Risolvere i problemi di accesso SSO
Ogni messaggio di single sign-on in Clevera, le cause e come risolverlo: sulla pagina di accesso, dopo il provider di identità, durante il salvataggio della configurazione, in Esegui test e durante la disconnessione.
Questo articolo elenca tutti i messaggi che Clevera mostra riguardo al single sign-on (SSO), le relative cause e come risolverli: nella pagina di accesso, dopo che il tuo identity provider (IdP) ha reindirizzato l'utente, durante il salvataggio della configurazione e in Run test.
La maggior parte dei problemi di accesso deriva da una di queste cinque cause: il dominio e-mail della persona non è nel tuo elenco, ha già un account Clevera al di fuori del tuo spazio di lavoro, l'IdP firma solo una parte della risposta SAML, un valore è stato copiato in modo errato o l'accesso è stato avviato altrove rispetto alla pagina di accesso di Clevera.
Controlli rapidi
| Controllo | Dove |
|---|---|
| Abilita SSO è attivo e il badge indica Attivo | Impostazioni del team → Sicurezza |
| L'esatto dominio e-mail della persona è in Domini e-mail consentiti (i sottodomini contano separatamente) | Impostazioni del team → Sicurezza |
| La persona è assegnata all'app nel tuo IdP | Il tuo IdP |
| La persona è un membro del tuo spazio di lavoro o non ha ancora un account Clevera | Impostazioni del team → Membri |
| Hanno iniziato dalla pagina di accesso di Clevera e digitato la loro e-mail di lavoro, non da un riquadro nella dashboard del tuo IdP | La pagina di accesso |
| Lo spazio di lavoro è ancora su un piano Custom | Fatturazione |
La pagina di accesso non offre l'SSO
Quando qualcuno digita la propria e-mail, la pagina di accesso mostra "La tua organizzazione utilizza Okta" (il nome del tuo provider, o "SSO" per un provider personalizzato) e un pulsante Continua con una volta riconosciuto il dominio. Se non appare:
- Il dominio non è in Domini e-mail consentiti o c'è un errore di battitura nell'e-mail.
- Abilita SSO è disattivato o la configurazione non è completa.
- Lo spazio di lavoro non è più su un piano che include l'SSO.
Cliccare sul riquadro Clevera nel tuo IdP non effettua l'accesso
Clevera accetta solo accessi avviati dalla pagina di accesso di Clevera. Quando qualcuno clicca sul riquadro di Clevera nella dashboard di Okta, in Microsoft My Apps o nel menu delle app di Google, l'IdP invia una risposta che Clevera non ha mai richiesto. Clevera la rifiuta e mostra la sua pagina di accesso con "Sessione SSO scaduta. Riprova."
Questo è intenzionale: ogni accesso SAML è legato al browser che lo ha avviato e può essere utilizzato una sola volta, in modo che nessuno possa inserire il proprio accesso nel browser di qualcun altro. Chiedi alle persone di andare alla pagina di accesso di Clevera, digitare la loro e-mail di lavoro e cliccare su Continua con il tuo provider. Puoi nascondere il riquadro nel tuo IdP in modo che nessuno provi a usarlo.
Messaggi sulla pagina di accesso
| Messaggio | Causa | Soluzione |
|---|---|---|
| "Nessun accesso SSO disponibile per questo indirizzo e-mail. Usa invece il tuo metodo di accesso regolare." | Nessuna connessione SSO attiva copre il dominio di questa e-mail. | Controlla il dominio e Abilita SSO. |
| "SSO non disponibile per questo team. L'abbonamento del team potrebbe essere cambiato." | Il piano dello spazio di lavoro non include più l'SSO. | Contattaci riguardo al tuo piano Custom. Nel frattempo, i membri usano la loro password o Password dimenticata?. |
| "Inserisci un indirizzo e-mail valido." | Il campo e-mail non è un indirizzo valido. | Ridigita l'indirizzo. |
| "Impossibile avviare l'accesso SSO. Riprova o usa e-mail/password." | Clevera non è riuscita a creare la richiesta di accesso, solitamente perché un URL di scoperta OIDC non può essere caricato al momento. | Clicca su Esegui test. Controlla che l'URL di scoperta sia pubblico e corretto. |
| "Non siamo riusciti ad avviare il single sign-on. Riprova." | La richiesta è fallita o ci sono stati troppi tentativi in un minuto. | Attendi un minuto e riprova. |
| "Non siamo riusciti a raggiungere Clevera. Controlla la connessione e riprova." | Nessuna connessione a Clevera. | Controlla la rete o la VPN. |
| "La tua organizzazione richiede il Single Sign-On. Usa il pulsante SSO per continuare." | Un membro ha provato la propria password mentre Richiedi SSO è attivo. | Usa Continua con il tuo provider. |
| "La tua organizzazione richiede il Single Sign-On. Usa l'opzione SSO nella pagina di accesso." | Un membro, o qualcuno di nuovo sul tuo dominio, ha provato Continua con Google mentre Richiedi SSO è attivo. | Digita l'e-mail di lavoro e usa il pulsante SSO. |
Con Richiedi SSO attivo, la pagina di accesso nasconde anche Crea un account per gli indirizzi sui tuoi domini.
