使用者被重新導向至 FastComments
顯示「存取被拒」或權限錯誤

解決方案:

角色指派:
- 驗證使用者在 IdP 中具有適當的角色
- 檢查 SAML 回應中是否傳送了角色屬性
- 確認角色名稱與 FastComments 的要求完全相符
方案限制:
- 驗證帳戶具有 Flex 或 Pro 方案
- 檢查該方案是否已啟用 SAML 功能
- 如果方案包含 SAML 但功能無法使用,請聯絡支援

身分識別提供者特定問題

Microsoft Azure AD

常見問題:

應用程式角色指派未反映在權杖中
宣告未正確傳送
使用者指派需求

解決方案:

檢查使用者是否已指派至 FastComments 應用程式
驗證應用程式角色已正確設定
確保宣告對應包含必要的屬性

Okta

常見問題:

群組篩選器無法正常運作
屬性陳述設定錯誤
應用程式指派問題

解決方案:

檢視屬性陳述設定
檢查群組指派與篩選規則
驗證應用程式已指派給適當的使用者/群組

Google Workspace

常見問題:

自訂屬性未正確對應
群組成員資格未傳送
SAML 應用程式設定錯誤

解決方案:

為角色屬性設定自訂架構
檢查群組成員資格的傳播
驗證 SAML 應用程式屬性對應

網路與連線問題

逾時錯誤

症狀:

驗證程序逾時
「請求逾時」或類似錯誤
驗證流程緩慢

解決方案:

網路連線:
- 檢查防火牆規則是否允許與 FastComments 通訊
- 驗證 fastcomments.com 的 DNS 解析
- 測試從 IdP 到 FastComments 的網路連線
效能問題:
- 檢查 IdP 的回應時間
- 驗證憑證鏈驗證是否緩慢
- 考慮 IdP 與使用者之間的網路延遲

SSL/TLS 問題

症狀:

驗證期間出現憑證警告
SSL 交握失敗
「安全連線失敗」錯誤

解決方案:

確保所有 SAML 端點都使用 HTTPS
檢查所有相關網域的憑證有效性
驗證 TLS 版本相容性

偵錯與記錄

啟用偵錯資訊

瀏覽器開發者工具:
- 在 SAML 流程期間監控 Network 分頁
- 檢查 Console 中的 JavaScript 錯誤
- 檢視 SAML POST 請求(如果可見)
IdP 記錄:
- 在您的 IdP 中啟用 SAML 偵錯
- 檢視 IdP 記錄中的 SAML 請求/回應詳細資訊
- 檢查屬性對應問題

常見記錄訊息

FastComments 記錄:

「找不到 SAML 設定」- SAML 未啟用或設定錯誤
「無效憑證」- 憑證驗證失敗
「缺少電子郵件屬性」- SAML 回應中未提供必要的電子郵件

IdP 記錄:

「未知的服務提供者」- Entity ID 不符
「無效的 ACS URL」- 斷言消費服務 URL 不正確
「使用者未指派」- 使用者無權存取 SAML 應用程式

取得協助

需收集的資訊

聯絡支援時,請提供:

確切的錯誤訊息與時間戳記
SAML 設定詳細資訊(不含敏感資料)
IdP 類型與版本
重現問題的步驟
瀏覽器與網路資訊

FastComments 支援

關於 SAML 相關問題:

使用支援入口網站
提供租戶 ID 與受影響使用者的電子郵件
提供錯誤訊息與設定詳細資訊
說明 IdP 類型與設定方式

IdP 支援

關於 IdP 特定問題:

查閱 IdP 文件中的 SAML 疑難排解
針對設定問題使用 IdP 支援管道
針對常見問題利用 IdP 社群論壇

預防提示

最佳實務

徹底測試:
- 在非正式環境中測試設定變更
- 使用多個測試使用者進行驗證
- 記錄可正常運作的設定
定期監控:
- 為 SAML 驗證失敗設定監控
- 檢視憑證到期日
- 監控 IdP 設定變更
文件記錄:
- 維護 SAML 設定的文件
- 記錄任何自訂設定或因應措施
- 保留 IdP 管理員的聯絡資訊

主動維護

憑證管理:
- 監控憑證到期日
- 規劃憑證輪替程序
- 在憑證到期前測試憑證更新
設定審查:
- 定期審查 SAML 設定
- 驗證 IdP 設定保持最新
- 在進行變更時更新文件

