Naar inhoud springen
Clevera Help Center

SSO instellen met Okta

Stapsgewijze Okta-configuratie voor Clevera single sign-on, met SAML 2.0 of OpenID Connect: de Okta-app-instellingen, welke Okta-waarden in welk Clevera-veld moeten, mensen toewijzen en testen.

Bijgewerkt op 6 min leestijd

Stel single sign-on in tussen Okta en Clevera zodat je team inlogt met hun Okta-account. Je kunt verbinding maken met SAML 2.0 of OpenID Connect (OIDC); deze handleiding doorloopt beide aan de Okta-kant en de bijbehorende velden in Clevera.

De beheerconsole van Okta verandert regelmatig. Als een label hieronder niet overeenkomt met wat je ziet, zoek dan naar de instelling met dezelfde betekenis en gebruik de algemene handleidingen voor de volledige lijst met waarden: SAML, OIDC.

Voordat je begint

  • Je bent de Eigenaar van een Clevera-werkruimte op een Aangepast abonnement.
  • Je bent een Okta-beheerder die app-integraties kan maken en toewijzen.
  • Je kent de e-maildomeinen die je mensen in Okta gebruiken, zoals acme.example.

Open eerst het Clevera-configuratiedialoogvenster zodat je waarden kunt kopiëren: open het werkruimtemenu bovenaan de zijbalk, kies Teaminstellingen, dan Beveiliging en klik op SSO instellen. Kies Okta als de Identity provider.

Stap 1 van het SSO-configuratiedialoogvenster met Okta en SAML 2.0 geselecteerd en de Entity ID, ACS URL en metadata-URL om te kopiëren
Kopieer deze drie waarden naar je identity provider.

Verbinding maken met SAML 2.0

  1. De app maken in Okta

    Ga in de Okta Admin Console naar Applications → Applications en klik op Create App Integration. Kies SAML 2.0 en klik op Volgende. Geef het de naam Clevera en klik op Volgende.

  2. Waarden van Clevera invoeren

    Vul onder SAML Settings het volgende in:

    Okta-veld Waarde uit Clevera
    Single sign-on URL ACS URL (Reply URL): https://app.clevera.ai/sso/saml/callback. Houd Use this for Recipient URL and Destination URL aangevinkt.
    Audience URI (SP Entity ID) Entity ID / Audience URI (kopieer deze uit het Clevera-dialoogvenster; deze eindigt op je werkruimte-ID)
    Default RelayState Laat leeg
    Name ID format EmailAddress
    Application username Email

  3. Ondertekening controleren

    Klik op Show Advanced Settings en controleer of Response en Assertion Signature beide op Signed staan, Signature Algorithm op RSA-SHA256 staat en Assertion Encryption op Unencrypted staat. Clevera vereist dat zowel de response als de assertion ondertekend zijn.

  4. Naamkenmerken toevoegen

    Voeg onder Attribute Statements firstName toe met waarde user.firstName en lastName met waarde user.lastName. Clevera gebruikt deze om nieuwe accounts een naam te geven. Klik op Volgende, beantwoord de feedbackvraag van Okta als een interne app en klik op Finish.

  5. Waarden van Okta kopiëren naar Clevera

    Open op het Sign On-tabblad van de app de SAML-configuratiegegevens (View SAML setup instructions, of More details in nieuwere consoles). Stel in Clevera Protocol in op SAML 2.0, klik op Doorgaan en plak:

    Okta-waarde Clevera-veld
    Identity Provider Issuer (of Issuer) IdP Entity ID
    Identity Provider Single Sign-On URL (of Sign on URL) SSO sign-in URL
    X.509 Certificate (of Signing Certificate) X.509 certificate

    Laat Logout URL leeg, tenzij je Okta single logout gebruikt.

    Stap 2 van het SSO-configuratiedialoogvenster met de IdP Entity ID, sign-in URL en certificaat ingevuld
    Logout URL is optioneel.

  6. Mensen toewijzen

    Klik op het Assignments-tabblad van de app op Assign en voeg de mensen of groepen toe die Clevera moeten gebruiken. Mensen die niet zijn toegewezen, kunnen niet inloggen via Okta.

