Cause. La connexion a été refusée. Kyvernon donne la même réponse pour tous les motifs : le nom d'utilisateur n'existe pas, le mot de passe est incorrect, le compte est verrouillé ou désactivé, ou la stratégie de connexion du contrôleur l'a refusée. La réponse n'indique pas le motif, afin qu'elle ne serve pas à découvrir quels comptes existent.
Solution.
Vérifiez le nom d'utilisateur et le mot de passe, puis connectez-vous à nouveau.
Après plusieurs échecs, le compte est verrouillé pendant un certain temps. Un administrateur lit l'état avec kyvernon users get <username> (les champs locked et lockedUntil) et lève le verrou avec kyvernon users unlock <username>.
Si le compte est désactivé, un administrateur l'active avec kyvernon users enable <username>.
Si le problème persiste, donnez à un administrateur l'heure de la tentative. Le journal d'audit contient le vrai motif.
error.auth.rate_limited
Texte dans la console
Trop de tentatives de connexion. Réessayez dans {retryAfterSeconds} secondes.
les secondes à attendre avant la prochaine tentative.
Cause. Trop de tentatives échouées provenaient de la même adresse, ou concernaient le même nom d'utilisateur depuis la même adresse, en 15 minutes. Kyvernon ralentit ces tentatives par un délai qui augmente à chaque échec, jusqu'à 15 minutes. Les adresses IPv6 comptent par préfixe /64. La réponse contient l'en-tête Retry-After.
Solution.
Attendez le nombre de secondes indiqué dans le message, puis connectez-vous à nouveau.
Ne répétez pas la tentative avant : une tentative pendant le délai est refusée.
Si plusieurs utilisateurs partagent une adresse derrière un proxy, un administrateur vérifie que le proxy figure dans trusted_proxies dans la section [http] de la configuration du contrôleur, afin que Kyvernon voie l'adresse réelle du client.
error.auth.invalid_code
Texte dans la console
Le code n’a pas été accepté. Il a peut-être expiré ou déjà été utilisé. Attendez le code suivant, puis réessayez.
Cause. Le code à six chiffres ou le code de récupération n'a pas été accepté. Le code a expiré, a déjà été saisi, ou provient d'une application d'authentification dont l'horloge est décalée. Un code de récupération ne fonctionne qu'une fois. Les codes erronés sont ralentis comme les mots de passe erronés.
Solution.
Attendez le code suivant dans l'application d'authentification et saisissez-le.
Vérifiez que l'horloge de l'appareil qui exécute l'application est correcte.
Si l'appareil est perdu, utilisez l'un des codes de récupération affichés lors de la configuration de la validation en deux étapes.
S'il ne reste aucun code de récupération, un administrateur supprime l'inscription avec kyvernon users reset-mfa <username>. L'utilisateur configure ensuite à nouveau la validation en deux étapes.
error.auth.mfa_expired
Texte dans la console
La connexion a pris trop de temps et a été annulée. Connectez-vous de nouveau.
Cause. La première étape de la connexion (le mot de passe) a réussi, mais la seconde étape n'est pas arrivée à temps, ou la connexion en attente est inconnue ou déjà utilisée.
Solution.
Connectez-vous à nouveau avec le nom d'utilisateur et le mot de passe.
Saisissez sans attendre le code de vérification.
Avec la CLI, donnez le code dans la même commande : kyvernon login <username> --code <code>.
error.auth.mfa_proof
Texte dans la console
La validation n’appartient pas à cette connexion. Connectez-vous de nouveau.
Cause. La requête de fin de validation en deux étapes ne contenait pas exactement l'un des champs code et recoveryCode. La console n'envoie jamais une telle requête ; l'erreur apparaît donc avec des clients d'API et des scripts.
Solution.
Envoyez soit code (le code à six chiffres), soit recoveryCode dans la requête, et non les deux ni aucun des deux.
Connectez-vous à nouveau pour obtenir une nouvelle connexion en attente, puis répétez la requête.
error.auth.access_expired
Texte dans la console
Votre accès a expiré. La session est en cours de renouvellement ; réessayez.
