Vai al contenuto
Clevera Help Center

Configura SSO con OpenID Connect

Connetti Clevera al tuo identity provider con OpenID Connect: l'URI di reindirizzamento, gli scope e l'autenticazione client necessari al tuo IdP, le claim lette da Clevera, ogni campo di configurazione, il test e l'attivazione dell'SSO.

Aggiornato 7 min di lettura

Connetti Clevera al tuo identity provider (IdP) con OpenID Connect (OIDC) in modo che il tuo team possa accedere con l'account aziendale. Questo articolo illustra l'app da creare nel tuo IdP, ogni campo nella finestra di configurazione di Clevera, le claim lette da Clevera e come testare e attivare il tutto.

Per sapere cosa cambia con l'SSO per i tuoi membri, leggi prima Comprendere il single sign-on. Le schermate specifiche per ogni provider si trovano nelle guide per Okta, Microsoft Entra ID e Google Workspace.

Prima di iniziare

  • Sei il Proprietario di un workspace su un Piano personalizzato.
  • Puoi creare un'app OIDC (web) nel tuo IdP, o stai lavorando con qualcuno che può farlo.
  • Conosci tutti i domini e-mail utilizzati dal tuo team.

Crea l'app nel tuo IdP

Crea una web application (un client riservato con un client secret) e configurala in questo modo:

Impostazione IdP Valore
URI di reindirizzamento (URI di reindirizzamento per l'accesso, URL di callback) https://app.clevera.ai/sso/oidc/callback
Tipo di concessione Codice di autorizzazione
Autenticazione client Client secret. Clevera invia il secret nel corpo della richiesta del token (client_secret_post).
Scope openid, email, profile
URI di reindirizzamento per la disconnessione, URI di avvio accesso Lascia vuoto. L'accesso deve iniziare dalla pagina di accesso di Clevera.

Non devi digitare l'URI di reindirizzamento. Nella finestra di configurazione di Clevera, scegli OpenID Connect nel primo passaggio: il riquadro grigio "Per la persona che configura il tuo identity provider" mostra l'URI di reindirizzamento (URL di callback) con un pulsante per copiare.

Passaggio 1 della finestra di configurazione SSO con Okta e OpenID Connect selezionati, che mostra l'URI di reindirizzamento (URL di callback) con un pulsante per copiare
Copia l'URI di reindirizzamento nel tuo identity provider.

Una volta creata l'app, copia il suo client ID, client secret e URL di discovery (chiamato anche URL di configurazione OpenID o URL well-known, che termina con /.well-known/openid-configuration).

Claim lette da Clevera

Clevera legge l'ID token e, quando l'IdP dispone di un endpoint UserInfo, anche la risposta UserInfo.

Scopo Claim, in ordine Note
E-mail email, poi preferred_username, poi upn Viene utilizzata la prima che risulta essere un indirizzo e-mail valido. Senza una, l'accesso fallisce.
Nome name, poi given_name + family_name, poi preferred_username Utilizzato solo quando Clevera crea un nuovo account. Ripiega sulla parte dell'e-mail prima della @.

Clevera non legge alcuna claim di gruppo o ruolo: chiunque venga creato tramite SSO ottiene il ruolo predefinito scelto in Clevera.

Connetti il tuo IdP in Clevera

  1. Apri la scheda Sicurezza

    Apri il menu del workspace nella parte superiore della barra laterale, scegli Impostazioni del team, quindi Sicurezza. Sotto Single sign-on, clicca su Configura SSO.

  2. Provider

    Scegli il tuo Identity provider e imposta Protocollo su OpenID Connect. Copia l'URI di reindirizzamento (URL di callback) nel tuo IdP se non l'hai ancora fatto, quindi clicca su Continua. (JumpCloud supporta solo SAML in Clevera.)

    Il nome del provider è ciò che i membri vedono sul pulsante di accesso, ad esempio Continua con Okta. Con Custom SAML/OIDC Provider, il pulsante riporta Continua con SSO.

  3. Identity provider

    Compila i campi sottostanti. Clicca su Continua.

  4. Domini e ruoli

    Aggiungi ogni dominio e-mail sotto Domini e-mail consentiti, scegli se Creare account al primo accesso e seleziona il Ruolo predefinito per i nuovi membri SSO. Questi funzionano come per SAML: vedi Domini e ruoli.

  5. Revisione

    Controlla il riepilogo e clicca su Salva configurazione. Vedrai "Configurazione SSO salvata. Esegui un test, quindi attivala." Il salvataggio non attiva l'SSO.

