Khắc phục sự cố đăng nhập SSO
Mọi thông báo đăng nhập một lần (SSO) trong Clevera, nguyên nhân và cách khắc phục: trên trang đăng nhập, sau khi qua nhà cung cấp danh tính, trong khi lưu thiết lập, trong phần **Run test**, và khi đăng xuất.
Bài viết này liệt kê mọi thông báo mà Clevera hiển thị về đăng nhập một lần (SSO), nguyên nhân và cách khắc phục: trên trang đăng nhập, sau khi nhà cung cấp danh tính (IdP) của bạn chuyển hướng người dùng quay lại, trong khi lưu thiết lập, và trong phần Run test.
Hầu hết các sự cố đăng nhập đều xuất phát từ một trong năm nguyên nhân: miền email của người dùng không nằm trong danh sách của bạn, họ đã có tài khoản Clevera bên ngoài không gian làm việc của bạn, IdP chỉ ký một phần phản hồi SAML, một giá trị bị sao chép sai, hoặc quá trình đăng nhập bắt đầu ở nơi khác thay vì trang đăng nhập của Clevera.
Kiểm tra nhanh
| Kiểm tra | Vị trí |
|---|---|
| Enable SSO đã bật và huy hiệu hiển thị Đang hoạt động | Cài đặt nhóm → Bảo mật |
| Miền email chính xác của người dùng nằm trong Allowed email domains (tên miền phụ được tính riêng) | Cài đặt nhóm → Bảo mật |
| Người dùng đã được gán vào ứng dụng trong IdP của bạn | IdP của bạn |
| Người dùng là thành viên của không gian làm việc của bạn, hoặc chưa có tài khoản Clevera | Cài đặt nhóm → Thành viên |
| Họ bắt đầu từ trang đăng nhập Clevera và nhập email công việc, không phải từ ô trên bảng điều khiển của IdP | Trang đăng nhập |
| Không gian làm việc vẫn đang sử dụng gói Custom | Thanh toán |
Trang đăng nhập không hiển thị tùy chọn SSO
Khi ai đó nhập email, trang đăng nhập sẽ hiển thị "Your organization uses Okta" (tên nhà cung cấp của bạn, hoặc "SSO" cho nhà cung cấp tùy chỉnh) và nút Continue with sau khi nhận diện được miền. Nếu thông báo này không xuất hiện:
- Miền không nằm trong Allowed email domains, hoặc có lỗi chính tả trong email.
- Enable SSO đang tắt, hoặc cấu hình chưa hoàn tất.
- Không gian làm việc không còn sử dụng gói có hỗ trợ SSO.
Nhấp vào ô Clevera trong IdP không đăng nhập được
Clevera chỉ chấp nhận đăng nhập bắt đầu từ trang đăng nhập của Clevera. Khi ai đó nhấp vào ô Clevera trên bảng điều khiển Okta, trong Microsoft My Apps hoặc trong menu ứng dụng Google, IdP sẽ gửi một phản hồi mà Clevera không yêu cầu. Clevera từ chối phản hồi đó và hiển thị trang đăng nhập với thông báo "SSO session expired. Please try again."
Đây là thiết kế có chủ đích: mỗi lần đăng nhập SAML đều gắn liền với trình duyệt đã khởi tạo nó và chỉ được sử dụng một lần, để đảm bảo không ai có thể chèn phiên đăng nhập của họ vào trình duyệt của người khác. Hãy yêu cầu người dùng truy cập trang đăng nhập Clevera, nhập email công việc và nhấp vào Continue with nhà cung cấp của bạn. Bạn có thể ẩn ô ứng dụng trong IdP để tránh việc người dùng nhấp vào đó.
Thông báo trên trang đăng nhập
| Thông báo | Nguyên nhân | Khắc phục |
|---|---|---|
| "No SSO sign-in is available for this email address. Use your regular sign-in method instead." | Không có kết nối SSO đang hoạt động nào cho miền email này. | Kiểm tra miền và Enable SSO. |
| "SSO is not available for this team. The team subscription may have changed." | Gói của không gian làm việc không còn bao gồm SSO. | Liên hệ với chúng tôi về gói Custom của bạn. Trong thời gian chờ đợi, thành viên hãy sử dụng mật khẩu hoặc Quên mật khẩu?. |
| "Please enter a valid email address." | Trường email không phải là địa chỉ hợp lệ. | Nhập lại. |
| "Failed to initiate SSO login. Please try again or use email/password." | Clevera không thể tạo yêu cầu đăng nhập, thường do URL khám phá OIDC không thể tải tại thời điểm này. | Nhấp vào Run test. Kiểm tra xem Discovery URL có công khai và chính xác không. |
| "We couldn't start single sign-on. Try again." | Yêu cầu thất bại hoặc có quá nhiều lần thử trong một phút. | Đợi một phút và thử lại. |
| "We couldn't reach Clevera. Check your connection and try again." | Không có kết nối tới Clevera. | Kiểm tra mạng hoặc VPN. |
| "Your organization requires Single Sign-On. Use the SSO button to continue." | Một thành viên đã thử dùng mật khẩu trong khi Require SSO đang bật. | Sử dụng Continue with nhà cung cấp của bạn. |
| "Your organization requires Single Sign-On. Please use the SSO option on the login page." | Một thành viên, hoặc người mới trên miền của bạn, đã thử Continue with Google trong khi Require SSO đang bật. | Nhập email công việc và sử dụng nút SSO. |
Khi Require SSO được bật, trang đăng nhập cũng sẽ ẩn tùy chọn Tạo tài khoản cho các địa chỉ thuộc miền của bạn.
