U kunt veelvoorkomende fouten oplossen die u kunt tegenkomen tijdens de integratie of het gebruik van Single sign-on (SSO) met Google Workspace als Google de serviceprovider is.
Configuratie en activering
'Dit domein is niet geconfigureerd voor Single sign-on.'
Deze foutmelding wordt meestal getoond als u een versie van Google Workspace gebruikt die SSO niet ondersteunt (zoals de oude kosteloze versie van G Suite). Alle huidige Workspace-versies ondersteunen SSO via een identiteitsprovider (IdP) van derden.
Als u een Google Workspace-versie gebruikt die SSO ondersteunt, probeert u deze andere oplossingen:
- Controleer of de SSO-configuratie van uw IdP de juiste Google Workspace-domeinnaam gebruikt.
- Als u deze foutmelding krijgt nadat u SSO-profielen heeft ingesteld, is uw IdP mogelijk ingesteld om de SAML-verklaring naar het eindpunt van het verouderde SSO-profiel te sturen. Als uw IdP het oude SSO-eindpunt hardgecodeerd heeft, doet u het volgende:
- Stel verouderde SSO in.
- Vraag uw IdP-leverancier de Google-integratie te updaten.
'U heeft geen toegang tot dit account, omdat het domein niet juist is geconfigureerd. Probeer het later opnieuw.'
Deze foutmelding geeft aan dat u SSO niet correct heeft ingesteld in de Google Beheerdersconsole. Doorloop de volgende stappen uit om deze fout op te lossen:
- Ga in de Beheerdersconsole naar Beveiliging
Single sign-on (SSO) instellen met een IdP van derden en vink het vakje aan voor SSO instellen met identiteitsprovider van derden. - Voer in de juiste velden de URL in van de volgende pagina's van uw organisatie: de inlogpagina, de uitlogpagina en de pagina voor het wijzigen van het wachtwoord.
- Kies en upload een geldig verificatiecertificaatbestand.
- Klik op Opslaan. Wacht enkele minuten totdat de wijzigingen zijn doorgevoerd en test de integratie opnieuw.
Google-tenant ingesteld met een niet-toegestaan voorvoegsel
Als in iOS-apps de URL van de SSO-inlogpagina begint met 'google.' (of een variatie hierop), wordt de Google iOS-app doorgestuurd naar Safari. Hierdoor mislukt het SSO-proces. Dit is de volledige lijst met verboden voorvoegsels:
- googl.
- google.
- www.googl.
- www.google.
U moet alle URL's wijzigen van SSO-inlogpagina's met deze voorvoegsels.
Gebruiker wordt onverwacht omgeleid naar een IdP van derden in plaats van naar de Google-inlogpagina
Als een gebruiker wordt omgeleid naar een IdP van derden nadat u deze heeft verwijderd uit een SSO-groep of SSO heeft uitgezet voor de groep of organisatie-eenheid van de gebruiker, controleert u de volgende punten in de Beheerdersconsole:
- Prioriteitsvolgorde van groepen: Ga naar SSO-profieltoewijzingen beheren Groepen en controleer of de gebruiker bij een andere groep hoort die een hogere prioriteit heeft in de groepslijst. Als een gebruiker bij meerdere groepen hoort, heeft de groep met de hoogste prioriteit voorrang. Geef de groep waarvoor SSO uitstaat een hogere prioriteit dan de groep die het SSO-profiel van derden gebruikt of verwijder de gebruiker uit de SSO-groep met een hogere prioriteit.
- Genest groepslidmaatschap: Controleer of de gebruiker lid is van een onderliggende groep die is genest in een bovenliggende groep die is toegewezen aan SSO. Gebruikers nemen het SSO-profiel over van alle bovenliggende groepen waarvan ze lid zijn. Verwijder de gebruiker uit de onderliggende groep of wijs een SSO-profiel rechtstreeks toe aan de onderliggende groep en geef de onderliggende groep een hogere prioriteit in de lijst dan de bovenliggende groep.
- Overname van organisatie-eenheid: Als de gebruiker geen groepstoewijzing heeft, controleert u het SSO-profiel dat is toegewezen aan de organisatie-eenheid van de gebruiker. Als de organisatie-eenheid van de gebruiker is toegewezen aan een SSO-profiel van derden, verplaatst u de gebruiker naar een organisatie-eenheid waarvoor SSO uitstaat of zet u SSO uit voor de organisatie-eenheid van de gebruiker.
