Single Sign-On (SSO) in Clevera verstehen
Was Single Sign-On in Clevera bewirkt: welcher Plan es beinhaltet, SAML 2.0 vs. OpenID Connect, wer sich damit anmelden kann, SSO erzwingen und was mit bestehenden Mitgliedern und Passwörtern passiert.
Mit Single Sign-On (SSO) kann sich dein Team bei Clevera mit seinem Firmenkonto von Okta, Microsoft Entra ID, Google Workspace oder einem beliebigen SAML 2.0- oder OpenID Connect-Anbieter anmelden. Dieser Artikel erklärt, was SSO in Clevera bewirkt, wer es einrichten kann und was sich für deine Mitglieder ändert.
Bevor du beginnst
- Plan: SSO ist Teil von Custom-Plänen. In anderen Plänen sieht der Inhaber unter Teameinstellungen → Sicherheit den Hinweis Custom-Plan erforderlich mit einem Link zu Kontaktiere uns. Siehe Einen Plan auswählen.
- Wer richtet es ein: nur der Inhaber des Arbeitsbereichs. Administratoren können SSO-Einstellungen nicht sehen oder ändern.
- Dein Identitätsanbieter: jemand, der eine App in deinem Identitätsanbieter (IdP) erstellen oder dir dessen Werte senden kann.
- Deine E-Mail-Domains: jede Firmendomain, mit der sich deine Mitarbeiter anmelden, wie z. B.
acme.example.
Was SSO in Clevera bewirkt
| Was passiert | |
|---|---|
| Anmeldung | Benutzer geben ihre geschäftliche E-Mail-Adresse auf der Clevera-Anmeldeseite ein und klicken auf Weiter mit deinem Anbieter. Sie melden sich bei deinem IdP an und kehren angemeldet zu deinem Arbeitsbereich zurück. |
| Neue Personen | Wenn Konten bei der ersten Anmeldung erstellen aktiviert ist, erhält jemand ohne Clevera-Konto bei der ersten Anmeldung eines und tritt deinem Arbeitsbereich mit der von dir gewählten Standardrolle bei (als Bearbeiter, falls diese Rolle einen Creator-Platz benötigt und keiner frei ist). |
| Bestehende Mitglieder | Mitglieder, deren E-Mail-Domain auf deiner Liste steht, können sich sofort mit SSO anmelden. An ihren Videos oder ihrer Rolle ändert sich nichts. |
| SSO erzwingen | Wenn SSO erzwingen aktiviert ist, können sich Mitglieder deiner Domains nicht mehr mit einem Passwort oder Google anmelden, und neue Personen auf deinen Domains können sich nicht mehr mit einem Passwort registrieren. |
| Inhaber | Der Inhaber kann sich immer mit seinem Passwort anmelden, damit du dich nicht selbst aussperrst. |
SSO funktioniert pro Arbeitsbereich: Die Verbindung, ihre Domains und ihre Regeln gehören zu dem Arbeitsbereich, in dem du sie eingerichtet hast.
SAML 2.0 oder OpenID Connect
Clevera unterstützt beides. Wähle das aus, das dein IdP-Administrator bevorzugt; das Ergebnis für deine Mitglieder ist dasselbe.
| SAML 2.0 | OpenID Connect (OIDC) | |
|---|---|---|
| Was du in Clevera eingibst | IdP-Entitäts-ID, SSO-Anmelde-URL, X.509-Zertifikat, optionale Abmelde-URL | Client-ID, Client-Geheimnis und eine Discovery-URL (oder die Endpunkte manuell) |
| Was du deinem IdP gibst | Entitäts-ID / Audience-URI und ACS-URL (Antwort-URL) | Redirect-URI (Callback-URL) |
| Einmalige Abmeldung vom IdP | Unterstützt, wenn du eine Abmelde-URL hinzufügst | Nicht unterstützt |
| Anleitung | SSO mit SAML einrichten | SSO mit OpenID Connect einrichten |
Anbieter-Anleitungen: Okta, Microsoft Entra ID, Google Workspace. OneLogin (SAML oder OIDC) und JumpCloud (nur SAML) sind ebenfalls in der Anbieterliste enthalten; befolge für diese die allgemeine SAML- oder OIDC-Anleitung.
So funktioniert die Einrichtung
Erstelle eine App in deinem IdP
Verwende die Werte, die Clevera im ersten Schritt des Einrichtungsdialogs anzeigt, jeweils mit einer Kopier-Schaltfläche: die Entitäts-ID und ACS-URL für SAML oder die Redirect-URI für OIDC.
Verbinde sie in Clevera
Öffne das Arbeitsbereichsmenü oben in der Seitenleiste, wähle Teameinstellungen und dann Sicherheit. Klicke unter Single Sign-On auf SSO einrichten und gehe die vier Schritte durch: Anbieter, Identitätsanbieter, Domains & Rollen, Überprüfen. Klicke auf Konfiguration speichern.
Teste es
Klicke auf Test ausführen und melde dich dann mit einem Testmitglied in einem privaten Browserfenster an.
Aktiviere es
Aktiviere SSO aktivieren. Wenn sich alle anmelden können, aktiviere SSO erzwingen, wenn SSO der einzige Zugangsweg sein soll.
