Aperçu
Si un utilisateur ne peut pas se connecter avec l’authentification unique (SSO) après avoir été invité à un espace de travail ChatGPT, le problème peut être dû à une non-correspondance entre l’adresse e-mail à laquelle l’invitation a été envoyée et l’adresse e-mail renvoyée par votre fournisseur d’identité.
Ce problème peut apparaître avec une erreur telle que :
"SSO mismatch user creation"
ou :
"sso_mismatch_user_creation"
Pour que la connexion par authentification unique (SSO) fonctionne, les deux conditions suivantes doivent être remplies :
Le fournisseur d’identité de l’utilisateur doit renvoyer une adresse e-mail qui correspond à l’identité prévue de l’utilisateur dans l’espace de travail ChatGPT.
Le domaine de l’adresse e-mail doit également être vérifié et disponible pour l’espace de travail dans votre console d’administration globale.
Étapes de résolution
Les étapes ci-dessous vous aideront à vérifier s’il existe un décalage entre l’invitation, la revendication d’e-mail d’authentification unique (SSO) et le domaine vérifié.
Confirmez l’adresse e-mail utilisée pour l’invitation à l’espace de travail : Assurez-vous que l’utilisateur a été invité avec l’adresse e-mail qu’il doit utiliser pour ChatGPT.
Confirmez l’adresse e-mail renvoyée par votre fournisseur d’identité : Vérifiez votre configuration SAML/OIDC et confirmez quel champ d’adresse e-mail est envoyé à ChatGPT pendant l’authentification unique (SSO). Pour SAML, vérifiez les attributs liés à l’e-mail, car l’e-mail est la clé que ChatGPT utilise pour associer l’utilisateur qui se connecte à l’invitation ou au compte dans ChatGPT. Ces valeurs doivent identifier de façon cohérente la même adresse e-mail d’utilisateur.
*Par exemple, si l’utilisateur a été invité en tant que user@company.com, mais que votre fournisseur d’identité renvoie user@subsidiary.com, nous traiterons cela comme une connexion pour user@subsidiary.com et générerons l’erreur.
*Vous avez 2 options ici :
Confirmez que le domaine de l’utilisateur est vérifié dans la console d’administration globale et qu’il est associé à l’espace de travail auquel l’utilisateur est invité : Si votre fournisseur d’identité renvoie une adresse e-mail provenant d’un autre domaine, ce domaine doit être vérifié dans votre console d’administration globale et être disponible pour l’espace de travail auquel l’utilisateur tente d’accéder.
Par exemple, si l’utilisateur a été invité en tant que user@company.com, mais que votre fournisseur d’identité renvoie user@subsidiary.com, alors subsidiary.com doit aussi être vérifié et associé correctement avant que l’utilisateur puisse se connecter avec l’authentification unique (SSO) en utilisant cette identité.
Solution de contournement la plus rapide : Si l’authentification unique (SSO) est facultative pour votre espace de travail, demandez à l’utilisateur d’accepter l’invitation avec un nom d’utilisateur et un mot de passe plutôt qu’avec l’authentification unique (SSO), afin qu’il soit rapidement débloqué. Cela vous donnera du temps pour dépanner la connexion par authentification unique (SSO), et l’utilisateur pourra déjà utiliser son compte ChatGPT.