SSO 로그인 문제 해결
Clevera의 모든 SSO 메시지, 원인 및 해결 방법: 로그인 페이지, ID 공급자 이후, 설정 저장 중, 테스트 실행 중, 로그아웃 시 발생하는 문제들을 다룹니다.
이 문서에서는 Clevera에 표시되는 모든 SSO(Single Sign-On) 메시지와 그 원인 및 해결 방법을 나열합니다. 여기에는 로그인 페이지, ID 공급자(IdP)가 사용자를 다시 보낸 후, 설정 저장 중, 그리고 Run test에서 발생하는 경우가 포함됩니다.
대부분의 로그인 문제는 다음 다섯 가지 중 하나로 인해 발생합니다. 사용자의 이메일 도메인이 목록에 없거나, 이미 워크스페이스 외부의 Clevera 계정을 가지고 있거나, IdP가 SAML 응답의 일부만 서명했거나, 값이 잘못 복사되었거나, Clevera 로그인 페이지가 아닌 다른 곳에서 로그인을 시작한 경우입니다.
빠른 확인 사항
| 확인 항목 | 위치 |
|---|---|
| Enable SSO가 켜져 있고 상태가 활성으로 표시됨 | 팀 설정 → 보안 |
| 사용자의 정확한 이메일 도메인이 Allowed email domains에 포함됨(하위 도메인은 별도로 계산) | 팀 설정 → 보안 |
| 사용자가 IdP에서 해당 앱에 할당됨 | 사용자의 IdP |
| 사용자가 워크스페이스의 멤버이거나 아직 Clevera 계정이 없음 | 팀 설정 → 멤버 |
| IdP 대시보드의 타일이 아닌 Clevera 로그인 페이지에서 시작하여 업무용 이메일을 입력함 | 로그인 페이지 |
| 워크스페이스가 여전히 Custom 플랜을 사용 중임 | 결제 |
로그인 페이지에 SSO 옵션이 표시되지 않음
사용자가 이메일을 입력하면 로그인 페이지에서 도메인을 인식한 후 "Your organization uses Okta"(공급자 이름 또는 사용자 지정 공급자의 경우 "SSO")와 Continue with 버튼이 표시됩니다. 만약 나타나지 않는다면 다음을 확인하세요.
- 도메인이 Allowed email domains에 없거나 이메일에 오타가 있습니다.
- Enable SSO가 꺼져 있거나 구성이 완료되지 않았습니다.
- 워크스페이스가 더 이상 SSO를 포함하는 플랜을 사용하지 않습니다.
IdP에서 Clevera 타일을 클릭해도 로그인되지 않음
Clevera는 Clevera 로그인 페이지에서 시작된 로그인만 허용합니다. 사용자가 Okta 대시보드, Microsoft My Apps 또는 Google 앱 메뉴에서 Clevera 타일을 클릭하면, IdP는 Clevera가 요청하지 않은 응답을 보냅니다. Clevera는 이를 거부하고 "SSO session expired. Please try again."이라는 메시지와 함께 로그인 페이지를 표시합니다.
이는 의도된 동작입니다. 각 SAML 로그인은 시작된 브라우저에 연결되어 1회만 사용할 수 있으므로, 다른 사람이 타인의 브라우저에서 로그인을 가로챌 수 없습니다. 사용자에게 Clevera 로그인 페이지로 이동하여 업무용 이메일을 입력하고 공급자 이름이 포함된 Continue with 버튼을 클릭하도록 안내하세요. IdP에서 타일을 숨겨 사용자가 시도하지 못하게 할 수도 있습니다.
로그인 페이지 메시지
| 메시지 | 원인 | 해결 방법 |
|---|---|---|
| "No SSO sign-in is available for this email address. Use your regular sign-in method instead." | 이 이메일 도메인에 적용되는 활성 SSO 연결이 없습니다. | 도메인을 확인하고 Enable SSO를 켜세요. |
| "SSO is not available for this team. The team subscription may have changed." | 워크스페이스 플랜에 더 이상 SSO가 포함되지 않습니다. | Custom 플랜 관련 문의를 해주세요. 멤버는 그동안 비밀번호를 사용하거나 **비밀번호를 잊으셨나요?**를 이용하세요. |
| "Please enter a valid email address." | 이메일 필드가 유효한 주소가 아닙니다. | 다시 입력하세요. |
| "Failed to initiate SSO login. Please try again or use email/password." | Clevera가 로그인 요청을 생성하지 못했습니다(보통 OIDC 검색 URL을 현재 로드할 수 없는 경우). | Run test를 클릭하세요. Discovery URL이 공개되어 있고 올바른지 확인하세요. |
| "We couldn't start single sign-on. Try again." | 요청이 실패했거나 1분 내에 너무 많은 시도가 있었습니다. | 1분 후 다시 시도하세요. |
| "We couldn't reach Clevera. Check your connection and try again." | Clevera에 연결할 수 없습니다. | 네트워크 또는 VPN을 확인하세요. |
| "Your organization requires Single Sign-On. Use the SSO button to continue." | Require SSO가 켜진 상태에서 멤버가 비밀번호로 로그인을 시도했습니다. | 공급자 이름이 포함된 Continue with를 사용하세요. |
| "Your organization requires Single Sign-On. Please use the SSO option on the login page." | Require SSO가 켜진 상태에서 멤버나 새로운 도메인 사용자가 Continue with Google을 시도했습니다. | 업무용 이메일을 입력하고 SSO 버튼을 사용하세요. |
Require SSO가 켜져 있으면 로그인 페이지에서 해당 도메인의 이메일에 대한 계정 만들기 옵션도 숨겨집니다.
