Résoudre les problèmes liés à SSO et SCIM
Objectif de cet article
Découvrez comment résoudre les erreurs liées à l’authentification unique (SSO) et au système de gestion des identités interdomaines (SCIM) avec Klaviyo. Cet article s’adresse aux personnes qui connaissent le SSO et le SCIM, comme les professionnels de l’informatique.
Pour plus d’informations, veuillez consulter cet article sur la configuration de l’authentification unique.
Liste des erreurs et comment les corriger
Ces tableaux couvrent les erreurs SSO et SCIM courantes. Les erreurs ont tendance à se produire lorsqu’il manque des informations ou qu’elles sont incorrectes.
Pour trouver vos paramètres SSO Klaviyo, accédez à Paramètres > Sécurité. Sous Authentification unique (SSO), cliquez sur Configurer le SSO ou sur Modifier la configuration pour configurer la connexion. Utilisez Paramètres SSO pour activer le SSO, la connexion initiée par le fournisseur d’identité, ou le provisionnement JIT.
Erreur | Comment corriger le problème |
Configuration SSO manquante pour {email} ({company_id}) | Terminez la configuration SSO dans Klaviyo, puis cliquez sur Enregistrer. |
SSO désactivé pour {email} ({company_id}) | Dans Klaviyo, sélectionnez Activer le SSO sous Paramètres SSO. |
Configuration SSO manquante pour ({company_id}) | Terminez la configuration SSO dans Klaviyo, puis cliquez sur Enregistrer. |
SSO désactivé pour ({company_id}) | Dans Klaviyo, sélectionnez Activer le SSO sous Paramètres SSO. |
Impossible d’effectuer le provisionnement d’un nouvel utilisateur SSO pour {email} dans le compte ({company_id}) (provisionnement Just-in-Time non activé) | Si vous souhaitez que Klaviyo crée des utilisateurs lors de leur première connexion avec l’authentification unique (SSO), sélectionnez Provisionnement juste-à-temps (JIT) sous Paramètres SSO dans Klaviyo. |
La SSO initiée par le fournisseur d'identité est désactivée pour {email} ({company_id}) | Pour permettre aux utilisateurs de démarrer la connexion depuis votre fournisseur d’identité, sélectionnez connexion initiée par le fournisseur d’identité sous paramètres SSO dans Klaviyo. |
Configuration SSO manquante pour ({company_id}) | Terminez la configuration SSO dans Klaviyo, puis cliquez sur Enregistrer. |
Le nom dans Klaviyo est {Klaviyo name}, ce qui ne correspond pas au message SCIM de {IdP name} | Pour un utilisateur présent dans plusieurs comptes Klaviyo, mettez à jour son prénom et son nom dans votre fournisseur d'identité afin qu’ils correspondent à ceux de Klaviyo. Vous pouvez aussi demander à l’utilisateur de mettre à jour son nom dans Klaviyo afin qu’il corresponde à celui de votre fournisseur d'identité. Ensuite, réessayez la mise à jour SCIM. |
Erreurs de configuration SSO
Klaviyo exige des assertions SAML signées. La signature de la réponse et le chiffrement de l’assertion sont facultatifs. Les attributs chiffrés individuels ne sont pas pris en charge.
Erreur | Comment corriger le problème | ||
Version SAML non prise en charge | Accédez à votre fournisseur SSO fournisseur d'identité et passez à SAML 2.0. | ||
Attribut d’ID manquant dans la réponse SAML | Assurez-vous que votre fournisseur d’identité inclut un attribut ID sur l’élément SAML Response. Il s’agit de l’identifiant de la réponse, et non de l’émetteur du fournisseur d’identité ni de l’adresse e-mail de l’utilisateur. | ||
Attribut role manquant | Dans votre fournisseur d’identité, incluez un attribut de rôle dans l’AttributeStatement de l’assertion SAML. Utilisez un rôle pour le type de compte que vous configurez. Les valeurs statiques des rôles de compte et de portfolio sont listées ci-dessous. Le provisionnement JIT ne peut pas créer un propriétaire, ni un propriétaire de portfolio, ni transférer la propriété. Pour un propriétaire existant, le rôle envoyé par votre fournisseur d'identité doit correspondre à son rôle actuel de propriétaire. | ||
Rôles des utilisateurs du compte:
| Rôles d’utilisateurs du portfolio:
| ||
La réponse SAML doit contenir 1 assertion | Configurez votre fournisseur d'identité afin d'envoyer exactement 1 assertion dans chaque réponse SAML. | ||
Réponse SAML non valide. Ne correspond pas à saml-schema-protocol-2.0.xsd | Assurez-vous que votre réponse SAML respecte le schéma SAML 2.0. | ||
L’assertion doit inclure un élément Conditions | Assurez-vous que l'assertion de réponse SAML de votre fournisseur d'identité inclut un élément Conditions. | ||
L’assertion doit inclure un élément AuthnStatement | Assurez-vous que l’assertion de réponse SAML pour votre fournisseur d'identité inclut un élément AuthnStatement. | ||
Il y a un EncryptedAttribute dans la réponse et ce SP ne les prend pas en charge. | Klaviyo ne prend pas en charge le chiffrement d’un attribut. Vérifiez les paramètres de votre fournisseur d'identité et assurez-vous qu’aucun attribut n’est chiffré. | ||
