Problemen met SSO-aanmelding oplossen
Elk bericht over eenmalige aanmelding (SSO) in Clevera, de oorzaak ervan en hoe je het oplost: op de aanmeldpagina, na je identiteitsprovider, tijdens het opslaan van de configuratie, bij Run test en bij het afmelden.
Dit artikel bevat een overzicht van elk bericht dat Clevera toont over eenmalige aanmelding (SSO), de oorzaak ervan en hoe je het oplost: op de aanmeldpagina, nadat je identiteitsprovider (IdP) iemand terugstuurt, tijdens het opslaan van de configuratie en in Run test.
De meeste aanmeldproblemen hebben een van deze vijf oorzaken: het e-maildomein van de persoon staat niet op je lijst, ze hebben al een Clevera-account buiten je werkruimte, de IdP ondertekent slechts een deel van het SAML-antwoord, een waarde is verkeerd gekopieerd, of de aanmelding is ergens anders gestart dan op de Clevera-aanmeldpagina.
Snelle controles
| Controle | Waar |
|---|---|
| Enable SSO staat aan en de badge zegt Actief | Teaminstellingen → Beveiliging |
| Het exacte e-maildomein van de persoon staat in Allowed email domains (subdomeinen tellen apart) | Teaminstellingen → Beveiliging |
| De persoon is toegewezen aan de app in je IdP | Je IdP |
| De persoon is lid van je werkruimte of heeft nog geen Clevera-account | Teaminstellingen → Leden |
| Ze zijn gestart op de Clevera-aanmeldpagina en hebben hun zakelijke e-mail ingevoerd, niet via een tegel in het dashboard van je IdP | De aanmeldpagina |
| De werkruimte heeft nog een Custom-abonnement | Facturering |
De aanmeldpagina biedt geen SSO aan
Wanneer iemand zijn e-mail invoert, toont de aanmeldpagina "Your organization uses Okta" (de naam van je provider, of "SSO" voor een aangepaste provider) en een Continue with-knop zodra het domein wordt herkend. Als dit niet verschijnt:
- Het domein staat niet in Allowed email domains, of er zit een typefout in het e-mailadres.
- Enable SSO staat uit, of de configuratie is niet voltooid.
- De werkruimte heeft niet langer een abonnement dat SSO bevat.
Klikken op de Clevera-tegel in je IdP leidt niet tot aanmelding
Clevera accepteert alleen aanmeldingen die starten op de Clevera-aanmeldpagina. Wanneer iemand op de Clevera-tegel klikt in het Okta-dashboard, in Microsoft My Apps of in het Google-apps-menu, stuurt de IdP een antwoord waar Clevera nooit om heeft gevraagd. Clevera weigert dit en toont de aanmeldpagina met "SSO session expired. Please try again."
Dit is bewust: elke SAML-aanmelding is gekoppeld aan de browser die deze heeft gestart en kan slechts één keer worden gebruikt, zodat niemand zijn eigen aanmelding in de browser van iemand anders kan injecteren. Vraag gebruikers om naar de Clevera-aanmeldpagina te gaan, hun zakelijke e-mail in te voeren en op Continue with je provider te klikken. Je kunt de tegel in je IdP verbergen zodat niemand deze probeert te gebruiken.
Berichten op de aanmeldpagina
| Bericht | Oorzaak | Oplossing |
|---|---|---|
| "No SSO sign-in is available for this email address. Use your regular sign-in method instead." | Geen actieve SSO-verbinding voor het domein van dit e-mailadres. | Controleer het domein en Enable SSO. |
| "SSO is not available for this team. The team subscription may have changed." | Het abonnement van de werkruimte bevat geen SSO meer. | Neem contact met ons op over je Custom-abonnement. Leden gebruiken in de tussentijd hun wachtwoord of Wachtwoord vergeten?. |
| "Please enter a valid email address." | Het e-mailveld bevat geen geldig adres. | Voer het opnieuw in. |
| "Failed to initiate SSO login. Please try again or use email/password." | Clevera kon het aanmeldverzoek niet opbouwen, meestal omdat een OIDC-discovery-URL momenteel niet kan worden geladen. | Klik op Run test. Controleer of de Discovery URL openbaar en correct is. |
| "We couldn't start single sign-on. Try again." | Het verzoek is mislukt of er waren te veel pogingen binnen een minuut. | Wacht een minuut en probeer het opnieuw. |
| "We couldn't reach Clevera. Check your connection and try again." | Geen verbinding met Clevera. | Controleer het netwerk of de VPN. |
| "Your organization requires Single Sign-On. Use the SSO button to continue." | Een lid probeerde in te loggen met een wachtwoord terwijl Require SSO aanstaat. | Gebruik Continue with je provider. |
| "Your organization requires Single Sign-On. Please use the SSO option on the login page." | Een lid, of iemand nieuw op je domein, probeerde Continue with Google terwijl Require SSO aanstaat. | Voer het zakelijke e-mailadres in en gebruik de SSO-knop. |
Wanneer Require SSO aanstaat, verbergt de aanmeldpagina ook Maak een account aan voor adressen op je domeinen.