Das Speichern aktiviert SSO nicht von selbst, sodass du die Verbindung vorbereiten kannst, ohne jemanden zu beeinträchtigen.
Wie sich Personen danach anmelden
- Auf der Clevera-Anmeldeseite geben sie ihre geschäftliche E-Mail-Adresse ein.
- Clevera erkennt die Domain und zeigt "Deine Organisation verwendet Okta" (der Name deines Anbieters) mit einer Weiter mit Okta-Schaltfläche an. Bei Benutzerdefiniertem SAML/OIDC-Anbieter steht dort "Deine Organisation verwendet SSO" und die Schaltfläche lautet Weiter mit SSO. Wenn SSO erzwingen aktiviert ist, wird "Mitglieder dieser Organisation melden sich mit Okta an" hinzugefügt.
- Sie klicken auf die Schaltfläche, melden sich bei deinem IdP an und landen auf ihrer Clevera-Startseite in deinem Arbeitsbereich. Wenn sie einen Clevera-Link geöffnet haben, als sie zur Anmeldung aufgefordert wurden, landen sie stattdessen auf dieser Seite.
Sie bleiben in diesem Browser angemeldet, bis sie sich abmelden. Die Abmeldung von Clevera meldet sie nicht von deinem IdP ab.
Desktop-App: Die Desktop-App meldet sich über deinen Browser an. Gib auf der Anmeldeseite des Browsers deine geschäftliche E-Mail-Adresse ein und klicke auf Weiter mit deinem Anbieter. Nachdem du dich bei deinem IdP angemeldet hast, leitet dich der Browser zurück zur Desktop-App, die die Anmeldung abschließt. Siehe Anmeldung in der Desktop-App.
Wer kann SSO nutzen
| Person | Kann sich mit SSO anmelden? |
|---|---|
| Ein Mitglied des Arbeitsbereichs, dessen E-Mail-Domain auf deiner Liste steht | Ja |
| Jemand auf deiner Domain ohne Clevera-Konto | Ja, wenn Konten bei der ersten Anmeldung erstellen aktiviert ist. Andernfalls lade sie zuerst ein. |
| Jemand auf deiner Domain, der bereits ein Clevera-Konto hat, aber kein Mitglied dieses Arbeitsbereichs ist | Nein. Lade sie ein, und sobald sie akzeptiert haben, funktioniert SSO für sie. |
| Der Inhaber | Ja, wenn er die SSO-Konfiguration selbst gespeichert hat. Er kann auch immer sein Passwort verwenden. |
| Jeder, dessen E-Mail-Domain nicht auf deiner Liste steht | Nein. Sie melden sich weiterhin wie bisher an. |
Die dritte und vierte Zeile sind Sicherheitsvorkehrungen: Da E-Mail-Domains in Clevera nicht verifiziert werden, übernimmt SSO niemals ein Konto, das nicht bereits in deinem Arbeitsbereich ist, und meldet den Inhaber niemals über eine Verbindung an, die jemand anderes gespeichert hat.
Creator-Plätze
Eine durch SSO erstellte Person erhält die von dir gewählte Standardrolle für neue SSO-Mitglieder. Wenn dies Content-Ersteller ist und jeder Creator-Platz in deinem Plan belegt ist, treten sie stattdessen als Bearbeiter bei, was keinen Platz verbraucht. Füge einen Platz hinzu und ändere ihre Rolle unter Teameinstellungen → Mitglieder. Siehe Arbeitsbereiche, Rollen und Creator-Plätze verstehen.
Was passiert mit Passwörtern
- Bestehende Mitglieder behalten ihr Passwort. Solange SSO erzwingen deaktiviert ist, können sie beides verwenden. Wenn es aktiviert ist, sieht ein Mitglied, das sich mit dem richtigen Passwort anmeldet: "Deine Organisation erfordert Single Sign-On. Verwende die SSO-Schaltfläche, um fortzufahren."
- Neue Personen auf deinen Domains können kein Konto mit einem Passwort erstellen, während SSO erzwingen aktiviert ist. Das Registrierungsformular antwortet mit "Deine Organisation meldet sich mit Single Sign-On (SSO) an. Gehe zur Anmeldung, gib diese E-Mail-Adresse ein und wähle Weiter mit SSO." Ihr Konto wird bei der ersten Anmeldung mit SSO erstellt (wenn Konten bei der ersten Anmeldung erstellen aktiviert ist; andernfalls lade sie ein).
- Durch SSO erstellte Konten haben kein Passwort, das die Person kennt. Wenn SSO später deaktiviert oder entfernt wird, verwenden sie Passwort vergessen? auf der Anmeldeseite, um eines festzulegen.
- Google-Anmeldung ist für Mitglieder deiner Domains blockiert, während SSO erzwingen aktiviert ist.
Den Zugriff von jemandem entfernen
Clevera synchronisiert keine Benutzer von deinem IdP. Das Aufheben der Zuweisung einer Person in deinem IdP stoppt neue SSO-Anmeldungen, aber ein Browser, der bereits angemeldet ist, bleibt angemeldet. Um den Zugriff sofort zu unterbinden, entferne sie auch unter Teameinstellungen → Mitglieder.