Zum Inhalt springen
Clevera Help Center

SSO mit OpenID Connect einrichten

Verbinde Clevera über OpenID Connect mit deinem Identitätsanbieter: die Redirect-URI, Scopes und Client-Authentifizierung, die dein IdP benötigt, die von Clevera gelesenen Claims, alle Einrichtungsfelder sowie das Testen und Aktivieren von SSO.

Aktualisiert am 6 Min. Lesezeit

Verbinde Clevera über OpenID Connect (OIDC) mit deinem Identitätsanbieter (IdP), damit sich dein Team mit seinem Firmenkonto anmelden kann. Dieser Artikel behandelt die App, die du in deinem IdP erstellen musst, alle Felder im Einrichtungsdialog von Clevera, die von Clevera gelesenen Claims sowie das Testen und Aktivieren der Funktion.

Lies zuerst Single Sign-On verstehen, um zu erfahren, was sich durch SSO für deine Mitglieder ändert. Anbieterspezifische Bildschirme findest du in den Anleitungen für Okta, Microsoft Entra ID und Google Workspace.

Bevor du beginnst

  • Du bist Inhaber eines Arbeitsbereichs in einem Individueller Plan.
  • Du kannst eine OIDC-Web-App in deinem IdP erstellen oder arbeitest mit jemandem zusammen, der dies kann.
  • Du kennst jede E-Mail-Domain, die dein Team verwendet.

Die App in deinem IdP erstellen

Erstelle eine Webanwendung (einen vertraulichen Client mit einem Client-Secret) und konfiguriere sie wie folgt:

IdP-Einstellung Wert
Redirect-URI (Anmelde-Redirect-URI, Callback-URL) https://app.clevera.ai/sso/oidc/callback
Grant-Typ Authorization Code
Client-Authentifizierung Client-Secret. Clevera sendet das Secret im Body der Token-Anfrage (client_secret_post).
Scopes openid, email, profile
Abmelde-Redirect-URI, Login-Initiierungs-URI Leer lassen. Die Anmeldung muss auf der Clevera-Anmeldeseite beginnen.

Du musst die Redirect-URI nicht manuell eingeben. Wähle im Einrichtungsdialog von Clevera im ersten Schritt OpenID Connect aus: Das graue Feld „Für die Person, die deinen Identitätsanbieter einrichtet“ zeigt die Redirect-URI (Callback-URL) mit einer Schaltfläche zum Kopieren an.

Schritt 1 des SSO-Einrichtungsdialogs mit ausgewähltem Okta und OpenID Connect, der die Redirect-URI (Callback-URL) mit einer Schaltfläche zum Kopieren zeigt
Kopiere die Redirect-URI in deinen Identitätsanbieter.

Sobald die App erstellt ist, kopiere die Client-ID, das Client-Secret und die Discovery-URL (auch OpenID-Konfigurations-URL oder Well-Known-URL genannt, die auf /.well-known/openid-configuration endet).

Von Clevera gelesene Claims

Clevera liest das ID-Token und, falls der IdP einen UserInfo-Endpunkt besitzt, zusätzlich die UserInfo-Antwort.

Zweck Claims, in der Reihenfolge Hinweise
E-Mail email, dann preferred_username, dann upn Die erste, die eine gültige E-Mail-Adresse ist, wird verwendet. Ohne diese schlägt die Anmeldung fehl.
Name name, dann given_name + family_name, dann preferred_username Wird nur verwendet, wenn Clevera ein neues Konto erstellt. Greift auf den Teil der E-Mail vor dem @ zurück.

Clevera liest keine Gruppen- oder Rollen-Claims: Jeder, der über SSO erstellt wird, erhält die Standardrolle, die du in Clevera auswählst.

Deinen IdP in Clevera verbinden

  1. Den Tab Sicherheit öffnen

    Öffne das Arbeitsbereichsmenü oben in der Seitenleiste, wähle Teameinstellungen und dann Sicherheit. Klicke unter Single Sign-On auf SSO einrichten.

  2. Anbieter

    Wähle deinen Identitätsanbieter aus und setze das Protokoll auf OpenID Connect. Kopiere die Redirect-URI (Callback-URL) in deinen IdP, falls du das noch nicht getan hast, und klicke dann auf Weiter. (JumpCloud unterstützt in Clevera nur SAML.)

    Der Name des Anbieters ist das, was Mitglieder auf der Anmeldeschaltfläche sehen, zum Beispiel Weiter mit Okta. Bei Benutzerdefinierter SAML/OIDC-Anbieter lautet die Schaltfläche Weiter mit SSO.

  3. Identitätsanbieter

    Fülle die untenstehenden Felder aus. Klicke auf Weiter.

  4. Domains & Rollen

    Füge jede E-Mail-Domain unter Zulässige E-Mail-Domains hinzu, wähle aus, ob Konten bei der ersten Anmeldung erstellt werden sollen, und lege die Standardrolle für neue SSO-Mitglieder fest. Diese funktionieren genauso wie bei SAML: siehe Domains und Rollen.

  5. Überprüfen

    Überprüfe die Zusammenfassung und klicke auf Konfiguration speichern. Du siehst die Meldung „SSO-Konfiguration gespeichert. Führe einen Test durch und aktiviere sie dann.“ Das Speichern aktiviert SSO noch nicht.

