แก้ไขปัญหาการลงชื่อเข้าใช้ด้วย SSO
ข้อความแจ้งเตือนการลงชื่อเข้าใช้ครั้งเดียว (SSO) ทั้งหมดใน Clevera สาเหตุและวิธีแก้ไข: บนหน้าลงชื่อเข้าใช้ หลังจากผ่านผู้ให้บริการข้อมูลประจำตัวของคุณ ขณะบันทึกการตั้งค่า ในการเรียกใช้การทดสอบ และเมื่อลงชื่อออก
บทความนี้แสดงรายการข้อความทั้งหมดที่ Clevera แจ้งเกี่ยวกับ SSO (Single Sign-On) สาเหตุและวิธีแก้ไข: บนหน้าลงชื่อเข้าใช้ หลังจากที่ผู้ให้บริการข้อมูลประจำตัว (IdP) ของคุณส่งผู้ใช้กลับมา ขณะบันทึกการตั้งค่า และใน Run test
ปัญหาการลงชื่อเข้าใช้ส่วนใหญ่เกิดจากหนึ่งในห้าสาเหตุนี้: โดเมนอีเมลของบุคคลนั้นไม่อยู่ในรายการของคุณ, พวกเขามีบัญชี Clevera อยู่แล้วนอกพื้นที่ทำงานของคุณ, IdP ลงชื่อเฉพาะบางส่วนของคำตอบ SAML, ค่าบางอย่างถูกคัดลอกมาผิด หรือการลงชื่อเข้าใช้เริ่มต้นจากที่อื่นที่ไม่ใช่หน้าลงชื่อเข้าใช้ของ Clevera
การตรวจสอบเบื้องต้น
| ตรวจสอบ | ตำแหน่ง |
|---|---|
| Enable SSO เปิดอยู่และป้ายกำกับแสดงว่า Active | Team settings → Security |
| โดเมนอีเมลที่ถูกต้องของบุคคลนั้นอยู่ใน Allowed email domains (โดเมนย่อยนับแยกกัน) | Team settings → Security |
| บุคคลนั้นถูกกำหนดให้อยู่ในแอปใน IdP ของคุณ | IdP ของคุณ |
| บุคคลนั้นเป็นสมาชิกของพื้นที่ทำงานของคุณ หรือยังไม่มีบัญชี Clevera | Team settings → Members |
| พวกเขาเริ่มต้นที่หน้าลงชื่อเข้าใช้ของ Clevera และพิมพ์อีเมลที่ทำงาน ไม่ใช่จากไทล์ในแดชบอร์ดของ IdP | หน้าลงชื่อเข้าใช้ |
| พื้นที่ทำงานยังคงอยู่ในแผน Custom | Billing |
หน้าลงชื่อเข้าใช้ไม่มีตัวเลือก SSO
เมื่อมีคนพิมพ์อีเมล หน้าลงชื่อเข้าใช้จะแสดง "Your organization uses Okta" (ชื่อผู้ให้บริการของคุณ หรือ "SSO" สำหรับผู้ให้บริการแบบกำหนดเอง) และปุ่ม Continue with เมื่อระบบจดจำโดเมนได้ หากไม่ปรากฏขึ้น:
- โดเมนไม่อยู่ใน Allowed email domains หรือมีการพิมพ์อีเมลผิด
- Enable SSO ปิดอยู่ หรือการกำหนดค่าไม่สมบูรณ์
- พื้นที่ทำงานไม่ได้อยู่ในแผนที่รวม SSO อีกต่อไป
การคลิกไทล์ Clevera ใน IdP ของคุณไม่สามารถลงชื่อเข้าใช้ได้
Clevera ยอมรับเฉพาะการลงชื่อเข้าใช้ที่เริ่มต้นจากหน้าลงชื่อเข้าใช้ของ Clevera เท่านั้น เมื่อมีคนคลิกไทล์ของ Clevera บนแดชบอร์ด Okta, ใน Microsoft My Apps หรือในเมนูแอปของ Google ทาง IdP จะส่งคำตอบที่ Clevera ไม่ได้ร้องขอ Clevera จะปฏิเสธและแสดงหน้าลงชื่อเข้าใช้พร้อมข้อความ "SSO session expired. Please try again."
