Überblick
Wenn sich ein Benutzer nach einer Einladung zu einem ChatGPT-Workspace nicht per SSO anmelden kann, kann das Problem durch eine Abweichung zwischen der E-Mail-Adresse, die zum Workspace eingeladen wurde, und der E-Mail-Adresse, die von deinem Identitätsanbieter zurückgegeben wird, verursacht werden.
Dieses Problem kann mit einem Fehler wie dem folgenden auftreten:
"SSO mismatch user creation"
oder:
"sso_mismatch_user_creation"
Damit die SSO-Anmeldung funktioniert, müssen beide folgenden Bedingungen erfüllt sein:
Der Identitätsanbieter des Benutzers muss eine E-Mail-Adresse zurückgeben, die mit der vorgesehenen ChatGPT-Workspace-Identität des Benutzers übereinstimmt.
Die E-Mail-Domain muss außerdem in deiner Global Admin Console verifiziert und für den Workspace verfügbar sein.
Schritte zur Behebung
Die folgenden Schritte helfen dir zu überprüfen, ob eine Diskrepanz zwischen der Einladung, dem SSO-E-Mail-Claim und der verifizierten Domain besteht.
Bestätige die E-Mail-Adresse, die für die Workspace-Einladung verwendet wurde: Stelle sicher, dass der Benutzer mit der E-Mail-Adresse eingeladen wurde, die er für ChatGPT verwenden soll.
Bestätige die von deinem Identitätsanbieter zurückgegebene E-Mail-Adresse: Überprüfe deine SAML/OIDC-Konfiguration und bestätige, welches E-Mail-Adressfeld während des SSO an ChatGPT gesendet wird. Überprüfe bei SAML die E-Mail-bezogenen Attribute, da die E-Mail-Adresse der Schlüssel ist, den ChatGPT verwendet, um den sich anmeldenden Benutzer der Einladung oder dem Konto in ChatGPT zuzuordnen. Diese Werte sollten durchgehend dieselbe Benutzer-E-Mail-Adresse identifizieren.
*Wenn der Benutzer beispielsweise als user@company.com eingeladen wurde, aber dein Identitätsanbieter user@subsidiary.com zurückgibt, behandeln wir dies als Anmeldung für user@subsidiary.com und lösen den Fehler aus.
*Du hast hier zwei Möglichkeiten:
Bestätige, dass die Domain des Benutzers in der Global Admin Console verifiziert und dem Workspace zugeordnet ist, zu dem der Benutzer eingeladen wurde: Wenn dein Identitätsanbieter eine E-Mail-Adresse aus einer anderen Domain zurückgibt, muss diese Domain in deiner Global Admin Console verifiziert und für den Workspace verfügbar sein, auf den der Benutzer zuzugreifen versucht.
Wenn der Benutzer beispielsweise als user@company.com eingeladen wurde, aber dein Identitätsanbieter user@subsidiary.com zurückgibt, dann muss auch subsidiary.com verifiziert und entsprechend zugeordnet werden, bevor sich der Benutzer mit dieser Identität per SSO anmelden kann.
Schnellster Workaround: Wenn SSO für deinen Workspace optional ist, lass den Benutzer die Einladung mit Benutzername und Passwort statt per SSO annehmen, damit er schnell weiterarbeiten kann. Dadurch hast du etwas Zeit, Fehler bei der SSO-Anmeldung zu beheben, und der Benutzer kann sein ChatGPT-Konto bereits verwenden.