פתרון בעיות בכניסת SSO
כל הודעת כניסה יחידה (SSO) ב-Clevera, מה גורם לה ואיך לפתור אותה: בדף הכניסה, לאחר החזרה מספק הזהות, בזמן שמירת ההגדרה, ב-**Run test**, וביציאה מהמערכת.
מאמר זה מפרט את כל ההודעות ש-Clevera מציגה בנוגע לכניסה יחידה (SSO), מה גורם להן ואיך לפתור אותן: בדף הכניסה, לאחר שספק הזהות (IdP) שלכם מחזיר את המשתמש, בזמן שמירת ההגדרה, וב-Run test.
רוב בעיות הכניסה נובעות מאחת מחמש סיבות: דומיין האימייל של המשתמש אינו מופיע ברשימה שלכם, יש לו כבר חשבון Clevera מחוץ לסביבת העבודה שלכם, ה-IdP חותם רק על חלק מתגובת ה-SAML, ערך הועתק בצורה שגויה, או שהכניסה החלה במקום אחר ולא בדף הכניסה של Clevera.
בדיקות מהירות
| בדיקה | מיקום |
|---|---|
| Enable SSO מופעל והתגית מציגה פעיל | הגדרות צוות → אבטחה |
| דומיין האימייל המדויק של המשתמש נמצא ב-Allowed email domains (סאב-דומיינים נספרים בנפרד) | הגדרות צוות → אבטחה |
| המשתמש משויך לאפליקציה ב-IdP שלכם | ה-IdP שלכם |
| המשתמש הוא חבר בסביבת העבודה שלכם, או שאין לו עדיין חשבון Clevera | הגדרות צוות → חברים |
| המשתמש התחיל בדף הכניסה של Clevera והקליד את אימייל העבודה שלו, ולא דרך אריח בלוח הבקרה של ה-IdP | דף הכניסה |
| סביבת העבודה עדיין נמצאת בתוכנית Custom | חיובים |
דף הכניסה לא מציע SSO
כאשר משתמש מקליד את האימייל שלו, דף הכניסה מציג "Your organization uses Okta" (שם הספק שלכם, או "SSO" עבור ספק מותאם אישית) וכפתור Continue with ברגע שהוא מזהה את הדומיין. אם זה לא מופיע:
- הדומיין לא נמצא ב-Allowed email domains, או שיש שגיאת הקלדה באימייל.
- Enable SSO כבוי, או שההגדרה לא הושלמה.
- סביבת העבודה כבר לא נמצאת בתוכנית הכוללת SSO.
לחיצה על האריח של Clevera ב-IdP לא מבצעת כניסה
Clevera מקבלת רק כניסה שמתחילה בדף הכניסה של Clevera. כאשר משתמש לוחץ על האריח של Clevera בלוח הבקרה של Okta, ב-Microsoft My Apps או בתפריט האפליקציות של Google, ה-IdP שולח תגובה ש-Clevera מעולם לא ביקשה. Clevera מסרבת לה ומציגה את דף הכניסה שלה עם "SSO session expired. Please try again."
זה מכוון: כל כניסת SAML קשורה לדפדפן שהתחיל אותה וניתן להשתמש בה פעם אחת, כך שאף אחד לא יכול להחדיר את הכניסה שלו לדפדפן של מישהו אחר. בקשו מהמשתמשים לעבור לדף הכניסה של Clevera, להקליד את אימייל העבודה שלהם וללחוץ על Continue with הספק שלכם. ניתן להסתיר את האריח ב-IdP שלכם כדי שאף אחד לא ינסה להשתמש בו.
הודעות בדף הכניסה
| הודעה | סיבה | פתרון |
|---|---|---|
| "No SSO sign-in is available for this email address. Use your regular sign-in method instead." | אין חיבור SSO פעיל שמכסה את הדומיין של אימייל זה. | בדקו את הדומיין ו-Enable SSO. |
| "SSO is not available for this team. The team subscription may have changed." | התוכנית של סביבת העבודה כבר לא כוללת SSO. | צרו איתנו קשר בנוגע לתוכנית ה-Custom שלכם. בינתיים, חברים ישתמשו בסיסמה שלהם או ב-שכחת סיסמה?. |
| "Please enter a valid email address." | שדה האימייל אינו מכיל כתובת תקינה. | הקלידו מחדש. |
| "Failed to initiate SSO login. Please try again or use email/password." | Clevera לא הצליחה ליצור את בקשת הכניסה, בדרך כלל בגלל שכתובת ה-OIDC discovery לא ניתנת לטעינה כרגע. | לחצו על Run test. ודאו ש-Discovery URL ציבורי ותקין. |
| "We couldn't start single sign-on. Try again." | הבקשה נכשלה או שהיו יותר מדי ניסיונות בדקה. | המתינו דקה ונסו שוב. |
| "We couldn't reach Clevera. Check your connection and try again." | אין חיבור ל-Clevera. | בדקו את הרשת או ה-VPN. |
| "Your organization requires Single Sign-On. Use the SSO button to continue." | חבר ניסה להשתמש בסיסמה בזמן ש-Require SSO מופעל. | השתמשו ב-Continue with הספק שלכם. |
| "Your organization requires Single Sign-On. Please use the SSO option on the login page." | חבר, או מישהו חדש בדומיין שלכם, ניסה להשתמש ב-Continue with Google בזמן ש-Require SSO מופעל. | הקלידו את אימייל העבודה והשתמשו בכפתור ה-SSO. |
כאשר Require SSO מופעל, דף הכניסה גם מסתיר את יצירת חשבון עבור כתובות בדומיינים שלכם.
