הגדרת SSO עם Microsoft Entra ID

הגדר כניסה יחידה (SSO) בין Microsoft Entra ID (לשעבר Azure AD) לבין Clevera כדי שהצוות שלך יוכל להתחבר באמצעות חשבון העבודה שלהם ב-Microsoft. ניתן להתחבר באמצעות SAML 2.0 או OpenID Connect (OIDC); מדריך זה מכסה את שני הצדדים בצד של Entra ואת השדות התואמים ב-Clevera.

מרכז הניהול של Microsoft Entra משתנה מעת לעת. אם תווית כלשהי להלן אינה תואמת, חפש את ההגדרה בעלת המשמעות הזהה, והשתמש במדריכים הכלליים לרשימה המלאה של הערכים: SAML, OIDC.

לפני שמתחילים#

• אתה הבעלים של סביבת עבודה ב-Clevera בתוכנית מותאמת אישית.
• באפשרותך ליצור אפליקציות ארגוניות או רישומי אפליקציות ב-Entra (למשל כמנהל אפליקציות).
• אתה מכיר את דומייני האימייל שבהם משתמשים האנשים שלך, כגון acme.example.

פתח תחילה את תיבת הדו-שיח להגדרה ב-Clevera, כדי שתוכל להעתיק ממנה ערכים: פתח את תפריט סביבת העבודה בחלק העליון של סרגל הצד, בחר ב-הגדרות צוות, לאחר מכן ב-אבטחה, ולחץ על Set up SSO. בחר ב-Microsoft Entra ID (Azure AD) כספק זהות.

התחברות באמצעות SAML 2.0#

1. יצירת אפליקציה ארגונית#

   במרכז הניהול של Microsoft Entra, עבור אל Enterprise applications ולחץ על New application, ולאחר מכן על Create your own application. תן לה את השם Clevera, בחר ב-Integrate any other application you don't find in the gallery (Non-gallery) ולחץ על Create.

2. בחירת SAML#

   באפליקציה החדשה, פתח את Single sign-on ובחר ב-SAML.

3. הזנת הערכים של Clevera#

   ב-Basic SAML Configuration, לחץ על עריכה ומלא את הפרטים:

   שדה ב-Entra	ערך מ-Clevera
   Identifier (Entity ID)	Entity ID / Audience URI (העתק אותו מתיבת הדו-שיח של Clevera; הוא מסתיים במזהה סביבת העבודה שלך)
   Reply URL (Assertion Consumer Service URL)	https://app.clevera.ai/sso/saml/callback
   Sign on URL	השאר ריק
   Relay State	השאר ריק
   Logout Url	רק אם תשתמש בהתנתקות יחידה: https://app.clevera.ai/sso/saml/slo

   לחץ על שמירה.

4. בדיקת התביעות (claims)#

   ב-Attributes & Claims, פתח את Unique User Identifier (Name ID). הגדר את Name identifier format ל-כתובת אימייל ואת תכונת המקור לתכונה שמחזיקה את האימייל של האנשים: user.mail, או user.userprincipalname אם שם ההתחברות שלהם הוא האימייל שלהם. שמור על תביעות ברירת המחדל givenname, surname ו-emailaddress: Clevera קוראת אותן.

5. חתימה על התגובה והטענה#

   ב-SAML Certificates, לחץ על עריכה לצד אישור החתימה. הגדר את Signing Option ל-Sign SAML response and assertion ואת Signing Algorithm ל-SHA-256. לחץ על שמירה.

   Entra חותמת כברירת מחדל רק על הטענה (assertion), ו-Clevera דוחה זאת.

