Claude sử dụng email làm định danh chính để khớp các đăng nhập SSO với các chỗ đã được cung cấp. Các sản phẩm của Ping Identity (PingOne và PingFederate) có cấu hình thuộc tính linh hoạt, nhiều lớp. Khi việc cấp phép SCIM và SSO SAML/OIDC lấy từ các thuộc tính người dùng khác nhau, sự không khớp sẽ ngăn chặn quyền truy cập.
Áp dụng cho:Các gói Enterprise và các tổ chức Console sử dụng cung cấp SCIM. Các gói Team không có cung cấp SCIM, vì vậy tình huống không khớp này không áp dụng—xemThiết lập cung cấp JIT hoặc SCIMcho những gì có sẵn trên từng gói.
Triệu chứng
Mọi người có thể gặp một hoặc nhiều vấn đề sau khi cố gắng truy cập tổ chức của bạn thông qua SSO:
-
Tạo tài khoản bị chặn— Người này xác thực qua SSO nhưng Claude không thể tìm thấy tài khoản đã được cấp quyền tương ứng.
-
Đăng nhập vào tài khoản cá nhân miễn phí— Nếu việc thành lập tổ chức không bị hạn chế, người đó sẽ hoàn toàn bỏ qua tổ chức của bạn.
-
Sự không khớp ‘Vui lòng xác nhận email của bạn’— Lời gọi lại SSO hiển thị một email khác với email mà người đó đã nhập khi đăng nhập.
-
Xác thực mã Claude thất bại— CLI Claude Code hiển thị lỗi không khớp email trong quá trình xác thực.
Cách điều này xảy ra
Các sản phẩm của Ping Identity cho phép ánh xạ thuộc tính chi tiết ở nhiều cấp độ (thư mục, bộ điều hợp IdP, bộ kết nối SP, ứng dụng). SCIM và SSO có thể đi qua các con đường khác nhau qua các lớp này, dẫn đến các giá trị email khác nhau đến Claude:
|
Thuộc tính Ping |
Giá trị điển hình |
Được sử dụng phổ biến bởi |
|
|
Được khuyến nghị cho cả SCIM và SAML/OIDC |
|
|
|
|
Định danh đăng nhập mặc định; có thể khác với email |
|
Thuộc tính bộ điều hợp IdP (PingFederate) |
Tùy thuộc vào loại bộ điều hợp (LDAP, biểu mẫu HTML, v.v.) |
Nguồn danh tính PingFederate |
|
LDAP |
Email lấy từ thư mục trong PingFederate |
|
|
LDAP |
Có thể là mã nhân viên hoặc tên người dùng ngắn |
Đôi khi được ánh xạ nhầm sang email |
|
Thuộc tính dân số tùy chỉnh |
Các trường tùy chỉnh được định nghĩa theo từng môi trường |
Cấu hình PingOne nâng cao |
Claude yêu cầu khớp chính xác chuỗi giữa email được cấp phát bởi SCIM và email được xác nhận bởi SSO.
Ghi chú PingFederate:Hệ thống hợp đồng thuộc tính của PingFederate đặc biệt phức tạp—email có thể đi qua nhiều lớp (LDAP → bộ điều hợp IdP → hợp đồng bộ điều hợp → bộ kết nối SP → assertion). Một sự không khớp ở bất kỳ lớp nào sẽ khiến giá trị sai đến với Claude. Theo dõi giá trị từ đầu đến cuối.
Các bước chẩn đoán
Bước 1 — Xác nhận sự không khớp (PingOne)
-
Kiểm tra ánh xạ thuộc tính SCIM:Trong PingOne Admin, đi đếnKết nối → Ứng dụng → [Ứng dụng Claude] → Ánh xạ thuộc tính. Tìm thuộc tính được ánh xạ với emails[primary].value hoặc email. Lưu ý thuộc tính người dùng PingOne được sử dụng làm nguồn.
-
Kiểm tra ánh xạ thuộc tính SSO:Trong cùng một ứng dụng, đi đếnSAMLhoặcOIDCnhấp vào tab và tìm thuộc tính hoặc tuyên bố được ánh xạ với email. Ghi chú thuộc tính nguồn của nó.
