Lewati ke konten
Pusat Bantuan Clevera

Menyiapkan SSO dengan OpenID Connect

Hubungkan Clevera ke penyedia identitas kamu dengan OpenID Connect: URI pengalihan, cakupan, dan autentikasi klien yang dibutuhkan IdP kamu, klaim yang dibaca Clevera, setiap kolom pengaturan, pengujian, dan cara mengaktifkan SSO.

Diperbarui 6 mnt baca

Hubungkan Clevera ke penyedia identitas (IdP) kamu dengan OpenID Connect (OIDC) agar tim kamu dapat masuk dengan akun perusahaan mereka. Artikel ini membahas aplikasi yang perlu dibuat di IdP kamu, setiap kolom dalam dialog pengaturan Clevera, klaim yang dibaca Clevera, serta cara menguji dan mengaktifkannya.

Untuk mengetahui perubahan SSO bagi anggota kamu, baca Memahami single sign-on terlebih dahulu. Layar khusus penyedia tersedia dalam panduan untuk Okta, Microsoft Entra ID, dan Google Workspace.

Sebelum kamu mulai

  • Kamu adalah Pemilik ruang kerja dengan Paket kustom.
  • Kamu dapat membuat aplikasi OIDC (web) di IdP kamu, atau kamu bekerja sama dengan seseorang yang bisa melakukannya.
  • Kamu mengetahui setiap domain email yang digunakan tim kamu.

Buat aplikasi di IdP kamu

Buat aplikasi web (klien rahasia dengan rahasia klien) dan atur seperti berikut:

Pengaturan IdP Nilai
URI pengalihan (URI pengalihan masuk, URL callback) https://app.clevera.ai/sso/oidc/callback
Jenis pemberian Kode otorisasi
Autentikasi klien Rahasia klien. Clevera mengirimkan rahasia tersebut di dalam isi permintaan token (client_secret_post).
Cakupan openid, email, profile
URI pengalihan keluar, URI inisiasi masuk Biarkan kosong. Masuk harus dimulai di halaman masuk Clevera.

Kamu tidak perlu mengetik URI pengalihan. Dalam dialog pengaturan Clevera, pilih OpenID Connect pada langkah pertama: kotak abu-abu "Untuk orang yang mengatur penyedia identitas kamu" menampilkan URI pengalihan (URL callback) dengan tombol salin.

Langkah 1 dialog pengaturan SSO dengan Okta dan OpenID Connect dipilih, menampilkan URI pengalihan (URL callback) dengan tombol salin
Salin URI pengalihan ke penyedia identitas kamu.

Setelah aplikasi dibuat, salin ID klien, rahasia klien, dan URL penemuan (juga disebut URL konfigurasi OpenID atau URL well-known, yang diakhiri dengan /.well-known/openid-configuration).

Klaim yang dibaca Clevera

Clevera membaca token ID dan, jika IdP memiliki endpoint UserInfo, respons UserInfo di atasnya.

Tujuan Klaim, berurutan Catatan
Email email, lalu preferred_username, lalu upn Yang pertama yang merupakan alamat email valid akan digunakan. Tanpa ini, proses masuk gagal.
Nama name, lalu given_name + family_name, lalu preferred_username Hanya digunakan saat Clevera membuat akun baru. Menggunakan bagian email sebelum @ sebagai cadangan.

Clevera tidak membaca klaim grup atau peran: setiap orang yang dibuat melalui SSO mendapatkan peran default yang kamu pilih di Clevera.

Hubungkan IdP kamu di Clevera

  1. Buka tab Keamanan

    Buka menu ruang kerja di bagian atas bilah sisi, pilih Pengaturan tim, lalu Keamanan. Di bawah Single sign-on, klik Siapkan SSO.

  2. Penyedia

    Pilih Penyedia identitas kamu dan atur Protokol ke OpenID Connect. Salin URI pengalihan (URL callback) ke IdP kamu jika belum, lalu klik Lanjutkan. (JumpCloud hanya mendukung SAML di Clevera.)

    Nama penyedia adalah apa yang dilihat anggota pada tombol masuk, misalnya Lanjutkan dengan Okta. Dengan Penyedia SAML/OIDC Kustom, tombol tersebut bertuliskan Lanjutkan dengan SSO.

  3. Penyedia identitas

    Isi kolom di bawah ini. Klik Lanjutkan.

  4. Domain & peran

    Tambahkan setiap domain email di bawah Domain email yang diizinkan, pilih apakah akan Buat akun saat pertama kali masuk, dan pilih Peran default untuk anggota SSO baru. Ini berfungsi sama seperti SAML: lihat Domain dan peran.

  5. Tinjau

    Periksa ringkasan dan klik Simpan konfigurasi. Kamu akan melihat "Konfigurasi SSO disimpan. Jalankan tes, lalu aktifkan." Menyimpan tidak berarti mengaktifkan SSO.

