דלג לתוכן
מרכז העזרה של Clevera

הגדרת SSO עם SAML 2.0

חברו את Clevera לספק הזהות שלכם באמצעות SAML 2.0: מזהה הישות (Entity ID) וכתובת ה-ACS שיש לספק ל-IdP, הגדרות חתימה ו-Name ID, המאפיינים ש-Clevera קוראת, כל שדות ההגדרה, וכן בדיקה והפעלה של SSO.

עודכן ב-9 דקות קריאה

חברו את Clevera לספק הזהות (IdP) שלכם באמצעות SAML 2.0 כדי שהצוות שלכם יוכל להתחבר באמצעות חשבון החברה. מאמר זה מפרט את כל השדות בתיבת הדו-שיח של ההגדרה ב-Clevera, את הערכים המדויקים שה-IdP שלכם דורש, וכיצד לבדוק ולהפעיל את התכונה.

למידע על השינויים ש-SSO מחולל עבור החברים שלכם, קראו תחילה את הבנת ה-Single sign-on. עבור מסכי IdP שלב-אחר-שלב, עיינו במדריכים עבור Okta, Microsoft Entra ID ו-Google Workspace.

לפני שמתחילים

  • אתם הבעלים של סביבת עבודה בתוכנית מותאמת אישית.
  • באפשרותכם ליצור אפליקציית SAML ב-IdP שלכם, או שאתם עובדים עם מישהו שיכול לעשות זאת.
  • אתם מכירים את כל דומייני האימייל שהצוות שלכם משתמש בהם, כגון acme.example ו-eu.acme.example.

ערכים שיש לספק ל-IdP שלכם

Clevera מציגה ערכים אלו בתיבת הדו-שיח של ההגדרה תחת "עבור האדם שמגדיר את ספק הזהות שלך", כאשר לכל אחד מהם יש כפתור העתקה. העתיקו אותם משם: מזהה הישות (Entity ID) מכיל את המזהה הייחודי של סביבת העבודה שלכם.

שלב 1 של תיבת הדו-שיח להגדרת SSO עם Okta ו-SAML 2.0 שנבחרו, יחד עם מזהה הישות, כתובת ה-ACS וכתובת ה-URL של המטא-דאטה להעתקה
העתיקו את שלושת הערכים הללו לתוך ספק הזהות שלכם.
תווית Clevera מה זה ב-IdP שלכם ערך
Entity ID / Audience URI Audience URI, SP Entity ID, Identifier https://app.clevera.ai/sso/metadata/ ואחריו מזהה סביבת העבודה שלכם
ACS URL (Reply URL) Assertion Consumer Service URL, Single sign-on URL, Reply URL https://app.clevera.ai/sso/saml/callback
SP metadata URL Service provider metadata אותה כתובת כמו מזהה הישות. היא מגישה את מטא-דאטה ה-SAML של Clevera כ-XML, עבור ספקי זהות שיכולים לייבא אותו.

הגדירו את האפליקציה ב-IdP שלכם באופן הבא:

הגדרת IdP הגדירו ל-
Name ID format EmailAddress (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress)
Name ID value אימייל העבודה של האדם
Signing חיתמו על גם את תגובת ה-SAML וגם את ה-Assertion. מומלץ להשתמש ב-SHA-256.
Assertion encryption כבוי. Clevera אינה מקבלת Assertions מוצפנים.
Signed authentication requests לא נדרש. Clevera שולחת בקשות לא חתומות.
Binding for the ACS URL HTTP POST
Default RelayState, IdP-initiated sign-in השאירו ריק. ההתחברות חייבת להתחיל בדף ההתחברות של Clevera.

מאפיינים ש-Clevera קוראת

האימייל מגיע מה-Name ID. אם ה-Name ID אינו כתובת אימייל, Clevera מחפשת את הראשון מבין המאפיינים הבאים:

מטרה שמות מאפיינים ש-Clevera מקבלת, לפי סדר
אימייל email, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress, User.Email
שם פרטי firstName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname, User.FirstName, first_name
שם משפחה lastName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname, User.LastName, last_name
שם תצוגה (בשימוש כשאין שם פרטי או שם משפחה) displayName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name, User.Name, name

שמות משמשים רק כאשר Clevera יוצרת חשבון חדש. ללא מאפייני שם כלל, החשבון מקבל שם לפי החלק של האימייל שלפני ה-@. Clevera אינה קוראת מאפייני קבוצה או תפקיד: כל מי שנוצר באמצעות SSO מקבל את תפקיד ברירת המחדל שתבחרו למטה.

חיבור ה-IdP שלכם ב-Clevera

  1. פתיחת כרטיסיית האבטחה

    פתחו את תפריט סביבת העבודה בחלק העליון של סרגל הצד, בחרו ב-הגדרות צוות, ולאחר מכן ב-אבטחה. תחת Single sign-on, לחצו על Set up SSO. תיבת הדו-שיח Configure single sign-on תיפתח.

