Corrigir problemas de login com SSO
Todas as mensagens de login único no Clevera, suas causas e como corrigi-las: na página de login, após o provedor de identidade, ao salvar a configuração, no Testar configuração e ao sair.
Este artigo lista todas as mensagens que o Clevera exibe sobre login único (SSO), suas causas e como corrigi-las: na página de login, após o seu provedor de identidade (IdP) redirecionar o usuário, ao salvar a configuração e no Testar configuração.
A maioria dos problemas de login decorre de um destes cinco motivos: o domínio de e-mail da pessoa não está na sua lista, ela já possui uma conta Clevera fora do seu workspace, o IdP assina apenas parte da resposta SAML, um valor foi copiado incorretamente ou o login foi iniciado em um local diferente da página de login do Clevera.
Verificações rápidas
| Verificação | Onde |
|---|---|
| Ativar SSO está ligado e o selo diz Ativo | Configurações da equipe → Segurança |
| O domínio de e-mail exato da pessoa está em Domínios de e-mail permitidos (subdomínios contam separadamente) | Configurações da equipe → Segurança |
| A pessoa está atribuída ao aplicativo no seu IdP | Seu IdP |
| A pessoa é um membro do seu workspace ou ainda não possui uma conta Clevera | Configurações da equipe → Membros |
| Eles começaram na página de login do Clevera e digitaram seu e-mail de trabalho, não em um bloco no painel do seu IdP | A página de login |
| O workspace ainda está em um plano Custom | Faturamento |
A página de login não oferece SSO
Quando alguém digita seu e-mail, a página de login exibe "Sua organização usa o Okta" (o nome do seu provedor, ou "SSO" para um provedor personalizado) e um botão Continuar com assim que reconhece o domínio. Se ele não aparecer:
- O domínio não está em Domínios de e-mail permitidos ou há um erro de digitação no e-mail.
- Ativar SSO está desligado ou a configuração não está completa.
- O workspace não está mais em um plano que inclui SSO.
Clicar no bloco do Clevera no seu IdP não realiza o login
O Clevera só aceita logins iniciados na página de login do Clevera. Quando alguém clica no bloco do Clevera no painel do Okta, no Microsoft My Apps ou no menu de aplicativos do Google, o IdP envia uma resposta que o Clevera nunca solicitou. O Clevera a recusa e exibe sua página de login com "Sessão SSO expirada. Tente novamente."
Isso é intencional: cada login SAML está vinculado ao navegador que o iniciou e pode ser usado apenas uma vez, para que ninguém possa inserir seu próprio login no navegador de outra pessoa. Peça às pessoas que acessem a página de login do Clevera, digitem seu e-mail de trabalho e cliquem em Continuar com seu provedor. Você pode ocultar o bloco no seu IdP para que ninguém tente usá-lo.
Mensagens na página de login
| Mensagem | Causa | Correção |
|---|---|---|
| "Nenhum login SSO está disponível para este endereço de e-mail. Use seu método de login regular." | Nenhuma conexão SSO ativa cobre o domínio deste e-mail. | Verifique o domínio e Ativar SSO. |
| "O SSO não está disponível para esta equipe. A assinatura da equipe pode ter mudado." | O plano do workspace não inclui mais SSO. | Entre em contato conosco sobre seu plano Custom. Membros usam sua senha ou Esqueceu a senha? enquanto isso. |
| "Por favor, insira um endereço de e-mail válido." | O campo de e-mail não é um endereço válido. | Digite novamente. |
| "Falha ao iniciar o login SSO. Tente novamente ou use e-mail/senha." | O Clevera não conseguiu criar a solicitação de login, geralmente porque uma URL de descoberta OIDC não pode ser carregada no momento. | Clique em Testar configuração. Verifique se a URL de descoberta é pública e está correta. |
| "Não foi possível iniciar o login único. Tente novamente." | A solicitação falhou ou houve muitas tentativas em um minuto. | Aguarde um minuto e tente novamente. |
| "Não foi possível contatar o Clevera. Verifique sua conexão e tente novamente." | Sem conexão com o Clevera. | Verifique a rede ou VPN. |
| "Sua organização exige Login Único. Use o botão SSO para continuar." | Um membro tentou usar sua senha enquanto Exigir SSO está ativado. | Use Continuar com seu provedor. |
| "Sua organização exige Login Único. Use a opção SSO na página de login." | Um membro, ou alguém novo no seu domínio, tentou Continuar com o Google enquanto Exigir SSO está ativado. | Digite o e-mail de trabalho e use o botão SSO. |
Com Exigir SSO ativado, a página de login também oculta Criar uma conta para endereços nos seus domínios.
