Memecahkan masalah Single Sign-On (SSO)

Dokumen ini menyediakan langkah-langkah untuk menyelesaikan pesan fault umum yang dialami selama integrasi atau penggunaan unmarried sign-on (SSO) berbasis SAML dengan Google Workspace saat Google digunakan sebagai penyedia layanan (SP).

Konfigurasi dan Aktivasi

"Domain ini tidak dikonfigurasi untuk menggunakan Single Sign-On."

Error ini biasanya menunjukkan bahwa Anda mencoba menggunakan Single Sign-On dengan G Suite Edisi Standar (Gratis), yang tidak mendukung SSO. Jika Anda yakin bahwa Anda menggunakan edisi Google Workspace yang mendukung SSO, periksa konfigurasinya di penyedia identitas untuk memastikan bahwa Anda telah memasukkan nama domain Google Workspace dengan benar.

"Akun ini tidak dapat diakses karena domainnya tidak dikonfigurasi dengan benar. Coba lagi nanti."

Fault ini menunjukkan bahwa Anda belum menyiapkan SSO dengan benar di konsol Google Admin. Tinjau langkah berikut untuk memperbaiki masalahnya:

  1. Di konsol Admin, buka KeamananlaluSiapkan Single Sign-On (SSO) dengan IdP pihak ketiga, dan centang kotak Siapkan SSO dengan penyedia identitas pihak ketiga.
  2. Berikan URL halaman login, halaman logout, dan halaman ubah sandi organisasi Anda di kolom yang sesuai.
  3. Pilih dan upload file sertifikat verifikasi yang valid.
  4. Klik Simpan, tunggu beberapa menit agar perubahan diterapkan, lalu uji integrasi lagi.

Mengurai Respons SAML

"Parameter respons SAMLResponse yang diperlukan tidak ada"

Pesan fault ini menunjukkan bahwa Penyedia Identitas Anda tidak menyediakan respons SAML yang valid kepada Google. Masalah ini hampir dapat dipastikan karena masalah konfigurasi dalam Penyedia Identitas.

  • Periksa log Penyedia Identitas dan pastikan bahwa tidak ada yang mencegahnya mengirim Respons SAML dengan benar.
  • Pastikan Penyedia Identitas tidak mengirimkan Respons SAML terenkripsi ke Google Workspace. Google Workspace hanya menerima Respons SAML yang tidak dienkripsi. Khususnya, perlu diketahui bahwa Active Directory Federation Services ii.0 dari Microsoft sering mengirimkan Respons SAML terenkripsi dalam konfigurasi default.

"Parameter respons RelayState yang diperlukan tidak ada"

Spesifikasi SAML ii.0 mewajibkan Penyedia Identitas mengambil dan mengirim kembali parameter URL RelayState dari Penyedia Resources (seperti Google Workspace). Google Workspace memberikan nilai ini ke Penyedia Identitas di Permintaan SAML, dan konten yang tepat dapat berbeda-beda dalam setiap login. Agar autentikasi berhasil, RelayState yang akurat harus dikirim dalam Respons SAML. Berdasarkan spesifikasi standar SAML, Penyedia Identitas tidak boleh memodifikasi RelayState selama alur login.

  • Diagnosis masalah ini lebih lanjut dengan merekam header HTTP selama upaya login. Ekstrak RelayState dari header HTTP dengan Permintaan dan Respons SAML, dan pastikan bahwa nilai RelayState dalam Permintaan dan Respons cocok.
  • Sebagian besar penyedia Identitas SSO open source atau yang tersedia secara komersial mentransmisikan RelayState tanpa masalah secara default. Agar keamanan dan keandalan optimal, sebaiknya Anda menggunakan salah satu solusi yang ada tersebut dan kami tidak memberikan dukungan untuk software SSO kustom milik Anda.

Konten Response SAML

"Layanan ini tidak dapat diakses karena permintaan login Anda berisi informasi [destination|audition|recipient] yang tidak valid. Login dan coba lagi."

Error ini menunjukkan bahwa elemen tujuan,audiens, atau penerima di pernyataan SAML berisi informasi yang tidak valid atau kosong. Semua elemen harus disertakan dalam pernyataan SAML. Periksa tabel berikut untuk mengetahui deskripsi dan contoh setiap elemen.

