Felsöka enkel inloggning (single sign-on, SSO)

Du kan lösa vanliga fel som du kan stöta på vid integrering eller användning av enkel inloggning (SSO) med Google Workspace när Google är tjänsteleverantör.

Konfiguration och aktivering

”Denna domän är inte konfigurerad för enkel inloggning.”

Det här felet tyder vanligtvis på att du använder en version av Google Workspace som inte har stöd för enkel inloggning (till exempel den äldre kostnadsfria utgåvan av G Suite). Alla aktuella Workspace-utgåvor har stöd för SSO via en extern identitetsleverantör (IdP).

Om du använder en Google Workspace-utgåva som har stöd för enkel inloggning kan du testa de här lösningarna:

  • Kontrollera att identitetsleverantörens SSO-konfiguration använder rätt domännamn för Google Workspace.
  • Om du får det här felet efter att ha konfigurerat SSO-profiler kan IdP vara konfigurerat för att skicka SAML-kontrollen till den äldre SSO-profilens slutpunkt. Om din IdP har den äldre SSO-ändpunkten hårdkodad gör du följande:
    1. Konfigurera äldre SSO.
    2. Be IdP-leverantören att uppdatera Google-integreringen.

"Det här kontot kan inte nås eftersom domänen är felaktigt konfigurerad. Försök igen senare."

Felet indikerar att du inte har konfigurerat enkel inloggning korrekt på Google Administratörskonsol. Läs igenom följande steg för att rätta till problemet:

  1. I administratörskonsolen öppnar du Säkerhet följt av Konfigurera enkel inloggning med en extern IdP och markerar Konfigurera enkel inloggning med extern identitetsleverantör.
  2. Ange webbadresser för din organisations inloggningssida, utloggningssida och sida för att ändra lösenord i respektive fält.
  3. Välj och ladda upp en giltig fil med verifieringscertifikat.
  4. Klicka på Spara, vänta några minuter för att ändringarna ska träda i kraft, och testa integrationen igen.

Google-klienten har konfigurerats med förbjudet prefix

I iOS-appar när SSO-inloggningssidans webbadress börjar med ”google”. (eller en viss variant) omdirigeras iOS-appen för Google till Safari. Detta medför att SSO-processen misslyckas. Den kompletta listan över förbjudna prefix är:

  • googl.
  • google.
  • www.googl.
  • www.google.

Du behöver ändra alla webbadresser för sidor med enkel inloggning med dessa prefix.

Användaren omdirigeras oväntat till en extern IdP i stället för Google-inloggning

Om en användare omdirigeras till en extern IdP när du har tagit bort hen från en SSO-grupp eller inaktiverat SSO för hens grupp eller organisationsenhet kontrollerar du följande punkter i administratörskonsolen:

  • Grupprioritetsordning – gå till Hantera SSO-profiltilldelningar följt av Grupper och kontrollera om användaren tillhör en annan grupp som har högre prioritet i grupplistan. När en användare tillhör flera grupper har gruppen med högst prioritet företräde. Ge gruppen som har SSO inaktiverat högre prioritet än gruppen som använder SSO-profilen från tredje part eller ta bort användaren från SSO-gruppen med högre prioritet.
  • Kapslat gruppmedlemskap – kontrollera om användaren tillhör en undergrupp som är kapslad i en överordnad grupp som har tilldelats SSO. Användarna ärver SSO-profilen för alla överordnade grupper som de tillhör. Ta bort användaren från den underordnade gruppen eller tilldela en SSO-profil direkt till den underordnade gruppen och ge den underordnade gruppen högre prioritet i listan än den överordnade gruppen.
  • Arv från organisationsenhet – om användaren inte har en grupptilldelning kontrollerar du SSO-profilen som har tilldelats organisationsenheten. Om användarens organisationsenhet har tilldelats en SSO-profil från tredje part flyttar du användaren till en organisationsenhet där SSO är inaktiverat eller inaktiverar SSO för användarens organisationsenhet.
Det kan ta upp till 24 timmar att införa ändringar, men det går oftast snabbare. Läs mer

Kontrollerar SAML-svaret

"Den erforderliga responsparametern SAMLResponse saknades"

Felmeddelandet indikerar att din identitetsleverantör inte skickar Google ett giltigt SAML-svar av något slag. Problemet beror nästan helt säkert på ett konfigurationsproblem hos identitetsleverantören.

