تخطي إلى المحتوى
Clevera Help Center

إعداد SSO باستخدام SAML 2.0

قم بتوصيل Clevera بمزود الهوية الخاص بك باستخدام SAML 2.0: معرف الكيان (Entity ID) وعنوان URL لخدمة ACS لتقديمهما لمزود الهوية (IdP)، وإعدادات التوقيع ومعرف الاسم (Name ID)، والسمات التي تقرأها Clevera، وكل حقل إعداد، واختبار SSO وتشغيله.

تم التحديث وقت القراءة 10 دقائق

قم بتوصيل Clevera بمزود الهوية (IdP) الخاص بك باستخدام SAML 2.0 حتى يتمكن فريقك من تسجيل الدخول باستخدام حساب الشركة الخاص بهم. تسرد هذه المقالة كل حقل في مربع حوار الإعداد في Clevera، والقيم الدقيقة التي يحتاجها مزود الهوية الخاص بك، وكيفية اختبار ذلك وتشغيله.

لمعرفة ما يغيره SSO لأعضائك، اقرأ فهم تسجيل الدخول الموحد أولاً. للحصول على خطوات شاشات مزود الهوية، راجع الأدلة الخاصة بـ Okta وMicrosoft Entra ID وGoogle Workspace.

قبل البدء

  • أنت المالك لمساحة عمل على خطة مخصصة.
  • يمكنك إنشاء تطبيق SAML في مزود الهوية الخاص بك، أو أنك تعمل مع شخص يمكنه القيام بذلك.
  • أنت تعرف كل نطاق بريد إلكتروني يستخدمه فريقك، مثل acme.example وeu.acme.example.

القيم التي يجب تقديمها لمزود الهوية

تعرض Clevera هذه القيم في مربع حوار الإعداد تحت "للشخص الذي يقوم بإعداد مزود الهوية الخاص بك"، مع زر نسخ لكل منها. انسخها من هناك: يحتوي معرف الكيان (Entity ID) على معرف مساحة العمل الخاصة بك.

الخطوة 1 من مربع حوار إعداد SSO مع تحديد Okta وSAML 2.0 ومعرف الكيان وعنوان URL لـ ACS وعنوان URL للبيانات الوصفية للنسخ
انسخ هذه القيم الثلاث في مزود الهوية الخاص بك.
تسمية Clevera ما يعادلها في مزود الهوية الخاص بك القيمة
معرف الكيان / معرف الجمهور (Entity ID / Audience URI) معرف الجمهور، معرف كيان SP، المعرف https://app.clevera.ai/sso/metadata/ متبوعاً بمعرف مساحة العمل الخاصة بك
عنوان URL لـ ACS (عنوان URL للرد) عنوان URL لخدمة مستهلك التأكيد، عنوان URL لتسجيل الدخول الموحد، عنوان URL للرد https://app.clevera.ai/sso/saml/callback
عنوان URL للبيانات الوصفية لـ SP البيانات الوصفية لمزود الخدمة نفس عنوان معرف الكيان. وهو يوفر البيانات الوصفية لـ SAML الخاصة بـ Clevera بتنسيق XML، لمزودي الهوية الذين يمكنهم استيرادها.

قم بإعداد التطبيق في مزود الهوية الخاص بك كالتالي:

إعداد مزود الهوية اضبطه على
تنسيق معرف الاسم (Name ID format) EmailAddress (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress)
قيمة معرف الاسم (Name ID value) البريد الإلكتروني الخاص بالعمل للشخص
التوقيع وقّع على كل من استجابة SAML والتأكيد. يوصى باستخدام SHA-256.
تشفير التأكيد إيقاف. لا تقبل Clevera التأكيدات المشفرة.
طلبات المصادقة الموقعة غير مطلوبة. ترسل Clevera طلبات غير موقعة.
الربط لعنوان URL لـ ACS HTTP POST
حالة الترحيل الافتراضية، تسجيل الدخول الذي يبدأ من مزود الهوية اتركها فارغة. يجب أن يبدأ تسجيل الدخول من صفحة تسجيل الدخول في Clevera.

