Rozwiązywanie problemów z logowaniem SSO
Każdy komunikat dotyczący logowania jednokrotnego w Clevera, jego przyczyny oraz sposoby rozwiązania: na stronie logowania, po powrocie od dostawcy tożsamości, podczas zapisywania konfiguracji, w teście oraz przy wylogowywaniu.
Ten artykuł zawiera listę wszystkich komunikatów, które Clevera wyświetla w związku z logowaniem jednokrotnym (SSO), ich przyczyny oraz sposoby rozwiązania: na stronie logowania, po powrocie od dostawcy tożsamości (IdP), podczas zapisywania konfiguracji oraz w teście Run test.
Większość problemów z logowaniem wynika z jednej z pięciu przyczyn: domena e-mail użytkownika nie znajduje się na Twojej liście, użytkownik posiada już konto w Clevera poza Twoim obszarem roboczym, IdP podpisuje tylko część odpowiedzi SAML, wartość została błędnie skopiowana lub logowanie rozpoczęto w innym miejscu niż strona logowania Clevera.
Szybkie sprawdzenie
| Sprawdzenie | Gdzie |
|---|---|
| Opcja Enable SSO jest włączona, a status to Aktywny | Ustawienia zespołu → Bezpieczeństwo |
| Dokładna domena e-mail użytkownika znajduje się w Allowed email domains (subdomeny liczą się osobno) | Ustawienia zespołu → Bezpieczeństwo |
| Użytkownik jest przypisany do aplikacji w Twoim IdP | Twój IdP |
| Użytkownik jest członkiem Twojego obszaru roboczego lub nie ma jeszcze konta w Clevera | Ustawienia zespołu → Członkowie |
| Użytkownik rozpoczął logowanie na stronie Clevera i wpisał swój służbowy e-mail, a nie kliknął kafelek w panelu IdP | Strona logowania |
| Obszar roboczy nadal korzysta z planu Custom | Rozliczenia |
Strona logowania nie oferuje SSO
Gdy użytkownik wpisze swój e-mail, strona logowania wyświetli komunikat „Your organization uses Okta” (nazwa Twojego dostawcy lub „SSO” w przypadku dostawcy niestandardowego) oraz przycisk Continue with, gdy rozpozna domenę. Jeśli się nie pojawia:
- Domena nie znajduje się w Allowed email domains lub w adresie e-mail jest literówka.
- Enable SSO jest wyłączone lub konfiguracja nie jest kompletna.
- Obszar roboczy nie korzysta już z planu obejmującego SSO.
Kliknięcie kafelka Clevera w IdP nie powoduje zalogowania
Clevera akceptuje tylko logowanie rozpoczęte na stronie logowania Clevera. Gdy użytkownik kliknie kafelek Clevera w panelu Okta, Microsoft My Apps lub w menu aplikacji Google, IdP wysyła odpowiedź, o którą Clevera nie prosiła. Clevera odrzuca ją i wyświetla stronę logowania z komunikatem „SSO session expired. Please try again.”
Jest to zamierzone: każde logowanie SAML jest powiązane z przeglądarką, w której zostało rozpoczęte i może zostać użyte tylko raz, aby nikt nie mógł „podrzucić” własnego logowania do przeglądarki innej osoby. Poproś użytkowników, aby wchodzili na stronę logowania Clevera, wpisywali swój służbowy e-mail i klikali Continue with swojego dostawcy. Możesz ukryć kafelek w swoim IdP, aby nikt z niego nie korzystał.
Komunikaty na stronie logowania
| Komunikat | Przyczyna | Rozwiązanie |
|---|---|---|
| "No SSO sign-in is available for this email address. Use your regular sign-in method instead." | Brak aktywnego połączenia SSO dla domeny tego e-maila. | Sprawdź domenę i Enable SSO. |
| "SSO is not available for this team. The team subscription may have changed." | Plan obszaru roboczego nie obejmuje już SSO. | Skontaktuj się z nami w sprawie planu Custom. W międzyczasie członkowie używają hasła lub Zapomniałeś hasła?. |
| "Please enter a valid email address." | Pole e-mail nie zawiera poprawnego adresu. | Wpisz ponownie. |
| "Failed to initiate SSO login. Please try again or use email/password." | Clevera nie mogła utworzyć żądania logowania, zazwyczaj z powodu problemów z załadowaniem adresu URL wykrywania OIDC. | Kliknij Run test. Sprawdź, czy Discovery URL jest publiczny i poprawny. |
| "We couldn't start single sign-on. Try again." | Żądanie nie powiodło się lub wystąpiło zbyt wiele prób w ciągu minuty. | Odczekaj minutę i spróbuj ponownie. |
| "We couldn't reach Clevera. Check your connection and try again." | Brak połączenia z Clevera. | Sprawdź sieć lub VPN. |
| "Your organization requires Single Sign-On. Use the SSO button to continue." | Członek próbował zalogować się hasłem, podczas gdy Require SSO jest włączone. | Użyj Continue with swojego dostawcy. |
| "Your organization requires Single Sign-On. Please use the SSO option on the login page." | Członek lub nowa osoba w domenie próbowała użyć Continue with Google, podczas gdy Require SSO jest włączone. | Wpisz służbowy e-mail i użyj przycisku SSO. |
Gdy Require SSO jest włączone, strona logowania ukrywa również Utwórz konto dla adresów w Twoich domenach.
