SSO mit Google Workspace einrichten

Richte das Single Sign-on zwischen Google Workspace und Clevera ein, damit sich dein Team mit seinem Google-Arbeitskonto anmelden kann. Du kannst die Verbindung über OpenID Connect (OIDC) mittels eines Google Cloud OAuth-Clients oder über SAML 2.0 mittels einer benutzerdefinierten SAML-App in der Google Admin-Konsole herstellen.

Die Google-Konsolen ändern sich von Zeit zu Zeit. Falls eine Bezeichnung unten nicht übereinstimmt, suche nach der Einstellung mit der gleichen Bedeutung und verwende die allgemeinen Anleitungen für die vollständige Liste der Werte: SAML, OIDC.

Bevor du beginnst#

• Du bist der Inhaber eines Clevera-Workspaces in einem Individueller Plan.
• Für OIDC: Du kannst OAuth-Clients in einem Google Cloud-Projekt erstellen, das zu deiner Google Workspace-Organisation gehört.
• Für SAML: Du bist ein Google Workspace-Super-Admin.
• Du kennst deine Google Workspace-Domains, wie z. B. acme.example, einschließlich sekundärer Domains.

Öffne zuerst das Clevera-Einrichtungsdialogfeld: Öffne das Workspace-Menü oben in der Seitenleiste, wähle Teameinstellungen, dann Sicherheit und klicke auf SSO einrichten. Wähle Google Workspace als Identitätsanbieter aus.

Verbindung mit OpenID Connect#

1. App auf intern setzen#

   Wähle in der Google Cloud-Konsole ein Projekt in deiner Organisation aus und öffne die Google Auth Platform (in älteren Konsolen: APIs & Dienste → OAuth-Zustimmungsbildschirm). Setze die Zielgruppe (Nutzertyp) auf Intern, damit sich nur Konten aus deinem Google Workspace anmelden können. Gib den App-Namen (Clevera) und die Support-E-Mail-Adresse ein.

2. OAuth-Client erstellen#

   Setze im Clevera-Einrichtungsdialog Protokoll auf OpenID Connect und kopiere den Redirect URI (Callback-URL) aus dem grauen Feld. Öffne dann in Google Clients (oder APIs & Dienste → Anmeldedaten) und erstelle eine OAuth-Client-ID:

   Google-Feld	Wert
   Anwendungstyp	Webanwendung
   Name	Clevera
   Autorisierte Redirect-URIs	Der Redirect URI (Callback-URL): https://app.clevera.ai/sso/oidc/callback

   Klicke auf Erstellen und kopiere die Client-ID und das Client-Geheimnis.

3. Daten in Clevera eingeben#

   Klicke in Clevera auf Weiter und gib Folgendes ein:

   Clevera-Feld	Wert
   Client-ID	Google Client-ID
   Client-Geheimnis	Google Client-Geheimnis
   Discovery-URL	https://accounts.google.com/.well-known/openid-configuration

Google sendet die email- und name-Claims für die openid email profile-Scopes, die Clevera anfordert, daher müssen keine weiteren Zuordnungen vorgenommen werden.

Verbindung mit SAML 2.0#

1. Benutzerdefinierte SAML-App hinzufügen#

   Gehe in der Google Admin-Konsole zu Apps → Web- und mobile Apps, klicke auf App hinzufügen und wähle Benutzerdefinierte SAML-App hinzufügen. Nenne sie Clevera und klicke auf Weiter.

2. Google-Werte in Clevera kopieren#

   Kopiere unter Details zum Google-Identitätsanbieter die Werte in Clevera (setze zuerst Protokoll auf SAML 2.0 und klicke auf Weiter):

   Google-Wert	Clevera-Feld
   Entitäts-ID	IdP-Entitäts-ID
   SSO-URL	SSO-Anmelde-URL
   Zertifikat	X.509-Zertifikat

   Klicke in Google auf Weiter.

3. Clevera-Werte eingeben#

   Unter Details zum Dienstanbieter:

   Google-Feld	Wert
   ACS-URL	https://app.clevera.ai/sso/saml/callback
   Entitäts-ID	Entitäts-ID / Zielgruppen-URI aus dem Clevera-Dialog
   Start-URL	Leer lassen
   Signierte Antwort	Angehakt
   Name-ID-Format	E-MAIL
   Name-ID	Basisinformationen → Primäre E-Mail-Adresse

   Klicke auf Weiter.

4. Namen zuordnen#

   Ordne unter Attributzuordnung den Vorname zu firstName und den Nachname zu lastName zu. Klicke auf Fertigstellen.

5. App aktivieren#

   Öffne den Nutzerzugriff der App, wähle AN für alle (oder für die Organisationseinheiten oder Gruppen, die Clevera nutzen sollen) und klicke auf Speichern. Google gibt an, dass die Anwendung einige Zeit in Anspruch nehmen kann.

Abschluss in Clevera#

1. Füge unter Domains & Rollen jede Google Workspace-Domain hinzu, die deine Mitarbeiter verwenden. Wähle Konten bei der ersten Anmeldung erstellen und die Standardrolle für neue SSO-Mitglieder aus.
2. Klicke unter Überprüfen auf Konfiguration speichern.
3. Klicke auf Test ausführen, aktiviere SSO aktivieren und melde dich als Testnutzer in einem privaten Fenster über die Clevera-Anmeldeseite an.
4. Wenn es für alle funktioniert, aktiviere SSO erforderlich, wenn SSO die einzige Anmeldemethode sein soll. Dies deaktiviert auch Weiter mit Google für diese Mitglieder.

Mitglieder geben ihre geschäftliche E-Mail-Adresse auf der Clevera-Anmeldeseite ein und klicken auf Weiter mit Google Workspace.

Fehlerbehebung#

Weitere Meldungen: SSO-Anmeldeprobleme beheben.

Verwandte Themen#