Elemen <Audience>
Deskripsi URI yang mengidentifikasi audiens yang dimaksud yang memerlukan nilai URI ACS. Catatan: nilai elemen harus diisi
Format Nilai https://www.google.com/a/<example.com>/acs
Contoh

<saml:Conditions NotBefore="2014-11-05T17:31:37Z"
NotOnOrAfter="2014-11-05T17:37:07Z">
<saml:AudienceRestriction>
<saml:Audience>https://www.google.com/a/case.com/acs
</saml:Audition>
</saml:AudienceRestriction>
</saml:Conditions>
Elemen Atribut Destination jenis <StatusResponseType>
Deskripsi URI tujuan pernyataan SAML dikirim. Opsional, namun jika dinyatakan, atribut akan memerlukan nilai URI ACS.
Format Nilai https://world wide web.google.com/a/<example.com>/acs
Contoh

<saml:Response
xmlns:samlp="urn:oasis:names:tc:SAML:two.0:protocol"
xmlns:saml="urn:oasis:names:tc:SAML:2.0:assertion"
ID="7840062d379d82598d87ca04c8622f436bb03aa1c7"
Version="2.0"
IssueInstant="2014-11-05T17:32:07Z"
Destination="https://www.google.com/a/example.com/acs"
InResponseTo="midihfjkfkpcmbmfhhoehbokhbkeapbbinldpeen">
Elemen Atribut Recipient <SubjectConfirmationData>
Deskripsi
  • Menentukan entitas yang dikehendaki untuk menerima Subjek.
  • Atribut ini diperlukan dan harus berisi URI ACS.
  • Peka huruf besar/kecil.
Format Nilai https://www.google.com/a/<instance.com>/acs
Contoh

<saml:Subject area>
<saml:NameID SPNameQualifier="google.com/a/example.com"
Format="urn:oasis:names:tc:SAML:2.0:nameid-format:electronic mail">user@case.com</saml:NameID>
<saml:SubjectConfirmation Method="urn:oasis:names:tc:SAML:ii.0:cm:bearer">
<saml:SubjectConfirmationData NotOnOrAfter="2014-11-05T17:37:07Z"
Recipient="https://www.google.com/a/example.com/acs"
InResponseTo="midihfjkfkpcmbmfhjoehbokhbkeapbbinldpeen"/>
</saml:SubjectConfirmation>
</saml:Discipline>

Untuk mengetahui particular semua elemen yang wajib diisi, tinjau artikel Persyaratan pernyataan SSO.

"Layanan ini tidak dapat diakses karena permintaan login Anda tidak berisi informasi penerima. Login dan coba lagi."

Error ini biasanya menunjukkan bahwa Respons SAML dari Penyedia Identitas Anda tidak memiliki nilai Recipient yang dapat dibaca (atau nilai Recipient salah). Nilai Recipient adalah komponen penting dari Respons SAML.

  1. Diagnosis masalah ini lebih lanjut dengan merekam header HTTP selama upaya login.
  2. Ekstrak Permintaan dan Respons SAML dari header HTTP.
  3. Pastikan nilai Recipient dalam Respons SAML ada dan cocok dengan nilai dalam Permintaan SAML.

Catatan: error ini mungkin juga muncul dengan pesan "Layanan ini tidak dapat diakses karena permintaan login Anda berisi informasi penerima yang tidak valid. Login dan coba lagi."

"Akun ini tidak dapat diakses karena kredensial login tidak dapat diverifikasi."

Error ini menunjukkan masalah dengan sertifikat yang Anda gunakan untuk menandatangani alur autentikasi. Error ini biasanya berarti bahwa kunci pribadi yang digunakan untuk menandatangani Respons SAML tidak cocok dengan public central certificate yang disimpan oleh Google Workspace.

Mistake ini bisa juga terjadi jika Respons SAML Anda tidak berisi nama pengguna Akun Google yang valid. Google Workspace mengurai Respons SAML untuk elemen XML yang disebut NameID, dan elemen ini harus berisi nama pengguna Google Workspace atau alamat email Google Workspace lengkap.

