Przejdź do treści
Clevera Help Center

Konfiguracja SSO przy użyciu SAML 2.0

Połącz Clevera ze swoim dostawcą tożsamości za pomocą SAML 2.0: identyfikator jednostki (Entity ID) i adres URL ACS do podania w IdP, ustawienia podpisywania i Name ID, atrybuty odczytywane przez Clevera, każde pole konfiguracji, testowanie i włączanie SSO.

Zaktualizowano 9 min czytania

Połącz Clevera ze swoim dostawcą tożsamości (IdP) za pomocą SAML 2.0, aby Twój zespół mógł logować się przy użyciu konta firmowego. Ten artykuł zawiera listę wszystkich pól w oknie konfiguracji Clevera, dokładne wartości wymagane przez Twój IdP oraz instrukcje, jak przetestować i włączyć tę funkcję.

Aby dowiedzieć się, co zmienia się dla członków zespołu po włączeniu SSO, najpierw przeczytaj Zrozumieć logowanie jednokrotne (SSO). Instrukcje krok po kroku dla ekranów IdP znajdziesz w przewodnikach dla Okta, Microsoft Entra ID oraz Google Workspace.

Zanim zaczniesz

  • Jesteś Właścicielem obszaru roboczego w ramach Planu niestandardowego.
  • Możesz utworzyć aplikację SAML w swoim IdP lub współpracujesz z osobą, która może to zrobić.
  • Znasz każdą domenę e-mail używaną przez Twój zespół, taką jak acme.example i eu.acme.example.

Wartości do podania w IdP

Clevera wyświetla je w oknie konfiguracji w sekcji „Dla osoby konfigurującej dostawcę tożsamości”, każde z przyciskiem kopiowania. Skopiuj je stamtąd: identyfikator jednostki (Entity ID) zawiera unikalny identyfikator Twojego obszaru roboczego.

Krok 1 okna konfiguracji SSO z wybranym Okta i SAML 2.0 oraz identyfikatorem jednostki, adresem URL ACS i adresem URL metadanych do skopiowania
Skopiuj te trzy wartości do swojego dostawcy tożsamości.
Etykieta Clevera Co to jest w Twoim IdP Wartość
Entity ID / Audience URI Audience URI, SP Entity ID, Identifier https://app.clevera.ai/sso/metadata/ oraz identyfikator Twojego obszaru roboczego
ACS URL (Reply URL) Assertion Consumer Service URL, Single sign-on URL, Reply URL https://app.clevera.ai/sso/saml/callback
SP metadata URL Service provider metadata Ten sam adres co Entity ID. Udostępnia metadane SAML Clevera w formacie XML dla IdP, które mogą je zaimportować.

Skonfiguruj aplikację w swoim IdP w następujący sposób:

Ustawienie IdP Ustaw na
Format Name ID EmailAddress (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress)
Wartość Name ID Służbowy adres e-mail użytkownika
Podpisywanie Podpisz zarówno odpowiedź SAML, jak i asercję. Zalecane SHA-256.
Szyfrowanie asercji Wyłączone. Clevera nie akceptuje zaszyfrowanych asercji.
Podpisane żądania uwierzytelnienia Niewymagane. Clevera wysyła niepodpisane żądania.
Powiązanie dla adresu URL ACS HTTP POST
Domyślny RelayState, logowanie inicjowane przez IdP Pozostaw puste. Logowanie musi rozpocząć się na stronie logowania Clevera.

Atrybuty odczytywane przez Clevera

Adres e-mail pochodzi z Name ID. Jeśli Name ID nie jest adresem e-mail, Clevera szuka pierwszego z następujących atrybutów:

Cel Nazwy atrybutów akceptowane przez Clevera, w kolejności
E-mail email, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress, User.Email
Imię firstName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname, User.FirstName, first_name
Nazwisko lastName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname, User.LastName, last_name
Nazwa wyświetlana (używana, gdy brak imienia lub nazwiska) displayName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name, User.Name, name

Imiona i nazwiska są używane tylko wtedy, gdy Clevera tworzy nowe konto. W przypadku braku jakichkolwiek atrybutów nazw, konto otrzymuje nazwę na podstawie części adresu e-mail przed znakiem @. Clevera nie odczytuje żadnych atrybutów grup ani ról: każdy użytkownik utworzony przez SSO otrzymuje domyślną rolę, którą wybierzesz poniżej.

Połącz swój IdP w Clevera

  1. Otwórz kartę Bezpieczeństwo

    Otwórz menu obszaru roboczego u góry paska bocznego, wybierz Ustawienia zespołu, a następnie Bezpieczeństwo. W sekcji Logowanie jednokrotne kliknij Skonfiguruj SSO. Otworzy się okno Konfiguracja logowania jednokrotnego.

