Memperbaiki masalah masuk SSO
Setiap pesan masuk tunggal di Clevera, penyebabnya, dan cara memperbaikinya: di halaman masuk, setelah penyedia identitas kamu, saat menyimpan pengaturan, di **Run test**, dan saat keluar.
Artikel ini mencantumkan setiap pesan yang ditampilkan Clevera mengenai masuk tunggal (SSO), penyebabnya, dan cara memperbaikinya: di halaman masuk, setelah penyedia identitas (IdP) kamu mengarahkan pengguna kembali, saat menyimpan pengaturan, dan di Run test.
Sebagian besar masalah masuk berasal dari satu dari lima hal: domain email pengguna tidak ada dalam daftar kamu, mereka sudah memiliki akun Clevera di luar ruang kerja kamu, IdP hanya menandatangani sebagian dari respons SAML, nilai disalin dengan salah, atau proses masuk dimulai di tempat selain halaman masuk Clevera.
Pemeriksaan cepat
| Pemeriksaan | Lokasi |
|---|---|
| Enable SSO aktif dan lencana bertuliskan Aktif | Pengaturan tim → Keamanan |
| Domain email lengkap pengguna ada di Allowed email domains (subdomain dihitung terpisah) | Pengaturan tim → Keamanan |
| Pengguna ditetapkan ke aplikasi di IdP kamu | IdP kamu |
| Pengguna adalah anggota ruang kerja kamu, atau belum memiliki akun Clevera | Pengaturan tim → Anggota |
| Mereka memulai di halaman masuk Clevera dan mengetik email kantor mereka, bukan pada tile di dasbor IdP kamu | Halaman masuk |
| Ruang kerja masih menggunakan paket Custom | Penagihan |
Halaman masuk tidak menawarkan SSO
Saat seseorang mengetik email mereka, halaman masuk akan menampilkan "Organisasi kamu menggunakan Okta" (nama penyedia kamu, atau "SSO" untuk penyedia kustom) dan tombol Continue with setelah mengenali domain tersebut. Jika tidak muncul:
- Domain tidak ada di Allowed email domains, atau ada kesalahan ketik pada email.
- Enable SSO tidak aktif, atau konfigurasi belum lengkap.
- Ruang kerja tidak lagi menggunakan paket yang menyertakan SSO.
Mengeklik tile Clevera di IdP kamu tidak berhasil masuk
Clevera hanya menerima proses masuk yang dimulai dari halaman masuk Clevera. Saat seseorang mengeklik tile Clevera di dasbor Okta, di Microsoft My Apps, atau di menu aplikasi Google, IdP mengirimkan respons yang tidak pernah diminta oleh Clevera. Clevera menolaknya dan menampilkan halaman masuknya dengan pesan "SSO session expired. Please try again."
Ini disengaja: setiap proses masuk SAML terikat pada browser yang memulainya dan hanya dapat digunakan sekali, sehingga tidak ada yang bisa menyisipkan proses masuk mereka ke browser orang lain. Minta pengguna untuk membuka halaman masuk Clevera, mengetik email kantor mereka, dan mengeklik Continue with penyedia kamu. Kamu dapat menyembunyikan tile tersebut di IdP kamu agar tidak ada yang mencobanya.
Pesan di halaman masuk
| Pesan | Penyebab | Perbaikan |
|---|---|---|
| "No SSO sign-in is available for this email address. Use your regular sign-in method instead." | Tidak ada koneksi SSO aktif yang mencakup domain email ini. | Periksa domain dan Enable SSO. |
| "SSO is not available for this team. The team subscription may have changed." | Paket ruang kerja tidak lagi menyertakan SSO. | Hubungi kami mengenai paket Custom kamu. Anggota menggunakan kata sandi mereka atau Lupa kata sandi? sementara itu. |
| "Please enter a valid email address." | Bidang email bukan alamat yang valid. | Ketik ulang. |
| "Failed to initiate SSO login. Please try again or use email/password." | Clevera tidak dapat membuat permintaan masuk, biasanya karena URL penemuan OIDC tidak dapat dimuat saat ini. | Klik Run test. Periksa apakah Discovery URL bersifat publik dan benar. |
| "We couldn't start single sign-on. Try again." | Permintaan gagal atau ada terlalu banyak percobaan dalam satu menit. | Tunggu sebentar dan coba lagi. |
| "We couldn't reach Clevera. Check your connection and try again." | Tidak ada koneksi ke Clevera. | Periksa jaringan atau VPN. |
| "Your organization requires Single Sign-On. Use the SSO button to continue." | Anggota mencoba menggunakan kata sandi saat Require SSO aktif. | Gunakan Continue with penyedia kamu. |
| "Your organization requires Single Sign-On. Please use the SSO option on the login page." | Anggota, atau seseorang yang baru di domain kamu, mencoba Continue with Google saat Require SSO aktif. | Ketik email kantor dan gunakan tombol SSO. |
Dengan Require SSO aktif, halaman masuk juga menyembunyikan Buat akun untuk alamat di domain kamu.
