SSO トラブルシューティング

このガイドでは、Zenovay で Single Sign-On を設定する際または使用する際に発生する可能性のある一般的な問題とその解決策をカバーしています。

SAML 2.0 エラー

"SAML signature verification failed"

原因: Zenovay の X.509 証明書が、ID プロバイダーが SAML レスポンスに署名するために使用した証明書と一致していません。

解決策:

1. ID プロバイダーから署名証明書の新しいコピーをダウンロードします
2. Zenovay で Settings → Security → SSO に移動します
3. SAML プロバイダーを編集し、証明書を置き換えます
4. -----BEGIN CERTIFICATE----- と -----END CERTIFICATE----- を含む完全な証明書をコピーしたことを確認します

"SAML digest mismatch"

原因: SAML レスポンスが転送中に変更されたか、間違った証明書が設定されています。

解決策:

1. Zenovay の証明書が ID プロバイダーのアクティブな署名証明書と一致することを確認します
2. ID プロバイダーが最近証明書をローテーションしている場合は、新しい証明書をダウンロードします
3. SAML レスポンスを変更しているプロキシやミドルウェアがないことを確認します

"Referenced element not found"

原因: SAML レスポンスに予期された署名要素が含まれていません。

解決策:

1. ID プロバイダーが標準 SAML 2.0 レスポンスを送信していることを確認します
2. レスポンスに有効な ID 属性を持つ Assertion 要素が含まれていることを確認します
3. 問題が解決しない場合は、ID プロバイダー管理者に連絡します

"Entity ID mismatch" または "Audience mismatch"

原因: ID プロバイダーで設定された SP Entity ID が Zenovay が期待するものと一致していません。

解決策:

• ID プロバイダーで SP Entity ID / Audience URI を正確に https://auth.zenovay.com に設定します
• 末尾のスラッシュやパスを含めないようにします

"Invalid ACS URL" または "Reply URL mismatch"

原因: ID プロバイダーの ACS URL が Zenovay のコールバックエンドポイントと一致していません。

解決策:

• ACS URL を正確に https://auth.zenovay.com/api/sso/saml/callback に設定します
• 末尾にスラッシュがないことを確認します

"NameID not found" または "Email not provided"

原因: SAML レスポンスに予期された形式でユーザーのメールアドレスが含まれていません。

解決策:

1. ID プロバイダーで NameID format を EmailAddress に設定します
2. NameID value がユーザーのメールアドレスにマップされていることを確認します
3. ユーザーが ID プロバイダーディレクトリで有効なメールアドレスを持っていることを確認します

OAuth 2.0 / OIDC エラー

"Invalid redirect URI" または "Redirect URI mismatch"

原因: ID プロバイダーで設定されたリダイレクト URI が Zenovay が送信するものと一致していません。

解決策:

• リダイレクト URI を正確に https://auth.zenovay.com/api/sso/oauth/callback に設定します
• 末尾にスラッシュがないことを確認します
• URI は正確に一致している必要があります（大文字と小文字を区別）

"Invalid client credentials"

原因: Zenovay に入力されたクライアント ID またはクライアントシークレットが正しくありません。

解決策:

1. ID プロバイダーダッシュボードでクライアント ID とクライアントシークレットを確認します
2. シークレットが期限切れの場合は、新しいものを生成します
3. Zenovay の値を更新します

"OIDC discovery failed"

原因: Zenovay が Issuer URL の OpenID Connect ディスカバリーエンドポイントに到達できません。

解決策:

1. Issuer URL が正しいことを確認します
2. ブラウザーでディスカバリー URL をテストします: {issuer-url}/.well-known/openid-configuration
3. 一部の ID プロバイダーは Issuer URL に末尾のスラッシュが必要です（例: Auth0: https://tenant.us.auth0.com/）
4. ID プロバイダーが公開されていることを確認します

"Token verification failed"

原因: ID プロバイダーから ID トークンを検証できませんでした。

解決策:

1. ID プロバイダーの JWKS エンドポイントにアクセスできることを確認します
2. トークン署名アルゴリズムが ID プロバイダーがアドバタイズしているものと一致することを確認します
3. トークン内の aud（audience）クレームがクライアント ID と一致することを確認します

