Comprendere il single sign-on (SSO) in Clevera
Cosa fa il single sign-on in Clevera: quale piano lo include, SAML 2.0 vs OpenID Connect, chi può usarlo per accedere, Richiedi SSO e cosa succede ai membri esistenti e alle password.
Il single sign-on (SSO) consente al tuo team di accedere a Clevera con il proprio account aziendale di Okta, Microsoft Entra ID, Google Workspace o qualsiasi provider SAML 2.0 o OpenID Connect. Questo articolo spiega cosa fa l'SSO in Clevera, chi può configurarlo e cosa cambia per i tuoi membri.
Prima di iniziare
- Piano: L'SSO fa parte dei piani Custom. Negli altri piani, il proprietario vede Piano Custom richiesto in Impostazioni del team → Sicurezza, con un link Contattaci. Vedi Scegli un piano.
- Chi lo configura: solo il Proprietario dello spazio di lavoro. Gli amministratori non possono vedere o modificare le impostazioni SSO.
- Il tuo identity provider: qualcuno che può creare un'app nel tuo identity provider (IdP) o che può inviarti i relativi valori.
- I tuoi domini email: ogni dominio aziendale con cui le tue persone accedono, come
acme.example.
Cosa fa l'SSO in Clevera
| Cosa succede | |
|---|---|
| Accesso | Le persone digitano la propria email di lavoro nella pagina di accesso di Clevera e cliccano su Continua con il tuo provider. Accedono al tuo IdP e tornano allo spazio di lavoro già autenticate. |
| Nuove persone | Con Crea account al primo accesso attivo, chi non ha un account Clevera ne ottiene uno al primo accesso e si unisce al tuo spazio di lavoro con il ruolo predefinito che hai scelto (come Editor se quel ruolo richiede un posto da creatore e non ce ne sono liberi). |
| Membri esistenti | I membri il cui dominio email è nel tuo elenco possono accedere subito con l'SSO. Nulla cambia riguardo ai loro video o al loro ruolo. |
| Richiedi SSO | Con Richiedi SSO attivo, i membri sui tuoi domini non possono più accedere con password o Google, e le nuove persone sui tuoi domini non possono registrarsi con una password. |
| Proprietario | Il proprietario può sempre accedere con la propria password, così non rischi di rimanere bloccato fuori. |
L'SSO funziona per ogni spazio di lavoro: la connessione, i suoi domini e le sue regole appartengono allo spazio di lavoro in cui lo configuri.
SAML 2.0 o OpenID Connect
Clevera li supporta entrambi. Scegli quello preferito dall'amministratore del tuo IdP; il risultato per i tuoi membri è lo stesso.
| SAML 2.0 | OpenID Connect (OIDC) | |
|---|---|---|
| Cosa inserisci in Clevera | IdP Entity ID, URL di accesso SSO, certificato X.509, URL di logout opzionale | Client ID, client secret e un URL di discovery (o gli endpoint manualmente) |
| Cosa dai al tuo IdP | Entity ID / Audience URI e ACS URL (Reply URL) | Redirect URI (callback URL) |
| Single logout dall'IdP | Supportato, se aggiungi un URL di Logout | Non supportato |
| Guida | Configura SSO con SAML | Configura SSO con OpenID Connect |
Guide per i provider: Okta, Microsoft Entra ID, Google Workspace. Anche OneLogin (SAML o OIDC) e JumpCloud (solo SAML) sono nell'elenco dei provider; segui la guida generale SAML o OIDC per loro.
Come funziona la configurazione
Crea un'app nel tuo IdP
Usa i valori che Clevera mostra nel primo passaggio della finestra di configurazione, ognuno con un pulsante di copia: l'Entity ID e l'ACS URL per SAML, o il redirect URI per OIDC.
Connettilo in Clevera
Apri il menu dello spazio di lavoro nella parte superiore della barra laterale, scegli Impostazioni del team, quindi Sicurezza. Sotto Single sign-on, clicca su Configura SSO e segui i quattro passaggi: Provider, Identity provider, Domini e ruoli, Revisiona. Clicca su Salva configurazione.
Testalo
Clicca su Esegui test, quindi accedi con un membro di prova in una finestra del browser in modalità privata.
