Solução de problemas

Mensagens comuns

Motivo	O que significa	O que fazer
realm_not_onboarded	o IAM ainda está sendo preparado para o seu tenant	aguarde a preparação pela equipe NNumbers
realm_users_authority_missing	a administração de usuários e papéis ainda não está habilitada no tenant	peça à equipe NNumbers para habilitar
realm_reader_missing	a lista de usuários do tenant ainda está sendo preparada	o IAM a prepara sozinho; se persistir, avise a equipe NNumbers
capability_not_ready	a função ainda não está disponível no seu tenant (por exemplo, service accounts, federação ou segurança)	nada foi alterado; a função fica disponível assim que a NNumbers a habilitar no tenant
smtp_not_configured	o envio de e-mails (convite, reset de senha) ainda não está configurado no tenant	nada foi enviado; peça a configuração à equipe NNumbers e tente de novo
smtp_drift	o envio de e-mails está sendo ajustado	passageiro: tente de novo em alguns minutos
secret_store_not_configured, identity_policy_not_enabled	funções que ainda não estão disponíveis no tenant	nada foi alterado
realm_idp_authority_missing, realm_idp_authority_drift	a federação ainda não está habilitada no tenant, ou está sendo ajustada	nada foi alterado; peça à equipe NNumbers
service_account_exists	já existe uma service account com esse nome	escolha outro nome
service_account_in_progress	a service account tem uma mudança em andamento	aguarde o fim e tente de novo
service_account_not_found	a service account não existe mais	recarregue a lista
roles_require_access_manage	dar papéis a uma service account exige também a permissão de gerenciar acesso	crie sem papéis e peça o acesso a quem tem essa permissão
delivery_key_invalid	o navegador não mandou uma chave válida para a entrega do segredo	use um navegador atualizado e repita
delivery_not_available	a entrega do segredo venceu (1 hora), é de outra pessoa ou já não existe	use Girar segredo para gerar outro
provider_in_progress	o provedor de identidade tem uma mudança em andamento	aguarde o fim e tente de novo
provider_not_found	o provedor de identidade não existe mais	recarregue a lista; se foi removido por fora, cadastre de novo
client_secret_required	o segredo do aplicativo é obrigatório ao cadastrar o provedor	informe o segredo
client_secret_jwe_invalid, intake_key_not_published	o segredo não pôde ser protegido para o envio agora	recarregue a página e repita; se persistir, avise a equipe NNumbers
intake_key_unknown	a chave que protege o segredo foi trocada enquanto você preenchia	informe o segredo de novo e salve
idp_unreachable, discovery_unreachable	o provedor de identidade não foi alcançado	confira o endereço de descoberta, o diretório (Entra ID) e se o provedor está no ar
issuer_mismatch	o provedor respondeu com um emissor diferente do esperado	confira o endereço de descoberta
jwks_unreachable	as chaves de assinatura do provedor não puderam ser carregadas	tente de novo em instantes
idp_disabled	um provedor OpenID Connect só pode ser testado ativo	ative o provedor e teste de novo
password_login_guard	desligar o login por senha exige pelo menos um provedor de identidade ativo com o último teste de conexão bem-sucedido	ative e teste um provedor antes; o último provedor nessas condições não pode sair com o login por senha desligado
policy_not_observed	a política de segurança do tenant ainda não foi lida	tente de novo em instantes
policy_in_progress	a política tem uma mudança em andamento	aguarde o fim e tente de novo
user_already_exists	já existe um usuário com esse e-mail no tenant	use o usuário existente; o IAM nunca assume uma conta que já existe
invite_not_applicable	a pessoa já ativou a conta	use Resetar senha
reset_not_applicable	a pessoa ainda não definiu a senha, ou está desabilitada	use Reenviar convite, ou habilite antes
invite_address_reserved	o e-mail é de um domínio reservado e não recebe mensagens	corrija o e-mail da pessoa
invite_address_missing	o usuário não tem e-mail	o convite e o reset precisam de e-mail
smtp_send_failed	o e-mail não pôde ser enviado agora	tente de novo em instantes
user_operation_in_progress	o usuário já tem uma operação do mesmo tipo em andamento	aguarde o fim e tente de novo
provisioning_unavailable	a identidade do tenant está indisponível agora	nada foi alterado; tente de novo em instantes
dependency_unavailable, directory_unavailable	um serviço necessário ficou indisponível (inclusive além do tempo de retentativa)	nada foi aplicado; tente de novo em instantes. Numa concessão, o IAM reaplica sozinho na próxima atualização
role_removed_outside	a concessão está registrada, mas o papel foi tirado fora do IAM (divergência)	a atualização periódica corrige se o papel voltar; para corrigir pelo IAM, revogue e conceda de novo
role_still_assigned	a revogação não valeu: o papel continua atribuído fora do IAM	revogue de novo; se persistir, informe a referência ao suporte
operation_pending	a operação continua em andamento	acompanhe pelas atividades
operation_failed	a operação terminou sem efeito	corrija a causa e repita; se persistir, informe a referência ao suporte
catalog_unavailable	a lista de produtos está indisponível	tente de novo em instantes
grant_exists	o papel já foi concedido ou está sendo concedido	confira a tela do usuário
grant_in_progress	a concessão tem uma operação em andamento	aguarde o fim antes de revogar
role_not_in_catalog	o papel não está nos produtos ativos	recarregue: o produto pode ter sido desativado
role_not_allowed	o papel não é concedido nem revogado neste tenant	escolha outro papel
escalation	a regra anti-escalada recusou (inclusive mudar a própria conta)	peça a quem tem o poder necessário
owner_already_assigned	o tenant já tem owner, e é outra pessoa	o owner atual concede o owner a quem precisar
last_owner	é o último owner habilitado do tenant	conceda o owner a outra pessoa antes
identity_object_not_owned	o usuário ou grupo é técnico ou foi criado fora do IAM	é só leitura aqui
reauth_required	seu acesso mudou e a sessão precisa ser renovada	a Console renova sozinha; na CLI, faça login de novo

