SSO mit Microsoft Entra ID einrichten

Richte das Single Sign-on zwischen Microsoft Entra ID (ehemals Azure AD) und Clevera ein, damit sich dein Team mit seinem Microsoft-Geschäftskonto anmelden kann. Du kannst die Verbindung über SAML 2.0 oder OpenID Connect (OIDC) herstellen; dieser Leitfaden behandelt beide Methoden auf der Entra-Seite sowie die entsprechenden Felder in Clevera.

Das Microsoft Entra Admin Center ändert sich von Zeit zu Zeit. Wenn eine Bezeichnung unten nicht übereinstimmt, suche nach der Einstellung mit der gleichen Bedeutung und verwende die allgemeinen Leitfäden für die vollständige Liste der Werte: SAML, OIDC.

Bevor du beginnst#

• Du bist Inhaber eines Clevera-Arbeitsbereichs in einem Individueller Plan.
• Du kannst Enterprise-Anwendungen oder App-Registrierungen in Entra erstellen (z. B. als Anwendungsadministrator).
• Du kennst die E-Mail-Domains, die deine Mitarbeiter verwenden, wie z. B. acme.example.

Öffne zuerst den Clevera-Einrichtungsdialog, damit du die Werte kopieren kannst: Öffne das Arbeitsbereichsmenü oben in der Seitenleiste, wähle Teameinstellungen, dann Sicherheit und klicke auf SSO einrichten. Wähle Microsoft Entra ID (Azure AD) als Identitätsanbieter aus.

Verbindung mit SAML 2.0#

1. Enterprise-Anwendung erstellen#

   Gehe im Microsoft Entra Admin Center zu Unternehmensanwendungen und klicke auf Neue Anwendung, dann auf Eigene Anwendung erstellen. Gib ihr den Namen Clevera, wähle Integrieren Sie eine andere Anwendung, die Sie nicht im Katalog finden (Nicht-Katalog) und klicke auf Erstellen.

2. SAML auswählen#

   Öffne in der neuen App Einmaliges Anmelden und wähle SAML aus.

3. Clevera-Werte eingeben#

   Klicke in der Grundlegenden SAML-Konfiguration auf Bearbeiten und fülle Folgendes aus:

   Entra-Feld	Wert von Clevera
   Bezeichner (Entitäts-ID)	Entitäts-ID / Zielgruppen-URI (kopiere sie aus dem Clevera-Dialog; sie endet mit deiner Arbeitsbereichs-ID)
   Antwort-URL (Assertion Consumer Service-URL)	https://app.clevera.ai/sso/saml/callback
   Anmelde-URL	Leer lassen
   Relay-Zustand	Leer lassen
   Abmelde-URL	Nur wenn du Single Logout verwendest: https://app.clevera.ai/sso/saml/slo

   Klicke auf Speichern.

4. Claims überprüfen#

   Öffne unter Attribute und Ansprüche den Eindeutigen Benutzerbezeichner (Namens-ID). Setze das Format des Namensbezeichners auf E-Mail-Adresse und das Quellattribut auf das Attribut, das die E-Mail-Adresse der Personen enthält: user.mail, oder user.userprincipalname, falls ihr Anmeldename ihre E-Mail-Adresse ist. Behalte die Standard-Claims givenname, surname und emailaddress bei: Clevera liest diese aus.

5. Antwort und Assertion signieren#

   Klicke unter SAML-Zertifikate neben dem Signaturzertifikat auf Bearbeiten. Setze die Signieroption auf SAML-Antwort und Assertion signieren und den Signieralgorithmus auf SHA-256. Klicke auf Speichern.

   Entra signiert standardmäßig nur die Assertion, was von Clevera abgelehnt wird.

