Overzicht
Als een gebruiker niet kan inloggen met SSO nadat die is uitgenodigd voor een ChatGPT-werkruimte, kan het probleem worden veroorzaakt door een verschil tussen het e-mailadres dat voor de werkruimte is uitgenodigd en het e-mailadres dat door je identiteitsprovider wordt geretourneerd.
Dit probleem kan optreden met een foutmelding zoals:
"Gebruikers aanmaken niet mogelijk door SSO-mismatch"
of:
"sso_mismatch_user_creation"
Voor inloggen met SSO moet aan alle volgende voorwaarden zijn voldaan:
De identiteitsprovider van de gebruiker moet een e-mailadres retourneren dat overeenkomt met de beoogde ChatGPT-werkruimte-identiteit van de gebruiker.
Het e-maildomein moet zijn geverifieerd en beschikbaar zijn voor de werkruimte in je Global Admin Console.
De werkruimte moet een actieve SSO-verbinding hebben waarmee de gebruiker inlogt. Als het domein is geverifieerd maar aan een andere SSO-verbinding is gekoppeld, kan de gebruiker nog steeds een SSO-mismatchfout zien.
Stappen om dit op te lossen
Met de onderstaande stappen kunt u controleren of er een mismatch is tussen de uitnodiging, de SSO-e-mailclaim en het geverifieerde domein.
Bevestig het e-mailadres dat voor de uitnodiging voor de werkruimte is gebruikt: Zorg ervoor dat de gebruiker is uitgenodigd met het e-mailadres dat deze naar verwachting voor ChatGPT gebruikt.
Bevestig het e-mailadres dat door uw identiteitsprovider wordt geretourneerd: Controleer uw SAML/OIDC-configuratie en bevestig welk e-mailadresveld tijdens SSO naar ChatGPT wordt verzonden. Controleer voor SAML de e-mailgerelateerde kenmerken, omdat e-mail de sleutel is die ChatGPT gebruikt om de gebruiker die inlogt te koppelen aan de uitnodiging of het account op ChatGPT. Deze waarden moeten consequent hetzelfde e-mailadres van de gebruiker identificeren.
*Als de gebruiker bijvoorbeeld is uitgenodigd als user@company.com, maar uw identiteitsprovider user@subsidiary.com retourneert, behandelen we dit als een aanmelding voor user@subsidiary.com en wordt de fout weergegeven.
*U hebt hier 2 opties:
Bevestig dat het domein van de gebruiker is geverifieerd in de Global Admin Console en is gekoppeld aan de werkruimte waarvoor de gebruiker is uitgenodigd: Als uw identiteitsprovider een e-mailadres uit een ander domein retourneert, moet dat domein zijn geverifieerd in uw Global Admin Console en beschikbaar zijn voor de werkruimte waartoe de gebruiker toegang probeert te krijgen.
Als de gebruiker bijvoorbeeld is uitgenodigd als user@company.com, maar uw identiteitsprovider user@subsidiary.com retourneert, moet subsidiary.com ook zijn geverifieerd en correct zijn gekoppeld voordat de gebruiker met SSO kan inloggen met die identiteit.
Snelste tijdelijke oplossing: als SSO optioneel is voor uw werkruimte, laat de gebruiker de uitnodiging accepteren met gebruikersnaam en wachtwoord in plaats van SSO, zodat de blokkade snel wordt opgeheven. Dit geeft u wat tijd om de SSO-aanmelding op te lossen, terwijl de gebruiker het ChatGPT-account al kan gebruiken.