Di halaman pendaftaran
| Pesan | Penyebab | Perbaikan |
|---|---|---|
| "Your organization signs in with single sign-on (SSO). Go to Sign in, enter this email and choose Continue with SSO." | Seseorang di domain dengan Require SSO aktif mencoba membuat akun dengan kata sandi. | Buka halaman masuk, ketik email kantor, dan klik Continue with penyedia kamu. Akun dibuat pada saat masuk SSO pertama jika Create accounts on first sign-in aktif; jika tidak, pemilik harus mengundang mereka terlebih dahulu. |
Pesan setelah penyedia identitas
Pesan ini muncul di bagian atas halaman masuk Clevera saat IdP mengarahkan pengguna kembali.
| Pesan | Penyebab | Perbaikan |
|---|---|---|
| "SSO session expired. Please try again." | Clevera tidak dapat mencocokkan respons dengan proses masuk yang dimulainya. Biasanya pengguna mengeklik tile Clevera di dasbor IdP, berpindah browser, menggunakan tombol kembali, atau menyegarkan halaman untuk mengirim ulang proses masuk, atau menghabiskan waktu lebih dari 10 menit di IdP. | Mulai lagi dari halaman masuk Clevera di browser yang sama. Lihat Mengeklik tile Clevera. |
| "SSO session validation failed. Please try again." | Hanya OIDC. Respons milik upaya masuk yang berbeda, misalnya setelah menggunakan tombol kembali atau masuk dari dua tab. | Tutup tab masuk Clevera lainnya dan mulai lagi. |
| "SSO authentication was cancelled or denied. Please try again." | Hanya OIDC. IdP mengembalikan kesalahan: pengguna membatalkan, tidak ditetapkan ke aplikasi, atau persetujuan ditolak. | Tetapkan mereka ke aplikasi di IdP kamu; coba lagi. |
| "No authorization code received." | Hanya OIDC. IdP kembali tanpa kode masuk. | Periksa apakah aplikasi diatur ke pemberian Authorization Code. |
| "SSO configuration not found or disabled." | SSO dimatikan atau dihapus saat pengguna sedang masuk. | Aktifkan kembali Enable SSO. |
| "Your email domain is not authorized for this team's SSO." | Email yang dikirim IdP menggunakan domain yang tidak ada di Allowed email domains. Umum terjadi pada alias, domain sekunder, atau nama masuk yang berbeda dari email. | Tambahkan domain, atau ubah apa yang dikirim IdP sebagai email (Name ID atau klaim email). |
| "This account is no longer available." | Akun sedang dihapus. | Akun tidak dapat masuk lagi. Gunakan email lain. |
| "SSO authentication failed. Please contact your team administrator or use another sign-in method." | Respons ditolak. Lihat penyebab di bawah. | Kerjakan daftar di bawah ini. |
"SSO authentication failed"
Pesan ini mencakup setiap kasus di mana Clevera menolak respons, jadi periksa hal-hal berikut secara berurutan:
| Penyebab | Perbaikan |
|---|---|
| Pengguna sudah memiliki akun Clevera tetapi bukan anggota ruang kerja kamu. SSO tidak pernah mengambil alih akun luar. | Undang mereka. Setelah mereka menerima, SSO akan berfungsi. |
| Pengguna tidak memiliki akun dan Create accounts on first sign-in tidak aktif. | Undang mereka, atau aktifkan pengaturan tersebut. |
| Pemilik masuk melalui koneksi yang disimpan orang lain (misalnya setelah pengalihan kepemilikan). | Pemilik saat ini membuka Edit dan menyimpan koneksi satu kali. Sampai saat itu, masuklah dengan kata sandi. |
| SAML: hanya pernyataan (atau hanya respons) yang ditandatangani. | Buat IdP menandatangani keduanya. |
| SAML: sertifikat di Clevera bukan sertifikat penandatanganan IdP saat ini. | Tempel sertifikat saat ini (Edit → langkah 2) dan simpan. |
| SAML: audiens atau penerima IdP tidak cocok. | Audiens harus sama persis dengan Entity ID / Audience URI Clevera, dan penerima atau tujuan harus sama persis dengan https://app.clevera.ai/sso/saml/callback. |
