Clevera의 싱글 사인온(SSO) 이해하기
Clevera에서 싱글 사인온이 하는 역할: 포함된 플랜, SAML 2.0과 OpenID Connect 비교, SSO로 로그인할 수 있는 사용자, SSO 필수 설정, 그리고 기존 멤버와 비밀번호에 미치는 영향.
싱글 사인온(SSO)을 사용하면 팀원들이 Okta, Microsoft Entra ID, Google Workspace 또는 기타 SAML 2.0이나 OpenID Connect 제공업체의 회사 계정으로 Clevera에 로그인할 수 있습니다. 이 문서에서는 Clevera에서 SSO가 하는 역할, 설정 권한이 있는 사용자, 그리고 멤버에게 발생하는 변경 사항을 설명합니다.
시작하기 전에
- 플랜: SSO는 Custom 플랜에 포함되어 있습니다. 다른 플랜을 사용하는 경우, 소유자는 팀 설정 → 보안에서 Custom 플랜 필요 메시지와 함께 문의하기 링크를 볼 수 있습니다. 플랜 선택하기를 참조하세요.
- 설정 권한: 워크스페이스 소유자만 설정할 수 있습니다. 관리자는 SSO 설정을 보거나 변경할 수 없습니다.
- ID 제공업체: ID 제공업체(IdP)에서 앱을 생성하거나 관련 값을 제공해 줄 수 있는 담당자가 필요합니다.
- 이메일 도메인: 팀원들이 로그인에 사용하는 모든 회사 도메인(예:
acme.example)이 필요합니다.
Clevera에서 SSO가 하는 역할
| 동작 방식 | |
|---|---|
| 로그인 | 사용자가 Clevera 로그인 페이지에 회사 이메일을 입력하고 Continue with 제공업체 버튼을 클릭합니다. IdP에서 로그인한 후 다시 워크스페이스로 돌아와 로그인된 상태가 됩니다. |
| 신규 사용자 | 첫 로그인 시 계정 생성이 켜져 있으면, Clevera 계정이 없는 사용자가 처음 로그인할 때 계정이 생성되며 선택한 기본 역할(해당 역할에 제작자 시트가 필요하고 사용 가능한 시트가 없는 경우 편집자로 지정)로 워크스페이스에 참여합니다. |
| 기존 멤버 | 이메일 도메인이 목록에 있는 멤버는 즉시 SSO로 로그인할 수 있습니다. 동영상이나 역할에는 아무런 변경이 없습니다. |
| SSO 필수 | SSO 필수가 켜져 있으면, 해당 도메인의 멤버는 더 이상 비밀번호나 Google로 로그인할 수 없으며, 해당 도메인의 신규 사용자는 비밀번호로 가입할 수 없습니다. |
| 소유자 | 소유자는 항상 비밀번호로 로그인할 수 있으므로, 계정 접근이 차단되지 않습니다. |
SSO는 워크스페이스별로 작동합니다. 연결, 도메인 및 규칙은 해당 설정을 구성한 워크스페이스에 귀속됩니다.
SAML 2.0 또는 OpenID Connect
Clevera는 두 방식 모두 지원합니다. IdP 관리자가 선호하는 방식을 선택하세요. 멤버가 경험하는 결과는 동일합니다.
| SAML 2.0 | OpenID Connect (OIDC) | |
|---|---|---|
| Clevera에 입력할 값 | IdP 엔티티 ID, SSO 로그인 URL, X.509 인증서, 선택적 로그아웃 URL | 클라이언트 ID, 클라이언트 시크릿, 디스커버리 URL(또는 수동 엔드포인트) |
| IdP에 제공할 값 | 엔티티 ID / Audience URI 및 ACS URL (회신 URL) | 리디렉션 URI (콜백 URL) |
| IdP에서 싱글 로그아웃 | 로그아웃 URL 추가 시 지원 | 지원하지 않음 |
| 가이드 | SAML로 SSO 설정하기 | OpenID Connect로 SSO 설정하기 |
제공업체 가이드: Okta, Microsoft Entra ID, Google Workspace. OneLogin(SAML 또는 OIDC) 및 JumpCloud(SAML 전용)도 제공업체 목록에 있습니다. 해당 업체의 일반 SAML 또는 OIDC 가이드를 따르세요.
설정 방법
IdP에서 앱 생성하기
설정 대화 상자의 첫 번째 단계에 표시된 값(복사 버튼 포함)을 사용하세요. SAML의 경우 엔티티 ID와 ACS URL, OIDC의 경우 리디렉션 URI를 사용합니다.
Clevera에서 연결하기
사이드바 상단의 워크스페이스 메뉴를 열고 팀 설정, 보안을 차례로 선택합니다. 싱글 사인온 아래에서 SSO 설정을 클릭하고 제공업체, ID 제공업체, 도메인 및 역할, 검토의 4단계를 진행합니다. 구성 저장을 클릭하세요.
테스트하기
테스트 실행을 클릭한 다음, 비공개 브라우저 창에서 테스트 멤버로 로그인해 보세요.