  2. ספק

    בחרו את Identity provider שלכם (Okta, Microsoft Entra ID (Azure AD), OneLogin, Google Workspace, JumpCloud, או Custom SAML/OIDC Provider) והגדירו את Protocol ל-SAML 2.0. העתיקו את הערכים בתיבה האפורה לתוך ה-IdP שלכם, ולאחר מכן לחצו על המשך.

    שם הספק הוא מה שהחברים רואים על כפתור ההתחברות, לדוגמה Continue with Okta. עם Custom SAML/OIDC Provider, הכפתור מציג Continue with SSO.

  3. ספק זהות

    הדביקו את הערכים מדף הגדרת ה-SAML של ה-IdP שלכם. עיינו במדריך השדות. לחצו על המשך.

  4. דומיינים ותפקידים

    הקלידו כל דומיין אימייל תחת Allowed email domains ולחצו על הוספה (או לחצו על Enter). לאחר מכן בחרו האם Create accounts on first sign-in ובחרו את ה-Default role for new SSO members. עיינו בדומיינים ותפקידים.

  5. סקירה

    בדקו את הסיכום ולחצו על Save configuration. תראו את ההודעה "SSO configuration saved. Run a test, then turn it on." (הגדרת ה-SSO נשמרה. הריצו בדיקה, ולאחר מכן הפעילו אותה). שמירה אינה מפעילה את ה-SSO.

שדות ספק זהות

שלב 2 של תיבת הדו-שיח להגדרת SSO עם מזהה הישות של ה-IdP, כתובת ה-URL להתחברות והתעודה מלאים
כתובת ה-URL להתנתקות היא אופציונלית.
שדה נדרש מה להדביק איך ה-IdP שלכם קורא לזה
IdP Entity ID כן מנפיק ה-IdP, בדיוק כפי שהוא מופיע ב-IdP שלכם Identity Provider Issuer, Entity ID, Microsoft Entra Identifier
SSO sign-in URL כן כתובת ה-URL שאליה Clevera שולחת אנשים להתחברות (HTTP Redirect binding) Identity Provider Single Sign-On URL, Login URL, SSO URL
Logout URL לא כתובת ה-URL להתנתקות יחידה של ה-IdP שלכם. "השאירו ריק אלא אם הספק שלכם דורש התנתקות יחידה." Single Logout URL, Logout URL
X.509 certificate כן תעודת החתימה של ה-IdP שלכם X.509 Certificate, Certificate (Base64)

התעודה

  • הדביקו את התעודה המלאה. השורות -----BEGIN CERTIFICATE----- ו------END CERTIFICATE----- הן אופציונליות; רווחים ושבירות שורות מתעלמים מהם.
  • השתמשו בטקסט Base64 (PEM), לא בקובץ .cer בינארי. אם הורדתם קובץ, פתחו אותו בעורך טקסט והעתיקו את תוכנו.
  • Clevera שומרת אותה מוצפנת ולעולם לא מציגה אותה שוב. כאשר תערכו את החיבור מאוחר יותר, השדה יציג "A certificate is stored. Leave blank to keep it." (תעודה שמורה. השאירו ריק כדי לשמור עליה).
  • Run test יגיד לכם אם לא ניתן לקרוא את התעודה או אם פג תוקפה.

דומיינים ותפקידים

שלב 3 של תיבת הדו-שיח להגדרת SSO עם שני דומיינים מורשים, יצירת חשבון מופעלת ו-Editor כתפקיד ברירת המחדל
Administrator לא מוצע בזמן שיצירת חשבונות מופעלת באופן אוטומטי.
הגדרה מה היא עושה ברירת מחדל
Allowed email domains רק אנשים עם דומייני אימייל אלו יכולים להשתמש בחיבור. הדומיינים גם קובעים מתי דף ההתחברות מציע SSO. נדרש לפחות אחד. ללא
Create accounts on first sign-in "חשבון Clevera נוצר בפעם הראשונה שמישהו מתחבר עם SSO." החשבון החדש מצטרף לסביבת עבודה זו. פעיל
Default role for new SSO members התפקיד שחשבונות חדשים מקבלים: Editor, Content Creator או Administrator. Administrator מוצע רק כאשר Create accounts on first sign-in כבוי: "חשבונות שנוצרים אוטומטית לעולם לא מקבלים Administrator." Editor

אודות דומיינים:

  • דומיין חייב להתאים בדיוק. acme.example לא מכסה את eu.acme.example; הוסיפו כל אחד מהם.
  • הקלידו את הדומיין בלבד (acme.example), לא אימייל. @ בתחילת השורה יוסר.
  • דומיין יכול להשתייך לסביבת עבודה אחת של Clevera בלבד. אם סביבת עבודה אחרת כבר משתמשת בו, השמירה תציג "The domain acme.example is already assigned to another team." (הדומיין acme.example כבר משויך לצוות אחר). צרו קשר עם התמיכה אם זהו הדומיין שלכם.

יוצרי תוכן (Content Creators) משתמשים במושב יוצר; עורכים (Editors) לא. אם תפקיד ברירת המחדל הוא Content Creator וכל מושבי היוצר תפוסים, מי שמצטרף דרך SSO יהפוך ל-Editor במקום זאת, כך ש-SSO לעולם לא יחרוג ממכסת המושבים שלכם. הוסיפו מושב ושנו את התפקיד שלהם ב-הגדרות צוות → חברים כשתהיו מוכנים. עיינו בהבנת סביבות עבודה, תפקידים ומושבי יוצר.

