Solucione problemas de erros de SSO e SCIM
O que você vai aprender
Saiba como solucionar erros de single sign-on (SSO) e system for cross-domain identity management (SCIM) com a Klaviyo. Este artigo é voltado para quem já está familiarizado com SSO e SCIM, como profissionais de TI.
Para mais informações, consulte este artigo sobre como configurar o logon único.
Lista de erros e como corrigi-los
Estas tabelas abrangem erros comuns de SSO e SCIM. Os erros tendem a acontecer quando faltam informações ou elas estão incorretas.
Para encontrar suas configurações de SSO da Klaviyo, acesse Configurações > Segurança. Em Logon único (SSO), clique em Configurar SSO ou Editar configuração para configurar a conexão. Use Configurações de SSO para ativar o SSO, o login iniciado pelo IdP ou o provisionamento JIT.
Erro | Como corrigir |
Falta a configuração de SSO para {email} ({company_id}) | Conclua a configuração de SSO no Klaviyo e clique em Salvar. |
SSO desativado para {email} ({company_id}) | No Klaviyo, selecione Ativar SSO em Configurações de SSO. |
Falta a configuração de SSO para ({company_id}) | Conclua a configuração de SSO no Klaviyo e clique em Salvar. |
SSO desativado para ({company_id}) | No Klaviyo, selecione Ativar SSO em Configurações de SSO. |
Não é possível provisionar um novo usuário de SSO para {email} na conta ({company_id}) (provisionamento Just-in-Time não habilitado) | Se você quiser que a Klaviyo crie usuários quando eles fizerem login pela primeira vez com SSO, selecione Provisionamento just-in-time (JIT) em Configurações de SSO na Klaviyo. |
O SSO iniciado pelo IdP está desativado para {email} ({company_id}) | Para permitir que os usuários iniciem o login a partir do seu IdP, selecione login iniciado pelo IdP em Configurações de SSO no Klaviyo. |
Falta a configuração de SSO para ({company_id}) | Conclua a configuração de SSO no Klaviyo e clique em Salvar. |
O nome no Klaviyo é {Klaviyo name}, que não corresponde à mensagem SCIM de {IdP name} | Para um usuário em várias contas da Klaviyo, atualize o nome e o sobrenome dele no seu IdP para corresponder ao Klaviyo. Como alternativa, peça ao usuário para atualizar o nome dele na Klaviyo para corresponder ao seu IdP. Em seguida, tente novamente a atualização do SCIM. |
Erros de configuração de SSO
A Klaviyo exige asserções SAML assinadas. Assinar a resposta e criptografar a asserção é opcional. Atributos criptografados individualmente não são compatíveis.
Erro | Como corrigir | ||
Versão do SAML incompatível | Acesse seu provedor de SSO do IdP e atualize para o SAML 2.0. | ||
Atributo de ID ausente na resposta SAML | Verifique se o IdP inclui um atributo ID no elemento SAML Response. Este é o identificador da resposta, não o emissor do IdP nem o endereço de e-mail do usuário. | ||
Atributo role ausente | No seu IdP, inclua um atributo de função no AttributeStatement da declaração SAML. Use uma função para o tipo de conta que você está configurando. Os valores estáticos de função para conta e portfólio estão listados abaixo. O provisionamento JIT não pode criar um Proprietário ou um Proprietário do portfólio, nem transferir a propriedade. Para um proprietário existente, a função enviada pelo seu IdP deve corresponder à função atual dele como proprietário. | ||
| Funções de usuário do portfólio:
| ||
A resposta SAML deve conter 1 asserção | Configure seu IdP para enviar exatamente 1 asserção em cada resposta SAML. | ||
Resposta SAML inválida. Não corresponde a saml-schema-protocol-2.0.xsd | Certifique-se de que sua resposta SAML esteja de acordo com o esquema SAML 2.0. | ||
A asserção deve incluir um elemento Conditions | Verifique se a asserção de resposta SAML do seu IdP inclui um elemento Conditions. | ||
A asserção deve incluir um elemento AuthnStatement | Garanta que a declaração de asserção da resposta SAML do seu IdP inclua um elemento AuthnStatement. | ||
Há um EncryptedAttribute na resposta, e este SP não oferece suporte a eles | O Klaviyo não oferece suporte quando um atributo está criptografado. Verifique as configurações do seu IdP e garanta que nenhum atributo esteja criptografado. | ||