가입 페이지
| 메시지 | 원인 | 해결 방법 |
|---|---|---|
| "Your organization signs in with single sign-on (SSO). Go to Sign in, enter this email and choose Continue with SSO." | Require SSO가 켜진 도메인의 사용자가 비밀번호로 계정을 만들려고 했습니다. | 로그인 페이지로 이동하여 업무용 이메일을 입력하고 공급자 이름이 포함된 Continue with를 클릭하세요. Create accounts on first sign-in이 켜져 있으면 첫 SSO 로그인 시 계정이 생성되며, 그렇지 않으면 소유자가 먼저 초대해야 합니다. |
ID 공급자 이후 메시지
이 메시지들은 IdP가 사용자를 다시 보낼 때 Clevera 로그인 페이지 상단에 나타납니다.
| 메시지 | 원인 | 해결 방법 |
|---|---|---|
| "SSO session expired. Please try again." | Clevera가 시작한 로그인과 응답을 일치시킬 수 없습니다. 보통 사용자가 IdP 대시보드에서 Clevera 타일을 클릭했거나, 브라우저를 전환했거나, 뒤로 가기 버튼을 사용했거나, 새로고침하여 로그인을 재전송했거나, IdP에서 10분 이상 지체한 경우입니다. | 동일한 브라우저에서 Clevera 로그인 페이지부터 다시 시작하세요. Clevera 타일 클릭을 참조하세요. |
| "SSO session validation failed. Please try again." | OIDC 전용. 뒤로 가기 버튼을 사용하거나 두 개의 탭에서 로그인하는 등 응답이 다른 로그인 시도와 연결된 경우입니다. | 다른 Clevera 로그인 탭을 닫고 다시 시작하세요. |
| "SSO authentication was cancelled or denied. Please try again." | OIDC 전용. IdP가 오류를 반환했습니다(사용자가 취소했거나, 앱에 할당되지 않았거나, 동의가 거부됨). | IdP에서 해당 사용자를 앱에 할당하고 다시 시도하세요. |
| "No authorization code received." | OIDC 전용. IdP가 로그인 코드 없이 돌아왔습니다. | 앱이 Authorization Code 권한 부여로 설정되어 있는지 확인하세요. |
| "SSO configuration not found or disabled." | 사용자가 로그인하는 동안 SSO가 꺼지거나 제거되었습니다. | Enable SSO를 다시 켜세요. |
| "Your email domain is not authorized for this team's SSO." | IdP가 보낸 이메일 도메인이 Allowed email domains에 없습니다. 별칭, 보조 도메인 또는 로그인 이름이 이메일과 다른 경우 흔히 발생합니다. | 도메인을 추가하거나 IdP가 이메일로 보내는 값(Name ID 또는 email 클레임)을 변경하세요. |
| "This account is no longer available." | 계정이 삭제되는 중입니다. | 다시 로그인할 수 없습니다. 다른 이메일을 사용하세요. |
| "SSO authentication failed. Please contact your team administrator or use another sign-in method." | 응답이 거부되었습니다. 아래 원인을 참조하세요. | 아래 목록을 확인하며 해결하세요. |
"SSO authentication failed"
이 메시지는 Clevera가 응답을 거부하는 모든 경우를 포함하므로 다음 항목을 순서대로 확인하세요.