Quando a Console mostra um erro sem motivo conhecido, ele vem com uma referência. Informe essa referência ao suporte: ela localiza a requisição sem expor dado sensível. Numa concessão ou num grupo cuja última operação falhou por um motivo sem frase própria, a referência é a da operação.

A concessão ficou pendente

Uma concessão fica Pendente ou Aplicando enquanto não é confirmada. O IAM retenta sozinho, com a mesma operação, e nunca mostra o acesso como ativo antes da confirmação. Acompanhe nas atividades. Se terminar em Falhou, o motivo aparece na concessão:

• dependency_unavailable (uma dependência ficou fora além do tempo de retentativa): é transitório. O IAM reaplica a concessão sozinho, com uma operação nova, na próxima atualização do tenant (até 15 minutos), e ela termina Ativa quando a dependência volta. Nada fica ativo antes da confirmação;
• qualquer outro motivo: corrija a causa e conceda de novo.

O segredo da service account não apareceu

O segredo aparece uma vez, no navegador que pediu, logo depois de criar ou de girar. Se a janela foi fechada antes, a página recarregou, ou passou mais de uma hora, ele não pode mais ser mostrado (delivery_not_available): use Girar segredo para gerar um novo. O segredo anterior deixa de valer.

Onde está a URL de retorno do provedor

A URL de retorno aparece em Adicionar provedor assim que você digita o identificador, e no detalhe do provedor (clique no nome dele). Se a tela disser que ela ainda não aparece no seu tenant, peça-a ao suporte da NNumbers informando o identificador. Sem ela cadastrada no aplicativo do provedor, o login pelo provedor não volta para a NNumbers.

Não consigo desligar o login por senha

Desligar o login por senha exige pelo menos um provedor de identidade ativo e com o último teste de conexão bem-sucedido (password_login_guard), para ninguém do tenant ficar sem conseguir entrar. Em Federação, ative o provedor e use Testar conexão (de novo, se você trocou a conexão ou o segredo dele); depois volte a Segurança. Religar o login por senha é sempre permitido. Se ninguém mais consegue entrar, peça à equipe NNumbers para religar o login por senha do tenant.

O teste de conexão do provedor falhou

O teste busca a configuração pública do provedor (o endereço de descoberta OpenID Connect) e, no OpenID Connect, as chaves de assinatura. Confira o endereço (https://), o diretório do Entra ID e se o provedor está no ar, e teste de novo. Um provedor OpenID Connect só pode ser testado ativo (idp_disabled). O motivo do último teste aparece no provedor; só o último teste, se bem-sucedido, conta para desligar o login por senha.

A pessoa ainda acessa depois da revogação

A revogação vale em segundos depois da confirmação: requisições com a sessão antiga recebem reauth_required. Confira:

1. a concessão está Revogada (e não Revogando);
2. a pessoa não tem o mesmo papel por outro caminho: um grupo ou o owner do tenant (Permissões efetivas mostra todas as origens).

Usuário não aparece na lista

Quem você cria pela Console aparece na hora. Contas criadas fora da Console, direto no diretório, entram em cerca de 1 a 2 minutos quando o diretório registra os eventos de administração e, sem eles, na reconciliação diária; a data da última atualização fica no topo da lista. Se a lista avisar por muito tempo que ainda está sendo preparada, avise a equipe NNumbers.

O convite não chegou

No detalhe do usuário, a aba Segurança mostra o último convite: enviado (com a validade), em andamento ou o motivo da falha. O link vale por 72 horas; depois, use Reenviar convite. Confira também a caixa de spam e o e-mail cadastrado. Quem já ativou a conta usa Resetar senha.

Concessão divergente

Divergente quer dizer que o que vale de fato difere do que o IAM registrou: alguém mudou o papel fora do IAM, por exemplo. A atualização periódica volta a concessão para Ativa se o estado voltar ao registrado. Para corrigir pelo IAM, revogue e conceda de novo.