Vai al contenuto
Clevera Help Center

Configura SSO con Okta

Configurazione passo dopo passo di Okta per il single sign-on di Clevera, con SAML 2.0 o OpenID Connect: le impostazioni dell'app Okta, quali valori Okta inserire in ogni campo di Clevera, l'assegnazione degli utenti e i test.

Aggiornato 6 min di lettura

Configura il single sign-on tra Okta e Clevera in modo che il tuo team possa accedere con il proprio account Okta. Puoi connetterti tramite SAML 2.0 o OpenID Connect (OIDC); questa guida illustra entrambi i procedimenti, sia dal lato Okta che per i campi corrispondenti in Clevera.

La console di amministrazione di Okta cambia di tanto in tanto. Se un'etichetta qui sotto non corrisponde a ciò che vedi, cerca l'impostazione con lo stesso significato e utilizza le guide generali per l'elenco completo dei valori: SAML, OIDC.

Prima di iniziare

  • Sei il Proprietario di un workspace Clevera con un Piano personalizzato.
  • Sei un amministratore Okta che può creare integrazioni di app e assegnarle.
  • Conosci i domini e-mail utilizzati dal tuo team in Okta, come acme.example.

Apri prima la finestra di configurazione di Clevera, così da poter coprire i valori da lì: apri il menu del workspace in alto nella barra laterale, scegli Impostazioni del team, poi Sicurezza e fai clic su Configura SSO. Scegli Okta come Identity provider.

Passaggio 1 della finestra di configurazione SSO con Okta e SAML 2.0 selezionati e l'ID entità, l'URL ACS e l'URL dei metadati da copiare
Copia questi tre valori nel tuo identity provider.

Connettiti con SAML 2.0

  1. Crea l'app in Okta

    Nella console di amministrazione di Okta, vai su Applications → Applications e fai clic su Create App Integration. Scegli SAML 2.0 e fai clic su Avanti. Dalle un nome Clevera e fai clic su Avanti.

  2. Inserisci i valori di Clevera

    In SAML Settings, compila:

    Campo Okta Valore da Clevera
    Single sign-on URL ACS URL (Reply URL): https://app.clevera.ai/sso/saml/callback. Mantieni selezionato Use this for Recipient URL and Destination URL.
    Audience URI (SP Entity ID) Entity ID / Audience URI (copialo dalla finestra di Clevera; termina con l'ID del tuo workspace)
    Default RelayState Lascia vuoto
    Name ID format EmailAddress
    Application username Email

  3. Controlla la firma

    Fai clic su Show Advanced Settings e verifica che Response e Assertion Signature siano entrambe Signed, che Signature Algorithm sia RSA-SHA256 e che Assertion Encryption sia Unencrypted. Clevera richiede che sia la risposta che l'asserzione siano firmate.

  4. Aggiungi gli attributi del nome

    In Attribute Statements, aggiungi firstName con valore user.firstName e lastName con valore user.lastName. Clevera li utilizza per nominare i nuovi account. Fai clic su Avanti, rispondi alla domanda di feedback di Okta indicando che si tratta di un'app interna e fai clic su Fine.

  5. Copia i valori di Okta in Clevera

    Nella scheda Sign On dell'app, apri i dettagli di configurazione SAML (View SAML setup instructions o More details nelle console più recenti). In Clevera, imposta Protocol su SAML 2.0, fai clic su Continua e incolla:

    Valore Okta Campo Clevera
    Identity Provider Issuer (o Issuer) IdP Entity ID
    Identity Provider Single Sign-On URL (o Sign on URL) SSO sign-in URL
    X.509 Certificate (o Signing Certificate) X.509 certificate

    Lascia vuoto Logout URL a meno che tu non utilizzi il single logout di Okta.

    Passaggio 2 della finestra di configurazione SSO con IdP Entity ID, URL di accesso e certificato compilati
    L'URL di logout è facoltativo.

  6. Assegna gli utenti

    Nella scheda Assignments dell'app, fai clic su Assign e aggiungi le persone o i gruppi che devono utilizzare Clevera. Le persone non assegnate non potranno accedere tramite Okta.

