Résoudre les problèmes de connexion SSO
Tous les messages de connexion unique dans Clevera, leurs causes et comment les résoudre : sur la page de connexion, après votre fournisseur d'identité, lors de l'enregistrement de la configuration, dans Exécuter le test, et lors de la déconnexion.
Cet article répertorie tous les messages que Clevera affiche concernant la connexion unique (SSO), leurs causes et comment les résoudre : sur la page de connexion, après que votre fournisseur d'identité (IdP) a renvoyé l'utilisateur, lors de l'enregistrement de la configuration et dans Exécuter le test.
La plupart des problèmes de connexion proviennent de l'une des cinq causes suivantes : le domaine e-mail de la personne ne figure pas sur votre liste, elle possède déjà un compte Clevera en dehors de votre espace de travail, l'IdP ne signe qu'une partie de la réponse SAML, une valeur a été mal copiée, ou la connexion a été initiée ailleurs que sur la page de connexion Clevera.
Vérifications rapides
| Vérification | Emplacement |
|---|---|
| Activer le SSO est activé et le badge indique Actif | Paramètres de l'équipe → Sécurité |
| Le domaine e-mail exact de la personne figure dans Domaines e-mail autorisés (les sous-domaines comptent séparément) | Paramètres de l'équipe → Sécurité |
| La personne est affectée à l'application dans votre IdP | Votre IdP |
| La personne est membre de votre espace de travail ou n'a pas encore de compte Clevera | Paramètres de l'équipe → Membres |
| Elle a commencé sur la page de connexion Clevera et a saisi son e-mail professionnel, et non sur une tuile dans le tableau de bord de votre IdP | La page de connexion |
| L'espace de travail est toujours sur un forfait Personnalisé | Facturation |
La page de connexion ne propose pas le SSO
Lorsqu'une personne saisit son e-mail, la page de connexion affiche « Votre organisation utilise Okta » (le nom de votre fournisseur, ou « SSO » pour un fournisseur personnalisé) et un bouton Continuer avec une fois le domaine reconnu. Si cela n'apparaît pas :
- Le domaine ne figure pas dans Domaines e-mail autorisés, ou il y a une faute de frappe dans l'e-mail.
- Activer le SSO est désactivé, ou la configuration n'est pas terminée.
- L'espace de travail n'est plus sur un forfait incluant le SSO.
Cliquer sur la tuile Clevera dans votre IdP ne permet pas de se connecter
Clevera n'accepte que les connexions initiées sur la page de connexion Clevera. Lorsqu'une personne clique sur la tuile Clevera dans le tableau de bord Okta, dans Microsoft My Apps ou dans le menu des applications Google, l'IdP envoie une réponse que Clevera n'a jamais demandée. Clevera la refuse et affiche sa page de connexion avec le message « Session SSO expirée. Veuillez réessayer. »
Ceci est intentionnel : chaque connexion SAML est liée au navigateur qui l'a initiée et ne peut être utilisée qu'une seule fois, afin que personne ne puisse insérer sa propre connexion dans le navigateur d'un autre. Demandez aux utilisateurs de se rendre sur la page de connexion Clevera, de saisir leur e-mail professionnel et de cliquer sur Continuer avec votre fournisseur. Vous pouvez masquer la tuile dans votre IdP pour éviter toute tentative.
Messages sur la page de connexion
| Message | Cause | Solution |
|---|---|---|
| « Aucune connexion SSO n'est disponible pour cette adresse e-mail. Utilisez plutôt votre méthode de connexion habituelle. » | Aucune connexion SSO active ne couvre le domaine de cet e-mail. | Vérifiez le domaine et Activer le SSO. |
| « Le SSO n'est pas disponible pour cette équipe. L'abonnement de l'équipe a peut-être changé. » | Le forfait de l'espace de travail n'inclut plus le SSO. | Contactez-nous concernant votre forfait Personnalisé. En attendant, les membres utilisent leur mot de passe ou Mot de passe oublié ?. |
| « Veuillez saisir une adresse e-mail valide. » | Le champ e-mail n'est pas une adresse valide. | Saisissez-la à nouveau. |
| « Échec de l'initialisation de la connexion SSO. Veuillez réessayer ou utiliser l'e-mail/mot de passe. » | Clevera n'a pas pu créer la demande de connexion, généralement parce qu'une URL de découverte OIDC ne peut pas être chargée pour le moment. | Cliquez sur Exécuter le test. Vérifiez que l'URL de découverte est publique et correcte. |
| « Nous n'avons pas pu démarrer la connexion unique. Réessayez. » | La demande a échoué ou il y a eu trop de tentatives en une minute. | Attendez une minute et réessayez. |
| « Nous n'avons pas pu joindre Clevera. Vérifiez votre connexion et réessayez. » | Aucune connexion à Clevera. | Vérifiez le réseau ou le VPN. |
| « Votre organisation exige la connexion unique. Utilisez le bouton SSO pour continuer. » | Un membre a essayé son mot de passe alors que Exiger le SSO est activé. | Utilisez Continuer avec votre fournisseur. |
| « Votre organisation exige la connexion unique. Veuillez utiliser l'option SSO sur la page de connexion. » | Un membre, ou une nouvelle personne sur votre domaine, a essayé Continuer avec Google alors que Exiger le SSO est activé. | Saisissez l'e-mail professionnel et utilisez le bouton SSO. |
Lorsque Exiger le SSO est activé, la page de connexion masque également Créer un compte pour les adresses sur vos domaines.
