SSO-Anmeldeprobleme beheben
Jede einzelne Anmeldemeldung in Clevera, ihre Ursache und wie du sie behebst: auf der Anmeldeseite, nach deinem Identitätsanbieter, beim Speichern der Einrichtung, beim **Run test** und beim Abmelden.
Dieser Artikel listet jede Meldung auf, die Clevera zum Thema Single Sign-On (SSO) anzeigt, sowie deren Ursache und Lösung: auf der Anmeldeseite, nachdem dein Identitätsanbieter (IdP) jemanden zurückgeleitet hat, beim Speichern der Einrichtung und beim Run test.
Die meisten Anmeldeprobleme haben eine von fünf Ursachen: Die E-Mail-Domain der Person steht nicht auf deiner Liste, sie hat bereits ein Clevera-Konto außerhalb deines Arbeitsbereichs, der IdP signiert nur einen Teil der SAML-Antwort, ein Wert wurde falsch kopiert oder die Anmeldung wurde woanders als auf der Clevera-Anmeldeseite gestartet.
Schnelle Überprüfungen
| Überprüfung | Ort |
|---|---|
| Enable SSO ist aktiviert und der Status lautet Active | Team settings → Security |
| Die exakte E-Mail-Domain der Person steht unter Allowed email domains (Subdomains zählen separat) | Team settings → Security |
| Die Person ist in deinem IdP der App zugewiesen | Dein IdP |
| Die Person ist Mitglied deines Arbeitsbereichs oder hat noch kein Clevera-Konto | Team settings → Members |
| Sie haben auf der Clevera-Anmeldeseite begonnen und ihre geschäftliche E-Mail-Adresse eingegeben, nicht über eine Kachel im Dashboard deines IdP | Die Anmeldeseite |
| Der Arbeitsbereich nutzt noch einen Custom-Plan | Billing |
Die Anmeldeseite bietet kein SSO an
Wenn jemand seine E-Mail-Adresse eingibt, zeigt die Anmeldeseite „Your organization uses Okta“ (der Name deines Anbieters oder „SSO“ für einen benutzerdefinierten Anbieter) und eine Continue with-Schaltfläche an, sobald die Domain erkannt wurde. Wenn dies nicht erscheint:
- Die Domain ist nicht unter Allowed email domains eingetragen oder die E-Mail-Adresse enthält einen Tippfehler.
- Enable SSO ist deaktiviert oder die Konfiguration ist nicht vollständig.
- Der Arbeitsbereich hat keinen Plan mehr, der SSO beinhaltet.
Das Klicken auf die Clevera-Kachel im IdP führt nicht zur Anmeldung
Clevera akzeptiert nur Anmeldungen, die auf der Clevera-Anmeldeseite gestartet wurden. Wenn jemand auf die Clevera-Kachel im Okta-Dashboard, in Microsoft My Apps oder im Google-App-Menü klickt, sendet der IdP eine Antwort, die Clevera nie angefordert hat. Clevera lehnt diese ab und zeigt die Anmeldeseite mit „SSO session expired. Please try again.“ an.
Dies ist beabsichtigt: Jede SAML-Anmeldung ist an den Browser gebunden, in dem sie gestartet wurde, und kann nur einmal verwendet werden, damit niemand seine eigene Anmeldung in den Browser einer anderen Person einschleusen kann. Bitte die Benutzer, die Clevera-Anmeldeseite aufzurufen, ihre geschäftliche E-Mail-Adresse einzugeben und auf Continue with [dein Anbieter] zu klicken. Du kannst die Kachel in deinem IdP ausblenden, damit niemand versucht, sie zu nutzen.
Meldungen auf der Anmeldeseite
| Meldung | Ursache | Lösung |
|---|---|---|
| "No SSO sign-in is available for this email address. Use your regular sign-in method instead." | Keine aktive SSO-Verbindung für die Domain dieser E-Mail-Adresse. | Domain prüfen und Enable SSO aktivieren. |
| "SSO is not available for this team. The team subscription may have changed." | Der Plan des Arbeitsbereichs beinhaltet kein SSO mehr. | Kontaktiere uns bezüglich deines Custom-Plans. Mitglieder nutzen in der Zwischenzeit ihr Passwort oder Forgot password?. |
| "Please enter a valid email address." | Die E-Mail-Adresse ist ungültig. | Erneut eingeben. |
| "Failed to initiate SSO login. Please try again or use email/password." | Clevera konnte die Anmeldeanfrage nicht erstellen, meist weil eine OIDC-Discovery-URL aktuell nicht geladen werden kann. | Klicke auf Run test. Prüfe, ob die Discovery URL öffentlich und korrekt ist. |
| "We couldn't start single sign-on. Try again." | Die Anfrage ist fehlgeschlagen oder es gab zu viele Versuche innerhalb einer Minute. | Eine Minute warten und erneut versuchen. |
| "We couldn't reach Clevera. Check your connection and try again." | Keine Verbindung zu Clevera. | Netzwerk oder VPN prüfen. |
| "Your organization requires Single Sign-On. Use the SSO button to continue." | Ein Mitglied hat versucht, sich mit Passwort anzumelden, während Require SSO aktiviert ist. | Nutze Continue with [dein Anbieter]. |
| "Your organization requires Single Sign-On. Please use the SSO option on the login page." | Ein Mitglied oder eine neue Person mit deiner Domain hat Continue with Google versucht, während Require SSO aktiviert ist. | Geschäftliche E-Mail-Adresse eingeben und den SSO-Button nutzen. |
Wenn Require SSO aktiviert ist, blendet die Anmeldeseite außerdem Create an account für Adressen deiner Domains aus.
