Claude sử dụng email làm định danh chính để ghép các đăng nhập SSO với các chỗ ngồi đã được cấp phép. Trong Microsoft Entra ID, việc cung cấp SCIM và xác thực SSO được cấu hình trongnhững nơi riêng biệtvà có thể kéo email từ các thuộc tính người dùng khác nhau—gây ra sự không khớp khiến quyền truy cập bị chặn. Hướng dẫn này sẽ hướng dẫn cách xác định vấn đề, sửa ánh xạ thuộc tính và dọn dẹp bất kỳ tác động phụ nào.
Áp dụng cho:Các gói Enterprise và các tổ chức Console sử dụng cung cấp SCIM. Các gói Team không có cung cấp SCIM, vì vậy tình huống không khớp này không áp dụng — xemThiết lập cung cấp JIT hoặc SCIMcho những gì có sẵn trên từng gói.
Triệu chứng
Mọi người có thể gặp một hoặc nhiều vấn đề sau khi cố gắng truy cập tổ chức của bạn thông qua SSO:
-
Tạo tài khoản bị chặn— Người dùng xác thực qua SSO nhưng Claude không tìm thấy tài khoản được cung cấp phù hợp. Nếu việc tạo tổ chức bị giới hạn (khuyến nghị), người dùng sẽ bị chặn hoàn toàn.
-
Đăng nhập vào tài khoản cá nhân miễn phí— Nếu việc tạo tổ chức không bị hạn chế, người đó sẽ bỏ qua tổ chức của bạn và tạo hoặc truy cập vào tài khoản cá nhân miễn phí.
-
Sự không khớp ‘Vui lòng xác nhận email của bạn’— Phản hồi SSO hiển thị một email khác với email mà người đó đã nhập khi đăng nhập.
-
Xác thực mã Claude thất bại— CLI Claude Code hiển thị lỗi không khớp email trong quá trình xác thực.
Cách điều này xảy ra
Các tài khoản người dùng Microsoft Entra ID có nhiều thuộc tính giống email có thể chứacác giá trị khác nhau. Việc cung cấp SCIM và xác thực SSO được cấu hình trong các khu vực quản trị riêng biệt và mỗi khu vực có thể lấy từ một thuộc tính khác nhau:
|
Thuộc tính Entra |
Giá trị điển hình |
Được sử dụng phổ biến bởi |
|
|
|
Bản đồ mặc định userName SCIM |
|
|
|
Đặc tả email OIDC / SAML |
|
|
|
Địa chỉ chính Exchange / M365 |
|
|
Có thể chứa bí danh hoặc địa chỉ phụ |
Địa chỉ email liên hệ thay thế |
Sự không khớp xảy ra khi SCIM lấy email từ một thuộc tính trong khi SSO gửi email từ thuộc tính khác. Ngay cả một sự khác biệt nhỏ cũng có thể chặn quyền truy cập—Claude yêu cầu mộtkhớp chuỗi chính xác.
Nhầm lẫn phổ biến:Entra có hai khu vực quản trị riêng biệt. Theứng dụng cung cấp SCIMsống dướiỨng dụng doanh nghiệp(Thuật ngữ của Microsoft cho các ứng dụng tích hợp—không liên quan đến gói Claude của bạn). TheỨng dụng SSO/OIDCsống dướiĐăng ký ứng dụng. Quản trị viên CNTT thường xuyên điều hướng đến vị trí sai.
Các bước chẩn đoán
Bước 1 — Xác nhận sự không khớp
-
Kiểm tra email SCIM:Trong Trung tâm Quản trị Entra →Ứng dụng doanh nghiệp → [Ứng dụng Claude SCIM] → Cấp phát → Nhật ký cấp phát, tìm một người mới được cung cấp và kiểm traThuộc tính đã được chỉnh sửa. Giá trị được ánh xạ tới emails[type eq “work”].value là những gì SCIM gửi cho Claude.
-
Kiểm tra email SSO:TrongỨng dụng doanh nghiệp → [ứng dụng Claude] → đăng nhập một lần (SSO) → Thuộc tính & Quyền lợi, tìm yêu cầu email. Đối với các ứng dụng OIDC, kiểm traĐăng ký ứng dụng → [ứng dụng Claude] → Cấu hình mã thông báo.
-
Nếu hai thuộc tính nguồn trỏ tớicác lĩnh vực khác nhau, bạn đã xác nhận sự không khớp.
Bước 2 — Xác định phạm vi
-
Nếuhầu hết hoặc tất cảnhững người được cấp phát gặp phải cùng một sự không khớp định dạng, đây là mộtvấn đề ánh xạ thuộc tính hệ thống. Sửa lỗi nằm trong cấu hình ánh xạ thuộc tính SCIM.
-
Giá màmột hoặc hai ngườibị ảnh hưởng, kiểm tra hồ sơ người dùng của họ trực tiếp trong Entra.
Bước 3 — Kiểm tra các thông tin yêu cầu trong token OIDC (chỉ dành cho ứng dụng OIDC)
-
Trong Trung tâm Quản trị Entra, đi tớiĐăng ký ứng dụng(không phải ứng dụng Doanh nghiệp).
-
Tìm ứng dụng Claude OIDC và nhấp vào “Cấu hình token.”
-
Kiểm tra yêu cầu tùy chọn qua email.
-
Đối chiếu với ánh xạ thuộc tính SCIM của bạn để xác nhận xem chúng có khớp hay không.
Độ phân giải
Sửa bản đồ thuộc tính SCIM
Đi đếnứng dụng cung cấp SCIM— không phải ứng dụng SSO/OIDC:
-
Đi đếnVào Trung tâm Quản trị → Ứng dụng doanh nghiệp.