นี่เป็นความตั้งใจของระบบ: การลงชื่อเข้าใช้ SAML แต่ละครั้งจะผูกกับเบราว์เซอร์ที่เริ่มต้นใช้งานและใช้ได้เพียงครั้งเดียว เพื่อไม่ให้ใครสามารถแทรกการลงชื่อเข้าใช้ของตนเองลงในเบราว์เซอร์ของผู้อื่นได้ โปรดแนะนำให้ผู้ใช้ไปที่หน้าลงชื่อเข้าใช้ของ Clevera พิมพ์อีเมลที่ทำงาน และคลิก Continue with ผู้ให้บริการของคุณ คุณสามารถซ่อนไทล์ใน IdP ของคุณเพื่อไม่ให้ใครพยายามใช้งานได้
ข้อความบนหน้าลงชื่อเข้าใช้
| ข้อความ | สาเหตุ | วิธีแก้ไข |
|---|---|---|
| "No SSO sign-in is available for this email address. Use your regular sign-in method instead." | ไม่มีการเชื่อมต่อ SSO ที่ใช้งานอยู่สำหรับโดเมนอีเมลนี้ | ตรวจสอบโดเมนและ Enable SSO |
| "SSO is not available for this team. The team subscription may have changed." | แผนของพื้นที่ทำงานไม่รวม SSO แล้ว | ติดต่อเราเกี่ยวกับแผน Custom ของคุณ ในระหว่างนี้สมาชิกให้ใช้รหัสผ่านหรือ Forgot password? |
| "Please enter a valid email address." | ช่องอีเมลไม่ใช่ที่อยู่อีเมลที่ถูกต้อง | พิมพ์ใหม่อีกครั้ง |
| "Failed to initiate SSO login. Please try again or use email/password." | Clevera ไม่สามารถสร้างคำขอลงชื่อเข้าใช้ได้ มักเกิดจาก URL การค้นพบ OIDC ไม่สามารถโหลดได้ในขณะนี้ | คลิก Run test ตรวจสอบว่า Discovery URL เป็นสาธารณะและถูกต้อง |
| "We couldn't start single sign-on. Try again." | คำขอล้มเหลวหรือมีความพยายามมากเกินไปในหนึ่งนาที | รอสักครู่แล้วลองใหม่อีกครั้ง |
| "We couldn't reach Clevera. Check your connection and try again." | ไม่มีการเชื่อมต่อกับ Clevera | ตรวจสอบเครือข่ายหรือ VPN |
| "Your organization requires Single Sign-On. Use the SSO button to continue." | สมาชิกพยายามใช้รหัสผ่านในขณะที่ Require SSO เปิดอยู่ | ใช้ Continue with ผู้ให้บริการของคุณ |
| "Your organization requires Single Sign-On. Please use the SSO option on the login page." | สมาชิกหรือผู้ใช้ใหม่ในโดเมนของคุณพยายามใช้ Continue with Google ในขณะที่ Require SSO เปิดอยู่ | พิมพ์อีเมลที่ทำงานและใช้ปุ่ม SSO |
เมื่อเปิด Require SSO หน้าลงชื่อเข้าใช้จะซ่อน Create an account สำหรับที่อยู่อีเมลในโดเมนของคุณด้วย
บนหน้าลงทะเบียน
| ข้อความ | สาเหตุ | วิธีแก้ไข |
|---|---|---|
| "Your organization signs in with single sign-on (SSO). Go to Sign in, enter this email and choose Continue with SSO." | ผู้ใช้ในโดเมนที่เปิด Require SSO พยายามสร้างบัญชีด้วยรหัสผ่าน | ไปที่หน้าลงชื่อเข้าใช้ พิมพ์อีเมลที่ทำงาน และคลิก Continue with ผู้ให้บริการของคุณ บัญชีจะถูกสร้างขึ้นในการลงชื่อเข้าใช้ SSO ครั้งแรกหากเปิด Create accounts on first sign-in ไว้ มิฉะนั้นเจ้าของต้องเชิญพวกเขาก่อน |
