Break-glass för SSO

När SSO krävs för din organisation loggar medlemmarna in via din identitetsleverantör. Om den IdP:n blir otillgänglig eller felkonfigurerad, eller om SSO-kopplingen går sönder, slutar organisationens vanliga inloggningssida att fungera och medlemmarna kan inte autentisera sig. Den här sidan beskriver hur du återställer åtkomsten utan att vänta på att IdP:n kommer tillbaka.

Vad som slutar fungera och vad som inte gör det

Organisationens SSO-inloggning på frem.sh/user/login?redirect_to=/<org> kräver SSO. När IdP:n inte går att nå eller är felkonfigurerad misslyckas omdirigeringen och medlemmarna ser ett fel.

Den lokala inloggningen i fremforge på https://frem.sh/user/login är separat. Den tar emot lokala användarnamn och lösenord och går inte via organisationens SSO-konfiguration. Organisationens ägare har alltid lokala inloggningsuppgifter och kan använda den här vägen även när SSO ligger nere.

Steg 1: logga in som organisationens ägare via den lokala inloggningen

Gå direkt till:

https://frem.sh/user/login

Använd inte frem.sh/user/login?redirect_to=/<org>. Den sidan kräver SSO och kommer att misslyckas.

Ange ditt lokala användarnamn och lösenord i fremforge. Om tvåfaktorsautentisering är påslagen för ditt lokala konto slutför du även det steget. Se Tvåfaktorsautentisering om din TOTP inte är tillgänglig.

Steg 2: stäng av SSO-kravet

När du är inloggad som organisationens ägare:

Gå till Organisationens administration → SSO → Autentiseringskällor (frem.sh/<org>/_admin/sso).
Hitta den autentiseringskälla som inte fungerar.
Klicka på Ta bort och bekräfta på sidan /_admin/sso/auth-sources/<id>/delete-confirm. (Det finns i dag ingen knapp för att inaktivera den. När autentiseringskällan tas bort återställs inloggningen med lösenord; du skapar den på nytt från början med SSO-guiden när IdP:n är lagad.)

När autentiseringskällan är borttagen fungerar inloggning med lösenord igen för alla medlemmar i organisationen medan du utreder och rättar problemet hos IdP:n. Medlemmarna kan nu logga in på frem.sh/user/login?redirect_to=/<org> med sina lokala inloggningsuppgifter i fremforge.

Steg 3: rätta IdP:n

Med SSO-kravet avstängt har du tid att felsöka utan att användarna är utelåsta. Vanliga orsaker:

Certifikatet har gått ut: IdP:ns signeringscertifikat har gått ut. Exportera certifikatet på nytt och uppdatera det i autentiseringskällans konfiguration. Se OIDC SSO.
Omdirigerings-URI:n stämmer inte: den callback-URL som är registrerad i IdP:n stämmer inte med den som fremforge skickar. Jämför https://frem.sh/user/oauth2/<auth-source-name>/callback, med det exakta Namn som visas på autentiseringskällans kort under Organisationens administration → SSO, med den som är registrerad i IdP-appen.
Avbrott hos IdP:n: om själva IdP:n ligger nere väntar du tills den är tillbaka. Inga ändringar i fremforge behövs i det fallet.

Steg 4: slå på SSO igen

När IdP:n fungerar:

Gå till Organisationens administration → SSO och kör SSO-guiden på /<org>/_admin/sso/wizard/start för att skapa autentiseringskällan på nytt med den rättade konfigurationen.
Testa SSO-inloggningen i ett privat webbläsarfönster på frem.sh/user/login?redirect_to=/<org> och bekräfta att den lyckas.
SSO-kravet gäller åter för organisationen så snart den nya autentiseringskällan är aktiv.

Om ägarens lokala inloggningsuppgifter är okända

Om ägarkontot skapades enbart via SSO och aldrig fick något lokalt lösenord fungerar inte break-glass-vägen ovan.

Kontakta support@frem.sh med ämnesraden “SSO break-glass”. Ange:

Organisationens slug
Ägarens registrerade e-postadress
En beskrivning av situationen

Supporten verifierar identiteten via en separat kanal och utfärdar en tillfällig token för återställning av det lokala lösenordet för ägarkontot. Svar kommer inom en arbetsdag enligt supportens SLA. Se Support för öppettider.

Break-glass-kontot är permanent: behåll det och härda det

Det administratörskonto som fremforge skapar när du registrerar en organisation är ditt break-glass-konto. Ta inte bort det när du har kopplat in SSO. Utan en lokal ägare som kan logga in på frem.sh/user/login oberoende av IdP:n låser ett avbrott eller en felkonfiguration hos IdP:n ute hela organisationen, och återställningen kräver då ett supportärende (se Om ägarens lokala inloggningsuppgifter är okända ovan).

Härda i stället det lokala kontot så att det är säkert att behålla även när SSO är den dagliga vägen:

Byt startlösenordet mot ett långt, slumpmässigt lösenord vid första inloggningen (Användarinställningar → Säkerhet → Lösenord). Lösenordet i välkomstmejlet är engångs och bör bytas omedelbart. Generera ett lösenord på minst 24 tecken i en lösenordshanterare; du kommer sällan att behöva skriva det.
Slå på tvåfaktorsautentisering för det lokala kontot. fremforge/Forgejo stöder TOTP (valfri autentiseringsapp) och WebAuthn/passkeys (Användarinställningar → Säkerhet → Tvåfaktorsautentisering). Tvåfaktorsautentisering på break-glass-kontot är ett krav, inte ett val. Ett långt slumpmässigt lösenord utan tvåfaktorsautentisering är fortfarande en enda faktor som kan nätfiskas, och en break-glass-väg med inloggning med en enda faktor motverkar hela poängen med att kräva SSO. Förvara återställningskoderna på ett säkert ställe (krypterad lösenordshanterare, förseglat kuvert i ett kassaskåp, inte ett DM i Slack).
Kontrollera att den lokala inloggningen fortfarande fungerar innan du gör SSO obligatoriskt. Öppna ett privat webbläsarfönster, gå till https://frem.sh/user/login, logga in med det lokala lösenordet och tvåfaktorsautentisering och bekräfta att du når Organisationens administration → SSO. Gör det medan din vanliga session fortfarande är öppen i ett vanligt fönster, så att du kan rätta till det om något är fel.
Ha minst två ägare i organisationen, som var för sig har gått igenom stegen ovan. Om en ägare förlorar åtkomsten (borttappad enhet, stulen laptop, ny anställning) kan den andra ägaren ge ny åtkomst utan att gå via supporten. Det är den enskilt mest verkningsfulla kontrollen för organisationer som kräver SSO.
Schemalägg en break-glass-övning varje kvartal. En gång per kvartal loggar en ägare in via den lokala vägen, bekräftar att tvåfaktorsautentiseringen fungerar och kontrollerar att det fortfarande går att stänga av SSO. Billigt, och det fångar felet “jag har glömt mina återställningskoder” när lite står på spel.

Korsreferenser

OIDC SSO: uppsättning av en OIDC-autentiseringskälla och hantering av certifikat
Tvåfaktorsautentisering: tvåfaktorsautentisering och återställningskoder för det lokala kontot
Support: hur du kontaktar supporten och vilka svarstider du kan räkna med
Felsökning: felmeddelanden för OIDC