SSOサインインの問題を修正する
Cleveraにおけるすべてのシングルサインオンメッセージ、その原因と修正方法について解説します。サインインページ、IDプロバイダー経由後、設定保存時、テスト実行時、およびサインアウト時の各ケースを網羅しています。
この記事では、Cleveraで表示されるすべてのシングルサインオン（SSO）メッセージ、その原因、および修正方法を一覧で紹介します。対象となるのは、サインインページ、IDプロバイダー（IdP）からリダイレクトされた後、設定の保存時、および<b>Run test</b>実行時のメッセージです。
ほとんどのサインイン問題は、次の5つのいずれかが原因です。ユーザーのメールアドレスのドメインがリストに含まれていない、すでにワークスペース外でCleveraアカウントを所有している、IdPがSAMLレスポンスの一部のみに署名している、値のコピーミスがある、またはCleveraのサインインページ以外からサインインを開始した。
クイックチェック
| チェック項目 | 場所 |
|---|---|
| Enable SSOがオンで、バッジがアクティブと表示されている | チーム設定 → セキュリティ |
| ユーザーの正確なメールドメインがAllowed email domainsに含まれている（サブドメインは個別にカウントされます） | チーム設定 → セキュリティ |
| ユーザーがIdPでアプリに割り当てられている | お使いのIdP |
| ユーザーがワークスペースのメンバーである、またはまだCleveraアカウントを持っていない | チーム設定 → メンバー |
| IdPダッシュボードのタイルからではなく、Cleveraのサインインページから開始し、仕事用メールアドレスを入力した | サインインページ |
| ワークスペースが現在Customプランである | 請求 |
サインインページにSSOが表示されない
ユーザーがメールアドレスを入力すると、ドメインが認識された時点でサインインページに「Your organization uses Okta」（プロバイダー名、またはカスタムプロバイダーの場合は「SSO」）とContinue withボタンが表示されます。これらが表示されない場合：
- ドメインがAllowed email domainsに含まれていないか、メールアドレスに誤字があります。
- Enable SSOがオフになっているか、設定が完了していません。
- ワークスペースのプランがSSOを含むプランではなくなっています。
IdPのCleveraタイルをクリックしてもサインインできない
Cleveraは、Cleveraのサインインページから開始されたサインインのみを受け付けます。Oktaダッシュボード、Microsoft My Apps、またはGoogleアプリメニューでCleveraのタイルをクリックすると、IdPはCleveraが要求していないレスポンスを送信します。Cleveraはこれを拒否し、「SSO session expired. Please try again.」と表示されたサインインページを表示します。
これは意図的な仕様です。各SAMLサインインは開始したブラウザに紐付けられ、一度しか使用できないようになっています。これにより、他人のブラウザに自分のサインインを紛れ込ませることを防ぎます。ユーザーには、Cleveraのサインインページにアクセスし、仕事用メールアドレスを入力して、プロバイダーのContinue withをクリックするよう伝えてください。IdP側でタイルを非表示にすれば、誤ってクリックされるのを防ぐことができます。
サインインページのメッセージ
| メッセージ | 原因 | 修正方法 |
|---|---|---|
| "No SSO sign-in is available for this email address. Use your regular sign-in method instead." | このメールアドレスのドメインをカバーするアクティブなSSO接続がありません。 | ドメインを確認し、Enable SSOを有効にします。 |
| "SSO is not available for this team. The team subscription may have changed." | ワークスペースのプランにSSOが含まれなくなりました。 | Customプランについてお問い合わせください。メンバーはそれまでパスワードまたは**パスワードをお忘れですか？**を使用してください。 |
| "Please enter a valid email address." | メールアドレスの形式が正しくありません。 | 再入力してください。 |
| "Failed to initiate SSO login. Please try again or use email/password." | サインイン要求を作成できませんでした。通常、OIDC検出URLが現在読み込めないことが原因です。 | Run testをクリックします。Discovery URLが公開されており、正しいことを確認してください。 |
| "We couldn't start single sign-on. Try again." | 要求が失敗したか、1分間に試行回数が多すぎました。 | 1分待ってから再試行してください。 |
| "We couldn't reach Clevera. Check your connection and try again." | Cleveraに接続できません。 | ネットワークまたはVPNを確認してください。 |
| "Your organization requires Single Sign-On. Use the SSO button to continue." | Require SSOがオンの状態で、メンバーがパスワードでサインインしようとしました。 | プロバイダーのContinue withを使用してください。 |