ข้อความหลังจากผ่านผู้ให้บริการข้อมูลประจำตัว
ข้อความเหล่านี้จะปรากฏที่ด้านบนของหน้าลงชื่อเข้าใช้ Clevera เมื่อ IdP ส่งผู้ใช้กลับมา
| ข้อความ | สาเหตุ | วิธีแก้ไข |
|---|---|---|
| "SSO session expired. Please try again." | Clevera ไม่สามารถจับคู่คำตอบกับการลงชื่อเข้าใช้ที่เริ่มต้นไว้ได้ มักเกิดจากการที่ผู้ใช้คลิกไทล์ Clevera บนแดชบอร์ด IdP, เปลี่ยนเบราว์เซอร์, ใช้ปุ่มย้อนกลับ, รีเฟรชเพื่อส่งคำขอใหม่ หรือใช้เวลาที่ IdP นานเกิน 10 นาที | เริ่มต้นใหม่จากหน้าลงชื่อเข้าใช้ Clevera ในเบราว์เซอร์เดิม ดู การคลิกไทล์ Clevera |
| "SSO session validation failed. Please try again." | สำหรับ OIDC เท่านั้น คำตอบเป็นของการลงชื่อเข้าใช้ครั้งอื่น เช่น หลังจากใช้ปุ่มย้อนกลับหรือลงชื่อเข้าใช้จากสองแท็บ | ปิดแท็บลงชื่อเข้าใช้ Clevera อื่นๆ แล้วเริ่มใหม่ |
| "SSO authentication was cancelled or denied. Please try again." | สำหรับ OIDC เท่านั้น IdP ส่งข้อผิดพลาดกลับมา: ผู้ใช้ยกเลิก, ไม่ได้ถูกกำหนดให้ใช้แอป หรือปฏิเสธการยินยอม | กำหนดให้พวกเขาใช้แอปใน IdP ของคุณ; ลองใหม่อีกครั้ง |
| "No authorization code received." | สำหรับ OIDC เท่านั้น IdP ส่งกลับมาโดยไม่มีรหัสลงชื่อเข้าใช้ | ตรวจสอบว่าแอปถูกตั้งค่าเป็น Authorization Code grant |
| "SSO configuration not found or disabled." | SSO ถูกปิดหรือลบออกในขณะที่ผู้ใช้กำลังลงชื่อเข้าใช้ | เปิด Enable SSO อีกครั้ง |
| "Your email domain is not authorized for this team's SSO." | อีเมลที่ IdP ส่งมาใช้โดเมนที่ไม่อยู่ใน Allowed email domains มักพบในนามแฝง, โดเมนรอง หรือชื่อลงชื่อเข้าใช้ที่ต่างจากอีเมล | เพิ่มโดเมน หรือเปลี่ยนสิ่งที่ IdP ส่งมาเป็นอีเมล (Name ID หรือ email claim) |
| "This account is no longer available." | บัญชีกำลังถูกลบ | ไม่สามารถลงชื่อเข้าใช้ได้อีก ให้ใช้อีเมลอื่น |
| "SSO authentication failed. Please contact your team administrator or use another sign-in method." | คำตอบถูกปฏิเสธ ดู สาเหตุด้านล่าง | ทำตามรายการด้านล่าง |
"SSO authentication failed"
ข้อความนี้ครอบคลุมทุกกรณีที่ Clevera ปฏิเสธคำตอบ ดังนั้นโปรดตรวจสอบตามลำดับนี้:
| สาเหตุ | วิธีแก้ไข |
|---|---|
| บุคคลนั้นมีบัญชี Clevera อยู่แล้วแต่ไม่ได้เป็นสมาชิกของพื้นที่ทำงานของคุณ SSO จะไม่เข้าควบคุมบัญชีภายนอก | เชิญพวกเขา เมื่อพวกเขายอมรับ SSO จะทำงาน |
| บุคคลนั้นไม่มีบัญชีและ Create accounts on first sign-in ปิดอยู่ | เชิญพวกเขา หรือเปิดการตั้งค่านี้ |
| เจ้าของกำลังลงชื่อเข้าใช้ผ่านการเชื่อมต่อที่ผู้อื่นบันทึกไว้ (เช่น หลังจากการ โอนความเป็นเจ้าของ) | เจ้าของปัจจุบันเปิด Edit และบันทึกการเชื่อมต่อหนึ่งครั้ง จนกว่าจะถึงตอนนั้น ให้ลงชื่อเข้าใช้ด้วยรหัสผ่าน |