Quindi completa in Clevera: domini e ruoli.

Connettiti con OpenID Connect

  1. Crea l'app in Okta

    Vai su Applications → Applications → Create App Integration. Scegli OIDC - OpenID Connect, poi Web Application e fai clic su Avanti.

  2. Imposta l'URI di reindirizzamento

    Nella finestra di configurazione di Clevera, imposta Protocol su OpenID Connect e copia il Redirect URI (callback URL) dalla casella grigia. Quindi compila in Okta:

    Campo Okta Valore
    App integration name Clevera
    Grant type Authorization Code
    Sign-in redirect URIs Il Redirect URI (callback URL): https://app.clevera.ai/sso/oidc/callback
    Sign-out redirect URIs Rimuovi l'esempio; lascia vuoto
    Controlled access Scegli chi può utilizzare l'app, oppure Skip group assignment for now e assegna in seguito

    Fai clic su Salva.

  3. Copia le credenziali

    Nella scheda General dell'app, sotto Client Credentials, copia il Client ID e il Client secret. Mantieni Client authentication impostato su Client secret.

  4. Compila in Clevera

    In Clevera, fai clic su Continua e inserisci:

    Campo Clevera Valore
    Client ID Client ID di Okta
    Client secret Client secret di Okta
    Discovery URL https:// il tuo dominio Okta /.well-known/openid-configuration, ad esempio https://acme.okta.com/.well-known/openid-configuration

    Se utilizzi un server di autorizzazione personalizzato, utilizza invece il suo URL di discovery, ad esempio https://acme.okta.com/oauth2/default/.well-known/openid-configuration.

    Passaggio 2 della finestra di configurazione SSO per OpenID Connect con client ID, secret e URL di discovery
    Con un URL di discovery, i campi dell'endpoint rimangono nascosti.

  5. Assegna gli utenti

    Nella scheda Assignments, assegna le persone o i gruppi che devono utilizzare Clevera.

Completa in Clevera

  1. In Domains & roles, aggiungi ogni dominio e-mail utilizzato dai tuoi utenti Okta, scegli Create accounts on first sign-in e il Default role for new SSO members.
  2. In Revisiona, fai clic su Salva configurazione.
  3. Fai clic su Run test, attiva Enable SSO e accedi come utente di test assegnato in una finestra privata, partendo dalla pagina di accesso di Clevera.
  4. Quando funziona per tutti, attiva Require SSO se vuoi che l'SSO sia l'unico metodo di accesso.

I membri dovranno quindi inserire la propria e-mail di lavoro nella pagina di accesso di Clevera e fare clic su Continue with Okta.

Risoluzione dei problemi

Problema Cosa controllare
"SSO authentication failed…" subito dopo l'accesso a Okta, con SAML Response e Assertion Signature devono essere entrambe Signed; il certificato in Clevera è il certificato di firma corrente dell'app; l'Audience URI corrisponde esattamente all'Entity ID di Clevera.
"SSO session expired. Please try again." dopo aver cliccato sul riquadro di Clevera in Okta Previsto: l'accesso deve iniziare dalla pagina di accesso di Clevera.
Okta dice che l'utente non è assegnato all'app Assegnalo nella scheda Assignments dell'app.
"Your email domain is not authorized for this team's SSO." L'e-mail Okta della persona utilizza un dominio che non è presente in Allowed email domains. Aggiungilo in Clevera.
Okta mostra un errore di URI di reindirizzamento (OIDC) Sign-in redirect URIs deve essere esattamente il Redirect URI (callback URL) di Clevera, https://app.clevera.ai/sso/oidc/callback.

Altri messaggi: Risolvi i problemi di accesso SSO.

Comprendere il single sign-onCosa cambia l'SSO per i tuoi membri.Configura SSO con SAMLOgni campo e valore SAML.Configura SSO con OpenID ConnectOgni campo e claim OIDC.Risolvi i problemi di accesso SSOOgni messaggio SSO e cosa fare.