Rond daarna af in Clevera: domeinen en rollen.

Verbinding maken met OpenID Connect

  1. De app maken in Okta

    Ga naar Applications → Applications → Create App Integration. Kies OIDC - OpenID Connect, dan Web Application en klik op Volgende.

  2. De redirect URI instellen

    Stel in het Clevera-configuratiedialoogvenster Protocol in op OpenID Connect en kopieer de Redirect URI (callback URL) uit het grijze vak. Vul daarna Okta in:

    Okta-veld Waarde
    App integration name Clevera
    Grant type Authorization Code
    Sign-in redirect URIs De Redirect URI (callback URL): https://app.clevera.ai/sso/oidc/callback
    Sign-out redirect URIs Verwijder het voorbeeld; laat leeg
    Controlled access Kies wie de app kan gebruiken, of Skip group assignment for now en wijs later toe

    Klik op Opslaan.

  3. De inloggegevens kopiëren

    Kopieer op het General-tabblad van de app onder Client Credentials de Client ID en de Client secret. Laat Client authentication ingesteld op Client secret.

  4. Invullen in Clevera

    Klik in Clevera op Doorgaan en voer het volgende in:

    Clevera-veld Waarde
    Client ID Okta's Client ID
    Client secret Okta's Client secret
    Discovery URL https:// je Okta-domein /.well-known/openid-configuration, bijvoorbeeld https://acme.okta.com/.well-known/openid-configuration

    Als je een aangepaste autorisatieserver gebruikt, gebruik dan in plaats daarvan de bijbehorende discovery-URL, bijvoorbeeld https://acme.okta.com/oauth2/default/.well-known/openid-configuration.

    Stap 2 van het SSO-configuratiedialoogvenster voor OpenID Connect met client ID, secret en discovery-URL
    Met een discovery-URL blijven de endpoint-velden verborgen.

  5. Mensen toewijzen

    Wijs op het Assignments-tabblad de mensen of groepen toe die Clevera moeten gebruiken.

Afronden in Clevera

  1. Voeg bij Domains & roles elk e-maildomein toe dat je Okta-gebruikers hebben, kies Create accounts on first sign-in en de Default role for new SSO members.
  2. Klik bij Beoordelen op Save configuration.
  3. Klik op Run test, schakel Enable SSO in en log in als een toegewezen testgebruiker in een privévenster, beginnend vanaf de Clevera-inlogpagina.
  4. Wanneer het voor iedereen werkt, schakel dan Require SSO in als je wilt dat SSO de enige manier is om in te loggen.

Leden typen vervolgens hun werk-e-mailadres op de Clevera-inlogpagina en klikken op Continue with Okta.

Probleemoplossing

Probleem Wat te controleren
"SSO authentication failed…" direct na de Okta-inlog, met SAML Response en Assertion Signature zijn beide Signed; het certificaat in Clevera is het huidige ondertekeningscertificaat van de app; de Audience URI komt exact overeen met Clevera's Entity ID.
"SSO session expired. Please try again." na het klikken op de Clevera-tegel in Okta Verwacht gedrag: inloggen moet starten op de Clevera-inlogpagina.
Okta zegt dat de gebruiker niet is toegewezen aan de app Wijs ze toe op het Assignments-tabblad van de app.
"Your email domain is not authorized for this team's SSO." Het Okta-e-mailadres van de persoon gebruikt een domein dat niet in Allowed email domains staat. Voeg het toe in Clevera.
Okta toont een redirect URI-fout (OIDC) Sign-in redirect URIs moet exact de Redirect URI (callback URL) uit Clevera zijn, https://app.clevera.ai/sso/oidc/callback.

Meer berichten: SSO-inlogproblemen oplossen.

Single sign-on begrijpenWat SSO verandert voor je leden.SSO instellen met SAMLElk SAML-veld en elke waarde.SSO instellen met OpenID ConnectElk OIDC-veld en elke claim.SSO-inlogproblemen oplossenElk SSO-bericht en wat je moet doen.