Solucionar problemas de errores de SSO y SCIM
Qué aprenderás
Descubre cómo solucionar errores en el inicio de sesión único (SSO) y en el sistema de gestión de identidades entre dominios (SCIM) con Klaviyo. Este artículo está pensado para quienes ya estén familiarizados con SSO y SCIM, como los profesionales de TI.
Para obtener más información, consulta este artículo sobre cómo configurar el inicio de sesión único.
Lista de errores y cómo corregirlos
Estas tablas cubren errores comunes de SSO y SCIM. Los errores suelen producirse cuando falta información o es incorrecta.
Para encontrar la configuración de SSO de Klaviyo, ve a Configuración > Seguridad. En Inicio de sesión único (SSO), haz clic en Configurar SSO o Editar configuración para configurar la conexión. Usa Ajustes de SSO para habilitar SSO, el inicio de sesión iniciado por el proveedor de identidad (IdP) o el aprovisionamiento JIT.
Error | Cómo solucionarlo |
Falta la configuración de SSO para {email} ({company_id}) | Completa la configuración de SSO en Klaviyo y luego haz clic en Guardar. |
SSO desactivado para {email} ({company_id}) | En Klaviyo, selecciona Habilitar SSO en Configuración de SSO. |
Falta la configuración de SSO para ({company_id}) | Completa la configuración de SSO en Klaviyo y luego haz clic en Guardar. |
SSO deshabilitado para ({company_id}) | En Klaviyo, selecciona Habilitar SSO en Configuración de SSO. |
No se puede realizar el aprovisionamiento del nuevo usuario de SSO para {email} en la cuenta ({company_id}) (aprovisionamiento Just-in-Time no habilitado) | Si quieres que Klaviyo cree usuarios cuando inicien sesión por primera vez con SSO, selecciona Aprovisionamiento justo a tiempo (JIT) en Configuración de SSO en Klaviyo. |
El SSO iniciado por proveedor de identidad (IdP) está desactivado para {email} ({company_id}) | Para permitir que los usuarios inicien sesión desde el proveedor de identidad (IdP), selecciona inicio de sesión iniciado por IdP en Configuración de SSO en Klaviyo. |
Falta la configuración de SSO para ({company_id}) | Completa la configuración de SSO en Klaviyo y luego haz clic en Guardar. |
El nombre en Klaviyo es {Klaviyo name}, que no coincide con el mensaje SCIM de {IdP name} | Para un usuario que esté en varias cuentas de Klaviyo, actualiza el nombre y los apellidos en el proveedor de identidad (IdP) para que coincidan con los de Klaviyo. Como alternativa, pide al usuario que actualice su nombre en Klaviyo para que coincida con el proveedor de identidad (IdP). Después, vuelve a intentar la actualización de SCIM. |
Errores de configuración de SSO
Klaviyo requiere aserciones SAML firmadas. Firmar la respuesta y cifrar la aserción es opcional. No se admiten atributos cifrados individuales.
Error | Cómo solucionarlo | ||
Versión de SAML no admitida | Ve a tu proveedor de SSO de proveedor de identidad (IdP) y actualiza a SAML 2.0. | ||
Falta el atributo ID en la respuesta SAML | Asegúrate de que tu proveedor de identidad (IdP) incluya un atributo de ID en el elemento SAML Response. Este es el identificador de la respuesta, no el emisor del proveedor de identidad (IdP) ni la dirección de email del usuario. | ||
Falta el atributo role | En el proveedor de identidad (IdP), incluye un atributo de rol en el AttributeStatement de la aserción SAML. Usa un rol para el tipo de cuenta que estás configurando. A continuación se indican los valores de rol de cuenta estática y porfolio. El aprovisionamiento JIT no puede crear un Propietario o un Propietario del porfolio ni transferir la propiedad. En el caso de un propietario existente, el rol enviado por el proveedor de identidad (IdP) debe coincidir con el rol de propietario actual. | ||
Roles de usuario de la cuenta:
| Roles de usuario del porfolio:
| ||
La respuesta SAML debe contener 1 aserción | Configura el proveedor de identidad (IdP) para que envíe exactamente 1 aserción en cada respuesta SAML. | ||
Respuesta de SAML no válida. No coincide con saml-schema-protocol-2.0.xsd | Asegúrate de que la respuesta SAML cumpla el esquema SAML 2.0. | ||
La aserción debe incluir un elemento Conditions | Asegúrate de que la aserción de respuesta SAML de tu proveedor de identidad (IdP) incluya un elemento Conditions. | ||
La aserción debe incluir un elemento AuthnStatement. | Asegúrate de que la aserción de respuesta SAML de tu proveedor de identidad (IdP) incluya un elemento AuthnStatement. | ||
Hay un EncryptedAttribute en la respuesta y este SP no es compatible con ellos | Klaviyo no es compatible cuando un atributo está cifrado. Revisa la configuración de tu proveedor de identidad (IdP) y asegúrate de que ningún atributo esté cifrado. | ||