السمات التي تقرأها Clevera

يأتي البريد الإلكتروني من معرف الاسم (Name ID). إذا لم يكن معرف الاسم عنوان بريد إلكتروني، تبحث Clevera عن أول هذه السمات:

الغرض أسماء السمات التي تقبلها Clevera، بالترتيب
البريد الإلكتروني email، http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress، User.Email
الاسم الأول firstName، http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname، User.FirstName، first_name
اسم العائلة lastName، http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname، User.LastName، last_name
الاسم المعروض (يُستخدم عند عدم وجود اسم أول أو أخير) displayName، http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name، User.Name، name

تُستخدم الأسماء فقط عندما تنشئ Clevera حساباً جديداً. في حال عدم وجود سمات اسم على الإطلاق، يتم تسمية الحساب بناءً على الجزء الذي يسبق @ في البريد الإلكتروني. لا تقرأ Clevera أي سمات للمجموعات أو الأدوار: يحصل كل شخص يتم إنشاؤه بواسطة SSO على الدور الافتراضي الذي تختاره أدناه.

قم بتوصيل مزود الهوية الخاص بك في Clevera

  1. افتح علامة تبويب الأمان

    افتح قائمة مساحة العمل في أعلى الشريط الجانبي، واختر إعدادات الفريق، ثم الأمان. تحت تسجيل الدخول الموحد، انقر على إعداد SSO. سيفتح مربع حوار تكوين تسجيل الدخول الموحد.

  2. المزود

    اختر مزود الهوية الخاص بك (Okta أو Microsoft Entra ID (Azure AD) أو OneLogin أو Google Workspace أو JumpCloud أو مزود SAML/OIDC مخصص) واضبط البروتوكول على SAML 2.0. انسخ القيم الموجودة في المربع الرمادي إلى مزود الهوية الخاص بك، ثم انقر على متابعة.

    اسم المزود هو ما يراه الأعضاء على زر تسجيل الدخول، على سبيل المثال متابعة باستخدام Okta. مع مزود SAML/OIDC مخصص، يظهر الزر متابعة باستخدام SSO.

  3. مزود الهوية

    الصق القيم من صفحة إعداد SAML الخاصة بمزود الهوية. راجع مرجع الحقول. انقر على متابعة.

  4. النطاقات والأدوار

    اكتب كل نطاق بريد إلكتروني تحت نطاقات البريد الإلكتروني المسموح بها وانقر على إضافة (أو اضغط على Enter). ثم اختر ما إذا كنت تريد إنشاء حسابات عند تسجيل الدخول لأول مرة واختر الدور الافتراضي لأعضاء SSO الجدد. راجع النطاقات والأدوار.

  5. مراجعة

    تحقق من الملخص وانقر على حفظ التكوين. سترى "تم حفظ تكوين SSO. قم بإجراء اختبار، ثم قم بتشغيله." الحفظ لا يقوم بتشغيل SSO.

حقول مزود الهوية

الخطوة 2 من مربع حوار إعداد SSO مع ملء معرف كيان مزود الهوية وعنوان URL لتسجيل الدخول والشهادة
عنوان URL لتسجيل الخروج اختياري.
الحقل مطلوب ما يجب لصقه ماذا يسميه مزود الهوية الخاص بك
معرف كيان مزود الهوية نعم مُصدر مزود الهوية، تماماً كما يظهره مزود الهوية الخاص بك مُصدر مزود الهوية، معرف الكيان، معرف Microsoft Entra
عنوان URL لتسجيل الدخول لـ SSO نعم عنوان URL الذي ترسل Clevera الأشخاص إليه لتسجيل الدخول (ربط HTTP Redirect) عنوان URL لتسجيل الدخول الموحد لمزود الهوية، عنوان URL لتسجيل الدخول، عنوان URL لـ SSO
عنوان URL لتسجيل الخروج لا عنوان URL لتسجيل الخروج الموحد الخاص بمزود الهوية. "اتركه فارغاً ما لم يحتاج مزودك إلى تسجيل خروج موحد." عنوان URL لتسجيل الخروج الموحد، عنوان URL لتسجيل الخروج
شهادة X.509 نعم شهادة التوقيع الخاصة بمزود الهوية شهادة X.509، الشهادة (Base64)

الشهادة

  • الصق الشهادة بالكامل. سطرا -----BEGIN CERTIFICATE----- و-----END CERTIFICATE----- اختياريان؛ يتم تجاهل المسافات وفواصل الأسطر.
  • استخدم نص Base64 (PEM)، وليس ملف .cer ثنائي. إذا قمت بتنزيل ملف، افتحه في محرر نصوص وانسخ محتوياته.
  • تخزن Clevera الشهادة مشفرة ولا تظهرها مرة أخرى. عند تعديل الاتصال لاحقاً، يقول الحقل "تم تخزين شهادة. اتركها فارغة للاحتفاظ بها."
  • يخبرك إجراء اختبار إذا كان لا يمكن قراءة الشهادة أو إذا انتهت صلاحيتها.