A resposta tem um valor de Destino vazio | No seu IdP, defina o destino como o URL de SSO do Klaviyo mostrado na configuração de SSO do Klaviyo. O nome do campo varia de acordo com o provedor. Nomes comuns incluem “URL de resposta”, “URL ACS”, “URL do serviço de consumidor de asserção”, “URL confiável” e “URL de ponto de extremidade”. | ||
%s não é um público válido para esta resposta | Verifique se o Id da audiência no seu IdP corresponde exatamente ao Audience URI (Service Provider Entity ID) fornecido no seu painel de configuração de SSO, incluindo o prefixo https://. | ||
Emissor inválido na Assertion/Response (esperado %(idpEntityId)s, recebido %(issuer)s) | Na configuração de SSO do Klaviyo, verifique se Emissor do IdP corresponde ao emissor (ID da entidade) na resposta SAML do seu IdP e, em seguida, clique em Salvar. | ||
Os atributos expiraram, com base em SessionNotOnOrAfter do AttributeStatement desta resposta | Tente fazer login novamente. Se isso não funcionar, estenda a janela de expiração da sua resposta SAML no seu IdP, pois ela pode estar muito curta. | ||
Não foi encontrado um SubjectConfirmation válido nesta Response | Verifique se a asserção contém um SubjectConfirmation válido com o método bearer e SubjectConfirmationData. Verifique se o destinatário corresponde à Klaviyo SSO URL, se o período de validade inclui o horário atual e se qualquer valor InResponseTo corresponde à resposta. | ||
A Assertion of the Response não está assinada e o SP exige que ela esteja | No seu IdP, ative a assinatura para declarações SAML. Entre em contato com seu IdP se precisar de ajuda. | ||
Nenhuma assinatura encontrada. Resposta SAML rejeitada | Verifique se o IdP assina a asserção SAML. Assinar somente a resposta não atende ao requisito de assinatura de asserção da Klaviyo. | ||
Falha na validação da assinatura. Resposta SAML rejeitada | Na configuração de SSO da Klaviyo, verifique se o certificado do IdP corresponde ao certificado que o seu IdP usa para assinar as declarações SAML. Salve as alterações e teste o SSO novamente. | ||
Resposta SAML não encontrada. Somente a vinculação HTTP_POST é compatível | Verifique se seu IdP está enviando uma solicitação HTTP_POST. | ||
Depois de corrigir um erro de SSO, volte à configuração de SSO do Klaviyo e clique em Testar SSO. Isso salva as configurações da conexão e testa o login novamente.
Outras dicas para solucionar problemas
Abra o menu suspenso que melhor corresponde ao problema que você está enfrentando para ver informações sobre como resolvê-lo.
Não consigo editar a função de um usuário na Klaviyo
Se o SSO e o provisionamento just-in-time (JIT) estiverem ativados, ou o SCIM estiver ativado, as funções de usuário serão gerenciadas pelo seu IdP. Os usuários na lista de isenções de SSO ainda podem ter as funções alteradas na Klaviyo.
Atualize a função do usuário no seu IdP. O JIT aplica a função quando o usuário fizer login novamente com o SSO. Se o SCIM estiver desativado e você precisar alterar uma função diretamente no Klaviyo, siga estas etapas:
- Em Configurações > Segurança, desmarque Provisionamento just-in-time (JIT) em Configurações de SSO e, em seguida, clique em Desativar para confirmar.
- Atualize a função do usuário no Klaviyo. Defina a mesma função no seu IdP para que ele não sobrescreva sua alteração quando o JIT for ativado novamente.
- Selecione provisionamento just-in-time (JIT) novamente para ativá-lo de novo.
Não consigo visualizar a lista de isenções
Você precisa ter o SSO configurado para ver a lista de isenção. Para obter instruções, consulte nosso artigo sobre como habilitar SSO na Klaviyo.
Recursos adicionais
- Como configurar o logon único (SSO)
Saiba como configurar o logon único (SSO) para sua conta ou portfólio da Klaviyo. No momento, apenas o logon único do provedor de identidade (IdP) é compatível com a Klaviyo.
- Como configurar a autenticação multifator
Saiba como configurar a autenticação multifator (MFA) para tornar sua conta ou portfólio da Klaviyo mais seguros. Com a autenticação multifator ativada, você faz login usando um nome de usuário e senha e, em seguida, verifica sua identidade (por exemplo, digitando um código).
- Como configurar o provisionamento de usuários SCIM
Saiba como configurar um sistema de provisionamento de usuários de gerenciamento de identidade entre domínios (SCIM) em uma conta ou portfólio.