تخطي إلى المحتوى
مركز مساعدة Clevera

إعداد الدخول الموحد (SSO) باستخدام OpenID Connect

اربط Clevera بمزود الهوية الخاص بك باستخدام OpenID Connect: عنوان URI لإعادة التوجيه، والنطاقات، ومصادقة العميل التي يحتاجها مزود الهوية (IdP)، والمطالبات التي تقرأها Clevera، وكل حقل إعداد، واختبار وتفعيل الدخول الموحد (SSO).

تم التحديث وقت القراءة 7 دقائق

اربط Clevera بمزود الهوية (IdP) الخاص بك باستخدام OpenID Connect (OIDC) حتى يتمكن فريقك من تسجيل الدخول باستخدام حساب الشركة الخاص بهم. تغطي هذه المقالة التطبيق الذي يجب إنشاؤه في مزود الهوية الخاص بك، وكل حقل في مربع حوار إعداد Clevera، والمطالبات التي تقرأها Clevera، وكيفية اختبار ذلك وتفعيله.

لمعرفة التغييرات التي يفرضها الدخول الموحد (SSO) على أعضائك، اقرأ فهم الدخول الموحد أولاً. توجد الشاشات الخاصة بكل مزود في الأدلة الخاصة بـ Okta وMicrosoft Entra ID وGoogle Workspace.

قبل البدء

  • أنت المالك لمساحة عمل على خطة مخصصة.
  • يمكنك إنشاء تطبيق OIDC (ويب) في مزود الهوية الخاص بك، أو أنك تعمل مع شخص يمكنه القيام بذلك.
  • أنت تعرف كل نطاق بريد إلكتروني يستخدمه فريقك.

إنشاء التطبيق في مزود الهوية الخاص بك

قم بإنشاء تطبيق ويب (عميل سري مع سر عميل) وقم بإعداده على النحو التالي:

إعداد مزود الهوية القيمة
عنوان URI لإعادة التوجيه (عنوان URI لإعادة توجيه تسجيل الدخول، عنوان URL للرد) https://app.clevera.ai/sso/oidc/callback
نوع المنح رمز التفويض
مصادقة العميل سر العميل. ترسل Clevera السر في نص طلب الرمز (client_secret_post).
النطاقات openid، email، profile
عنوان URI لإعادة توجيه تسجيل الخروج، عنوان URI لبدء تسجيل الدخول اتركه فارغاً. يجب أن يبدأ تسجيل الدخول من صفحة تسجيل دخول Clevera.

لا يتعين عليك كتابة عنوان URI لإعادة التوجيه. في مربع حوار إعداد Clevera، اختر OpenID Connect في الخطوة الأولى: يظهر المربع الرمادي "للشخص الذي يقوم بإعداد مزود الهوية الخاص بك" عنوان URI لإعادة التوجيه (عنوان URL للرد) مع زر نسخ.

الخطوة 1 من مربع حوار إعداد SSO مع اختيار Okta و OpenID Connect، مما يظهر عنوان URI لإعادة التوجيه (عنوان URL للرد) مع زر نسخ
انسخ عنوان URI لإعادة التوجيه إلى مزود الهوية الخاص بك.

عند إنشاء التطبيق، انسخ معرف العميل وسر العميل وعنوان URL للاكتشاف (يسمى أيضاً عنوان URL لتكوين OpenID أو عنوان URL المعروف، والذي ينتهي بـ /.well-known/openid-configuration).

المطالبات التي تقرأها Clevera

تقرأ Clevera رمز الهوية، وعندما يحتوي مزود الهوية على نقطة نهاية لمعلومات المستخدم (UserInfo)، فإنها تقرأ استجابة معلومات المستخدم بالإضافة إليه.

الغرض المطالبات، بالترتيب ملاحظات
البريد الإلكتروني email، ثم preferred_username، ثم upn يتم استخدام أول عنوان بريد إلكتروني صالح. بدون عنوان، يفشل تسجيل الدخول.
الاسم name، ثم given_name + family_name، ثم preferred_username يُستخدم فقط عند إنشاء Clevera لحساب جديد. يعود إلى الجزء الخاص بالبريد الإلكتروني قبل @.

