<div dir="ltr">It took me some playing to get it to work. They don't appear to sign their requests. They also do not provision from a valid SAML authentication. They do have an SCIM API though. Their authentication documentation is located at <a href="https://developers.facebook.com/docs/workplace/authentication/sso">https://developers.facebook.com/docs/workplace/authentication/sso</a><div><br></div><div>This is what I ended up with, for metadata -- I edited it to have your endpoint information: <div><br></div><div><div><?xml version="1.0" encoding="UTF-8"?></div><div><md:EntityDescriptor ID="FBatWork" entityID="<a href="https://www.facebook.com/company/1077798945674112">https://www.facebook.com/company/1077798945674112</a>" xmlns:md="urn:oasis:names:tc:SAML:2.0:metadata"></div><div><md:SPSSODescriptor AuthnRequestsSigned="false" WantAssertionsSigned="true" protocolSupportEnumeration="urn:oasis:names:tc:SAML:2.0:protocol"></div><div><md:NameIDFormat>urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress</md:NameIDFormat></div><div><md:AssertionConsumerService Binding="urn:oasis:names:tc:SAML:2.0:bindings:HTTP-POST" Location="<a href="https://alaska.facebook.com/work/saml.php">https://alaska.facebook.com/work/saml.php</a>" index="0" isDefault="true"/></div><div></md:SPSSODescriptor></div><div></md:EntityDescriptor></div></div><div><br></div><div>For attributes, they only accept e-mail (as Name ID). </div><div><br></div><div>HTH,</div><div>-Matt</div><div><br></div></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Wed, Nov 2, 2016 at 7:26 PM, IAM David Bantz <span dir="ltr"><<a href="mailto:dabantz@alaska.edu" target="_blank">dabantz@alaska.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div dir="ltr">I was provided:<div>







<p class="m_3359663181942324488gmail-p1">Audience URL <a href="https://www.facebook.com/company/1077798945674112" target="_blank">https://www.facebook.com/<wbr>company/1077798945674112</a></p>
<p class="m_3359663181942324488gmail-p1">Recipient URL <a href="https://alaska.facebook.com/work/saml.php" target="_blank">https://alaska.facebook.<wbr>com/work/saml.php</a></p>
<p class="m_3359663181942324488gmail-p1">ACS (Assertion Consumer Service) URL <a href="https://alaska.facebook.com/work/saml.php" target="_blank">https://alaska.facebook.<wbr>com/work/saml.php</a></p><p class="m_3359663181942324488gmail-p1">I'm guessing Recipient is entityID</p><span class="HOEnZb"><font color="#888888"><p class="m_3359663181942324488gmail-p1">db</p></font></span></div></div><div class="HOEnZb"><div class="h5"><div class="gmail_extra"><br><div class="gmail_quote">On Wed, Nov 2, 2016 at 3:22 PM, Cantor, Scott <span dir="ltr"><<a href="mailto:cantor.2@osu.edu" target="_blank">cantor.2@osu.edu</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><span>> WORKPLACE BY FACEBOOK apparently deploys simpleSAML PHP / SAML 2.0<br>
> for SSO but provides minimal documentation. No metadata or certificate, no<br>
> attribute requirements, etc.<br>
<br>
</span>The bare minimum is the endpoint, if the implementation is broken and doesn't check Audience conditions. That's not per se a security hole unless they also don't check the Recipient attribute, but that takes some dedicated pen-testing to determine. I have done integrations that did not have an entityID and worked like that, though after reporting it I was able to get them to configure one (in their view, the audience to check for).<br>
<br>
When in doubt, stick whatever the user identifier has to be in the NameID and see if it works, assuming you know the endpoint to create the metadata around.<br>
<br>
It is less work to just experiment, which takes a few minutes, than worry about getting all the details right.<br>
<span class="m_3359663181942324488HOEnZb"><font color="#888888"><br>
-- Scott<br>
<br>
<br>
--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net" target="_blank">users-unsubscribe@shibboleth.n<wbr>et</a><br>
</font></span></blockquote></div><br></div>
</div></div><br>--<br>
To unsubscribe from this list send an email to <a href="mailto:users-unsubscribe@shibboleth.net">users-unsubscribe@shibboleth.<wbr>net</a><br></blockquote></div><br></div>