Na stronie rejestracji
| Komunikat | Przyczyna | Rozwiązanie |
|---|---|---|
| "Your organization signs in with single sign-on (SSO). Go to Sign in, enter this email and choose Continue with SSO." | Osoba z domeny z włączonym Require SSO próbowała utworzyć konto za pomocą hasła. | Przejdź do strony logowania, wpisz służbowy e-mail i kliknij Continue with swojego dostawcy. Konto zostanie utworzone przy pierwszym logowaniu SSO, jeśli włączono Create accounts on first sign-in; w przeciwnym razie właściciel musi najpierw wysłać zaproszenie. |
Komunikaty po powrocie od dostawcy tożsamości
Pojawiają się one na górze strony logowania Clevera, gdy IdP odsyła użytkownika z powrotem.
| Komunikat | Przyczyna | Rozwiązanie |
|---|---|---|
| "SSO session expired. Please try again." | Clevera nie mogła dopasować odpowiedzi do rozpoczętego logowania. Zazwyczaj użytkownik kliknął kafelek Clevera w panelu IdP, zmienił przeglądarkę, użył przycisku wstecz, odświeżył stronę lub logowanie w IdP trwało dłużej niż 10 minut. | Rozpocznij ponownie ze strony logowania Clevera w tej samej przeglądarce. Zobacz Kliknięcie kafelka Clevera. |
| "SSO session validation failed. Please try again." | Tylko OIDC. Odpowiedź dotyczy innej próby logowania, np. po użyciu przycisku wstecz lub logowaniu z dwóch kart. | Zamknij inne karty logowania Clevera i zacznij od nowa. |
| "SSO authentication was cancelled or denied. Please try again." | Tylko OIDC. IdP zwrócił błąd: użytkownik anulował, nie jest przypisany do aplikacji lub odmówił zgody. | Przypisz użytkownika do aplikacji w IdP; spróbuj ponownie. |
| "No authorization code received." | Tylko OIDC. IdP wrócił bez kodu logowania. | Sprawdź, czy aplikacja jest ustawiona na grant Authorization Code. |
| "SSO configuration not found or disabled." | SSO zostało wyłączone lub usunięte w trakcie logowania użytkownika. | Włącz ponownie Enable SSO. |
| "Your email domain is not authorized for this team's SSO." | E-mail wysłany przez IdP używa domeny, której nie ma w Allowed email domains. Często zdarza się przy aliasach, domenach dodatkowych lub nazwie logowania różnej od e-maila. | Dodaj domenę lub zmień to, co IdP wysyła jako e-mail (Name ID lub oświadczenie email). |
| "This account is no longer available." | Konto jest w trakcie usuwania. | Nie można się już zalogować. Użyj innego e-maila. |
| "SSO authentication failed. Please contact your team administrator or use another sign-in method." | Odpowiedź została odrzucona. Zobacz przyczyny poniżej. | Przejrzyj poniższą listę. |
"SSO authentication failed"
Ten komunikat obejmuje każdy przypadek, w którym Clevera odrzuca odpowiedź, więc sprawdź kolejno:
| Przyczyna | Rozwiązanie |
|---|---|
| Użytkownik ma już konto w Clevera, ale nie jest członkiem Twojego obszaru roboczego. SSO nie przejmuje zewnętrznych kont. | Zaproś go. Gdy zaakceptuje, SSO zadziała. |
| Użytkownik nie ma konta, a Create accounts on first sign-in jest wyłączone. | Zaproś go lub włącz to ustawienie. |
| Właściciel loguje się przez połączenie zapisane przez kogoś innego (np. po przeniesieniu własności). | Obecny właściciel otwiera Edytuj i zapisuje połączenie. Do tego czasu loguj się hasłem. |
| SAML: podpisana jest tylko asercja (lub tylko odpowiedź). | Skonfiguruj IdP tak, aby podpisywał oba elementy. |
| SAML: certyfikat w Clevera nie jest aktualnym certyfikatem podpisywania IdP. | Wklej aktualny certyfikat (Edytuj → krok 2) i zapisz. |
| SAML: odbiorca lub adresat IdP nie zgadza się. | Odbiorca musi być dokładnie taki jak Entity ID / Audience URI w Clevera, a adresat lub miejsce docelowe dokładnie https://app.clevera.ai/sso/saml/callback. |