Sulla pagina di registrazione
| Messaggio | Causa | Soluzione |
|---|---|---|
| "La tua organizzazione accede con il single sign-on (SSO). Vai ad Accedi, inserisci questa e-mail e scegli Continua con SSO." | Qualcuno su un dominio con Richiedi SSO attivo ha provato a creare un account con una password. | Vai alla pagina di accesso, digita l'e-mail di lavoro e clicca su Continua con il tuo provider. L'account viene creato al primo accesso SSO se Crea account al primo accesso è attivo; altrimenti, il proprietario deve prima invitarli. |
Messaggi dopo il provider di identità
Questi appaiono nella parte superiore della pagina di accesso di Clevera quando l'IdP reindirizza la persona.
| Messaggio | Causa | Soluzione |
|---|---|---|
| "Sessione SSO scaduta. Riprova." | Clevera non è riuscita ad abbinare la risposta a un accesso avviato. Solitamente la persona ha cliccato sul riquadro di Clevera nella dashboard dell'IdP, ha cambiato browser, usato il tasto indietro o aggiornato per reinviare l'accesso, o ha impiegato più di 10 minuti presso l'IdP. | Ricomincia dalla pagina di accesso di Clevera nello stesso browser. Vedi Cliccare sul riquadro Clevera. |
| "Validazione sessione SSO fallita. Riprova." | Solo OIDC. La risposta appartiene a un tentativo di accesso diverso, ad esempio dopo aver usato il tasto indietro o aver effettuato l'accesso da due schede. | Chiudi le altre schede di accesso di Clevera e ricomincia. |
| "Autenticazione SSO annullata o negata. Riprova." | Solo OIDC. L'IdP ha restituito un errore: la persona ha annullato, non è assegnata all'app o il consenso è stato negato. | Assegnala all'app nel tuo IdP; riprova. |
| "Nessun codice di autorizzazione ricevuto." | Solo OIDC. L'IdP è tornato senza un codice di accesso. | Controlla che l'app sia impostata sulla concessione Authorization Code. |
| "Configurazione SSO non trovata o disabilitata." | L'SSO è stato disattivato o rimosso mentre la persona stava effettuando l'accesso. | Riattiva Abilita SSO. |
| "Il tuo dominio e-mail non è autorizzato per l'SSO di questo team." | L'e-mail inviata dall'IdP usa un dominio che non è in Domini e-mail consentiti. Comune con alias, domini secondari o un nome di accesso che differisce dall'e-mail. | Aggiungi il dominio o cambia ciò che l'IdP invia come e-mail (Name ID o claim email). |
| "Questo account non è più disponibile." | L'account è in fase di eliminazione. | Non può più accedere. Usa un'altra e-mail. |
| "Autenticazione SSO fallita. Contatta l'amministratore del tuo team o usa un altro metodo di accesso." | La risposta è stata rifiutata. Vedi le cause qui sotto. | Segui l'elenco qui sotto. |
"Autenticazione SSO fallita"
Questo messaggio copre ogni caso in cui Clevera rifiuta la risposta, quindi controlla questi punti in ordine:
| Causa | Soluzione |
|---|---|
| La persona ha già un account Clevera ma non è un membro del tuo spazio di lavoro. L'SSO non prende mai il controllo di un account esterno. | Invitali. Una volta accettato, l'SSO funzionerà. |
| La persona non ha un account e Crea account al primo accesso è disattivato. | Invitali o attiva l'impostazione. |
| Il proprietario sta accedendo tramite una connessione salvata da qualcun altro (ad esempio dopo un trasferimento di proprietà). | Il proprietario attuale apre Modifica e salva la connessione una volta. Fino ad allora, accedi con la password. |
| SAML: solo l'asserzione (o solo la risposta) è firmata. | Fai in modo che l'IdP firmi entrambi. |
| SAML: il certificato in Clevera non è il certificato di firma corrente dell'IdP. | Incolla il certificato corrente (Modifica → passaggio 2) e salva. |