Trên trang đăng ký
| Thông báo | Nguyên nhân | Khắc phục |
|---|---|---|
| "Your organization signs in with single sign-on (SSO). Go to Sign in, enter this email and choose Continue with SSO." | Người dùng trên miền có bật Require SSO đã thử tạo tài khoản bằng mật khẩu. | Truy cập trang đăng nhập, nhập email công việc và nhấp vào Continue with nhà cung cấp của bạn. Tài khoản sẽ được tạo trong lần đăng nhập SSO đầu tiên nếu Create accounts on first sign-in được bật; nếu không, chủ sở hữu cần mời họ trước. |
Thông báo sau khi qua nhà cung cấp danh tính
Các thông báo này xuất hiện ở đầu trang đăng nhập Clevera khi IdP chuyển hướng người dùng quay lại.
| Thông báo | Nguyên nhân | Khắc phục |
|---|---|---|
| "SSO session expired. Please try again." | Clevera không thể khớp phản hồi với phiên đăng nhập đã bắt đầu. Thường do người dùng nhấp vào ô Clevera trên bảng điều khiển IdP, đổi trình duyệt, dùng nút quay lại, làm mới trang để gửi lại yêu cầu, hoặc mất hơn 10 phút tại IdP. | Bắt đầu lại từ trang đăng nhập Clevera trên cùng trình duyệt. Xem Nhấp vào ô Clevera. |
| "SSO session validation failed. Please try again." | Chỉ dành cho OIDC. Phản hồi thuộc về một lần đăng nhập khác, ví dụ sau khi dùng nút quay lại hoặc đăng nhập từ hai tab. | Đóng các tab đăng nhập Clevera khác và bắt đầu lại. |
| "SSO authentication was cancelled or denied. Please try again." | Chỉ dành cho OIDC. IdP trả về lỗi: người dùng đã hủy, chưa được gán vào ứng dụng, hoặc từ chối cấp quyền. | Gán họ vào ứng dụng trong IdP của bạn; thử lại. |
| "No authorization code received." | Chỉ dành cho OIDC. IdP quay lại mà không có mã đăng nhập. | Kiểm tra xem ứng dụng đã được thiết lập cấp quyền Authorization Code chưa. |
| "SSO configuration not found or disabled." | SSO đã bị tắt hoặc xóa trong khi người dùng đang đăng nhập. | Bật lại Enable SSO. |
| "Your email domain is not authorized for this team's SSO." | Email mà IdP gửi sử dụng miền không nằm trong Allowed email domains. Thường gặp với bí danh, miền phụ, hoặc tên đăng nhập khác với email. | Thêm miền, hoặc thay đổi thông tin IdP gửi dưới dạng email (Name ID hoặc email claim). |
| "This account is no longer available." | Tài khoản đang bị xóa. | Không thể đăng nhập lại. Sử dụng email khác. |
| "SSO authentication failed. Please contact your team administrator or use another sign-in method." | Phản hồi bị từ chối. Xem các nguyên nhân bên dưới. | Thực hiện theo danh sách bên dưới. |
"SSO authentication failed"
Thông báo này bao gồm mọi trường hợp Clevera từ chối phản hồi, vì vậy hãy kiểm tra theo thứ tự sau:
| Nguyên nhân | Khắc phục |
|---|---|
| Người dùng đã có tài khoản Clevera nhưng không phải là thành viên của không gian làm việc của bạn. SSO không bao giờ tiếp quản tài khoản bên ngoài. | Mời họ. Sau khi họ chấp nhận, SSO sẽ hoạt động. |
| Người dùng chưa có tài khoản và Create accounts on first sign-in đang tắt. | Mời họ, hoặc bật cài đặt này. |
| Chủ sở hữu đang đăng nhập qua kết nối do người khác lưu (ví dụ sau khi chuyển quyền sở hữu). | Chủ sở hữu hiện tại mở Chỉnh sửa và lưu kết nối một lần. Cho đến lúc đó, hãy đăng nhập bằng mật khẩu. |
| SAML: chỉ assertion (hoặc chỉ phản hồi) được ký. | Cấu hình IdP ký cả hai. |
| SAML: chứng chỉ trong Clevera không phải là chứng chỉ ký hiện tại của IdP. | Dán chứng chỉ hiện tại (Chỉnh sửa → bước 2) và lưu. |
| SAML: audience hoặc recipient của IdP không khớp. | Audience phải khớp chính xác với Entity ID / Audience URI của Clevera, và recipient hoặc destination phải khớp chính xác với https://app.clevera.ai/sso/saml/callback. |