| "Your organization requires Single Sign-On. Please use the SSO option on the login page." | Require SSOがオンの状態で、メンバーまたはドメインの新規ユーザーがContinue with Googleを使用しようとしました。 | 仕事用メールアドレスを入力し、SSOボタンを使用してください。 |
Require SSOがオンの場合、サインインページでは対象ドメインのメールアドレスに対してアカウントを作成が非表示になります。
サインアップページ
| メッセージ | 原因 | 修正方法 |
|---|---|---|
| "Your organization signs in with single sign-on (SSO). Go to Sign in, enter this email and choose Continue with SSO." | Require SSOがオンのドメインのユーザーが、パスワードでアカウントを作成しようとしました。 | サインインページに移動し、仕事用メールアドレスを入力して、プロバイダーのContinue withをクリックしてください。Create accounts on first sign-inがオンであれば初回SSOサインイン時にアカウントが作成されます。オフの場合は、まずオーナーが招待する必要があります。 |
IDプロバイダー後のメッセージ
これらは、IdPからユーザーが戻ってきた際にCleveraのサインインページ上部に表示されます。
| メッセージ | 原因 | 修正方法 |
|---|---|---|
| "SSO session expired. Please try again." | Cleveraが開始したサインインとレスポンスを照合できませんでした。通常、ユーザーがIdPダッシュボードのCleveraタイルをクリックした、ブラウザを切り替えた、戻るボタンを使用した、更新してサインインを再送信した、またはIdPでの処理に10分以上かかったことが原因です。 | 同じブラウザでCleveraのサインインページからやり直してください。Cleveraタイルのクリックを参照してください。 |
| "SSO session validation failed. Please try again." | OIDCのみ。戻るボタンの使用や2つのタブからのサインインなど、別のサインイン試行のレスポンスです。 | 他のCleveraサインインタブを閉じ、やり直してください。 |
| "SSO authentication was cancelled or denied. Please try again." | OIDCのみ。IdPがエラーを返しました。ユーザーがキャンセルした、アプリに割り当てられていない、または同意が拒否された可能性があります。 | IdPでユーザーをアプリに割り当て、再試行してください。 |
| "No authorization code received." | OIDCのみ。IdPがサインインコードなしで戻ってきました。 | アプリがAuthorization Codeグラントに設定されているか確認してください。 |
| "SSO configuration not found or disabled." | サインイン中にSSOが無効化または削除されました。 | Enable SSOを再度オンにしてください。 |
| "Your email domain is not authorized for this team's SSO." | IdPが送信したメールアドレスのドメインがAllowed email domainsに含まれていません。エイリアス、セカンダリドメイン、またはメールアドレスと異なるサインイン名を使用している場合に発生します。 | ドメインを追加するか、IdPがメールアドレスとして送信する値（Name IDまたはemailクレーム）を変更してください。 |
| "This account is no longer available." | アカウントが削除処理中です。 | 再度サインインすることはできません。別のメールアドレスを使用してください。 |
| "SSO authentication failed. Please contact your team administrator or use another sign-in method." | レスポンスが拒否されました。以下の原因を参照してください。 | 以下のリストを確認してください。 |
"SSO authentication failed"
このメッセージは、Cleveraがレスポンスを拒否したすべてのケースをカバーしています。以下の順序で確認してください：
| 原因 | 修正方法 |
|---|---|
| ユーザーはすでにCleveraアカウントを持っていますが、ワークスペースのメンバーではありません。SSOは外部アカウントを引き継ぎません。 | 招待してください。承諾されるとSSOが機能します。 |
| ユーザーがアカウントを持っておらず、Create accounts on first sign-inがオフになっています。 | 招待するか、設定をオンにしてください。 |
| オーナーが他人が保存した接続（所有権の移転後など）でサインインしようとしています。 | 現在のオーナーが編集を開き、接続を一度保存してください。それまではパスワードでサインインしてください。 |
| SAML: アサーションのみ（またはレスポンスのみ）が署名されています。 | IdPで両方に署名するように設定してください。 |
| SAML: Clevera内の証明書がIdPの現在の署名証明書ではありません。 | 現在の証明書を貼り付け（編集 → ステップ2）、保存してください。 |
| SAML: IdPのオーディエンスまたは受信者が一致しません。 | オーディエンスはCleveraのEntity ID / Audience URIと完全に一致し、受信者または宛先は正確にhttps://app.clevera.ai/sso/saml/callbackである必要があります。 |