Attivalo
Attiva Abilita SSO. Quando tutti riescono ad accedere, attiva Richiedi SSO se vuoi che l'SSO sia l'unico modo per entrare.
Il salvataggio non attiva mai l'SSO da solo, quindi puoi preparare la connessione senza influenzare nessuno.
Come accedono le persone in seguito
- Nella pagina di accesso di Clevera, digitano la loro email di lavoro.
- Clevera riconosce il dominio e mostra "La tua organizzazione usa Okta" (il nome del tuo provider) con un pulsante Continua con Okta. Con Provider SAML/OIDC personalizzato, dice "La tua organizzazione usa SSO" e il pulsante recita Continua con SSO. Con Richiedi SSO attivo, aggiunge "I membri di questa organizzazione accedono con Okta."
- Cliccano sul pulsante, accedono al tuo IdP e atterrano sulla loro home page di Clevera nel tuo spazio di lavoro. Se stavano aprendo un link di Clevera quando è stato chiesto loro di accedere, atterreranno su quella pagina.
Rimangono connessi su quel browser finché non effettuano il logout. Effettuare il logout da Clevera non li disconnette dal tuo IdP.
App desktop: l'app desktop effettua l'accesso tramite il tuo browser. Nella pagina di accesso del browser, digita la tua email di lavoro e clicca su Continua con il tuo provider. Dopo aver effettuato l'accesso al tuo IdP, il browser ti riporta all'app desktop, che completa l'accesso. Vedi Accedi all'app desktop.
Chi può usare l'SSO
| Persona | Può accedere con SSO? |
|---|---|
| Un membro dello spazio di lavoro il cui dominio email è nel tuo elenco | Sì |
| Qualcuno sul tuo dominio senza un account Clevera | Sì, se Crea account al primo accesso è attivo. Altrimenti invitali prima. |
| Qualcuno sul tuo dominio che ha già un account Clevera ma non è membro di questo spazio di lavoro | No. Invitali e, una volta accettato, l'SSO funzionerà per loro. |
| Il proprietario | Sì, se hanno salvato la configurazione SSO personalmente. Possono sempre usare anche la loro password. |
| Chiunque il cui dominio email non sia nel tuo elenco | No. Continuano ad accedere come fanno ora. |
La terza e la quarta riga sono misure di sicurezza: poiché i domini email in Clevera non sono verificati, l'SSO non prende mai il controllo di un account che non è già nel tuo spazio di lavoro e non fa mai accedere il proprietario tramite una connessione salvata da qualcun altro.
Posti da creatore
Una persona creata tramite SSO ottiene il Ruolo predefinito per i nuovi membri SSO che hai scelto. Se è Creatore di contenuti e ogni posto da creatore nel tuo piano è occupato, si uniscono come Editor, che non utilizza alcun posto. Aggiungi un posto e cambia il loro ruolo in Impostazioni del team → Membri. Vedi Comprendere spazi di lavoro, ruoli e posti da creatore.
Cosa succede alle password
- I membri esistenti mantengono la loro password. Finché Richiedi SSO è disattivato, possono usare entrambe. Con esso attivo, un membro che accede con la password corretta vede "La tua organizzazione richiede il Single Sign-On. Usa il pulsante SSO per continuare."
- Le nuove persone sui tuoi domini non possono creare un account con una password mentre Richiedi SSO è attivo. Il modulo di registrazione risponde "La tua organizzazione accede con il single sign-on (SSO). Vai ad Accedi, inserisci questa email e scegli Continua con SSO." Il loro account viene creato la prima volta che accedono con SSO (con Crea account al primo accesso attivo; altrimenti invitali).
- Gli account creati tramite SSO non hanno una password che la persona conosce. Se l'SSO viene successivamente disattivato o rimosso, usano Password dimenticata? nella pagina di accesso per impostarne una.
- L'accesso con Google è bloccato per i membri sui tuoi domini mentre Richiedi SSO è attivo.
Rimuovere l'accesso a qualcuno
Clevera non sincronizza gli utenti dal tuo IdP. Rimuovere l'assegnazione a qualcuno nel tuo IdP interrompe i nuovi accessi SSO, ma un browser che è già connesso rimane connesso. Per interrompere l'accesso immediatamente, rimuovili anche in Impostazioni del team → Membri.