Claude sử dụng email làm định danh chính để khớp các lần đăng nhập SSO với các vị trí đã được cấp. Trong Google Workspace, việc tự động cấp phép SCIM và SAML SSO có thể gửi các giá trị email khác nhau — đặc biệt khi mọi người có bí danh email — dẫn đến sự không khớp và chặn quyền truy cập.
Áp dụng cho:Các gói Enterprise và các tổ chức Console sử dụng cung cấp SCIM. Các gói Team không có cung cấp SCIM, vì vậy tình huống không khớp này không áp dụng — xemThiết lập cung cấp JIT hoặc SCIMcho những gì có sẵn trên từng gói.
Triệu chứng
Mọi người có thể gặp một hoặc nhiều vấn đề sau khi cố gắng truy cập tổ chức của bạn thông qua SSO:
-
Tạo tài khoản bị chặn— Người dùng xác thực qua SSO nhưng Claude không thể tìm thấy tài khoản đã được cung cấp phù hợp. Nếu tổ chức của bạn giới hạn việc tạo tổ chức (được khuyến nghị), người đó sẽ bị chặn hoàn toàn.
-
Đăng nhập vào tài khoản cá nhân miễn phí— Nếu việc tạo tổ chức không bị giới hạn, người đó sẽ hoàn toàn bỏ qua tổ chức của bạn và tạo hoặc truy cập vào một tài khoản cá nhân miễn phí thay vì chỗ được cấp phát cho họ.
-
Vui lòng xác nhận sự không khớp của email của bạn— Phản hồi SSO hiển thị một email khác với email mà người đó đã nhập khi đăng nhập.
-
Xác thực mã Claude thất bại— CLI Claude Code hiển thị lỗi không khớp email trong quá trình xác thực, ngăn người đó kết nối với tổ chức của bạn.
Cách điều này xảy ra
Tài khoản Google Workspace có một email chính và có thể có nhiều bí danh. Cung cấp SCIM và đăng nhập một lần (SSO) SAML được cấu hình riêng trong bảng điều khiển quản trị Google và có thể lấy dữ liệu từ các trường địa chỉ khác nhau:
|
Thuộc tính Google |
Giá trị điển hình |
Được sử dụng phổ biến bởi |
|
|
Được khuyến nghị cho cả SCIM và SAML |
|
|
Bí danh email |
Đôi khi bị ánh xạ nhầm trong SCIM |
|
|
Trường lược đồ tùy chỉnh |
Thuộc tính tùy chỉnh được định nghĩa cho từng tổ chức |
Bản đồ thuộc tính nâng cao |
|
Email của đơn vị tổ chức |
Các biến thể địa chỉ có nguồn gốc từ OU |
Hiếm khi, trong các cấu trúc tổ chức phức tạp |
Sự không khớp phổ biến nhất: SCIM được cấu hình để gửi địa chỉ bí danh trong khi SAML gửi email chính (hoặc ngược lại). Vì bí danh và email chính là các chuỗi khác nhau, Claude không thể khớp chúng. Claude yêu cầu mộtkhớp chuỗi chính xác.
Nhầm lẫn phổ biến:Trong Google Admin, các cài đặt cung cấp tự động SCIM và ánh xạ thuộc tính SAML nằm trên các tab riêng biệt trong cùng một ứng dụng. Quản trị viên đôi khi cập nhật một cái và bỏ sót cái kia. Hãy kiểm tra cả hai vị trí.
Các bước chẩn đoán
Bước 1 — Xác nhận sự không khớp
-
Kiểm tra email SCIM:TrongBảng điều khiển quản trị Google, đi đếnỨng dụng → Ứng dụng web và di động → [ứng dụng Claude] → Cấp phát tự động. Kiểm tra thuộc tính nào được ánh xạ với trường email đang được gửi đến Claude.
-
Kiểm tra email SAML:Trong cùng một ứng dụng, đi đếnBản đồ thuộc tính SAMLphần. Tìm thuộc tính được ánh xạ với email và ghi chú nguồn của nó.
