SSO- und SCIM-Fehler beheben
Übersicht
Erfahre, wie du Fehler bei Single Sign-On (SSO) und System for Cross-domain Identity Management (SCIM) mit Klaviyo beheben kannst. Dieser Artikel richtet sich an Personen, die mit SSO und SCIM vertraut sind, z. B. IT-Fachleute.
Weitere Informationen findest du in diesem Artikel zum Einrichten von Single Sign-On.
Fehlerliste und wie du sie behebst
Diese Tabellen decken häufige SSO- und SCIM-Fehler ab. Fehler treten häufig auf, wenn Informationen fehlen oder falsch sind.
Um deine Klaviyo-SSO-Einstellungen zu finden, gehe zu Einstellungen > Sicherheit. Klicke unter Single Sign-on (SSO) auf SSO einrichten oder Einrichtung bearbeiten, um die Verbindung zu konfigurieren. Verwende SSO-Einstellungen, um SSO, die vom Identitätsanbieter initiierte Anmeldung oder die JIT-Provisionierung zu aktivieren.
Fehler | So behebst du das |
Fehlende SSO-Konfiguration für {email} ({company_id}) | Schließe die SSO-Konfiguration in Klaviyo ab und klicke dann auf Speichern. |
SSO für {email} ({company_id}) deaktiviert | Wähle in Klaviyo unter SSO-Einstellungen die Option SSO aktivieren aus. |
Fehlende SSO-Konfiguration für ({company_id}) | Schließe die SSO-Konfiguration in Klaviyo ab und klicke dann auf Speichern. |
SSO für ({company_id}) deaktiviert | Wähle in Klaviyo unter SSO-Einstellungen die Option SSO aktivieren aus. |
Neuen SSO-Benutzer*in für {email} in Konto ({company_id}) kann nicht bereitgestellt werden (Just-in-Time-Provisionierung nicht aktiviert) | Wenn du möchtest, dass Klaviyo Nutzer*innen erstellt, wenn sie sich zum ersten Mal mit SSO anmelden, wähle unter SSO-Einstellungen in Klaviyo Just-in-time-(JIT)-Provisionierung aus. |
Vom Identitätsanbieter initiiertes SSO ist für {email} ({company_id}) deaktiviert. | Damit Benutzer*innen die Anmeldung über deinen Identitätsanbieter starten können, wähle unter SSO-Einstellungen in Klaviyo die Option Vom Identitätsanbieter initiierte Anmeldung aus. |
Fehlende SSO-Konfiguration für ({company_id}) | Schließe die SSO-Konfiguration in Klaviyo ab und klicke dann auf Speichern. |
Der Name in Klaviyo ist {Klaviyo name} und stimmt nicht mit der SCIM-Nachricht von {IdP name} (Identitätsanbieter) überein. | Wenn eine Nutzer*in in mehreren Klaviyo-Konten ist, aktualisiere ihren Vor- und Nachnamen in deinem Identitätsanbieter so, dass er mit Klaviyo übereinstimmt. Alternativ kannst du die Nutzer*in bitten, ihren Namen in Klaviyo zu aktualisieren, sodass er mit deinem Identitätsanbieter übereinstimmt. Versuche dann das SCIM-Update erneut. |
SSO-Konfigurationsfehler
Klaviyo erfordert signierte SAML-Assertions. Das Signieren der Antwort und das Verschlüsseln der Assertion sind optional. Einzelne verschlüsselte Attribute werden nicht unterstützt.
