SSO mit SAML 2.0 einrichten
Verbinde Clevera mit deinem Identitätsanbieter über SAML 2.0: die Entity ID und ACS-URL für deinen IdP, Einstellungen für Signierung und Name ID, die von Clevera gelesenen Attribute, jedes Einrichtungsfeld sowie das Testen und Aktivieren von SSO.
Verbinde Clevera mit deinem Identitätsanbieter (IdP) über SAML 2.0, damit sich dein Team mit seinem Firmenkonto anmelden kann. Dieser Artikel listet jedes Feld im Einrichtungsdialog von Clevera auf, die genauen Werte, die dein IdP benötigt, sowie die Vorgehensweise beim Testen und Aktivieren.
Was sich durch SSO für deine Mitglieder ändert, erfährst du zuerst unter Single Sign-On verstehen. Schritt-für-Schritt-Anleitungen für IdP-Oberflächen findest du in den Leitfäden für Okta, Microsoft Entra ID und Google Workspace.
Bevor du beginnst
- Du bist der Inhaber eines Arbeitsbereichs in einem Individueller Plan.
- Du kannst eine SAML-App in deinem IdP erstellen oder arbeitest mit jemandem zusammen, der dies kann.
- Du kennst jede E-Mail-Domain, die dein Team verwendet, wie z. B.
acme.exampleundeu.acme.example.
Werte für deinen IdP
Clevera zeigt diese im Einrichtungsdialog unter „Für die Person, die deinen Identitätsanbieter einrichtet“ an, jeweils mit einer Schaltfläche zum Kopieren. Kopiere sie von dort: Die Entity ID enthält die ID deines Arbeitsbereichs.
| Clevera-Bezeichnung | Was es in deinem IdP ist | Wert |
|---|---|---|
| Entity ID / Audience URI | Audience URI, SP Entity ID, Identifier | https://app.clevera.ai/sso/metadata/ gefolgt von deiner Arbeitsbereichs-ID |
| ACS-URL (Reply URL) | Assertion Consumer Service URL, Single Sign-On URL, Reply URL | https://app.clevera.ai/sso/saml/callback |
| SP-Metadaten-URL | Service Provider Metadata | Dieselbe Adresse wie die Entity ID. Sie stellt die SAML-Metadaten von Clevera als XML bereit, für IdPs, die diese importieren können. |
Richte die App in deinem IdP wie folgt ein:
| IdP-Einstellung | Auf Folgendes setzen |
|---|---|
| Name ID-Format | EmailAddress (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress) |
| Name ID-Wert | Die geschäftliche E-Mail-Adresse der Person |
| Signierung | Sowohl die SAML-Antwort als auch die Assertion signieren. SHA-256 wird empfohlen. |
| Assertion-Verschlüsselung | Aus. Clevera akzeptiert keine verschlüsselten Assertions. |
| Signierte Authentifizierungsanfragen | Nicht erforderlich. Clevera sendet unsignierte Anfragen. |
| Bindung für die ACS-URL | HTTP POST |
| Standard-RelayState, IdP-initiierte Anmeldung | Leer lassen. Die Anmeldung muss auf der Clevera-Anmeldeseite beginnen. |
Von Clevera gelesene Attribute
Die E-Mail-Adresse stammt aus der Name ID. Wenn die Name ID keine E-Mail-Adresse ist, sucht Clevera nach dem ersten dieser Attribute:
| Zweck | Von Clevera akzeptierte Attributnamen, in der Reihenfolge |
|---|---|
email, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress, User.Email |
|
| Vorname | firstName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname, User.FirstName, first_name |
| Nachname | lastName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname, User.LastName, last_name |
| Anzeigename (wird verwendet, wenn kein Vor- oder Nachname vorhanden ist) | displayName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name, User.Name, name |
Namen werden nur verwendet, wenn Clevera ein neues Konto erstellt. Ohne jegliche Namensattribute wird das Konto nach dem Teil der E-Mail-Adresse vor dem @ benannt. Clevera liest keine Gruppen- oder Rollenattribute: Jeder, der über SSO erstellt wird, erhält die Standardrolle, die du unten auswählst.
Verbinde deinen IdP in Clevera
Öffne den Tab Sicherheit
Öffne das Arbeitsbereichsmenü oben in der Seitenleiste, wähle Teameinstellungen und dann Sicherheit. Klicke unter Single Sign-On auf SSO einrichten. Der Dialog Single Sign-On konfigurieren öffnet sich.
