SSO troubleshooting

मेरा SSO लॉगिन काम नहीं कर रहा

SSO सेटअप अभी hands-on है — NameDrop की टीम डीबग करने में मदद कर सकती है। एक छोटा Zoom call अक्सर सबसे तेज़ रास्ता होता है क्योंकि हम SAML assertion को साथ देख सकते हैं और mismatch को लाइव पहचान सकते हैं।

शुरू करने के लिए:

1. SSO विफल होने पर आप जो देखते हैं उसे नोट कर लें — सटीक error संदेश, हो सके तो screenshot।
2. hello@namedrop.io पर email करें, जिसमें शामिल हो:
   • आपके संगठन का नाम
   • आपका IdP (Okta, Azure AD, Google Workspace, आदि)
   • आपको दिखने वाला error
3. हम assertion को step-by-step देखने के लिए आपके IdP admin के साथ एक छोटा call शेड्यूल करेंगे।

सामान्य कारण

• Attribute mapping mismatch — NameDrop को email, firstName, lastName (कम-से-कम) अपेक्षित हैं। हम जिन standard SAML attribute names से map करते हैं उनके लिए SAML setup देखें।
• Signing certificate mismatch — Cognito में फ़ाइल पर मौजूद IdP signing certificate उससे मेल नहीं खाता जिससे आपका IdP अभी sign कर रहा है (यह IdP certificate rotation के बाद होता है)।
• Entity ID typo — Cognito में NameDrop के पास जो Entity ID है, वह आपके IdP द्वारा भेजे जा रहे Entity ID से ठीक-ठीक मेल नहीं खाता।

जब हम साथ-साथ assertion देख रहे होते हैं, तो इनमें से अधिकांश 5-मिनट में ठीक हो जाते हैं।

Error संदेश पढ़ना

जब sign-in विफल हो जाता है, तो आपको आमतौर पर https://user.namedrop.io/login पर वापस redirect कर दिया जाता है, और address bar में एक error_description parameter दिखता है। यह टेक्स्ट समस्या का पता लगाने का सबसे तेज़ तरीका है — पूरा URL कॉपी करके हमें भेज दें।

हर संदेश का एक खास मतलब होता है, और ये sign-in प्रक्रिया में क्रमिक रूप से “गहरे” जाते हैं, इसलिए ये यह अंदाज़ा देने में मददगार हैं कि आप कितने पास पहुँच चुके हैं:

error_description में क्या है	इसका क्या मतलब है	समाधान
Invalid relayState from identity provider	अनुरोध front door से आगे ही नहीं बढ़ पाया। या तो आपके connection के लिए IdP-initiated sign-in अभी सक्षम नहीं है, या फिर RelayState वैल्यू मौजूद नहीं है, malformed है, या parameter string की जगह एक URL है।	हमसे पुष्टि करें कि यह सक्षम है, फिर सेटअप गाइड (अंग्रेज़ी में) के अनुसार RelayState दोबारा जाँचें। URL-encoded रूप आज़माएँ।
Response from SAML IdP contains an invalid signature	आपका assertion पहुँच गया और पढ़ा भी गया, लेकिन उसे verify नहीं किया जा सका। लगभग हमेशा आपके RelayState में मौजूद identity_provider= वैल्यू, assertion पर sign करने वाले connection से अलग connection बताती है — या आपके IdP ने अपना signing certificate rotate किया है।	जाँचें कि identity_provider= हमारे दिए गए provider ID से मेल खाता है। अगर मेल खाता है, तो अपना मौजूदा IdP metadata हमें भेजें ताकि हम certificate को refresh कर सकें।
Responses must contain exactly one Assertion	POST हम तक पहुँच गया लेकिन SAML दस्तावेज़ खाली था या malformed था।	आमतौर पर यह IdP-side टेम्पलेट या binding की समस्या होती है। जाँचें कि आप HTTP-POST भेज रहे हैं, HTTP-Artifact नहीं।
कोई error नहीं — आप /login?code=... पर पहुँचते हैं	सफल।	—

अगर कुछ भी नहीं होता

अगर आपके उपयोगकर्ता आपके IdP द्वारा authenticate हो जाते हैं लेकिन कभी NameDrop पर वापस नहीं आते — न कोई error, न कोई redirect — तो संभावना है कि assertion हम तक पहुँच ही नहीं रहा। सबसे आम कारण यह है कि response binding HTTP-Artifact पर सेट है; NameDrop केवल HTTP-POST का समर्थन करता है। जाँचें कि ACS URL बिल्कुल यही है: https://namedrop.auth.eu-west-1.amazoncognito.com/saml2/idpresponse।

संबंधित

• SSO overview — क्या-क्या समर्थित है
• SAML setup — पहली बार configuration walkthrough