Fehler | So behebst du das | ||
Nicht unterstützte SAML-Version | Gehe zu deinem Identitätsanbieter für SSO und aktualisiere auf SAML 2.0. | ||
Fehlendes ID-Attribut in der SAML-Antwort | Stelle sicher, dass dein Identitätsanbieter ein ID-Attribut für das SAML-Response-Element enthält. Dies ist der Bezeichner der Response, nicht der Aussteller des Identitätsanbieters oder die E-Mail-Adresse der Benutzer*in. | ||
Fehlendes role-Attribut | Füge in deinem Identitätsanbieter ein Rollenattribut in das AttributeStatement der SAML assertion ein. Verwende eine Rolle für den Kontotyp, den du konfigurierst. Statische Rollenwerte für Konto und Portfolio sind unten aufgeführt. JIT-Provisionierung kann keine Kontoinhaber*innen oder Portfolio-Kontoinhaber*innen erstellen und keine Inhaberschaft übertragen. Für eine*n bestehende*n Kontoinhaber*in muss die von deinem Identitätsanbieter gesendete Rolle mit der aktuellen Kontoinhaberrolle übereinstimmen. | ||
Benutzer*innenrollen für Konten:
|
| ||
Die SAML-Antwort muss 1 Assertion enthalten. | Konfiguriere deinen Identitätsanbieter so, dass er genau 1 Assertion in jeder SAML-Antwort sendet. | ||
Ungültige SAML-Antwort. Entspricht nicht der saml-schema-protocol-2.0.xsd | Stelle sicher, dass deine SAML-Antwort dem SAML-2.0-Schema entspricht. | ||
Die Assertion muss ein Conditions-Element enthalten. | Stelle sicher, dass die SAML-Response-Assertion für deinen Identitätsanbieter ein Conditions-Element enthält. | ||
Die Assertion muss ein AuthnStatement-Element enthalten | Stelle sicher, dass die Assertion der SAML-Antwort deines Identitätsanbieters ein AuthnStatement-Element enthält. | ||
In der Antwort gibt es ein EncryptedAttribute, und dieser SP unterstützt sie nicht | Klaviyo unterstützt es nicht, wenn ein Attribut verschlüsselt ist. Überprüfe die Einstellungen für deinen Identitätsanbieter und stelle sicher, dass kein Attribut verschlüsselt ist. | ||
Die Antwort hat einen leeren Zielwert. | Lege in deinem Identitätsanbieter das Ziel auf die in Klaviyos SSO-Einrichtung angezeigte Klaviyo-SSO-URL fest. Der Feldname variiert je nach Anbieter. Gängige Namen sind „Reply URL“, „ACS URL“, „Assertion Consumer Service URL“, „Trusted URL“ und „Endpunkt-URL“. | ||
%s ist keine gültige Zielgruppe für diese Antwort | Stelle sicher, dass die Audience-ID in deinem Identitätsanbieter genau mit der Audience-URI (Entity-ID des Service-Providers) übereinstimmt, die in deinem SSO-Konfigurationsbereich angegeben ist, einschließlich des Präfixes https://. | ||
Ungültiger Aussteller in der Assertion/Response (erwartet %(idpEntityId)s, erhalten %(issuer)s) | Stelle in Klaviyos SSO-Einrichtung sicher, dass IdP Issuer mit dem Aussteller (Entitäts-ID) in der SAML-Antwort deines Identitätsanbieters übereinstimmt, und klicke dann auf Speichern. | ||
Die Attribute sind abgelaufen, basierend auf dem SessionNotOnOrAfter der AttributeStatement dieser Response. | Versuche erneut, dich anzumelden. Wenn das nicht funktioniert, erweitere das Ablaufzeitfenster für deine SAML-Antwort in deinem Identitätsanbieter, da es möglicherweise zu kurz ist. | ||
In dieser Response wurde keine gültige SubjectConfirmation gefunden | Prüfe, ob die Assertion eine gültige SubjectConfirmation mit der Bearer-Methode und SubjectConfirmationData enthält. Verifiziere, dass der Empfänger mit der Klaviyo SSO URL übereinstimmt, der Gültigkeitszeitraum die aktuelle Zeit einschließt und ein InResponseTo-Wert mit der Antwort übereinstimmt. | ||
Die Assertion der Response ist nicht signiert und der SP verlangt sie. | Aktiviere in deinem Identitätsanbieter die Signierung für SAML-Assertions. Wende dich an deinen Identitätsanbieter, wenn du Hilfe benötigst. | ||
Keine Signatur gefunden. SAML-Antwort abgelehnt | Stelle sicher, dass dein Identitätsanbieter die SAML-Assertion signiert. Nur die Antwort zu signieren, erfüllt Klaviyos Anforderung zur Assertion-Signierung nicht. | ||
Die Signatur konnte nicht validiert werden. SAML-Antwort abgelehnt | Stelle im SSO-Setup von Klaviyo sicher, dass das Zertifikat des Identitätsanbieters mit dem Zertifikat übereinstimmt, das dein Identitätsanbieter zum Signieren von SAML-Assertions verwendet. Speichere alle Änderungen und teste SSO dann erneut. | ||
SAML-Antwort nicht gefunden. Es wird nur das HTTP_POST-Binding unterstützt. | Prüfe, ob dein Identitätsanbieter eine HTTP_POST-Anfrage sendet. | ||
Kehre nach dem Beheben eines SSO-Fehlers zu Klaviyos SSO-Einrichtung zurück und klicke auf SSO testen. Dadurch werden deine Verbindungseinstellungen gespeichert und die Anmeldung erneut getestet.