활성화하기
SSO 활성화를 켭니다. 모든 사용자가 로그인할 수 있는지 확인한 후, SSO만 사용하도록 하려면 SSO 필수를 켭니다.
저장만으로는 SSO가 활성화되지 않으므로, 사용자에게 영향을 주지 않고 연결을 미리 준비할 수 있습니다.
이후 로그인 방법
- Clevera 로그인 페이지에서 회사 이메일을 입력합니다.
- Clevera가 도메인을 인식하고 "조직에서 Okta를 사용합니다"(제공업체 이름)와 함께 Continue with Okta 버튼을 표시합니다. 사용자 지정 SAML/OIDC 제공업체의 경우 "조직에서 SSO를 사용합니다"라고 표시되며 버튼은 Continue with SSO로 나타납니다. SSO 필수가 켜져 있으면 "이 조직의 멤버는 Okta로 로그인합니다."라는 문구가 추가됩니다.
- 버튼을 클릭하여 IdP에서 로그인하면 워크스페이스의 Clevera 홈 페이지로 이동합니다. 로그인 요청 시 Clevera 링크를 열고 있었다면 해당 페이지로 바로 이동합니다.
로그아웃할 때까지 해당 브라우저에서 로그인 상태가 유지됩니다. Clevera에서 로그아웃해도 IdP에서는 로그아웃되지 않습니다.
데스크톱 앱: 데스크톱 앱은 브라우저를 통해 로그인합니다. 브라우저 로그인 페이지에서 회사 이메일을 입력하고 Continue with 제공업체 버튼을 클릭하세요. IdP에서 로그인하면 브라우저가 데스크톱 앱으로 연결을 넘겨주어 로그인이 완료됩니다. 데스크톱 앱에 로그인하기를 참조하세요.
SSO 사용 가능 대상
| 대상 | SSO 로그인 가능 여부 |
|---|---|
| 이메일 도메인이 목록에 있는 워크스페이스 멤버 | 예 |
| 도메인 내 Clevera 계정이 없는 사용자 | 예 (첫 로그인 시 계정 생성이 켜진 경우). 그렇지 않으면 먼저 초대하세요. |
| 도메인 내 Clevera 계정은 있지만 이 워크스페이스 멤버가 아닌 사용자 | 아니요. 먼저 초대하고 수락하면 SSO를 사용할 수 있습니다. |
| 소유자 | 예 (직접 SSO 구성을 저장한 경우). 항상 비밀번호도 사용할 수 있습니다. |
| 이메일 도메인이 목록에 없는 사용자 | 아니요. 기존 방식대로 로그인합니다. |
세 번째와 네 번째 행은 안전장치입니다. Clevera에서는 이메일 도메인이 검증되지 않으므로, SSO는 워크스페이스에 없는 계정을 탈취하거나 다른 사람이 저장한 연결을 통해 소유자를 로그인시키지 않습니다.
제작자 시트
SSO로 생성된 사용자는 선택한 신규 SSO 멤버의 기본 역할을 부여받습니다. 해당 역할이 콘텐츠 제작자인데 플랜의 제작자 시트가 모두 소진된 경우, 시트를 사용하지 않는 편집자로 참여하게 됩니다. 팀 설정 → 멤버에서 시트를 추가하고 역할을 변경하세요. 워크스페이스, 역할 및 제작자 시트 이해하기를 참조하세요.
비밀번호에 미치는 영향
- 기존 멤버는 비밀번호를 유지합니다. SSO 필수가 꺼져 있는 동안에는 둘 다 사용할 수 있습니다. 켜져 있는 경우, 비밀번호로 로그인하려는 멤버에게 "조직에서 싱글 사인온이 필요합니다. SSO 버튼을 사용하여 계속하세요."라는 메시지가 표시됩니다.
- 도메인 내 신규 사용자는 SSO 필수가 켜져 있으면 비밀번호로 계정을 생성할 수 없습니다. 가입 양식에 "조직에서 싱글 사인온(SSO)을 사용합니다. 로그인 페이지로 이동하여 이메일을 입력하고 Continue with SSO를 선택하세요."라는 안내가 표시됩니다. SSO로 처음 로그인할 때 계정이 생성됩니다(첫 로그인 시 계정 생성이 켜진 경우, 그렇지 않으면 초대 필요).
- SSO로 생성된 계정은 사용자가 아는 비밀번호가 없습니다. 나중에 SSO가 꺼지거나 제거되면 로그인 페이지의 **비밀번호를 잊으셨나요?**를 사용하여 비밀번호를 설정할 수 있습니다.
- SSO 필수가 켜져 있는 동안 해당 도메인의 멤버는 Google 로그인이 차단됩니다.
접근 권한 제거
Clevera는 IdP의 사용자를 동기화하지 않습니다. IdP에서 사용자를 할당 해제하면 새로운 SSO 로그인은 차단되지만, 이미 로그인된 브라우저 세션은 유지됩니다. 즉시 접근을 차단하려면 팀 설정 → 멤버에서도 해당 사용자를 제거하세요.