Konfiguracja SSO z Microsoft Entra ID

Skonfiguruj logowanie jednokrotne (SSO) między Microsoft Entra ID (dawniej Azure AD) a Clevera, aby Twój zespół mógł logować się przy użyciu służbowego konta Microsoft. Możesz połączyć się za pomocą SAML 2.0 lub OpenID Connect (OIDC); ten przewodnik omawia obie metody zarówno po stronie Entra, jak i w zakresie odpowiednich pól w Clevera.

Centrum administracyjne Microsoft Entra okresowo się zmienia. Jeśli poniższa etykieta nie pasuje, poszukaj ustawienia o tym samym znaczeniu i skorzystaj z ogólnych przewodników, aby uzyskać pełną listę wartości: SAML, OIDC.

Zanim zaczniesz#

• Jesteś Właścicielem obszaru roboczego Clevera w ramach Planu niestandardowego.
• Możesz tworzyć aplikacje dla przedsiębiorstw lub rejestracje aplikacji w Entra (na przykład jako Administrator aplikacji).
• Znasz domeny e-mail, z których korzystają Twoi pracownicy, takie jak acme.example.

Najpierw otwórz okno dialogowe konfiguracji Clevera, aby móc skopiować z niego wartości: otwórz menu obszaru roboczego u góry paska bocznego, wybierz Ustawienia zespołu, następnie Bezpieczeństwo i kliknij Skonfiguruj SSO. Wybierz Microsoft Entra ID (Azure AD) jako Dostawcę tożsamości.

Połączenie przez SAML 2.0#

1. Utwórz aplikację dla przedsiębiorstw#

   W centrum administracyjnym Microsoft Entra przejdź do Aplikacje dla przedsiębiorstw i kliknij Nowa aplikacja, a następnie Utwórz własną aplikację. Nazwij ją Clevera, wybierz Zintegruj dowolną inną aplikację, której nie znajdziesz w galerii (spoza galerii) i kliknij Utwórz.

2. Wybierz SAML#

   W nowej aplikacji otwórz Logowanie jednokrotne i wybierz SAML.

3. Wprowadź wartości Clevera#

   W sekcji Podstawowa konfiguracja SAML kliknij Edytuj i wypełnij:

   Pole Entra	Wartość z Clevera
   Identyfikator (Entity ID)	Entity ID / Audience URI (skopiuj z okna dialogowego Clevera; kończy się identyfikatorem Twojego obszaru roboczego)
   Adres URL odpowiedzi (Assertion Consumer Service URL)	https://app.clevera.ai/sso/saml/callback
   Adres URL logowania	Pozostaw puste
   Stan przekaźnika (Relay State)	Pozostaw puste
   Adres URL wylogowania	Tylko jeśli będziesz używać pojedynczego wylogowania: https://app.clevera.ai/sso/saml/slo

   Kliknij Zapisz.

4. Sprawdź oświadczenia#

   W sekcji Atrybuty i oświadczenia otwórz Unikalny identyfikator użytkownika (Name ID). Ustaw Format identyfikatora nazwy na Adres e-mail, a atrybut źródłowy na atrybut zawierający adres e-mail użytkowników: user.mail lub user.userprincipalname, jeśli ich nazwa logowania jest ich adresem e-mail. Zachowaj domyślne oświadczenia givenname, surname i emailaddress: Clevera je odczytuje.

5. Podpisz odpowiedź i asercję#

   W sekcji Certyfikaty SAML kliknij Edytuj obok certyfikatu podpisywania. Ustaw Opcję podpisywania na Podpisz odpowiedź i asercję SAML, a Algorytm podpisywania na SHA-256. Kliknij Zapisz.

   Domyślnie Entra podpisuje tylko asercję, co powoduje odrzucenie przez Clevera.

