Soluciona errores de SSO y SCIM
Objetivos del artículo
Aprende a solucionar errores de inicio de sesión único (SSO) y de sistema para la gestión de identidades entre dominios (SCIM) con Klaviyo. Este artículo está dirigido a quienes están familiarizados con SSO y SCIM, como profesionales de TI.
Para obtener más información, consulta este artículo sobre cómo configurar el inicio de sesión único.
Lista de errores y cómo solucionarlos
Estas tablas cubren errores comunes de SSO y SCIM. Los errores suelen ocurrir cuando falta información o es incorrecta.
Para encontrar la configuración de SSO de Klaviyo, ve a Configuración > Seguridad. En Inicio de sesión único (SSO), haz clic en Configurar SSO o Editar configuración para configurar la conexión. Usa Configuración de SSO para habilitar SSO, el inicio de sesión iniciado por el proveedor de identidad (IdP) o el aprovisionamiento JIT.
Error | Cómo solucionarlo |
Falta la configuración de SSO para {email} ({company_id}) | Completa la configuración de SSO en Klaviyo y luego haz clic en Guardar. |
SSO deshabilitado para {email} ({company_id}) | En Klaviyo, selecciona Habilitar SSO en Configuración de SSO. |
Falta la configuración SSO para ({company_id}) | Completa la configuración de SSO en Klaviyo y luego haz clic en Guardar. |
SSO deshabilitado para ({company_id}) | En Klaviyo, selecciona Habilitar SSO en Configuración de SSO. |
No se puede realizar el aprovisionamiento del nuevo usuario de SSO para {email} en la cuenta ({company_id}) (aprovisionamiento Just-in-Time no habilitado) | Si quieres que Klaviyo cree usuarios cuando inicien sesión por primera vez con SSO, selecciona Aprovisionamiento Just-in-time (JIT) en Configuración de SSO en Klaviyo. |
El SSO iniciado por el proveedor de identidad (IdP) está inhabilitado para {email} ({company_id}) | Para permitir que los usuarios inicien sesión desde tu proveedor de identidad (IdP), selecciona inicio de sesión iniciado por proveedor de identidad (IdP) en Configuración de SSO en Klaviyo. |
Falta la configuración SSO para ({company_id}) | Completa la configuración de SSO en Klaviyo y luego haz clic en Guardar. |
El nombre en Klaviyo es {Klaviyo name}, lo que no coincide con el mensaje SCIM de {IdP name} | Para un usuario que está en varias cuentas de Klaviyo, actualiza su nombre y apellido en tu proveedor de identidad (IdP) para que coincidan con Klaviyo. Como alternativa, pídele al usuario que actualice su nombre en Klaviyo para que coincida con tu proveedor de identidad (IdP). Luego, vuelve a intentar la actualización de SCIM. |
Errores de configuración de SSO
Klaviyo requiere aserciones SAML firmadas. Firmar la respuesta y cifrar la aserción son opcionales. Los atributos cifrados individuales no son compatibles.
Error | Cómo solucionarlo | ||
Versión de SAML no compatible | Ve a tu proveedor de identidad (IdP) de SSO y actualiza a SAML 2.0. | ||
Falta el atributo de ID en la respuesta de SAML | Asegúrate de que tu proveedor de identidad (IdP) incluya un atributo ID en el elemento SAML Response. Este es el identificador de la respuesta, no el emisor del proveedor de identidad (IdP) ni la dirección de correo electrónico del usuario. | ||
Falta el atributo de rol | En el proveedor de identidad (IdP), incluye un atributo de rol en el AttributeStatement de la aserción SAML. Usa un rol para el tipo de cuenta que estás configurando. A continuación se enumeran los valores de rol de cuenta y de cartera estáticos. El aprovisionamiento JIT no puede crear un Propietario ni un Propietario de la cartera ni transferir la propiedad. Para un propietario existente, el rol que envíe tu proveedor de identidad (IdP) debe coincidir con su rol actual de propietario. | ||
Roles de usuario de la cuenta:
|
| ||
La respuesta de SAML debe contener 1 aserción | Configura tu proveedor de identidad (IdP) para enviar exactamente 1 aserción en cada respuesta SAML. | ||
Respuesta SAML no válida. No coincide con saml-schema-protocol-2.0.xsd | Asegúrate de que tu respuesta SAML cumpla con el esquema SAML 2.0. | ||
La aserción debe incluir un elemento Conditions | Asegúrate de que la aserción de respuesta SAML de tu proveedor de identidad (IdP) incluya un elemento Conditions. | ||
La aserción debe incluir un elemento AuthnStatement | Asegúrate de que la aserción de respuesta SAML de tu proveedor de identidad (IdP) incluya un elemento AuthnStatement. | ||
Hay un EncryptedAttribute en la respuesta y este SP no es compatible con ellos | Klaviyo no admite cuando un atributo está cifrado. Revisa la configuración del proveedor de identidad (IdP) y asegúrate de que ningún atributo esté cifrado. | ||