Auf der Registrierungsseite
| Meldung | Ursache | Lösung |
|---|---|---|
| "Your organization signs in with single sign-on (SSO). Go to Sign in, enter this email and choose Continue with SSO." | Jemand mit einer Domain, für die Require SSO gilt, hat versucht, ein Konto mit Passwort zu erstellen. | Gehe zur Anmeldeseite, gib die geschäftliche E-Mail-Adresse ein und klicke auf Continue with [dein Anbieter]. Das Konto wird bei der ersten SSO-Anmeldung erstellt, wenn Create accounts on first sign-in aktiviert ist; andernfalls muss der Inhaber die Person zuerst einladen. |
Meldungen nach dem Identitätsanbieter
Diese erscheinen oben auf der Clevera-Anmeldeseite, wenn der IdP die Person zurückleitet.
| Meldung | Ursache | Lösung |
|---|---|---|
| "SSO session expired. Please try again." | Clevera konnte die Antwort nicht einer gestarteten Anmeldung zuordnen. Meist hat die Person auf die Clevera-Kachel im IdP-Dashboard geklickt, den Browser gewechselt, die Zurück-Taste benutzt, die Seite neu geladen oder brauchte länger als 10 Minuten beim IdP. | Starte erneut von der Clevera-Anmeldeseite im selben Browser. Siehe Klicken auf die Clevera-Kachel. |
| "SSO session validation failed. Please try again." | Nur OIDC. Die Antwort gehört zu einem anderen Anmeldeversuch, z. B. durch die Zurück-Taste oder Anmeldung in zwei Tabs. | Andere Clevera-Anmeldetabs schließen und neu starten. |
| "SSO authentication was cancelled or denied. Please try again." | Nur OIDC. Der IdP hat einen Fehler zurückgegeben: Die Person hat abgebrochen, ist der App nicht zugewiesen oder hat die Zustimmung verweigert. | Weise die Person im IdP der App zu; erneut versuchen. |
| "No authorization code received." | Nur OIDC. Der IdP hat keinen Anmeldecode gesendet. | Prüfe, ob die App auf den Grant-Typ Authorization Code eingestellt ist. |
| "SSO configuration not found or disabled." | SSO wurde deaktiviert oder entfernt, während sich die Person anmelden wollte. | Aktiviere Enable SSO wieder. |
| "Your email domain is not authorized for this team's SSO." | Die vom IdP gesendete E-Mail-Adresse verwendet eine Domain, die nicht unter Allowed email domains steht. Häufig bei Aliasen, sekundären Domains oder einem Anmeldenamen, der von der E-Mail abweicht. | Domain hinzufügen oder ändern, was der IdP als E-Mail sendet (Name ID oder email-Claim). |
| "This account is no longer available." | Das Konto wird gelöscht. | Anmeldung nicht mehr möglich. Andere E-Mail verwenden. |
| "SSO authentication failed. Please contact your team administrator or use another sign-in method." | Die Antwort wurde abgelehnt. Siehe die Ursachen unten. | Gehe die Liste unten durch. |
"SSO authentication failed"
Diese Meldung deckt alle Fälle ab, in denen Clevera die Antwort ablehnt. Überprüfe daher diese Punkte in der angegebenen Reihenfolge:
| Ursache | Lösung |
|---|---|
| Die Person hat bereits ein Clevera-Konto, ist aber kein Mitglied deines Arbeitsbereichs. SSO übernimmt niemals ein externes Konto. | Lade sie ein. Sobald sie akzeptiert, funktioniert SSO. |
| Die Person hat kein Konto und Create accounts on first sign-in ist deaktiviert. | Lade sie ein oder aktiviere die Einstellung. |
| Der Inhaber meldet sich über eine Verbindung an, die jemand anderes gespeichert hat (z. B. nach einer Übertragung der Inhaberschaft). | Der aktuelle Inhaber öffnet Edit und speichert die Verbindung einmal. Bis dahin mit Passwort anmelden. |
| SAML: Nur die Assertion (oder nur die Antwort) ist signiert. | IdP so einstellen, dass beides signiert wird. |
| SAML: Das Zertifikat in Clevera ist nicht das aktuelle Signaturzertifikat des IdP. | Aktuelles Zertifikat einfügen (Edit → Schritt 2) und speichern. |
| SAML: Die Audience oder der Empfänger des IdP stimmt nicht überein. | Die Audience muss exakt der Entity ID / Audience URI von Clevera entsprechen, der Empfänger oder das Ziel exakt https://app.clevera.ai/sso/saml/callback. |