| SAML: l'audience o il destinatario dell'IdP non corrispondono. | L'audience deve essere esattamente l'Entity ID / Audience URI di Clevera, e il destinatario o la destinazione esattamente https://app.clevera.ai/sso/saml/callback. |
| SAML: l'asserzione è crittografata. | Disattiva la crittografia dell'asserzione. |
SAML: nessuna e-mail. Il Name ID non è un'e-mail e non c'è un attributo email. |
Imposta il formato Name ID su EmailAddress con l'e-mail della persona. |
| SAML: l'IdP Entity ID in Clevera non corrisponde all'emittente nella risposta. | Copia nuovamente l'emittente dall'IdP. |
| OIDC: il client secret è errato o scaduto, o il redirect URI non corrisponde. | Incolla un nuovo secret (Modifica); il redirect URI deve essere esattamente il Redirect URI (callback URL) mostrato nella finestra di configurazione, https://app.clevera.ai/sso/oidc/callback. |
OIDC: nessuna e-mail valida nei claim email, preferred_username o upn. |
Aggiungi il claim e-mail nel tuo IdP o assegna alla persona un indirizzo e-mail. |
| OIDC: l'emittente non corrisponde all'URL di scoperta, ad esempio un URL multi-tenant. | Usa l'URL di scoperta del tuo tenant. |
Quando il tuo IdP ruota le sue chiavi di firma OIDC, Clevera recupera le nuove chiavi una volta prima di rifiutare un accesso, quindi la sola rotazione non causa questo messaggio.
Se nessuno di questi casi corrisponde, contatta l'assistenza indicando l'email che ha riscontrato il problema e l'orario del tentativo. Possiamo vedere il motivo esatto nei nostri log.
Messaggi durante la configurazione
| Messaggio | Soluzione |
|---|---|
| "SSO is available on the Custom plan." | Visualizzato quando salvi mentre l'area di lavoro non è nel piano Custom, ad esempio dopo che il piano è cambiato con la pagina aperta. Contattaci per aggiungere l'SSO. |
| "Identity provider Entity ID is required." / "Identity Provider Entity ID is required." | Inserisci l'IdP Entity ID. |
| "SSO sign-in URL is required." / "Identity Provider SSO URL is required." | Inserisci l'SSO sign-in URL. |
| "SSO sign-in URL must be a valid URL." / "Logout URL must be a valid URL." | Incolla l'indirizzo completo, iniziando con https://. |
| "X.509 certificate is required." / "An IdP certificate is required." | Incolla il certificato di firma dell'IdP. |
| "Client ID is required." / "OIDC Client ID is required." | Inserisci il Client ID. |
| "Client secret is required." / "OIDC Client Secret is required." | Inserisci il Client secret. |
| "A valid authorization URL is required." / "A valid token URL is required." | Inserisci gli endpoint o, in alternativa, un Discovery URL. |
| "Discovery URL must be a valid URL." / "UserInfo URL must be a valid URL." | Incolla l'indirizzo completo. |
| "Add at least one allowed domain." | Aggiungi un dominio in Allowed email domains. |
| "Enter a company domain such as example.com." | Digita solo il dominio, ad esempio acme.example. |
| "This domain is already on the list." | È già stato aggiunto. |
| "The domain acme.example is already assigned to another team." | Un'altra area di lavoro Clevera utilizza quel dominio. Contatta l'assistenza se è la tua. |
| "Automatically provisioned users cannot be granted the Administrator role by default." | Scegli Editor o Creatore di contenuti, oppure disattiva Create accounts on first sign-in. |
| "Fix the highlighted fields before saving." | La finestra di dialogo passa al passaggio che presenta il problema. |
| "Finish the SSO configuration before enabling sign-in for your team." | Completa i campi obbligatori, quindi attiva Enable SSO. |
| "SSO must be enabled before enforcement can be turned on." | Attiva prima Enable SSO. |
| "Only the team owner can change SSO settings." | Chiedi al proprietario. Gli amministratori non possono modificare le impostazioni SSO. |