6. Skopiuj wartości Entra do Clevera#

   W sekcji Certyfikaty SAML pobierz Certyfikat (Base64) i otwórz go w edytorze tekstu. W sekcji Skonfiguruj Clevera skopiuj adresy URL. W Clevera ustaw Protokół na SAML 2.0, kliknij Kontynuuj i wklej:

   Wartość Entra	Pole Clevera
   Identyfikator Microsoft Entra	IdP Entity ID
   Adres URL logowania	SSO sign-in URL
   Adres URL wylogowania	Logout URL (opcjonalnie)
   Zawartość Certyfikatu (Base64)	X.509 certificate

7. Przypisz użytkowników#

   W sekcji Użytkownicy i grupy kliknij Dodaj użytkownika/grupę i dodaj osoby lub grupy, które powinny korzystać z Clevera.

Następnie dokończ konfigurację w Clevera: domeny i role.

Połączenie przez OpenID Connect#

1. Zarejestruj aplikację#

   W oknie dialogowym konfiguracji Clevera ustaw Protokół na OpenID Connect i skopiuj Identyfikator URI przekierowania (adres URL wywołania zwrotnego) z szarego pola. W Entra przejdź do Rejestracje aplikacji i kliknij Nowa rejestracja. Nazwij ją Clevera, wybierz Konta tylko w tym katalogu organizacyjnym (pojedyncza dzierżawa), a w sekcji Identyfikator URI przekierowania wybierz Sieć Web i wklej https://app.clevera.ai/sso/oidc/callback. Kliknij Zarejestruj.

2. Skopiuj identyfikatory#

   Na stronie Przegląd aplikacji skopiuj Identyfikator aplikacji (klienta) oraz Identyfikator katalogu (dzierżawy).

3. Utwórz klucz tajny klienta#

   Otwórz Certyfikaty i wpisy tajne, kliknij Nowy klucz tajny klienta, wybierz datę wygaśnięcia i kliknij Dodaj. Natychmiast skopiuj Wartość klucza (nie Identyfikator wpisu tajnego); Entra wyświetla ją tylko raz.

4. Dodaj oświadczenie e-mail#

   Otwórz Konfiguracja tokena, kliknij Dodaj opcjonalne oświadczenie, wybierz ID, zaznacz email i kliknij Dodaj. Zaakceptuj monit o dodanie uprawnienia e-mail Microsoft Graph. Bez tego Clevera powróci do nazwy logowania (preferred_username), co działa tylko wtedy, gdy jest ona adresem e-mail użytkownika.

5. Wypełnij dane w Clevera#

   W Clevera kliknij Kontynuuj i wprowadź:

   Pole Clevera	Wartość
   Client ID	Identyfikator aplikacji (klienta)
   Client secret	Wartość klucza tajnego
   Discovery URL	https://login.microsoftonline.com/ Twój Identyfikator katalogu (dzierżawy) /v2.0/.well-known/openid-configuration

   Użyj swojego identyfikatora dzierżawy w adresie URL, a nie common lub organizations: Clevera sprawdza wystawcę, a te współdzielone adresy URL nie pasują.

6. Ogranicz dostęp do logowania (opcjonalnie)#

   Domyślnie każdy w Twojej dzierżawie może korzystać z aplikacji. Aby to ograniczyć, otwórz Aplikacje dla przedsiębiorstw → Clevera → Właściwości, ustaw Wymagane przypisanie? na Tak i dodaj osoby lub grupy w sekcji Użytkownicy i grupy.

Zakończ w Clevera#

1. W sekcji Domeny i role dodaj każdą domenę e-mail, z której korzystają Twoi pracownicy, w tym wszelkie dodatkowe zweryfikowane domeny w Twojej dzierżawie. Wybierz Twórz konta przy pierwszym logowaniu oraz Domyślną rolę dla nowych członków SSO.
2. W sekcji Przejrzyj kliknij Zapisz konfigurację.
3. Kliknij Uruchom test, włącz Włącz SSO i zaloguj się jako użytkownik testowy w oknie prywatnym, zaczynając od strony logowania Clevera.
4. Gdy wszystko będzie działać dla wszystkich, włącz Wymagaj SSO, jeśli chcesz, aby SSO było jedyną metodą logowania.

Członkowie wpisują swój służbowy adres e-mail na stronie logowania Clevera i klikają Kontynuuj z Microsoft Entra ID (Azure AD).

Rozwiązywanie problemów#

Więcej komunikatów: Rozwiązywanie problemów z logowaniem SSO.

Powiązane#