| SAML: pernyataan dienkripsi. | Matikan enkripsi pernyataan. |
SAML: tidak ada email. Name ID bukan email dan tidak ada atribut email. |
Atur format Name ID ke EmailAddress dengan email pengguna. |
| SAML: IdP Entity ID di Clevera tidak cocok dengan penerbit di respons. | Salin kembali penerbit dari IdP. |
| OIDC: rahasia klien salah atau kedaluwarsa, atau URI pengalihan tidak cocok. | Tempel rahasia baru (Edit); URI pengalihan harus sama persis dengan Redirect URI (callback URL) yang ditampilkan di dialog pengaturan, https://app.clevera.ai/sso/oidc/callback. |
OIDC: tidak ada email valid di klaim email, preferred_username, atau upn. |
Tambahkan klaim email di IdP kamu, atau berikan alamat email kepada pengguna. |
| OIDC: penerbit tidak cocok dengan URL penemuan, misalnya URL multi-penyewa. | Gunakan URL penemuan penyewa kamu sendiri. |
Saat IdP kamu merotasi kunci penandatanganan OIDC-nya, Clevera mengambil kunci baru satu kali sebelum menolak proses masuk, jadi rotasi saja tidak menyebabkan pesan ini.
Jika tidak ada yang sesuai, hubungi dukungan dengan menyertakan email yang gagal masuk dan waktu percobaan tersebut. Kami dapat melihat alasan pastinya di log kami.
Pesan saat melakukan pengaturan
| Pesan | Perbaikan |
|---|---|
| "SSO is available on the Custom plan." | Ditampilkan saat kamu menyimpan perubahan sementara ruang kerja tidak menggunakan paket Custom, misalnya setelah paket berubah saat halaman terbuka. Hubungi kami untuk menambahkan SSO. |
| "Identity provider Entity ID is required." / "Identity Provider Entity ID is required." | Isi IdP Entity ID. |
| "SSO sign-in URL is required." / "Identity Provider SSO URL is required." | Isi SSO sign-in URL. |
| "SSO sign-in URL must be a valid URL." / "Logout URL must be a valid URL." | Tempelkan alamat lengkap, dimulai dengan https://. |
| "X.509 certificate is required." / "An IdP certificate is required." | Tempelkan sertifikat penandatanganan IdP. |
| "Client ID is required." / "OIDC Client ID is required." | Isi Client ID. |
| "Client secret is required." / "OIDC Client Secret is required." | Isi Client secret. |
| "A valid authorization URL is required." / "A valid token URL is required." | Isi endpoint, atau gunakan Discovery URL sebagai gantinya. |
| "Discovery URL must be a valid URL." / "UserInfo URL must be a valid URL." | Tempelkan alamat lengkapnya. |
| "Add at least one allowed domain." | Tambahkan domain di bawah Allowed email domains. |
| "Enter a company domain such as example.com." | Ketik domainnya saja, contohnya acme.example. |
| "This domain is already on the list." | Domain tersebut sudah ditambahkan. |
| "The domain acme.example is already assigned to another team." | Ruang kerja Clevera lain menggunakan domain tersebut. Hubungi dukungan jika itu milikmu. |
| "Automatically provisioned users cannot be granted the Administrator role by default." | Pilih Editor atau Pembuat Konten, atau nonaktifkan Create accounts on first sign-in. |
| "Fix the highlighted fields before saving." | Dialog akan melompat ke langkah yang bermasalah. |
| "Finish the SSO configuration before enabling sign-in for your team." | Lengkapi kolom yang wajib diisi, lalu aktifkan Enable SSO. |
| "SSO must be enabled before enforcement can be turned on." | Aktifkan Enable SSO terlebih dahulu. |
| "Only the team owner can change SSO settings." | Minta pemilik tim. Administrator tidak dapat mengubah pengaturan SSO. |
