Felsöka enkel inloggning (single sign-on, SSO)

Den här domänen har inte konfigurerats för enkel inloggning.

Det här felet tyder vanligtvis på att du använder en version av Google Workspace som inte har stöd för enkel inloggning (till exempel den äldre kostnadsfria utgåvan av G Suite). Alla aktuella Workspace-utgåvor har stöd för SSO via en extern identitetsleverantör (IdP).

Om du använder en Google Workspace-utgåva som har stöd för SSO kan du testa följande lösningar:

• Kontrollera att identitetsleverantörens konfiguration för enkel inloggning använder rätt Google Workspace-domännamn.
• Om du får det här felet efter att du har konfigurerat SSO-profiler kan din IdP vara konfigurerad för att skicka SAML-intyget till den äldre SSO-profilslutpunkten. Om din IdP har den äldre SSO-slutpunkten hårdkodad gör du följande:
  1. Konfigurera äldre SSO.
  2. Be IdP-leverantören att uppdatera Google-integreringen.

"Det här kontot kan inte nås eftersom domänen är felaktigt konfigurerad. Försök igen senare."

Felet indikerar att du inte har konfigurerat enkel inloggning korrekt på Google Administratörskonsol. Läs igenom följande steg för att rätta till problemet:

1. Öppna Säkerhet Konfigurera enkel inloggning med en extern IdP i administratörskonsolen och markera Konfigurera enkel inloggning med extern identitetsleverantör.
2. Ange webbadresser för din organisations inloggningssida, utloggningssida och sida för att ändra lösenord i respektive fält.
3. Välj och ladda upp en giltig fil med verifieringscertifikat.
4. Klicka på Spara, vänta några minuter för att ändringarna ska träda i kraft, och testa integrationen igen.

Google-klienten har konfigurerats med förbjudet prefix

I iOS-appar när SSO-inloggningssidans webbadress börjar med ”google”. (eller en viss variant) omdirigeras iOS-appen för Google till Safari. Detta medför att SSO-processen misslyckas. Den kompletta listan över förbjudna prefix är:

• googl.
• google.
• www.googl.
• www.google.

Du behöver ändra alla webbadresser för sidor med enkel inloggning med dessa prefix.

"Den erforderliga responsparametern SAMLResponse saknades"

Felmeddelandet indikerar att din identitetsleverantör inte skickar Google ett giltigt SAML-svar av något slag. Problemet beror nästan helt säkert på ett konfigurationsproblem hos identitetsleverantören.

• Kontrollera identitetsleverantörens loggar och kontrollera att det inte finns något som hindrar korrekt återgivning av ett SAML-svar.
• Se till att identitetsleverantören inte skickar ett krypterat SAML-svar till Google Workspace. Google Workspace godkänner endast SAML-svar som inte är krypterade. Notera särskilt att Microsofts Active Directory Federation Services 2.0 ofta skickar krypterade SAML-svar i standardkonfigurationer.

"Den erforderliga responsparametern RelayState saknades"

SAML 2.0-specifikationen kräver att identitetsleverantörer hämtar och skickar tillbaka en webbadressparameter för RelayState från resursleverantörer (till exempel Google Workspace). Google Workspace tillhandahåller detta värde till identitetsleverantören i SAML-begäran och det exakta innehållet kan variera vid varje inloggning. För att autentiseringen ska kunna slutföras måste exakt RelayState återges i SAML-svaret. Enligt SAML-standardspecifikationen ska inte din identitetsleverantör ändra RelayState under inloggningsflödet.

• Diagnostisera frågan ytterligare genom att spara HTTP-huvudena under ett inloggningsförsök. Extrahera RelayState från HTTP-huvud med både SAML-förfrågan och -respons, och se till att RelayState-värdena i förfrågan och respons matchar varandra.
• De flesta SSO-identitetsleverantörer som är kommersiellt tillgängliga eller har öppen källkod överför RelayState sömlöst som standard. För optimal säkerhet och pålitlighet rekommenderar vi att du använder någon av de befintliga lösningarna. Vi kan inte erbjuda support för någon egen, anpassad SSO-mjukvara.

"Den här tjänsten kan inte nås eftersom din inloggningsförfrågan innehöll ogiltig information om [destination|audience]. Logga in och försök igen."

Det här felet indikerar att destinationen, målgruppen eller mottagarelementen i SAML-påståendet innehöll ogiltig information eller var tomma. Alla element måste ingå i SAML-kontrollen. I följande tabeller i Krav för SSO-kontroll finns beskrivningar och exempel för varje element:

• Använda element och attribut – SSO-profiler
• Använda element och attribut – äldre SSO-profil

"Den här tjänsten kan inte nås eftersom din inloggningsförfrågan inte innehöll någon information om mottagaren. Logga in och försök igen."

Detta fel indikerar vanligtvis att SAML-responsen från din identitetsleverantör saknar ett läsbart mottagar-värde (eller att mottagar-värdet är felaktigt). Värdet Recipient är en viktig del av SAML-svaret.