النطاقات والأدوار

الخطوة 3 من مربع حوار إعداد SSO مع نطاقين مسموح بهما، وتفعيل إنشاء الحساب، وتعيين المحرر كدور افتراضي
لا يتم عرض مدير النظام أثناء إنشاء الحسابات تلقائياً.
الإعداد ما يفعله الافتراضي
نطاقات البريد الإلكتروني المسموح بها يمكن فقط للأشخاص الذين لديهم نطاقات البريد الإلكتروني هذه استخدام الاتصال. تحدد النطاقات أيضاً متى توفر صفحة تسجيل الدخول SSO. مطلوب نطاق واحد على الأقل. لا يوجد
إنشاء حسابات عند تسجيل الدخول لأول مرة "يتم إنشاء حساب Clevera في المرة الأولى التي يسجل فيها شخص ما الدخول باستخدام SSO." ينضم الحساب الجديد إلى مساحة العمل هذه. تشغيل
الدور الافتراضي لأعضاء SSO الجدد الدور الذي تحصل عليه الحسابات الجديدة: محرر أو منشئ محتوى أو مدير النظام. لا يتم عرض مدير النظام إلا عند إيقاف إنشاء حسابات عند تسجيل الدخول لأول مرة: "الحسابات التي يتم إنشاؤها تلقائياً لا تحصل أبداً على دور مدير النظام." محرر

حول النطاقات:

  • يطابق النطاق بدقة. acme.example لا يغطي eu.acme.example؛ أضف كل واحد منها.
  • اكتب النطاق فقط (acme.example)، وليس بريداً إلكترونياً. تتم إزالة @ في البداية.
  • يمكن أن ينتمي النطاق إلى مساحة عمل واحدة فقط في Clevera. إذا كانت مساحة عمل أخرى تستخدمه بالفعل، فسيظهر عند الحفظ "النطاق acme.example مخصص بالفعل لفريق آخر." اتصل بالدعم إذا كان هذا هو نطاقك.

يستخدم منشئو المحتوى مقعد منشئ؛ بينما لا يستخدم المحررون ذلك. إذا كان الدور الافتراضي هو منشئ محتوى وكان كل مقعد منشئ مشغولاً، فسيصبح الشخص الذي ينضم عبر SSO محرراً بدلاً من ذلك، لذا لن يتسبب SSO أبداً في تجاوز عدد مقاعدك. أضف مقعداً وقم بتغيير دورهم في إعدادات الفريق ← الأعضاء عندما تكون مستعداً. راجع فهم مساحات العمل والأدوار ومقاعد المنشئين.

اختبار الاتصال

  1. إجراء الفحص

    بالعودة إلى علامة تبويب الأمان، انقر على إجراء اختبار بجوار اختبار الاتصال. يتحقق هذا من الإعدادات المحفوظة: أن معرف الكيان وعنوان URL لتسجيل الدخول والشهادة موجودة، وأن عنوان URL صالح، وأن الشهادة قابلة للقراءة وغير منتهية الصلاحية.

    سترى "تكوين SSO صالح وجاهز للاستخدام." أو "يحتوي تكوين SSO على مشكلات تحتاج إلى حل." مع قائمة. راجع إصلاح مشكلات تسجيل الدخول بـ SSO.

    بطاقة تسجيل الدخول الموحد بعد اختبار ناجح، مع بقاء تمكين SSO متوقفاً
    قم بإجراء الاختبار قبل تشغيل SSO.

  2. تشغيل SSO

    قم بتشغيل تمكين SSO. سترى "تم تشغيل SSO." تتغير شارة الحالة من إيقاف إلى نشط.

