修正 SSO 登入問題
Clevera 中所有單一登入訊息的含義、成因及修正方式：包含登入頁面、身分提供者回傳後、儲存設定時、執行測試時以及登出時的狀況。
本文列出了 Clevera 顯示的所有單一登入 (SSO) 訊息、其成因及修正方式：包含在登入頁面、身分提供者 (IdP) 將使用者導回後、儲存設定時以及在 Run test 中出現的訊息。
大多數登入問題源於以下五種情況之一：使用者的電子郵件網域不在您的清單中、他們已擁有工作區以外的 Clevera 帳號、IdP 僅簽署了 SAML 回應的一部分、數值複製錯誤，或是登入並非從 Clevera 登入頁面開始。
快速檢查
| 檢查項目 | 位置 |
|---|---|
| Enable SSO 已開啟且標籤顯示為 Active | Team settings → Security |
| 使用者的完整電子郵件網域位於 Allowed email domains 中（子網域需分開計算） | Team settings → Security |
| 使用者已在您的 IdP 中指派至此應用程式 | 您的 IdP |
| 使用者是您工作區的成員，或尚未擁有 Clevera 帳號 | Team settings → Members |
| 他們是從 Clevera 登入頁面開始並輸入工作電子郵件，而非點擊 IdP 儀表板上的圖示 | 登入頁面 |
| 工作區仍處於 Custom 方案 | Billing |
登入頁面未提供 SSO 選項
當使用者輸入電子郵件時，若系統識別出該網域，登入頁面會顯示「Your organization uses Okta」（您的提供者名稱，或自訂提供者顯示為「SSO」）以及 Continue with 按鈕。如果未出現此選項：
- 該網域不在 Allowed email domains 中，或電子郵件拼字有誤。
- Enable SSO 已關閉，或設定尚未完成。
- 工作區不再處於包含 SSO 的方案中。
點擊 IdP 中的 Clevera 圖示無法登入
Clevera 僅接受從 Clevera 登入頁面發起的登入。當使用者點擊 Okta 儀表板、Microsoft My Apps 或 Google 應用程式選單中的 Clevera 圖示時，IdP 會傳送一個 Clevera 未曾要求的請求。Clevera 會拒絕該請求並顯示登入頁面，訊息為「SSO session expired. Please try again.」。
這是刻意設計的：每個 SAML 登入都與發起該請求的瀏覽器綁定，且僅能使用一次，以防止他人將自己的登入資訊植入他人的瀏覽器中。請要求使用者前往 Clevera 登入頁面，輸入工作電子郵件並點擊 Continue with 您的提供者。您可以隱藏 IdP 中的圖示，以免他人嘗試使用。
登入頁面上的訊息
| 訊息 | 成因 | 修正 |
|---|---|---|
| "No SSO sign-in is available for this email address. Use your regular sign-in method instead." | 沒有涵蓋此電子郵件網域的啟用中 SSO 連線。 | 檢查網域並確認 Enable SSO 已開啟。 |
| "SSO is not available for this team. The team subscription may have changed." | 工作區的方案不再包含 SSO。 | 聯繫我們了解您的 Custom 方案。在此期間，成員可使用密碼或 Forgot password? 登入。 |
| "Please enter a valid email address." | 電子郵件欄位格式無效。 | 重新輸入。 |
| "Failed to initiate SSO login. Please try again or use email/password." | Clevera 無法建立登入請求，通常是因為 OIDC 探索 URL 目前無法載入。 | 點擊 Run test。檢查 Discovery URL 是否公開且正確。 |
| "We couldn't start single sign-on. Try again." | 請求失敗或一分鐘內嘗試次數過多。 | 等待一分鐘後再試。 |
| "We couldn't reach Clevera. Check your connection and try again." | 無法連線至 Clevera。 | 檢查網路或 VPN。 |
| "Your organization requires Single Sign-On. Use the SSO button to continue." | 成員在 Require SSO 開啟時嘗試使用密碼登入。 | 使用 Continue with 您的提供者。 |
| "Your organization requires Single Sign-On. Please use the SSO option on the login page." | 成員或網域內的新使用者在 Require SSO 開啟時嘗試使用 Continue with Google。 | 輸入工作電子郵件並使用 SSO 按鈕。 |
當 Require SSO 開啟時，登入頁面也會隱藏您網域地址的 Create an account 選項。
在註冊頁面上
| 訊息 | 成因 | 修正 |
|---|---|---|
| "Your organization signs in with single sign-on (SSO). Go to Sign in, enter this email and choose Continue with SSO." | 網域已開啟 Require SSO 的使用者嘗試使用密碼建立帳號。 | 前往登入頁面，輸入工作電子郵件並點擊 Continue with 您的提供者。若 Create accounts on first sign-in 已開啟，帳號會在首次 SSO 登入時建立；否則需由擁有者先邀請。 |
身分提供者回傳後的訊息
當 IdP 將使用者導回時，這些訊息會出現在 Clevera 登入頁面的頂部。
| 訊息 | 成因 | 修正 |
|---|---|---|
| "SSO session expired. Please try again." | Clevera 無法將回應與其發起的登入進行比對。通常是因為使用者點擊了 IdP 儀表板上的 Clevera 圖示、切換了瀏覽器、使用了上一頁按鈕、重新整理頁面以重新發送登入請求，或在 IdP 停留超過 10 分鐘。 | 在同一個瀏覽器中從 Clevera 登入頁面重新開始。請參閱 點擊 Clevera 圖示。 |
