De mest almindelige årsager til fejl ved SSO-login

Denne artikel gennemgår de hyppigste årsager til SSO-fejl ved login i Acubiz samt de tilhørende løsninger.

Indhold i denne artikel:

• 1. E-maildomæne er ikke konfigureret til SSO i Acubiz
• 2. Brugeradgang er ikke oprettet i virksomhedens AD (Fejl: AADSTS50105)
• 3. Fejl 401: Not Authorized
• 4. Konfiguration ved anvendelse af Package Managers (MDM / Intune)
• 5. SAML-certifikat skal fornyes
• 6. SSO i app: Gemt Microsoft-logincookie for privat e-mail

1. E-maildomæne er ikke konfigureret til SSO i Acubiz

• Fejlsymptom: Brugeren afvises umiddelbart efter indtastning af sin e-mailadresse med meddelelsen:

  "Selected user account does not exist in tenant..."
  

• Årsag: Virksomhedens e-maildomæne er endnu ikke oprettet i Acubiz' ADFS-konfiguration. Dette sker typisk, hvis virksomheden opretter nye e-maildomæner efter den primære SSO-implementering.
• Løsning: Virksomheden skal indgå en aftale med Acubiz Support om tilføjelse og opsætning af det nye domæne (bemærk, at tilføjelse af yderligere domæner medfører en ekstra omkostning).
• Udføres af: Acubiz Support (efter aftale).

2. Brugeradgang er ikke oprettet i virksomhedens AD (Fejl: AADSTS50105)

• Fejlsymptom: Brugeren modtager følgende fejlbesked ved login:

  "AADSTS50105: The signed in user 'bruger@domæne.dk' is not assigned to a role for the application '4d020abe-0f94-4443-b515-5c40f482ea90' (Acubiz EMS)."
  
  

• Årsag: Manglende brugerrettigheder i virksomhedens eget Active Directory / Entra ID. Fejlmeddelelsen genereres af virksomhedens eget system og ikke af Acubiz.

• Løsning: Brugeren skal tildeles adgang til Acubiz-applikationen i virksomhedens Entra ID / AD.

• Udføres af: Virksomhedens interne IT-afdeling.

• Nyttigt link: Microsoft Documentation: Error Code AADSTS50105

3. Fejl 401: Not Authorized

• Fejlsymptom: SSO-godkendelsen gennemføres korrekt hos Microsoft, men Acubiz returnerer derefter meddelelsen "401 Not authorized".

• Årsag(er):
  • Brugerens e-mailadresse findes ikke på en aktiv profil i Acubiz.
  • Den registrerede e-mailadresse i Acubiz matcher ikke brugerens primære e-mailadresse (User Principal Name) i Entra ID (f.eks. ved brug af et e-mailalias).
  • Der findes en dublet i Acubiz (f.eks. en fratrædende/inaktiv brugeroprettelse med samme e-mailadresse).

• Løsning(er):

  1. Opret eller aktiver brugerprofilen med den korrekte e-mailadresse.

  2. Sikr, at e-mailadressen i Acubiz svarer præcist til brugerens primære e-mailadresse i Entra ID.

  3. Omdøb e-mailadressen på inaktive eller fratrædende profiler (f.eks. ved at tilføje _resigned efter adressen). En e-mailadresse kan kun være tilknyttet én profil i Acubiz ad gangen.

• Udføres af: Virksomhedens Acubiz Pro-User / Administrator.

• Kontrol: Få brugeren til at udføre en test af SSO-forbindelsen i Acubiz efter ændringen.

4. Konfiguration ved anvendelse af Package Managers (MDM / Intune)

• Fejlsymptom: Der sker ingenting, når brugeren indtaster sin e-mailadresse i Acubiz-applikationen.
• Årsag: Ved brug af Mobile Device Management (MDM) som f.eks. Microsoft Intune mangler den fornødne browser i den oprettede app-sandbox. Uden adgang til en browser kan appen ikke åbne virksomhedens AD-loginside.
• Løsning: Konfigurer udrulningen i MDM-systemet således, at app-sandboxen har adgang til en godkendt browser.
• Udføres af: Virksomhedens IT-afdeling / MDM-administrator.

5. SAML-certifikat skal fornyes

• Fejlsymptom: SSO-login fejler for alle brugere i virksomheden pga. udløbet certifikat.

• Årsag: Virksomhedens SAML-certifikat er udløbet (certifikater har typisk en levetid på 3 år).

• Løsning: Forny certifikatet i virksomhedens eget system under den eksisterende FederationMetadataURL. Acubiz ADFS vil automatisk registrere og indlæse det nye certifikat inden for 24 timer. Det er ikke nødvendigt at sende certifikatfilen til Acubiz. Se Opdatering af SAML certifikat

• Udføres af: Virksomhedens IT-afdeling.

6. SSO i app: Gemt Microsoft-logincookie for privat e-mail

• Fejlsymptom: Ved forsøg på SSO-login i appen viderestilles brugeren automatisk via en privat Microsoft-konto, hvilket medfører en fejlmeddelelse fra virksomhedens Entra ID.
  

• Årsag: En gemt Microsoft-logincookie i enhedens browser genbruges automatisk af appen.

• Løsning: Slet cookies og websteddata for Microsoft på mobilen enhed:

  • iPhone (Safari):

    1. Kontroller om Safari er standardbrowser under Indstillinger > Apps > Standardapps.

    2. Gå til Indstillinger > Apps > Safari > Avanceret > Websteddata.

    3. Søg efter login.microsoftonline.com og slet data for dette domæne (eller vælg Fjern alle websteddata).

  • iPhone / Android (Chrome):

    1. Åbn Chrome og tilgå Indstillinger.

    2. Vælg Slet browserdata (vælg Cookies og websteddata).

    3. Bekræft sletning.

• Udføres af: Brugeren selv.

Komplet liste over fejlkoder fra Entra:
https://learn.microsoft.com/en-us/entra/identity-platform/reference-error-codes