-
Nếu SCIM và SSO tham chiếu các thuộc tính PingOne khác nhau, bạn đã xác nhận sự không khớp.
Bước 1 (thay thế) — Xác nhận sự không khớp (PingFederate)
-
Trong bảng điều khiển quản trị PingFederate, tìmKết nối SPdành cho Claude.
-
TrongThực hiện hợp đồng thuộc tính, tìm thuộc tính email và truy vết nguồn gốc của nó trở lại bộ điều hợp IdP hoặc kho dữ liệu LDAP.
-
Riêng biệt, kiểm tra kết nối cung cấp SCIM hoặc kênh cung cấp ra bên ngoài cho Claude và theo dõi nguồn của thuộc tính email đang được gửi.
-
Nếu hai bản theo dõi dẫn đến các thuộc tính thư mục khác nhau, bạn đã xác nhận sự không khớp.
Bước 2 — Xác định phạm vi của vấn đề
-
Nếuhầu hết hoặc tất cảnhững người đã được cung cấp có cùng định dạng email không khớp, đây là mộtvấn đề ánh xạ thuộc tính hệ thống. Sửa lỗi nằm trong ánh xạ thuộc tính SCIM của IdP của bạn.
-
Giá màmột hoặc hai ngườibị ảnh hưởng, vấn đề có thể chỉ áp dụng cho những tài khoản đó. Kiểm tra hồ sơ của họ trực tiếp.
Bước 3 — Kiểm tra giá trị thuộc tính cho một người cụ thể
-
PingOne:Đi đếnNhận dạng → Người dùng → [Người dùng]và so sánh giá trị của các trường Tên người dùng và Email.
-
PingFederate với LDAP:Kiểm tra hồ sơ LDAP của người đó và so sánh mail, userPrincipalName, sAMAccountName, và bất kỳ thuộc tính nào khác đang được sử dụng trong ánh xạ bộ điều hợp của bạn.
Độ phân giải
PingOne — Căn chỉnh cả hai ánh xạ với thuộc tính email
-
TrongKết nối → Ứng dụng → [ứng dụng Claude], mởÁnh xạ thuộc tính.
-
Đối với SCIM: Đảm bảo emails[primary].value ánh xạ với PingOneĐịa chỉ emailthuộc tính.
-
Đối với SAML/OIDC: Đảm bảo rằng thuộc tính hoặc claim email cũng được ánh xạ tới PingOneĐịa chỉ emailthuộc tính.
-
Lưu các thay đổi.
PingFederate — Đồng bộ hợp đồng thuộc tính trên tất cả các lớp
-
Trong SP Connection cho Claude, hãy đi đếnThực hiện hợp đồng thuộc tính.
-
Tìm thuộc tính email. Đảm bảo nguồn của nó là cùng thuộc tính LDAP hoặc kho dữ liệu được sử dụng trong kênh cung cấp SCIM ra ngoài của bạn.
-
Nếu sử dụng một bộ điều hợp IdP tùy chỉnh, hãy đảm bảo hợp đồng của bộ điều hợp bao gồm thuộc tính email chuẩn và rằng nó được ánh xạ chính xác tới kết nối SP.
-
Cập nhật cung cấp SCIM để sử dụng cùng thuộc tính nguồn.
Kích hoạt đồng bộ hóa đầy đủ
Quan trọng — Yêu cầu đồng bộ đầy đủ:Đồng bộ tăng dần sẽ không cập nhật các bản ghi hiện có sau khi bạn thay đổi ánh xạ thuộc tính. Bạn phải kích hoạt mộtkhởi động lại hoàn toàncủa chu kỳ cung cấp.
-
PingOne:Trong cài đặt cung cấp của ứng dụng, hãy kích hoạt một chu trình cung cấp đầy đủ. Bạn có thể cần tắt và bật lại cung cấp để buộc một lần đẩy lại hoàn toàn.
-
PingFederate:Kích hoạt đồng bộ đầy đủ trong kênh cung cấp ra ngoài của bạn. Kiểm tra nhật ký cung cấp của bạn để xác nhận các giá trị email đã được cập nhật đang được gửi.
-
Xác minh rằng các giá trị email đã cập nhật xuất hiện trong nhật ký cung cấp trước khi yêu cầu mọi người thử đăng nhập lại.