-
Kiểm tra một người cụ thể:TrongThư mục → Người dùng → [Người dùng], so sánhEmail chínhvới bất kỳ cái nào được liệt kêEmail bí danh.
Bước 2 — Xác định phạm vi của vấn đề
-
Nếuhầu hết hoặc tất cảnhững người đã được cung cấp có cùng định dạng email không khớp, đây là mộtvấn đề ánh xạ thuộc tính hệ thống. Sửa lỗi nằm trong việc ánh xạ thuộc tính SCIM của IdP của bạn.
-
Giá màmột hoặc hai ngườibị ảnh hưởng, vấn đề có thể chỉ áp dụng cho những tài khoản đó. Kiểm tra hồ sơ của họ trực tiếp.
Bước 3 — Kiểm tra ID tên trong cấu hình SAML
-
Trong cài đặt ứng dụng, đi đếnSAML → Chi tiết nhà cung cấp dịch vụ.
-
Xác nhận rằngTên IDđược đặt thànhThông tin cơ bản → Email chính.
-
Nếu ID Tên được đặt thành một trường lược đồ tùy chỉnh hoặc bí danh, nó có thể gửi một giá trị khác với SCIM.
Độ phân giải
Căn cả hai ánh xạ với primaryEmail
Email chính của Google Workspace là nguồn đáng tin cậy nhất cho cả SCIM và SAML.
-
Cập nhật cung cấp SCIM:TrongỨng dụng → Ứng dụng web và di động → [ứng dụng Claude] → Cấp phát tự động → Ánh xạ thuộc tính, đảm bảo thuộc tính email được ánh xạ tới primaryEmail.
-
Cập nhật SAML Name ID:TrongSAML → Chi tiết nhà cung cấp dịch vụ, bộTên IDđếnThông tin cơ bản → Email chính.
-
Cập nhật ánh xạ thuộc tính SAML:TrongSơ đồ ánh xạ thuộc tínhbước, đảm bảo thuộc tính email được ánh xạ tớiThông tin cơ bản → Email chính.
-
Lưu tất cả các thay đổi.
Kích hoạt đồng bộ hóa đầy đủ
Quan trọng — Yêu cầu đồng bộ đầy đủ:Một đồng bộ tăng dần sẽkhôngcập nhật các bản ghi hiện có sau khi bạn thay đổi ánh xạ thuộc tính. Bạn phải kích hoạt mộtkhởi động lại hoàn toàncủa chu kỳ cung cấp.
-
Trong bảng điều khiển quản trị Google, đi tới ứng dụng củaTự động cung cấpcài đặt.
-
Tạm thời đình chỉ việc cung cấp, sau đó bật lại. Điều này kích hoạt đồng bộ đầy đủ cho tất cả mọi người được chỉ định.
-
Ngoài ra, hãy xóa và thêm lại những người bị ảnh hưởng khỏi nhiệm vụ ứng dụng để buộc các hồ sơ cá nhân của họ được cung cấp lại.
-
Giám sát các bản ghi cung cấp để phát hiện lỗi và xác nhận email đã được cập nhật để phù hợp với định dạng SAML trước khi yêu cầu mọi người thử lại.
Dọn dẹp hậu tố
Sau khi sửa bản đồ thuộc tính và hoàn tất đồng bộ đầy đủ:
-
Tài khoản miễn phí Rogue:Nếu việc tạo tổ chức không bị hạn chế trước khi sửa lỗi, một số người có thể đã vô tình tạo các tài khoản Claude cá nhân miễn phí. Liên hệĐội ngũ Hỗ trợ của chúng tôiđể loại bỏ những thứ này.
-
Tài khoản ma (chỗ ngồi email sai):Các tài khoản được cung cấp ban đầu với email không chính xác có thể vẫn tồn tại trong tổ chức của bạn, chiếm chỗ. Liên hệ với đội Hỗ trợ của chúng tôi để hủy cung cấp những tài khoản này.