La respuesta tiene un valor de Destination vacío | En el proveedor de identidad (IdP), configura el destino en la URL de SSO de Klaviyo que se muestra en la configuración de SSO de Klaviyo. El nombre del campo varía según el proveedor. Los nombres comunes incluyen “Reply URL”, “ACS URL”, “Assertion Consumer Service URL”, “Trusted URL” y “URL de punto de conexión”. | ||
%s no es una audiencia válida para esta respuesta | Asegúrate de que el Id. de audiencia en el proveedor de identidad (IdP) coincida exactamente con el URI de audiencia (ID de entidad del proveedor de servicios) que se proporciona en el panel de configuración de SSO, incluido el prefijo https://. | ||
Emisor no válido en la aserción/respuesta (se esperaba %(idpEntityId)s, se recibió %(issuer)s) | En la configuración de SSO de Klaviyo, asegúrate de que Emisor del proveedor de identidad (IdP) coincida con el emisor (ID de entidad) en la respuesta SAML del proveedor de identidad (IdP) y, luego, haz clic en Guardar. | ||
Los atributos han vencido, según el SessionNotOnOrAfter del AttributeStatement de esta respuesta | Intenta iniciar sesión de nuevo. Si eso no funciona, amplía el periodo de expiración de la respuesta SAML en tu proveedor de identidad (IdP), ya que puede ser demasiado corto. | ||
No se encontró un SubjectConfirmation válido en esta respuesta | Comprueba que la aserción contenga un SubjectConfirmation válido con el método bearer y SubjectConfirmationData. Verifica que el destinatario coincida con la URL de SSO de Klaviyo, que el periodo de validez incluya la hora actual y que cualquier valor de InResponseTo coincida con la respuesta. | ||
La aserción de la respuesta no está firmada y el SP la requiere | En el proveedor de identidad (IdP), activa la firma de las aserciones de SAML. Ponte en contacto con tu proveedor de identidad (IdP) si necesitas ayuda. | ||
No se encontró ninguna firma. Respuesta SAML rechazada | Asegúrate de que el proveedor de identidad (IdP) firme la aserción SAML. Firmar solo la respuesta no cumple con el requisito de Klaviyo de firma de aserciones. | ||
La validación de la firma falló. Respuesta SAML rechazada | En la configuración de SSO de Klaviyo, asegúrate de que el certificado de proveedor de identidad (IdP) coincida con el certificado que el proveedor de identidad (IdP) usa para firmar aserciones SAML. Guarda los cambios y luego vuelve a probar SSO. | ||
No se encontró la respuesta de SAML, solo se admite el enlace HTTP_POST | Verifica que tu proveedor de identidad (IdP) esté enviando una solicitud HTTP_POST. | ||
Después de corregir un error de SSO, vuelve a la configuración de SSO de Klaviyo y haz clic en Probar SSO. Esto guarda la configuración de conexión y vuelve a probar el inicio de sesión.
Otros consejos de solución de problemas
Abre el menú desplegable que mejor coincida con el problema que estás teniendo para obtener información sobre cómo solucionarlo.
No puedo editar el rol de un usuario en Klaviyo
Si se habilitan SSO y el aprovisionamiento justo a tiempo (JIT), o se habilita SCIM, los roles de usuario se administran a través del proveedor de identidad (IdP). A los usuarios en la lista de exención de SSO todavía se les pueden cambiar los roles en Klaviyo.
Actualiza el rol del usuario en el proveedor de identidad (IdP). JIT aplica el rol cuando el usuario vuelve a iniciar sesión con SSO. Si SCIM está desactivado y necesitas cambiar un rol directamente en Klaviyo, sigue estos pasos:
- En Configuración > Seguridad, desmarca aprovisionamiento justo a tiempo (JIT) en Configuración de SSO y luego haz clic en Deshabilitar para confirmar.
- Actualiza el rol del usuario en Klaviyo. Configura el mismo rol en el proveedor de identidad (IdP) para que no sobrescriba el cambio cuando se vuelva a activar JIT.
- Selecciona aprovisionamiento just-in-time (JIT) de nuevo para volver a activarlo.
No puedo ver la lista de exención
Debes tener SSO configurado para poder ver la lista de exenciones. Para obtener instrucciones, consulta nuestro artículo sobre cómo habilitar SSO en Klaviyo.
Recursos adicionales
- Cómo configurar el inicio de sesión único (SSO)
Descubre cómo configurar el inicio de sesión único (SSO) para tu cuenta o cartera de Klaviyo. Actualmente, Klaviyo solo admite el inicio de sesión único (SSO) proporcionado por el proveedor de identidad (IdP).
- Cómo configurar la autenticación multifactor
Aprende a configurar la autenticación multifactor (MFA) para ayudar a que tu cuenta o cartera de Klaviyo sea más segura. Si habilitas la autenticación multifactor, puedes iniciar sesión con un nombre de usuario y una contraseña, y luego verificar tu identidad (por ejemplo, ingresando un código).
- Cómo configurar el aprovisionamiento de usuarios SCIM
Aprende a configurar un sistema para el aprovisionamiento de usuarios de gestión de identidades entre dominios (SCIM) en una cuenta o cartera.