| "SSO settings did not load" | Fai clic su Riprova o ricarica la pagina. |
| "Copying is blocked here. Select the value instead." | Il tuo browser ha bloccato il pulsante di copia. Seleziona il testo e copialo manualmente. |
Risultati del test di esecuzione
Run test verifica le impostazioni salvate, non un accesso reale. Mostra "SSO configuration is valid and ready to use." oppure "SSO configuration has issues that need to be resolved." con i seguenti problemi:
| Problema | Soluzione |
|---|---|
| "IdP Entity ID is required." / "IdP SSO URL is required." / "IdP X.509 certificate is required." | Inserisci il campo SAML mancante. |
| "IdP SSO URL is not a valid URL." | Incolla l'URL di accesso completo. |
| "IdP certificate is not a valid X.509 certificate." | Incolla il testo Base64 (PEM) del certificato, non un file binario o un'impronta digitale. |
| "IdP certificate has expired." | Ottieni il certificato di firma corrente dell'IdP e incollalo. |
| "OIDC Client ID is required." / "OIDC Client Secret is required." | Inserisci il campo OIDC mancante. |
| "Either a Discovery URL or manual endpoint URLs are required." | Aggiungi un Discovery URL o gli endpoint. |
| "Discovery URL is not a valid URL." | Incolla l'indirizzo completo. |
| "Could not load the OIDC discovery document. Check that the URL is correct and publicly reachable over HTTPS." | Apri l'URL in un browser; dovrebbe mostrare JSON. Deve essere raggiungibile da Internet, non solo dall'interno della tua rete. |
| "Discovery document does not contain an authorization endpoint." | L'URL non è una configurazione OpenID. Usa quello che termina con /.well-known/openid-configuration. |
| "No SSO configuration found. Please configure SSO first." | Salva prima una configurazione. |
| "The test could not run." | Controlla la tua connessione e riprova. |
Disconnessione
| Messaggio | Significato |
|---|---|
| "You have been signed out via SSO." | Il tuo IdP ti ha disconnesso da Clevera (SAML single logout). |
| "Single Logout is not available for this session." | L'IdP ha inviato una richiesta di disconnessione, ma il SAML single logout non è configurato per la tua area di lavoro (nessun Logout URL). |
| "Single Logout could not be completed." | La richiesta di disconnessione non è stata verificata. Disconnettiti direttamente da Clevera. |
Altre situazioni
Qualcuno che hai rimosso nell'IdP è ancora connesso. Clevera non sincronizza gli utenti dal tuo IdP e le sessioni SSO rimangono attive finché la persona non si disconnette. Rimuovili in Impostazioni del team → Membri.
Qualcuno nel tuo dominio si è registrato con una password prima di unirsi. Il suo account è al di fuori della tua area di lavoro, quindi l'SSO lo rifiuta. Invitalo; dopo che avrà accettato, l'SSO funzionerà e, con Require SSO attivo, la sua password smetterà di funzionare.
Un nuovo membro SSO è un Editor, non un Creatore di contenuti. Il tuo ruolo predefinito è Creatore di contenuti, ma ogni posto da creatore era occupato quando ha effettuato l'accesso per la prima volta, quindi si è unito come Editor. Aggiungi un posto, quindi cambia il suo ruolo in Impostazioni del team → Membri.
Un membro creato tramite SSO ha bisogno di una password (l'SSO è stato disattivato o il tuo piano è cambiato). Fai clic su Password dimenticata? nella pagina di accesso per impostarne una.
Accesso all'app desktop con SSO. L'app desktop apre la pagina di accesso nel tuo browser. Digita la tua email di lavoro, fai clic su Continue with il tuo provider e accedi al tuo IdP: il browser ti reindirizzerà quindi all'app. Se non succede, avvia di nuovo l'accesso nell'app; poiché il browser è ora connesso, si collegherà immediatamente. Vedi Accedi all'app desktop.