| SAML: アサーションが暗号化されています。 | アサーションの暗号化をオフにしてください。 |
SAML: メールアドレスがありません。Name IDがメールアドレスではなく、email属性もありません。 |
Name ID形式をEmailAddressに設定し、ユーザーのメールアドレスを指定してください。 |
| SAML: Clevera内のIdP Entity IDがレスポンス内の発行者と一致しません。 | IdPから発行者を再度コピーしてください。 |
| OIDC: クライアントシークレットが間違っているか期限切れです。またはリダイレクトURIが一致しません。 | 新しいシークレットを貼り付けてください（編集）。リダイレクトURIは、設定ダイアログに表示される**Redirect URI (callback URL)**と完全に一致している必要があります（https://app.clevera.ai/sso/oidc/callback）。 |
OIDC: email、preferred_username、またはupnクレームに有効なメールアドレスがありません。 |
IdPでメールクレームを追加するか、ユーザーにメールアドレスを付与してください。 |
| OIDC: 発行者が検出URLと一致しません（マルチテナントURLなど）。 | テナント固有の検出URLを使用してください。 |
IdPがOIDC署名キーをローテーションする場合、Cleveraはサインインを拒否する前に新しいキーを一度取得するため、ローテーションのみが原因でこのメッセージが表示されることはありません。
これらに該当しない場合は、サインインに失敗したメールアドレスと試行した日時を添えてサポートまでお問い合わせください。ログから正確な原因を確認いたします。
設定中のメッセージ
| メッセージ | 修正方法 |
|---|---|
| "SSO is available on the Custom plan." | ワークスペースがCustomプランではない状態で保存しようとした場合に表示されます（ページを開いている間にプランが変更された場合など）。SSOを追加するにはお問い合わせください。 |
| "Identity provider Entity ID is required." / "Identity Provider Entity ID is required." | IdP Entity IDを入力してください。 |
| "SSO sign-in URL is required." / "Identity Provider SSO URL is required." | SSO sign-in URLを入力してください。 |
| "SSO sign-in URL must be a valid URL." / "Logout URL must be a valid URL." | https://で始まる完全なアドレスを貼り付けてください。 |
| "X.509 certificate is required." / "An IdP certificate is required." | IdPの署名証明書を貼り付けてください。 |
| "Client ID is required." / "OIDC Client ID is required." | Client IDを入力してください。 |
| "Client secret is required." / "OIDC Client Secret is required." | Client secretを入力してください。 |
| "A valid authorization URL is required." / "A valid token URL is required." | エンドポイントを入力するか、代わりにDiscovery URLを入力してください。 |
| "Discovery URL must be a valid URL." / "UserInfo URL must be a valid URL." | 完全なアドレスを貼り付けてください。 |
| "Add at least one allowed domain." | Allowed email domainsにドメインを追加してください。 |
| "Enter a company domain such as example.com." | example.comのように、ドメインのみを入力してください（例: acme.example）。 |
| "This domain is already on the list." | すでに追加されています。 |
| "The domain acme.example is already assigned to another team." | そのドメインは別のCleveraワークスペースで使用されています。貴社のドメインである場合はサポートまでご連絡ください。 |
| "Automatically provisioned users cannot be granted the Administrator role by default." | エディターまたはコンテンツクリエイターを選択するか、Create accounts on first sign-inをオフにしてください。 |
| "Fix the highlighted fields before saving." | ダイアログが問題のあるステップにジャンプします。 |
| "Finish the SSO configuration before enabling sign-in for your team." | 必須フィールドをすべて入力してから、Enable SSOをオンにしてください。 |
| "SSO must be enabled before enforcement can be turned on." | 先にEnable SSOをオンにしてください。 |