6. Entra-Werte in Clevera kopieren#

   Lade unter SAML-Zertifikate das Zertifikat (Base64) herunter und öffne es in einem Texteditor. Kopiere unter Clevera einrichten die URLs. Setze in Clevera das Protokoll auf SAML 2.0, klicke auf Weiter und füge Folgendes ein:

   Entra-Wert	Clevera-Feld
   Microsoft Entra-Bezeichner	IdP-Entitäts-ID
   Anmelde-URL	SSO-Anmelde-URL
   Abmelde-URL	Abmelde-URL (optional)
   Der Inhalt von Zertifikat (Base64)	X.509-Zertifikat

7. Personen zuweisen#

   Klicke unter Benutzer und Gruppen auf Benutzer/Gruppe hinzufügen und füge die Personen oder Gruppen hinzu, die Clevera nutzen sollen.

Schließe dann die Einrichtung in Clevera ab: Domains und Rollen.

Verbindung mit OpenID Connect#

1. App registrieren#

   Setze im Clevera-Einrichtungsdialog das Protokoll auf OpenID Connect und kopiere den Umleitungs-URI (Callback-URL) aus dem grauen Feld. Gehe in Entra zu App-Registrierungen und klicke auf Neue Registrierung. Gib ihr den Namen Clevera, wähle Nur Konten in diesem Organisationsverzeichnis (Einzelner Mandant) und wähle unter Umleitungs-URI die Option Web und füge https://app.clevera.ai/sso/oidc/callback ein. Klicke auf Registrieren.

2. IDs kopieren#

   Kopiere auf der Übersicht der App die Anwendungs-ID (Client-ID) und die Verzeichnis-ID (Mandanten-ID).

3. Client-Geheimnis erstellen#

   Öffne Zertifikate & Geheimnisse, klicke auf Neuer Client-Geheimschlüssel, wähle eine Ablaufzeit und klicke auf Hinzufügen. Kopiere sofort den Wert des Geheimnisses (nicht die Geheimnis-ID); Entra zeigt ihn nur einmal an.

4. E-Mail-Claim hinzufügen#

   Öffne Token-Konfiguration, klicke auf Optionalen Anspruch hinzufügen, wähle ID, aktiviere email und klicke auf Hinzufügen. Bestätige die Aufforderung, die Microsoft Graph-E-Mail-Berechtigung hinzuzufügen. Ohne diese greift Clevera auf den Anmeldenamen (preferred_username) zurück, was nur funktioniert, wenn dieser der E-Mail-Adresse der Person entspricht.

5. In Clevera ausfüllen#

   Klicke in Clevera auf Weiter und gib Folgendes ein:

   Clevera-Feld	Wert
   Client-ID	Anwendungs-ID (Client-ID)
   Client-Geheimnis	Der Wert des Geheimnisses
   Discovery-URL	https://login.microsoftonline.com/ deine Verzeichnis-ID (Mandanten-ID) /v2.0/.well-known/openid-configuration

   Verwende deine Mandanten-ID in der URL, nicht common oder organizations: Clevera prüft den Aussteller, und diese gemeinsam genutzten URLs stimmen nicht damit überein.

6. Zugriff einschränken (optional)#

   Standardmäßig kann jeder in deinem Mandanten die App nutzen. Um dies einzuschränken, öffne Unternehmensanwendungen → Clevera → Eigenschaften, setze Zuweisung erforderlich? auf Ja und füge Personen oder Gruppen unter Benutzer und Gruppen hinzu.

In Clevera abschließen#

1. Füge unter Domains & Rollen jede E-Mail-Domain hinzu, die deine Mitarbeiter verwenden, einschließlich aller zusätzlich verifizierten Domains in deinem Mandanten. Wähle Konten bei der ersten Anmeldung erstellen und die Standardrolle für neue SSO-Mitglieder.
2. Klicke unter Überprüfen auf Konfiguration speichern.
3. Klicke auf Test ausführen, aktiviere SSO aktivieren und melde dich als Testbenutzer in einem privaten Fenster über die Clevera-Anmeldeseite an.
4. Wenn es für alle funktioniert, aktiviere SSO erforderlich, falls SSO der einzige Zugangsweg sein soll.

Mitglieder geben ihre geschäftliche E-Mail-Adresse auf der Clevera-Anmeldeseite ein und klicken auf Weiter mit Microsoft Entra ID (Azure AD).

Fehlerbehebung#

Weitere Meldungen: SSO-Anmeldeprobleme beheben.

Verwandte Themen#