Gå til hovedindhold

Nødadgang ved SSO-nedbrud

Når SSO håndhæves for din organisation, logger medlemmerne ind via din identitetsudbyder. Hvis IdP’en bliver utilgængelig, bliver sat forkert op, eller SSO-forbindelsen går i stykker, holder organisationens normale loginside op med at virke, og medlemmerne kan ikke godkende sig. Denne side beskriver, hvordan du genskaber adgangen uden at vente på, at IdP’en kommer tilbage.

Hvad der går i stykker, og hvad der ikke gør

Organisationens eget SSO-login på frem.sh/user/login?redirect_to=/<org> håndhæver SSO. Når IdP’en ikke kan nås eller er sat forkert op, fejler omdirigeringen, og medlemmerne ser en fejl.

Det lokale fremforge-login på https://frem.sh/user/login er adskilt fra det. Det accepterer lokalt brugernavn og adgangskode og går ikke gennem organisationens SSO-opsætning. Organisationens ejere har altid lokale loginoplysninger og kan bruge denne vej, også når SSO er nede.

Trin 1: log ind som organisationsejer via det lokale login

Gå direkte til:

https://frem.sh/user/login

Brug ikke frem.sh/user/login?redirect_to=/<org>. Den side håndhæver SSO og vil fejle.

Indtast dit lokale fremforge-brugernavn og din adgangskode. Hvis 2FA er slået til på din lokale konto, så gennemfør også 2FA-trinnet. Se Tofaktorgodkendelse, hvis din TOTP ikke er tilgængelig.

Trin 2: slå håndhævelsen af SSO fra

Når du er logget ind som organisationsejer:

  1. Gå til Administration → SSO → Autentificeringskilder (frem.sh/<org>/_admin/sso).
  2. Find den autentificeringskilde, der fejler.
  3. Klik på Slet, og bekræft på siden /_admin/sso/auth-sources/<id>/delete-confirm. (Der findes ingen “Slå fra”-knap i dag. Når du fjerner autentificeringskilden, genskabes login med adgangskode; du opretter den forfra med SSO-guiden, når IdP’en er rettet.)

Når autentificeringskilden er fjernet, kan alle organisationens medlemmer igen logge ind med adgangskode, mens du undersøger og retter problemet med IdP’en. Medlemmerne kan nu logge ind på frem.sh/user/login?redirect_to=/<org> med deres lokale fremforge-loginoplysninger.

Trin 3: ret IdP’en

Med håndhævelsen af SSO slået fra har du tid til at fejlsøge, uden at brugerne er låst ude. Typiske årsager:

  • Udløbet certifikat: IdP’ens signeringscertifikat er udløbet. Eksportér certifikatet igen, og opdatér det i autentificeringskildens opsætning. Se Single sign-on med OIDC.
  • Redirect-URI’en passer ikke: den callback-URL, der er registreret i IdP’en, svarer ikke til den, fremforge sender. Sammenlign https://frem.sh/user/oauth2/<auth-source-name>/callback, med det præcise Navn, der vises på autentificeringskildens kort under Administration → SSO, med det, der er registreret i IdP-appen.
  • Nedbrud hos IdP’en: hvis selve IdP’en er nede, så vent på, at den kommer op igen. Der skal ikke ændres noget i fremforge i det tilfælde.

Trin 4: slå SSO til igen

Når IdP’en virker:

  1. Gå til Administration → SSO, og kør SSO-guiden på /<org>/_admin/sso/wizard/start for at oprette autentificeringskilden igen med den rettede opsætning.
  2. Test SSO-login i et privat browservindue på frem.sh/user/login?redirect_to=/<org>, og bekræft, at det lykkes.
  3. Håndhævelsen af SSO genoptages for organisationen, så snart den nye autentificeringskilde er aktiv.

Hvis organisationsejerens lokale loginoplysninger er ukendte

Hvis organisationsejerens konto udelukkende er oprettet via SSO og aldrig har fået sat en lokal adgangskode, virker nødadgangen ovenfor ikke.

Kontakt support@frem.sh med emnelinjen “SSO break-glass”. Angiv:

  • Din organisations slug
  • Organisationsejerens registrerede e-mailadresse
  • En beskrivelse af situationen

Support verificerer identiteten ad en anden kanal og udsteder et midlertidigt token til nulstilling af den lokale adgangskode på organisationsejerens konto. Svartiden er inden for én arbejdsdag ifølge support-SLA’en. Se Support for åbningstider.

Nødkontoen er permanent: behold den, og hærd den

Den bootstrap-administratorkonto, fremforge opretter, når du tilmelder en organisation, er din nødkonto. Slet den ikke, når SSO er sat op. Uden en lokal ejer, der kan logge ind på frem.sh/user/login uafhængigt af IdP’en, låser et nedbrud eller en fejlopsætning hos IdP’en hele organisationen ude, og genopretning kræver en supportsag (se Hvis organisationsejerens lokale loginoplysninger er ukendte ovenfor).

Hærd i stedet den lokale konto, så den er sikker at beholde, også når SSO er den daglige vej ind:

  1. Skift bootstrap-adgangskoden til en lang, tilfældig adgangskode ved første login (Brugerindstillinger → Sikkerhed → Adgangskode). Adgangskoden fra velkomstmailen er til engangsbrug og skal erstattes med det samme. Generér en adgangskode på mindst 24 tegn i en adgangskodemanager; du kommer sjældent til at skrive den.
  2. Slå 2FA til på den lokale konto. fremforge/Forgejo understøtter TOTP (enhver authenticator-app) og WebAuthn/passkeys (Brugerindstillinger → Sikkerhed → To-faktor autentificering). 2FA på nødkontoen er påkrævet, ikke valgfrit: en lang, tilfældig adgangskode uden 2FA er stadig én enkelt faktor, der kan phishes, og en nødadgang med kun én faktor undergraver hele pointen med at kræve SSO. Opbevar gendannelseskoderne et sikkert sted (en krypteret adgangskodemanager, en forseglet kuvert i et pengeskab, ikke en Slack-DM).
  3. Bekræft, at det lokale login stadig virker, før du sætter SSO til at blive håndhævet. Åbn et privat browservindue, gå til https://frem.sh/user/login, log ind med den lokale adgangskode og 2FA, og bekræft, at du kan nå Administration → SSO. Gør det, mens din normale session stadig er åben i et almindeligt vindue, så du kan rette op, hvis noget er galt.
  4. Hav mindst to organisationsejere, som hver især har gennemført trinene ovenfor. Hvis én ejer mister adgangen (mistet enhed, stjålet bærbar, ny ansættelse), kan den anden ejer give adgang igen uden at gå gennem support. Det er den enkeltkontrol, der giver mest for organisationer, der håndhæver SSO.
  5. Planlæg en kvartalsvis nødadgangsøvelse. Én gang i kvartalet logger en ejer ind via den lokale vej, bekræfter, at 2FA virker, og tjekker, at SSO stadig kan slås fra. Det koster næsten intet og fanger situationen “jeg har glemt mine gendannelseskoder”, mens der ikke står meget på spil.

Krydshenvisninger