De SAML-reactie parseren
'De verplichte reactieparameter SAMLResponse ontbreekt'
Deze foutmelding geeft aan dat uw identiteitsprovider Google geen geldige SAML-reactie geeft. Het probleem is zo goed als zeker te wijten aan een configuratieprobleem in de identiteitsprovider.
- Controleer in de logboeken van uw identiteitsprovider of iets zorgt dat er geen juiste SAML-reactie kan worden teruggestuurd.
- Zorg dat uw identiteitsprovider Google Workspace geen versleutelde SAML-reactie stuurt. Google Workspace accepteert alleen SAML-antwoorden die niet zijn versleuteld. Belangrijk: Active Directory Federation Services 2.0 van Microsoft stuurt vaak versleutelde SAML-reacties in standaardconfiguraties.
'De verplichte reactieparameter RelayState ontbreekt'
De SAML 2.0-specificatie vereist dat identiteitsproviders een RelayState-URL-parameter ophalen en terugsturen van bronproviders (zoals Google Workspace). Google Workspace geeft deze waarde door aan de identiteitsprovider in het SAML-verzoek. De exacte inhoud kan bij elke login verschillen. Verificatie lukt alleen als de RelayState exact wordt teruggestuurd in de SAML-reactie. Volgens de standaard-SAML-specificatie mag uw identiteitsprovider de RelayState tijdens de inlogflow niet wijzigen.
- Dit probleem verder bepalen door HTTP-headers vast te leggen tijdens een aanmeldingspoging. Haal de RelayState op uit de HTTP-berichtkoppen met de SAML-aanvraag en de SAML-reactie en controleer of de waarden van de RelayState in de aanvraag en reactie met elkaar overeenkomen.
- Door de meeste commercieel verkrijgbare of open-source SSO-identiteitsproviders wordt de RelayState standaard naadloos doorgestuurd. Voor optimale beveiliging en betrouwbaarheid raden we u aan een van deze bestaande oplossingen te gebruiken. We kunnen geen ondersteuning bieden voor SSO-software die u zelf heeft aangepast.
Inhoud van de SAML-reactie
'U heeft geen toegang tot deze service, omdat uw inlogverzoek ongeldige gegevens bevatte voor [destination|audience|recipient]. Log in en probeer het nogmaals.'
Deze foutmelding geeft aan dat de elementen destination, audience of recipient in de SAML-verklaring ongeldige gegevens bevatten of leeg waren. Alle elementen moeten worden toegevoegd aan de SAML-verklaring. Bekijk de volgende tabellen in Vereisten voor SSO-assertie voor beschrijvingen en voorbeelden van elk element:
'U heeft geen toegang tot deze service omdat uw inlogverzoek geen informatie over de ontvanger bevat. Log in en probeer het nogmaals.'
Deze foutmelding geeft meestal aan dat de SAML-reactie van uw identiteitsprovider geen leesbare waarde voor de Recipient bevat (of dat de waarde voor de Recipient niet correct is). De waarde bij Recipient is een belangrijk onderdeel van de SAML-reactie.
- Dit probleem verder bepalen door HTTP-headers vast te leggen tijdens een aanmeldingspoging.
- De SAML-aanvraag en -reactie extraheren uit de HTTP-berichtkoppen.
- Controleer of de waarde van de Recipient in de SAML-reactie daadwerkelijk voorkomt en of deze overeenkomt met de waarde in de SAML-aanvraag.
Opmerking: Deze foutmelding kan ook worden weergegeven als 'U heeft geen toegang tot deze service omdat uw inlogverzoek ongeldige gegevens voor de ontvanger bevat. Log in en probeer het opnieuw.'
'U heeft geen toegang tot dit account omdat de inlogreferenties niet kunnen worden geverifieerd.'
Deze fout geeft aan dat er een probleem is met de certificaten die je gebruikt om het verificatieproces te ondertekenen. Dit betekent meestal dat de privésleutel die is gebruikt om de SAML-reactie te ondertekenen, niet overeenkomt met het certificaat met openbare sleutel dat Google Workspace heeft opgeslagen.
Deze foutmelding kan ook betekenen dat uw SAML-reactie geen bruikbare gebruikersnaam van een Google-account bevat. Google Workspace parseert de SAML-reactie voor een XML-element, genaamd NameID, en verwacht dat dit element een Google Workspace-gebruikersnaam of een volledig Google Workspace-e-mailadres bevat.
