SSO mit OpenID Connect einrichten
Verbinde Clevera über OpenID Connect mit deinem Identitätsanbieter: die Redirect-URI, Scopes und Client-Authentifizierung, die dein IdP benötigt, die von Clevera gelesenen Claims, alle Einrichtungsfelder sowie das Testen und Aktivieren von SSO.
Verbinde Clevera über OpenID Connect (OIDC) mit deinem Identitätsanbieter (IdP), damit sich dein Team mit seinem Firmenkonto anmelden kann. Dieser Artikel behandelt die App, die du in deinem IdP erstellen musst, alle Felder im Einrichtungsdialog von Clevera, die von Clevera gelesenen Claims sowie das Testen und Aktivieren der Funktion.
Lies zuerst Single Sign-On verstehen, um zu erfahren, was sich durch SSO für deine Mitglieder ändert. Anbieterspezifische Bildschirme findest du in den Anleitungen für Okta, Microsoft Entra ID und Google Workspace.
Bevor du beginnst
- Du bist Inhaber eines Arbeitsbereichs in einem Individueller Plan.
- Du kannst eine OIDC-Web-App in deinem IdP erstellen oder arbeitest mit jemandem zusammen, der dies kann.
- Du kennst jede E-Mail-Domain, die dein Team verwendet.
Die App in deinem IdP erstellen
Erstelle eine Webanwendung (einen vertraulichen Client mit einem Client-Secret) und konfiguriere sie wie folgt:
| IdP-Einstellung | Wert |
|---|---|
| Redirect-URI (Anmelde-Redirect-URI, Callback-URL) | https://app.clevera.ai/sso/oidc/callback |
| Grant-Typ | Authorization Code |
| Client-Authentifizierung | Client-Secret. Clevera sendet das Secret im Body der Token-Anfrage (client_secret_post). |
| Scopes | openid, email, profile |
| Abmelde-Redirect-URI, Login-Initiierungs-URI | Leer lassen. Die Anmeldung muss auf der Clevera-Anmeldeseite beginnen. |
Du musst die Redirect-URI nicht manuell eingeben. Wähle im Einrichtungsdialog von Clevera im ersten Schritt OpenID Connect aus: Das graue Feld „Für die Person, die deinen Identitätsanbieter einrichtet“ zeigt die Redirect-URI (Callback-URL) mit einer Schaltfläche zum Kopieren an.
Sobald die App erstellt ist, kopiere die Client-ID, das Client-Secret und die Discovery-URL (auch OpenID-Konfigurations-URL oder Well-Known-URL genannt, die auf /.well-known/openid-configuration endet).
Von Clevera gelesene Claims
Clevera liest das ID-Token und, falls der IdP einen UserInfo-Endpunkt besitzt, zusätzlich die UserInfo-Antwort.
| Zweck | Claims, in der Reihenfolge | Hinweise |
|---|---|---|
email, dann preferred_username, dann upn |
Die erste, die eine gültige E-Mail-Adresse ist, wird verwendet. Ohne diese schlägt die Anmeldung fehl. | |
| Name | name, dann given_name + family_name, dann preferred_username |
Wird nur verwendet, wenn Clevera ein neues Konto erstellt. Greift auf den Teil der E-Mail vor dem @ zurück. |
Clevera liest keine Gruppen- oder Rollen-Claims: Jeder, der über SSO erstellt wird, erhält die Standardrolle, die du in Clevera auswählst.
Deinen IdP in Clevera verbinden
Den Tab Sicherheit öffnen
Öffne das Arbeitsbereichsmenü oben in der Seitenleiste, wähle Teameinstellungen und dann Sicherheit. Klicke unter Single Sign-On auf SSO einrichten.
Anbieter
Wähle deinen Identitätsanbieter aus und setze das Protokoll auf OpenID Connect. Kopiere die Redirect-URI (Callback-URL) in deinen IdP, falls du das noch nicht getan hast, und klicke dann auf Weiter. (JumpCloud unterstützt in Clevera nur SAML.)
Der Name des Anbieters ist das, was Mitglieder auf der Anmeldeschaltfläche sehen, zum Beispiel Weiter mit Okta. Bei Benutzerdefinierter SAML/OIDC-Anbieter lautet die Schaltfläche Weiter mit SSO.
Identitätsanbieter
Fülle die untenstehenden Felder aus. Klicke auf Weiter.
Domains & Rollen
Füge jede E-Mail-Domain unter Zulässige E-Mail-Domains hinzu, wähle aus, ob Konten bei der ersten Anmeldung erstellt werden sollen, und lege die Standardrolle für neue SSO-Mitglieder fest. Diese funktionieren genauso wie bei SAML: siehe Domains und Rollen.