1. Diagnostisera frågan ytterligare genom att spara HTTP-huvudena under ett inloggningsförsök.
2. Extrahera SAML-begäran och -svar från HTTP-huvudena.
3. Se till att mottagarvärdet i SAML-responsen existerar och att det matchar värdet i SAML-förfrågan.

Obs! Detta felmeddelande kan även visas som ”Den här tjänsten kan inte nås eftersom din inloggningsförfrågan innehöll ogiltig information om mottagaren. Logga in och försök igen.

Det går inte att komma åt det här kontot eftersom det inte gick att verifiera dina inloggningsuppgifter.

Det här felet indikerar ett problem med certifikaten du använder för att signera autentiseringsflödet. Detta innebär vanligtvis att den privata nyckeln som används för att signera SAML-svaret inte matchar det offentliga nyckelcertifikatet som Google Workspace har i sin fil.

Felet kan även inträffade om att ditt SAML-svar inte innehåller ett giltigt användarnamn för Google-kontot. Google Workspace analyserar SAML-svaret för ett XML-element som kallas NameID och elementet förväntas innehålla ett Google Workspace-användarnamn eller en fullständig e-postadress i Google Workspace.

• Kontrollera att du har laddat upp ett giltigt certifikat till Google Workspace och byt ut certifikatet om det behövs. Öppna Säkerhet Konfigurera enkel inloggning med en extern IdP i Googles administratörskonsol och klicka på Ersätt certifikat.
• Om du använder en fullständig e-postadress i NameID-elementet (vilket du måste göra om du använder enkel inloggning med en G Suite-miljö för flera domäner), ska du se till att Format-attributet i NameID-elementet specificerar att en fullständig e-postadress ska användas, som i följande exempel: Format="urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress"
• Se till att du fyller i NameID-elementet med ett giltigt användarnamn eller e-postadress. För att vara säker extraherar du SAML-svaret som du skickar till Google Workspace och kontrollerar värdet för elementet NameID.
• NameID är skiftlägeskänsligt. Se till att SAML-svaret fyller i NameID med ett värde som matchar skiftläget för Google Workspace-användarnamnet eller e-postadressen.
• Om identitetsleverantören krypterar SAML-kontrollen ska du inaktivera krypteringen.
• Se till att SAML-svaret inte innehåller några icke-standardiserade ASCII-tecken. Problemet förekommer oftast i attributen DisplayName, GivenName och Surname i AttributeStatement, till exempel:
  • <Attribute Name="http://schemas.microsoft.com/identity/claims/displayname">
    <AttributeValue>Blüte, Eva</AttributeValue> </Attribute>
  • <Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname">
    <AttributeValue>Blüte</AttributeValue> </Attribute>

Mer information om hur du formaterar NameID-elementet finns i Krav för SSO-kontroll.

"Den här tjänsten kan inte nås eftersom dina inloggningsuppgifter har slutat gälla. Logga in och försök igen."

Av säkerhetsskäl måste SSO-inloggningsflödet slutföras inom en viss tidsperiod, annars misslyckas autentiseringen. Om klockan på din identitetsleverantör inte går rätt verkar det som att de flesta eller alla inloggningsförsök görs utanför den godkända tidsramen och autentiseringen kommer att misslyckas. Ovanstående felmeddelande visas.

• Kontrollera klockan på din identitetsleverantörs server. Felet beror nästan alltid på att identitetsleverantörens klocka går fel, vilket infogar felaktiga tidsstämplar i SAML-svaret.
• Synkronisera om identitetsleverantörens serverklocka med en pålitlig tidserver på internet. När detta plötsligt händer i en produktionsmiljö beror det oftast på att synkroniseringen misslyckades förra gången så att servertiden blir felaktig. Upprepa tidssynkroniseringen (eventuellt med en mer pålitlig tidsserver) för att snabbt lösa problemet.
• Problemet kan också uppstå om du skickar om SAML från ett tidigare inloggningsförsök. Att undersöka SAML-begäran och -svaret (hämtas från HTTP-huvudloggarna som sparats under ett inloggningsförsök) kan hjälpa dig att felsöka detta vidare.

"Den här tjänsten kan inte nås eftersom dina inloggningsuppgifter inte börjat gälla än. Logga in och försök igen."

Av säkerhetsskäl måste SSO-inloggningsflödet slutföras inom en viss tidsperiod, annars misslyckas autentiseringen. Om klockan på din identitetsleverantör inte går rätt verkar det som att de flesta eller alla inloggningsförsök görs utanför den godkända tidsramen och autentiseringen kommer att misslyckas. Ovanstående felmeddelande visas.

• Kontrollera klockan på din identitetsleverantörs server. Felet beror nästan alltid på att identitetsleverantörens klocka går fel, vilket infogar felaktiga tidsstämplar i SAML-svaret.
• Synkronisera om identitetsleverantörens serverklocka med en pålitlig tidserver på internet. När detta plötsligt händer i en produktionsmiljö beror det oftast på att synkroniseringen misslyckades förra gången så att servertiden blir felaktig. Upprepa tidssynkroniseringen (eventuellt med en mer pålitlig tidsserver) för att snabbt lösa problemet.