| SAML: มีการลงชื่อเฉพาะ assertion (หรือเฉพาะ response) | ตั้งค่าให้ IdP ลงชื่อทั้งสองส่วน |
| SAML: ใบรับรองใน Clevera ไม่ใช่ใบรับรองการลงชื่อปัจจุบันของ IdP | วางใบรับรองปัจจุบัน (Edit → ขั้นตอนที่ 2) แล้วบันทึก |
| SAML: audience หรือ recipient ของ IdP ไม่ตรงกัน | audience ต้องตรงกับ Entity ID / Audience URI ของ Clevera และ recipient หรือ destination ต้องตรงกับ https://app.clevera.ai/sso/saml/callback พอดี |
| SAML: assertion ถูกเข้ารหัส | ปิดการเข้ารหัส assertion |
SAML: ไม่มีอีเมล Name ID ไม่ใช่อีเมลและไม่มีแอตทริบิวต์ email |
ตั้งค่ารูปแบบ Name ID เป็น EmailAddress พร้อมอีเมลของบุคคลนั้น |
| SAML: IdP Entity ID ใน Clevera ไม่ตรงกับผู้ออก (issuer) ในคำตอบ | คัดลอกผู้ออก (issuer) จาก IdP อีกครั้ง |
| OIDC: client secret ผิดหรือหมดอายุ หรือ redirect URI ไม่ตรงกัน | วาง secret ใหม่ (Edit); redirect URI ต้องตรงกับ Redirect URI (callback URL) ที่แสดงในกล่องโต้ตอบการตั้งค่า https://app.clevera.ai/sso/oidc/callback พอดี |
OIDC: ไม่มีอีเมลที่ถูกต้องใน claim email, preferred_username หรือ upn |
เพิ่ม email claim ใน IdP ของคุณ หรือระบุที่อยู่อีเมลให้บุคคลนั้น |
| OIDC: ผู้ออก (issuer) ไม่ตรงกับ discovery URL เช่น URL แบบหลายผู้เช่า (multi-tenant) | ใช้ discovery URL ของผู้เช่าของคุณเอง |
เมื่อ IdP ของคุณหมุนเวียนคีย์การลงชื่อ OIDC Clevera จะดึงคีย์ใหม่หนึ่งครั้งก่อนที่จะปฏิเสธการลงชื่อเข้าใช้ ดังนั้นการหมุนเวียนคีย์เพียงอย่างเดียวจะไม่ทำให้เกิดข้อความนี้
หากไม่มีข้อใดตรงกับปัญหาของคุณ โปรดติดต่อฝ่ายสนับสนุนพร้อมระบุอีเมลที่เข้าสู่ระบบไม่ได้และเวลาที่เกิดปัญหา เราสามารถตรวจสอบสาเหตุที่แน่ชัดได้จากบันทึกของเรา
ข้อความระหว่างการตั้งค่า
| ข้อความ | วิธีแก้ไข |
|---|---|
| "SSO is available on the Custom plan." | แสดงขึ้นเมื่อคุณบันทึกในขณะที่พื้นที่ทำงานไม่ได้อยู่ในแผน Custom เช่น หลังจากแผนเปลี่ยนในขณะที่หน้าเว็บยังเปิดอยู่ ติดต่อเรา เพื่อเพิ่ม SSO |
| "Identity provider Entity ID is required." / "Identity Provider Entity ID is required." | กรอกข้อมูลใน IdP Entity ID |
| "SSO sign-in URL is required." / "Identity Provider SSO URL is required." | กรอกข้อมูลใน SSO sign-in URL |
| "SSO sign-in URL must be a valid URL." / "Logout URL must be a valid URL." | วางที่อยู่แบบเต็มโดยขึ้นต้นด้วย https:// |
| "X.509 certificate is required." / "An IdP certificate is required." | วางใบรับรองการลงนามของ IdP |
| "Client ID is required." / "OIDC Client ID is required." | กรอกข้อมูลใน Client ID |
