Åtgärda problem med SSO-inloggning
Varje enskilt inloggningsmeddelande i Clevera, vad som orsakar det och hur du åtgärdar det: på inloggningssidan, efter din identitetsleverantör, vid sparande av konfigurationen, i **Kör test**, och vid utloggning.
Den här artikeln listar varje meddelande som Clevera visar gällande enkel inloggning (SSO), vad som orsakar det och hur du åtgärdar det: på inloggningssidan, efter att din identitetsleverantör (IdP) skickar tillbaka en användare, vid sparande av konfigurationen, och i Kör test.
De flesta inloggningsproblem beror på en av fem saker: personens e-postdomän finns inte med på din lista, de har redan ett Clevera-konto utanför din arbetsyta, IdP:n signerar bara en del av SAML-svaret, ett värde kopierades felaktigt, eller så påbörjades inloggningen någon annanstans än på Cleveras inloggningssida.
Snabba kontroller
| Kontroll | Var |
|---|---|
| Aktivera SSO är på och märket visar Aktiv | Teaminställningar → Säkerhet |
| Personens exakta e-postdomän finns i Tillåtna e-postdomäner (underdomäner räknas separat) | Teaminställningar → Säkerhet |
| Personen är tilldelad appen i din IdP | Din IdP |
| Personen är medlem i din arbetsyta, eller har inget Clevera-konto än | Teaminställningar → Medlemmar |
| De startade på Cleveras inloggningssida och skrev in sin arbets-e-post, inte på en ikon i din IdP-instrumentpanel | Inloggningssidan |
| Arbetsytan har fortfarande en Custom-plan | Fakturering |
Inloggningssidan erbjuder inte SSO
När någon skriver in sin e-post visar inloggningssidan "Din organisation använder Okta" (din leverantörs namn, eller "SSO" för en anpassad leverantör) och en Fortsätt med-knapp när domänen känns igen. Om den inte visas:
- Domänen finns inte i Tillåtna e-postdomäner, eller så finns det ett skrivfel i e-postadressen.
- Aktivera SSO är avstängt, eller så är konfigurationen inte komplett.
- Arbetsytan har inte längre en plan som inkluderar SSO.
Att klicka på Clevera-ikonen i din IdP loggar inte in
Clevera accepterar endast inloggningar som påbörjas på Cleveras inloggningssida. När någon klickar på Cleveras ikon på Okta-instrumentpanelen, i Microsoft My Apps eller i Google-appmenyn, skickar IdP:n ett svar som Clevera aldrig bad om. Clevera nekar det och visar sin inloggningssida med "SSO-sessionen har gått ut. Försök igen."
Detta är avsiktligt: varje SAML-inloggning är kopplad till webbläsaren som startade den och kan användas en gång, så att ingen kan smyga in sin egen inloggning i någon annans webbläsare. Be användare att gå till Cleveras inloggningssida, skriva in sin arbets-e-post och klicka på Fortsätt med din leverantör. Du kan dölja ikonen i din IdP så att ingen försöker använda den.
Meddelanden på inloggningssidan
| Meddelande | Orsak | Åtgärd |
|---|---|---|
| "Ingen SSO-inloggning är tillgänglig för denna e-postadress. Använd din vanliga inloggningsmetod istället." | Ingen aktiv SSO-anslutning täcker denna e-postdomän. | Kontrollera domänen och Aktivera SSO. |
| "SSO är inte tillgängligt för detta team. Teamets prenumeration kan ha ändrats." | Arbetsytans plan inkluderar inte längre SSO. | Kontakta oss angående din Custom-plan. Medlemmar använder sitt lösenord eller Glömt lösenordet? under tiden. |
| "Vänligen ange en giltig e-postadress." | E-postfältet innehåller inte en giltig adress. | Skriv in den igen. |
| "Kunde inte initiera SSO-inloggning. Försök igen eller använd e-post/lösenord." | Clevera kunde inte skapa inloggningsförfrågan, vanligtvis för att en OIDC-discovery-URL inte kan laddas just nu. | Klicka på Kör test. Kontrollera att Discovery URL är publik och korrekt. |
| "Vi kunde inte starta enkel inloggning. Försök igen." | Förfrågan misslyckades eller så gjordes för många försök på en minut. | Vänta en minut och försök igen. |
| "Vi kunde inte nå Clevera. Kontrollera din anslutning och försök igen." | Ingen anslutning till Clevera. | Kontrollera nätverket eller VPN. |
| "Din organisation kräver enkel inloggning. Använd SSO-knappen för att fortsätta." | En medlem försökte använda sitt lösenord medan Kräv SSO är på. | Använd Fortsätt med din leverantör. |
| "Din organisation kräver enkel inloggning. Vänligen använd SSO-alternativet på inloggningssidan." | En medlem, eller någon ny på din domän, försökte använda Fortsätt med Google medan Kräv SSO är på. | Skriv in arbets-e-posten och använd SSO-knappen. |
När Kräv SSO är på döljer inloggningssidan även Skapa ett konto för adresser på dina domäner.
