Memahami single sign-on (SSO) di Clevera
Apa fungsi single sign-on di Clevera: paket mana yang menyertakannya, SAML 2.0 vs OpenID Connect, siapa yang bisa masuk dengannya, Wajibkan SSO, serta apa yang terjadi pada anggota dan kata sandi yang sudah ada.
Single sign-on (SSO) memungkinkan tim kamu masuk ke Clevera dengan akun perusahaan mereka dari Okta, Microsoft Entra ID, Google Workspace, atau penyedia SAML 2.0 atau OpenID Connect lainnya. Artikel ini menjelaskan fungsi SSO di Clevera, siapa yang bisa mengaturnya, dan perubahan apa yang terjadi bagi anggota kamu.
Sebelum kamu mulai
- Paket: SSO adalah bagian dari paket Custom. Pada paket lain, pemilik akan melihat Paket Custom diperlukan di Pengaturan tim → Keamanan, dengan tautan Hubungi kami. Lihat Pilih paket.
- Siapa yang mengaturnya: hanya Pemilik ruang kerja. Administrator tidak dapat melihat atau mengubah pengaturan SSO.
- Penyedia identitas kamu: seseorang yang dapat membuat aplikasi di penyedia identitas (IdP) kamu, atau yang dapat mengirimkan nilainya kepada kamu.
- Domain email kamu: setiap domain perusahaan yang digunakan orang-orang kamu untuk masuk, seperti
acme.example.
Apa fungsi SSO di Clevera
| Apa yang terjadi | |
|---|---|
| Masuk | Pengguna mengetik email kantor mereka di halaman masuk Clevera dan mengeklik Lanjutkan dengan penyedia kamu. Mereka masuk di IdP kamu dan kembali dalam keadaan masuk ke ruang kerja kamu. |
| Orang baru | Dengan Buat akun saat pertama kali masuk aktif, seseorang yang belum memiliki akun Clevera akan mendapatkannya saat pertama kali masuk, dan bergabung dengan ruang kerja kamu dengan peran default yang kamu pilih (sebagai Editor jika peran tersebut memerlukan kursi pembuat dan tidak ada yang tersedia). |
| Anggota yang sudah ada | Anggota yang domain emailnya ada dalam daftar kamu dapat langsung masuk dengan SSO. Tidak ada perubahan pada video atau peran mereka. |
| Wajibkan SSO | Dengan Wajibkan SSO aktif, anggota dengan domain kamu tidak bisa lagi masuk dengan kata sandi atau Google, dan orang baru dengan domain kamu tidak bisa mendaftar dengan kata sandi. |
| Pemilik | Pemilik selalu bisa masuk dengan kata sandi mereka, jadi kamu tidak akan terkunci dari akun sendiri. |
SSO bekerja per ruang kerja: koneksi, domain, dan aturannya menjadi milik ruang kerja tempat kamu mengaturnya.
SAML 2.0 atau OpenID Connect
Clevera mendukung keduanya. Pilih yang lebih disukai oleh admin IdP kamu; hasilnya bagi anggota kamu sama saja.
| SAML 2.0 | OpenID Connect (OIDC) | |
|---|---|---|
| Apa yang kamu masukkan di Clevera | IdP Entity ID, URL masuk SSO, sertifikat X.509, URL Keluar opsional | Client ID, client secret, dan URL penemuan (atau endpoint secara manual) |
| Apa yang kamu berikan ke IdP | Entity ID / Audience URI dan ACS URL (Reply URL) | Redirect URI (callback URL) |
| Keluar tunggal dari IdP | Didukung, jika kamu menambahkan URL Keluar | Tidak didukung |
| Panduan | Atur SSO dengan SAML | Atur SSO dengan OpenID Connect |
Panduan penyedia: Okta, Microsoft Entra ID, Google Workspace. OneLogin (SAML atau OIDC) dan JumpCloud (hanya SAML) juga ada dalam daftar penyedia; ikuti panduan SAML atau OIDC umum untuk mereka.
Cara kerja pengaturan
Buat aplikasi di IdP kamu
Gunakan nilai yang ditampilkan Clevera pada langkah pertama dialog pengaturan, masing-masing dengan tombol salin: Entity ID dan ACS URL untuk SAML, atau redirect URI untuk OIDC.
Hubungkan di Clevera
Buka menu ruang kerja di bagian atas bilah sisi, pilih Pengaturan tim, lalu Keamanan. Di bawah Single sign-on, klik Atur SSO dan selesaikan empat langkah: Penyedia, Penyedia identitas, Domain & peran, Tinjau. Klik Simpan konfigurasi.
Uji coba
Klik Jalankan uji coba, lalu masuk dengan anggota uji coba di jendela peramban pribadi.
Aktifkan
Aktifkan Aktifkan SSO. Setelah semua orang bisa masuk, aktifkan Wajibkan SSO jika kamu ingin SSO menjadi satu-satunya cara untuk masuk.