Na página de cadastro
| Mensagem | Causa | Correção |
|---|---|---|
| "Sua organização faz login com login único (SSO). Vá para Entrar, insira este e-mail e escolha Continuar com SSO." | Alguém em um domínio com Exigir SSO ativado tentou criar uma conta com uma senha. | Vá para a página de login, digite o e-mail de trabalho e clique em Continuar com seu provedor. A conta é criada no primeiro login SSO se Criar contas no primeiro login estiver ativado; caso contrário, o proprietário deve convidá-los primeiro. |
Mensagens após o provedor de identidade
Elas aparecem no topo da página de login do Clevera quando o IdP redireciona a pessoa de volta.
| Mensagem | Causa | Correção |
|---|---|---|
| "Sessão SSO expirada. Tente novamente." | O Clevera não conseguiu corresponder a resposta a um login que ele iniciou. Geralmente, a pessoa clicou no bloco do Clevera no painel do IdP, trocou de navegador, usou o botão voltar ou atualizou para reenviar o login, ou levou mais de 10 minutos no IdP. | Comece novamente a partir da página de login do Clevera no mesmo navegador. Veja Clicar no bloco do Clevera. |
| "Falha na validação da sessão SSO. Tente novamente." | Apenas OIDC. A resposta pertence a uma tentativa de login diferente, por exemplo, após usar o botão voltar ou fazer login em duas abas. | Feche outras abas de login do Clevera e comece novamente. |
| "A autenticação SSO foi cancelada ou negada. Tente novamente." | Apenas OIDC. O IdP retornou um erro: a pessoa cancelou, não está atribuída ao aplicativo ou o consentimento foi recusado. | Atribua-os ao aplicativo no seu IdP; tente novamente. |
| "Nenhum código de autorização recebido." | Apenas OIDC. O IdP retornou sem um código de login. | Verifique se o aplicativo está definido para a concessão Authorization Code. |
| "Configuração de SSO não encontrada ou desativada." | O SSO foi desligado ou removido enquanto a pessoa estava fazendo login. | Ligue Ativar SSO novamente. |
| "Seu domínio de e-mail não está autorizado para o SSO desta equipe." | O e-mail que o IdP enviou usa um domínio que não está em Domínios de e-mail permitidos. Comum com aliases, domínios secundários ou um nome de login que difere do e-mail. | Adicione o domínio ou altere o que o IdP envia como e-mail (Name ID ou email claim). |
| "Esta conta não está mais disponível." | A conta está sendo excluída. | Não é possível fazer login novamente. Use outro e-mail. |
| "Falha na autenticação SSO. Entre em contato com o administrador da sua equipe ou use outro método de login." | A resposta foi recusada. Veja as causas abaixo. | Siga a lista abaixo. |
"Falha na autenticação SSO"
Esta mensagem cobre todos os casos em que o Clevera recusa a resposta, portanto, verifique estes itens em ordem:
| Causa | Correção |
|---|---|
| A pessoa já possui uma conta Clevera, mas não é membro do seu workspace. O SSO nunca assume uma conta externa. | Convide-os. Assim que aceitarem, o SSO funcionará. |
| A pessoa não tem conta e Criar contas no primeiro login está desativado. | Convide-os ou ative a configuração. |
| O proprietário está fazendo login através de uma conexão que outra pessoa salvou (por exemplo, após uma transferência de propriedade). | O proprietário atual abre Editar e salva a conexão uma vez. Até lá, faça login com a senha. |
| SAML: apenas a asserção (ou apenas a resposta) está assinada. | Faça o IdP assinar ambos. |
| SAML: o certificado no Clevera não é o certificado de assinatura atual do IdP. | Cole o certificado atual (Editar → passo 2) e salve. |
| SAML: o público ou destinatário do IdP não corresponde. | O público deve ser exatamente o Entity ID / Audience URI do Clevera, e o destinatário ou destino exatamente https://app.clevera.ai/sso/saml/callback. |