Überprüfen
Überprüfe die Zusammenfassung und klicke auf Konfiguration speichern. Du siehst die Meldung „SSO-Konfiguration gespeichert. Führe einen Test durch und aktiviere sie dann.“ Das Speichern aktiviert SSO noch nicht.
Felder des Identitätsanbieters
| Feld | Erforderlich | Was einzugeben ist |
|---|---|---|
| Client-ID | Ja | Die Client-ID deiner OIDC-Anwendung. |
| Client-Secret | Ja | Das Client-Secret deiner OIDC-Anwendung. Wird verschlüsselt gespeichert und nie wieder angezeigt; wenn du es später bearbeitest, steht dort „Ein Secret ist gespeichert. Leer lassen, um es beizubehalten.“ |
| Discovery-URL | Empfohlen | „Empfohlen. Endpunkte werden daraus gelesen.“ Zum Beispiel https://idp.example.com/.well-known/openid-configuration. |
| Autorisierungs-URL | Nur ohne Discovery-URL | Der Autorisierungs-Endpunkt deines IdP. |
| Token-URL | Nur ohne Discovery-URL | Der Token-Endpunkt deines IdP. |
| UserInfo-URL | Nein | Der UserInfo-Endpunkt deines IdP. Wird nur ohne Discovery-URL angezeigt. |
Die drei Endpunktfelder erscheinen nur, wenn die Discovery-URL leer ist.
Warum die Discovery-URL besser ist
Mit einer Discovery-URL liest Clevera die Endpunkte selbst aus und überprüft jede Anmeldung anhand der veröffentlichten Signierschlüssel und des Ausstellers deines IdP. Gib Endpunkte nur manuell ein, wenn dein IdP kein Discovery-Dokument besitzt.
- Die Discovery-URL muss der Aussteller des IdP plus
/.well-known/openid-configurationsein, und dasissuerdarin muss mit den Token übereinstimmen, die dein IdP ausstellt. Multi-Tenant-URLs, deren Aussteller einen Platzhalter enthält (wie Microsoftscommon-Endpunkt), funktionieren nicht; verwende die URL deines eigenen Tenants. - Jede URL muss eine öffentliche
https://- (oderhttp://-) Adresse sein, die von den Servern von Clevera erreicht werden kann. Adressen in einem privaten Netzwerk, wie ein IdP, der nur über dein VPN erreichbar ist, werden abgelehnt. Jeder Port ist in Ordnung. - Clevera speichert das Discovery-Dokument und die Signierschlüssel für bis zu eine Stunde. Wenn dein IdP seine Signierschlüssel in dieser Zeit rotiert, ruft Clevera die neuen Schlüssel einmal ab, bevor eine Anmeldung abgelehnt wird, sodass die Schlüsselrotation niemanden aussperrt.
Die Verbindung testen
Den Test durchführen
Klicke auf dem Tab Sicherheit auf Test ausführen. Es wird geprüft, ob die Client-ID und das Secret gespeichert sind und, bei Verwendung einer Discovery-URL, ob das Dokument geladen werden kann und einen Autorisierungs-Endpunkt enthält. Du siehst die Meldung „SSO-Konfiguration ist gültig und einsatzbereit.“ oder eine Liste von Problemen. Siehe SSO-Anmeldeprobleme beheben.
Jedes Problem zeigt dir, was zu beheben ist. SSO aktivieren
Aktiviere SSO aktivieren. Du siehst die Meldung „SSO aktiviert.“ und das Badge zeigt Aktiv an.
Als Testmitglied anmelden
Gehe in einem privaten Browserfenster zur Clevera-Anmeldeseite, gib die E-Mail-Adresse eines Mitglieds ein, klicke auf Weiter mit deinem Anbieter und melde dich an. Du solltest auf der Clevera-Startseite des Arbeitsbereichs landen. Als Inhaber kannst du dich immer mit deinem Passwort anmelden, sodass du dich nicht selbst aussperren kannst.
Test ausführen überprüft nicht das Client-Secret oder eine echte Anmeldung; das geschieht nur in Schritt 3.
SSO erzwingen, ändern oder entfernen
Diese funktionieren genauso wie bei SAML:
- Aktiviere SSO erzwingen, wenn sich jeder anmelden kann. Mitglieder mit deinen Domains können dann kein Passwort oder Google mehr verwenden.
- Bearbeiten ändert die Verbindung. Lass das Client-Secret leer, um das gespeicherte beizubehalten. Wenn du das Secret in deinem IdP rotierst, füge das neue ein und speichere.
- SSO-Konfiguration entfernen (im Menü neben dem Status-Badge) löscht diese. Mitglieder, die über SSO erstellt wurden, verwenden Passwort vergessen?, um ein Passwort festzulegen.
Siehe SSO mit SAML einrichten für Details. OIDC bietet kein Single Logout: Die Abmeldung von deinem IdP meldet Benutzer nicht von Clevera ab.