| SAML: assertion được mã hóa. | Tắt mã hóa assertion. |
SAML: không có email. Name ID không phải là email và không có thuộc tính email. |
Đặt định dạng Name ID thành EmailAddress với email của người dùng. |
| SAML: IdP Entity ID trong Clevera không khớp với issuer trong phản hồi. | Sao chép lại issuer từ IdP. |
| OIDC: client secret sai hoặc hết hạn, hoặc redirect URI không khớp. | Dán secret mới (Chỉnh sửa); redirect URI phải khớp chính xác với Redirect URI (callback URL) hiển thị trong hộp thoại thiết lập, https://app.clevera.ai/sso/oidc/callback. |
OIDC: không có email hợp lệ trong các claim email, preferred_username hoặc upn. |
Thêm email claim trong IdP của bạn, hoặc cung cấp cho người dùng một địa chỉ email. |
| OIDC: issuer không khớp với discovery URL, ví dụ URL đa đối tượng (multi-tenant). | Sử dụng discovery URL riêng của tenant của bạn. |
Khi IdP của bạn xoay vòng khóa ký OIDC, Clevera sẽ tự động lấy khóa mới một lần trước khi từ chối đăng nhập, vì vậy việc xoay vòng khóa đơn thuần không gây ra thông báo này.
Nếu không có trường hợp nào phù hợp, hãy liên hệ với bộ phận hỗ trợ kèm theo địa chỉ email gặp lỗi và thời điểm bạn thực hiện đăng nhập. Chúng tôi có thể xem lý do chính xác trong nhật ký hệ thống.
Các thông báo trong khi thiết lập
| Thông báo | Cách khắc phục |
|---|---|
| "SSO is available on the Custom plan." | Xuất hiện khi bạn lưu trong khi không gian làm việc không ở gói Custom, ví dụ như sau khi gói dịch vụ thay đổi trong lúc trang đang mở. Liên hệ với chúng tôi để thêm SSO. |
| "Identity provider Entity ID is required." / "Identity Provider Entity ID is required." | Điền vào IdP Entity ID. |
| "SSO sign-in URL is required." / "Identity Provider SSO URL is required." | Điền vào SSO sign-in URL. |
| "SSO sign-in URL must be a valid URL." / "Logout URL must be a valid URL." | Dán địa chỉ đầy đủ, bắt đầu bằng https://. |
| "X.509 certificate is required." / "An IdP certificate is required." | Dán chứng chỉ ký của IdP. |
| "Client ID is required." / "OIDC Client ID is required." | Điền vào Client ID. |
| "Client secret is required." / "OIDC Client Secret is required." | Điền vào Client secret. |
| "A valid authorization URL is required." / "A valid token URL is required." | Điền vào các điểm cuối (endpoints), hoặc dùng Discovery URL thay thế. |
| "Discovery URL must be a valid URL." / "UserInfo URL must be a valid URL." | Dán địa chỉ đầy đủ. |
| "Add at least one allowed domain." | Thêm một tên miền trong phần Allowed email domains. |
| "Enter a company domain such as example.com." | Chỉ nhập tên miền, ví dụ acme.example. |
| "This domain is already on the list." | Tên miền này đã được thêm rồi. |
| "The domain acme.example is already assigned to another team." | Một không gian làm việc Clevera khác đang sử dụng tên miền đó. Hãy liên hệ với bộ phận hỗ trợ nếu đó là của bạn. |
| "Automatically provisioned users cannot be granted the Administrator role by default." | Chọn Biên tập viên hoặc Người sáng tạo nội dung, hoặc tắt Create accounts on first sign-in. |
| "Fix the highlighted fields before saving." | Hộp thoại sẽ tự động chuyển đến bước đang gặp vấn đề. |
| "Finish the SSO configuration before enabling sign-in for your team." | Hoàn thành các trường bắt buộc, sau đó bật Enable SSO. |
| "SSO must be enabled before enforcement can be turned on." | Hãy bật Enable SSO trước. |
| "Only the team owner can change SSO settings." | Hãy yêu cầu chủ sở hữu thực hiện. Quản trị viên không thể thay đổi cài đặt SSO. |
| "SSO settings did not load" | Nhấp vào Thử lại, hoặc tải lại trang. |