  2. Dostawca

    Wybierz swojego Dostawcę tożsamości (Okta, Microsoft Entra ID (Azure AD), OneLogin, Google Workspace, JumpCloud lub Niestandardowy dostawca SAML/OIDC) i ustaw Protokół na SAML 2.0. Skopiuj wartości z szarego pola do swojego IdP, a następnie kliknij Kontynuuj.

    Nazwa dostawcy to to, co członkowie widzą na przycisku logowania, na przykład Kontynuuj z Okta. W przypadku Niestandardowego dostawcy SAML/OIDC przycisk ma etykietę Kontynuuj z SSO.

  3. Dostawca tożsamości

    Wklej wartości ze strony konfiguracji SAML swojego IdP. Zobacz odniesienie do pól. Kliknij Kontynuuj.

  4. Domeny i role

    Wpisz każdą domenę e-mail w sekcji Dozwolone domeny e-mail i kliknij Dodaj (lub naciśnij Enter). Następnie wybierz, czy chcesz Tworzyć konta przy pierwszym logowaniu i wybierz Domyślną rolę dla nowych członków SSO. Zobacz Domeny i role.

  5. Przegląd

    Sprawdź podsumowanie i kliknij Zapisz konfigurację. Zobaczysz komunikat „Konfiguracja SSO zapisana. Uruchom test, a następnie włącz ją”. Zapisanie nie powoduje włączenia SSO.

Pola dostawcy tożsamości

Krok 2 okna konfiguracji SSO z wypełnionym identyfikatorem jednostki IdP, adresem URL logowania i certyfikatem
Adres URL wylogowania jest opcjonalny.
Pole Wymagane Co wkleić Jak nazywa to Twój IdP
IdP Entity ID Tak Wystawca IdP, dokładnie tak, jak wyświetla go Twój IdP Identity Provider Issuer, Entity ID, Microsoft Entra Identifier
SSO sign-in URL Tak Adres URL, na który Clevera wysyła użytkowników w celu logowania (powiązanie HTTP Redirect) Identity Provider Single Sign-On URL, Login URL, SSO URL
Logout URL Nie Adres URL wylogowania Twojego IdP. „Pozostaw puste, chyba że dostawca wymaga pojedynczego wylogowania”. Single Logout URL, Logout URL
X.509 certificate Tak Certyfikat podpisywania Twojego IdP X.509 Certificate, Certificate (Base64)

Certyfikat

  • Wklej cały certyfikat. Linie -----BEGIN CERTIFICATE----- i -----END CERTIFICATE----- są opcjonalne; spacje i znaki nowej linii są ignorowane.
  • Użyj tekstu Base64 (PEM), a nie pliku binarnego .cer. Jeśli pobrałeś plik, otwórz go w edytorze tekstu i skopiuj jego zawartość.
  • Clevera przechowuje go w formie zaszyfrowanej i nigdy więcej go nie wyświetla. Gdy później edytujesz połączenie, pole zawiera informację „Certyfikat jest zapisany. Pozostaw puste, aby go zachować”.
  • Uruchom test poinformuje Cię, jeśli certyfikat jest nieczytelny lub wygasł.

Domeny i role

Krok 3 okna konfiguracji SSO z dwiema dozwolonymi domenami, włączonym tworzeniem kont i rolą Edytora jako domyślną
Administrator nie jest oferowany, gdy konta są tworzone automatycznie.
Ustawienie Co robi Domyślnie
Dozwolone domeny e-mail Tylko osoby z tymi domenami e-mail mogą korzystać z połączenia. Domeny decydują również, kiedy strona logowania oferuje SSO. Wymagana jest co najmniej jedna. Brak
Twórz konta przy pierwszym logowaniu „Konto Clevera jest tworzone przy pierwszym logowaniu przez SSO”. Nowe konto dołącza do tego obszaru roboczego. Włączone
Domyślna rola dla nowych członków SSO Rola, którą otrzymują nowe konta: Edytor, Twórca treści lub Administrator. Administrator jest oferowany tylko wtedy, gdy Twórz konta przy pierwszym logowaniu jest wyłączone: „Konta tworzone automatycznie nigdy nie otrzymują roli Administratora”. Edytor

O domenach:

  • Domena musi być zgodna dokładnie. acme.example nie obejmuje eu.acme.example; dodaj każdą z nich.
  • Wpisz tylko domenę (acme.example), nie adres e-mail. Wiodący znak @ zostanie usunięty.
  • Domena może należeć tylko do jednego obszaru roboczego Clevera. Jeśli inny obszar roboczy już jej używa, przy zapisywaniu pojawi się komunikat „Domena acme.example jest już przypisana do innego zespołu”. Skontaktuj się z pomocą techniczną, jeśli to Twoja domena.