| "Only the team owner can change SSO settings." | オーナーに依頼してください。管理者はSSO設定を変更できません。 |
| "SSO settings did not load" | 再試行をクリックするか、ページを再読み込みしてください。 |
| "Copying is blocked here. Select the value instead." | ブラウザがコピーボタンをブロックしています。テキストを選択して手動でコピーしてください。 |
テスト実行結果
Run testは実際のサインインではなく、保存された設定をチェックします。「SSO configuration is valid and ready to use.（SSO設定は有効で、使用準備が整っています）」または、以下の問題とともに「SSO configuration has issues that need to be resolved.（SSO設定に解決が必要な問題があります）」と表示されます。
| 問題 | 修正方法 |
|---|---|
| "IdP Entity ID is required." / "IdP SSO URL is required." / "IdP X.509 certificate is required." | 不足しているSAMLフィールドを入力してください。 |
| "IdP SSO URL is not a valid URL." | 完全なサインインURLを貼り付けてください。 |
| "IdP certificate is not a valid X.509 certificate." | バイナリファイルやフィンガープリントではなく、証明書のBase64（PEM）テキストを貼り付けてください。 |
| "IdP certificate has expired." | IdPの現在の署名証明書を取得して貼り付けてください。 |
| "OIDC Client ID is required." / "OIDC Client Secret is required." | 不足しているOIDCフィールドを入力してください。 |
| "Either a Discovery URL or manual endpoint URLs are required." | Discovery URLまたはエンドポイントを追加してください。 |
| "Discovery URL is not a valid URL." | 完全なアドレスを貼り付けてください。 |
| "Could not load the OIDC discovery document. Check that the URL is correct and publicly reachable over HTTPS." | ブラウザでURLを開いてください。JSONが表示されるはずです。社内ネットワーク内だけでなく、インターネットからアクセス可能である必要があります。 |
| "Discovery document does not contain an authorization endpoint." | そのURLはOpenID構成ではありません。/.well-known/openid-configurationで終わるものを使用してください。 |
| "No SSO configuration found. Please configure SSO first." | 先に設定を保存してください。 |
| "The test could not run." | 接続を確認して再試行してください。 |
サインアウト
| メッセージ | 意味 |
|---|---|
| "You have been signed out via SSO." | IdPによってCleveraからサインアウトされました（SAMLシングルログアウト）。 |
| "Single Logout is not available for this session." | IdPからログアウト要求が送信されましたが、ワークスペースでSAMLシングルログアウトが設定されていません（Logout URLが未設定）。 |
| "Single Logout could not be completed." | ログアウト要求を検証できませんでした。Cleveraから直接サインアウトしてください。 |
その他の状況
IdPで削除したユーザーがまだサインイン状態である場合。 CleveraはIdPからユーザーを同期しておらず、SSOセッションは本人がサインアウトするまで維持されます。チーム設定 → メンバーから削除してください。
ドメイン内のユーザーが参加前にパスワードでサインアップしていた場合。 そのアカウントはワークスペース外にあるため、SSOでは拒否されます。招待を送ってください。相手が承諾するとSSOが機能するようになり、Require SSOがオンであれば、そのユーザーのパスワードは無効になります。
SSOで作成された新規メンバーがコンテンツクリエイターではなくエディターになっている場合。 デフォルトのロールはコンテンツクリエイターですが、初回サインイン時にクリエイター枠がすべて埋まっていたため、エディターとして参加しました。枠を追加してから、チーム設定 → メンバーでロールを変更してください。
SSOで作成されたメンバーがパスワードを必要としている場合（SSOがオフになった、またはプランが変更されたなど）。サインインページで**パスワードをお忘れですか？**をクリックして設定できます。
SSOを使用してデスクトップアプリにサインインする場合。 デスクトップアプリはブラウザでサインインページを開きます。仕事用メールアドレスを入力し、プロバイダーのContinue withをクリックしてIdPでサインインしてください。その後、ブラウザからアプリへ戻ります。戻らない場合は、アプリで再度サインインを開始してください。ブラウザがすでにサインイン状態であれば、すぐに接続されます。デスクトップアプリへのサインインを参照してください。