安全最佳實務

SAML 實作安全對於保護貴組織的驗證基礎設施與使用者資料至關重要。

SAML 安全基礎

數位簽章

SAML 回應簽署：

所有 SAML 回應必須由 IdP 以數位方式簽署
FastComments 使用 IdP 的公鑰憑證驗證簽章
防止驗證斷言被竄改
確保回應來自受信任的 IdP

憑證驗證：

憑證會根據已設定的 IdP 憑證進行驗證
憑證鏈驗證確保信任層級
已過期或無效的憑證會被拒絕
憑證輪換應事先規劃與協調

斷言安全

受眾限制：

SAML 斷言包含受眾限制（SP 實體 ID）
防止斷言在其他服務提供者上重放攻擊
FastComments 驗證受眾是否符合租戶設定
拒絕針對其他應用程式的斷言

基於時間的驗證：

斷言包含基於時間的有效窗口
強制執行 NotBefore 與 NotOnOrAfter 條件
防止舊斷言被重放
時鐘偏差容忍度可設定

通訊安全

傳輸層安全

HTTPS 要求：

所有 SAML 通訊皆透過 HTTPS 進行
必須使用 TLS 1.2 或更高版本
憑證驗證可防止中間人攻擊
安全的通訊可保護敏感的驗證資料

端點安全：

SAML 端點使用安全且已驗證的連線
IdP 與 SP 端點必須支援現代 TLS
弱加密套件會被拒絕
可實作憑證釘選以提升安全性

資料保護

敏感資料處理：

SAML 斷言可能包含敏感的使用者資訊
資料在傳輸過程中加密，且以安全方式處理
臨時儲存會被最小化且受到保護
使用者資料保留遵循隱私需求

斷言加密 (可選)：

SAML 斷言可加密以提升安全性
在斷言經過不受信任的網路時特別有用
需要在 FastComments 中配置私鑰
大多數部署改以 TLS 加密為主

驗證安全

單一登入的好處

集中式驗證：

降低與密碼相關的安全風險
使安全政策保持一致
提供單一的存取控制點
促進符合安全標準

會話管理：

SAML 可建立安全的會話
會話逾時可集中管理
單點登出功能（若 IdP 支援）
減少憑證在各應用程式間的暴露

多因素驗證

IdP 多因素驗證整合：

多因素驗證需求由身分提供者強制執行
FastComments 繼承 IdP 的安全政策
支援多種 MFA 方法（簡訊、驗證器應用程式、硬體令牌）
集中式 MFA 政策管理

