Вы можете устранить распространенные ошибки, которые могут возникнуть при интеграции или использовании системы единого входа с Google Workspace, когда Google является поставщиком услуг.
Конфигурация и активация
"Конфигурация этого домена не позволяет использовать единый набор реквизитов".
Эта ошибка обычно означает, что вы используете версию Google Workspace, которая не поддерживает систему единого входа (например, устаревшую бесплатную версию G Suite). Все текущие версии Workspace поддерживают систему единого входа через стороннего поставщика идентификационной информации.
Если вы используете версию Google Workspace, которая поддерживает систему единого входа, попробуйте следующие решения:
- Убедитесь, что в конфигурации системы единого входа поставщика идентификационной информации используется правильное доменное имя Google Workspace.
- Если эта ошибка произошла после настройки профилей системы единого входа, возможно, ваш поставщик идентификационной информации настроен на отправку утверждения SAML в конечную точку устаревшего профиля системы единого входа. Если в вашем поставщике идентификационной информации жестко закодирована устаревшая конечная точка системы единого входа, выполните следующие действия:
- Настройте устаревшую систему единого входа.
- Попросите поставщика идентификационной информации обновить интеграцию с Google.
"Этот аккаунт недоступен, так как домен настроен неправильно. Повторите попытку позже".
Эта ошибка указывает, что вы не настроили систему единого входа в консоли администратора Google надлежащим образом. Чтобы исправить ошибку, выполните следующие действия:
- В консоли администратора Google откройте раздел Безопасность
Настройка системы единого входа с использованием стороннего поставщика идентификационной информации и установите флажок Настроить систему единого входа со сторонним поставщиком идентификационной информации. - Укажите URL для страниц входа, выхода и изменения пароля в соответствующих полях.
- Выберите и загрузите файл действительного проверочного сертификата.
- Нажмите Сохранить, подождите пару минут, пока выбранные настройки не будут применены в системе, и попробуйте войти ещё раз.
Для клиента Google указан запрещенный префикс
Когда URL страницы входа в систему SSO для iOS-приложений начинается с "google." или похожего домена, приложение Google для iOS открывается в браузере Safari. В результате происходит ошибка входа в SSO. По этой причине перечисленные ниже префиксы использовать нельзя:
- googl.
- google.
- www.googl.
- www.google.
Все URL страницы единого входа с такими префиксами нужно изменить.
Пользователь неожиданно перенаправляется к стороннему поставщику идентификационной информации вместо страницы входа Google
Если пользователь перенаправляется к стороннему поставщику идентификационной информации после того, как вы удалили его из группы SSO или отключили SSO для его группы или организационного подразделения, проверьте следующее в консоли администратора:
- Приоритет групп. Перейдите в раздел Управление профилями SSO Группы и проверьте, принадлежит ли пользователь к другой группе, которая имеет более высокий приоритет в списке групп. Если пользователь входит в несколько групп, приоритет отдается группе с наивысшим приоритетом. Назначьте группе, для которой отключена система единого входа, более высокий приоритет, чем группе, использующей профиль сторонней системы единого входа, или удалите пользователя из группы с более высоким приоритетом.
- Участие во вложенной группе. Проверьте, принадлежит ли пользователь к дочерней группе, которая вложена в родительскую группу, назначенную для системы единого входа. Пользователи наследуют профиль SSO всех родительских групп, в которых они состоят. Удалите пользователя из дочерней группы или назначьте профиль SSO непосредственно дочерней группе и задайте для нее более высокий приоритет в списке, чем для родительской группы.
- Наследование организационного подразделения. Если пользователь не входит в группу, проверьте профиль SSO, назначенный его организационному подразделению. Если организационному подразделению пользователя назначен сторонний профиль SSO, переместите пользователя в организационное подразделение, где SSO отключена, или отключите SSO для организационного подразделения пользователя.
Анализ ответов SAML
"Отсутствует обязательный параметр ответа SAMLResponse."
Это сообщение об ошибке указывает на то, что поставщик услуг аутентификации не предоставил Google соответствующий ответ SAML. В большинстве случаев это связано с ошибками в конфигурации у поставщика.
- Проверьте журналы поставщика и убедитесь, что ничего не препятствует правильной отправке ответов SAML.
- Убедитесь, что ваш поставщик идентификационной информации не отправляет в Google Workspace зашифрованный ответ SAML. Google Workspace принимает только незашифрованные ответы SAML. В частности, обратите внимание, что служба Microsoft Active Directory Federation Services 2.0 по умолчанию отправляет зашифрованные ответы SAML.
"Отсутствует обязательный параметр ответа RelayState."
В спецификации для SAML 2.0 указано, что поставщик идентификационной информации получает значение параметра URL RelayState от поставщика ресурса (например, Google Workspace) и отправляет его обратно. Google Workspace предоставляет это значение поставщику идентификационной информации в запросе SAML, и оно может изменяться при каждом входе. Для успешного завершения аутентификации в ответе SAML должно содержаться точное значение параметра RelayState. Согласно спецификации стандарта SAML, поставщик услуг аутентификации не должен изменять значение RelayState в процессе входа.
- Чтобы установить причину проблемы, зафиксируйте заголовки HTTP при попытке входа. Извлеките значение RelayState из заголовков HTTP запроса и ответа SAML, а затем убедитесь, что эти значения совпадают.
- Большинство поставщиков услуг аутентификации для коммерческих и бесплатных систем единого входа по умолчанию передают точное значение RelayState. Чтобы добиться максимального уровня безопасности и надежности, мы рекомендуем использовать уже существующие решения и не поддерживаем системы единого входа, разработанные пользователями.