På registreringssidan
| Meddelande | Orsak | Åtgärd |
|---|---|---|
| "Din organisation loggar in med enkel inloggning (SSO). Gå till Logga in, ange denna e-post och välj Fortsätt med SSO." | Någon på en domän med Kräv SSO på försökte skapa ett konto med ett lösenord. | Gå till inloggningssidan, skriv in arbets-e-posten och klicka på Fortsätt med din leverantör. Kontot skapas vid första SSO-inloggningen om Skapa konton vid första inloggning är på; annars bjuder ägaren in dem först. |
Meddelanden efter identitetsleverantören
Dessa visas högst upp på Cleveras inloggningssida när IdP:n skickar tillbaka personen.
| Meddelande | Orsak | Åtgärd |
|---|---|---|
| "SSO-sessionen har gått ut. Försök igen." | Clevera kunde inte matcha svaret med en inloggning som den startade. Vanligtvis klickade personen på Cleveras ikon på IdP:ns instrumentpanel, bytte webbläsare, använde bakåtknappen eller uppdaterade sidan för att skicka inloggningen igen, eller tog längre tid än 10 minuter hos IdP:n. | Börja om från Cleveras inloggningssida i samma webbläsare. Se Att klicka på Clevera-ikonen. |
| "Validering av SSO-session misslyckades. Försök igen." | Endast OIDC. Svaret tillhör ett annat inloggningsförsök, till exempel efter att ha använt bakåtknappen eller loggat in från två flikar. | Stäng andra Clevera-inloggningsflikar och börja om. |
| "SSO-autentisering avbröts eller nekades. Försök igen." | Endast OIDC. IdP:n returnerade ett fel: personen avbröt, är inte tilldelad appen, eller samtycke nekades. | Tilldela dem appen i din IdP; försök igen. |
| "Ingen auktoriseringskod mottagen." | Endast OIDC. IdP:n kom tillbaka utan en inloggningskod. | Kontrollera att appen är inställd på Authorization Code-beviljande. |
| "SSO-konfiguration hittades inte eller är inaktiverad." | SSO stängdes av eller togs bort medan personen loggade in. | Slå på Aktivera SSO igen. |
| "Din e-postdomän är inte auktoriserad för detta teams SSO." | E-postadressen som IdP:n skickade använder en domän som inte finns i Tillåtna e-postdomäner. Vanligt med alias, sekundära domäner eller ett inloggningsnamn som skiljer sig från e-postadressen. | Lägg till domänen, eller ändra vad IdP:n skickar som e-post (Name ID eller email-anspråk). |
| "Detta konto är inte längre tillgängligt." | Kontot håller på att raderas. | Det går inte att logga in igen. Använd en annan e-post. |
| "SSO-autentisering misslyckades. Vänligen kontakta din teamadministratör eller använd en annan inloggningsmetod." | Svaret nekades. Se orsakerna nedan. | Gå igenom listan nedan. |
"SSO-autentisering misslyckades"
Detta meddelande täcker alla fall där Clevera nekar svaret, så kontrollera dessa i ordning:
| Orsak | Åtgärd |
|---|---|
| Personen har redan ett Clevera-konto men är inte medlem i din arbetsyta. SSO tar aldrig över ett externt konto. | Bjud in dem. När de accepterar fungerar SSO. |
| Personen har inget konto och Skapa konton vid första inloggning är avstängt. | Bjud in dem, eller slå på inställningen. |
| Ägaren loggar in via en anslutning som någon annan sparade (till exempel efter en överföring av ägarskap). | Den nuvarande ägaren öppnar Redigera och sparar anslutningen en gång. Fram till dess, logga in med lösenordet. |
| SAML: endast försäkran (eller endast svaret) är signerad. | Se till att IdP:n signerar båda. |
| SAML: certifikatet i Clevera är inte IdP:ns nuvarande signeringscertifikat. | Klistra in det nuvarande certifikatet (Redigera → steg 2) och spara. |
