Konfiguracja SSO za pomocą OpenID Connect

Połącz Clevera ze swoim dostawcą tożsamości (IdP) za pomocą OpenID Connect (OIDC), aby Twój zespół mógł logować się za pomocą konta firmowego. Ten artykuł zawiera informacje o aplikacji, którą należy utworzyć w IdP, każdym polu w oknie konfiguracji Clevera, oświadczeniach odczytywanych przez Clevera oraz o tym, jak przetestować i włączyć tę funkcję.

Aby dowiedzieć się, co SSO zmienia dla Twoich członków, najpierw przeczytaj Zrozumieć logowanie jednokrotne (SSO). Ekrany specyficzne dla dostawców znajdują się w przewodnikach dla Okta, Microsoft Entra ID oraz Google Workspace.

Zanim zaczniesz#

• Jesteś Właściciel obszaru roboczego w ramach Plan niestandardowy.
• Możesz utworzyć aplikację OIDC (internetową) w swoim IdP lub współpracujesz z kimś, kto może to zrobić.
• Znasz każdą domenę e-mail, z której korzysta Twój zespół.

Utwórz aplikację w swoim IdP#

Utwórz aplikację internetową (poufny klient z kluczem tajnym klienta) i skonfiguruj ją w następujący sposób:

Nie musisz wpisywać identyfikatora URI przekierowania ręcznie. W oknie konfiguracji Clevera wybierz OpenID Connect w pierwszym kroku: szare pole „Dla osoby konfigurującej dostawcę tożsamości” wyświetla Identyfikator URI przekierowania (adres URL wywołania zwrotnego) z przyciskiem kopiowania.

Po utworzeniu aplikacji skopiuj jej identyfikator klienta, klucz tajny klienta oraz adres URL wykrywania (nazywany również adresem URL konfiguracji OpenID lub dobrze znanym adresem URL, kończącym się na /.well-known/openid-configuration).

Oświadczenia odczytywane przez Clevera#

Clevera odczytuje token ID, a gdy IdP posiada punkt końcowy UserInfo, również odpowiedź UserInfo.

Clevera nie odczytuje żadnych oświadczeń dotyczących grup ani ról: każdy użytkownik utworzony przez SSO otrzymuje domyślną rolę wybraną w Clevera.

Połącz swój IdP w Clevera#

1. Otwórz kartę Bezpieczeństwo#

   Otwórz menu obszaru roboczego u góry paska bocznego, wybierz Ustawienia zespołu, a następnie Bezpieczeństwo. W sekcji Logowanie jednokrotne kliknij Skonfiguruj SSO.

2. Dostawca#

   Wybierz swojego Dostawcę tożsamości i ustaw Protokół na OpenID Connect. Skopiuj Identyfikator URI przekierowania (adres URL wywołania zwrotnego) do swojego IdP, jeśli jeszcze tego nie zrobiłeś, a następnie kliknij Kontynuuj. (JumpJump obsługuje w Clevera tylko SAML.)

   Nazwa dostawcy to to, co członkowie widzą na przycisku logowania, na przykład Kontynuuj z Okta. W przypadku Niestandardowy dostawca SAML/OIDC, przycisk ma etykietę Kontynuuj z SSO.

3. Dostawca tożsamości#

   Wypełnij poniższe pola. Kliknij Kontynuuj.

4. Domeny i role#

   Dodaj każdą domenę e-mail w sekcji Dozwolone domeny e-mail, wybierz, czy chcesz Tworzyć konta przy pierwszym logowaniu, i wybierz Domyślna rola dla nowych członków SSO. Działają one tak samo jak w przypadku SAML: zobacz Domeny i role.

5. Przegląd#

   Sprawdź podsumowanie i kliknij Zapisz konfigurację. Zobaczysz komunikat „Konfiguracja SSO zapisana. Uruchom test, a następnie włącz ją.” Zapisanie nie powoduje włączenia SSO.

Pola dostawcy tożsamości#

Trzy pola punktów końcowych pojawiają się tylko wtedy, gdy Adres URL wykrywania jest pusty.

Dlaczego adres URL wykrywania jest lepszy#

Dzięki adresowi URL wykrywania Clevera samodzielnie odczytuje punkty końcowe i sprawdza każde logowanie pod kątem opublikowanych kluczy podpisywania i wystawcy Twojego IdP. Wprowadzaj punkty końcowe ręcznie tylko wtedy, gdy Twój IdP nie posiada dokumentu wykrywania.

• Adres URL wykrywania musi być wystawcą IdP plus /.well-known/openid-configuration, a issuer wewnątrz niego musi być zgodny z tokenami wydawanymi przez Twój IdP. Adresy URL wielu dzierżawców, których wystawca zawiera symbol zastępczy (taki jak punkt końcowy common firmy Microsoft), nie działają; użyj adresu URL własnej dzierżawy.
• Każdy adres URL musi być publicznym adresem https:// (lub http://), do którego serwery Clevera mają dostęp. Adresy w sieci prywatnej, takie jak IdP dostępny tylko przez VPN, są odrzucane. Każdy port jest dozwolony.
• Clevera przechowuje dokument wykrywania i klucze podpisywania przez maksymalnie godzinę. Jeśli Twój IdP w tym czasie zmieni klucze podpisywania, Clevera pobierze nowe klucze raz przed odrzuceniem logowania, więc rotacja kluczy nie zablokuje dostępu użytkownikom.

Przetestuj połączenie#

1. Uruchom sprawdzanie#

   Na karcie Bezpieczeństwo kliknij Uruchom test. Sprawdza on, czy identyfikator klienta i klucz tajny są zapisane oraz, w przypadku adresu URL wykrywania, czy dokument się ładuje i zawiera punkt końcowy autoryzacji. Zobaczysz komunikat „Konfiguracja SSO jest prawidłowa i gotowa do użycia.” lub listę problemów. Zobacz Naprawianie problemów z logowaniem SSO.

   

2. Włącz SSO#

   Włącz Włącz SSO. Zobaczysz komunikat „SSO włączone.”, a odznaka zmieni się na Aktywny.

3. Zaloguj się jako członek testowy#

   W oknie prywatnym przeglądarki przejdź do strony logowania Clevera, wpisz adres e-mail członka, kliknij Kontynuuj z swoim dostawcą i zaloguj się. Powinieneś trafić na stronę główną Clevera w swoim obszarze roboczym. Jako właściciel zawsze możesz zalogować się za pomocą hasła, więc nie zablokuje Ci to dostępu.

Uruchom test nie sprawdza klucza tajnego klienta ani rzeczywistego logowania; robi to tylko krok 3.

Wymagaj SSO, zmień lub usuń#

Działają one tak samo jak w przypadku SAML:

• Włącz Wymagaj SSO, gdy wszyscy będą mogli się zalogować. Członkowie w Twoich domenach nie będą mogli wtedy używać hasła ani Google.
• Edytuj zmienia połączenie. Pozostaw Klucz tajny klienta pusty, aby zachować zapisany. Gdy zmienisz klucz tajny w swoim IdP, wklej nowy i zapisz.
• Usuń konfigurację SSO (w menu obok odznaki statusu) usuwa ją. Członkowie utworzeni przez SSO używają Zapomniałeś hasła?, aby ustawić hasło.

Szczegóły znajdziesz w Konfiguracja SSO za pomocą SAML. OIDC nie posiada funkcji pojedynczego wylogowania: wylogowanie z IdP nie wylogowuje użytkowników z Clevera.

Powiązane#