| SAML: Die Assertion ist verschlüsselt. | Assertion-Verschlüsselung deaktivieren. |
SAML: Keine E-Mail. Die Name ID ist keine E-Mail und es gibt kein email-Attribut. |
Name ID-Format auf EmailAddress mit der E-Mail der Person setzen. |
| SAML: Die IdP Entity ID in Clevera stimmt nicht mit dem Issuer in der Antwort überein. | Issuer erneut aus dem IdP kopieren. |
| OIDC: Client Secret ist falsch/abgelaufen oder Redirect URI stimmt nicht. | Neues Secret einfügen (Edit); die Redirect URI muss exakt der Redirect URI (callback URL) aus dem Einrichtungsdialog entsprechen, https://app.clevera.ai/sso/oidc/callback. |
OIDC: Keine gültige E-Mail in den email, preferred_username oder upn-Claims. |
E-Mail-Claim im IdP hinzufügen oder der Person eine E-Mail-Adresse geben. |
| OIDC: Der Issuer stimmt nicht mit der Discovery-URL überein (z. B. Multi-Tenant-URL). | Discovery-URL deines eigenen Tenants verwenden. |
Wenn dein IdP seine OIDC-Signaturschlüssel rotiert, ruft Clevera die neuen Schlüssel einmal ab, bevor eine Anmeldung abgelehnt wird. Die Rotation allein führt also nicht zu dieser Meldung.
Falls nichts davon zutrifft, kontaktiere den Support mit der E-Mail-Adresse, bei der der Fehler aufgetreten ist, und dem Zeitpunkt des Versuchs. Wir können den genauen Grund in unseren Protokollen einsehen.
Meldungen während der Einrichtung
| Meldung | Lösung |
|---|---|
| "SSO is available on the Custom plan." | Wird angezeigt, wenn du speicherst, während der Workspace keinen Custom-Plan hat, zum Beispiel nach einer Planänderung bei geöffneter Seite. Kontaktiere uns, um SSO hinzuzufügen. |
| "Identity provider Entity ID is required." / "Identity Provider Entity ID is required." | Gib die IdP Entity ID ein. |
| "SSO sign-in URL is required." / "Identity Provider SSO URL is required." | Gib die SSO-Anmelde-URL ein. |
| "SSO sign-in URL must be a valid URL." / "Logout URL must be a valid URL." | Füge die vollständige Adresse ein, beginnend mit https://. |
| "X.509 certificate is required." / "An IdP certificate is required." | Füge das Signaturzertifikat des IdP ein. |
| "Client ID is required." / "OIDC Client ID is required." | Gib die Client ID ein. |
| "Client secret is required." / "OIDC Client Secret is required." | Gib das Client secret ein. |
| "A valid authorization URL is required." / "A valid token URL is required." | Gib die Endpunkte oder stattdessen eine Discovery URL ein. |
| "Discovery URL must be a valid URL." / "UserInfo URL must be a valid URL." | Füge die vollständige Adresse ein. |
| "Add at least one allowed domain." | Füge eine Domain unter Zulässige E-Mail-Domains hinzu. |
| "Enter a company domain such as example.com." | Gib nur die Domain ein, zum Beispiel acme.example. |
| "This domain is already on the list." | Sie wurde bereits hinzugefügt. |
| "The domain acme.example is already assigned to another team." | Ein anderer Clevera-Workspace verwendet diese Domain. Kontaktiere den Support, falls es deine ist. |
| "Automatically provisioned users cannot be granted the Administrator role by default." | Wähle Bearbeiter oder Content-Ersteller oder deaktiviere Konten bei der ersten Anmeldung erstellen. |
| "Fix the highlighted fields before saving." | Der Dialog springt zu dem Schritt mit dem Problem. |
| "Finish the SSO configuration before enabling sign-in for your team." | Fülle die erforderlichen Felder aus und schalte dann SSO aktivieren ein. |
| "SSO must be enabled before enforcement can be turned on." | Schalte zuerst SSO aktivieren ein. |
| "Only the team owner can change SSO settings." | Frage den Inhaber. Administratoren können SSO-Einstellungen nicht ändern. |
| "SSO settings did not load" | Klicke auf Erneut versuchen oder lade die Seite neu. |