Содержание ответов SAML
"Невозможно получить доступ к службе, так как запрос на вход содержал недопустимые данные ([destination|audience|recipient]). Войдите и повторите попытку."
Эта ошибка указывает на то, что элементы destination, audience или recipient в выражении SAML содержат недопустимые данные или значения для них не указаны. Все эти элементы должны быть включены в утверждение SAML. Ознакомьтесь с приведенными ниже таблицами в требованиях к утверждениям системы единого входа, в которых приведены описания и примеры для каждого элемента:
"К этой службе невозможно получить доступ, поскольку ваш запрос на вход не содержит информации о получателе. Войдите и повторите попытку."
Эта ошибка обычно указывает на то, что в ответе SAML поставщика идентификационной информации отсутствует распознаваемое значение Recipient или оно указано неправильно. Значение Recipient – важный элемент ответов SAML.
- Чтобы установить причину проблемы, зафиксируйте заголовки HTTP при попытке входа.
- Извлеките запрос и ответ SAML из заголовков HTTP.
- Убедитесь, что в ответе SAML есть значение Получатель, которое совпадает с аналогичным значением в запросе SAML.
Примечание. При возникновении этой ошибки также может появляться сообщение об ошибке "К этой службе невозможно получить доступ, поскольку ваш запрос на вход содержит неверную информацию о получателе. Войдите в систему и повторите попытку".
Этот аккаунт недоступен, так как не удалось подтвердить учетные данные для входа.
Эта ошибка указывает на проблему с сертификатами, которые вы используете для подписания потока аутентификации. Обычно это означает, что закрытый ключ, используемый для подписания ответа SAML, не соответствует сертификату открытого ключа, который хранится в Google Workspace.
Ошибка также может означать, что в ответе SAML не содержится действительное имя пользователя аккаунта Google. В Google Workspace из ответов SAML выделяется XML-элемент NameID, который должен содержать имя пользователя Google Workspace или полный адрес электронной почты пользователя Google Workspace.
- Убедитесь, что вы загрузили в Google Workspace действительный сертификат. Если необходимо, замените его. В консоли администратора Google откройте раздел Безопасность Настройка системы единого входа с использованием стороннего поставщика идентификационной информации и нажмите Заменить сертификат.
- Если вы указываете полный адрес электронной почты в элементе NameID (такой формат обязателен для системы единого входа в многодоменной среде Google Workspace), убедитесь, что значение атрибута Format элемента NameID предписывает использовать полный адрес. Пример: Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress".
- Элемент NameID должен содержать действительное имя пользователя или адрес электронной почты. Чтобы проверить NameID, извлеките ответ SAML, который вы отправляете в Google Workspace, и обратите внимание на содержащееся в нем значение.
- Регистр букв имеет значение. Убедитесь, что из ответа SAML для элемента NameID выделяется имя пользователя Google Workspace или адрес электронной почты с учетом регистра.
- Если ваш поставщик идентификационной информации шифрует подтверждения SAML, отключите шифрование.
- Убедитесь, что в ответе SAML не используются нестандартные символы ASCII. Эта ошибка обычно возникает в атрибутах DisplayName, GivenName и Surname в AttributeStatement. Например:
- <Attribute Name="http://schemas.microsoft.com/identity/claims/displayname">
<AttributeValue>Blüte, Eva</AttributeValue> </Attribute> - <Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname">
<AttributeValue>Blüte</AttributeValue> </Attribute>
- <Attribute Name="http://schemas.microsoft.com/identity/claims/displayname">
Более подробную информацию о формате элемента NameID можно найти в требованиях к утверждениям системы единого входа.
Эта служба недоступна, так как срок действия ваших учетных данных для входа истек. Войдите и повторите попытку."
По соображениям безопасности вход в системе SSO должен выполняться за определенное время, иначе произойдет сбой аутентификации. Если у вашего поставщика услуг аутентификации время установлено неправильно, большинство попыток входа не будет вписываться в необходимый интервал. В таком случае появится указанное выше сообщение об ошибке.
- Проверьте часы на сервере поставщика услуг аутентификации. Из-за ошибок в их настройке ответ SAML содержит неверные временные метки.
- Синхронизируйте часы на сервере поставщика с надежным источником в интернете. Если подобная ошибка неожиданно происходит в уже работающей системе, она обычно связана со сбоем синхронизации, в результате которого время на сервере становится неточным. Быстро решить эту проблему поможет повторная синхронизация с сервером точного времени (желательно – более надежным).
- Кроме того, эта ошибка может возникнуть при повторной отправке ответа SAML, использовавшегося для предыдущей попытки входа. Для отладки проверьте запросы и ответы SAML (их можно найти в журналах заголовков HTTP, зафиксированных во время последнего входа).
К этой службе невозможно получить доступ, поскольку ваши учетные данные для входа ещё недействительны. Войдите и повторите попытку."
По соображениям безопасности вход в системе SSO должен выполняться за определенное время, иначе произойдет сбой аутентификации. Если у вашего поставщика услуг аутентификации время установлено неправильно, большинство попыток входа не будет вписываться в необходимый интервал. В таком случае появится указанное выше сообщение об ошибке.
- Проверьте часы на сервере поставщика услуг аутентификации. Из-за ошибок в их настройке ответ SAML содержит неверные временные метки.
- Синхронизируйте часы на сервере поставщика с надежным источником в интернете. Если подобная ошибка неожиданно происходит в уже работающей системе, она обычно связана со сбоем синхронизации, в результате которого время на сервере становится неточным. Быстро решить эту проблему поможет повторная синхронизация с сервером точного времени (желательно – более надежным).