הבנת כניסה יחידה (SSO) ב-Clevera
מה עושה כניסה יחידה ב-Clevera: איזו תוכנית כוללת אותה, SAML 2.0 מול OpenID Connect, מי יכול להיכנס באמצעותה, דרישת SSO, ומה קורה לחברים קיימים ולסיסמאות.
כניסה יחידה (SSO) מאפשרת לצוות שלך להיכנס ל-Clevera באמצעות חשבון החברה שלהם מ-Okta, Microsoft Entra ID, Google Workspace או כל ספק SAML 2.0 או OpenID Connect. מאמר זה מסביר מה SSO עושה ב-Clevera, מי יכול להגדיר אותו, ומה משתנה עבור החברים שלך.
לפני שמתחילים
- תוכנית: SSO הוא חלק מתוכניות מותאמות אישית (Custom). בתוכניות אחרות, הבעלים יראה נדרשת תוכנית מותאמת אישית ב-הגדרות צוות → אבטחה, עם קישור צרו קשר. ראו בחירת תוכנית.
- מי מגדיר: רק בעלים של סביבת העבודה. מנהלים לא יכולים לראות או לשנות הגדרות SSO.
- ספק הזהות שלך: מישהו שיכול ליצור אפליקציה בספק הזהות (IdP) שלך, או שיכול לשלוח לך את הערכים שלה.
- דומייני האימייל שלך: כל דומיין חברה שבאמצעותו האנשים שלך נכנסים, כגון
acme.example.
מה SSO עושה ב-Clevera
| מה קורה | |
|---|---|
| כניסה | אנשים מקלידים את אימייל העבודה שלהם בדף הכניסה של Clevera ולוחצים על המשך עם הספק שלך. הם נכנסים ב-IdP שלך וחוזרים כשהם מחוברים לסביבת העבודה שלך. |
| אנשים חדשים | כאשר יצירת חשבונות בכניסה ראשונה מופעלת, מישהו ללא חשבון Clevera מקבל אחד בפעם הראשונה שהוא נכנס, ומצטרף לסביבת העבודה שלך עם תפקיד ברירת המחדל שבחרת (כעורך אם תפקיד זה דורש מושב יוצר ואין כזה פנוי). |
| חברים קיימים | חברים שדומיין האימייל שלהם נמצא ברשימה שלך יכולים להיכנס עם SSO מיד. שום דבר לגבי הסרטונים או התפקיד שלהם לא משתנה. |
| דרישת SSO | כאשר דרישת SSO מופעלת, חברים בדומיינים שלך לא יכולים להיכנס יותר עם סיסמה או Google, ואנשים חדשים בדומיינים שלך לא יכולים להירשם עם סיסמה. |
| בעלים | הבעלים תמיד יכול להיכנס עם הסיסמה שלו, כך שלא ניתן להינעל מחוץ למערכת. |
SSO עובד לפי סביבת עבודה: החיבור, הדומיינים שלו והכללים שלו שייכים לסביבת העבודה שבה הגדרת אותו.
SAML 2.0 או OpenID Connect
Clevera תומכת בשניהם. בחר את זה שמנהל ה-IdP שלך מעדיף; התוצאה עבור החברים שלך זהה.
| SAML 2.0 | OpenID Connect (OIDC) | |
|---|---|---|
| מה מזינים ב-Clevera | מזהה ישות IdP, כתובת URL לכניסת SSO, אישור X.509, כתובת URL ליציאה אופציונלית | מזהה לקוח, סוד לקוח וכתובת URL לגילוי (או נקודות הקצה ידנית) |
| מה נותנים ל-IdP | מזהה ישות / URI קהל ו-כתובת ACS (כתובת תשובה) | URI להפניה (כתובת callback) |
| יציאה יחידה מה-IdP | נתמכת, אם מוסיפים כתובת URL ליציאה | לא נתמכת |
| מדריך | הגדרת SSO עם SAML | הגדרת SSO עם OpenID Connect |
מדריכי ספקים: Okta, Microsoft Entra ID, Google Workspace. OneLogin (SAML או OIDC) ו-JumpCloud (SAML בלבד) נמצאים גם ברשימת הספקים; עקוב אחר מדריך ה-SAML או ה-OIDC הכללי עבורם.
איך ההגדרה עובדת
יצירת אפליקציה ב-IdP שלך
השתמש בערכים ש-Clevera מציגה בשלב הראשון של תיבת הדו-שיח להגדרה, כל אחד עם כפתור העתקה: מזהה הישות וכתובת ה-ACS עבור SAML, או ה-URI להפניה עבור OIDC.
חיבור ב-Clevera
פתח את תפריט סביבת העבודה בחלק העליון של סרגל הצד, בחר הגדרות צוות, ולאחר מכן אבטחה. תחת כניסה יחידה, לחץ על הגדר SSO ועבוד דרך ארבעת השלבים: ספק, ספק זהות, דומיינים ותפקידים, סקור. לחץ על שמור תצורה.
בדיקה
לחץ על הרץ בדיקה, ולאחר מכן היכנס עם חבר בדיקה בחלון דפדפן פרטי.