Sur la page d'inscription
| Message | Cause | Solution |
|---|---|---|
| « Votre organisation se connecte avec la connexion unique (SSO). Allez sur Connexion, saisissez cet e-mail et choisissez Continuer avec SSO. » | Une personne sur un domaine avec Exiger le SSO activé a tenté de créer un compte avec un mot de passe. | Allez sur la page de connexion, saisissez l'e-mail professionnel et cliquez sur Continuer avec votre fournisseur. Le compte est créé lors de la première connexion SSO si Créer des comptes lors de la première connexion est activé ; sinon, le propriétaire doit d'abord les inviter. |
Messages après le fournisseur d'identité
Ces messages apparaissent en haut de la page de connexion Clevera lorsque l'IdP renvoie la personne.
| Message | Cause | Solution |
|---|---|---|
| « Session SSO expirée. Veuillez réessayer. » | Clevera n'a pas pu faire correspondre la réponse à une connexion qu'elle a initiée. Généralement, la personne a cliqué sur la tuile Clevera du tableau de bord de l'IdP, a changé de navigateur, a utilisé le bouton retour ou a actualisé pour renvoyer la connexion, ou a pris plus de 10 minutes sur l'IdP. | Recommencez depuis la page de connexion Clevera dans le même navigateur. Voir Cliquer sur la tuile Clevera. |
| « Échec de la validation de la session SSO. Veuillez réessayer. » | OIDC uniquement. La réponse appartient à une autre tentative de connexion, par exemple après avoir utilisé le bouton retour ou s'être connecté depuis deux onglets. | Fermez les autres onglets de connexion Clevera et recommencez. |
| « L'authentification SSO a été annulée ou refusée. Veuillez réessayer. » | OIDC uniquement. L'IdP a renvoyé une erreur : la personne a annulé, n'est pas affectée à l'application, ou le consentement a été refusé. | Affectez-la à l'application dans votre IdP ; réessayez. |
| « Aucun code d'autorisation reçu. » | OIDC uniquement. L'IdP est revenu sans code de connexion. | Vérifiez que l'application est définie sur l'octroi Code d'autorisation. |
| « Configuration SSO introuvable ou désactivée. » | Le SSO a été désactivé ou supprimé pendant que la personne se connectait. | Réactivez Activer le SSO. |
| « Votre domaine e-mail n'est pas autorisé pour le SSO de cette équipe. » | L'e-mail envoyé par l'IdP utilise un domaine qui ne figure pas dans Domaines e-mail autorisés. Courant avec les alias, les domaines secondaires ou un nom de connexion différent de l'e-mail. | Ajoutez le domaine ou modifiez ce que l'IdP envoie comme e-mail (Name ID ou revendication email). |
| « Ce compte n'est plus disponible. » | Le compte est en cours de suppression. | Il ne peut plus se connecter. Utilisez un autre e-mail. |
| « Échec de l'authentification SSO. Veuillez contacter l'administrateur de votre équipe ou utiliser une autre méthode de connexion. » | La réponse a été refusée. Voir les causes ci-dessous. | Parcourez la liste ci-dessous. |
« Échec de l'authentification SSO »
Ce message couvre tous les cas où Clevera refuse la réponse, vérifiez donc ces points dans l'ordre :
| Cause | Solution |
|---|---|
| La personne possède déjà un compte Clevera mais n'est pas membre de votre espace de travail. Le SSO ne prend jamais le contrôle d'un compte externe. | Invitez-les. Une fois qu'ils acceptent, le SSO fonctionne. |
| La personne n'a pas de compte et Créer des comptes lors de la première connexion est désactivé. | Invitez-les ou activez le paramètre. |
| Le propriétaire se connecte via une connexion enregistrée par quelqu'un d'autre (par exemple après un transfert de propriété). | Le propriétaire actuel ouvre Modifier et enregistre la connexion une fois. D'ici là, connectez-vous avec le mot de passe. |
| SAML : seule l'assertion (ou seule la réponse) est signée. | Faites en sorte que l'IdP signe les deux. |
| SAML : le certificat dans Clevera n'est pas le certificat de signature actuel de l'IdP. | Collez le certificat actuel (Modifier → étape 2) et enregistrez. |