存取控制安全

基於角色的存取控制

最小權限原則：

為使用者分配最低必要的權限
使用具體角色而非過於寬泛的權限
定期檢視角色分配
當不再需要時移除存取權

角色驗證：

SAML 角色屬性會被驗證與清理
未知角色會被忽略（不會被拒絕）
角色變更會在登入時立即套用
- 會保留角色變更的稽核紀錄

管理員存取

管理員角色保護：

管理員角色需明確指派
監控管理員的存取與活動
為敏感角色指派實作批准工作流程
定期稽核管理員帳號

身分提供者安全

IdP 設定安全

憑證管理：

使用強度高的憑證（RSA-2048 或更高）
實作適當的憑證輪換程序
在 IdP 端安全儲存私鑰
監控憑證到期日

存取控制：

限制誰能修改 SAML 應用程式設定
為設定變更實作批准流程
監控設定變更與存取
定期進行 IdP 設定的安全檢查

屬性安全

敏感屬性保護：

在 SAML 屬性中盡量減少敏感資料
使用角色識別碼而非敏感的群組名稱
加密包含敏感資訊的斷言
遵循資料最小化原則

屬性驗證：

驗證所有傳入的 SAML 屬性
清理屬性值以防止注入攻擊
在適當情況下實作屬性值限制
記錄可疑或格式錯誤的屬性

監控與稽核

驗證監控

失敗驗證追蹤：

監控失敗的 SAML 驗證嘗試
異常驗證模式時發出警報
追蹤憑證驗證失敗
記錄與設定相關的錯誤

成功監控：

監控成功驗證的比例
追蹤使用者角色分配與變更
驗證正常驗證流程的時間
監控意外的使用者建立

安全事件記錄

稽核紀錄維護：

記錄所有 SAML 驗證事件
保留設定變更的紀錄
追蹤管理員操作與存取
以防篡改的方式安全儲存日誌

警報設定：

為安全相關事件設定警報
監控憑證到期
重複驗證失敗時發出警報
通知異常的管理員活動

合規性考量

資料隱私

使用者資料保護：

遵循 GDPR、CCPA 及相關隱私法規
最小化個人資料的收集與處理
提供使用者對個人資訊的控制權
實作資料保留與刪除政策

跨境資料傳輸：

考慮資料所在地的要求
為國際傳輸實作適當的防護措施
記錄 IdP 與 FastComments 之間的資料流
確保符合當地隱私法規

安全標準

產業標準合規：

遵循 SAML 2.0 安全最佳實踐
實作 NIST 驗證指南
考慮 SOC 2 與 ISO 27001 的要求
定期進行安全評估與滲透測試

事件回應

安全事件程序

違規回應：

立即遏止安全事件
通知受影響的各方
進行調查與根本原因分析
實施矯正措施

憑證洩漏：

立即撤銷受洩漏的憑證
緊急憑證輪換程序
通知使用者並要求重新驗證
進行安全檢討與加強措施

業務持續性

備援驗證方法：

保持備用的驗證方法
記錄緊急存取程序
定期測試備援驗證
停機期間提供清晰的溝通

災難復原：

記錄 SAML 設定以供災難復原使用
保留憑證與設定的副本
定期測試復原程序
與 IdP 的災難復原計畫協調

安全最佳實踐摘要

實作安全

使用強度憑證：RSA-2048 或更高，並進行適當驗證
強制使用 HTTPS：所有通訊皆透過安全、加密的通道
驗證所有輸入：清理並驗證所有 SAML 屬性
持續監控：實作完整的監控與警報機制
定期檢討：執行定期的安全檢查與更新

作業安全

最小權限原則：分配最低必要的權限
定期稽核：定期檢視存取、角色與設定
文件化：維持最新的安全文件
訓練：確保員工了解 SAML 安全需求
事件準備：備妥事件回應程序

組織安全

變更管理：實作受控的變更流程
職責分離：分割管理職責
定期更新：保持所有系統與憑證為最新
供應商管理：監控 IdP 與相關服務的安全性
合規監控：確保持續符合規範

SAML 認證為 FastComments 用戶提供企業級的安全性和無縫的使用者體驗。透過適當的設定與測試，SAML 可啟用安全的單一登入，整合您現有的身分識別基礎設施，同時維持強健的安全控管與完整的稽核能力。

語言 🇹🇼 繁體中文

基礎知識

設定

使用者管理

疑難排解

進階

SAML

什麼是 SAML？

SAML 的運作方式

SAML 的優點

SAML 2.0 支援

SAML 與 SSO 的比較

Simple/Secure SSO 簡介

SAML 驗證

何時選擇 SAML

何時選擇 Simple 或 Secure SSO

設定 SAML

前置需求

存取 SAML 配置

基本 SAML 配置

啟用 SAML 驗證

必填欄位

選填欄位

進階配置

安全性設定

加密（選填）

儲存配置

後續步驟

身分提供者設定

一般 IdP 設定

必要的服務提供者資訊

所需的 SAML 屬性

重要屬性

可選屬性

常見的身份提供者設定

Microsoft Azure AD

Okta

Google Workspace

Active Directory Federation Services (ADFS)

屬性名稱彈性

測試您的設定

服務提供者資訊

存取服務提供者資訊

服務提供者端點

SP Entity ID / Audience

Assertion Consumer Service(ACS)URL

SP Metadata URL

SAML 登入 URL

SAML 綁定支援

HTTP-POST 綁定

HTTP-Redirect 綁定

Name ID 政策

SAML 請求屬性

請求簽署

請求的屬性

複製 SP 資訊

SP 憑證資訊

憑證用途

憑證詳細資訊

SP 設定疑難排解

使用者角色與權限

FastComments 角色系統

可用的 FastComments 角色

管理角色

專門角色

角色映射設定

SAML 屬性來源

支援的角色格式

身分提供者角色設定

Microsoft Azure AD

Okta

Google Workspace

使用者的預設行為

沒有角色的使用者

角色繼承

管理 SAML 使用者

使用者建立

角色更新

自訂角色對應

企業自訂化