| "SSO session validation failed. Please try again." | 僅限 OIDC。回應屬於不同的登入嘗試，例如在使用上一頁按鈕或從兩個分頁登入後。 | 關閉其他 Clevera 登入分頁並重新開始。 |
| "SSO authentication was cancelled or denied. Please try again." | 僅限 OIDC。IdP 回傳錯誤：使用者取消、未指派至應用程式，或拒絕了授權。 | 在您的 IdP 中將其指派至應用程式；再試一次。 |
| "No authorization code received." | 僅限 OIDC。IdP 回傳時未包含登入代碼。 | 檢查應用程式是否設定為 Authorization Code 授權。 |
| "SSO configuration not found or disabled." | 使用者登入時 SSO 被關閉或移除。 | 將 Enable SSO 重新開啟。 |
| "Your email domain is not authorized for this team's SSO." | IdP 傳送的電子郵件使用的網域不在 Allowed email domains 中。常見於別名、次要網域，或登入名稱與電子郵件不同時。 | 新增該網域，或更改 IdP 傳送的電子郵件（Name ID 或 email 宣告）。 |
| "This account is no longer available." | 帳號正在被刪除。 | 無法再次登入。請使用其他電子郵件。 |
| "SSO authentication failed. Please contact your team administrator or use another sign-in method." | 回應被拒絕。請參閱 下方的成因。 | 依照下方清單進行排查。 |
"SSO authentication failed"
此訊息涵蓋了 Clevera 拒絕回應的所有情況，請依序檢查下列項目：
| 成因 | 修正 |
|---|---|
| 使用者已擁有 Clevera 帳號但不是您工作區的成員。SSO 不會接管外部帳號。 | 邀請他們。一旦他們接受，SSO 即可運作。 |
| 使用者沒有帳號且 Create accounts on first sign-in 已關閉。 | 邀請他們，或開啟該設定。 |
| 擁有者透過他人儲存的連線進行登入（例如在 所有權轉移 後）。 | 現任擁有者開啟 Edit 並儲存一次連線。在此之前，請使用密碼登入。 |
| SAML：僅簽署了斷言（或僅簽署了回應）。 | 讓 IdP 同時簽署兩者。 |
| SAML：Clevera 中的憑證不是 IdP 目前的簽署憑證。 | 貼上目前的憑證（Edit → 步驟 2）並儲存。 |
| SAML：IdP 的受眾或收件者不符。 | 受眾必須完全符合 Clevera 的 Entity ID / Audience URI，且收件者或目的地必須完全符合 https://app.clevera.ai/sso/saml/callback。 |
| SAML：斷言已加密。 | 關閉斷言加密。 |
SAML：沒有電子郵件。Name ID 不是電子郵件且沒有 email 屬性。 |
將 Name ID 格式設定為 EmailAddress 並包含使用者的電子郵件。 |
| SAML：Clevera 中的 IdP Entity ID 與回應中的發行者不符。 | 從 IdP 重新複製發行者。 |
| OIDC：用戶端密鑰錯誤或過期，或重新導向 URI 不符。 | 貼上新的密鑰（Edit）；重新導向 URI 必須完全符合設定對話框中顯示的 Redirect URI (callback URL)，即 https://app.clevera.ai/sso/oidc/callback。 |
OIDC：email、preferred_username 或 upn 宣告中沒有有效的電子郵件。 |
在您的 IdP 中新增電子郵件宣告，或為該使用者提供電子郵件地址。 |
| OIDC：發行者與探索 URL 不符，例如多租戶 URL。 | 使用您租戶專屬的探索 URL。 |
當您的 IdP 輪替其 OIDC 簽署金鑰時，Clevera 會在拒絕登入前先擷取一次新金鑰，因此僅僅是輪替金鑰並不會導致此訊息。
如果以上方法都無法解決，請聯繫支援團隊，並提供發生錯誤的電子郵件地址以及嘗試登入的時間。我們可以在日誌中查看確切原因。
設定時出現的訊息
| 訊息 | 修正方式 |
|---|---|
| "SSO is available on the Custom plan." | 當工作區未訂閱 Custom 方案卻嘗試儲存時會顯示此訊息，例如在頁面開啟期間方案發生變更。請聯繫我們以新增 SSO。 |
| "Identity provider Entity ID is required." / "Identity Provider Entity ID is required." | 請填寫 IdP Entity ID。 |
| "SSO sign-in URL is required." / "Identity Provider SSO URL is required." | 請填寫 SSO sign-in URL。 |
| "SSO sign-in URL must be a valid URL." / "Logout URL must be a valid URL." | 請貼上完整的網址，並以 https:// 開頭。 |
| "X.509 certificate is required." / "An IdP certificate is required." | 請貼上 IdP 的簽署憑證。 |
| "Client ID is required." / "OIDC Client ID is required." | 請填寫 Client ID。 |
| "Client secret is required." / "OIDC Client Secret is required." | 請填寫 Client secret。 |
| "A valid authorization URL is required." / "A valid token URL is required." | 請填寫端點，或改為填寫 Discovery URL。 |
| "Discovery URL must be a valid URL." / "UserInfo URL must be a valid URL." | 請貼上完整的網址。 |
| "Add at least one allowed domain." | 請在 Allowed email domains 下新增一個網域。 |
