Begrijp single sign-on (SSO) in Clevera
Wat single sign-on doet in Clevera: welk abonnement het bevat, SAML 2.0 vs OpenID Connect, wie ermee kan inloggen, SSO vereisen, en wat er gebeurt met bestaande leden en wachtwoorden.
Met single sign-on (SSO) kan je team inloggen bij Clevera met hun bedrijfsaccount van Okta, Microsoft Entra ID, Google Workspace of een andere SAML 2.0- of OpenID Connect-provider. Dit artikel legt uit wat SSO doet in Clevera, wie het kan instellen en wat er verandert voor je leden.
Voordat je begint
- Abonnement: SSO is onderdeel van Custom-abonnementen. Bij andere abonnementen ziet de eigenaar Custom-abonnement vereist in Teaminstellingen → Beveiliging, met een link naar Neem contact met ons op. Zie Kies een abonnement.
- Wie stelt het in: alleen de Eigenaar van de werkruimte. Beheerders kunnen SSO-instellingen niet zien of wijzigen.
- Je identiteitsprovider: iemand die een app kan aanmaken in je identiteitsprovider (IdP), of die de waarden ervan naar je kan sturen.
- Je e-maildomeinen: elk bedrijfsdomein waarmee je mensen inloggen, zoals
acme.example.
Wat SSO doet in Clevera
| Wat er gebeurt | |
|---|---|
| Inloggen | Mensen typen hun werk-e-mailadres op de Clevera-inlogpagina en klikken op Doorgaan met je provider. Ze loggen in bij je IdP en komen ingelogd terug in je werkruimte. |
| Nieuwe mensen | Als Accounts aanmaken bij eerste inlogpoging aan staat, krijgt iemand zonder Clevera-account er een bij de eerste keer inloggen. Ze treden toe tot je werkruimte met de standaardrol die je hebt gekozen (als Bewerker als die rol een creator-seat vereist en er geen beschikbaar is). |
| Bestaande leden | Leden wiens e-maildomein op je lijst staat, kunnen direct inloggen met SSO. Er verandert niets aan hun video's of rol. |
| SSO vereisen | Als SSO vereisen aan staat, kunnen leden met jouw domeinen niet meer inloggen met een wachtwoord of Google, en kunnen nieuwe mensen met jouw domeinen zich niet meer aanmelden met een wachtwoord. |
| Eigenaar | De eigenaar kan altijd inloggen met hun wachtwoord, zodat je jezelf niet kunt buitensluiten. |
SSO werkt per werkruimte: de verbinding, de domeinen en de regels horen bij de werkruimte waarin je het instelt.
SAML 2.0 of OpenID Connect
Clevera ondersteunt beide. Kies degene die de voorkeur heeft van je IdP-beheerder; het resultaat voor je leden is hetzelfde.
| SAML 2.0 | OpenID Connect (OIDC) | |
|---|---|---|
| Wat je invoert in Clevera | IdP Entity ID, SSO-inlog-URL, X.509-certificaat, optionele uitlog-URL | Client ID, client secret en een discovery-URL (of handmatig de endpoints) |
| Wat je aan je IdP geeft | Entity ID / Audience URI en ACS URL (Reply URL) | Redirect URI (callback URL) |
| Single logout vanaf de IdP | Ondersteund, als je een uitlog-URL toevoegt | Niet ondersteund |
| Handleiding | SSO instellen met SAML | SSO instellen met OpenID Connect |
Handleidingen voor providers: Okta, Microsoft Entra ID, Google Workspace. OneLogin (SAML of OIDC) en JumpCloud (alleen SAML) staan ook in de providerlijst; volg daarvoor de algemene SAML- of OIDC-handleiding.
Hoe de installatie werkt
Maak een app aan in je IdP
Gebruik de waarden die Clevera toont in de eerste stap van het configuratievenster, elk met een kopieerknop: de Entity ID en ACS URL voor SAML, of de redirect URI voor OIDC.
Verbind het in Clevera
Open het werkruimtemenu bovenaan de zijbalk, kies Teaminstellingen en vervolgens Beveiliging. Klik onder Single sign-on op SSO instellen en doorloop de vier stappen: Provider, Identiteitsprovider, Domeinen & rollen, Beoordelen. Klik op Configuratie opslaan.
Test het
Klik op Test uitvoeren en log vervolgens in met een testlid in een privévenster van je browser.
Schakel het in
Schakel SSO inschakelen in. Wanneer iedereen kan inloggen, schakel je SSO vereisen in als je wilt dat SSO de enige manier is om toegang te krijgen.
