Что это значит

При входе через внешний провайдер RX получает от него набор утверждений о пользователе (claims) и по одному из них ищет свою учётную запись. Если найти не удалось, вход отклоняется с этой ошибкой. Провайдер при этом считает вход успешным, поэтому со стороны Keycloak всё выглядит нормально.

Частые причины: в RX нет учётной записи для этого пользователя; учётная запись есть, но логин записан иначе, чем приходит от провайдера (с доменом и без, другой регистр, почта вместо логина); провайдер передаёт не то утверждение, по которому настроен поиск.

Как проверить

  1. Какое значение приходит от провайдера: посмотреть содержимое токена пользователя или настройки сопоставления атрибутов у клиента RX в провайдере.
  2. Учётная запись в RX: есть ли она и как записан логин.
  3. Не связано ли с конкретной группой пользователей, например заведённых недавно или из другого домена.

Что сделать

  1. Создать недостающую учётную запись или поправить её логин.
  2. Настроить провайдер так, чтобы он передавал значение в том виде, в каком логины хранятся в RX.
  3. Для синхронизации учётных записей из каталога проверить, что новые сотрудники попадают в RX до первого входа.