| "SSO settings did not load" | Klik Coba lagi, atau muat ulang halaman. |
| "Copying is blocked here. Select the value instead." | Browser kamu memblokir tombol salin. Pilih teks dan salin secara manual. |
Menjalankan hasil tes
Run test memeriksa pengaturan yang disimpan, bukan proses masuk yang sebenarnya. Tes ini akan menampilkan "SSO configuration is valid and ready to use." atau "SSO configuration has issues that need to be resolved." dengan masalah berikut:
| Masalah | Perbaikan |
|---|---|
| "IdP Entity ID is required." / "IdP SSO URL is required." / "IdP X.509 certificate is required." | Isi kolom SAML yang kosong. |
| "IdP SSO URL is not a valid URL." | Tempelkan URL masuk yang lengkap. |
| "IdP certificate is not a valid X.509 certificate." | Tempelkan teks Base64 (PEM) dari sertifikat, bukan file biner atau sidik jari. |
| "IdP certificate has expired." | Dapatkan sertifikat penandatanganan IdP yang terbaru dan tempelkan. |
| "OIDC Client ID is required." / "OIDC Client Secret is required." | Isi kolom OIDC yang kosong. |
| "Either a Discovery URL or manual endpoint URLs are required." | Tambahkan Discovery URL, atau endpoint-nya. |
| "Discovery URL is not a valid URL." | Tempelkan alamat lengkapnya. |
| "Could not load the OIDC discovery document. Check that the URL is correct and publicly reachable over HTTPS." | Buka URL di browser; seharusnya menampilkan JSON. URL harus dapat diakses dari internet, bukan hanya di dalam jaringanmu. |
| "Discovery document does not contain an authorization endpoint." | URL tersebut bukan konfigurasi OpenID. Gunakan yang diakhiri dengan /.well-known/openid-configuration. |
| "No SSO configuration found. Please configure SSO first." | Simpan konfigurasi terlebih dahulu. |
| "The test could not run." | Periksa koneksimu dan coba lagi. |
Keluar
| Pesan | Arti |
|---|---|
| "You have been signed out via SSO." | IdP kamu mengeluarkanmu dari Clevera (SAML single logout). |
| "Single Logout is not available for this session." | IdP mengirimkan permintaan keluar, tetapi SAML single logout tidak diatur untuk ruang kerjamu (tidak ada Logout URL). |
| "Single Logout could not be completed." | Permintaan keluar tidak dapat diverifikasi. Keluar dari Clevera secara langsung. |
Situasi lain
Seseorang yang kamu hapus di IdP masih masuk. Clevera tidak menyinkronkan pengguna dari IdP kamu, dan sesi SSO tetap masuk sampai orang tersebut keluar. Hapus mereka di Pengaturan tim → Anggota.
Seseorang di domainmu mendaftar dengan kata sandi sebelum bergabung. Akun mereka berada di luar ruang kerjamu, sehingga SSO menolaknya. Undang mereka; setelah mereka menerima, SSO akan berfungsi dan, dengan Require SSO aktif, kata sandi mereka tidak akan berfungsi lagi.
Anggota SSO baru menjadi Editor, bukan Pembuat Konten. Peran default kamu adalah Pembuat Konten, tetapi setiap kursi pembuat sudah terisi saat mereka pertama kali masuk, sehingga mereka bergabung sebagai Editor. Tambahkan kursi, lalu ubah peran mereka di Pengaturan tim → Anggota.
Anggota yang dibuat oleh SSO memerlukan kata sandi (SSO dinonaktifkan, atau paketmu berubah). Mereka dapat mengeklik Lupa kata sandi? di halaman masuk untuk mengaturnya.
Masuk ke aplikasi desktop dengan SSO. Aplikasi desktop akan membuka halaman masuk di browser kamu. Ketik email kerjamu, klik Continue with penyedia layananmu, dan masuk di IdP kamu: browser kemudian akan mengembalikanmu ke aplikasi. Jika tidak, mulai proses masuk di aplikasi lagi; karena browser sekarang sudah masuk, aplikasi akan langsung terhubung. Lihat Masuk ke aplikasi desktop.