"State parameter mismatch"

原因: 認証状態が失われたか、改ざんされました。通常、セッションの問題が原因です。

解決策:

1. ブラウザーのクッキーをクリアしてもう一度試します
2. クッキーをブロックするブラウザー拡張機能を使用していないことを確認します
3. シークレット/プライベートウィンドウで試します

ドメイン検証の問題

"Domain not verified"

原因: メールドメインが SSO 用に検証されていません。

解決策:

1. Settings → Security → SSO に移動します
2. SSO プロバイダーをクリックします
3. Add Domain をクリックして、メールドメインを入力します
4. DNS 検証ステップに従います
5. DNS プロパゲーションに時間をかけます（最大 48 時間）

"Domain already in use"

原因: メールドメインが既に別の SSO プロバイダーまたは組織にリンクされています。

解決策:

1. 組織内の別の SSO プロバイダーがこのドメインをすでに使用していないか確認します
2. 他のプロバイダーからドメインを削除します
3. ドメインが別の組織にリンクされている場合は、[email protected] にお問い合わせください

証明書の問題

証明書の有効期限

SAML 署名証明書には有効期限があります。期限切れになると、SSO 認証に失敗します。

確認方法:

1. ID プロバイダーダッシュボードで証明書の有効期限を確認します
2. 有効期限の 30 日前にカレンダーリマインダーを設定します

更新方法:

1. ID プロバイダーから新しい証明書をダウンロードします
2. Zenovay で SSO プロバイダーを編集します
3. 証明書を置き換えて保存します
4. 接続をテストします

証明書の形式

Zenovay は X.509 証明書を PEM 形式で期待しています:

-----BEGIN CERTIFICATE-----
MIIDpDCCAoygAwIBAgIGAX...
(base64 encoded certificate data)
...
-----END CERTIFICATE-----

• BEGIN と END の行を含めます
• 余分なホワイトスペースやヘッダーを含めないようにします
• ID プロバイダーが .cer または .der ファイルを提供している場合は、最初に PEM 形式に変換します

一般的な問題

"SSO provider not found"

原因: ログイン時に入力されたメールドメインが、設定されているどの SSO プロバイダーとも一致していません。

解決策:

1. ドメインが Zenovay の SSO プロバイダーで追加および検証されていることを確認します
2. ユーザーが正しいドメインでメールを入力していることを確認します

SSO 強制後にユーザーがサインインできない

原因: SSO が強制されていますが、ユーザーは ID プロバイダーで認証できません。

解決策:

1. Settings → Security → SSO で SSO 強制を一時的に無効にします
2. メール/パスワードでサインインして設定にアクセスします
3. SSO 設定を修正します
4. 強制を再度有効にします

新規ユーザーが作成されない

原因: ユーザーは ID プロバイダーに存在しますが、Zenovay アカウントがありません。

解決策: Zenovay は最初の SSO ログイン時に新しいユーザーアカウントを自動的にプロビジョニングします。これが起こらない場合:

1. SAML レスポンスまたは OIDC トークンにユーザーのメールアドレスが含まれていることを確認します
2. メールドメインが検証されたドメインと一致することを確認します
3. ユーザーが ID プロバイダーの Zenovay アプリケーションに割り当てられていることを確認します

テストチェックリスト

SSO を強制する前に、次を確認します:

• SSO プロバイダーが正しい ID プロバイダーの値で Zenovay に設定されています
• メールドメインが検証されています
• ユーザーが ID プロバイダーのアプリケーションに割り当てられています
• テストログインがシークレットウィンドウで機能します
• 新規ユーザープロビジョニングが機能します（Zenovay アカウントをまだ持っていないユーザーでテストします）
• 少なくとも 1 人の所有者がバックアップとしてメール/パスワードでサインインできます

ヘルプの取得

まだ問題が続く場合:

• メール: [email protected]
• エンタープライズサポート: [email protected]

サポートに問い合わせる際は、以下の情報を含めてください:

1. ID プロバイダーの名前とプロトコル（SAML/OAuth/OIDC）
2. 表示されるエラーメッセージ
3. これが新しいセットアップか、機能していない既存のセットアップかどうか
4. ID プロバイダー設定への最近の変更