Menyimpan tidak akan mengaktifkan SSO secara otomatis, jadi kamu bisa menyiapkan koneksi tanpa memengaruhi siapa pun.
Cara orang masuk setelahnya
- Di halaman masuk Clevera, mereka mengetik email kantor mereka.
- Clevera mengenali domain tersebut dan menampilkan "Organisasi kamu menggunakan Okta" (nama penyedia kamu) dengan tombol Lanjutkan dengan Okta. Dengan Penyedia SAML/OIDC Kustom, tertulis "Organisasi kamu menggunakan SSO" dan tombolnya bertuliskan Lanjutkan dengan SSO. Dengan Wajibkan SSO aktif, ditambahkan "Anggota organisasi ini masuk dengan Okta."
- Mereka mengeklik tombol tersebut, masuk di IdP kamu, dan mendarat di halaman beranda Clevera mereka di ruang kerja kamu. Jika mereka sedang membuka tautan Clevera saat diminta masuk, mereka akan mendarat di halaman tersebut.
Mereka tetap masuk di peramban tersebut sampai mereka keluar. Keluar dari Clevera tidak mengeluarkan mereka dari IdP kamu.
Aplikasi desktop: aplikasi desktop masuk melalui peramban kamu. Di halaman masuk peramban, ketik email kantor kamu dan klik Lanjutkan dengan penyedia kamu. Setelah kamu masuk di IdP kamu, peramban akan mengembalikan kamu ke aplikasi desktop, yang kemudian menyelesaikan proses masuk. Lihat Masuk ke aplikasi desktop.
Siapa yang bisa menggunakan SSO
| Orang | Bisa masuk dengan SSO? |
|---|---|
| Anggota ruang kerja yang domain emailnya ada di daftar kamu | Ya |
| Seseorang dengan domain kamu yang belum punya akun Clevera | Ya, jika Buat akun saat pertama kali masuk aktif. Jika tidak, undang mereka terlebih dahulu. |
| Seseorang dengan domain kamu yang sudah punya akun Clevera tapi bukan anggota ruang kerja ini | Tidak. Undang mereka, dan setelah mereka menerima, SSO akan berfungsi untuk mereka. |
| Pemilik | Ya, jika mereka menyimpan konfigurasi SSO sendiri. Mereka juga selalu bisa menggunakan kata sandi. |
| Siapa pun yang domain emailnya tidak ada di daftar kamu | Tidak. Mereka tetap masuk seperti cara yang mereka gunakan sekarang. |
Baris ketiga dan keempat adalah pengaman: karena domain email di Clevera tidak diverifikasi, SSO tidak akan pernah mengambil alih akun yang belum ada di ruang kerja kamu, dan tidak akan pernah memasukkan pemilik melalui koneksi yang disimpan orang lain.
Kursi pembuat
Seseorang yang dibuat oleh SSO mendapatkan Peran default untuk anggota SSO baru yang kamu pilih. Jika itu adalah Pembuat Konten dan setiap kursi pembuat di paket kamu sudah terisi, mereka akan bergabung sebagai Editor, yang tidak menggunakan kursi. Tambahkan kursi dan ubah peran mereka di Pengaturan tim → Anggota. Lihat Memahami ruang kerja, peran, dan kursi pembuat.
Apa yang terjadi pada kata sandi
- Anggota yang sudah ada tetap menyimpan kata sandi mereka. Selama Wajibkan SSO nonaktif, mereka bisa menggunakan salah satunya. Jika aktif, anggota yang masuk dengan kata sandi yang benar akan melihat "Organisasi kamu mewajibkan Single Sign-On. Gunakan tombol SSO untuk melanjutkan."
- Orang baru dengan domain kamu tidak bisa membuat akun dengan kata sandi saat Wajibkan SSO aktif. Formulir pendaftaran akan menjawab "Organisasi kamu masuk dengan single sign-on (SSO). Buka Masuk, masukkan email ini, dan pilih Lanjutkan dengan SSO." Akun mereka dibuat saat pertama kali mereka masuk dengan SSO (dengan Buat akun saat pertama kali masuk aktif; jika tidak, undang mereka).
- Akun yang dibuat oleh SSO tidak memiliki kata sandi yang diketahui pengguna. Jika SSO nantinya dimatikan atau dihapus, mereka menggunakan Lupa kata sandi? di halaman masuk untuk mengaturnya.
- Masuk dengan Google diblokir untuk anggota dengan domain kamu saat Wajibkan SSO aktif.
Menghapus akses seseorang
Clevera tidak menyinkronkan pengguna dari IdP kamu. Membatalkan penugasan seseorang di IdP kamu akan menghentikan masuk SSO baru, tetapi peramban yang sudah masuk akan tetap masuk. Untuk memutus akses secara langsung, hapus mereka di Pengaturan tim → Anggota juga.