FAQ
Porque nem todos os claims são passados para a aplicação?
Apenas os claims sub, sid, acr e amr são passados. Recebo mais claims do método de autenticação usando log claims trace. O que estou a fazer de errado?
Por predefinição, um método de autenticação deve passar todos os claims para o registo da aplicação se Forward Claims tiver *.
Também pode fazer com que o registo da aplicação, neste caso um cliente OpenID Connect, adicione todos os claims ao access token emitido para a aplicação (não é o comportamento por predefinição).
Navegue até ao registo da aplicação, clique em Show advanced e adicione * no campo Issue claims. Opcionalmente inclua também todos os claims no ID token emitido.
É possível evitar o diálogo "Escolher uma conta"?
Sim, o FoxIDs suporta encaminhar o login hint de um método de autenticação para um IdP externo ou outro registo de aplicação FoxIDs. Em OpenID Connect o login hint é encaminhado no parâmetro login_hint.
Em SAML 2.0 o login hint é encaminhado como NameID no elemento Subject e, além disso, aceita um parâmetro query / form login_hint / LoginHint / username da SAML relying party.
Porque não consigo terminar sessão se o tipo de contentor do certificado for alterado?
Não consigo terminar sessão num cliente OIDC se iniciar sessão e depois alterar o tipo de contentor do certificado.
O problema ocorre se o logout OIDC exigir um ID Token antes de aceitar o logout. Nesse caso, o ID Token é inválido porque o tipo de contentor e, por consequência, o certificado de assinatura foram alterados.
Solução: tem de fechar o browser e começar de novo.
Como é atualizado o certificado de um IdP SAML 2.0 externo e pode ser automatizado?
O FoxIDs começará automaticamente a aceitar o novo certificado se o IdP externo adicionar o novo certificado ao ficheiro / endpoint de metadata SAML 2.0 existente com pelo menos 24 horas de antecedência. Um ficheiro de metadata SAML 2.0 pode ter muitos certificados.
Pode forçar uma atualização dos metadata clicando em Update no método de autenticação no FoxIDs.
Se o IdP externo criar um novo ficheiro de metadata SAML 2.0 ou apenas entregar o certificado, só existe o caminho manual.
Quem detém os componentes de segurança usados para construir o FoxIDs?
O FoxIDs é construído com componentes de segurança detidos pela FoxIDs ApS, e o código-fonte está publicado.
- O SAMl 2.0 é implementado com o componente ITfoxtec.Identity.Saml2 (docs)
- OAuth 2.0 e OpenID Connect são implementados com o componente ITfoxtec.Identity
- OpenID Connect no Control Client é implementado com o componente ITfoxtec.Identity.BlazorWebAssembly.OpenidConnect.
O FoxIDs era anteriormente conhecido como ITfoxtec.
É suportado matching entre issuer e authority?
O standard OpenID Connect Discovery 1.0 especifica:
The issuer value returned MUST be identical to the Issuer URL that was used as the prefix to /.well-known/openid-configuration to retrieve the configuration information.
No entanto, esta parte da especificação é conhecida por ser problemática, forçando o OpenID Provider a fornecer issuers separados para clientes e recursos para permitir OIDC Discovery específico para clientes e recursos.
Por isso, o FoxIDs fornece por predefinição um issuer por ambiente.
Pode ativar matching entre issuer e authority em aplicações OpenID Connect e OAuth 2.0.
- Encontre e abra o registo da aplicação
- Selecione Show advanced
- Ative Use matching issuer and authority with application specific issuer
Ao usar um issuer específico da aplicação, o issuer muda se mudarem os métodos de autenticação selecionados no URL da authority.
Se usar APIs (recursos), tenha em atenção que o issuer muda consoante a aplicação chamadora (cliente).
Token exchange só é possível com os métodos de autenticação correspondentes.
Como posso limpar todos os utilizadores num ambiente?
Pode eliminar utilizadores num ambiente usando o SeedTool, que permite remover utilizadores em massa.
Em alternativa, ao eliminar o ambiente também elimina os seus utilizadores.
Como posso eliminar um ambiente?
Para eliminar um ambiente, vá ao separador Settings no ambiente e depois ao separador Environment. Faça scroll para baixo e clique em Delete environment.
Porque não consigo criar novos tenants em self-hosting?
Se fizer self-host do FoxIDs e só conseguir abrir tenants existentes, defina MainTenantSeedEnabled = false no ficheiro appsettings.json do FoxIDs Control.
Quando MainTenantSeedEnabled é true, o FoxIDs Control assume que o tenant principal é semeado automaticamente e esconde a opção para criar um novo tenant. Depois de alterar a definição, reinicie o FoxIDs Control e poderá criar tenants manualmente.
Porque é que o meu domínio personalizado não muda no ambiente Master?
Isto é esperado. No ambiente Master, o domínio personalizado não é usado. O domínio personalizado entra em vigor em todos os outros ambientes, por exemplo dev, test e prod. Mude para um ambiente que não seja Master para ver o seu domínio personalizado aplicado.