Op de aanmeldpagina voor nieuwe accounts
| Bericht | Oorzaak | Oplossing |
|---|---|---|
| "Your organization signs in with single sign-on (SSO). Go to Sign in, enter this email and choose Continue with SSO." | Iemand op een domein met Require SSO aan probeerde een account aan te maken met een wachtwoord. | Ga naar de aanmeldpagina, voer het zakelijke e-mailadres in en klik op Continue with je provider. Het account wordt aangemaakt bij de eerste SSO-aanmelding als Create accounts on first sign-in aanstaat; anders moet de eigenaar hen eerst uitnodigen. |
Berichten na de identiteitsprovider
Deze verschijnen bovenaan de Clevera-aanmeldpagina wanneer de IdP de persoon terugstuurt.
| Bericht | Oorzaak | Oplossing |
|---|---|---|
| "SSO session expired. Please try again." | Clevera kon het antwoord niet koppelen aan een gestarte aanmelding. Meestal klikte de persoon op de Clevera-tegel in het IdP-dashboard, wisselde van browser, gebruikte de terugknop, ververste de pagina om de aanmelding opnieuw te verzenden, of deed er langer dan 10 minuten over bij de IdP. | Start opnieuw vanaf de Clevera-aanmeldpagina in dezelfde browser. Zie Klikken op de Clevera-tegel. |
| "SSO session validation failed. Please try again." | Alleen voor OIDC. Het antwoord hoort bij een andere aanmeldpoging, bijvoorbeeld na gebruik van de terugknop of inloggen vanuit twee tabbladen. | Sluit andere Clevera-aanmeldtabbladen en start opnieuw. |
| "SSO authentication was cancelled or denied. Please try again." | Alleen voor OIDC. De IdP gaf een foutmelding: de persoon annuleerde, is niet toegewezen aan de app, of toestemming werd geweigerd. | Wijs ze toe aan de app in je IdP; probeer het opnieuw. |
| "No authorization code received." | Alleen voor OIDC. De IdP kwam terug zonder aanmeldcode. | Controleer of de app is ingesteld op de Authorization Code-grant. |
| "SSO configuration not found or disabled." | SSO werd uitgeschakeld of verwijderd terwijl de persoon aan het inloggen was. | Zet Enable SSO weer aan. |
| "Your email domain is not authorized for this team's SSO." | Het e-mailadres dat de IdP stuurde gebruikt een domein dat niet in Allowed email domains staat. Komt vaak voor bij aliassen, secundaire domeinen of een aanmeldnaam die afwijkt van het e-mailadres. | Voeg het domein toe of wijzig wat de IdP verstuurt als e-mail (Name ID of email claim). |
| "This account is no longer available." | Het account wordt verwijderd. | Inloggen is niet meer mogelijk. Gebruik een ander e-mailadres. |
| "SSO authentication failed. Please contact your team administrator or use another sign-in method." | Het antwoord werd geweigerd. Zie de oorzaken hieronder. | Werk de onderstaande lijst af. |
"SSO authentication failed"
Dit bericht dekt elk geval waarin Clevera het antwoord weigert, dus controleer deze in volgorde:
| Oorzaak | Oplossing |
|---|---|
| De persoon heeft al een Clevera-account maar is geen lid van je werkruimte. SSO neemt nooit een extern account over. | Nodig ze uit. Zodra ze accepteren, werkt SSO. |
| De persoon heeft geen account en Create accounts on first sign-in staat uit. | Nodig ze uit of zet de instelling aan. |
| De eigenaar logt in via een verbinding die iemand anders heeft opgeslagen (bijvoorbeeld na een eigendomsoverdracht). | De huidige eigenaar opent Bewerken en slaat de verbinding eenmaal op. Log tot die tijd in met het wachtwoord. |
| SAML: alleen de assertion (of alleen het antwoord) is ondertekend. | Zorg dat de IdP beide ondertekent. |
| SAML: het certificaat in Clevera is niet het huidige ondertekeningscertificaat van de IdP. | Plak het huidige certificaat (Bewerken → stap 2) en sla op. |