| SAML: a asserção está criptografada. | Desative a criptografia de asserção. |
SAML: sem e-mail. O Name ID não é um e-mail e não há atributo email. |
Defina o formato Name ID como EmailAddress com o e-mail da pessoa. |
| SAML: o IdP Entity ID no Clevera não corresponde ao emissor na resposta. | Copie o emissor novamente do IdP. |
| OIDC: o segredo do cliente está incorreto ou expirado, ou a URI de redirecionamento não corresponde. | Cole um novo segredo (Editar); a URI de redirecionamento deve ser exatamente a Redirect URI (callback URL) mostrada na caixa de diálogo de configuração, https://app.clevera.ai/sso/oidc/callback. |
OIDC: nenhum e-mail válido nas claims email, preferred_username ou upn. |
Adicione a claim de e-mail no seu IdP ou forneça um endereço de e-mail à pessoa. |
| OIDC: o emissor não corresponde à URL de descoberta, por exemplo, uma URL multi-tenant. | Use a URL de descoberta do seu próprio tenant. |
Quando seu IdP rotaciona suas chaves de assinatura OIDC, o Clevera busca as novas chaves uma vez antes de recusar um login, portanto, a rotação por si só não causa esta mensagem.
Se nada disso resolver, entre em contato com o suporte informando o e-mail que apresentou falha e o horário da tentativa. Podemos verificar o motivo exato em nossos logs.
Mensagens durante a configuração
| Mensagem | Solução |
|---|---|
| "SSO is available on the Custom plan." | Exibida ao salvar quando o workspace não está em um plano Custom, por exemplo, após a alteração do plano com a página aberta. Entre em contato conosco para adicionar o SSO. |
| "Identity provider Entity ID is required." / "Identity Provider Entity ID is required." | Preencha o IdP Entity ID. |
| "SSO sign-in URL is required." / "Identity Provider SSO URL is required." | Preencha a SSO sign-in URL. |
| "SSO sign-in URL must be a valid URL." / "Logout URL must be a valid URL." | Cole o endereço completo, começando com https://. |
| "X.509 certificate is required." / "An IdP certificate is required." | Cole o certificado de assinatura do IdP. |
| "Client ID is required." / "OIDC Client ID is required." | Preencha o Client ID. |
| "Client secret is required." / "OIDC Client Secret is required." | Preencha o Client secret. |
| "A valid authorization URL is required." / "A valid token URL is required." | Preencha os endpoints ou, alternativamente, uma Discovery URL. |
| "Discovery URL must be a valid URL." / "UserInfo URL must be a valid URL." | Cole o endereço completo. |
| "Add at least one allowed domain." | Adicione um domínio em Allowed email domains. |
| "Enter a company domain such as example.com." | Digite apenas o domínio, por exemplo acme.example. |
| "This domain is already on the list." | Ele já foi adicionado. |
| "The domain acme.example is already assigned to another team." | Outro workspace Clevera usa esse domínio. Entre em contato com o suporte se ele for seu. |
| "Automatically provisioned users cannot be granted the Administrator role by default." | Escolha Editor(a) ou Criador de conteúdo, ou desative Create accounts on first sign-in. |
| "Fix the highlighted fields before saving." | A caixa de diálogo pula para a etapa com o problema. |
| "Finish the SSO configuration before enabling sign-in for your team." | Preencha os campos obrigatórios e, em seguida, ative Enable SSO. |
| "SSO must be enabled before enforcement can be turned on." | Ative Enable SSO primeiro. |
| "Only the team owner can change SSO settings." | Peça ao proprietário. Administradores não podem alterar as configurações de SSO. |
