Configura l'SSO con SAML 2.0
Connetti Clevera al tuo identity provider con SAML 2.0: l'Entity ID e l'ACS URL da fornire al tuo IdP, le impostazioni di firma e Name ID, gli attributi letti da Clevera, ogni campo di configurazione, il test e l'attivazione dell'SSO.
Connetti Clevera al tuo identity provider (IdP) con SAML 2.0 affinché il tuo team possa accedere con il proprio account aziendale. Questo articolo elenca ogni campo nella finestra di configurazione di Clevera, i valori esatti richiesti dal tuo IdP e come testare e attivare la funzione.
Per sapere cosa cambia con l'SSO per i tuoi membri, leggi prima Comprendere il single sign-on. Per le schermate passo dopo passo dell'IdP, consulta le guide per Okta, Microsoft Entra ID e Google Workspace.
Prima di iniziare
- Sei il Proprietario di un workspace su un Piano personalizzato.
- Puoi creare un'app SAML nel tuo IdP, o stai lavorando con qualcuno che può farlo.
- Conosci tutti i domini e-mail utilizzati dal tuo team, come
acme.exampleeeu.acme.example.
Valori da fornire al tuo IdP
Clevera mostra questi valori nella finestra di configurazione sotto "Per la persona che configura il tuo identity provider", ognuno con un pulsante di copia. Copiali da lì: l'Entity ID contiene l'ID del tuo workspace.
| Etichetta Clevera | Cos'è nel tuo IdP | Valore |
|---|---|---|
| Entity ID / Audience URI | Audience URI, SP Entity ID, Identifier | https://app.clevera.ai/sso/metadata/ seguito dal tuo ID workspace |
| ACS URL (Reply URL) | Assertion Consumer Service URL, Single sign-on URL, Reply URL | https://app.clevera.ai/sso/saml/callback |
| SP metadata URL | Service provider metadata | Stesso indirizzo dell'Entity ID. Fornisce i metadati SAML di Clevera come XML, per gli IdP che possono importarli. |
Configura l'app nel tuo IdP in questo modo:
| Impostazione IdP | Impostala su |
|---|---|
| Formato Name ID | EmailAddress (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress) |
| Valore Name ID | L'e-mail di lavoro della persona |
| Firma | Firma sia la risposta SAML che l'asserzione. È consigliato SHA-256. |
| Crittografia asserzione | Disattivato. Clevera non accetta asserzioni crittografate. |
| Richieste di autenticazione firmate | Non richieste. Clevera invia richieste non firmate. |
| Binding per l'ACS URL | HTTP POST |
| RelayState predefinito, accesso avviato dall'IdP | Lascia vuoto. L'accesso deve iniziare dalla pagina di accesso di Clevera. |
Attributi letti da Clevera
L'e-mail proviene dal Name ID. Se il Name ID non è un indirizzo e-mail, Clevera cerca il primo di questi attributi:
| Scopo | Nomi degli attributi accettati da Clevera, in ordine |
|---|---|
email, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress, User.Email |
|
| Nome | firstName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname, User.FirstName, first_name |
| Cognome | lastName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname, User.LastName, last_name |
| Nome visualizzato (usato quando non c'è nome o cognome) | displayName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name, User.Name, name |
I nomi vengono utilizzati solo quando Clevera crea un nuovo account. Senza alcun attributo di nome, l'account viene chiamato con la parte dell'e-mail prima della @. Clevera non legge attributi di gruppo o ruolo: chiunque venga creato tramite SSO ottiene il ruolo predefinito che scegli di seguito.
Connetti il tuo IdP in Clevera
Apri la scheda Sicurezza
Apri il menu del workspace nella parte superiore della barra laterale, scegli Impostazioni del team, quindi Sicurezza. Sotto Single sign-on, clicca su Set up SSO. Si apre la finestra Configure single sign-on.
Provider
Scegli il tuo Identity provider (Okta, Microsoft Entra ID (Azure AD), OneLogin, Google Workspace, JumpCloud o Custom SAML/OIDC Provider) e imposta Protocollo su SAML 2.0. Copia i valori nel riquadro grigio nel tuo IdP, quindi clicca su Continua.
Il nome del provider è ciò che i membri vedono sul pulsante di accesso, ad esempio Continua con Okta. Con Custom SAML/OIDC Provider, il pulsante riporta Continua con SSO.
Identity provider
Incolla i valori dalla pagina di configurazione SAML del tuo IdP. Vedi il riferimento ai campi. Clicca su Continua.
Domini e ruoli
Digita ogni dominio e-mail sotto Domini e-mail consentiti e clicca su Aggiungi (o premi Invio). Quindi scegli se Creare account al primo accesso e seleziona il Ruolo predefinito per i nuovi membri SSO. Vedi Domini e ruoli.
Revisione
Controlla il riepilogo e clicca su Salva configurazione. Vedrai "Configurazione SSO salvata. Esegui un test, quindi attivala." Il salvataggio non attiva l'SSO.