| SAML: asercja jest zaszyfrowana. | Wyłącz szyfrowanie asercji. |
SAML: brak e-maila. Name ID nie jest e-mailem i brak atrybutu email. |
Ustaw format Name ID na EmailAddress z e-mailem użytkownika. |
| SAML: IdP Entity ID w Clevera nie zgadza się z wystawcą w odpowiedzi. | Skopiuj wystawcę ponownie z IdP. |
| OIDC: klucz klienta (client secret) jest błędny lub wygasł, albo URI przekierowania nie pasuje. | Wklej nowy klucz (Edytuj); URI przekierowania musi być dokładnie takie jak Redirect URI (callback URL) pokazane w oknie konfiguracji, https://app.clevera.ai/sso/oidc/callback. |
OIDC: brak poprawnego e-maila w oświadczeniach email, preferred_username lub upn. |
Dodaj oświadczenie e-mail w swoim IdP lub nadaj użytkownikowi adres e-mail. |
| OIDC: wystawca nie zgadza się z adresem URL wykrywania, np. adres URL dla wielu dzierżaw. | Użyj adresu URL wykrywania swojej dzierżawy. |
Gdy Twój IdP rotuje klucze podpisywania OIDC, Clevera pobiera nowe klucze raz przed odrzuceniem logowania, więc sama rotacja nie powoduje tego komunikatu.
Jeśli żadne z powyższych rozwiązań nie pasuje, skontaktuj się z pomocą techniczną, podając adres e-mail, z którym wystąpił problem, oraz czas próby logowania. W naszych logach możemy sprawdzić dokładną przyczynę.
Komunikaty podczas konfiguracji
| Komunikat | Rozwiązanie |
|---|---|
| "SSO is available on the Custom plan." | Wyświetlany podczas zapisywania, gdy obszar roboczy nie korzysta z planu Custom, na przykład po zmianie planu przy otwartej stronie. Skontaktuj się z nami, aby dodać SSO. |
| "Identity provider Entity ID is required." / "Identity Provider Entity ID is required." | Wypełnij IdP Entity ID. |
| "SSO sign-in URL is required." / "Identity Provider SSO URL is required." | Wypełnij SSO sign-in URL. |
| "SSO sign-in URL must be a valid URL." / "Logout URL must be a valid URL." | Wklej pełny adres, zaczynający się od https://. |
| "X.509 certificate is required." / "An IdP certificate is required." | Wklej certyfikat podpisywania IdP. |
| "Client ID is required." / "OIDC Client ID is required." | Wypełnij Client ID. |
| "Client secret is required." / "OIDC Client Secret is required." | Wypełnij Client secret. |
| "A valid authorization URL is required." / "A valid token URL is required." | Wypełnij punkty końcowe lub zamiast tego Discovery URL. |
| "Discovery URL must be a valid URL." / "UserInfo URL must be a valid URL." | Wklej pełny adres. |
| "Add at least one allowed domain." | Dodaj domenę w sekcji Allowed email domains. |
| "Enter a company domain such as example.com." | Wpisz tylko domenę, na przykład acme.example. |
| "This domain is already on the list." | Jest już dodana. |
| "The domain acme.example is already assigned to another team." | Inny obszar roboczy Clevera korzysta z tej domeny. Skontaktuj się z pomocą techniczną, jeśli należy do Ciebie. |
| "Automatically provisioned users cannot be granted the Administrator role by default." | Wybierz Edytor lub Twórca treści albo wyłącz Create accounts on first sign-in. |
| "Fix the highlighted fields before saving." | Okno dialogowe przeniesie Cię do kroku, w którym występuje problem. |
| "Finish the SSO configuration before enabling sign-in for your team." | Wypełnij wymagane pola, a następnie włącz Enable SSO. |
| "SSO must be enabled before enforcement can be turned on." | Najpierw włącz Enable SSO. |
| "Only the team owner can change SSO settings." | Poproś właściciela. Administratorzy nie mogą zmieniać ustawień SSO. |
| "SSO settings did not load" | Kliknij Spróbuj ponownie lub odśwież stronę. |