| "Copying is blocked here. Select the value instead." | Dein Browser hat die Kopier-Schaltfläche blockiert. Markiere den Text und kopiere ihn manuell. |
Testergebnisse ausführen
Test ausführen überprüft die gespeicherten Einstellungen, nicht eine echte Anmeldung. Es zeigt "SSO configuration is valid and ready to use." oder "SSO configuration has issues that need to be resolved." mit folgenden Problemen:
| Problem | Lösung |
|---|---|
| "IdP Entity ID is required." / "IdP SSO URL is required." / "IdP X.509 certificate is required." | Fülle das fehlende SAML-Feld aus. |
| "IdP SSO URL is not a valid URL." | Füge die vollständige Anmelde-URL ein. |
| "IdP certificate is not a valid X.509 certificate." | Füge den Base64 (PEM)-Text des Zertifikats ein, keine Binärdatei oder einen Fingerabdruck. |
| "IdP certificate has expired." | Besorge das aktuelle Signaturzertifikat des IdP und füge es ein. |
| "OIDC Client ID is required." / "OIDC Client Secret is required." | Fülle das fehlende OIDC-Feld aus. |
| "Either a Discovery URL or manual endpoint URLs are required." | Füge eine Discovery URL oder die Endpunkte hinzu. |
| "Discovery URL is not a valid URL." | Füge die vollständige Adresse ein. |
| "Could not load the OIDC discovery document. Check that the URL is correct and publicly reachable over HTTPS." | Öffne die URL in einem Browser; sie sollte JSON anzeigen. Sie muss aus dem Internet erreichbar sein, nicht nur innerhalb deines Netzwerks. |
| "Discovery document does not contain an authorization endpoint." | Die URL ist keine OpenID-Konfiguration. Verwende diejenige, die auf /.well-known/openid-configuration endet. |
| "No SSO configuration found. Please configure SSO first." | Speichere zuerst eine Konfiguration. |
| "The test could not run." | Überprüfe deine Verbindung und versuche es erneut. |
Abmelden
| Meldung | Bedeutung |
|---|---|
| "You have been signed out via SSO." | Dein IdP hat dich bei Clevera abgemeldet (SAML Single Logout). |
| "Single Logout is not available for this session." | Der IdP hat eine Abmeldeanfrage gesendet, aber SAML Single Logout ist für deinen Workspace nicht eingerichtet (keine Logout-URL). |
| "Single Logout could not be completed." | Die Abmeldeanfrage konnte nicht verifiziert werden. Melde dich direkt bei Clevera ab. |
Andere Situationen
Jemand, den du im IdP entfernt hast, ist noch angemeldet. Clevera synchronisiert keine Benutzer von deinem IdP, und SSO-Sitzungen bleiben angemeldet, bis die Person sich abmeldet. Entferne sie unter Teameinstellungen → Mitglieder.
Jemand mit deiner Domain hat sich vor dem Beitritt mit einem Passwort registriert. Sein Konto befindet sich außerhalb deines Workspaces, daher lehnt SSO es ab. Lade die Person ein; nachdem sie akzeptiert hat, funktioniert SSO, und wenn SSO erzwingen aktiviert ist, funktioniert das Passwort nicht mehr.
Ein neues SSO-Mitglied ist Bearbeiter, nicht Content-Ersteller. Deine Standardrolle ist Content-Ersteller, aber jeder Ersteller-Platz war belegt, als sich die Person zum ersten Mal angemeldet hat, also ist sie als Bearbeiter beigetreten. Füge einen Platz hinzu und ändere dann die Rolle unter Teameinstellungen → Mitglieder.
Ein durch SSO erstelltes Mitglied benötigt ein Passwort (SSO wurde deaktiviert oder dein Plan hat sich geändert). Die Person klickt auf der Anmeldeseite auf Passwort vergessen?, um eines festzulegen.
Anmeldung in der Desktop-App mit SSO. Die Desktop-App öffnet die Anmeldeseite in deinem Browser. Gib deine geschäftliche E-Mail-Adresse ein, klicke auf Weiter mit deinem Anbieter und melde dich bei deinem IdP an: Der Browser leitet dich dann zurück zur App. Falls nicht, starte die Anmeldung in der App erneut; da der Browser nun angemeldet ist, erfolgt die Verbindung sofort. Siehe Anmeldung in der Desktop-App.