| SAML: IdP:ns målgrupp eller mottagare matchar inte. | Målgruppen måste vara exakt Cleveras Entity ID / Audience URI, och mottagaren eller destinationen exakt https://app.clevera.ai/sso/saml/callback. |
| SAML: försäkran är krypterad. | Stäng av kryptering av försäkran. |
SAML: ingen e-post. Name ID är inte en e-post och det finns inget email-attribut. |
Ställ in Name ID-formatet till EmailAddress med personens e-post. |
| SAML: IdP Entity ID i Clevera matchar inte utfärdaren i svaret. | Kopiera utfärdaren igen från IdP:n. |
| OIDC: klienthemligheten är felaktig eller har gått ut, eller så matchar inte omdirigerings-URI:n. | Klistra in en ny hemlighet (Redigera); omdirigerings-URI:n måste vara exakt den Redirect URI (callback URL) som visas i konfigurationsdialogen, https://app.clevera.ai/sso/oidc/callback. |
OIDC: ingen giltig e-post i email, preferred_username eller upn-anspråken. |
Lägg till e-postanspråket i din IdP, eller ge personen en e-postadress. |
| OIDC: utfärdaren matchar inte discovery-URL:en, till exempel en URL för flera klientorganisationer. | Använd din egen klientorganisations discovery-URL. |
När din IdP roterar sina OIDC-signeringsnycklar hämtar Clevera de nya nycklarna en gång innan en inloggning nekas, så rotation i sig orsakar inte detta meddelande.
Om inget av detta stämmer, kontakta supporten med e-postadressen som misslyckades och tidpunkten för försöket. Vi kan se den exakta orsaken i våra loggar.
Meddelanden vid konfiguration
| Meddelande | Lösning |
|---|---|
| "SSO is available on the Custom plan." | Visas när du sparar medan arbetsytan inte har en Custom-plan, till exempel efter att planen ändrats medan sidan var öppen. Kontakta oss för att lägga till SSO. |
| "Identity provider Entity ID is required." / "Identity Provider Entity ID is required." | Fyll i IdP Entity ID. |
| "SSO sign-in URL is required." / "Identity Provider SSO URL is required." | Fyll i SSO sign-in URL. |
| "SSO sign-in URL must be a valid URL." / "Logout URL must be a valid URL." | Klistra in hela adressen, som börjar med https://. |
| "X.509 certificate is required." / "An IdP certificate is required." | Klistra in IdP:ns signeringscertifikat. |
| "Client ID is required." / "OIDC Client ID is required." | Fyll i Client ID. |
| "Client secret is required." / "OIDC Client Secret is required." | Fyll i Client secret. |
| "A valid authorization URL is required." / "A valid token URL is required." | Fyll i slutpunkterna, eller en Discovery URL istället. |
| "Discovery URL must be a valid URL." / "UserInfo URL must be a valid URL." | Klistra in hela adressen. |
| "Add at least one allowed domain." | Lägg till en domän under Allowed email domains. |
| "Enter a company domain such as example.com." | Skriv endast domänen, till exempel acme.example. |
| "This domain is already on the list." | Den är redan tillagd. |
| "The domain acme.example is already assigned to another team." | En annan Clevera-arbetsyta använder den domänen. Kontakta supporten om det är din. |
| "Automatically provisioned users cannot be granted the Administrator role by default." | Välj Redigerare eller Innehållsskapare, eller stäng av Create accounts on first sign-in. |
| "Fix the highlighted fields before saving." | Dialogrutan hoppar till steget med problemet. |
| "Finish the SSO configuration before enabling sign-in for your team." | Fyll i de obligatoriska fälten och slå sedan på Enable SSO. |
| "SSO must be enabled before enforcement can be turned on." | Slå på Enable SSO först. |
| "Only the team owner can change SSO settings." | Be ägaren. Administratörer kan inte ändra SSO-inställningar. |