| 원인 | 해결 방법 |
|---|---|
| 사용자가 이미 Clevera 계정을 가지고 있지만 워크스페이스의 멤버가 아닙니다. SSO는 외부 계정을 대신할 수 없습니다. | 초대하세요. 수락하면 SSO가 작동합니다. |
| 사용자가 계정이 없고 Create accounts on first sign-in이 꺼져 있습니다. | 초대하거나 설정을 켜세요. |
| 소유자가 다른 사람이 저장한 연결을 통해 로그인하고 있습니다(예: 소유권 이전 후). | 현재 소유자가 편집을 열고 연결을 한 번 저장해야 합니다. 그전까지는 비밀번호로 로그인하세요. |
| SAML: 어설션(또는 응답)만 서명되었습니다. | IdP가 둘 다 서명하도록 설정하세요. |
| SAML: Clevera의 인증서가 IdP의 현재 서명 인증서와 다릅니다. | 현재 인증서를 붙여넣고(편집 → 2단계) 저장하세요. |
| SAML: IdP의 대상(Audience) 또는 수신자(Recipient)가 일치하지 않습니다. | 대상은 정확히 Clevera의 Entity ID / Audience URI여야 하며, 수신자 또는 대상지는 정확히 https://app.clevera.ai/sso/saml/callback이어야 합니다. |
| SAML: 어설션이 암호화되었습니다. | 어설션 암호화를 끄세요. |
SAML: 이메일이 없습니다. Name ID가 이메일이 아니고 email 속성도 없습니다. |
Name ID 형식을 사용자의 이메일이 포함된 EmailAddress로 설정하세요. |
| SAML: Clevera의 IdP Entity ID가 응답의 발급자와 일치하지 않습니다. | IdP에서 발급자를 다시 복사하세요. |
| OIDC: 클라이언트 시크릿이 잘못되었거나 만료되었거나 리디렉션 URI가 일치하지 않습니다. | 새 시크릿을 붙여넣고(편집); 리디렉션 URI는 설정 대화 상자에 표시된 **Redirect URI (callback URL)**와 정확히 일치해야 합니다(https://app.clevera.ai/sso/oidc/callback). |
OIDC: email, preferred_username 또는 upn 클레임에 유효한 이메일이 없습니다. |
IdP에 이메일 클레임을 추가하거나 사용자에게 이메일 주소를 부여하세요. |
| OIDC: 발급자가 검색 URL과 일치하지 않습니다(예: 다중 테넌트 URL). | 테넌트 고유의 검색 URL을 사용하세요. |
IdP가 OIDC 서명 키를 교체할 때, Clevera는 로그인을 거부하기 전에 새 키를 한 번 가져오므로 키 교체만으로는 이 메시지가 발생하지 않습니다.
이 중 해당하는 내용이 없다면, 실패한 이메일 주소와 시도한 시간을 기재하여 고객 지원팀에 문의해 주세요. 로그를 통해 정확한 원인을 확인할 수 있습니다.
설정 중 발생하는 메시지
| 메시지 | 해결 방법 |
|---|---|
| "SSO is available on the Custom plan." | 워크스페이스가 Custom 플랜이 아닌 상태에서 저장할 때 표시됩니다(예: 페이지가 열려 있는 동안 플랜이 변경된 경우). SSO를 추가하려면 문의하기를 이용해 주세요. |
| "Identity provider Entity ID is required." / "Identity Provider Entity ID is required." | IdP Entity ID를 입력하세요. |
| "SSO sign-in URL is required." / "Identity Provider SSO URL is required." | SSO sign-in URL을 입력하세요. |
| "SSO sign-in URL must be a valid URL." / "Logout URL must be a valid URL." | https://로 시작하는 전체 주소를 붙여넣으세요. |
| "X.509 certificate is required." / "An IdP certificate is required." | IdP의 서명 인증서를 붙여넣으세요. |
| "Client ID is required." / "OIDC Client ID is required." | Client ID를 입력하세요. |
| "Client secret is required." / "OIDC Client Secret is required." | Client secret을 입력하세요. |
| "A valid authorization URL is required." / "A valid token URL is required." | 엔드포인트를 입력하거나, 대신 Discovery URL을 입력하세요. |
| "Discovery URL must be a valid URL." / "UserInfo URL must be a valid URL." | 전체 주소를 붙여넣으세요. |
| "Add at least one allowed domain." | Allowed email domains에 도메인을 추가하세요. |
| "Enter a company domain such as example.com." | 도메인만 입력하세요(예: acme.example). |
| "This domain is already on the list." | 이미 추가된 도메인입니다. |
| "The domain acme.example is already assigned to another team." | 다른 Clevera 워크스페이스에서 해당 도메인을 사용 중입니다. 본인의 도메인이라면 고객 지원팀에 문의하세요. |
| "Automatically provisioned users cannot be granted the Administrator role by default." | 편집자 또는 콘텐츠 제작자를 선택하거나, Create accounts on first sign-in을 끄세요. |