Felder des Identitätsanbieters

Schritt 2 des SSO-Einrichtungsdialogs für OpenID Connect mit Client-ID, Secret und Discovery-URL
Mit einer Discovery-URL bleiben die Endpunktfelder ausgeblendet.
Feld Erforderlich Was einzugeben ist
Client-ID Ja Die Client-ID deiner OIDC-Anwendung.
Client-Secret Ja Das Client-Secret deiner OIDC-Anwendung. Wird verschlüsselt gespeichert und nie wieder angezeigt; wenn du es später bearbeitest, steht dort „Ein Secret ist gespeichert. Leer lassen, um es beizubehalten.“
Discovery-URL Empfohlen „Empfohlen. Endpunkte werden daraus gelesen.“ Zum Beispiel https://idp.example.com/.well-known/openid-configuration.
Autorisierungs-URL Nur ohne Discovery-URL Der Autorisierungs-Endpunkt deines IdP.
Token-URL Nur ohne Discovery-URL Der Token-Endpunkt deines IdP.
UserInfo-URL Nein Der UserInfo-Endpunkt deines IdP. Wird nur ohne Discovery-URL angezeigt.

Die drei Endpunktfelder erscheinen nur, wenn die Discovery-URL leer ist.

Warum die Discovery-URL besser ist

Mit einer Discovery-URL liest Clevera die Endpunkte selbst aus und überprüft jede Anmeldung anhand der veröffentlichten Signierschlüssel und des Ausstellers deines IdP. Gib Endpunkte nur manuell ein, wenn dein IdP kein Discovery-Dokument besitzt.

  • Die Discovery-URL muss der Aussteller des IdP plus /.well-known/openid-configuration sein, und das issuer darin muss mit den Token übereinstimmen, die dein IdP ausstellt. Multi-Tenant-URLs, deren Aussteller einen Platzhalter enthält (wie Microsofts common-Endpunkt), funktionieren nicht; verwende die URL deines eigenen Tenants.
  • Jede URL muss eine öffentliche https://- (oder http://-) Adresse sein, die von den Servern von Clevera erreicht werden kann. Adressen in einem privaten Netzwerk, wie ein IdP, der nur über dein VPN erreichbar ist, werden abgelehnt. Jeder Port ist in Ordnung.
  • Clevera speichert das Discovery-Dokument und die Signierschlüssel für bis zu eine Stunde. Wenn dein IdP seine Signierschlüssel in dieser Zeit rotiert, ruft Clevera die neuen Schlüssel einmal ab, bevor eine Anmeldung abgelehnt wird, sodass die Schlüsselrotation niemanden aussperrt.

Die Verbindung testen

  1. Den Test durchführen

    Klicke auf dem Tab Sicherheit auf Test ausführen. Es wird geprüft, ob die Client-ID und das Secret gespeichert sind und, bei Verwendung einer Discovery-URL, ob das Dokument geladen werden kann und einen Autorisierungs-Endpunkt enthält. Du siehst die Meldung „SSO-Konfiguration ist gültig und einsatzbereit.“ oder eine Liste von Problemen. Siehe SSO-Anmeldeprobleme beheben.

    Ein fehlgeschlagener SSO-Test, der erklärt, dass das OIDC-Discovery-Dokument nicht geladen werden konnte
    Jedes Problem zeigt dir, was zu beheben ist.

  2. SSO aktivieren

    Aktiviere SSO aktivieren. Du siehst die Meldung „SSO aktiviert.“ und das Badge zeigt Aktiv an.

  3. Als Testmitglied anmelden

    Gehe in einem privaten Browserfenster zur Clevera-Anmeldeseite, gib die E-Mail-Adresse eines Mitglieds ein, klicke auf Weiter mit deinem Anbieter und melde dich an. Du solltest auf der Clevera-Startseite des Arbeitsbereichs landen. Als Inhaber kannst du dich immer mit deinem Passwort anmelden, sodass du dich nicht selbst aussperren kannst.

Test ausführen überprüft nicht das Client-Secret oder eine echte Anmeldung; das geschieht nur in Schritt 3.

SSO erzwingen, ändern oder entfernen

Diese funktionieren genauso wie bei SAML:

  • Aktiviere SSO erzwingen, wenn sich jeder anmelden kann. Mitglieder mit deinen Domains können dann kein Passwort oder Google mehr verwenden.
  • Bearbeiten ändert die Verbindung. Lass das Client-Secret leer, um das gespeicherte beizubehalten. Wenn du das Secret in deinem IdP rotierst, füge das neue ein und speichere.
  • SSO-Konfiguration entfernen (im Menü neben dem Status-Badge) löscht diese. Mitglieder, die über SSO erstellt wurden, verwenden Passwort vergessen?, um ein Passwort festzulegen.

Siehe SSO mit SAML einrichten für Details. OIDC bietet kein Single Logout: Die Abmeldung von deinem IdP meldet Benutzer nicht von Clevera ab.

Single Sign-On verstehenWas SSO für deine Mitglieder ändert.SSO mit SAML einrichtenDie SAML 2.0-Alternative.SSO mit Microsoft Entra ID einrichtenEntras Bildschirme Schritt für Schritt.SSO-Anmeldeprobleme behebenJede SSO-Meldung und was zu tun ist.