- Controleer of u een geldig certificaat heeft geüpload naar Google Workspace en vervang het certificaat indien nodig. Ga in de Google Beheerdersconsole naar Beveiliging Single sign-on (SSO) instellen met een IdP van derden en klik op Certificaat vervangen.
- Als u een volledig e-mailadres gebruikt in het element NameID (dat doet u in ieder geval als u SSO in een Apps-omgeving met meerdere domeinen gebruikt), moet u zorgen dat het kenmerk Format van het element NameID voorschrijft dat een volledig e-mailadres moet worden gebruikt, zoals in het volgende voorbeeld: Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress".
- Voer voor het element NameID een geldige gebruikersnaam of geldig e-mailadres in. Pak de SAML-reactie uit die u naar Google Workspace stuurt en controleer de waarde van het element NameID om zeker te zijn.
- NameID is hoofdlettergevoelig: zorg dat de SAML-reactie NameID invult met een waarde die overeenkomt met de hoofdletters van de Google Workspace-gebruikersnaam of het e-mailadres.
- Als uw identiteitsprovider de SAML-verklaring versleutelt, zet u deze versleuteling uit.
- Zorg dat de SAML-reactie geen niet-standaard ASCII-tekens bevat. Dit probleem doet zich meestal voor in de kenmerken GivenName en Surname in het AttributeStatement, bijvoorbeeld:
- <Attribute Name="http://schemas.microsoft.com/identity/claims/displayname">
<AttributeValue>Blüte, Eva</AttributeValue> </Attribute> - <Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname">
<AttributeValue>Blüte</AttributeValue> </Attribute>
- <Attribute Name="http://schemas.microsoft.com/identity/claims/displayname">
Bekijk de vereisten voor SSO-assertie voor meer informatie over de indeling van het element NameID.
'U heeft geen toegang tot deze service omdat uw inlogreferenties zijn verlopen. Log in en probeer het nogmaals.'
Om veiligheidsredenen moet het SSO-inlogproces binnen een bepaald tijdsbestek worden afgerond, anders mislukt de verificatie. Als de tijd op de klok van uw identiteitsprovider niet correct is, lijken de meeste of alle inlogpogingen buiten de acceptabele termijn te vallen. Daardoor mislukt de verificatie en wordt bovenstaande foutmelding gegenereerd.
- Controleer de klok op de server van uw identiteitsprovider. Deze fout wordt vrijwel altijd veroorzaakt doordat de klok van de identiteitsprovider niet op de juiste tijd staat, waardoor onjuiste tijdstempels op de SAML-reactie worden geplaatst.
- Synchroniseer de klok van de server van uw identiteitsprovider met een betrouwbare internettijdserver. Als dit probleem zich opeens in een productieomgeving voordoet, wordt dit meestal veroorzaakt doordat de synchronisatie de laatste keer is mislukt, waardoor de servertijd onnauwkeurig is geworden. Als u de tijd opnieuw synchroniseert (met een betrouwbare tijdserver) wordt dit probleem meestal snel opgelost.
- Dit probleem kan zich ook voordoen als u SAML opnieuw verstuurt via een eerdere inlogpoging. Dit kunt u verder oplossen door uw SAML-aanvraag en -reactie (verkregen uit logbestanden met HTTP-kopteksten tijdens een aanmeldingspoging) te onderzoeken.
'U heeft geen toegang tot deze service omdat uw inlogreferenties nog niet geldig zijn. Log in en probeer het nogmaals.'
Om veiligheidsredenen moet het SSO-inlogproces binnen een bepaald tijdsbestek worden afgerond, anders mislukt de verificatie. Als de tijd op de klok van uw identiteitsprovider niet correct is, lijken de meeste of alle inlogpogingen buiten de acceptabele termijn te vallen. Daardoor mislukt de verificatie en wordt bovenstaande foutmelding gegenereerd.
- Controleer de klok op de server van uw identiteitsprovider. Deze fout wordt vrijwel altijd veroorzaakt doordat de klok van de identiteitsprovider niet op de juiste tijd staat, waardoor onjuiste tijdstempels op de SAML-reactie worden geplaatst.
- Synchroniseer de klok van de server van uw identiteitsprovider met een betrouwbare internettijdserver. Als dit probleem zich opeens in een productieomgeving voordoet, wordt dit meestal veroorzaakt doordat de synchronisatie de laatste keer is mislukt, waardoor de servertijd onnauwkeurig is geworden. Als u de tijd opnieuw synchroniseert (met een betrouwbare tijdserver) wordt dit probleem meestal snel opgelost.