La réponse a une valeur Destination vide | Dans votre fournisseur d’identité, définissez la destination sur l’ URL SSO Klaviyo affichée dans la configuration SSO de Klaviyo. Le nom du champ varie selon le fournisseur. Parmi les noms courants, on trouve « Reply URL », « ACS URL », « Assertion Consumer Service URL », « Trusted URL » et « URL des points de terminaison ». | ||
%s n’est pas une audience valide pour cette réponse | Assurez-vous que l’ID d’audience dans votre fournisseur d’identité correspond exactement à l’URI d’audience (ID d’entité du fournisseur de services) fournie dans votre panneau de configuration SSO, y compris le préfixe https://. | ||
Émetteur non valide dans l’Assertion/Response (attendu %(idpEntityId)s, obtenu %(issuer)s) | Dans la configuration SSO de Klaviyo, assurez-vous que l’émetteur IdP correspond à l’émetteur (ID d’entité) dans la réponse SAML de votre fournisseur d’identité, puis cliquez sur Enregistrer. | ||
Les attributs ont expiré, d’après le paramètre SessionNotOnOrAfter de l’AttributeStatement de cette réponse | Réessayez de vous connecter. Si cela ne fonctionne pas, prolongez la fenêtre d’expiration de votre réponse SAML dans votre fournisseur d'identité, car elle est peut-être trop courte. | ||
Aucune SubjectConfirmation valide n’a été trouvée sur cette réponse | Vérifiez que l’assertion contient un SubjectConfirmation valide avec la méthode bearer et SubjectConfirmationData. Vérifiez que son destinataire correspond à l’ URL SSO de Klaviyo, que sa période de validité inclut l’heure actuelle, et que toute valeur InResponseTo correspond à la réponse. | ||
L’assertion de la réponse n’est pas signée et le SP l’exige | Dans votre fournisseur d'identité, activez la signature des assertions SAML. Contactez votre fournisseur d'identité si vous avez besoin d’aide. | ||
Aucune signature trouvée. Réponse SAML rejetée | Assurez-vous que votre fournisseur d’identité signe l’assertion SAML. Signer uniquement la réponse ne répond pas à l’exigence de Klaviyo en matière de signature des assertions. | ||
Échec de la validation de la signature. Réponse SAML rejetée | Dans la configuration SSO de Klaviyo, assurez-vous que le certificat du fournisseur d’identité correspond au certificat que votre fournisseur d’identité utilise pour signer les assertions SAML. Enregistrez les modifications, puis testez à nouveau le SSO. | ||
Réponse SAML introuvable, liaison HTTP_POST uniquement prise en charge | Vérifiez que votre fournisseur d’identité envoie une requête HTTP_POST. | ||
Après avoir corrigé une erreur SSO, revenez à la configuration SSO de Klaviyo, puis cliquez sur Tester le SSO. Cela enregistre vos paramètres de connexion et teste à nouveau la connexion.
Autres conseils de résolution de problèmes
Ouvrez la liste déroulante qui correspond le mieux au problème que vous rencontrez pour obtenir des informations sur la façon de le résoudre.
Je ne peux pas modifier le rôle d’un utilisateur dans Klaviyo
Si le SSO et le provisionnement juste-à-temps (JIT) sont activés, ou si SCIM est activé, les rôles utilisateur sont gérés via votre fournisseur d’identité. Les utilisateurs figurant sur la liste d’exemption SSO peuvent toujours voir leurs rôles modifiés dans Klaviyo.
Mettez à jour le rôle de l’utilisateur dans votre fournisseur d’identité. Le JIT applique le rôle lors de la prochaine connexion de l’utilisateur via SSO. Si SCIM est désactivé et que vous devez modifier un rôle directement dans Klaviyo, suivez ces étapes :
- Dans Paramètres > Sécurité, décochez Provisionnement juste-à-temps (JIT) sous Paramètres SSO, puis cliquez sur Désactiver pour confirmer.
- Mettez à jour le rôle de l’utilisateur dans Klaviyo. Définissez le même rôle dans votre fournisseur d'identité afin qu’il n’écrase pas votre modification lorsque JIT est réactivé.
- Sélectionnez à nouveau le provisionnement juste-à-temps (JIT) pour le réactiver.
Je ne peux pas consulter la liste d’exemption
Vous devez configurer SSO pour pouvoir consulter la liste des exemptions. Pour obtenir des instructions, consultez notre article expliquant comment activer SSO dans Klaviyo.
Ressources supplémentaires
- Comment configurer l’authentification unique (SSO)
Découvrez comment configurer l’authentification unique (SSO) pour votre compte ou portfolio Klaviyo. Actuellement, seule l’authentification unique (SSO) initiée par le fournisseur d’identité (IdP) est prise en charge dans Klaviyo.
- Comment configurer une authentification multifacteur (MFA)
Apprenez à configurer l’authentification multifacteur (MFA) pour rendre votre compte Klaviyo ou votre portfolio plus sûr. Lorsque l’authentification multifacteur est activée, vous vous connectez en utilisant un nom d’utilisateur et un mot de passe, puis vous vérifiez votre identité (par exemple en saisissant un code).
- Comment configurer le provisionnement d’utilisateurs SCIM
Découvrez comment configurer un système de provisionnement des utilisateurs pour la gestion des identités inter-domaines (SCIM) dans un compte ou un portfolio.