Anbieter
Wähle deinen Identitätsanbieter (Okta, Microsoft Entra ID (Azure AD), OneLogin, Google Workspace, JumpCloud oder Custom SAML/OIDC Provider) und setze das Protokoll auf SAML 2.0. Kopiere die Werte im grauen Feld in deinen IdP und klicke dann auf Weiter.
Der Name des Anbieters ist das, was Mitglieder auf der Anmeldeschaltfläche sehen, zum Beispiel Weiter mit Okta. Bei Custom SAML/OIDC Provider lautet die Schaltfläche Weiter mit SSO.
Identitätsanbieter
Füge die Werte von der SAML-Einrichtungsseite deines IdP ein. Siehe die Feldreferenz. Klicke auf Weiter.
Domains & Rollen
Gib jede E-Mail-Domain unter Zulässige E-Mail-Domains ein und klicke auf Hinzufügen (oder drücke die Eingabetaste). Wähle dann, ob Konten bei der ersten Anmeldung erstellt werden sollen, und wähle die Standardrolle für neue SSO-Mitglieder. Siehe Domains und Rollen.
Überprüfen
Überprüfe die Zusammenfassung und klicke auf Konfiguration speichern. Du siehst „SSO-Konfiguration gespeichert. Führe einen Test durch und aktiviere sie dann.“ Das Speichern aktiviert SSO noch nicht.
Felder des Identitätsanbieters
| Feld | Erforderlich | Was einzufügen ist | Wie dein IdP es nennt |
|---|---|---|---|
| IdP Entity ID | Ja | Der Aussteller des IdP, genau wie dein IdP ihn anzeigt | Identity Provider Issuer, Entity ID, Microsoft Entra Identifier |
| SSO-Anmelde-URL | Ja | Die URL, an die Clevera Personen zur Anmeldung sendet (HTTP Redirect-Bindung) | Identity Provider Single Sign-On URL, Login URL, SSO URL |
| Abmelde-URL | Nein | Die Single-Logout-URL deines IdP. „Leer lassen, es sei denn, dein Anbieter benötigt Single Logout.“ | Single Logout URL, Logout URL |
| X.509-Zertifikat | Ja | Das Signierungszertifikat deines IdP | X.509 Certificate, Certificate (Base64) |
Das Zertifikat
- Füge das gesamte Zertifikat ein. Die Zeilen
-----BEGIN CERTIFICATE-----und-----END CERTIFICATE-----sind optional; Leerzeichen und Zeilenumbrüche werden ignoriert. - Verwende den Base64 (PEM)-Text, keine binäre
.cer-Datei. Wenn du eine Datei heruntergeladen hast, öffne sie in einem Texteditor und kopiere ihren Inhalt. - Clevera speichert es verschlüsselt und zeigt es nie wieder an. Wenn du die Verbindung später bearbeitest, steht im Feld: „Ein Zertifikat ist gespeichert. Leer lassen, um es beizubehalten.“
- Test ausführen zeigt dir an, ob das Zertifikat nicht gelesen werden kann oder abgelaufen ist.
Domains und Rollen
| Einstellung | Was es bewirkt | Standard |
|---|---|---|
| Zulässige E-Mail-Domains | Nur Personen mit diesen E-Mail-Domains können die Verbindung nutzen. Die Domains entscheiden auch, wann die Anmeldeseite SSO anbietet. Mindestens eine ist erforderlich. | Keine |
| Konten bei der ersten Anmeldung erstellen | „Ein Clevera-Konto wird erstellt, wenn sich jemand zum ersten Mal mit SSO anmeldet.“ Das neue Konto tritt diesem Arbeitsbereich bei. | Aktiv |
| Standardrolle für neue SSO-Mitglieder | Die Rolle, die neue Konten erhalten: Bearbeiter, Content-Ersteller oder Administrator. Administrator wird nur angeboten, wenn Konten bei der ersten Anmeldung erstellen deaktiviert ist: „Automatisch erstellte Konten erhalten niemals Administrator.“ | Bearbeiter |
Über Domains:
- Eine Domain muss exakt übereinstimmen.
acme.exampledeckteu.acme.examplenicht ab; füge jede einzeln hinzu. - Gib nur die Domain ein (
acme.example), keine E-Mail-Adresse. Ein führendes@wird entfernt. - Eine Domain kann nur zu einem Clevera-Arbeitsbereich gehören. Wenn ein anderer Arbeitsbereich sie bereits verwendet, erscheint beim Speichern: „Die Domain acme.example ist bereits einem anderen Team zugewiesen.“ Kontaktiere den Support, falls dies deine Domain ist.
