Lewati ke konten
Clevera Help Center

Menyiapkan SSO dengan SAML 2.0

Hubungkan Clevera ke penyedia identitas kamu dengan SAML 2.0: Entity ID dan ACS URL untuk diberikan ke IdP kamu, pengaturan penandatanganan dan Name ID, atribut yang dibaca Clevera, setiap kolom pengaturan, pengujian, dan cara mengaktifkan SSO.

Diperbarui 9 mnt baca

Hubungkan Clevera ke penyedia identitas (IdP) kamu dengan SAML 2.0 agar tim kamu dapat masuk menggunakan akun perusahaan mereka. Artikel ini mencantumkan setiap kolom dalam dialog pengaturan Clevera, nilai yang tepat yang dibutuhkan IdP kamu, serta cara menguji dan mengaktifkannya.

Untuk mengetahui apa saja yang berubah bagi anggota kamu dengan SSO, baca Memahami single sign-on terlebih dahulu. Untuk panduan langkah demi langkah layar IdP, lihat panduan untuk Okta, Microsoft Entra ID, dan Google Workspace.

Sebelum kamu mulai

  • Kamu adalah Pemilik ruang kerja dengan Paket kustom.
  • Kamu dapat membuat aplikasi SAML di IdP kamu, atau kamu bekerja sama dengan seseorang yang bisa melakukannya.
  • Kamu mengetahui setiap domain email yang digunakan tim kamu, seperti acme.example dan eu.acme.example.

Nilai untuk diberikan ke IdP kamu

Clevera menampilkan nilai-nilai ini di dialog pengaturan di bawah "Untuk orang yang menyiapkan penyedia identitas kamu", masing-masing dengan tombol salin. Salin dari sana: Entity ID berisi ID ruang kerja kamu sendiri.

Langkah 1 dialog pengaturan SSO dengan Okta dan SAML 2.0 dipilih serta Entity ID, ACS URL, dan metadata URL untuk disalin
Salin ketiga nilai ini ke penyedia identitas kamu.
Label Clevera Apa artinya di IdP kamu Nilai
Entity ID / Audience URI Audience URI, SP Entity ID, Identifier https://app.clevera.ai/sso/metadata/ diikuti oleh ID ruang kerja kamu
ACS URL (Reply URL) Assertion Consumer Service URL, Single sign-on URL, Reply URL https://app.clevera.ai/sso/saml/callback
SP metadata URL Service provider metadata Alamat yang sama dengan Entity ID. Ini menyajikan metadata SAML Clevera sebagai XML, untuk IdP yang dapat mengimpornya.

Siapkan aplikasi di IdP kamu seperti ini:

Pengaturan IdP Atur ke
Format Name ID EmailAddress (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress)
Nilai Name ID Email kantor orang tersebut
Penandatanganan Tandatangani respons SAML dan assertion. SHA-256 disarankan.
Enkripsi Assertion Nonaktif. Clevera tidak menerima assertion terenkripsi.
Permintaan autentikasi yang ditandatangani Tidak diperlukan. Clevera mengirimkan permintaan yang tidak ditandatangani.
Binding untuk ACS URL HTTP POST
Default RelayState, masuk yang dimulai IdP Biarkan kosong. Masuk harus dimulai di halaman masuk Clevera.

Atribut yang dibaca Clevera

Email berasal dari Name ID. Jika Name ID bukan alamat email, Clevera akan mencari atribut pertama dari daftar ini:

Tujuan Nama atribut yang diterima Clevera, sesuai urutan
Email email, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress, User.Email
Nama depan firstName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname, User.FirstName, first_name
Nama belakang lastName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname, User.LastName, last_name
Nama tampilan (digunakan jika tidak ada nama depan atau belakang) displayName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name, User.Name, name

Nama hanya digunakan saat Clevera membuat akun baru. Tanpa atribut nama sama sekali, akun akan diberi nama berdasarkan bagian email sebelum @. Clevera tidak membaca atribut grup atau peran: setiap orang yang dibuat melalui SSO mendapatkan peran default yang kamu pilih di bawah.

Hubungkan IdP kamu di Clevera

  1. Buka tab Keamanan

    Buka menu ruang kerja di bagian atas sidebar, pilih Pengaturan tim, lalu Keamanan. Di bawah Single sign-on, klik Siapkan SSO. Dialog Konfigurasikan single sign-on akan terbuka.

