Personalizzazione delle pagine di avvio, accesso, disconnessione ed errore di SAML

È possibile personalizzare queste pagine per SSO SAML utilizzando provider di identità esterni.

• Pagina di accesso del provider di identità: in SSO avviato dal fornitore di servizi, è la pagina a cui viene indirizzato l'utente per eseguire l'accesso dopo che ha provato ad accedere al fornitore di servizi. L'URL di questa pagina deve supportare SSO avviato dal fornitore di servizi ed essere in grado di ricevere le richieste SAML. Per definire l'URL utilizzare il parametro ssoStartPage o immettere un URL in URL di accesso provider identità. Se si specifica una pagina di accesso, si consiglia di specificare anche una pagina di disconnessione.

  È possibile utilizzare il parametro RelayState per controllare l'indirizzo a cui vengono reindirizzati gli utenti quando l'accesso viene completato correttamente.

• 

  Nota se si utilizza il parametro RelayState, mantenerne lo stato per il rinvio al fornitore di servizi, come raccomandato nella specifica SAML 2.0. Ad esempio, se il provider di identità modifica RelayState, come in caso di decodifica dell'URL, deve rinviare la versione originale di RelayState al fornitore di servizi. Ricodificare lo stato del relay prima di restituirlo.
• Pagina di disconnessione personalizzata: la pagina a cui viene reindirizzato l'utente quando fa clic sul pulsante Esci o quando scade la sessione dell'utente. Per stabilire dove deve essere reindirizzato l'utente, specificare un URL per la pagina di disconnessione in URL di disconnessione personalizzato.

  La pagina di disconnessione predefinita è https://MyDomainName.my.salesforce.com.

  Oppure, se si configura Single Logout SAML con Salesforce come fornitore di servizi, specificare una pagina di disconnessione in Identity Provider Single Logout URL.

• Pagina di errore personalizzata (facoltativa): la pagina a cui viene reindirizzato l'utente se si verifica un errore di accesso SAML. Specificare una pagina di errore in URL di errore personalizzato. La pagina di errore deve essere accessibile pubblicamente, ad esempio una pagina Visualforce di un sito pubblico. L'URL può essere assoluto o relativo.

È possibile impostare questi valori quando si configura SSO con Salesforce come fornitore di servizi SAML. L'ordine di precedenza è il seguente.

1. Cookie di sessione. Se si è già effettuato l'accesso a Salesforce ed esiste ancora un cookie, SSO utilizza le pagine di accesso e di disconnessione specificate dal cookie della sessione.
2. Valori trasmessi dal provider di identità.
3. Valori specificati nella pagina Impostazioni Single Sign-On in Imposta.

Se si sceglie di non specificare questi valori nella pagina Impostazioni Single Sign-On in Imposta, condividerli con il provider di identità. Il provider di identità deve utilizzare questi valori nell'URL di accesso o nell'asserzione SAML.

• ssoStartPage: pagina a cui viene reindirizzato l'utente quando tenta di accedere. Questo valore è la pagina di accesso del provider di identità SAML. L'utente viene indirizzato a questa pagina quando richiede una risorsa protetta in Salesforce senza una sessione attiva.
• startURL: URL a cui indirizzare l'utente quando SSO viene completato correttamente. L'URL può essere assoluto, ad esempio, https://yourInstance.salesforce.com/001/o. Oppure può essere relativo, ad esempio /001/o.

  È anche possibile utilizzare il parametro RelayState per controllare dove vengono reindirizzati gli utenti dopo un accesso riuscito. Se si utilizza il parametro RelayState, assicurarsi di mantenerne lo stato per inviarlo nuovamente al fornitore di servizi, come consigliato nella specifica SAML 2.0. Ad esempio, se il provider di identità modifica lo stato del relay, come in caso di decodifica dell'URL, deve rinviare la versione originale di RelayState al fornitore di servizi. Ricodificare lo stato del relay prima di restituirlo.

• logoutURL: URL a cui si desidera indirizzare l'utente quando fa clic sul pulsante Disconnetti in Salesforce. Il valore predefinito è https://salesforce.com.

Di seguito è riportato un esempio di <AttributeStatement> che contiene sia ssoStartPage che logoutURL:

<saml:AttributeStatement>
   <saml:Attribute Name="ssoStartPage" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:unspecified">
      <saml:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" 
           xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:anyType">
              http://www.customer.org
      </saml:AttributeValue>
   </saml:Attribute>

   <saml:Attribute Name="logoutURL" NameFormat="urn:oasis:names:tc:SAML:2.0:attrname-format:uri">
      <saml:AttributeValue xmlns:xs="http://www.w3.org/2001/XMLSchema" 
           xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:type="xs:string">
              https://www.salesforce.com
      </saml:AttributeValue>
   </saml:Attribute>
</saml:AttributeStatement>