| SAML: de audience of recipient van de IdP komt niet overeen. | De audience moet exact de Entity ID / Audience URI van Clevera zijn, en de recipient of destination exact https://app.clevera.ai/sso/saml/callback. |
| SAML: de assertion is versleuteld. | Schakel assertion-versleuteling uit. |
SAML: geen e-mail. De Name ID is geen e-mail en er is geen email-attribuut. |
Stel het Name ID-formaat in op EmailAddress met het e-mailadres van de persoon. |
| SAML: de IdP Entity ID in Clevera komt niet overeen met de issuer in het antwoord. | Kopieer de issuer opnieuw uit de IdP. |
| OIDC: het client secret is onjuist of verlopen, of de redirect URI komt niet overeen. | Plak een nieuw secret (Bewerken); de redirect URI moet exact de Redirect URI (callback URL) zijn die in het instellingsvenster wordt getoond, https://app.clevera.ai/sso/oidc/callback. |
OIDC: geen geldig e-mailadres in de email, preferred_username of upn claims. |
Voeg de e-mailclaim toe in je IdP of geef de persoon een e-mailadres. |
| OIDC: de issuer komt niet overeen met de discovery-URL, bijvoorbeeld een multi-tenant URL. | Gebruik de discovery-URL van je eigen tenant. |
Wanneer je IdP zijn OIDC-ondertekeningssleutels roteert, haalt Clevera de nieuwe sleutels eenmaal op voordat een aanmelding wordt geweigerd, dus rotatie alleen veroorzaakt dit bericht niet.
Als niets hiervan helpt, neem dan contact op met de ondersteuning met het e-mailadres dat niet werkte en het tijdstip van de poging. Wij kunnen de exacte reden in onze logboeken zien.
Berichten tijdens het instellen
| Bericht | Oplossing |
|---|---|
| "SSO is available on the Custom plan." | Wordt getoond wanneer je opslaat terwijl de workspace niet op een Custom-abonnement staat, bijvoorbeeld nadat het abonnement is gewijzigd terwijl de pagina openstond. Neem contact met ons op om SSO toe te voegen. |
| "Identity provider Entity ID is required." / "Identity Provider Entity ID is required." | Vul de IdP Entity ID in. |
| "SSO sign-in URL is required." / "Identity Provider SSO URL is required." | Vul de SSO sign-in URL in. |
| "SSO sign-in URL must be a valid URL." / "Logout URL must be a valid URL." | Plak het volledige adres, beginnend met https://. |
| "X.509 certificate is required." / "An IdP certificate is required." | Plak het ondertekeningscertificaat van de IdP. |
| "Client ID is required." / "OIDC Client ID is required." | Vul de Client ID in. |
| "Client secret is required." / "OIDC Client Secret is required." | Vul het Client secret in. |
| "A valid authorization URL is required." / "A valid token URL is required." | Vul de eindpunten in, of gebruik in plaats daarvan een Discovery URL. |
| "Discovery URL must be a valid URL." / "UserInfo URL must be a valid URL." | Plak het volledige adres. |
| "Add at least one allowed domain." | Voeg een domein toe onder Allowed email domains. |
| "Enter a company domain such as example.com." | Typ alleen het domein, bijvoorbeeld acme.example. |
| "This domain is already on the list." | Dit domein is al toegevoegd. |
| "The domain acme.example is already assigned to another team." | Een andere Clevera-workspace gebruikt dat domein. Neem contact op met de ondersteuning als dit van jou is. |
| "Automatically provisioned users cannot be granted the Administrator role by default." | Kies Bewerker of Contentmaker, of schakel Create accounts on first sign-in uit. |
| "Fix the highlighted fields before saving." | Het dialoogvenster springt naar de stap met het probleem. |
| "Finish the SSO configuration before enabling sign-in for your team." | Vul de verplichte velden in en schakel daarna Enable SSO in. |
| "SSO must be enabled before enforcement can be turned on." | Schakel eerst Enable SSO in. |
| "Only the team owner can change SSO settings." | Vraag het aan de eigenaar. Beheerders kunnen SSO-instellingen niet wijzigen. |
