brak integracji z SSO

Brak integracji z SSO to usterka uniemożliwiająca wykorzystanie jednokrotnego logowania do dostępu do systemu pocztowego.

Na czym polega brak integracji z SSO

Brak integracji z SSO oznacza, że system pocztowy nie korzysta z centralnego mechanizmu jednokrotnego logowania, mimo że konto użytkownika jest zarządzane w usłudze tożsamości. W prawidłowym przepływie użytkownik wybiera logowanie do poczty, a aplikacja przekierowuje go do dostawcy tożsamości. Po pomyślnym uwierzytelnieniu dostawca przekazuje aplikacji potwierdzenie tożsamości, więc nie ma potrzeby ponownego wpisywania hasła w systemie pocztowym.

Usterka może polegać na całkowitym braku obsługi SSO, niepoprawnym ustawieniu adresu dostawcy tożsamości albo niezgodności parametrów po obu stronach. Znaczenie mają między innymi identyfikator aplikacji, adres powrotu po logowaniu, format identyfikatora użytkownika oraz sposób przekazywania informacji o koncie. Sam fakt, że użytkownik ma aktywne konto w katalogu lub usłudze tożsamości, nie oznacza jeszcze, że system pocztowy jest z nią zintegrowany.

Jak przebiega logowanie bezpośrednie i jednokrotne

Bez integracji SSO system pocztowy zazwyczaj obsługuje własny formularz logowania albo oczekuje hasła przekazanego przez osobny mechanizm uwierzytelniania. Użytkownik może wtedy posiadać poprawne dane dostępowe, ale nie zostanie automatycznie rozpoznany na podstawie wcześniejszego logowania do innej aplikacji. Typowym objawem jest ponowne żądanie hasła, przekierowanie na nieistniejącą stronę logowania albo komunikat informujący o braku skonfigurowanego dostawcy tożsamości.

W zależności od rozwiązania stosuje się protokół SAML 2.0 albo OpenID Connect działający na OAuth 2.0. W SAML dostawca tożsamości przekazuje podpisaną asercję, która zawiera między innymi identyfikator użytkownika i czas ważności potwierdzenia. W OpenID Connect aplikacja otrzymuje token ID opisujący uwierzytelnionego użytkownika, a często także token dostępu do określonych zasobów. Integracja wymaga zgodności adresów URL, identyfikatorów klienta, certyfikatów lub kluczy podpisujących oraz zakresu przekazywanych danych.

Źródła błędu w konfiguracji SSO

Jedną z częstych przyczyn jest niezgodny adres przekierowania. Dostawca tożsamości może odrzucić żądanie, jeśli adres powrotu różni się choćby protokołem HTTP lub HTTPS, nazwą hosta, numerem portu albo końcowym ukośnikiem. W przypadku SAML podobną rolę odgrywa adres ACS, czyli endpoint, do którego wysyłana jest odpowiedź po uwierzytelnieniu. Błąd może również wynikać z pomylenia identyfikatora encji SAML z adresem aplikacji albo z użycia niewłaściwego identyfikatora klienta OpenID Connect.

Diagnostyka powinna obejmować także certyfikaty, klucze podpisujące i czas systemowy. Asercja lub token może zostać odrzucony, gdy podpis nie zgadza się z kluczem opublikowanym przez dostawcę tożsamości, certyfikat wygasł albo system ma nieprawidłową datę i godzinę. Należy sprawdzić, czy nazwa użytkownika przekazywana w polu NameID lub w odpowiednim roszczeniu odpowiada formatowi oczekiwanemu przez pocztę, na przykład pełnemu adresowi e-mail albo identyfikatorowi konta. Różnica między tymi wartościami może skutkować utworzeniem niepowiązanego konta lub odmową dostępu.

Zakres sprawdzenia i przywrócenie poprawnego przepływu

Przy ocenie problemu warto odtworzyć pełny przebieg logowania: otwarcie strony poczty, przekierowanie do dostawcy tożsamości, uwierzytelnienie, powrót do aplikacji oraz utworzenie sesji. Każdy etap powinien zostać porównany z komunikatem w dzienniku aplikacji i odpowiedzią protokołu. Szczególną uwagę zwraca się na błędy typu invalid_redirect_uri, invalid_client, invalid_issuer, invalid_audience, signature validation failed oraz expired assertion. Ich znaczenie zależy od konkretnej konfiguracji, dlatego sam komunikat nie zastępuje sprawdzenia parametrów po obu stronach.

Naprawa polega na ustaleniu obsługiwanego protokołu, uzupełnieniu zgodnych parametrów integracji i ponownym sprawdzeniu mapowania użytkownika. Po zmianach należy wykonać test z kontem uprawnionym do korzystania z poczty oraz test konta bez uprawnień, aby potwierdzić zarówno poprawne logowanie, jak i prawidłowe odrzucenie dostępu. Jeżeli problem występuje na laptopie lub komputerze PC, można dodatkowo sprawdzić zegar systemowy, rozwiązywanie nazw DNS, dostęp do adresów HTTPS, stan przeglądarki oraz zapisane pliki cookie. Diagnostyka sprzętu i oprogramowania powinna rozdzielić awarię lokalnego urządzenia od błędu konfiguracji samej integracji SSO.