| "SSO settings did not load" | Clique em Tente novamente ou recarregue a página. |
| "Copying is blocked here. Select the value instead." | Seu navegador bloqueou o botão de copiar. Selecione o texto e copie-o manualmente. |
Resultados do teste de execução
Run test verifica as configurações salvas, não um login real. Ele exibe "SSO configuration is valid and ready to use." ou "SSO configuration has issues that need to be resolved." com estes problemas:
| Problema | Solução |
|---|---|
| "IdP Entity ID is required." / "IdP SSO URL is required." / "IdP X.509 certificate is required." | Preencha o campo SAML ausente. |
| "IdP SSO URL is not a valid URL." | Cole a URL de login completa. |
| "IdP certificate is not a valid X.509 certificate." | Cole o texto Base64 (PEM) do certificado, não um arquivo binário ou uma impressão digital. |
| "IdP certificate has expired." | Obtenha o certificado de assinatura atual do IdP e cole-o. |
| "OIDC Client ID is required." / "OIDC Client Secret is required." | Preencha o campo OIDC ausente. |
| "Either a Discovery URL or manual endpoint URLs are required." | Adicione uma Discovery URL ou os endpoints. |
| "Discovery URL is not a valid URL." | Cole o endereço completo. |
| "Could not load the OIDC discovery document. Check that the URL is correct and publicly reachable over HTTPS." | Abra a URL em um navegador; ela deve exibir JSON. Ela deve ser acessível pela internet, não apenas dentro da sua rede. |
| "Discovery document does not contain an authorization endpoint." | A URL não é uma configuração OpenID. Use a que termina em /.well-known/openid-configuration. |
| "No SSO configuration found. Please configure SSO first." | Salve uma configuração primeiro. |
| "The test could not run." | Verifique sua conexão e tente novamente. |
Saindo da conta
| Mensagem | Significado |
|---|---|
| "You have been signed out via SSO." | Seu IdP desconectou você do Clevera (SAML single logout). |
| "Single Logout is not available for this session." | O IdP enviou uma solicitação de logout, mas o SAML single logout não está configurado para seu workspace (sem Logout URL). |
| "Single Logout could not be completed." | A solicitação de logout não pôde ser verificada. Saia do Clevera diretamente. |
Outras situações
Alguém que você removeu no IdP ainda está conectado. O Clevera não sincroniza usuários do seu IdP, e as sessões de SSO permanecem conectadas até que a pessoa saia. Remova-os em Configurações da equipe → Membros.
Alguém no seu domínio se inscreveu com uma senha antes de entrar. A conta dessa pessoa está fora do seu workspace, então o SSO a recusa. Convide-a; após aceitar, o SSO funcionará e, com Require SSO ativado, a senha dela deixará de funcionar.
Um novo membro via SSO é Editor(a), não Criador de conteúdo. Sua função padrão é Criador de conteúdo, mas todas as licenças de criador estavam ocupadas quando a pessoa entrou pela primeira vez, então ela entrou como Editor(a). Adicione uma licença e altere a função em Configurações da equipe → Membros.
Um membro criado pelo SSO precisa de uma senha (o SSO foi desativado ou seu plano mudou). A pessoa deve clicar em Esqueceu a senha? na página de login para definir uma.
Entrando no aplicativo desktop com SSO. O aplicativo desktop abre a página de login no seu navegador. Digite seu e-mail de trabalho, clique em Continue with seu provedor e faça login no seu IdP: o navegador então redireciona você de volta ao aplicativo. Se isso não acontecer, inicie o login no aplicativo novamente; como o navegador já está conectado, ele se conectará imediatamente. Veja Entrar no aplicativo desktop.