בדף ההרשמה
| הודעה | סיבה | פתרון |
|---|---|---|
| "Your organization signs in with single sign-on (SSO). Go to Sign in, enter this email and choose Continue with SSO." | מישהו בדומיין שבו Require SSO מופעל ניסה ליצור חשבון עם סיסמה. | עברו לדף הכניסה, הקלידו את אימייל העבודה ולחצו על Continue with הספק שלכם. החשבון נוצר בכניסת ה-SSO הראשונה אם Create accounts on first sign-in מופעל; אחרת, הבעלים מזמין אותם תחילה. |
הודעות לאחר ספק הזהות
אלו מופיעות בראש דף הכניסה של Clevera כאשר ה-IdP מחזיר את המשתמש.
| הודעה | סיבה | פתרון |
|---|---|---|
| "SSO session expired. Please try again." | Clevera לא הצליחה להתאים את התגובה לכניסה שהיא התחילה. בדרך כלל המשתמש לחץ על האריח של Clevera בלוח הבקרה של ה-IdP, החליף דפדפנים, השתמש בכפתור החזרה או רענן כדי לשלוח מחדש את הכניסה, או שהמתין יותר מ-10 דקות ב-IdP. | התחילו שוב מדף הכניסה של Clevera באותו דפדפן. ראו לחיצה על האריח של Clevera. |
| "SSO session validation failed. Please try again." | OIDC בלבד. התגובה שייכת לניסיון כניסה אחר, למשל לאחר שימוש בכפתור החזרה או כניסה משתי לשוניות. | סגרו לשוניות כניסה אחרות של Clevera והתחילו שוב. |
| "SSO authentication was cancelled or denied. Please try again." | OIDC בלבד. ה-IdP החזיר שגיאה: המשתמש ביטל, אינו משויך לאפליקציה, או שהסכמה סורבה. | שייכו אותם לאפליקציה ב-IdP שלכם; נסו שוב. |
| "No authorization code received." | OIDC בלבד. ה-IdP חזר ללא קוד כניסה. | בדקו שהאפליקציה מוגדרת ל-Authorization Code grant. |
| "SSO configuration not found or disabled." | ה-SSO כובה או הוסר בזמן שהמשתמש ניסה להיכנס. | הפעילו מחדש את Enable SSO. |
| "Your email domain is not authorized for this team's SSO." | האימייל שה-IdP שלח משתמש בדומיין שלא נמצא ב-Allowed email domains. נפוץ עם כינויים (aliases), דומיינים משניים, או שם כניסה ששונה מהאימייל. | הוסיפו את הדומיין, או שנו את מה שה-IdP שולח כאימייל (Name ID או email claim). |
| "This account is no longer available." | החשבון בתהליך מחיקה. | לא ניתן להיכנס שוב. השתמשו באימייל אחר. |
| "SSO authentication failed. Please contact your team administrator or use another sign-in method." | התגובה סורבה. ראו את הסיבות להלן. | עברו על הרשימה להלן. |
"SSO authentication failed"
הודעה זו מכסה כל מקרה שבו Clevera מסרבת לתגובה, לכן בדקו את אלו לפי הסדר:
| סיבה | פתרון |
|---|---|
| למשתמש כבר יש חשבון Clevera אך הוא אינו חבר בסביבת העבודה שלכם. SSO לעולם לא משתלט על חשבון חיצוני. | הזמינו אותם. ברגע שיאשרו, ה-SSO יעבוד. |
| למשתמש אין חשבון ו-Create accounts on first sign-in כבוי. | הזמינו אותם, או הפעילו את ההגדרה. |
| הבעלים נכנס דרך חיבור שמישהו אחר שמר (למשל לאחר העברת בעלות). | הבעלים הנוכחי פותח את עריכה ושומר את החיבור פעם אחת. עד אז, היכנסו עם הסיסמה. |
| SAML: רק ה-assertion (או רק התגובה) חתומים. | גרמו ל-IdP לחתום על שניהם. |
| SAML: האישור ב-Clevera אינו אישור החתימה הנוכחי של ה-IdP. | הדביקו את האישור הנוכחי (עריכה → שלב 2) ושמרו. |
| SAML: ה-audience או ה-recipient של ה-IdP לא תואמים. | ה-audience חייב להיות בדיוק ה-Entity ID / Audience URI של Clevera, וה-recipient או ה-destination בדיוק https://app.clevera.ai/sso/saml/callback. |
