Aller au contenu
Centre d'aide Clevera

Configurer le SSO avec OpenID Connect

Connectez Clevera à votre fournisseur d'identité avec OpenID Connect : l'URI de redirection, les portées et l'authentification client dont votre IdP a besoin, les revendications lues par Clevera, chaque champ de configuration, ainsi que les tests et l'activation du SSO.

Mis à jour 7 min de lecture

Connectez Clevera à votre fournisseur d'identité (IdP) avec OpenID Connect (OIDC) afin que votre équipe puisse se connecter avec son compte professionnel. Cet article couvre l'application à créer dans votre IdP, chaque champ de la boîte de dialogue de configuration de Clevera, les revendications lues par Clevera, ainsi que la manière de tester et d'activer le service.

Pour savoir ce que le SSO change pour vos membres, lisez d'abord Comprendre l'authentification unique. Les écrans spécifiques aux fournisseurs se trouvent dans les guides pour Okta, Microsoft Entra ID et Google Workspace.

Avant de commencer

  • Vous êtes le Propriétaire d'un espace de travail sur un Plan personnalisé.
  • Vous pouvez créer une application OIDC (web) dans votre IdP, ou vous travaillez avec quelqu'un qui peut le faire.
  • Vous connaissez tous les domaines d'e-mail utilisés par votre équipe.

Créer l'application dans votre IdP

Créez une application web (un client confidentiel avec un secret client) et configurez-la comme suit :

Paramètre IdP Valeur
URI de redirection (URI de redirection de connexion, URL de rappel) https://app.clevera.ai/sso/oidc/callback
Type d'octroi Code d'autorisation
Authentification client Secret client. Clevera envoie le secret dans le corps de la requête de jeton (client_secret_post).
Portées openid, email, profile
URI de redirection de déconnexion, URI d'initialisation de connexion Laissez vide. La connexion doit commencer sur la page de connexion de Clevera.

Vous n'avez pas besoin de saisir l'URI de redirection. Dans la boîte de dialogue de configuration de Clevera, choisissez OpenID Connect à la première étape : la zone grise « Pour la personne configurant votre fournisseur d'identité » affiche l'URI de redirection (URL de rappel) avec un bouton de copie.

Étape 1 de la boîte de dialogue de configuration SSO avec Okta et OpenID Connect sélectionnés, affichant l'URI de redirection (URL de rappel) avec un bouton de copie
Copiez l'URI de redirection dans votre fournisseur d'identité.

Une fois l'application créée, copiez son ID client, son secret client et son URL de découverte (également appelée URL de configuration OpenID ou URL well-known, se terminant par /.well-known/openid-configuration).

Revendications lues par Clevera

Clevera lit le jeton d'ID et, lorsque l'IdP dispose d'un point de terminaison UserInfo, la réponse UserInfo en plus de celui-ci.

Objectif Revendications, dans l'ordre Notes
E-mail email, puis preferred_username, puis upn La première qui est une adresse e-mail valide est utilisée. Sans elle, la connexion échoue.
Nom name, puis given_name + family_name, puis preferred_username Utilisé uniquement lorsque Clevera crée un nouveau compte. Utilise par défaut la partie de l'e-mail avant le @.

Clevera ne lit aucune revendication de groupe ou de rôle : chaque personne créée par le SSO reçoit le rôle par défaut que vous choisissez dans Clevera.

Connecter votre IdP dans Clevera

  1. Ouvrir l'onglet Sécurité

    Ouvrez le menu de l'espace de travail en haut de la barre latérale, choisissez Paramètres de l'équipe, puis Sécurité. Sous Authentification unique, cliquez sur Configurer le SSO.

  2. Fournisseur

    Choisissez votre Fournisseur d'identité et réglez le Protocole sur OpenID Connect. Copiez l'URI de redirection (URL de rappel) dans votre IdP si ce n'est pas déjà fait, puis cliquez sur Continuer. (JumpJumpCloud ne prend en charge que le SAML dans Clevera.)

    Le nom du fournisseur est ce que les membres voient sur le bouton de connexion, par exemple Continuer avec Okta. Avec Fournisseur SAML/OIDC personnalisé, le bouton indique Continuer avec le SSO.

  3. Fournisseur d'identité

    Remplissez les champs ci-dessous. Cliquez sur Continuer.

  4. Domaines et rôles

    Ajoutez chaque domaine d'e-mail sous Domaines d'e-mail autorisés, choisissez si vous souhaitez Créer des comptes lors de la première connexion, et sélectionnez le Rôle par défaut pour les nouveaux membres SSO. Ces options fonctionnent de la même manière que pour le SAML : voir Domaines et rôles.

  5. Révision

    Vérifiez le résumé et cliquez sur Enregistrer la configuration. Vous verrez le message « Configuration SSO enregistrée. Exécutez un test, puis activez-la. » L'enregistrement n'active pas le SSO.