Cause. L'accès de courte durée de la session du navigateur a pris fin. La console le renouvelle avec le cookie d'actualisation et répète la requête ; ce message est donc rarement visible.
Solution.
Répétez l'action. La console a renouvelé la session entre-temps.
Si le message revient à chaque fois, les cookies du site sont peut-être bloqués ou supprimés. Autorisez les cookies pour l'adresse de la console et connectez-vous à nouveau.
error.auth.session_expired
Texte dans la console
Votre session est terminée. Connectez-vous de nouveau.
Signification pour les clients de l'API
The refresh token or session expired; log in again.
Cause. La session a pris fin : elle a atteint sa durée de vie, est restée inactive plus longtemps que le délai d'inactivité, a été révoquée par un administrateur, ou le cookie d'actualisation est absent ou n'est plus valide.
Solution.
Connectez-vous à nouveau. La console conserve le travail non enregistré de la page et propose de continuer après la connexion.
Si les sessions se terminent plus tôt que prévu, un administrateur lit le délai d'inactivité (session_idle) dans la section [identity.policy] de la configuration du contrôleur et la liste des sessions actives avec kyvernon sessions list.
error.auth.refresh_reuse
Texte dans la console
Votre session a été fermée, car un jeton de connexion a été présenté deux fois. Connectez-vous de nouveau ; si cela se reproduit, prévenez un administrateur.
Signification pour les clients de l'API
A refresh token was presented twice; the session family is revoked.
Cause. Le jeton d'actualisation de la session a été présenté une seconde fois. Cela peut signifier qu'une copie du jeton a été volée et utilisée. Par précaution, Kyvernon met fin à toute la famille de sessions et enregistre l'événement.
Solution.
Connectez-vous à nouveau.
Si cela se répète, changez le mot de passe du compte et prévenez un administrateur. Donnez l'heure du premier message. L'administrateur lit les enregistrements d'audit avec kyvernon audit list et peut mettre fin à toutes les sessions de l'utilisateur avec kyvernon users revoke-sessions <username>.
error.auth.refresh_race
Texte dans la console
Un autre onglet a renouvelé la session au même moment. Réessayez.
Cause. Deux onglets du navigateur ont renouvelé la même session au même moment. Le second renouvellement a été refusé, car le premier a déjà défini le nouveau cookie.
Solution.
Répétez l'action. La nouvelle tentative utilise le nouveau cookie et réussit.
Si le message revient sans cesse, fermez les autres onglets de la console qui restent inactifs en arrière-plan.
error.auth.csrf
Texte dans la console
La requête a été refusée, car son jeton de sécurité ne correspondait pas. Rechargez la page, puis réessayez.
Signification pour les clients de l'API
The X-Kyvernon-CSRF header does not match the cookie.
Cause. L'en-tête X-Kyvernon-CSRF d'une requête qui modifie des données est absent ou diffère du cookie kyvernon_csrf. Cela protège un navigateur connecté contre les requêtes provenant d'autres sites.
Solution.
Rechargez la page, puis répétez l'action.
Si le message persiste, connectez-vous à nouveau. Le cookie a peut-être été supprimé.
Les développeurs qui appellent l'API depuis leur propre page web envoient la valeur du cookie kyvernon_csrf dans l'en-tête X-Kyvernon-CSRF.
error.auth.origin
Texte dans la console
La requête provient d’une adresse que ce serveur n’accepte pas. Ouvrez l’interface à son adresse publiée.
Cause. L'en-tête Origin de la requête, ou la marque Sec-Fetch-Site du navigateur, montre que la requête provient d'une page web à une adresse que le contrôleur n'accepte pas. Kyvernon accepte l'adresse du contrôleur lui-même (https://<host>) et les adresses listées dans allowed_origins dans la section [http] de la configuration du contrôleur.
Solution.
Ouvrez la console à l'adresse publiée par l'administrateur, pas par un alias, une adresse IP ou un ancien favori.
Si la console est servie volontairement à une autre adresse, un administrateur ajoute cette adresse à allowed_origins et redémarre le contrôleur. Transmettez-lui l'identifiant de message error.auth.origin et l'adresse que vous avez ouverte.