  • Pastikan Anda telah mengupload sertifikat yang valid ke Google Workspace, dan jika perlu mengganti sertifikat. Di konsol Google Admin, bukaKeamananlaluSiapkan Single Sign-On (SSO) dengan IdP pihak ketiga, lalu klik Ganti sertifikat.
  • Jika Anda menggunakan alamat e-mail lengkap dalam elemen NameID (harus jika Anda menggunakan SSO dengan lingkungan Aplikasi multidomain), pastikan bahwa atribut Format dari elemen NameID menyatakan bahwa alamat e-mail lengkap akan digunakan, seperti pada contoh berikut: Format="urn:oasis:names:tc:SAML:2.0:nameid-format:email"
  • Pastikan bahwa Anda mengisi elemen NameID dengan nama pengguna atau alamat email yang valid. Untuk memastikannya, ekstrak Respons SAML yang Anda kirimkan ke Google Workspace, dan periksa nilai elemen NameID.
  • NameID peka huruf besar/kecil: pastikan bahwa Respons SAML mengisi NameID dengan nilai yang cocok dengan huruf besar/kecil dari nama pengguna atau alamat email Google Workspace.
  • Jika Penyedia Identitas mengenkripsi Pernyataan SAML, nonaktifkan enkripsi.
  • Pastikan Respons SAML tidak berisi karakter ASCII non-standar. Masalah ini paling sering terjadi pada atribut DisplayName, GivenName, dan Surname di AttributeStatement, misalnya:
    • <Attribute Proper noun="http://schemas.microsoft.com/identity/claims/displayname">
      <AttributeValue>Blüte, Eva</AttributeValue> </Attribute>
    • <Attribute Name="http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname">
      <AttributeValue>Blüte</AttributeValue> </Attribute>

Untuk informasi selengkapnya tentang cara memformat elemen NameID, lihat persyaratan pernyataan SSO.

"Layanan ini tidak dapat diakses karena masa berlaku kredensial login Anda telah berakhir. Login dan coba lagi."

Demi alasan keamanan, alur login SSO harus selesai dalam jangka waktu tertentu, atau autentikasi akan gagal. Jika jam pada Penyedia Identitas Anda salah, kebanyakan atau semua upaya login akan tampak di luar jangka waktu yang ditentukan, dan autentikasinya akan gagal dengan pesan error di atas.

  • Periksa jam pada server Penyedia Identitas Anda. Error ini hampir selalu disebabkan oleh jam Penyedia Identitas yang salah, yang menambahkan stempel waktu yang salah pada Respons SAML.
  • Sinkronkan ulang jam server Penyedia Identitas dengan server waktu internet yang dapat diandalkan. Jika masalah ini tiba-tiba muncul dalam lingkungan produksi, ini biasanya disebabkan oleh sinkronisasi waktu terakhir yang gagal, sehingga menyebabkan waktu server menjadi tidak akurat. Mengulangi sinkronisasi waktu (mungkin dengan server waktu yang lebih dapat diandalkan) akan memperbaiki masalah ini dengan cepat.
  • Masalah ini juga dapat terjadi jika Anda mengirim ulang SAML dari upaya login sebelumnya. Memeriksa Permintaan dan Respons SAML (diperoleh dari log header HTTP yang direkam selama upaya login) dapat membantu Anda melakukan debug masalah ini lebih lanjut.

"Layanan ini tidak dapat diakses karena kredensial login Anda belum valid. Login dan coba lagi."

Demi alasan keamanan, alur login SSO harus selesai dalam jangka waktu tertentu, atau autentikasi akan gagal. Jika jam pada Penyedia Identitas Anda salah, kebanyakan atau semua upaya login akan tampak di luar jangka waktu yang ditentukan, dan autentikasinya akan gagal dengan pesan fault di atas.

  • Periksa jam pada server Penyedia Identitas Anda. Error ini hampir selalu disebabkan oleh jam Penyedia Identitas yang salah, yang menambahkan stempel waktu yang salah pada Respons SAML.
  • Sinkronkan ulang jam server Penyedia Identitas dengan server waktu internet yang dapat diandalkan. Jika masalah ini tiba-tiba muncul dalam lingkungan produksi, ini biasanya disebabkan oleh sinkronisasi waktu terakhir yang gagal, sehingga menyebabkan waktu server menjadi tidak akurat. Mengulangi sinkronisasi waktu (mungkin dengan server waktu yang lebih dapat diandalkan) akan memperbaiki masalah ini dengan cepat.

Apakah ini membantu?

Bagaimana cara meningkatkannya?