| "Copying is blocked here. Select the value instead." | Trình duyệt của bạn đã chặn nút sao chép. Hãy chọn văn bản và tự sao chép thủ công. |
Kết quả chạy thử nghiệm
Run test sẽ kiểm tra các cài đặt đã lưu, không phải là một lần đăng nhập thực tế. Nó sẽ hiển thị "SSO configuration is valid and ready to use." hoặc "SSO configuration has issues that need to be resolved." kèm theo các vấn đề sau:
| Vấn đề | Cách khắc phục |
|---|---|
| "IdP Entity ID is required." / "IdP SSO URL is required." / "IdP X.509 certificate is required." | Điền vào trường SAML còn thiếu. |
| "IdP SSO URL is not a valid URL." | Dán URL đăng nhập đầy đủ. |
| "IdP certificate is not a valid X.509 certificate." | Dán văn bản Base64 (PEM) của chứng chỉ, không phải tệp nhị phân hoặc dấu vân tay. |
| "IdP certificate has expired." | Lấy chứng chỉ ký hiện tại của IdP và dán vào. |
| "OIDC Client ID is required." / "OIDC Client Secret is required." | Điền vào trường OIDC còn thiếu. |
| "Either a Discovery URL or manual endpoint URLs are required." | Thêm Discovery URL, hoặc các điểm cuối. |
| "Discovery URL is not a valid URL." | Dán địa chỉ đầy đủ. |
| "Could not load the OIDC discovery document. Check that the URL is correct and publicly reachable over HTTPS." | Mở URL trong trình duyệt; nó sẽ hiển thị JSON. URL phải có thể truy cập được từ internet, không chỉ trong mạng nội bộ của bạn. |
| "Discovery document does not contain an authorization endpoint." | URL không phải là cấu hình OpenID. Hãy sử dụng URL kết thúc bằng /.well-known/openid-configuration. |
| "No SSO configuration found. Please configure SSO first." | Hãy lưu cấu hình trước. |
| "The test could not run." | Kiểm tra kết nối của bạn và thử lại. |
Đăng xuất
| Thông báo | Ý nghĩa |
|---|---|
| "You have been signed out via SSO." | IdP của bạn đã đăng xuất bạn khỏi Clevera (đăng xuất đơn SAML). |
| "Single Logout is not available for this session." | IdP đã gửi yêu cầu đăng xuất, nhưng đăng xuất đơn SAML chưa được thiết lập cho không gian làm việc của bạn (không có Logout URL). |
| "Single Logout could not be completed." | Yêu cầu đăng xuất không thể xác minh. Hãy đăng xuất trực tiếp trong Clevera. |
Các tình huống khác
Người bạn đã xóa trong IdP vẫn đang đăng nhập. Clevera không đồng bộ người dùng từ IdP của bạn và các phiên SSO vẫn duy trì đăng nhập cho đến khi người đó đăng xuất. Hãy xóa họ trong Cài đặt nhóm → Thành viên.
Một người dùng trên tên miền của bạn đã đăng ký bằng mật khẩu trước khi tham gia. Tài khoản của họ nằm ngoài không gian làm việc của bạn, vì vậy SSO từ chối tài khoản đó. Hãy mời họ; sau khi họ chấp nhận, SSO sẽ hoạt động và nếu bật Require SSO, mật khẩu của họ sẽ không còn hiệu lực.
Một thành viên SSO mới là Biên tập viên, không phải Người sáng tạo nội dung. Vai trò mặc định của bạn là Người sáng tạo nội dung, nhưng tất cả các vị trí người sáng tạo đã đầy khi họ đăng nhập lần đầu, vì vậy họ đã tham gia với tư cách là Biên tập viên. Hãy thêm vị trí, sau đó thay đổi vai trò của họ trong Cài đặt nhóm → Thành viên.
Một thành viên được tạo bởi SSO cần mật khẩu (SSO đã bị tắt hoặc gói dịch vụ của bạn đã thay đổi). Họ nhấp vào Quên mật khẩu? trên trang đăng nhập để thiết lập mật khẩu.
Đăng nhập vào ứng dụng máy tính để bàn bằng SSO. Ứng dụng máy tính để bàn sẽ mở trang đăng nhập trong trình duyệt của bạn. Nhập email công việc, nhấp vào Continue with nhà cung cấp của bạn và đăng nhập tại IdP: trình duyệt sau đó sẽ chuyển bạn trở lại ứng dụng. Nếu không, hãy bắt đầu đăng nhập lại trong ứng dụng; vì trình duyệt hiện đã đăng nhập, nó sẽ kết nối ngay lập tức. Xem Đăng nhập vào ứng dụng máy tính để bàn.