La respuesta tiene un valor de destino vacío | En el proveedor de identidad (IdP), establece el destino en la URL de SSO de Klaviyo que se muestra en la configuración de SSO de Klaviyo. El nombre del campo varía según el proveedor. Los nombres habituales incluyen «Reply URL», «ACS URL», «Assertion Consumer Service URL», «Trusted URL» y «punto de conexión URL». | ||
%s no es una audiencia válida para esta respuesta | Asegúrate de que el Id. de la audiencia de tu proveedor de identidad (IdP) coincida exactamente con el URI de la audiencia (ID de entidad del proveedor de servicios) que se proporciona en tu panel de configuración de SSO, incluido el prefijo https://. | ||
Emisor no válido en la Aserción/Respuesta (se esperaba %(idpEntityId)s, se obtuvo %(issuer)s) | En la configuración de SSO de Klaviyo, asegúrate de que IdP Issuer coincida con el emisor (ID de entidad) en la respuesta SAML de tu proveedor de identidad (IdP) y luego haz clic en Guardar. | ||
Los atributos han caducado, según el SessionNotOnOrAfter del AttributeStatement de esta respuesta | Vuelve a intentar iniciar sesión. Si eso no funciona, amplía la ventana de caducidad de tu respuesta SAML en tu proveedor de identidad (IdP), ya que puede que sea demasiado corta. | ||
No se ha encontrado un SubjectConfirmation válido en esta respuesta | Comprueba que la aserción incluye un SubjectConfirmation válido con el método bearer y SubjectConfirmationData. Verifica que el destinatario coincide con la URL de SSO de Klaviyo, que su período de validez incluye la hora actual y que cualquier valor de InResponseTo coincide con la respuesta. | ||
La aserción de la respuesta no está firmada y el SP lo requiere | En el proveedor de identidad (IdP), activa la firma de las aserciones SAML. Ponte en contacto con tu proveedor de identidad (IdP) si necesitas ayuda. | ||
No se ha encontrado ninguna firma. Respuesta de SAML rechazada | Asegúrate de que el proveedor de identidad (IdP) firme la aserción SAML. Firmar solo la respuesta no cumple el requisito de firma de aserciones de Klaviyo. | ||
Se ha producido un error en la validación de la firma. Respuesta de SAML rechazada | En la configuración de SSO de Klaviyo, asegúrate de que el certificado del proveedor de identidad (IdP) coincida con el certificado que tu proveedor de identidad (IdP) utiliza para firmar las aserciones de SAML. Guarda los cambios y vuelve a probar el SSO. | ||
No se ha encontrado la respuesta SAML, solo se admite el enlace HTTP_POST | Comprueba que tu proveedor de identidad (IdP) está enviando una solicitud HTTP_POST. | ||
Después de corregir un error de SSO, vuelve a la configuración de SSO de Klaviyo y haz clic en Probar SSO. Esto guarda la configuración de conexión y vuelve a probar el inicio de sesión.
Otros consejos para solucionar problemas
Abre el menú desplegable que mejor se adapte al problema que tienes para ver información sobre cómo solucionarlo.
No puedo editar el rol de un usuario en Klaviyo
Si se habilitan SSO y el aprovisionamiento just-in-time (JIT), o se habilita SCIM, los roles de usuario se gestionan a través del proveedor de identidad (IdP). A los usuarios de la lista de exención de SSO aún se les pueden cambiar los roles en Klaviyo.
Actualiza el rol del usuario en el proveedor de identidad (IdP). JIT aplica el rol la próxima vez que el usuario inicie sesión con SSO. Si SCIM está desactivado y necesitas cambiar un rol directamente en Klaviyo, sigue estos pasos:
- En Configuración > Seguridad, desmarca Aprovisionamiento justo a tiempo (JIT) en Configuración de SSO y, a continuación, haz clic en Desactivar para confirmar.
- Actualiza el rol del usuario en Klaviyo. Establece el mismo rol en el proveedor de identidad (IdP) para que no sobrescriba el cambio cuando se vuelva a activar JIT.
- Vuelve a seleccionar aprovisionamiento Just-in-time (JIT) para volver a activarlo.
No puedo ver la lista de exención
Tienes que tener SSO configurado para poder ver la lista de exenciones. Para obtener instrucciones, consulta nuestro artículo sobre cómo habilitar SSO en Klaviyo.
Recursos adicionales
- How to set up single sign-on (SSO)
Learn how to set up single sign-on (SSO) for your Klaviyo account or portfolio. Currently, only identity provided (IdP) single sign-on is supported in Klaviyo.
- How to set up multi-factor authentication (MFA)
Learn how to set up multi-factor authentication (MFA) to help make your Klaviyo account or portfolio more secure. With MFA enabled, you sign in using a username and password, then verify your identity (such as by entering a code).
- How to set up SCIM user provisioning
Learn how to set up a system for cross-domain identity management (SCIM) user provisioning in an account or portfolio.