Kolom penyedia identitas

Langkah 2 dialog pengaturan SSO untuk OpenID Connect dengan ID klien, rahasia, dan URL penemuan
Dengan URL penemuan, kolom endpoint tetap tersembunyi.
Kolom Wajib Apa yang harus diisi
ID klien Ya ID klien aplikasi OIDC kamu.
Rahasia klien Ya Rahasia klien aplikasi OIDC kamu. Disimpan terenkripsi dan tidak pernah ditampilkan lagi; saat kamu mengedit nanti, "Rahasia tersimpan. Biarkan kosong untuk tetap menggunakannya."
URL penemuan Disarankan "Disarankan. Endpoint dibaca darinya." Misalnya https://idp.example.com/.well-known/openid-configuration.
URL otorisasi Hanya tanpa URL penemuan Endpoint otorisasi IdP kamu.
URL token Hanya tanpa URL penemuan Endpoint token IdP kamu.
URL UserInfo Tidak Endpoint UserInfo IdP kamu. Hanya ditampilkan tanpa URL penemuan.

Tiga kolom endpoint hanya muncul saat URL penemuan kosong.

Mengapa URL penemuan lebih baik

Dengan URL penemuan, Clevera membaca endpoint sendiri dan memeriksa setiap upaya masuk terhadap kunci penandatanganan dan penerbit yang dipublikasikan IdP kamu. Masukkan endpoint secara manual hanya jika IdP kamu tidak memiliki dokumen penemuan.

  • URL penemuan harus berupa penerbit IdP ditambah /.well-known/openid-configuration, dan issuer di dalamnya harus cocok dengan token yang diterbitkan IdP kamu. URL multi-penyewa yang penerbitnya berisi placeholder (seperti endpoint common Microsoft) tidak berfungsi; gunakan URL penyewa kamu sendiri.
  • Setiap URL harus berupa alamat https:// (atau http://) publik yang dapat dijangkau oleh server Clevera. Alamat di jaringan pribadi, seperti IdP yang hanya dapat dijangkau melalui VPN kamu, akan ditolak. Port apa pun bisa digunakan.
  • Clevera menyimpan dokumen penemuan dan kunci penandatanganan hingga satu jam. Jika IdP kamu merotasi kunci penandatanganannya dalam waktu tersebut, Clevera akan mengambil kunci baru sekali sebelum menolak upaya masuk, sehingga rotasi kunci tidak akan mengunci akses pengguna.

Uji koneksi

  1. Jalankan pemeriksaan

    Pada tab Keamanan, klik Jalankan tes. Ini memeriksa apakah ID klien dan rahasia telah disimpan dan, dengan URL penemuan, apakah dokumen dimuat dan berisi endpoint otorisasi. Kamu akan melihat "Konfigurasi SSO valid dan siap digunakan." atau daftar masalah. Lihat Memperbaiki masalah masuk SSO.

    Tes SSO gagal yang menjelaskan bahwa dokumen penemuan OIDC tidak dapat dimuat
    Setiap masalah memberi tahu kamu apa yang harus diperbaiki.

  2. Aktifkan SSO

    Aktifkan Aktifkan SSO. Kamu akan melihat "SSO diaktifkan." dan lencana bertuliskan Aktif.

  3. Masuk sebagai anggota uji

    Di jendela peramban pribadi, buka halaman masuk Clevera, ketik email anggota, klik Lanjutkan dengan penyedia kamu, dan masuk. Kamu seharusnya diarahkan ke halaman beranda Clevera mereka di ruang kerja kamu. Sebagai pemilik, kamu selalu dapat masuk dengan kata sandi kamu, jadi ini tidak akan mengunci akses kamu.

Jalankan tes tidak memeriksa rahasia klien atau proses masuk yang sebenarnya; hanya langkah 3 yang melakukannya.

Mewajibkan SSO, mengubah, atau menghapus

Ini berfungsi sama seperti SAML:

  • Aktifkan Wajibkan SSO saat semua orang sudah bisa masuk. Anggota dengan domain kamu kemudian tidak dapat menggunakan kata sandi atau Google.
  • Edit mengubah koneksi. Biarkan Rahasia klien kosong untuk tetap menggunakan yang tersimpan. Saat kamu merotasi rahasia di IdP kamu, tempel yang baru dan simpan.
  • Hapus konfigurasi SSO (di menu di sebelah lencana status) akan menghapusnya. Anggota yang dibuat oleh SSO menggunakan Lupa kata sandi? untuk mengatur kata sandi.

Lihat Menyiapkan SSO dengan SAML untuk detailnya. OIDC tidak memiliki logout tunggal: keluar dari IdP kamu tidak akan mengeluarkan pengguna dari Clevera.

Memahami single sign-onApa yang berubah dengan SSO bagi anggota kamu.Menyiapkan SSO dengan SAMLAlternatif SAML 2.0.Menyiapkan SSO dengan Microsoft Entra IDLayar Entra langkah demi langkah.Memperbaiki masalah masuk SSOSetiap pesan SSO dan apa yang harus dilakukan.