| "Client secret is required." / "OIDC Client Secret is required." | กรอกข้อมูลใน Client secret |
| "A valid authorization URL is required." / "A valid token URL is required." | กรอกข้อมูลในช่องปลายทาง หรือใช้ Discovery URL แทน |
| "Discovery URL must be a valid URL." / "UserInfo URL must be a valid URL." | วางที่อยู่แบบเต็ม |
| "Add at least one allowed domain." | เพิ่มโดเมนภายใต้ Allowed email domains |
| "Enter a company domain such as example.com." | พิมพ์เฉพาะชื่อโดเมน เช่น acme.example |
| "This domain is already on the list." | โดเมนนี้ถูกเพิ่มไว้แล้ว |
| "The domain acme.example is already assigned to another team." | มีพื้นที่ทำงาน Clevera อื่นใช้โดเมนนี้อยู่ โปรดติดต่อฝ่ายสนับสนุนหากเป็นของคุณ |
| "Automatically provisioned users cannot be granted the Administrator role by default." | เลือก Editor หรือ Content Creator หรือปิด Create accounts on first sign-in |
| "Fix the highlighted fields before saving." | กล่องโต้ตอบจะเลื่อนไปยังขั้นตอนที่มีปัญหา |
| "Finish the SSO configuration before enabling sign-in for your team." | กรอกข้อมูลในช่องที่จำเป็นให้ครบถ้วน จากนั้นเปิดใช้งาน Enable SSO |
| "SSO must be enabled before enforcement can be turned on." | เปิดใช้งาน Enable SSO ก่อน |
| "Only the team owner can change SSO settings." | โปรดสอบถามเจ้าของทีม ผู้ดูแลระบบไม่สามารถเปลี่ยนการตั้งค่า SSO ได้ |
| "SSO settings did not load" | คลิก Try again หรือรีโหลดหน้าเว็บ |
| "Copying is blocked here. Select the value instead." | เบราว์เซอร์ของคุณบล็อกปุ่มคัดลอก ให้เลือกข้อความแล้วคัดลอกด้วยตนเอง |
ผลการทดสอบการทำงาน
Run test จะตรวจสอบการตั้งค่าที่บันทึกไว้ ไม่ใช่การเข้าสู่ระบบจริง โดยจะแสดงข้อความ "SSO configuration is valid and ready to use." หรือ "SSO configuration has issues that need to be resolved." พร้อมระบุปัญหาดังนี้:
| ปัญหา | วิธีแก้ไข |
|---|---|
| "IdP Entity ID is required." / "IdP SSO URL is required." / "IdP X.509 certificate is required." | กรอกข้อมูลในช่อง SAML ที่ขาดหายไป |
| "IdP SSO URL is not a valid URL." | วาง URL สำหรับเข้าสู่ระบบแบบเต็ม |
| "IdP certificate is not a valid X.509 certificate." | วางข้อความ Base64 (PEM) ของใบรับรอง ไม่ใช่ไฟล์ไบนารีหรือลายนิ้วมือ |
| "IdP certificate has expired." | รับใบรับรองการลงนามปัจจุบันของ IdP แล้วนำมาวาง |
| "OIDC Client ID is required." / "OIDC Client Secret is required." | กรอกข้อมูลในช่อง OIDC ที่ขาดหายไป |