בדיקת החיבור

  1. הרצת הבדיקה

    בחזרה בכרטיסיית ה-אבטחה, לחצו על Run test ליד Test connection. היא בודקת את ההגדרות שנשמרו: שמזהה הישות, כתובת ה-URL להתחברות והתעודה קיימים, שהכתובת תקינה, ושהתעודה ניתנת לקריאה ולא פג תוקפה.

    תראו את ההודעה "SSO configuration is valid and ready to use." (הגדרת ה-SSO תקינה ומוכנה לשימוש) או "SSO configuration has issues that need to be resolved." (להגדרת ה-SSO יש בעיות שיש לפתור) עם רשימה. עיינו בתיקון בעיות התחברות ב-SSO.

    כרטיס ה-Single sign-on לאחר בדיקה שעברה בהצלחה, כאשר Enable SSO עדיין כבוי
    הריצו את הבדיקה לפני שתפעילו את ה-SSO.

  2. הפעלת SSO

    הפעילו את Enable SSO. תראו את ההודעה "SSO turned on." (ה-SSO הופעל). תג הסטטוס ישתנה מ-כבוי ל-פעיל.

  3. התחברות כחבר לבדיקה

    פתח חלון דפדפן פרטי, עבור לדף ההתחברות של Clevera והקלד את כתובת האימייל של חבר (או אדם חדש, אם חשבונות נוצרים בעת ההתחברות הראשונה). לחץ על Continue with (המשך עם) ספק השירות שלך והתחבר ב-IdP שלך. עליך להגיע לדף הבית של אותו אדם ב-Clevera בתוך סביבת העבודה שלך.

    הסשן שלך לא יושפע, וכבעלים, תמיד תוכל להתחבר באמצעות הסיסמה שלך.

Run test (הרצת בדיקה) לא יוצרת קשר עם ה-IdP שלך, לכן ההתחברות האמיתית בשלב 3 היא הבדיקה המלאה היחידה. התחל אותה מדף ההתחברות של Clevera: בדיקה שמתחילה מלוח הבקרה של ה-IdP שלך תידחה.

דרישת SSO

כאשר כולם יכולים להתחבר, הפעל את Require SSO (דרוש SSO) ("חברים תואמים חייבים להתחבר באמצעות SSO."). תראה את ההודעה "SSO is now required." (SSO נדרש כעת) והתג יציג Active · enforced (פעיל · נאכף).

כרטיס ה-Single sign-on עם SSO מופעל ונדרש, מציג Active · enforced
בעלים תמיד יכולים להשתמש בהתחברות הרגילה שלהם.

מרגע זה ואילך, חברים בדומיינים שלך לא יוכלו להשתמש בסיסמה או ב-Google, ואדם חדש בדומיינים שלך לא יוכל ליצור חשבון Clevera עם סיסמה: הם יקבלו את החשבון שלהם על ידי התחברות באמצעות SSO. ניתן להפעיל זאת רק כאשר Enable SSO (הפעל SSO) מופעל, וכיבוי Enable SSO יכבה גם אפשרות זו.

התנתקות יחידה (Single logout)

אם תמלא את Logout URL (כתובת URL להתנתקות), המטא-דאטה של Clevera יכלול גם כתובת להתנתקות: https://app.clevera.ai/sso/saml/slo (קישור HTTP Redirect). כאשר ה-IdP שלך שולח לשם בקשת התנתקות, Clevera מנתקת את האדם ושולחת אותו בחזרה ל-IdP שלך.

התנתקות מ-Clevera לא מנתקת אנשים מה-IdP שלך.

שינוי או הסרה של החיבור

  • שינוי: לחץ על עריכה לצד Provider (ספק). תיבת הדו-שיח תיפתח עם הערכים השמורים שלך; השאר את האישור ריק כדי לשמור עליו.
  • כיבוי זמני: כבה את Enable SSO (הפעל SSO). ההגדרות יישארו שמורות.
  • הסרה: פתח את התפריט לצד תג הסטטוס ובחר Remove SSO configuration (הסר הגדרת SSO), ולאחר מכן Remove SSO (הסר SSO). "חברים שמתחברים באמצעות SSO יצטרכו לאפס את הסיסמה שלהם כדי להמשיך להתחבר."

השורה Provider (ספק) מציגה את הפרוטוקול וכמה דומיינים יש לך. ברגע שאנשים משתמשים ב-SSO, שורה כגון "12 SSO sign-ins · last Oct 12" (12 התחברויות SSO · לאחרונה ב-12 באוקטובר) תופיע בתחתית המקטע.

הבנת Single sign-onמה SSO משנה עבור החברים שלך.הגדרת SSO עם OpenID Connectהחלופה של OIDC.תיקון בעיות התחברות ב-SSOכל הודעות ה-SSO ומה לעשות לגביהן.הגדרת SSO עם Oktaהמסכים של Okta צעד אחר צעד.