דלג לתוכן
מרכז העזרה של Clevera

הגדרת SSO עם OpenID Connect

חבר את Clevera לספק הזהות שלך באמצעות OpenID Connect: ה-URI להפניה מחדש, ה-scopes ואימות הלקוח שה-IdP שלך דורש, ה-claims ש-Clevera קוראת, כל שדות ההגדרה, בדיקה והפעלה של SSO.

עודכן ב-6 דקות קריאה

חבר את Clevera לספק הזהות (IdP) שלך באמצעות OpenID Connect (OIDC) כדי שהצוות שלך יוכל להתחבר באמצעות חשבון החברה שלהם. מאמר זה מכסה את האפליקציה שעליך ליצור ב-IdP שלך, כל שדה בתיבת ההגדרה של Clevera, ה-claims ש-Clevera קוראת, וכיצד לבדוק ולהפעיל את התכונה.

למידע על השינויים ש-SSO מחיל על חברי הצוות שלך, קרא תחילה את הבנת Single Sign-On. מדריכים ספציפיים לספקים זמינים עבור Okta, Microsoft Entra ID ו-Google Workspace.

לפני שמתחילים

  • אתה הבעלים של סביבת עבודה בתוכנית מותאמת אישית.
  • באפשרותך ליצור אפליקציית OIDC (אינטרנט) ב-IdP שלך, או שאתה עובד עם מישהו שיכול לעשות זאת.
  • אתה מכיר את כל דומייני ה-אימייל שהצוות שלך משתמש בהם.

יצירת האפליקציה ב-IdP שלך

צור אפליקציית אינטרנט (לקוח חסוי עם סוד לקוח) והגדר אותה כך:

הגדרת IdP ערך
Redirect URI (URI להפניה מחדש של התחברות, כתובת URL של callback) https://app.clevera.ai/sso/oidc/callback
סוג הרשאה (Grant type) קוד הרשאה (Authorization code)
אימות לקוח סוד לקוח (Client secret). Clevera שולחת את הסוד בגוף בקשת ה-token (client_secret_post).
Scopes openid, email, profile
URI להפניה מחדש של התנתקות, URI להתחלת התחברות השאר ריק. ההתחברות חייבת להתחיל בדף ההתחברות של Clevera.

אין צורך להקליד את ה-URI להפניה מחדש. בתיבת ההגדרה של Clevera, בחר ב-OpenID Connect בשלב הראשון: התיבה האפורה "עבור האדם שמגדיר את ספק הזהות שלך" מציגה את ה-Redirect URI (כתובת URL של callback) עם כפתור העתקה.

שלב 1 של תיבת הגדרת ה-SSO עם Okta ו-OpenID Connect שנבחרו, מציג את ה-Redirect URI (כתובת URL של callback) עם כפתור העתקה
העתק את ה-URI להפניה מחדש לתוך ספק הזהות שלך.

כאשר האפליקציה נוצרת, העתק את ה-client ID, ה-client secret וה-discovery URL שלה (נקרא גם OpenID configuration URL או well-known URL, ומסתיים ב-/.well-known/openid-configuration).

Claims ש-Clevera קוראת

Clevera קוראת את ה-ID token, וכאשר ל-IdP יש נקודת קצה של UserInfo, היא קוראת גם את תגובת ה-UserInfo בנוסף.

מטרה Claims, לפי סדר הערות
אימייל email, לאחר מכן preferred_username, לאחר מכן upn הראשון שמהווה כתובת אימייל תקינה הוא זה שבו נעשה שימוש. ללא כתובת כזו, ההתחברות תיכשל.
שם name, לאחר מכן given_name + family_name, לאחר מכן preferred_username בשימוש רק כאשר Clevera יוצרת חשבון חדש. חוזרת לחלק של האימייל שלפני ה-@.

Clevera אינה קוראת claims של קבוצות או תפקידים: כל מי שנוצר על ידי SSO מקבל את תפקיד ברירת המחדל שתבחר ב-Clevera.

חיבור ה-IdP שלך ב-Clevera

  1. פתיחת כרטיסיית אבטחה

    פתח את תפריט סביבת העבודה בחלק העליון של סרגל הצד, בחר ב-הגדרות צוות, ולאחר מכן ב-אבטחה. תחת Single sign-on, לחץ על Set up SSO.

  2. ספק

    בחר את ספק הזהות שלך והגדר את ה-Protocol ל-OpenID Connect. העתק את ה-Redirect URI (כתובת URL של callback) לתוך ה-IdP שלך אם טרם עשית זאת, ולאחר מכן לחץ על המשך. (JumpCloud תומכת ב-SAML בלבד ב-Clevera.)

    שם הספק הוא מה שהחברים רואים על כפתור ההתחברות, לדוגמה Continue with Okta. עם Custom SAML/OIDC Provider, הכפתור מציג Continue with SSO.

  3. ספק זהות

    מלא את השדות למטה. לחץ על המשך.

  4. דומיינים ותפקידים

    הוסף כל דומיין אימייל תחת Allowed email domains, בחר אם Create accounts on first sign-in, ובחר את ה-Default role for new SSO members. אלו פועלים באותו אופן כמו ב-SAML: ראה דומיינים ותפקידים.