Campi dell'identity provider

Passaggio 2 della finestra di configurazione SSO per OpenID Connect con client ID, secret e URL di discovery
Con un URL di discovery, i campi dell'endpoint rimangono nascosti.
Campo Obbligatorio Cosa inserire
Client ID Sì Il client ID della tua applicazione OIDC.
Client secret Sì Il client secret della tua applicazione OIDC. Archiviato crittografato e mai più mostrato; quando modifichi in seguito, "Un secret è archiviato. Lascia vuoto per mantenerlo."
URL di discovery Consigliato "Consigliato. Gli endpoint vengono letti da qui." Ad esempio https://idp.example.com/.well-known/openid-configuration.
URL di autorizzazione Solo senza URL di discovery L'endpoint di autorizzazione del tuo IdP.
URL del token Solo senza URL di discovery L'endpoint del token del tuo IdP.
URL UserInfo No L'endpoint UserInfo del tuo IdP. Mostrato solo senza URL di discovery.

I tre campi dell'endpoint appaiono solo quando l'URL di discovery è vuoto.

Perché l'URL di discovery è migliore

Con un URL di discovery, Clevera legge autonomamente gli endpoint e verifica ogni accesso rispetto alle chiavi di firma e all'issuer pubblicati dal tuo IdP. Inserisci gli endpoint manualmente solo se il tuo IdP non dispone di un documento di discovery.

  • L'URL di discovery deve essere l'issuer dell'IdP più /.well-known/openid-configuration, e il issuer al suo interno deve corrispondere ai token emessi dal tuo IdP. Gli URL multi-tenant il cui issuer contiene un segnaposto (come l'endpoint common di Microsoft) non funzionano; usa l'URL del tuo tenant.
  • Ogni URL deve essere un indirizzo https:// (o http://) pubblico raggiungibile dai server di Clevera. Gli indirizzi su una rete privata, come un IdP raggiungibile solo tramite VPN, vengono rifiutati. Qualsiasi porta va bene.
  • Clevera conserva il documento di discovery e le chiavi di firma per un massimo di un'ora. Se il tuo IdP ruota le chiavi di firma in quel periodo, Clevera recupera le nuove chiavi una volta prima di rifiutare un accesso, quindi la rotazione delle chiavi non blocca gli utenti.

Testa la connessione

  1. Esegui il controllo

    Nella scheda Sicurezza, clicca su Esegui test. Verifica che il client ID e il secret siano salvati e, con un URL di discovery, che il documento venga caricato e contenga un endpoint di autorizzazione. Vedrai "La configurazione SSO è valida e pronta all'uso." o un elenco di problemi. Vedi Risolvere i problemi di accesso SSO.

    Un test SSO fallito che spiega che il documento di discovery OIDC non è stato caricato
    Ogni problema ti indica cosa correggere.

  2. Attiva l'SSO

    Attiva Abilita SSO. Vedrai "SSO attivato." e il badge indicherà Attivo.

  3. Accedi come membro di test

    In una finestra del browser in modalità privata, vai alla pagina di accesso di Clevera, digita l'e-mail di un membro, clicca su Continua con il tuo provider ed effettua l'accesso. Dovresti arrivare alla loro home page di Clevera nel tuo workspace. Come proprietario, puoi sempre accedere con la tua password, quindi questo non può bloccarti fuori.

Esegui test non controlla il client secret o un accesso reale; solo il passaggio 3 lo fa.

Richiedi SSO, modifica o rimuovi

Queste operazioni funzionano come per SAML:

  • Attiva Richiedi SSO quando tutti possono accedere. I membri sui tuoi domini non potranno quindi usare una password o Google.
  • Modifica cambia la connessione. Lascia vuoto Client secret per mantenere quello archiviato. Quando ruoti il secret nel tuo IdP, incolla quello nuovo e salva.
  • Rimuovi configurazione SSO (nel menu accanto al badge di stato) la elimina. I membri creati tramite SSO usano Password dimenticata? per impostare una password.

Vedi Configura SSO con SAML per i dettagli. OIDC non ha una disconnessione singola: disconnettersi dal tuo IdP non disconnette le persone da Clevera.

Comprendere il single sign-onCosa cambia con l'SSO per i tuoi membri.Configura SSO con SAMLL'alternativa SAML 2.0.Configura SSO con Microsoft Entra IDLe schermate di Entra passo dopo passo.Risolvere i problemi di accesso SSOOgni messaggio SSO e cosa fare.