Gå til hovedinnhold

Break-glass for SSO

Når SSO håndheves for organisasjonen din, logger medlemmene inn via identitetsleverandøren din. Hvis den IdP-en blir utilgjengelig eller feilkonfigurert, eller SSO-tilkoblingen brytes, slutter den vanlige innloggingssiden for organisasjonen å virke, og medlemmene kan ikke autentisere seg. Denne siden viser hvordan du får tilgangen tilbake (break-glass, det vil si nødtilgang) uten å vente på at IdP-en kommer tilbake.

Hva som slutter å virke, og hva som ikke gjør det

Den organisasjonsspesifikke SSO-innloggingen på frem.sh/user/login?redirect_to=/<org> håndhever SSO. Når IdP-en ikke kan nås eller er feilkonfigurert, feiler omdirigeringen, og medlemmene ser en feilmelding.

Den lokale fremforge-innloggingen på https://frem.sh/user/login er atskilt. Den godtar lokalt brukernavn og passord og går ikke gjennom organisasjonens SSO-oppsett. Eiere av organisasjonen har alltid lokal legitimasjon og kan bruke denne veien selv når SSO er nede.

Steg 1: logg inn som eier av organisasjonen via lokal innlogging

Gå direkte til:

https://frem.sh/user/login

Ikke bruk frem.sh/user/login?redirect_to=/<org>. Den siden håndhever SSO og vil feile.

Skriv inn ditt lokale brukernavn og passord for fremforge. Hvis 2FA er slått på for den lokale kontoen din, fullfører du også 2FA-steget. Se Tofaktorautentisering hvis TOTP-en din ikke er tilgjengelig.

Steg 2: slå av håndhevingen av SSO

Når du er logget inn som eier av organisasjonen:

  1. Gå til Organisasjonsadministrasjon → SSO → Autentiseringskilder (frem.sh/<org>/_admin/sso).
  2. Finn autentiseringskilden som feiler.
  3. Klikk Delete og bekreft på siden /_admin/sso/auth-sources/<id>/delete-confirm. (Det finnes ingen «Disable»-bryter i dag. Når autentiseringskilden fjernes, gjenopprettes passordinnlogging, og du oppretter kilden på nytt fra bunnen av med SSO-veiviseren når IdP-en er rettet.)

Når autentiseringskilden er deaktivert, gjenopprettes passordinnlogging for alle medlemmer av organisasjonen mens du undersøker og retter feilen i IdP-en. Medlemmene kan nå logge inn på frem.sh/user/login?redirect_to=/<org> med sin lokale fremforge-legitimasjon.

Steg 3: rett feilen i IdP-en

Når håndhevingen av SSO er av, har du tid til å feilsøke uten at brukerne er låst ute. Vanlige årsaker:

  • Utløpt sertifikat: signeringssertifikatet til IdP-en har utløpt. Eksporter sertifikatet på nytt og oppdater det i oppsettet av autentiseringskilden. Se OIDC SSO.
  • Redirect URI stemmer ikke: tilbakekallings-URL-en som er registrert i IdP-en, stemmer ikke med det fremforge sender. Sammenlign https://frem.sh/user/oauth2/<auth-source-name>/callback, med det nøyaktige Navn som vises på kortet til autentiseringskilden i Organisasjonsadministrasjon → SSO, med det som er registrert i IdP-appen.
  • Brudd hos IdP-en: hvis selve IdP-en er nede, venter du til den er tilbake. Ingen endringer i fremforge trengs i dette tilfellet.

Steg 4: slå på SSO igjen

Når IdP-en virker:

  1. Gå til Organisasjonsadministrasjon → SSO og kjør SSO-veiviseren på /<org>/_admin/sso/wizard/start for å opprette autentiseringskilden på nytt med det rettede oppsettet.
  2. Test SSO-innloggingen i et privat nettleservindu på frem.sh/user/login?redirect_to=/<org> for å bekrefte at den lykkes.
  3. Håndhevingen av SSO for organisasjonen gjenopptas når den nye autentiseringskilden er aktiv.

Hvis den lokale legitimasjonen til eieren er ukjent

Hvis eierkontoen ble opprettet utelukkende via SSO og aldri har fått satt et lokalt passord, virker ikke break-glass-veien over.

Kontakt support@frem.sh med emnelinjen “SSO break-glass”. Ta med:

  • Organisasjonens slug
  • Den registrerte e-postadressen til eieren av organisasjonen
  • En beskrivelse av situasjonen

Support bekrefter identiteten via en annen kanal og utsteder et midlertidig token for tilbakestilling av det lokale passordet til eierkontoen. Svar kommer innen én virkedag i henhold til SLA-en for support. Se Support for åpningstider.

Break-glass-kontoen er permanent: behold den, og sikre den

Den første administratorkontoen fremforge oppretter når du registrerer en organisasjon, er break-glass-kontoen din. Ikke slett den etter at SSO er satt opp. Uten en lokal eier som kan logge inn på frem.sh/user/login uavhengig av IdP-en, vil et brudd eller en feilkonfigurasjon i IdP-en låse hele organisasjonen ute, og gjenoppretting krever en supporthenvendelse (se Hvis den lokale legitimasjonen til eieren er ukjent over).

Sikre i stedet den lokale kontoen, slik at den er trygg å beholde selv når SSO er den daglige veien inn:

  1. Bytt ut det første passordet med et langt, tilfeldig passord ved første innlogging (User settings → Security → Password). Passordet fra velkomst-e-posten er engangs og bør byttes med en gang. Lag et passord på minst 24 tegn i en passordbehandler; du kommer sjelden til å skrive det inn.
  2. Slå på 2FA for den lokale kontoen. fremforge / Forgejo støtter TOTP (en hvilken som helst autentiseringsapp) og WebAuthn / passnøkler (User settings → Security → Two-factor authentication). 2FA på break-glass-kontoen er påkrevd, ikke valgfritt. Et langt, tilfeldig passord uten 2FA er fortsatt én enkelt faktor som kan phishes, og en break-glass-vei med bare én faktor undergraver hele poenget med å kreve SSO. Oppbevar gjenopprettingskodene et trygt sted (kryptert passordbehandler, forseglet konvolutt i en safe, ikke en direktemelding i Slack).
  3. Kontroller at den lokale innloggingen fortsatt virker før du setter SSO til håndhevet. Åpne et privat nettleservindu, gå til https://frem.sh/user/login, logg inn med det lokale passordet og 2FA, og bekreft at du kommer til Org admin → SSO. Gjør dette mens den vanlige sesjonen din fortsatt er åpen i et vanlig vindu, så du kan rette opp hvis noe er galt.
  4. Ha minst to eiere av organisasjonen, som hver for seg har fullført stegene over. Hvis én eier mister tilgangen (mistet enhet, stjålet bærbar PC, ny jobb), kan den andre eieren gi tilgang på nytt uten å gå via support. Dette er det enkelttiltaket som gir mest for organisasjoner med håndhevet SSO.
  5. Planlegg en break-glass-øvelse hvert kvartal. Én gang i kvartalet logger en eier inn via den lokale veien, bekrefter at 2FA virker, og kontrollerer at SSO fortsatt kan slås av. Det koster lite og avslører feilen «jeg har glemt gjenopprettingskodene» mens lite står på spill.

Se også

  • OIDC SSO: oppsett av OIDC-autentiseringskilder og håndtering av sertifikater
  • Tofaktorautentisering: 2FA og gjenopprettingskoder for lokale kontoer
  • Support: hvordan du kontakter support, og hvilke svartider du kan forvente
  • Feilsøking: feilmeldinger for OIDC