הפעלה
הפעל את אפשר SSO. כאשר כולם יכולים להיכנס, הפעל את דרישת SSO אם ברצונך ש-SSO תהיה הדרך היחידה להיכנס.
שמירה לעולם לא מפעילה SSO בעצמה, כך שתוכל להכין את החיבור מבלי להשפיע על אף אחד.
איך אנשים נכנסים לאחר מכן
- בדף הכניסה של Clevera, הם מקלידים את אימייל העבודה שלהם.
- Clevera מזהה את הדומיין ומציגה "הארגון שלך משתמש ב-Okta" (שם הספק שלך) עם כפתור המשך עם Okta. עם ספק SAML/OIDC מותאם אישית, כתוב "הארגון שלך משתמש ב-SSO" והכפתור נקרא המשך עם SSO. כאשר דרישת SSO מופעלת, היא מוסיפה "חברי ארגון זה נכנסים עם Okta."
- הם לוחצים על הכפתור, נכנסים ב-IdP שלך, ומגיעים לדף הבית של Clevera בסביבת העבודה שלך. אם הם פתחו קישור של Clevera כשהתבקשו להיכנס, הם יגיעו לדף ההוא במקום.
הם נשארים מחוברים בדפדפן ההוא עד שהם יוצאים. יציאה מ-Clevera לא מוציאה אותם מה-IdP שלך.
אפליקציית שולחן עבודה: אפליקציית שולחן העבודה נכנסת דרך הדפדפן שלך. בדף הכניסה של הדפדפן, הקלד את אימייל העבודה שלך ולחץ על המשך עם הספק שלך. לאחר שתיכנס ב-IdP שלך, הדפדפן מחזיר אותך לאפליקציית שולחן העבודה, שמסיימת את הכניסה. ראו כניסה לאפליקציית שולחן העבודה.
מי יכול להשתמש ב-SSO
| אדם | יכול להיכנס עם SSO? |
|---|---|
| חבר בסביבת העבודה שדומיין האימייל שלו ברשימה שלך | כן |
| מישהו בדומיין שלך ללא חשבון Clevera | כן, אם יצירת חשבונות בכניסה ראשונה מופעלת. אחרת הזמן אותם קודם. |
| מישהו בדומיין שלך שכבר יש לו חשבון Clevera אך אינו חבר בסביבת עבודה זו | לא. הזמן אותם, וברגע שיאשרו, SSO יעבוד עבורם. |
| הבעלים | כן, אם הם שמרו את תצורת ה-SSO בעצמם. הם תמיד יכולים להשתמש גם בסיסמה שלהם. |
| כל מי שדומיין האימייל שלו לא ברשימה שלך | לא. הם ממשיכים להיכנס כפי שהם עושים עכשיו. |
השורה השלישית והרביעית הן אמצעי הגנה: מכיוון שדומייני אימייל ב-Clevera אינם מאומתים, SSO לעולם לא משתלט על חשבון שאינו כבר בסביבת העבודה שלך, ולעולם לא מכניס את הבעלים דרך חיבור שמישהו אחר שמר.
מושבי יוצר
אדם שנוצר על ידי SSO מקבל את תפקיד ברירת המחדל לחברי SSO חדשים שבחרת. אם זה יוצר תוכן וכל מושב יוצר בתוכנית שלך תפוס, הם מצטרפים כעורך במקום, מה שלא משתמש במושב. הוסף מושב ושנה את התפקיד שלהם ב-הגדרות צוות → חברים. ראו הבנת סביבות עבודה, תפקידים ומושבי יוצר.
מה קורה לסיסמאות
- חברים קיימים שומרים על הסיסמה שלהם. בזמן שדרישת SSO כבויה הם יכולים להשתמש בכל אחת. כשהיא מופעלת, חבר שנכנס עם הסיסמה הנכונה רואה "הארגון שלך דורש כניסה יחידה. השתמש בכפתור SSO כדי להמשיך."
- אנשים חדשים בדומיינים שלך לא יכולים ליצור חשבון עם סיסמה בזמן שדרישת SSO מופעלת. טופס ההרשמה עונה "הארגון שלך נכנס עם כניסה יחידה (SSO). עבור לכניסה, הזן אימייל זה ובחר המשך עם SSO." החשבון שלהם נוצר בפעם הראשונה שהם נכנסים עם SSO (כאשר יצירת חשבונות בכניסה ראשונה מופעלת; אחרת הזמן אותם).
- חשבונות שנוצרו על ידי SSO הם ללא סיסמה שהאדם מכיר. אם SSO יכובה או יוסר מאוחר יותר, הם משתמשים ב-שכחת סיסמה? בדף הכניסה כדי להגדיר אחת.
- כניסה עם Google חסומה עבור חברים בדומיינים שלך בזמן שדרישת SSO מופעלת.
הסרת גישה של מישהו
Clevera לא מסנכרנת משתמשים מה-IdP שלך. ביטול הקצאה של מישהו ב-IdP שלך עוצר כניסות SSO חדשות, אך דפדפן שכבר מחובר נשאר מחובר. כדי לחתוך גישה מיד, הסר אותם גם ב-הגדרות צוות → חברים.