Dọn dẹp hậu tố
Sau khi sửa bản đồ thuộc tính và hoàn tất đồng bộ đầy đủ:
-
Tài khoản miễn phí Rogue:Nếu việc tạo tổ chức không bị hạn chế trước khi sửa lỗi, một số người có thể đã vô tình tạo các tài khoản Claude cá nhân miễn phí. Liên hệĐội ngũ Hỗ trợ của chúng tôiđể loại bỏ những thứ này.
-
Tài khoản ma (chỗ ngồi email sai):Liên hệ với đội Hỗ trợ của chúng tôi để huỷ cấp quyền cho những thứ này.
-
Tình trạng chỗ ngồi:Nếu các tài khoản ma chiếm tất cả các chỗ đã ký hợp đồng, việc đăng nhập mới sẽ không thành công. Vui lòng liên hệ với đội Ngũ Hỗ Trợ của chúng tôi.
-
Thêm lại những người bị ảnh hưởng:Sau khi các tài khoản ma bị xóa, có thể cần mời lại hoặc cung cấp lại cho mọi người.
-
Ngăn ngừa các sự việc xảy ra trong tương lai:Bật ‘Hạn chế tạo tổ chức’ trong cài đặt Danh tính và quyền truy cập của tổ chức bạn.
Xác minh
-
Kiểm tra một mẫu người được cung cấp—xác nhận email của họ trong nhật ký cấp phát có khớp với định dạng email mà SSO gửi không.
-
Yêu cầu người bị ảnh hưởng xóa cookie trình duyệt cho claude.ai, sau đó đăng nhập qua SSO.
-
Xác nhận rằng mọi người không đang tạo tài khoản miễn phí.
-
Nếu Claude Code bị ảnh hưởng, hãy để người đó chạy lại
đăng nhập claude auth --enterprisevà xác nhận rằng email khớp với chỗ ngồi đã được cung cấp của họ.
Các vấn đề phổ biến
|
Vấn đề |
Giải pháp |
|
PingOne |
Chuyển ánh xạ SCIM sang PingOneĐịa chỉ emailthuộc tính. |
|
Không khớp thuộc tính PingFederate giữa các lớp hợp đồng |
Theo dõi thuộc tính email từ đầu đến cuối: nguồn LDAP → bộ điều hợp IdP → hợp đồng bộ điều hợp → kết nối SP → xác thực. |
|
LDAP |
Sử dụng LDAP |
|
Đồng bộ cấp phát tăng dần không cập nhật các bản ghi hiện có |
Cần thực hiện đồng bộ lại hoàn toàn sau khi thay đổi ánh xạ thuộc tính. |
|
Hợp đồng thuộc tính đã được cập nhật trong PingFederate nhưng bộ kết nối SCIM không được cập nhật |
Cả kết nối SP và kênh cấp phát SCIM đi ra đều phải được cập nhật độc lập. |
|
Email đã được cập nhật trong SCIM nhưng người đó vẫn không thể đăng nhập |
Kiểm tra các tổ chức miễn phí bất hợp pháp hoặc tài khoản ma. Xóa cookie trình duyệt và thử lại. |
Khi nào liên hệ Bộ phận Hỗ trợ
Liên hệĐội ngũ Hỗ trợ của chúng tôivới tên miền của tổ chức bạn, email của người bị ảnh hưởng, và ảnh chụp màn hình các ánh xạ thuộc tính của bạn khi:
-
Các thuộc tính SCIM và SSO trông giống nhau nhưng mọi người vẫn không thể truy cập chỗ ngồi của họ.
-
Bạn cần xác nhận email mà Claude đã ghi lại trong quá trình cung cấp SCIM cho những người cụ thể.
-
Bạn cần giúp dọn dẹp các tài khoản ma hoặc các tổ chức miễn phí ngoài luồng.
-
Mọi người đang gặp lỗi vượt quá số ghế mặc dù vẫn còn ghế đã được hợp đồng.
Hỗ trợ tư vấn, đào tạo và chuyển giao giải pháp AI cho cá nhân, doanh nghiệp và tổ chức.
Liên hệ qua Zalo