Champs du fournisseur d'identité

Étape 2 de la boîte de dialogue de configuration SSO pour OpenID Connect avec l'ID client, le secret et l'URL de découverte
Avec une URL de découverte, les champs de point de terminaison restent masqués.
Champ Requis Ce qu'il faut saisir
ID client Oui L'ID client de votre application OIDC.
Secret client Oui Le secret client de votre application OIDC. Stocké de manière chiffrée et jamais affiché à nouveau ; lors d'une modification ultérieure, « Un secret est stocké. Laissez vide pour le conserver. »
URL de découverte Recommandé « Recommandé. Les points de terminaison sont lus à partir de celle-ci. » Par exemple https://idp.example.com/.well-known/openid-configuration.
URL d'autorisation Uniquement sans URL de découverte Le point de terminaison d'autorisation de votre IdP.
URL de jeton Uniquement sans URL de découverte Le point de terminaison de jeton de votre IdP.
URL UserInfo Non Le point de terminaison UserInfo de votre IdP. Affiché uniquement sans URL de découverte.

Les trois champs de point de terminaison n'apparaissent que lorsque l'URL de découverte est vide.

Pourquoi l'URL de découverte est préférable

Avec une URL de découverte, Clevera lit lui-même les points de terminaison et vérifie chaque connexion par rapport aux clés de signature et à l'émetteur publiés par votre IdP. Saisissez les points de terminaison manuellement uniquement si votre IdP ne dispose pas de document de découverte.

  • L'URL de découverte doit être l'émetteur de l'IdP plus /.well-known/openid-configuration, et le issuer qu'elle contient doit correspondre aux jetons émis par votre IdP. Les URL multi-locataires dont l'émetteur contient un espace réservé (tel que le point de terminaison common de Microsoft) ne fonctionnent pas ; utilisez l'URL de votre propre locataire.
  • Chaque URL doit être une adresse https:// (ou http://) publique accessible par les serveurs de Clevera. Les adresses sur un réseau privé, comme un IdP accessible uniquement via votre VPN, sont refusées. N'importe quel port convient.
  • Clevera conserve le document de découverte et les clés de signature pendant une heure maximum. Si votre IdP fait pivoter ses clés de signature pendant ce laps de temps, Clevera récupère les nouvelles clés une fois avant de refuser une connexion, afin que la rotation des clés ne bloque pas les utilisateurs.

Tester la connexion

  1. Exécuter la vérification

    Dans l'onglet Sécurité, cliquez sur Exécuter le test. Cela vérifie que l'ID client et le secret sont enregistrés et, avec une URL de découverte, que le document se charge et contient un point de terminaison d'autorisation. Vous verrez le message « La configuration SSO est valide et prête à être utilisée. » ou une liste de problèmes. Voir Résoudre les problèmes de connexion SSO.

    Un test SSO ayant échoué expliquant que le document de découverte OIDC n'a pas pu être chargé
    Chaque problème vous indique ce qu'il faut corriger.

  2. Activer le SSO

    Activez Activer le SSO. Vous verrez le message « SSO activé. » et le badge indiquera Actif.

  3. Se connecter en tant que membre de test

    Dans une fenêtre de navigation privée, accédez à la page de connexion de Clevera, saisissez l'e-mail d'un membre, cliquez sur Continuer avec votre fournisseur et connectez-vous. Vous devriez arriver sur sa page d'accueil Clevera dans votre espace de travail. En tant que propriétaire, vous pouvez toujours vous connecter avec votre mot de passe, donc cela ne peut pas vous bloquer.

Exécuter le test ne vérifie pas le secret client ni une connexion réelle ; seule l'étape 3 le fait.

Exiger le SSO, modifier ou supprimer

Ces options fonctionnent de la même manière que pour le SAML :

  • Activez Exiger le SSO lorsque tout le monde peut se connecter. Les membres de vos domaines ne pourront alors plus utiliser de mot de passe ou Google.
  • Modifier change la connexion. Laissez le Secret client vide pour conserver celui qui est stocké. Lorsque vous faites pivoter le secret dans votre IdP, collez le nouveau et enregistrez.
  • Supprimer la configuration SSO (dans le menu à côté du badge d'état) la supprime. Les membres créés par le SSO utilisent Mot de passe oublié ? pour définir un mot de passe.

Voir Configurer le SSO avec SAML pour les détails. L'OIDC ne propose pas de déconnexion unique : se déconnecter de votre IdP ne déconnecte pas les utilisateurs de Clevera.

Comprendre l'authentification uniqueCe que le SSO change pour vos membres.Configurer le SSO avec SAMLL'alternative SAML 2.0.Configurer le SSO avec Microsoft Entra IDLes écrans d'Entra étape par étape.Résoudre les problèmes de connexion SSOChaque message SSO et quoi faire.