| SAML: ה-assertion מוצפן. | כבו את הצפנת ה-assertion. |
SAML: אין אימייל. ה-Name ID אינו אימייל ואין מאפיין email. |
הגדירו את פורמט ה-Name ID ל-EmailAddress עם האימייל של המשתמש. |
| SAML: ה-IdP Entity ID ב-Clevera לא תואם למנפיק (issuer) בתגובה. | העתיקו את המנפיק שוב מה-IdP. |
| OIDC: ה-client secret שגוי או פג תוקף, או שה-redirect URI לא תואם. | הדביקו secret חדש (עריכה); ה-redirect URI חייב להיות בדיוק ה-Redirect URI (callback URL) המוצג בדיאלוג ההגדרה, https://app.clevera.ai/sso/oidc/callback. |
OIDC: אין אימייל תקין ב-claims מסוג email, preferred_username או upn. |
הוסיפו את ה-email claim ב-IdP שלכם, או תנו למשתמש כתובת אימייל. |
| OIDC: המנפיק לא תואם ל-discovery URL, למשל כתובת multi-tenant. | השתמשו ב-discovery URL של ה-tenant שלכם. |
כאשר ה-IdP שלכם מחליף את מפתחות החתימה של ה-OIDC, Clevera מושכת את המפתחות החדשים פעם אחת לפני שהיא מסרבת לכניסה, כך שהחלפה בלבד לא גורמת להודעה זו.
אם אף אחד מאלה לא מתאים, צור קשר עם התמיכה עם כתובת האימייל שכשלה וזמן הניסיון. אנחנו יכולים לראות את הסיבה המדויקת ביומנים שלנו.
הודעות במהלך ההגדרה
| הודעה | פתרון |
|---|---|
| "SSO is available on the Custom plan." | מוצג כשאתה שומר בזמן שהסביבה אינה בתוכנית Custom, למשל לאחר שהתוכנית השתנתה כשהדף פתוח. צור קשר כדי להוסיף SSO. |
| "Identity provider Entity ID is required." / "Identity Provider Entity ID is required." | מלא את IdP Entity ID. |
| "SSO sign-in URL is required." / "Identity Provider SSO URL is required." | מלא את SSO sign-in URL. |
| "SSO sign-in URL must be a valid URL." / "Logout URL must be a valid URL." | הדבק את הכתובת המלאה, המתחילה ב-https://. |
| "X.509 certificate is required." / "An IdP certificate is required." | הדבק את תעודת החתימה של ה-IdP. |
| "Client ID is required." / "OIDC Client ID is required." | מלא את Client ID. |
| "Client secret is required." / "OIDC Client Secret is required." | מלא את Client secret. |
| "A valid authorization URL is required." / "A valid token URL is required." | מלא את נקודות הקצה (endpoints), או Discovery URL במקום. |
| "Discovery URL must be a valid URL." / "UserInfo URL must be a valid URL." | הדבק את הכתובת המלאה. |
| "Add at least one allowed domain." | הוסף דומיין תחת Allowed email domains. |
| "Enter a company domain such as example.com." | הקלד את הדומיין בלבד, למשל acme.example. |
| "This domain is already on the list." | הוא כבר נוסף. |
| "The domain acme.example is already assigned to another team." | סביבת עבודה אחרת ב-Clevera משתמשת בדומיין הזה. צור קשר עם התמיכה אם הוא שייך לך. |
| "Automatically provisioned users cannot be granted the Administrator role by default." | בחר עורך או יוצר תוכן, או כבה את Create accounts on first sign-in. |
| "Fix the highlighted fields before saving." | תיבת הדו-שיח קופצת לשלב עם הבעיה. |
| "Finish the SSO configuration before enabling sign-in for your team." | השלם את השדות הנדרשים, ולאחר מכן הפעל את Enable SSO. |
| "SSO must be enabled before enforcement can be turned on." | הפעל קודם את Enable SSO. |
| "Only the team owner can change SSO settings." | בקש מבעל הצוות. מנהלים אינם יכולים לשנות הגדרות SSO. |