| "SSO settings did not load" | Klik op Opnieuw proberen of ververs de pagina. |
| "Copying is blocked here. Select the value instead." | Je browser heeft de kopieerknop geblokkeerd. Selecteer de tekst en kopieer deze handmatig. |
Resultaten van de test uitvoeren
Run test controleert de opgeslagen instellingen, niet een daadwerkelijke aanmelding. Het toont "SSO configuration is valid and ready to use." of "SSO configuration has issues that need to be resolved." met de volgende problemen:
| Probleem | Oplossing |
|---|---|
| "IdP Entity ID is required." / "IdP SSO URL is required." / "IdP X.509 certificate is required." | Vul het ontbrekende SAML-veld in. |
| "IdP SSO URL is not a valid URL." | Plak de volledige aanmeldings-URL. |
| "IdP certificate is not a valid X.509 certificate." | Plak de Base64 (PEM)-tekst van het certificaat, geen binair bestand of vingerafdruk. |
| "IdP certificate has expired." | Vraag het huidige ondertekeningscertificaat van de IdP op en plak dit. |
| "OIDC Client ID is required." / "OIDC Client Secret is required." | Vul het ontbrekende OIDC-veld in. |
| "Either a Discovery URL or manual endpoint URLs are required." | Voeg een Discovery URL toe, of de eindpunten. |
| "Discovery URL is not a valid URL." | Plak het volledige adres. |
| "Could not load the OIDC discovery document. Check that the URL is correct and publicly reachable over HTTPS." | Open de URL in een browser; deze zou JSON moeten tonen. De URL moet bereikbaar zijn vanaf het internet, niet alleen binnen je netwerk. |
| "Discovery document does not contain an authorization endpoint." | De URL is geen OpenID-configuratie. Gebruik de URL die eindigt op /.well-known/openid-configuration. |
| "No SSO configuration found. Please configure SSO first." | Sla eerst een configuratie op. |
| "The test could not run." | Controleer je verbinding en probeer het opnieuw. |
Afmelden
| Bericht | Betekenis |
|---|---|
| "You have been signed out via SSO." | Je IdP heeft je afgemeld bij Clevera (SAML single logout). |
| "Single Logout is not available for this session." | De IdP heeft een afmeldingsverzoek gestuurd, maar SAML single logout is niet ingesteld voor je workspace (geen Logout URL). |
| "Single Logout could not be completed." | Het afmeldingsverzoek kon niet worden geverifieerd. Meld je direct af in Clevera. |
Andere situaties
Iemand die je hebt verwijderd in de IdP is nog steeds aangemeld. Clevera synchroniseert geen gebruikers vanuit je IdP en SSO-sessies blijven actief totdat de persoon zich afmeldt. Verwijder ze in Teaminstellingen → Leden.
Iemand op je domein heeft zich aangemeld met een wachtwoord voordat ze lid werden. Hun account staat buiten je workspace, dus SSO weigert dit. Nodig ze uit; nadat ze dit accepteren, werkt SSO en, met Require SSO ingeschakeld, werkt hun wachtwoord niet meer.
Een nieuw SSO-lid is een Bewerker, geen Contentmaker. Je standaardrol is Contentmaker, maar elke plek voor een maker was bezet toen ze zich voor het eerst aanmeldden, dus werden ze toegevoegd als Bewerker. Voeg een plek toe en wijzig daarna hun rol in Teaminstellingen → Leden.
Een lid dat is aangemaakt via SSO heeft een wachtwoord nodig (SSO was uitgeschakeld of je abonnement is gewijzigd). Ze klikken op Wachtwoord vergeten? op de aanmeldpagina om er een in te stellen.
Aanmelden bij de desktop-app met SSO. De desktop-app opent de aanmeldpagina in je browser. Typ je werk-e-mailadres, klik op Continue with je provider en meld je aan bij je IdP: de browser stuurt je vervolgens terug naar de app. Als dit niet gebeurt, start het aanmelden in de app opnieuw; omdat de browser nu is aangemeld, wordt er direct verbinding gemaakt. Zie Aanmelden bij de desktop-app.