-
Tình trạng chỗ ngồi:Nếu các tài khoản ma chiếm tất cả các ghế đã hợp đồng, đăng nhập mới sẽ thất bại với lỗi hết chỗ. Việc hủy cấp tài khoản ma sẽ giải phóng những ghế đó.
-
Thêm lại những người bị ảnh hưởng:Sau khi các tài khoản ma bị xóa, những người có email được chỉnh sửa có thể cần được mời lại hoặc cung cấp lại quyền truy cập.
-
Ngăn ngừa các sự việc xảy ra trong tương lai:Bật “Hạn chế tạo tổ chức” trong cài đặt Danh tính và truy cập của tổ chức bạn. Điều này ngăn những người chưa được cấp quyền vô tình tạo tài khoản cá nhân miễn phí.
Xác minh
-
Kiểm tra một mẫu người được cung cấp—xác nhận email của họ trong nhật ký cấp phát có khớp với định dạng email mà SSO gửi không.
-
Yêu cầu người bị ảnh hưởng xóa cookie trình duyệt cho claude.ai, sau đó đăng nhập qua SSO. Họ sẽ vào trực tiếp không gian làm việc của tổ chức bạn mà không gặp lỗi nào.
-
Xác nhận rằng mọi người không tạo tài khoản miễn phí — với việc tạo tổ chức bị hạn chế, những người bị chặn sẽ thấy lỗi rõ ràng thay vì đăng nhập vào tài khoản cá nhân.
-
Nếu Claude Code bị ảnh hưởng, hãy để người đó chạy lại
đăng nhập claude auth --doanh nghiệpvà xác nhận rằng email khớp với chỗ ngồi đã được cung cấp của họ.
Các vấn đề phổ biến
|
Vấn đề |
Giải pháp |
|
SCIM gửi một bí danh trong khi SAML gửi email chính |
Luôn sử dụng |
|
ID tên trong cài đặt SAML chưa được kiểm tra |
Trường Tên ID xác định email được gửi khi đăng nhập. Điều này tách biệt với phần ánh xạ thuộc tính. Kiểm tra cả hai. |
|
Trường sơ đồ tùy chỉnh để trống đối với một số người |
Tuân thủ các thuộc tính tiêu chuẩn của Google như |
|
Việc cung cấp lại không tự động kích hoạt sau khi thay đổi ánh xạ |
Bạn có thể cần phải tạm dừng và kích hoạt lại việc cung cấp một cách thủ công để buộc đồng bộ đầy đủ. |
|
Email chính của ai đó đã thay đổi nhưng email cũ vẫn xuất hiện trong Claude |
Cần đồng bộ lại hoàn toàn sau khi thay đổi email chính. |
|
Email đã được cập nhật trong SCIM nhưng người đó vẫn không thể đăng nhập |
Kiểm tra các tổ chức miễn phí bất hợp pháp hoặc tài khoản ma. Xóa cookie trình duyệt và thử lại. |
Khi nào liên hệ Bộ phận Hỗ trợ
Liên hệĐội ngũ Hỗ trợ của chúng tôivới tên miền của tổ chức bạn, email của người bị ảnh hưởng, và ảnh chụp màn hình các ánh xạ thuộc tính của bạn khi:
-
Các thuộc tính SCIM và SSO trông giống nhau nhưng mọi người vẫn không thể truy cập chỗ ngồi của họ.
-
Bạn cần xác nhận email mà Claude đã ghi lại trong quá trình cung cấp SCIM cho những người cụ thể.
-
Bạn cần giúp dọn dẹp các tài khoản ma hoặc các tổ chức miễn phí ngoài luồng.
-
Mọi người đang gặp lỗi vượt quá số ghế mặc dù vẫn còn ghế đã được hợp đồng.
Hỗ trợ tư vấn, đào tạo và chuyển giao giải pháp AI cho cá nhân, doanh nghiệp và tổ chức.
Liên hệ qua Zalo