6. העתקת הערכים של Entra לתוך Clevera#

   ב-SAML Certificates, הורד את Certificate (Base64) ופתח אותו בעורך טקסט. ב-Set up Clevera, העתק את כתובות ה-URL. ב-Clevera, הגדר את Protocol ל-SAML 2.0, לחץ על המשך, והדבק:

   ערך מ-Entra	שדה ב-Clevera
   Microsoft Entra Identifier	IdP Entity ID
   Login URL	SSO sign-in URL
   Logout URL	Logout URL (אופציונלי)
   התוכן של Certificate (Base64)	X.509 certificate

7. הקצאת אנשים#

   ב-Users and groups, לחץ על Add user/group והוסף את האנשים או הקבוצות שאמורים להשתמש ב-Clevera.

לאחר מכן סיים ב-Clevera: דומיינים ותפקידים.

התחברות באמצעות OpenID Connect#

1. רישום האפליקציה#

   בתיבת הדו-שיח להגדרה של Clevera, הגדר את Protocol ל-OpenID Connect והעתק את ה-Redirect URI (callback URL) מהתיבה האפורה. ב-Entra, עבור אל App registrations ולחץ על New registration. תן לה את השם Clevera, בחר ב-Accounts in this organizational directory only (Single tenant), ותחת Redirect URI בחר ב-Web והדבק את https://app.clevera.ai/sso/oidc/callback. לחץ על Register.

2. העתקת המזהים (IDs)#

   ב-Overview של האפליקציה, העתק את ה-Application (client) ID ואת ה-Directory (tenant) ID.

3. יצירת סוד לקוח (client secret)#

   פתח את Certificates & secrets, לחץ על New client secret, בחר תאריך תפוגה ולחץ על הוספה. העתק את הערך (Value) של הסוד מיד (לא את ה-Secret ID); Entra מציגה אותו רק פעם אחת.

4. הוספת תביעת אימייל#

   פתח את Token configuration, לחץ על Add optional claim, בחר ב-ID, סמן את email ולחץ על הוספה. אשר את ההנחיה להוספת הרשאת האימייל של Microsoft Graph. ללא הרשאה זו, Clevera חוזרת להשתמש בשם ההתחברות (preferred_username), מה שעובד רק כאשר זהו האימייל של האדם.

5. מילוי הפרטים ב-Clevera#

   ב-Clevera, לחץ על המשך והזן:

   שדה ב-Clevera	ערך
   Client ID	Application (client) ID
   Client secret	הערך (Value) של הסוד
   Discovery URL	https://login.microsoftonline.com/ ה-Directory (tenant) ID שלך /v2.0/.well-known/openid-configuration

   השתמש במזהה הדייר (tenant ID) שלך בכתובת ה-URL, לא ב-common או organizations: Clevera בודקת את המנפיק, וכתובות ה-URL המשותפות הללו אינן תואמות לו.

6. הגבלת המשתמשים שיכולים להתחבר (אופציונלי)#

   כברירת מחדל, כל מי שנמצא בדייר שלך יכול להשתמש באפליקציה. כדי להגביל זאת, פתח את Enterprise applications → Clevera → Properties, הגדר את Assignment required? ל-כן, והוסף אנשים או קבוצות ב-Users and groups.

סיום ב-Clevera#

1. ב-Domains & roles, הוסף כל דומיין אימייל שבו משתמשים האנשים שלך, כולל כל דומיין מאומת נוסף בדייר שלך. בחר ב-Create accounts on first sign-in וב-Default role for new SSO members.
2. ב-סקור, לחץ על Save configuration.
3. לחץ על Run test, הפעל את Enable SSO, והתחבר כמשתמש בדיקה בחלון פרטי, החל מדף ההתחברות של Clevera.
4. כשהכל עובד עבור כולם, הפעל את Require SSO אם ברצונך ש-SSO תהיה הדרך היחידה להיכנס.

חברים מקלידים את אימייל העבודה שלהם בדף ההתחברות של Clevera ולוחצים על Continue with Microsoft Entra ID (Azure AD).

פתרון בעיות#

הודעות נוספות: פתרון בעיות התחברות ב-SSO.

קשור#