Discourse-saml non è compatibile con multisito

Contribuisci Funzionalità
1

Su un’istanza di Discourse appena configurata, SAML fallisce a causa della Content-Security-Policy predefinita che nega lo script che invia il modulo…

2

Ospitiamo molti clienti che utilizzano con successo il plugin SAML con CSP. Puoi condividere l’errore che vedi nella console del browser?

Tutti i nostri hosting utilizzano CDN, quindi il mio sospetto è che la regola CSP non funzioni per chi non utilizza le CDN :thinking:

1 Mi Piace
3

Sì, scusa, intendevo farlo, ma non riesco a riprodurre il messaggio di errore, anche se l’errore persiste.
Ora ricevo solo errori di “contenuto misto” sull’icona favicon e sull’icona Apple. Le immagini sono state caricate prima che fosse attivata l’opzione force_https, ma credo che questa impostazione dovrebbe gestire l’origine per tutte le icone… Si tratta di un bug?

Sto cercando di riprodurre l’errore originale che ho ricevuto, ma finora senza successo. L’errore visualizzato a schermo è: “Spiacenti, si è verificato un errore durante l’autorizzazione del tuo account. Riprova.” Credo che si tratti di un ticket non valido, anche se tutte le configurazioni corrispondono a un’istanza funzionante esistente sia su Discourse che su Keycloak. Strano.

4

Sì, scusa, intendevo farlo, ma non riesco a riprodurre il messaggio di errore, anche se l’errore persiste.

Ok, ho individuato l’errore. Credo che derivi dalla configurazione:

  1. Si tratta di un’istanza multisito con ps.zoethical.org come ‘principale’, per la quale SAML è stato configurato originariamente.
  2. L’istanza forum.zoonklopper.be mostra un pulsante SAML, ma l’ambito è definito per ps.zoethical.org.
(saml) Authentication failure! invalid_ticket: OneLogin::RubySaml::ValidationError, https://ps.zoethical.org is not a valid audience for this Response - Valid audiences: https://forum.zonnklopper.be

Se aggiungo l’ambito ps.zoethical.org, ricevo un altro errore:

(saml) Authentication failure! invalid_ticket: OneLogin::RubySaml::ValidationError, The response was received at https://forum.zonnklopper.be/auth/saml/callback instead of https://ps.zoethical.org/auth/saml/callback
5

Il plugin SAML non è compatibile con le istanze multisito.

1 Mi Piace
6

Sì, è proprio quello che ho appena capito. È una situazione davvero spiacevole. :frowning:

Quindi, in pratica, la non compatibilità del plugin implica che:

  1. funzionerà solo sul primo sito di una rete multisito (o su quello per cui è configurato tramite DISCOURSE_HOSTNAME);
  2. il pulsante apparirà nell’interfaccia di accesso di tutte le altre istanze;
  3. ma quei pulsanti non funzioneranno e non ci sarà una soluzione chiara.

Dato che non esiste un argomento dedicato in #customizzazione:plugin per discourse-saml, suggerisco di crearne uno e di menzionare questa limitazione nel primo post. Sono quasi certo che si possa fare un po’ di pulizia tra i più di 50 argomenti che menzionano SAML. Se avessi saputo questa cosa prima, avrei configurato i miei servizi in modo diverso.

(P.S. L’errore CSP originale è probabilmente dovuto al fatto che l’iframe tenta di caricare il sito originale invece di quello corrente.)

Nascondere il pulsante SAML in un multisito

Questa è una soluzione rapida per chi ha attivato il plugin SAML in un ambiente multisito. :slight_smile:

  1. Vai su Amministrazione > Temi e clicca su “installa nuovo”.
  2. Crea un nuovo componente (con nome “Hide SAML Button”).
  3. Aggiungi il seguente CSS:
    #login-buttons .btn.btn-social.saml {
    display: none; /* plugin non compatibile con multisito */
}
  4. Applica il componente a tutti i temi.

Ora il pulsante SAML (che non funziona su questa istanza) non sarà visibile.

7

Questo argomento è stato chiuso automaticamente dopo 3 giorni. Non sono più ammesse nuove risposte.