![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(54.400000000000006, 38%, 15%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EL%3C/text%3E%3C/svg%3E)
![](data:image/svg+xml, %3Csvg xmlns='http://www.w3.org/2000/svg' height='64' class='font-weight-bold' style='font: 600 30.11764705882353px "SegoeUI", Arial' width='64'%3E%3Ccircle fill='hsl(12.8, 62%, 11%)' cx='32' cy='32' r='32' /%3E%3Ctext x='50%25' y='55%25' dominant-baseline='middle' text-anchor='middle' fill='%23FFF' %3EH%3C/text%3E%3C/svg%3E)
员工返工后突然 SAML SSO 入唔到 HR Portal，通常都係因为 Okta 入面嘅 identity profile claims 冇即时 refresh，令到佢返工后嘅状态同 HR 系统对唔上。 一般我会建议你先喺 Okta 度帮佢做一次 profile re-aggregation，等 Okta 重新拉返 AD / HRIS 嘅属性资料。 之后再做多一步 force sync，确保佢嘅 SAML claims（例如 department、employmentStatus、manager 等）已经更新。
如果你哋有用 Okta Workflows，亦可以考虑加 个 automated refresh flow，员工返工时自动重新整理 profile，咁就唔会再出现返工后 SSO 唔认到身份嘅情况。 最后记得喺 Okta System Log 睇下有冇 SAML assertion mismatch 嘅 event，通常都可以直接对应到边个 claim 冇更新。
如果以上方法帮到你，麻烦你按一按 accept answer，等我知道问题已经解决啦。