  2. Penyedia

    Pilih Penyedia identitas kamu (Okta, Microsoft Entra ID (Azure AD), OneLogin, Google Workspace, JumpCloud, atau Penyedia SAML/OIDC Kustom) dan atur Protokol ke SAML 2.0. Salin nilai di kotak abu-abu ke IdP kamu, lalu klik Lanjutkan.

    Nama penyedia adalah apa yang dilihat anggota pada tombol masuk, misalnya Lanjutkan dengan Okta. Dengan Penyedia SAML/OIDC Kustom, tombol tersebut bertuliskan Lanjutkan dengan SSO.

  3. Penyedia identitas

    Tempel nilai dari halaman pengaturan SAML IdP kamu. Lihat referensi kolom. Klik Lanjutkan.

  4. Domain & peran

    Ketik setiap domain email di bawah Domain email yang diizinkan dan klik Tambahkan (atau tekan Enter). Kemudian pilih apakah akan Buat akun saat pertama kali masuk dan pilih Peran default untuk anggota SSO baru. Lihat Domain dan peran.

  5. Tinjau

    Periksa ringkasannya dan klik Simpan konfigurasi. Kamu akan melihat "Konfigurasi SSO disimpan. Jalankan pengujian, lalu aktifkan." Menyimpan tidak berarti mengaktifkan SSO.

Kolom penyedia identitas

Langkah 2 dialog pengaturan SSO dengan Entity ID IdP, URL masuk, dan sertifikat diisi
URL keluar bersifat opsional.
Kolom Wajib Apa yang harus ditempel Apa sebutan IdP kamu untuk ini
Entity ID IdP Ya Penerbit IdP, persis seperti yang ditampilkan IdP kamu Identity Provider Issuer, Entity ID, Microsoft Entra Identifier
URL masuk SSO Ya URL yang digunakan Clevera untuk mengarahkan orang masuk (Binding HTTP Redirect) Identity Provider Single Sign-On URL, Login URL, SSO URL
URL keluar Tidak URL keluar tunggal IdP kamu. "Biarkan kosong kecuali penyedia kamu memerlukan keluar tunggal." Single Logout URL, Logout URL
Sertifikat X.509 Ya Sertifikat penandatanganan IdP kamu X.509 Certificate, Certificate (Base64)

Sertifikat

  • Tempel seluruh sertifikat. Baris -----BEGIN CERTIFICATE----- dan -----END CERTIFICATE----- bersifat opsional; spasi dan baris baru diabaikan.
  • Gunakan teks Base64 (PEM), bukan file biner .cer. Jika kamu mengunduh file, buka di editor teks dan salin isinya.
  • Clevera menyimpannya dalam bentuk terenkripsi dan tidak akan menampilkannya lagi. Saat kamu mengedit koneksi nanti, kolom tersebut akan bertuliskan "Sertifikat tersimpan. Biarkan kosong untuk tetap menggunakannya."
  • Jalankan pengujian akan memberi tahu kamu jika sertifikat tidak dapat dibaca atau telah kedaluwarsa.

Domain dan peran

Langkah 3 dialog pengaturan SSO dengan dua domain yang diizinkan, pembuatan akun aktif, dan Editor sebagai peran default
Administrator tidak ditawarkan saat akun dibuat secara otomatis.
Pengaturan Apa fungsinya Default
Domain email yang diizinkan Hanya orang dengan domain email ini yang dapat menggunakan koneksi. Domain ini juga menentukan kapan halaman masuk menawarkan SSO. Minimal satu diperlukan. Tidak ada
Buat akun saat pertama kali masuk "Akun Clevera dibuat saat seseorang pertama kali masuk dengan SSO." Akun baru bergabung dengan ruang kerja ini. Aktif
Peran default untuk anggota SSO baru Peran yang didapatkan akun baru: Editor, Pembuat Konten, atau Administrator. Administrator hanya ditawarkan saat Buat akun saat pertama kali masuk nonaktif: "Akun yang dibuat secara otomatis tidak pernah mendapatkan Administrator." Editor

Tentang domain:

  • Domain harus cocok persis. acme.example tidak mencakup eu.acme.example; tambahkan masing-masing.
  • Ketik domain saja (acme.example), bukan email. @ di awal akan dihapus.
  • Satu domain hanya dapat dimiliki oleh satu ruang kerja Clevera. Jika ruang kerja lain sudah menggunakannya, saat menyimpan akan muncul "Domain acme.example sudah ditetapkan ke tim lain." Hubungi dukungan jika itu adalah domain kamu.