| "SSO settings did not load" | לחץ על נסה שוב, או רענן את הדף. |
| "Copying is blocked here. Select the value instead." | הדפדפן שלך חסם את כפתור ההעתקה. בחר את הטקסט והעתק אותו ידנית. |
תוצאות הרצת בדיקה
Run test בודק את ההגדרות השמורות, לא כניסה אמיתית. הוא מציג "SSO configuration is valid and ready to use." או "SSO configuration has issues that need to be resolved." עם הבעיות הבאות:
| בעיה | פתרון |
|---|---|
| "IdP Entity ID is required." / "IdP SSO URL is required." / "IdP X.509 certificate is required." | מלא את שדה ה-SAML החסר. |
| "IdP SSO URL is not a valid URL." | הדבק את כתובת הכניסה המלאה. |
| "IdP certificate is not a valid X.509 certificate." | הדבק את טקסט ה-Base64 (PEM) של התעודה, לא קובץ בינארי או טביעת אצבע. |
| "IdP certificate has expired." | השג את תעודת החתימה הנוכחית של ה-IdP והדבק אותה. |
| "OIDC Client ID is required." / "OIDC Client Secret is required." | מלא את שדה ה-OIDC החסר. |
| "Either a Discovery URL or manual endpoint URLs are required." | הוסף Discovery URL, או את נקודות הקצה. |
| "Discovery URL is not a valid URL." | הדבק את הכתובת המלאה. |
| "Could not load the OIDC discovery document. Check that the URL is correct and publicly reachable over HTTPS." | פתח את הכתובת בדפדפן; היא אמורה להציג JSON. היא חייבת להיות נגישה מהאינטרנט, לא רק בתוך הרשת שלך. |
| "Discovery document does not contain an authorization endpoint." | הכתובת אינה הגדרת OpenID. השתמש בזו שמסתיימת ב-/.well-known/openid-configuration. |
| "No SSO configuration found. Please configure SSO first." | שמור הגדרה תחילה. |
| "The test could not run." | בדוק את החיבור שלך ונסה שוב. |
יציאה
| הודעה | משמעות |
|---|---|
| "You have been signed out via SSO." | ה-IdP שלך הוציא אותך מ-Clevera (יציאה יחידה של SAML). |
| "Single Logout is not available for this session." | ה-IdP שלח בקשת יציאה, אך יציאה יחידה של SAML אינה מוגדרת עבור סביבת העבודה שלך (אין Logout URL). |
| "Single Logout could not be completed." | לא ניתן היה לאמת את בקשת היציאה. צא מ-Clevera ישירות. |
מצבים אחרים
מישהו שהסרת ב-IdP עדיין מחובר. Clevera לא מסנכרנת משתמשים מה-IdP שלך, והפעלות SSO נשארות מחוברות עד שהאדם יוצא. הסר אותם ב-הגדרות צוות → חברים.
מישהו בדומיין שלך נרשם עם סיסמה לפני שהצטרף. החשבון שלו נמצא מחוץ לסביבת העבודה שלך, לכן ה-SSO מסרב לו. הזמן אותו; לאחר שיאשר, ה-SSO יעבוד, ועם Require SSO מופעל, הסיסמה שלו תפסיק לעבוד.
חבר SSO חדש הוא עורך, לא יוצר תוכן. תפקיד ברירת המחדל שלך הוא יוצר תוכן, אך כל המקומות ליוצרים היו תפוסים כשנכנס בפעם הראשונה, לכן הוא הצטרף כעורך. הוסף מקום, ולאחר מכן שנה את התפקיד שלו ב-הגדרות צוות → חברים.
חבר שנוצר על ידי SSO זקוק לסיסמה (SSO כובה, או שהתוכנית שלך השתנתה). הוא לוחץ על שכחת סיסמה? בדף הכניסה כדי להגדיר אחת.
כניסה לאפליקציית שולחן העבודה עם SSO. אפליקציית שולחן העבודה פותחת את דף הכניסה בדפדפן שלך. הקלד את אימייל העבודה שלך, לחץ על Continue with הספק שלך והיכנס ב-IdP שלך: הדפדפן מחזיר אותך לאפליקציה. אם לא, התחל את הכניסה באפליקציה שוב; מכיוון שהדפדפן כעת מחובר, הוא מתחבר מיד. ראה כניסה לאפליקציית שולחן העבודה.