  5. סקירה

    בדוק את הסיכום ולחץ על Save configuration. תראה את ההודעה "SSO configuration saved. Run a test, then turn it on." שמירה אינה מפעילה את ה-SSO.

שדות ספק זהות

שלב 2 של תיבת הגדרת ה-SSO עבור OpenID Connect עם client ID, סוד ו-discovery URL
עם discovery URL, שדות נקודות הקצה נשארים מוסתרים.
שדה נדרש מה להזין
Client ID כן ה-client ID של אפליקציית ה-OIDC שלך.
Client secret כן ה-client secret של אפליקציית ה-OIDC שלך. נשמר מוצפן ולא מוצג שוב; כאשר תערוך מאוחר יותר, יופיע "A secret is stored. Leave blank to keep it."
Discovery URL מומלץ "מומלץ. נקודות הקצה נקראות ממנו." לדוגמה https://idp.example.com/.well-known/openid-configuration.
Authorization URL רק ללא discovery URL נקודת הקצה של האישור של ה-IdP שלך.
Token URL רק ללא discovery URL נקודת הקצה של ה-token של ה-IdP שלך.
UserInfo URL לא נקודת הקצה של ה-UserInfo של ה-IdP שלך. מוצג רק ללא discovery URL.

שלושת שדות נקודות הקצה מופיעים רק כאשר ה-Discovery URL ריק.

מדוע ה-discovery URL עדיף

עם discovery URL, Clevera קוראת את נקודות הקצה בעצמה ובודקת כל התחברות מול מפתחות החתימה והמנפיק שפורסמו על ידי ה-IdP שלך. הזן נקודות קצה ידנית רק אם ל-IdP שלך אין מסמך discovery.

  • ה-discovery URL חייב להיות המנפיק של ה-IdP בתוספת /.well-known/openid-configuration, וה-issuer בתוכו חייב להתאים ל-tokens שה-IdP שלך מנפיק. כתובות URL מרובות דיירים שהמנפיק שלהן מכיל מציין מיקום (כמו נקודת הקצה common של Microsoft) אינן עובדות; השתמש בכתובת ה-URL של הדייר שלך.
  • כל כתובת URL חייבת להיות כתובת https:// (או http://) ציבורית ששרתי Clevera יכולים להגיע אליה. כתובות ברשת פרטית, כגון IdP שניתן להגיע אליו רק דרך ה-VPN שלך, נדחות. כל פורט הוא תקין.
  • Clevera שומרת את מסמך ה-discovery ומפתחות החתימה למשך עד שעה. אם ה-IdP שלך מחליף את מפתחות החתימה שלו בזמן זה, Clevera תמשוך את המפתחות החדשים פעם אחת לפני שתדחה התחברות, כך שהחלפת מפתחות לא תנעל משתמשים בחוץ.

בדיקת החיבור

  1. הרצת הבדיקה

    בכרטיסיית ה-אבטחה, לחץ על Run test. היא בודקת שה-client ID והסוד נשמרו, ועם discovery URL, שהמסמך נטען ומכיל נקודת קצה של אישור. תראה את ההודעה "SSO configuration is valid and ready to use." או רשימת בעיות. ראה תיקון בעיות התחברות ב-SSO.

    בדיקת SSO שנכשלה ומסבירה שלא ניתן היה לטעון את מסמך ה-OIDC discovery
    כל בעיה מציינת מה עליך לתקן.

  2. הפעלת SSO

    הפעל את Enable SSO. תראה את ההודעה "SSO turned on." והתג יציג פעיל.

  3. התחברות כחבר צוות לבדיקה

    בחלון דפדפן פרטי, עבור לדף ההתחברות של Clevera, הקלד את האימייל של חבר הצוות, לחץ על Continue with הספק שלך והתחבר. עליך להגיע לדף הבית של Clevera בסביבת העבודה שלך. כבעלים, תמיד תוכל להתחבר עם הסיסמה שלך, כך שזה לא יכול לנעול אותך בחוץ.

Run test לא בודקת את ה-client secret או התחברות אמיתית; רק שלב 3 עושה זאת.

דרישת SSO, שינוי או הסרה

אלו פועלים באותו אופן כמו ב-SAML:

  • הפעל את Require SSO כאשר כולם יכולים להתחבר. חברים בדומיינים שלך לא יוכלו להשתמש בסיסמה או ב-Google.
  • עריכה משנה את החיבור. השאר את ה-Client secret ריק כדי לשמור על הקיים. כאשר אתה מחליף את הסוד ב-IdP שלך, הדבק את החדש ושמור.
  • Remove SSO configuration (בתפריט שליד תג הסטטוס) מוחק אותה. חברים שנוצרו על ידי SSO ישתמשו ב-שכחת סיסמה? כדי להגדיר סיסמה.

ראה הגדרת SSO עם SAML לפרטים. ל-OIDC אין התנתקות יחידה (single logout): התנתקות מה-IdP שלך לא מנתקת אנשים מ-Clevera.

הבנת Single Sign-Onמה SSO משנה עבור החברים שלך.הגדרת SSO עם SAMLהחלופה ל-SAML 2.0.הגדרת SSO עם Microsoft Entra IDהמסכים של Entra צעד אחר צעד.תיקון בעיות התחברות ב-SSOכל הודעות ה-SSO ומה לעשות.