  3. تسجيل الدخول كعضو اختبار

    افتح نافذة متصفح خاصة، وانتقل إلى صفحة تسجيل الدخول في Clevera واكتب البريد الإلكتروني لأحد الأعضاء (أو شخص جديد، إذا تم إنشاء الحسابات عند تسجيل الدخول لأول مرة). انقر على Continue with (المتابعة باستخدام) مزود الخدمة الخاص بك وقم بتسجيل الدخول في موفر الهوية (IdP) الخاص بك. يجب أن تصل إلى الصفحة الرئيسية لذلك الشخص في Clevera ضمن مساحة العمل الخاصة بك.

    جلستك الخاصة لن تتأثر، وبصفتك المالك، يمكنك دائمًا تسجيل الدخول باستخدام كلمة مرورك.

خيار Run test (تشغيل الاختبار) لا يتصل بموفر الهوية (IdP) الخاص بك، لذا فإن تسجيل الدخول الفعلي في الخطوة 3 هو الاختبار الكامل الوحيد. ابدأه من صفحة تسجيل الدخول في Clevera: سيتم رفض أي اختبار يتم بدؤه من لوحة تحكم موفر الهوية الخاص بك.

فرض استخدام SSO

عندما يتمكن الجميع من تسجيل الدخول، قم بتفعيل خيار Require SSO (فرض استخدام SSO) ("يجب على الأعضاء المطابقين تسجيل الدخول باستخدام SSO."). سترى عبارة "SSO is now required." (تم فرض استخدام SSO الآن) وستظهر الشارة Active · enforced (نشط · مفروض).

بطاقة تسجيل الدخول الموحد مع تفعيل SSO وفرضه، تظهر حالة Active · enforced
يمكن للمالكين دائمًا استخدام تسجيل الدخول العادي الخاص بهم.

منذ تلك اللحظة، لن يتمكن الأعضاء الموجودون على نطاقاتك من استخدام كلمة مرور أو Google، ولن يتمكن أي شخص جديد على نطاقاتك من إنشاء حساب Clevera باستخدام كلمة مرور: سيحصلون على حسابهم عن طريق تسجيل الدخول باستخدام SSO. لا يمكنك تفعيل هذا الخيار إلا عندما يكون Enable SSO (تفعيل SSO) قيد التشغيل، كما أن إيقاف Enable SSO سيؤدي إلى إيقاف هذا الخيار أيضًا.

تسجيل الخروج الموحد

إذا قمت بملء Logout URL (رابط تسجيل الخروج)، فإن بيانات وصف Clevera ستدرج أيضًا عنوان تسجيل خروج: https://app.clevera.ai/sso/saml/slo (ربط إعادة توجيه HTTP). عندما يرسل موفر الهوية (IdP) الخاص بك طلب تسجيل خروج إلى هناك، يقوم Clevera بتسجيل خروج الشخص وإعادته إلى موفر الهوية الخاص بك.

تسجيل الخروج من Clevera لا يؤدي إلى تسجيل خروج الأشخاص من موفر الهوية (IdP) الخاص بك.

تغيير الاتصال أو إزالته

  • تغييره: انقر على تعديل بجوار Provider (المزود). سيفتح مربع الحوار بقيمك المحفوظة؛ اترك الشهادة فارغة للإبقاء عليها.
  • إيقافه مؤقتًا: قم بإيقاف تشغيل Enable SSO (تفعيل SSO). ستبقى الإعدادات محفوظة.
  • إزالته: افتح القائمة بجوار شارة الحالة واختر Remove SSO configuration (إزالة إعدادات SSO)، ثم Remove SSO (إزالة SSO). "سيحتاج الأعضاء الذين يسجلون الدخول باستخدام SSO إلى إعادة تعيين كلمة مرورهم لمواصلة تسجيل الدخول."

يعرض صف Provider (المزود) البروتوكول وعدد النطاقات التي لديك. بمجرد أن يبدأ الأشخاص في استخدام SSO، سيظهر سطر مثل "12 SSO sign-ins · last Oct 12" (12 عملية تسجيل دخول عبر SSO · آخرها 12 أكتوبر) في أسفل القسم.

فهم تسجيل الدخول الموحدما الذي يغيره SSO لأعضائك.إعداد SSO باستخدام OpenID Connectبديل OIDC.إصلاح مشاكل تسجيل الدخول عبر SSOكل رسائل SSO وما يجب فعله.إعداد SSO باستخدام Oktaشاشات Okta خطوة بخطوة.