  • Kontrollera identitetsleverantörens loggar och kontrollera att det inte finns något som hindrar korrekt återgivning av ett SAML-svar.
  • Se till att identitetsleverantören inte skickar ett krypterat SAML-svar till Google Workspace. Google Workspace godkänner endast SAML-svar som är okrypterade. Notera särskilt att Microsofts Active Directory Federation Services 2.0 ofta skickar krypterade SAML-svar i standardkonfigurationer.

"Den erforderliga responsparametern RelayState saknades"

SAML 2.0-specifikationen kräver att identitetsleverantörer hämtar och skickar tillbaka en RelayState-webbadressparameter från resursleverantörer (som Google Workspace). Google Workspace tillhandahåller det här värdet till identitetsleverantören i SAML-begäran och det exakta innehållet kan skilja sig åt vid varje inloggning. För att autentiseringen ska kunna slutföras måste exakt RelayState återges i SAML-svaret. Enligt SAML-standardspecifikationen ska inte din identitetsleverantör ändra RelayState under inloggningsflödet.

  • Diagnostisera frågan ytterligare genom att spara HTTP-huvudena under ett inloggningsförsök. Extrahera RelayState från HTTP-huvud med både SAML-förfrågan och -respons, och se till att RelayState-värdena i förfrågan och respons matchar varandra.
  • De flesta SSO-identitetsleverantörer som är kommersiellt tillgängliga eller har öppen källkod överför RelayState sömlöst som standard. För optimal säkerhet och pålitlighet rekommenderar vi att du använder någon av de befintliga lösningarna. Vi kan inte erbjuda support för någon egen, anpassad SSO-mjukvara.

Innehåll i SAML-svaret

"Den här tjänsten kan inte nås eftersom din inloggningsförfrågan innehöll ogiltig information om [destination|audience]. Logga in och försök igen."

Det här felet indikerar att destinationen, målgruppen eller mottagarelementen i SAML-påståendet innehöll ogiltig information eller var tomma. Alla element måste ingå i SAML-kontrollen. I följande tabeller i Krav för SSO-kontroll finns beskrivningar och exempel för varje element:

"Den här tjänsten kan inte nås eftersom din inloggningsförfrågan inte innehöll någon information om mottagaren. Logga in och försök igen."

Detta fel indikerar vanligtvis att SAML-responsen från din identitetsleverantör saknar ett läsbart mottagar-värde (eller att mottagar-värdet är felaktigt). Värdet Recipient är en viktig del av SAML-svaret.

  1. Diagnostisera frågan ytterligare genom att spara HTTP-huvudena under ett inloggningsförsök.
  2. Extrahera SAML-begäran och -svar från HTTP-huvudena.
  3. Se till att mottagarvärdet i SAML-responsen existerar och att det matchar värdet i SAML-förfrågan.

Obs! detta felmeddelande kan också visas som ”Den här tjänsten kan inte nås eftersom din inloggningsförfrågan innehöll ogiltig information om mottagaren. Logga in och försök igen.

Det går inte att komma åt det här kontot eftersom det inte gick att verifiera dina inloggningsuppgifter.

Det här felet indikerar ett problem med certifikaten du använder för att signera autentiseringsflödet. Det innebär vanligtvis att den privata nyckeln som används för att signera SAML-svaret inte matchar det offentliga nyckelcertifikatet som Google Workspace har registrerat.

Felet kan även inträffade om att ditt SAML-svar inte innehåller ett giltigt användarnamn för Google-kontot. Google Workspace analyserar SAML-svaret för ett XML-element som kallas NameID och elementet förväntas innehålla ett Google Workspace-användarnamn eller en fullständig e-postadress i Google Workspace.

