...
Vid federerad inloggning med SAML så finns en funktion för att möjliggöra för tjänster att hänvisa användare som har hindrande inloggningsproblem tillbaka till hjälpsidor hos användarens inloggningstjänst (IdP). Identitetsutfärdare kan lägga in en särskild uppgift om "errorURL" i sin metadata med en länk till organisationens hjälpsidor. Tidigare kunde organisationen bakom inloggningstjänsten endast ge ett generellt felmeddelande som ska täcka alla olika typer av fel via errorURL men nu finns en mer avancerad modell där en tjänst kan informera organisationen om vilken typ av fel det är och därmed kan de ge bättre information till användaren om hur man löser problemet.
Utökad hantering av errorURL
Under 2020 så utökades hanteringen av errorURL med ett tillägg som möjliggör för tjänster att hänvisa användare till olika sidor beroende på kategori av fel som uppstått vid inloggning, SAML V2.0 Metadata Deployment Profile for errorURL Version 1.0.
...
Där kan då identitetsutfärdaren beskriva för användaren hur denne löser det uppkomna problemet, t.ex. bekräfta sin identitet för att uppnå tillräcklig nivå inkl. detaljerad information om hur användare gör det.
Aktivera stöd för errorURL i en identitetsutfärdare (IdP)
Sätta upp eget stöd för errorURL
SWAMID har byggt en referensimplementation av den utökade hanteringen av errorURL. Denna finns utvecklad i PHP, JSP, .NET Core samt statiska HTML-sidor. Implementationen är fri att använda och modifiera efter identitetsutfärdares egna behov.
Exempelimplementatonen återfinns på https://github.com/SUNET/swamid-errorurl.
En statisk sida
Vid utelämnande av strängen ERRORURL_CODE i en errorURL så finns ingen sträng att ersätta för tjänster. På så vis hänvisas användare vid alla kategorier av fel till samma sida.
...
Detta kan vara det enda alternativet för tjänsteleverantörer som inte kan välja namn på webbsidor.
Fem statiska sidor
Då det finns fyra felkategorier så räcker det med fem statiska webbsidor för att tillhandahålla information för de fyra felkategorierna. Den femte sidan är då en omodifierad errorURL där tjänsten inte bytt ut strängen ERRORURL_CODE mot någon felkategori, och bör innehålla information om alla kategorier av fel eller länkar till respektive felsida.
...
https://saml-error.example.com/ERRORURL_CODE.htmlEn dynamisk sida
En dynamisk sida har möjlighet att avgöra vilken tjänst som efterfrågades och vilken kontext som skickades med. Det möjliggör också att ytterligare information som kan underlätta vid felsökning hos identitetsutfärdaren finns med i en eventuell supportförfrågan till identitetsutfärdaren från användaren.
...
https://saml-error.example.com/?errorurl_code=ERRORURL_CODE&errorurl_ts=ERRORURL_TS&errorurl_rp=ERRORURL_RP&errorurl_tid=ERRORURL_TID&errorurl_ctx=ERRORURL_CTXAnvända SWAMIDs centrala stöd för errorURL
Arbete pågår inom SWAMID att se till att samtliga identitetsutfärdare har en definierad errorURL i sin metadata. För att underlätta övergången så finns en central tjänst som identitetsutfärdare som inte har någon egen errorURL kan använda.
...
SWAMIDs centrala errorURL går att testa på https://error.swamid.se/test/. Där finns även en länk till aktuell errorURL för respektive IdP i SWAMID. IdP:er som inte har någon egen errorURL har där en länk till den centrala errorURL:en, anpassad för den specifika identitetstutfärdaren.
Aktivera stöd för errorURL i en tjänst (SP)
För att tjänster ska kunna utnyttja errorURL:en för användares identitetsutfärdare behöver detta läsas ut ur identitetsutfärdarens metadata. Detta hanteras olika i olika SAML Service Providers.
Läsa ut errorURL via Shibboleth Service Provider
För att läsa ut errorURL för en användares identitetsutfärdare i Shibboleth Service Provider så behöver tillägget Metadata Attribute Extraction aktiveras i konfigurationen. Instruktioner finns under rubriken Activate Metadata Attribute Extraction for Identity Provider metadata på 3.3 Configure Shibboleth SP - Check for Identity Assurance or REFEDS SIRTFI.
När detta är gjort så finns errorURL:en (i förekommande fall) tillgänglig i HTTP-headern/miljövariabeln Meta-errorURL.
Länka till identitetsutfärdarens errorURL vid fel
Läs noga igenom profilen SAML V2.0 Metadata Deployment Profile for errorURL Version 1.0, där beskrivs i vilka fall som errorURL:en kan användas och hur. Se även beskrivningen under Utökad hantering av errorURL ovan.
Försök beskriva felet så utförligt som möjligt ur tjänstens synvinkel för att hjälpa användaren att åtgärda det.
SWAMID-specifik användning av ERRORURL_CTX
För att ytterligare förbättra möjligheten till relevant information till användare vid olika fel så används en konvension kring ERRORURL_CTX i SWAMID. Tjänster rekommenderas att lägga till dessa kontext till eventuell annan ERRORURL_CTX vid respektive fel, och identitetsutfärdare rekommenderas att hantera dessa speciellt:
...