| "Fix the highlighted fields before saving." | 대화 상자가 문제가 있는 단계로 이동합니다. |
| "Finish the SSO configuration before enabling sign-in for your team." | 필수 필드를 모두 채운 후 Enable SSO를 켜세요. |
| "SSO must be enabled before enforcement can be turned on." | 먼저 Enable SSO를 켜세요. |
| "Only the team owner can change SSO settings." | 팀 소유자에게 요청하세요. 관리자는 SSO 설정을 변경할 수 없습니다. |
| "SSO settings did not load" | 다시 시도를 클릭하거나 페이지를 새로고침하세요. |
| "Copying is blocked here. Select the value instead." | 브라우저가 복사 버튼을 차단했습니다. 텍스트를 직접 선택하여 복사하세요. |
테스트 실행 결과
Run test는 실제 로그인이 아닌 저장된 설정을 확인합니다. "SSO configuration is valid and ready to use." 또는 "SSO configuration has issues that need to be resolved."라는 메시지와 함께 다음과 같은 문제가 표시됩니다:
| 문제 | 해결 방법 |
|---|---|
| "IdP Entity ID is required." / "IdP SSO URL is required." / "IdP X.509 certificate is required." | 누락된 SAML 필드를 입력하세요. |
| "IdP SSO URL is not a valid URL." | 전체 로그인 URL을 붙여넣으세요. |
| "IdP certificate is not a valid X.509 certificate." | 바이너리 파일이나 지문이 아닌, 인증서의 Base64(PEM) 텍스트를 붙여넣으세요. |
| "IdP certificate has expired." | IdP의 현재 서명 인증서를 가져와 붙여넣으세요. |
| "OIDC Client ID is required." / "OIDC Client Secret is required." | 누락된 OIDC 필드를 입력하세요. |
| "Either a Discovery URL or manual endpoint URLs are required." | Discovery URL 또는 엔드포인트를 추가하세요. |
| "Discovery URL is not a valid URL." | 전체 주소를 붙여넣으세요. |
| "Could not load the OIDC discovery document. Check that the URL is correct and publicly reachable over HTTPS." | 브라우저에서 URL을 열어보세요. JSON이 표시되어야 합니다. 네트워크 내부가 아닌 인터넷에서 접근 가능해야 합니다. |
| "Discovery document does not contain an authorization endpoint." | 해당 URL은 OpenID 구성이 아닙니다. /.well-known/openid-configuration으로 끝나는 URL을 사용하세요. |
| "No SSO configuration found. Please configure SSO first." | 먼저 구성을 저장하세요. |
| "The test could not run." | 연결 상태를 확인하고 다시 시도하세요. |
로그아웃
| 메시지 | 의미 |
|---|---|
| "You have been signed out via SSO." | IdP를 통해 Clevera에서 로그아웃되었습니다(SAML 단일 로그아웃). |
| "Single Logout is not available for this session." | IdP가 로그아웃 요청을 보냈지만, 워크스페이스에 SAML 단일 로그아웃이 설정되어 있지 않습니다(Logout URL 없음). |
| "Single Logout could not be completed." | 로그아웃 요청을 확인할 수 없습니다. Clevera에서 직접 로그아웃하세요. |
기타 상황
IdP에서 제거한 사용자가 여전히 로그인되어 있는 경우. Clevera는 IdP의 사용자를 동기화하지 않으며, SSO 세션은 사용자가 로그아웃할 때까지 유지됩니다. 팀 설정 → 멤버에서 해당 사용자를 제거하세요.
도메인 사용자가 합류 전 비밀번호로 가입한 경우. 해당 계정은 워크스페이스 외부의 계정이므로 SSO가 거부합니다. 해당 사용자를 초대하세요. 초대를 수락하면 SSO가 작동하며, Require SSO가 켜져 있으면 기존 비밀번호는 더 이상 사용할 수 없게 됩니다.
새로운 SSO 멤버가 콘텐츠 제작자가 아닌 편집자로 등록된 경우. 기본 역할은 콘텐츠 제작자이지만, 처음 로그인할 때 제작자 자리가 모두 차 있었다면 편집자로 합류하게 됩니다. 자리를 추가한 후 팀 설정 → 멤버에서 역할을 변경하세요.
SSO로 생성된 멤버가 비밀번호가 필요한 경우 (SSO가 꺼졌거나 플랜이 변경된 경우). 로그인 페이지에서 **비밀번호를 잊으셨나요?**를 클릭하여 비밀번호를 설정할 수 있습니다.
SSO로 데스크톱 앱에 로그인하는 경우. 데스크톱 앱은 브라우저에서 로그인 페이지를 엽니다. 회사 이메일을 입력하고 제공업체로 계속하기를 클릭한 뒤 IdP에서 로그인하세요. 그러면 브라우저가 앱으로 연결해 줍니다. 연결되지 않으면 앱에서 로그인을 다시 시작하세요. 브라우저가 이미 로그인된 상태라면 바로 연결됩니다. 데스크톱 앱에 로그인하기를 참조하세요.