| "Enter a company domain such as example.com." | 僅輸入網域，例如 acme.example。 |
| "This domain is already on the list." | 該網域已新增。 |
| "The domain acme.example is already assigned to another team." | 其他 Clevera 工作區已使用該網域。如果是您的網域，請聯繫支援團隊。 |
| "Automatically provisioned users cannot be granted the Administrator role by default." | 請選擇 Editor 或 Content Creator，或關閉 Create accounts on first sign-in。 |
| "Fix the highlighted fields before saving." | 對話框會自動跳轉至有問題的步驟。 |
| "Finish the SSO configuration before enabling sign-in for your team." | 請完成必填欄位，然後開啟 Enable SSO。 |
| "SSO must be enabled before enforcement can be turned on." | 請先開啟 Enable SSO。 |
| "Only the team owner can change SSO settings." | 請聯繫擁有者。管理員無法變更 SSO 設定。 |
| "SSO settings did not load" | 點擊 Try again，或重新整理頁面。 |
| "Copying is blocked here. Select the value instead." | 您的瀏覽器封鎖了複製按鈕。請選取文字並手動複製。 |
執行測試結果
Run test 會檢查已儲存的設定，而非進行實際登入。它會顯示「SSO configuration is valid and ready to use.」（SSO 設定有效且可使用）或「SSO configuration has issues that need to be resolved.」（SSO 設定有問題需解決），並列出以下問題：
| 問題 | 修正方式 |
|---|---|
| "IdP Entity ID is required." / "IdP SSO URL is required." / "IdP X.509 certificate is required." | 請填寫遺失的 SAML 欄位。 |
| "IdP SSO URL is not a valid URL." | 請貼上完整的登入網址。 |
| "IdP certificate is not a valid X.509 certificate." | 請貼上憑證的 Base64 (PEM) 文字，而非二進位檔案或指紋。 |
| "IdP certificate has expired." | 請取得 IdP 目前的簽署憑證並貼上。 |
| "OIDC Client ID is required." / "OIDC Client Secret is required." | 請填寫遺失的 OIDC 欄位。 |
| "Either a Discovery URL or manual endpoint URLs are required." | 請新增 Discovery URL 或填寫端點。 |
| "Discovery URL is not a valid URL." | 請貼上完整的網址。 |
| "Could not load the OIDC discovery document. Check that the URL is correct and publicly reachable over HTTPS." | 請在瀏覽器中開啟該網址；它應該會顯示 JSON。該網址必須能從網際網路存取，而不僅限於您的內部網路。 |
| "Discovery document does not contain an authorization endpoint." | 該網址並非 OpenID 設定檔。請使用以 /.well-known/openid-configuration 結尾的網址。 |
| "No SSO configuration found. Please configure SSO first." | 請先儲存設定。 |
| "The test could not run." | 請檢查您的連線並再試一次。 |
登出
| 訊息 | 含義 |
|---|---|
| "You have been signed out via SSO." | 您的 IdP 已將您從 Clevera 登出（SAML 單一登出）。 |
| "Single Logout is not available for this session." | IdP 發送了登出請求，但您的工作區未設定 SAML 單一登出（沒有 Logout URL）。 |
| "Single Logout could not be completed." | 無法驗證登出請求。請直接在 Clevera 中登出。 |
其他情況
您在 IdP 中移除的成員仍處於登入狀態。 Clevera 不會與您的 IdP 同步使用者，且 SSO 工作階段會持續保持登入，直到該成員手動登出為止。請在 Team settings → Members 中將其移除。
您網域中的某人在加入前已使用密碼註冊。 由於他們的帳號不在您的工作區內，因此 SSO 會拒絕登入。請邀請他們；在他們接受邀請後，SSO 即可運作，且若開啟 Require SSO，他們的密碼將會失效。
透過 SSO 新增的成員是 Editor，而非 Content Creator。 您的預設角色是 Content Creator，但當他們首次登入時，所有創作者席位皆已額滿，因此他們以 Editor 身分加入。請增加席位，然後在 Team settings → Members 中變更其角色。
由 SSO 建立的成員需要密碼（SSO 已關閉或您的方案已變更）。他們可以在登入頁面點擊 Forgot password? 來設定密碼。
使用 SSO 登入桌面應用程式。 桌面應用程式會在您的瀏覽器中開啟登入頁面。請輸入您的工作電子郵件，點擊 Continue with 您的供應商並在 IdP 進行登入：瀏覽器隨後會將您導回應用程式。如果沒有導回，請在應用程式中重新開始登入；由於瀏覽器已登入，它會直接連線。請參閱 Sign in to the desktop app。