  • Kontrollera att du har laddat upp ett giltigt certifikat till Google Workspace och byt ut certifikatet om det behövs. I Google Administratörskonsol öppnar du Säkerhet följt av Konfigurera enkel inloggning med en extern IdP och klickar på Ersätt certifikat.
  • Om du använder en fullständig e-postadress i NameID-elementet (vilket du måste göra om du använder enkel inloggning med en G Suite-miljö för flera domäner), ska du se till att Format-attributet i NameID-elementet specificerar att en fullständig e-postadress ska användas, som i följande exempel: Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
  • Se till att du fyller i NameID-elementet med ett giltigt användarnamn eller e-postadress. För att vara säker kan du extrahera SAML-svaret som du skickar till Google Workspace och kontrollera värdet för elementet NameID.
  • NameID är skiftlägeskänsligt. Se till att SAML-svaret fyller i NameID med ett värde som matchar skiftläget för användarnamnet eller e-postadressen i Google Workspace.
  • Om identitetsleverantören krypterar SAML-kontrollen ska du inaktivera krypteringen.
  • Se till att SAML-svaret inte innehåller några icke-standardiserade ASCII-tecken. Problemet förekommer oftast i attributen DisplayName, GivenName och Surname i AttributeStatement, till exempel:
    • <Attribute Name="http://schemas.microsoft.com/identity/claims/displayname">
      <AttributeValue>Blüte, Eva</AttributeValue> </Attribute>
    • <Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname">
      <AttributeValue>Blüte</AttributeValue> </Attribute>

Mer information om hur du formaterar NameID-elementet finns i Krav för SSO-kontroll.

"Den här tjänsten kan inte nås eftersom dina inloggningsuppgifter har slutat gälla. Logga in och försök igen."

Av säkerhetsskäl måste SSO-inloggningsflödet slutföras inom en viss tidsram, annars misslyckas autentiseringen. Om klockan på din identitetsleverantör inte går rätt verkar det som att de flesta eller alla inloggningsförsök görs utanför den godkända tidsramen och autentiseringen kommer att misslyckas. Ovanstående felmeddelande visas.

  • Kontrollera klockan på din identitetsleverantörs server. Felet beror nästan alltid på att identitetsleverantörens klocka går fel, vilket infogar felaktiga tidsstämplar i SAML-svaret.
  • Synkronisera om identitetsleverantörens serverklocka med en pålitlig tidserver på internet. När detta plötsligt händer i en produktionsmiljö beror det oftast på att synkroniseringen misslyckades förra gången så att servertiden blir felaktig. Upprepa tidssynkroniseringen (eventuellt med en mer pålitlig tidsserver) för att snabbt lösa problemet.
  • Problemet kan också uppstå om du skickar om SAML från ett tidigare inloggningsförsök. Att undersöka SAML-begäran och -svaret (hämtas från HTTP-huvudloggarna som sparats under ett inloggningsförsök) kan hjälpa dig att felsöka detta vidare.

"Den här tjänsten kan inte nås eftersom dina inloggningsuppgifter inte börjat gälla än. Logga in och försök igen."

Av säkerhetsskäl måste SSO-inloggningsflödet slutföras inom en viss tidsram, annars misslyckas autentiseringen. Om klockan på din identitetsleverantör inte går rätt verkar det som att de flesta eller alla inloggningsförsök görs utanför den godkända tidsramen och autentiseringen kommer att misslyckas. Ovanstående felmeddelande visas.

  • Kontrollera klockan på din identitetsleverantörs server. Felet beror nästan alltid på att identitetsleverantörens klocka går fel, vilket infogar felaktiga tidsstämplar i SAML-svaret.
  • Synkronisera om identitetsleverantörens serverklocka med en pålitlig tidserver på internet. När detta plötsligt händer i en produktionsmiljö beror det oftast på att synkroniseringen misslyckades förra gången så att servertiden blir felaktig. Upprepa tidssynkroniseringen (eventuellt med en mer pålitlig tidsserver) för att snabbt lösa problemet.