لا تقرأ Clevera أي مطالبات للمجموعات أو الأدوار: يحصل كل شخص يتم إنشاؤه بواسطة SSO على الدور الافتراضي الذي تختاره في Clevera.

ربط مزود الهوية الخاص بك في Clevera

  1. افتح علامة تبويب الأمان

    افتح قائمة مساحة العمل في أعلى الشريط الجانبي، واختر إعدادات الفريق، ثم الأمان. تحت الدخول الموحد، انقر على إعداد SSO.

  2. المزود

    اختر مزود الهوية الخاص بك واضبط البروتوكول على OpenID Connect. انسخ عنوان URI لإعادة التوجيه (عنوان URL للرد) إلى مزود الهوية الخاص بك إذا لم تقم بذلك بعد، ثم انقر على متابعة. (يدعم JumpCloud بروتوكول SAML فقط في Clevera.)

    اسم المزود هو ما يراه الأعضاء على زر تسجيل الدخول، على سبيل المثال متابعة باستخدام Okta. مع مزود SAML/OIDC مخصص، يظهر الزر باسم متابعة باستخدام SSO.

  3. مزود الهوية

    املأ الحقول أدناه. انقر على متابعة.

  4. النطاقات والأدوار

    أضف كل نطاق بريد إلكتروني تحت نطاقات البريد الإلكتروني المسموح بها، واختر ما إذا كنت تريد إنشاء حسابات عند تسجيل الدخول لأول مرة، واختر الدور الافتراضي لأعضاء SSO الجدد. تعمل هذه بنفس طريقة عمل SAML: راجع النطاقات والأدوار.

  5. مراجعة

    تحقق من الملخص وانقر على حفظ التكوين. سترى "تم حفظ تكوين SSO. قم بإجراء اختبار، ثم قم بتفعيله." الحفظ لا يؤدي إلى تفعيل SSO.

حقول مزود الهوية

الخطوة 2 من مربع حوار إعداد SSO لـ OpenID Connect مع معرف العميل والسر وعنوان URL للاكتشاف
مع عنوان URL للاكتشاف، تظل حقول نقطة النهاية مخفية.
الحقل مطلوب ما يجب إدخاله
معرف العميل نعم معرف العميل لتطبيق OIDC الخاص بك.
سر العميل نعم سر العميل لتطبيق OIDC الخاص بك. يتم تخزينه مشفراً ولا يظهر مرة أخرى؛ عند التعديل لاحقاً، "تم تخزين سر. اتركه فارغاً للاحتفاظ به."
عنوان URL للاكتشاف موصى به "موصى به. تُقرأ نقاط النهاية منه." على سبيل المثال https://idp.example.com/.well-known/openid-configuration.
عنوان URL للتفويض فقط بدون عنوان URL للاكتشاف نقطة نهاية التفويض الخاصة بمزود الهوية الخاص بك.
عنوان URL للرمز فقط بدون عنوان URL للاكتشاف نقطة نهاية الرمز الخاصة بمزود الهوية الخاص بك.
عنوان URL لمعلومات المستخدم لا نقطة نهاية معلومات المستخدم الخاصة بمزود الهوية الخاص بك. تظهر فقط بدون عنوان URL للاكتشاف.

تظهر حقول نقاط النهاية الثلاثة فقط بينما يكون عنوان URL للاكتشاف فارغاً.

لماذا يعتبر عنوان URL للاكتشاف أفضل

مع عنوان URL للاكتشاف، تقرأ Clevera نقاط النهاية بنفسها وتتحقق من كل عملية تسجيل دخول مقابل مفاتيح التوقيع والمُصدر المنشورين لمزود الهوية الخاص بك. أدخل نقاط النهاية يدوياً فقط إذا لم يكن لدى مزود الهوية الخاص بك مستند اكتشاف.