| "SSO settings did not load" | Klicka på Försök igen, eller ladda om sidan. |
| "Copying is blocked here. Select the value instead." | Din webbläsare blockerade kopieringsknappen. Markera texten och kopiera den manuellt. |
Resultat från testkörning
Run test kontrollerar de sparade inställningarna, inte en faktisk inloggning. Den visar "SSO configuration is valid and ready to use." eller "SSO configuration has issues that need to be resolved." med följande problem:
| Problem | Lösning |
|---|---|
| "IdP Entity ID is required." / "IdP SSO URL is required." / "IdP X.509 certificate is required." | Fyll i det saknade SAML-fältet. |
| "IdP SSO URL is not a valid URL." | Klistra in hela inloggnings-URL:en. |
| "IdP certificate is not a valid X.509 certificate." | Klistra in Base64 (PEM)-texten för certifikatet, inte en binärfil eller ett fingeravtryck. |
| "IdP certificate has expired." | Hämta IdP:ns aktuella signeringscertifikat och klistra in det. |
| "OIDC Client ID is required." / "OIDC Client Secret is required." | Fyll i det saknade OIDC-fältet. |
| "Either a Discovery URL or manual endpoint URLs are required." | Lägg till en Discovery URL, eller slutpunkterna. |
| "Discovery URL is not a valid URL." | Klistra in hela adressen. |
| "Could not load the OIDC discovery document. Check that the URL is correct and publicly reachable over HTTPS." | Öppna URL:en i en webbläsare; den bör visa JSON. Den måste vara nåbar från internet, inte bara inifrån ditt nätverk. |
| "Discovery document does not contain an authorization endpoint." | URL:en är inte en OpenID-konfiguration. Använd den som slutar på /.well-known/openid-configuration. |
| "No SSO configuration found. Please configure SSO first." | Spara en konfiguration först. |
| "The test could not run." | Kontrollera din anslutning och försök igen. |
Utloggning
| Meddelande | Betydelse |
|---|---|
| "You have been signed out via SSO." | Din IdP loggade ut dig från Clevera (SAML single logout). |
| "Single Logout is not available for this session." | IdP:n skickade en utloggningsförfrågan, men SAML single logout är inte konfigurerat för din arbetsyta (ingen Logout URL). |
| "Single Logout could not be completed." | Utloggningsförfrågan kunde inte verifieras. Logga ut direkt i Clevera. |
Andra situationer
Någon du tagit bort i IdP:n är fortfarande inloggad. Clevera synkroniserar inte användare från din IdP, och SSO-sessioner förblir inloggade tills personen loggar ut. Ta bort dem under Teaminställningar → Medlemmar.
Någon på din domän registrerade sig med ett lösenord innan de gick med. Deras konto finns utanför din arbetsyta, så SSO nekar det. Bjud in dem; när de har accepterat fungerar SSO, och med Require SSO aktiverat slutar deras lösenord att fungera.
En ny SSO-medlem är Redigerare, inte Innehållsskapare. Din standardroll är Innehållsskapare, men varje skaparplats var upptagen när de loggade in första gången, så de gick med som Redigerare. Lägg till en plats och ändra sedan deras roll under Teaminställningar → Medlemmar.
En medlem som skapats via SSO behöver ett lösenord (SSO var avstängt eller din plan ändrades). De klickar på Glömt lösenordet? på inloggningssidan för att ställa in ett.
Logga in i skrivbordsappen med SSO. Skrivbordsappen öppnar inloggningssidan i din webbläsare. Skriv din arbets-e-post, klicka på Continue with din leverantör och logga in hos din IdP: webbläsaren skickar dig sedan tillbaka till appen. Om det inte sker, starta inloggningen i appen igen; eftersom webbläsaren nu är inloggad ansluter den direkt. Se Logga in i skrivbordsappen.