| "Either a Discovery URL or manual endpoint URLs are required." | เพิ่ม Discovery URL หรือกรอกข้อมูลช่องปลายทาง |
| "Discovery URL is not a valid URL." | วางที่อยู่แบบเต็ม |
| "Could not load the OIDC discovery document. Check that the URL is correct and publicly reachable over HTTPS." | เปิด URL ในเบราว์เซอร์ ซึ่งควรแสดงเป็น JSON โดยต้องสามารถเข้าถึงได้จากอินเทอร์เน็ต ไม่ใช่แค่ภายในเครือข่ายของคุณ |
| "Discovery document does not contain an authorization endpoint." | URL ดังกล่าวไม่ใช่การกำหนดค่า OpenID ให้ใช้ URL ที่ลงท้ายด้วย /.well-known/openid-configuration |
| "No SSO configuration found. Please configure SSO first." | บันทึกการกำหนดค่าก่อน |
| "The test could not run." | ตรวจสอบการเชื่อมต่อของคุณแล้วลองใหม่อีกครั้ง |
การออกจากระบบ
| ข้อความ | ความหมาย |
|---|---|
| "You have been signed out via SSO." | IdP ของคุณได้ลงชื่อออกจาก Clevera ให้คุณแล้ว (SAML single logout) |
| "Single Logout is not available for this session." | IdP ส่งคำขอออกจากระบบมา แต่ไม่ได้ตั้งค่า SAML single logout ไว้สำหรับพื้นที่ทำงานของคุณ (ไม่มี Logout URL) |
| "Single Logout could not be completed." | ไม่สามารถยืนยันคำขอออกจากระบบได้ ให้ลงชื่อออกจาก Clevera โดยตรง |
สถานการณ์อื่นๆ
บุคคลที่คุณลบออกจาก IdP แล้วยังคงลงชื่อเข้าใช้อยู่ Clevera ไม่ได้ซิงค์ผู้ใช้จาก IdP ของคุณ และเซสชัน SSO จะยังคงลงชื่อเข้าใช้อยู่จนกว่าบุคคลนั้นจะออกจากระบบ ให้ลบพวกเขาออกใน Team settings → Members
บุคคลในโดเมนของคุณลงชื่อสมัครใช้ด้วยรหัสผ่านก่อนที่จะเข้าร่วม บัญชีของพวกเขาอยู่นอกพื้นที่ทำงานของคุณ SSO จึงปฏิเสธการเข้าถึง ให้เชิญพวกเขาเข้าร่วม หลังจากที่พวกเขายอมรับ SSO จะทำงาน และหากเปิด Require SSO ไว้ รหัสผ่านของพวกเขาจะใช้งานไม่ได้อีกต่อไป
สมาชิก SSO ใหม่เป็น Editor ไม่ใช่ Content Creator บทบาทเริ่มต้นของคุณคือ Content Creator แต่ที่นั่งสำหรับผู้สร้างเนื้อหาเต็มในตอนที่พวกเขาลงชื่อเข้าใช้ครั้งแรก พวกเขาจึงเข้าร่วมในฐานะ Editor ให้เพิ่มที่นั่ง จากนั้นเปลี่ยนบทบาทของพวกเขาใน Team settings → Members
สมาชิกที่สร้างโดย SSO ต้องการรหัสผ่าน (SSO ถูกปิด หรือแผนของคุณเปลี่ยนไป) พวกเขาสามารถคลิก Forgot password? ในหน้าลงชื่อเข้าใช้เพื่อตั้งรหัสผ่านใหม่
การลงชื่อเข้าใช้แอปเดสก์ท็อปด้วย SSO แอปเดสก์ท็อปจะเปิดหน้าลงชื่อเข้าใช้ในเบราว์เซอร์ของคุณ ให้พิมพ์อีเมลที่ทำงาน คลิก Continue with ผู้ให้บริการของคุณ แล้วลงชื่อเข้าใช้ที่ IdP ของคุณ จากนั้นเบราว์เซอร์จะส่งคุณกลับไปยังแอป หากไม่เป็นเช่นนั้น ให้เริ่มการลงชื่อเข้าใช้ในแอปอีกครั้ง เนื่องจากเบราว์เซอร์ลงชื่อเข้าใช้ไว้แล้ว ระบบจะเชื่อมต่อทันที ดู Sign in to the desktop app