  • يجب أن يكون عنوان URL للاكتشاف هو مُصدر مزود الهوية مضافاً إليه /.well-known/openid-configuration، ويجب أن يتطابق issuer الموجود بداخله مع الرموز التي يصدرها مزود الهوية الخاص بك. عناوين URL متعددة المستأجرين التي يحتوي مُصدرها على عنصر نائب (مثل نقطة نهاية common الخاصة بـ Microsoft) لا تعمل؛ استخدم عنوان URL الخاص بالمستأجر الخاص بك.
  • يجب أن يكون كل عنوان URL عنوان https:// (أو http://) عاماً يمكن لخوادم Clevera الوصول إليه. يتم رفض العناوين الموجودة على شبكة خاصة، مثل مزود الهوية الذي لا يمكن الوصول إليه إلا عبر شبكة VPN الخاصة بك. أي منفذ مقبول.
  • تحتفظ Clevera بمستند الاكتشاف ومفاتيح التوقيع لمدة تصل إلى ساعة. إذا قام مزود الهوية الخاص بك بتدوير مفاتيح التوقيع الخاصة به في ذلك الوقت، فإن Clevera تجلب المفاتيح الجديدة مرة واحدة قبل رفض تسجيل الدخول، لذا فإن تدوير المفاتيح لا يمنع المستخدمين من الدخول.

اختبار الاتصال

  1. إجراء الفحص

    في علامة التبويب الأمان، انقر على إجراء اختبار. يتحقق هذا من حفظ معرف العميل والسر، ومع وجود عنوان URL للاكتشاف، من تحميل المستند واحتوائه على نقطة نهاية للتفويض. سترى "تكوين SSO صالح وجاهز للاستخدام." أو قائمة بالمشكلات. راجع إصلاح مشكلات تسجيل دخول SSO.

    اختبار SSO فاشل يوضح أنه تعذر تحميل مستند اكتشاف OIDC
    تخبرك كل مشكلة بما يجب إصلاحه.

  2. تفعيل SSO

    قم بتفعيل تمكين SSO. سترى "تم تفعيل SSO." ويظهر الشارة باسم نشط.

  3. تسجيل الدخول كعضو اختبار

    في نافذة متصفح خاصة، انتقل إلى صفحة تسجيل دخول Clevera، واكتب بريداً إلكترونياً لعضو، وانقر على متابعة باستخدام المزود الخاص بك وقم بتسجيل الدخول. يجب أن تصل إلى صفحتهم الرئيسية في Clevera داخل مساحة العمل الخاصة بك. بصفتك المالك، يمكنك دائماً تسجيل الدخول بكلمة المرور الخاصة بك، لذا لا يمكن لهذا أن يمنعك من الدخول.

إجراء اختبار لا يتحقق من سر العميل أو تسجيل دخول حقيقي؛ الخطوة 3 فقط هي التي تفعل ذلك.

طلب SSO، التغيير أو الإزالة

تعمل هذه بنفس طريقة عمل SAML:

  • قم بتفعيل طلب SSO عندما يتمكن الجميع من تسجيل الدخول. لا يمكن للأعضاء في نطاقاتك بعد ذلك استخدام كلمة مرور أو Google.
  • تعديل يغير الاتصال. اترك سر العميل فارغاً للاحتفاظ بالسر المخزن. عند تدوير السر في مزود الهوية الخاص بك، الصق السر الجديد واحفظه.
  • إزالة تكوين SSO (في القائمة بجوار شارة الحالة) يحذفه. يستخدم الأعضاء الذين تم إنشاؤهم بواسطة SSO خيار هل نسيت كلمة المرور؟ لتعيين كلمة مرور.

راجع إعداد SSO باستخدام SAML للحصول على التفاصيل. لا يحتوي OIDC على تسجيل خروج موحد: تسجيل الخروج من مزود الهوية الخاص بك لا يسجل خروج الأشخاص من Clevera.

فهم الدخول الموحدما الذي يغيره SSO لأعضائك.إعداد SSO باستخدام SAMLبديل SAML 2.0.إعداد SSO باستخدام Microsoft Entra IDشاشات Entra خطوة بخطوة.إصلاح مشكلات تسجيل دخول SSOكل رسالة SSO وما يجب فعله.