Twórcy treści zajmują miejsce twórcy; Edytorzy nie. Jeśli domyślną rolą jest Twórca treści, a wszystkie miejsca twórcy są zajęte, osoba dołączająca przez SSO zostanie Edytorem, dzięki czemu SSO nigdy nie przekroczy Twojego limitu miejsc. Dodaj miejsce i zmień ich rolę w Ustawienia zespołu → Członkowie, gdy będziesz gotowy. Zobacz Zrozumieć obszary robocze, role i miejsca twórcy.

Przetestuj połączenie

  1. Uruchom sprawdzenie

    Wróć do karty Bezpieczeństwo i kliknij Uruchom test obok Testuj połączenie. Sprawdza to zapisane ustawienia: czy identyfikator jednostki, adres URL logowania i certyfikat są obecne, czy adres URL jest poprawny oraz czy certyfikat jest czytelny i nie wygasł.

    Zobaczysz komunikat „Konfiguracja SSO jest poprawna i gotowa do użycia” lub „Konfiguracja SSO ma problemy, które należy rozwiązać” wraz z listą. Zobacz Rozwiązywanie problemów z logowaniem SSO.

    Karta logowania jednokrotnego po pomyślnym teście, z wciąż wyłączoną opcją Włącz SSO
    Uruchom test przed włączeniem SSO.

  2. Włącz SSO

    Włącz Włącz SSO. Zobaczysz komunikat „SSO włączone”. Odznaka statusu zmieni się z Wyłączone na Aktywny.

  3. Zaloguj się jako użytkownik testowy

    Otwórz okno prywatne przeglądarki, przejdź na stronę logowania Clevera i wpisz adres e-mail członka (lub nowej osoby, jeśli konta są tworzone przy pierwszym logowaniu). Kliknij Continue with swojego dostawcy i zaloguj się u swojego IdP. Powinieneś trafić na stronę główną Clevera tej osoby w swoim obszarze roboczym.

    Twoja własna sesja pozostaje bez zmian, a jako właściciel zawsze możesz zalogować się za pomocą swojego hasła.

Run test nie łączy się z Twoim IdP, więc rzeczywiste logowanie w kroku 3 jest jedynym pełnym testem. Rozpocznij je ze strony logowania Clevera: test uruchomiony z poziomu pulpitu nawigacyjnego Twojego IdP zostanie odrzucony.

Wymagaj SSO

Gdy wszyscy mogą się już logować, włącz Require SSO („Pasujący członkowie muszą logować się za pomocą SSO.”). Zobaczysz komunikat „SSO is now required.”, a plakietka będzie miała status Active · enforced.

Karta logowania jednokrotnego z włączonym i wymaganym SSO, pokazująca status Active · enforced
Właściciele zawsze mogą korzystać ze swojego standardowego logowania.

Od tego momentu członkowie w Twoich domenach nie mogą używać hasła ani Google, a nowa osoba w Twoich domenach nie może utworzyć konta Clevera za pomocą hasła: uzyskuje dostęp do konta, logując się przez SSO. Możesz to włączyć tylko wtedy, gdy Enable SSO jest aktywne, a wyłączenie Enable SSO spowoduje również wyłączenie tej opcji.

Wylogowanie jednokrotne

Jeśli wypełnisz Logout URL, metadane Clevera będą również zawierać adres wylogowania: https://app.clevera.ai/sso/saml/slo (wiązanie HTTP Redirect). Gdy Twój IdP wyśle tam żądanie wylogowania, Clevera wyloguje daną osobę i odeśle ją z powrotem do Twojego IdP.

Wylogowanie się z Clevera nie powoduje wylogowania użytkowników z Twojego IdP.

Zmień lub usuń połączenie

  • Zmień je: kliknij Edytuj obok Provider. Otworzy się okno dialogowe z zapisanymi wartościami; pozostaw certyfikat pusty, aby go zachować.
  • Wyłącz na chwilę: wyłącz Enable SSO. Ustawienia pozostaną zapisane.
  • Usuń je: otwórz menu obok plakietki statusu i wybierz Remove SSO configuration, a następnie Remove SSO. „Członkowie, którzy logują się za pomocą SSO, będą musieli zresetować hasło, aby móc nadal się logować.”

Wiersz Provider pokazuje protokół oraz liczbę posiadanych domen. Gdy użytkownicy zaczną korzystać z SSO, u dołu sekcji pojawi się wiersz, np. „12 SSO sign-ins · last Oct 12”.

Zrozumieć logowanie jednokrotneCo SSO zmienia dla Twoich członków.Konfiguracja SSO z OpenID ConnectAlternatywa OIDC.Rozwiązywanie problemów z logowaniem SSOKażdy komunikat SSO i co z nim zrobić.Konfiguracja SSO z OktaEkrany Okta krok po kroku.