Коды ошибок единого входа (mpbx-oidc, mpbx-auth::sso)
Возвращаются маршрутами входа OIDC под /api/v1/auth/oidc и настройками поставщиков под
/api/v1/sso/providers (W7-INT-02a). Сообщения никогда не содержат токен, код авторизации, секрет клиента
или адрес электронной почты. Руководство: Единый вход.
| Код | HTTP | Значение | Что делать |
|---|---|---|---|
MPBX-SSO-PROVIDER-UNKNOWN | 404 | Поставщик не входит в число включённых поставщиков входа компании, которой принадлежит этот веб-адрес. | Используйте поставщика из GET /auth/oidc/providers того же адреса. |
MPBX-SSO-REDIRECT-NOT-ALLOWED | 400 | redirect_uri нет в списке разрешённых поставщика. Сравнение точное (схема, хост, порт, путь, строка запроса); подстановочных знаков и префиксов нет. | Добавьте точный адрес в redirect_uris поставщика или отправьте один из указанных адресов. |
MPBX-SSO-STATE-INVALID | 401 | Попытка входа неизвестна, истекла (10 минут), уже использована, принадлежит другой компании или начата в другом браузере (cookie привязки к браузеру отсутствует или не совпадает). Обмена с поставщиком не было. | Начните вход заново со страницы входа. |
MPBX-SSO-PROVIDER-UNAVAILABLE | 503 | Документ обнаружения поставщика, набор ключей или конечная точка токенов недоступны, отклонены защитой исходящих запросов (разрешены только публичные адреса https), назвали другого издателя или ответили непригодными данными. | Повторите позже; администратор проверит издателя. |
MPBX-SSO-EXCHANGE-FAILED | 401 | Поставщик отклонил код авторизации (истёк, уже использован, неверные учётные данные клиента, верификатор PKCE или адрес перенаправления). | Начните вход заново; администратор проверит идентификатор и секрет клиента. |
MPBX-SSO-TOKEN-INVALID | 401 | ID-токен не прошёл проверку: подпись не асимметричная или сделана ключом, которого нет в наборе ключей поставщика; неверны издатель, аудитория или авторизованная сторона; токен истёк или ещё не действует; не совпадает nonce. | Начните вход заново; если ошибка повторяется, проверьте часы сервера и ключи поставщика. |
MPBX-SSO-EMAIL-UNVERIFIED | 403 | Поставщик не подтвердил проверенный адрес электронной почты (email_verified; для Microsoft Entra ID необязательное утверждение xms_edov). | Подтвердите адрес у поставщика; для Entra ID добавьте необязательные утверждения email и xms_edov в регистрацию приложения. |
MPBX-SSO-DOMAIN-NOT-ALLOWED | 403 | Проверенный адрес электронной почты относится к домену, который компания не разрешила для этого поставщика. | Войдите с учётной записью разрешённого домена или администратор добавит домен. |
MPBX-SSO-NO-ACCOUNT | 403 | В этой компании нет активной учётной записи с таким адресом электронной почты (единый вход только связывает существующие учётные записи и никогда не создаёт новые), связанная учётная запись отключена, либо она имеет системную роль (такие учётные записи входят по локальному паролю и аутентификатору; это путь аварийного доступа). | Администратор создаст или включит учётную запись; системные учётные записи используют форму с адресом и паролем. |
MPBX-SSO-DISCOVERY-FAILED | 400 | При сохранении поставщика документ обнаружения издателя не удалось прочитать через защиту исходящих запросов или он называет не именно этого издателя. | Проверьте URL издателя (для Microsoft идентификатор каталога, GUID) и то, что это публичный адрес https. |
MPBX-SSO-TOO-MANY | 409 | В компании уже 10 поставщиков входа. | Сначала удалите один из них. |
MPBX-SSO-NOT-FOUND | 404 | В этой компании нет поставщика входа с таким идентификатором (поставщик другой компании не виден). | Проверьте идентификатор. |