| SAML : l'audience ou le destinataire de l'IdP ne correspond pas. | L'audience doit être exactement l'ID d'entité / URI d'audience de Clevera, et le destinataire ou la destination exactement https://app.clevera.ai/sso/saml/callback. |
| SAML : l'assertion est chiffrée. | Désactivez le chiffrement de l'assertion. |
SAML : pas d'e-mail. Le Name ID n'est pas un e-mail et il n'y a pas d'attribut email. |
Définissez le format Name ID sur EmailAddress avec l'e-mail de la personne. |
| SAML : l'ID d'entité IdP dans Clevera ne correspond pas à l'émetteur dans la réponse. | Copiez à nouveau l'émetteur depuis l'IdP. |
| OIDC : le secret client est erroné ou expiré, ou l'URI de redirection ne correspond pas. | Collez un nouveau secret (Modifier) ; l'URI de redirection doit être exactement l'URI de redirection (URL de rappel) affiché dans la boîte de dialogue de configuration, https://app.clevera.ai/sso/oidc/callback. |
OIDC : aucun e-mail valide dans les revendications email, preferred_username ou upn. |
Ajoutez la revendication e-mail dans votre IdP ou donnez une adresse e-mail à la personne. |
| OIDC : l'émetteur ne correspond pas à l'URL de découverte, par exemple une URL multi-locataire. | Utilisez l'URL de découverte de votre propre locataire. |
Lorsque votre IdP fait pivoter ses clés de signature OIDC, Clevera récupère les nouvelles clés une fois avant de refuser une connexion, donc la rotation seule ne provoque pas ce message.
Si rien de tout cela ne correspond, contactez le support avec l'adresse e-mail ayant échoué et l'heure de la tentative. Nous pouvons voir la raison exacte dans nos journaux.
Messages lors de la configuration
| Message | Solution |
|---|---|
| "SSO is available on the Custom plan." | S'affiche lorsque vous enregistrez alors que l'espace de travail n'est pas sur un forfait Custom, par exemple après un changement de forfait alors que la page était ouverte. Contactez-nous pour ajouter le SSO. |
| "Identity provider Entity ID is required." / "Identity Provider Entity ID is required." | Remplissez l'IdP Entity ID. |
| "SSO sign-in URL is required." / "Identity Provider SSO URL is required." | Remplissez l'SSO sign-in URL. |
| "SSO sign-in URL must be a valid URL." / "Logout URL must be a valid URL." | Collez l'adresse complète, commençant par https://. |
| "X.509 certificate is required." / "An IdP certificate is required." | Collez le certificat de signature de l'IdP. |
| "Client ID is required." / "OIDC Client ID is required." | Remplissez le Client ID. |
| "Client secret is required." / "OIDC Client Secret is required." | Remplissez le Client secret. |
| "A valid authorization URL is required." / "A valid token URL is required." | Remplissez les points de terminaison, ou une Discovery URL à la place. |
| "Discovery URL must be a valid URL." / "UserInfo URL must be a valid URL." | Collez l'adresse complète. |
| "Add at least one allowed domain." | Ajoutez un domaine sous Allowed email domains. |
| "Enter a company domain such as example.com." | Tapez uniquement le domaine, par exemple acme.example. |
| "This domain is already on the list." | Il est déjà ajouté. |
| "The domain acme.example is already assigned to another team." | Un autre espace de travail Clevera utilise ce domaine. Contactez le support s'il s'agit du vôtre. |
| "Automatically provisioned users cannot be granted the Administrator role by default." | Choisissez Éditeur ou Créateur de contenu, ou désactivez Create accounts on first sign-in. |
| "Fix the highlighted fields before saving." | La boîte de dialogue passe à l'étape posant problème. |
| "Finish the SSO configuration before enabling sign-in for your team." | Remplissez les champs requis, puis activez Enable SSO. |
| "SSO must be enabled before enforcement can be turned on." | Activez d'abord Enable SSO. |
| "Only the team owner can change SSO settings." | Demandez au propriétaire. Les administrateurs ne peuvent pas modifier les paramètres SSO. |