| "Copying is blocked here. Select the value instead." | Twoja przeglądarka zablokowała przycisk kopiowania. Zaznacz tekst i skopiuj go ręcznie. |
Wyniki testu uruchomienia
Run test sprawdza zapisane ustawienia, a nie rzeczywiste logowanie. Wyświetla komunikat "SSO configuration is valid and ready to use." lub "SSO configuration has issues that need to be resolved." wraz z następującymi problemami:
| Problem | Rozwiązanie |
|---|---|
| "IdP Entity ID is required." / "IdP SSO URL is required." / "IdP X.509 certificate is required." | Wypełnij brakujące pole SAML. |
| "IdP SSO URL is not a valid URL." | Wklej pełny adres URL logowania. |
| "IdP certificate is not a valid X.509 certificate." | Wklej tekst certyfikatu w formacie Base64 (PEM), a nie plik binarny lub odcisk palca. |
| "IdP certificate has expired." | Pobierz aktualny certyfikat podpisywania IdP i wklej go. |
| "OIDC Client ID is required." / "OIDC Client Secret is required." | Wypełnij brakujące pole OIDC. |
| "Either a Discovery URL or manual endpoint URLs are required." | Dodaj Discovery URL lub punkty końcowe. |
| "Discovery URL is not a valid URL." | Wklej pełny adres. |
| "Could not load the OIDC discovery document. Check that the URL is correct and publicly reachable over HTTPS." | Otwórz adres URL w przeglądarce; powinien wyświetlić kod JSON. Musi być dostępny z internetu, a nie tylko z Twojej sieci wewnętrznej. |
| "Discovery document does not contain an authorization endpoint." | Ten adres URL nie jest konfiguracją OpenID. Użyj tego, który kończy się na /.well-known/openid-configuration. |
| "No SSO configuration found. Please configure SSO first." | Najpierw zapisz konfigurację. |
| "The test could not run." | Sprawdź połączenie i spróbuj ponownie. |
Wylogowywanie
| Komunikat | Znaczenie |
|---|---|
| "You have been signed out via SSO." | Twój IdP wylogował Cię z Clevera (SAML single logout). |
| "Single Logout is not available for this session." | IdP wysłał żądanie wylogowania, ale SAML single logout nie jest skonfigurowany dla Twojego obszaru roboczego (brak Logout URL). |
| "Single Logout could not be completed." | Nie można było zweryfikować żądania wylogowania. Wyloguj się bezpośrednio w Clevera. |
Inne sytuacje
Osoba usunięta w IdP jest nadal zalogowana. Clevera nie synchronizuje użytkowników z Twojego IdP, a sesje SSO pozostają aktywne, dopóki użytkownik się nie wyloguje. Usuń taką osobę w Ustawienia zespołu → Członkowie.
Osoba z Twojej domeny zarejestrowała się hasłem przed dołączeniem. Jej konto znajduje się poza Twoim obszarem roboczym, więc SSO je odrzuca. Zaproś tę osobę; po zaakceptowaniu zaproszenia SSO zacznie działać, a jeśli włączona jest opcja Require SSO, jej hasło przestanie działać.
Nowy członek SSO jest Edytorem, a nie Twórcą treści. Twoją domyślną rolą jest Twórca treści, ale w momencie pierwszego logowania wszystkie miejsca dla twórców były zajęte, więc dołączył jako Edytor. Dodaj miejsce, a następnie zmień jego rolę w Ustawienia zespołu → Członkowie.
Członek utworzony przez SSO potrzebuje hasła (SSO zostało wyłączone lub zmienił się Twój plan). Kliknij Zapomniałeś hasła? na stronie logowania, aby je ustawić.
Logowanie do aplikacji desktopowej przez SSO. Aplikacja desktopowa otwiera stronę logowania w przeglądarce. Wpisz swój służbowy adres e-mail, kliknij Continue with swojego dostawcę i zaloguj się w IdP: przeglądarka przekieruje Cię z powrotem do aplikacji. Jeśli tak się nie stanie, rozpocznij logowanie w aplikacji ponownie; ponieważ przeglądarka jest już zalogowana, połączenie nastąpi automatycznie. Zobacz Logowanie do aplikacji desktopowej.