-
Tìm kiếm ứng dụng Claude SCIM. Tìm ứng dụng có mộtCung cấpphần.
-
NhấpCấp phát → Chỉnh sửa cấp phát → Ánh xạ thuộc tính.
-
Tìm hàng mà trong đó thuộc tính SCIM là emails[type eq “work”].value. Nhấn vào đó để chỉnh sửa.
-
Thay đổiThuộc tính nguồnđể khớp với những gì SSO gửi — thường là thư điện tử.
-
Cũng kiểm tra ánh xạ userName và cập nhật nếu cần.
-
Nhấp vào “Lưu.”
Kích hoạt đồng bộ hóa đầy đủ cung cấp
Cần đồng bộ toàn bộ — đồng bộ từng phần sẽ không hoạt động.Bạn phải kích hoạt mộtkhởi động lại hoàn toàncủa chu kỳ cung cấp.
-
Đi đếnCung cấptrang tổng quan.
-
NhấpKhởi động lại việc cung cấp.
-
Đợi cho việc đồng bộ hoàn tất.
-
Xác minh trong nhật ký cung cấp rằng email đã được cập nhật đúng định dạng.
Dọn dẹp hậu tố
Sau khi sửa bản đồ thuộc tính và hoàn tất đồng bộ đầy đủ:
-
Tài khoản miễn phí Rogue:Nếu việc tạo tổ chức không bị hạn chế trước khi sửa lỗi, một số người có thể đã tạo tài khoản Claude cá nhân miễn phí. Liên hệĐội ngũ Hỗ trợ của chúng tôiđể loại bỏ.
-
Tài khoản ma (chỗ ngồi email sai):Các tài khoản được cung cấp ban đầu với email sai có thể vẫn tồn tại trong tổ chức của bạn, chiếm chỗ mà không bao giờ có thể sử dụng. Liên hệ với đội Hỗ trợ của chúng tôi để hủy cấp những tài khoản này.
-
Tình trạng chỗ ngồi:Nếu các tài khoản ma đang chiếm tất cả các chỗ đã hợp đồng, các lần đăng nhập mới sẽ thất bại với lỗi hết chỗ ngay cả sau khi ánh xạ được sửa.
-
Thêm lại những người bị ảnh hưởng:Sau khi các tài khoản ma bị xóa, những người có email được chỉnh sửa có thể cần được mời lại hoặc cung cấp lại quyền truy cập.
-
Ngăn ngừa các sự việc xảy ra trong tương lai:Bật “Hạn chế tạo tổ chức” trong cài đặt Danh tính và truy cập của tổ chức bạn.
Xác minh
-
Kiểm tra một mẫu người được cung cấp—xác nhận email của họ trong nhật ký cấp phát có khớp với định dạng email mà SSO gửi không.
-
Yêu cầu người bị ảnh hưởng xóa cookie trình duyệt cho claude.ai, sau đó đăng nhập qua SSO. Họ nên trực tiếp vào không gian làm việc của tổ chức bạn.
-
Xác nhận rằng mọi người không tạo tài khoản miễn phí — với việc tạo tổ chức bị hạn chế, những người bị chặn sẽ thấy một lỗi rõ ràng thay vì vào tài khoản cá nhân.
-
Nếu Claude Code bị ảnh hưởng, hãy để người đó chạy lại
đăng nhập claude auth --doanh nghiệpvà xác nhận rằng email khớp với chỗ ngồi đã được cung cấp của họ.
Các vấn đề phổ biến
|
Vấn đề |
Giải pháp |
|
Đã cập nhật ánh xạ SCIM nhưng không kiểm tra yêu cầu SSO (hoặc ngược lại) |
Cả hai đều phải được cập nhật. SCIM dướiỨng dụng doanh nghiệp → Cung cấp; Yêu cầu SSO theođăng nhập một lần (SSO) → Thuộc tính & Yêu cầuhoặcĐăng ký ứng dụng → Cấu hình token. |
|
userPrincipalName ở định dạng employee-ID, không phải email thật |
Chuyển SCIM để sử dụng thuộc tính mail thay vào đó. |
|
Đồng bộ tăng dần chạy nhưng email không cập nhật |
Khởi động lại việc cung cấplà bắt buộc sau khi thay đổi ánh xạ thuộc tính. |
|
Yêu cầu email của ứng dụng OIDC chưa được cấu hình như một yêu cầu tùy chọn |
Thêm email dướiĐăng ký ứng dụng → Cấu hình token. |
|
Email đã được cập nhật nhưng người đó vẫn không thể đăng nhập |
Tìm các tổ chức miễn phí không đáng tin cậy hoặc tài khoản ảo. Xóa cookie trình duyệt và thử lại. |
Khi nào liên hệ Bộ phận Hỗ trợ
Liên hệĐội ngũ Hỗ trợ của chúng tôivới tên miền của tổ chức bạn, email của người bị ảnh hưởng, và ảnh chụp màn hình ánh xạ thuộc tính khi:
-
Các thuộc tính SCIM và SSO trông giống nhau nhưng mọi người vẫn không thể truy cập chỗ ngồi của họ.
-
Bạn cần xác nhận email mà Claude đã ghi lại trong quá trình cung cấp SCIM cho những người cụ thể.
-
Bạn cần giúp dọn dẹp các tài khoản ma hoặc các tổ chức miễn phí ngoài luồng.
-
Mọi người đang gặp lỗi vượt quá số ghế mặc dù vẫn còn ghế đã được hợp đồng.
Hỗ trợ tư vấn, đào tạo và chuyển giao giải pháp AI cho cá nhân, doanh nghiệp và tổ chức.
Liên hệ qua Zalo