| "SSO settings did not load" | Cliquez sur Réessayer, ou rechargez la page. |
| "Copying is blocked here. Select the value instead." | Votre navigateur a bloqué le bouton de copie. Sélectionnez le texte et copiez-le manuellement. |
Résultats du test d'exécution
Run test vérifie les paramètres enregistrés, pas une connexion réelle. Il affiche "SSO configuration is valid and ready to use." ou "SSO configuration has issues that need to be resolved." avec les problèmes suivants :
| Problème | Solution |
|---|---|
| "IdP Entity ID is required." / "IdP SSO URL is required." / "IdP X.509 certificate is required." | Remplissez le champ SAML manquant. |
| "IdP SSO URL is not a valid URL." | Collez l'URL de connexion complète. |
| "IdP certificate is not a valid X.509 certificate." | Collez le texte Base64 (PEM) du certificat, pas un fichier binaire ou une empreinte. |
| "IdP certificate has expired." | Obtenez le certificat de signature actuel de l'IdP et collez-le. |
| "OIDC Client ID is required." / "OIDC Client Secret is required." | Remplissez le champ OIDC manquant. |
| "Either a Discovery URL or manual endpoint URLs are required." | Ajoutez une Discovery URL, ou les points de terminaison. |
| "Discovery URL is not a valid URL." | Collez l'adresse complète. |
| "Could not load the OIDC discovery document. Check that the URL is correct and publicly reachable over HTTPS." | Ouvrez l'URL dans un navigateur ; elle doit afficher du JSON. Elle doit être accessible depuis Internet, pas seulement au sein de votre réseau. |
| "Discovery document does not contain an authorization endpoint." | L'URL n'est pas une configuration OpenID. Utilisez celle se terminant par /.well-known/openid-configuration. |
| "No SSO configuration found. Please configure SSO first." | Enregistrez d'abord une configuration. |
| "The test could not run." | Vérifiez votre connexion et réessayez. |
Déconnexion
| Message | Signification |
|---|---|
| "You have been signed out via SSO." | Votre IdP vous a déconnecté de Clevera (déconnexion unique SAML). |
| "Single Logout is not available for this session." | L'IdP a envoyé une demande de déconnexion, mais la déconnexion unique SAML n'est pas configurée pour votre espace de travail (pas de Logout URL). |
| "Single Logout could not be completed." | La demande de déconnexion n'a pas pu être vérifiée. Déconnectez-vous directement dans Clevera. |
Autres situations
Une personne que vous avez supprimée dans l'IdP est toujours connectée. Clevera ne synchronise pas les utilisateurs depuis votre IdP, et les sessions SSO restent actives jusqu'à ce que la personne se déconnecte. Supprimez-la dans Paramètres de l'équipe → Membres.
Une personne de votre domaine s'est inscrite avec un mot de passe avant de rejoindre. Son compte est en dehors de votre espace de travail, donc le SSO le refuse. Invitez-la ; une fois qu'elle aura accepté, le SSO fonctionnera et, avec Require SSO activé, son mot de passe cessera de fonctionner.
Un nouveau membre SSO est un Éditeur, pas un Créateur de contenu. Votre rôle par défaut est Créateur de contenu, mais chaque siège de créateur était occupé lors de sa première connexion, il a donc rejoint en tant qu'Éditeur. Ajoutez un siège, puis modifiez son rôle dans Paramètres de l'équipe → Membres.
Un membre créé par SSO a besoin d'un mot de passe (le SSO a été désactivé, ou votre forfait a changé). Il clique sur Mot de passe oublié ? sur la page de connexion pour en définir un.
Connexion à l'application de bureau avec le SSO. L'application de bureau ouvre la page de connexion dans votre navigateur. Tapez votre e-mail professionnel, cliquez sur Continue with votre fournisseur et connectez-vous à votre IdP : le navigateur vous renvoie ensuite vers l'application. Si ce n'est pas le cas, recommencez la connexion dans l'application ; comme le navigateur est maintenant connecté, il se connecte immédiatement. Voir Sign in to the desktop app.