Pembuat Konten menggunakan kursi pembuat; Editor tidak. Jika peran default adalah Pembuat Konten dan setiap kursi pembuat sudah terisi, seseorang yang bergabung melalui SSO akan menjadi Editor, sehingga SSO tidak akan membuat kamu melebihi jumlah kursi. Tambahkan kursi dan ubah peran mereka di Pengaturan tim → Anggota saat kamu siap. Lihat Memahami ruang kerja, peran, dan kursi pembuat.

Uji koneksi

  1. Jalankan pemeriksaan

    Kembali ke tab Keamanan, klik Jalankan pengujian di sebelah Uji koneksi. Ini akan memeriksa pengaturan yang disimpan: apakah Entity ID, URL masuk, dan sertifikat sudah ada, URL valid, serta sertifikat dapat dibaca dan tidak kedaluwarsa.

    Kamu akan melihat "Konfigurasi SSO valid dan siap digunakan." atau "Konfigurasi SSO memiliki masalah yang perlu diselesaikan." beserta daftarnya. Lihat Memperbaiki masalah masuk SSO.

    Kartu Single sign-on setelah pengujian berhasil, dengan Aktifkan SSO masih nonaktif
    Jalankan pengujian sebelum kamu mengaktifkan SSO.

  2. Aktifkan SSO

    Aktifkan Aktifkan SSO. Kamu akan melihat "SSO diaktifkan." Lencana status berubah dari Nonaktif menjadi Aktif.

  3. Masuk sebagai anggota uji

    Buka jendela peramban pribadi, buka halaman masuk Clevera, dan ketik alamat email anggota (atau orang baru, jika akun dibuat saat pertama kali masuk). Klik Continue with penyedia layanan kamu dan masuk di IdP kamu. Kamu seharusnya diarahkan ke halaman beranda Clevera orang tersebut di ruang kerja kamu.

    Sesi kamu sendiri tidak terpengaruh, dan sebagai pemilik, kamu selalu dapat masuk dengan kata sandi kamu.

Run test tidak menghubungi IdP kamu, jadi masuk yang sebenarnya di langkah 3 adalah satu-satunya pengujian penuh. Mulai pengujian dari halaman masuk Clevera: pengujian yang dimulai dari dasbor IdP kamu akan ditolak.

Mewajibkan SSO

Setelah semua orang bisa masuk, aktifkan Require SSO ("Anggota yang cocok harus masuk dengan SSO."). Kamu akan melihat "SSO is now required." dan lencana bertuliskan Active · enforced.

Kartu Single sign-on dengan SSO diaktifkan dan diwajibkan, menampilkan Active · enforced
Pemilik selalu dapat menggunakan cara masuk normal mereka.

Sejak saat itu, anggota di domain kamu tidak dapat menggunakan kata sandi atau Google, dan orang baru di domain kamu tidak dapat membuat akun Clevera dengan kata sandi: mereka mendapatkan akun dengan masuk menggunakan SSO. Kamu hanya dapat mengaktifkannya saat Enable SSO menyala, dan mematikan Enable SSO juga akan mematikannya.

Single logout

Jika kamu mengisi Logout URL, metadata Clevera juga akan mencantumkan alamat keluar: https://app.clevera.ai/sso/saml/slo (pengikatan HTTP Redirect). Saat IdP kamu mengirim permintaan keluar ke sana, Clevera akan mengeluarkan orang tersebut dan mengirim mereka kembali ke IdP kamu.

Keluar dari Clevera tidak mengeluarkan pengguna dari IdP kamu.

Mengubah atau menghapus koneksi

  • Mengubahnya: klik Edit di samping Provider. Dialog akan terbuka dengan nilai yang telah kamu simpan; biarkan sertifikat kosong untuk tetap menggunakannya.
  • Mematikannya sementara: matikan Enable SSO. Pengaturan akan tetap tersimpan.
  • Menghapusnya: buka menu di samping lencana status dan pilih Remove SSO configuration, lalu Remove SSO. "Anggota yang masuk dengan SSO perlu mengatur ulang kata sandi mereka untuk tetap bisa masuk."

Baris Provider menampilkan protokol dan jumlah domain yang kamu miliki. Setelah orang-orang menggunakan SSO, baris seperti "12 SSO sign-ins · last Oct 12" akan muncul di bagian bawah bagian tersebut.

Memahami single sign-onApa yang berubah bagi anggota kamu dengan SSO.Menyiapkan SSO dengan OpenID ConnectAlternatif OIDC.Memperbaiki masalah masuk SSOSetiap pesan SSO dan cara mengatasinya.Menyiapkan SSO dengan OktaLangkah demi langkah layar Okta.