Content-Ersteller verbrauchen einen Ersteller-Platz; Bearbeiter nicht. Wenn die Standardrolle Content-Ersteller ist und jeder Ersteller-Platz belegt ist, wird jemand, der über SSO beitritt, stattdessen Bearbeiter, sodass SSO dich nie über deine Platzanzahl bringt. Füge einen Platz hinzu und ändere ihre Rolle in Teameinstellungen → Mitglieder, wenn du bereit bist. Siehe Arbeitsbereiche, Rollen und Ersteller-Plätze verstehen.
Verbindung testen
Überprüfung ausführen
Klicke auf dem Tab Sicherheit neben Verbindung testen auf Test ausführen. Dies überprüft die gespeicherten Einstellungen: ob die Entity ID, die Anmelde-URL und das Zertifikat vorhanden sind, die URL gültig ist und das Zertifikat lesbar und nicht abgelaufen ist.
Du siehst „SSO-Konfiguration ist gültig und einsatzbereit.“ oder „SSO-Konfiguration hat Probleme, die behoben werden müssen.“ mit einer Liste. Siehe SSO-Anmeldeprobleme beheben.
Führe den Test durch, bevor du SSO einschaltest. SSO aktivieren
Schalte SSO aktivieren ein. Du siehst „SSO aktiviert.“ Der Status-Badge ändert sich von Aus zu Aktiv.
Als Testmitglied anmelden
Öffne ein privates Browserfenster, gehe zur Clevera-Anmeldeseite und gib die E-Mail-Adresse eines Mitglieds ein (oder einer neuen Person, falls Konten bei der ersten Anmeldung erstellt werden). Klicke auf Continue with deinen Anbieter und melde dich bei deinem IdP an. Du solltest auf der Clevera-Startseite dieser Person in deinem Workspace landen.
Deine eigene Sitzung ist davon nicht betroffen, und als Inhaber kannst du dich jederzeit mit deinem Passwort anmelden.
Run test kontaktiert deinen IdP nicht, daher ist die echte Anmeldung in Schritt 3 der einzige vollständige Test. Starte ihn von der Clevera-Anmeldeseite aus: Ein Test, der über das Dashboard deines IdP gestartet wird, wird abgelehnt.
SSO erzwingen
Wenn sich alle anmelden können, aktiviere Require SSO („Matching members must sign in with SSO.“). Du siehst „SSO is now required.“ und das Badge zeigt Active · enforced an.
Von diesem Zeitpunkt an können Mitglieder deiner Domains kein Passwort oder Google mehr verwenden, und neue Personen auf deinen Domains können kein Clevera-Konto mit einem Passwort erstellen: Sie erhalten ihr Konto durch die Anmeldung mit SSO. Du kannst dies nur aktivieren, während Enable SSO eingeschaltet ist, und das Deaktivieren von Enable SSO schaltet es ebenfalls aus.
Single Logout
Wenn du die Logout URL ausfüllst, listet Clevera in den Metadaten auch eine Logout-Adresse auf: https://app.clevera.ai/sso/saml/slo (HTTP Redirect Binding). Wenn dein IdP eine Logout-Anfrage dorthin sendet, meldet Clevera die Person ab und sendet sie zurück an deinen IdP.
Das Abmelden bei Clevera meldet Personen nicht bei deinem IdP ab.
Verbindung ändern oder entfernen
- Ändern: Klicke neben Provider auf Bearbeiten. Das Dialogfeld öffnet sich mit deinen gespeicherten Werten; lasse das Zertifikat leer, um es beizubehalten.
- Vorübergehend deaktivieren: Schalte Enable SSO aus. Die Einstellungen bleiben gespeichert.
- Entfernen: Öffne das Menü neben dem Status-Badge und wähle Remove SSO configuration und dann Remove SSO. „Members who sign in with SSO will need to reset their password to keep signing in.“
Die Zeile Provider zeigt das Protokoll und die Anzahl deiner Domains an. Sobald Personen SSO nutzen, erscheint unten im Abschnitt eine Zeile wie „12 SSO sign-ins · last Oct 12“.