Opslaan schakelt SSO nooit uit zichzelf in, dus je kunt de verbinding voorbereiden zonder dat dit invloed heeft op anderen.
Hoe mensen daarna inloggen
- Op de Clevera-inlogpagina typen ze hun werk-e-mailadres.
- Clevera herkent het domein en toont "Jouw organisatie gebruikt Okta" (de naam van je provider) met een Doorgaan met Okta-knop. Bij Aangepaste SAML/OIDC-provider staat er "Jouw organisatie gebruikt SSO" en de knop heet Doorgaan met SSO. Als SSO vereisen aan staat, wordt er toegevoegd: "Leden van deze organisatie loggen in met Okta."
- Ze klikken op de knop, loggen in bij je IdP en komen terecht op hun Clevera-startpagina in jouw werkruimte. Als ze een Clevera-link openden toen ze gevraagd werden in te loggen, komen ze op die pagina terecht.
Ze blijven ingelogd in die browser totdat ze uitloggen. Uitloggen bij Clevera logt hen niet uit bij je IdP.
Desktop-app: de desktop-app logt in via je browser. Typ op de inlogpagina van de browser je werk-e-mailadres en klik op Doorgaan met je provider. Nadat je bent ingelogd bij je IdP, stuurt de browser je terug naar de desktop-app, die het inloggen voltooit. Zie Inloggen bij de desktop-app.
Wie kan SSO gebruiken
| Persoon | Kan inloggen met SSO? |
|---|---|
| Een lid van de werkruimte wiens e-maildomein op je lijst staat | Ja |
| Iemand op je domein zonder Clevera-account | Ja, als Accounts aanmaken bij eerste inlogpoging aan staat. Nodig ze anders eerst uit. |
| Iemand op je domein die al een Clevera-account heeft maar geen lid is van deze werkruimte | Nee. Nodig ze uit, en zodra ze hebben geaccepteerd, werkt SSO voor hen. |
| De eigenaar | Ja, als ze de SSO-configuratie zelf hebben opgeslagen. Ze kunnen ook altijd hun wachtwoord gebruiken. |
| Iemand wiens e-maildomein niet op je lijst staat | Nee. Zij blijven inloggen zoals ze nu doen. |
De derde en vierde rij zijn veiligheidsmaatregelen: omdat e-maildomeinen in Clevera niet worden geverifieerd, neemt SSO nooit een account over dat nog niet in je werkruimte zit, en logt het de eigenaar nooit in via een verbinding die iemand anders heeft opgeslagen.
Creator-seats
Iemand die via SSO wordt aangemaakt, krijgt de Standaardrol voor nieuwe SSO-leden die je hebt gekozen. Als dat Contentmaker is en elke creator-seat in je abonnement is bezet, treden ze toe als Bewerker, wat geen seat verbruikt. Voeg een seat toe en wijzig hun rol in Teaminstellingen → Leden. Zie Begrijp werkruimtes, rollen en creator-seats.
Wat gebeurt er met wachtwoorden
- Bestaande leden behouden hun wachtwoord. Zolang SSO vereisen uit staat, kunnen ze beide gebruiken. Als het aan staat, ziet een lid dat inlogt met het juiste wachtwoord: "Jouw organisatie vereist Single Sign-On. Gebruik de SSO-knop om door te gaan."
- Nieuwe mensen op je domeinen kunnen geen account aanmaken met een wachtwoord terwijl SSO vereisen aan staat. Het aanmeldformulier geeft als antwoord: "Jouw organisatie logt in met single sign-on (SSO). Ga naar Inloggen, voer dit e-mailadres in en kies Doorgaan met SSO." Hun account wordt aangemaakt bij de eerste keer inloggen met SSO (als Accounts aanmaken bij eerste inlogpoging aan staat; nodig ze anders uit).
- Accounts aangemaakt door SSO hebben geen wachtwoord dat de persoon kent. Als SSO later wordt uitgeschakeld of verwijderd, gebruiken ze Wachtwoord vergeten? op de inlogpagina om er een in te stellen.
- Google-inloggen is geblokkeerd voor leden op je domeinen terwijl SSO vereisen aan staat.
Iemands toegang verwijderen
Clevera synchroniseert geen gebruikers vanuit je IdP. Iemand de-toewijzen in je IdP stopt nieuwe SSO-inlogpogingen, maar een browser die al ingelogd is, blijft ingelogd. Om de toegang direct te verbreken, verwijder je ze ook in Teaminstellingen → Leden.