Campi dell'identity provider
| Campo | Obbligatorio | Cosa incollare | Come lo chiama il tuo IdP |
|---|---|---|---|
| IdP Entity ID | Sì | L'issuer dell'IdP, esattamente come mostrato dal tuo IdP | Identity Provider Issuer, Entity ID, Microsoft Entra Identifier |
| SSO sign-in URL | Sì | L'URL a cui Clevera invia le persone per l'accesso (binding HTTP Redirect) | Identity Provider Single Sign-On URL, Login URL, SSO URL |
| Logout URL | No | L'URL di single logout del tuo IdP. "Lascia vuoto a meno che il tuo provider non richieda il single logout." | Single Logout URL, Logout URL |
| Certificato X.509 | Sì | Il certificato di firma del tuo IdP | X.509 Certificate, Certificate (Base64) |
Il certificato
- Incolla l'intero certificato. Le righe
-----BEGIN CERTIFICATE-----e-----END CERTIFICATE-----sono facoltative; spazi e interruzioni di riga vengono ignorati. - Usa il testo Base64 (PEM), non un file binario
.cer. Se hai scaricato un file, aprilo in un editor di testo e copia il contenuto. - Clevera lo archivia crittografato e non lo mostra mai più. Quando modifichi la connessione in seguito, il campo dice "Un certificato è archiviato. Lascia vuoto per mantenerlo."
- Esegui test ti avvisa se il certificato non può essere letto o è scaduto.
Domini e ruoli
| Impostazione | Cosa fa | Predefinito |
|---|---|---|
| Domini e-mail consentiti | Solo le persone con questi domini e-mail possono usare la connessione. I domini decidono anche quando la pagina di accesso offre l'SSO. Ne è richiesto almeno uno. | Nessuno |
| Creare account al primo accesso | "Un account Clevera viene creato la prima volta che qualcuno accede con SSO." Il nuovo account si unisce a questo workspace. | Attivo |
| Ruolo predefinito per i nuovi membri SSO | Il ruolo che ottengono i nuovi account: Editor, Creatore di contenuti o Amministratore. Amministratore è offerto solo quando Creare account al primo accesso è disattivato: "Gli account creati automaticamente non diventano mai Amministratore." | Editor |
Informazioni sui domini:
- Un dominio deve corrispondere esattamente.
acme.examplenon copreeu.acme.example; aggiungili entrambi. - Digita solo il dominio (
acme.example), non un'e-mail. Un@iniziale viene rimosso. - Un dominio può appartenere a un solo workspace Clevera. Se un altro workspace lo utilizza già, il salvataggio mostrerà "Il dominio acme.example è già assegnato a un altro team." Contatta l'assistenza se è il tuo dominio.
I Creatori di contenuti utilizzano un posto creatore; gli Editor no. Se il ruolo predefinito è Creatore di contenuti e ogni posto creatore è occupato, chi si unisce tramite SSO diventa un Editor, così l'SSO non ti farà mai superare il numero di posti. Aggiungi un posto e cambia il loro ruolo in Impostazioni del team → Membri quando sei pronto. Vedi Comprendere workspace, ruoli e posti creatore.
Testa la connessione
Esegui il controllo
Nella scheda Sicurezza, clicca su Esegui test accanto a Test connessione. Controlla le impostazioni salvate: che l'Entity ID, l'URL di accesso e il certificato siano presenti, che l'URL sia valido e che il certificato sia leggibile e non scaduto.
Vedrai "Configurazione SSO valida e pronta all'uso." oppure "La configurazione SSO presenta problemi che devono essere risolti." con un elenco. Vedi Risolvere i problemi di accesso SSO.
Esegui il test prima di attivare l'SSO. Attiva l'SSO
Attiva Abilita SSO. Vedrai "SSO attivato." Il badge di stato passa da Disattivato ad Attivo.
Accedi come membro di test
Apri una finestra di navigazione privata, vai alla pagina di accesso di Clevera e digita l'email di un membro (o di una nuova persona, se gli account vengono creati al primo accesso). Fai clic su Continue with il tuo provider e accedi al tuo IdP. Dovresti ritrovarti sulla home page di Clevera di quella persona nel tuo workspace.
La tua sessione non viene influenzata e, in qualità di proprietario, puoi sempre accedere con la tua password.
Run test non contatta il tuo IdP, quindi l'accesso reale nel passaggio 3 è l'unico test completo. Avvialo dalla pagina di accesso di Clevera: un test avviato dalla dashboard del tuo IdP viene rifiutato.
Richiedi SSO
Quando tutti possono accedere, attiva Require SSO ("I membri corrispondenti devono accedere con SSO."). Vedrai "SSO is now required." e il badge indicherà Active · enforced.
Da quel momento in poi, i membri sui tuoi domini non potranno utilizzare una password o Google, e qualcuno di nuovo sui tuoi domini non potrà creare un account Clevera con una password: otterrà il proprio account accedendo con SSO. Puoi attivarlo solo mentre Enable SSO è attivo, e disattivare Enable SSO lo disattiverà a sua volta.
Single logout
Se compili Logout URL, i metadati di Clevera elencano anche un indirizzo di logout: https://app.clevera.ai/sso/saml/slo (binding HTTP Redirect). Quando il tuo IdP invia una richiesta di logout lì, Clevera disconnette la persona e la rimanda al tuo IdP.
Disconnettersi da Clevera non disconnette le persone dal tuo IdP.
Modifica o rimuovi la connessione
- Modificala: fai clic su Modifica accanto a Provider. La finestra di dialogo si apre con i tuoi valori salvati; lascia vuoto il certificato per mantenerlo.
- Disattivala per un po': disattiva Enable SSO. Le impostazioni rimangono salvate.
- Rimuovila: apri il menu accanto al badge di stato e scegli Remove SSO configuration, quindi Remove SSO. "I membri che accedono con SSO dovranno reimpostare la password per continuare ad accedere."
La riga Provider mostra il protocollo e quanti domini hai. Una volta che le persone utilizzano l'SSO, una riga come "12 SSO sign-ins · last Oct 12" appare in fondo alla sezione.