Weitere Tipps zur Fehlerbehebung
Öffne das Dropdown-Menü, das am besten zu dem Problem passt, das du hast, um Informationen dazu zu erhalten, wie du es lösen kannst.
Ich kann die Rolle einer*s Benutzer*in in Klaviyo nicht bearbeiten
Wenn SSO und Just-in-time-(JIT)-Provisionierung aktiviert sind oder SCIM aktiviert ist, werden Benutzerrollen über deinen Identitätsanbieter verwaltet. Bei Benutzer*innen auf der SSO-Ausnahmeliste können die Rollen in Klaviyo weiterhin geändert werden.
Aktualisiere die Rolle der Nutzer*innen in deinem Identitätsanbieter. JIT wendet die Rolle an, wenn die Nutzer*innen sich das nächste Mal mit SSO anmelden. Wenn SCIM deaktiviert ist und du eine Rolle direkt in Klaviyo ändern musst, führe diese Schritte aus:
- Deaktiviere in Einstellungen > Sicherheit unter SSO-Einstellungen die Option Just-in-time-(JIT)-Provisionierung und klicke dann zur Bestätigung auf Deaktivieren.
- Aktualisiere die Rolle der Nutzer*in in Klaviyo. Lege dieselbe Rolle in deinem Identitätsanbieter fest, damit er deine Änderung nicht überschreibt, wenn JIT wieder aktiviert wird.
- Wähle Just-in-time (JIT) Provisionierung erneut aus, um sie wieder zu aktivieren.
Ich kann die Ausnahmeliste nicht anzeigen
SSO muss eingerichtet sein, um die Ausnahmeliste zu sehen. Anleitungen findest du in unserem Artikel zum Aktivieren von SSO in Klaviyo.
Weitere Ressourcen
- So richtest du Single Sign-on (SSO) ein
Erfahre, wie du Single Sign-on (SSO) für dein Klaviyo-Konto oder Portfolio einrichtest. Derzeit wird in Klaviyo nur Single Sign-on (SSO) über Identitätsanbieter unterstützt.
- So richtest du die Multi-Faktor-Authentifizierung ein (MFA)
Erfahre, wie du die Multi-Faktor-Authentifizierung (MFA) einrichtest, um dein Klaviyo-Konto oder -Portfolio sicherer zu machen. Wenn die Multi-Faktor-Authentifizierung aktiviert ist, meldest du dich mit einem Benutzernamen und Passwort an und verifizierst dann deine Identität (z. B. durch Eingabe eines Codes).
- So richtest du die SCIM-Benutzer*innen-Provisionierung ein
Hier erfährst du, wie du in einem Konto oder Portfolio ein System für die Benutzer*innenbereitstellung zur domänenübergreifenden Identitätsverwaltung (SCIM) einrichtest.