Pular para o conteúdo
Clevera Help Center

Configurar SSO com SAML 2.0

Conecte o Clevera ao seu provedor de identidade com SAML 2.0: o ID da Entidade e a URL ACS para fornecer ao seu IdP, configurações de assinatura e Name ID, os atributos que o Clevera lê, cada campo de configuração, testes e como ativar o SSO.

Atualizado 11 min de leitura

Conecte o Clevera ao seu provedor de identidade (IdP) com SAML 2.0 para que sua equipe faça login com a conta da empresa. Este artigo lista todos os campos na caixa de diálogo de configuração do Clevera, os valores exatos que seu IdP precisa e como testar e ativar o recurso.

Para saber o que o SSO altera para seus membros, leia Entenda o single sign-on primeiro. Para telas passo a passo do IdP, consulte os guias para Okta, Microsoft Entra ID e Google Workspace.

Antes de começar

  • Você é o Proprietário de um workspace em um Plano personalizado.
  • Você pode criar um aplicativo SAML no seu IdP ou está trabalhando com alguém que possa.
  • Você conhece todos os domínios de e-mail que sua equipe usa, como acme.example e eu.acme.example.

Valores para fornecer ao seu IdP

O Clevera mostra esses valores na caixa de diálogo de configuração em "Para a pessoa que está configurando seu provedor de identidade", cada um com um botão de copiar. Copie-os de lá: o ID da Entidade contém o ID do seu próprio workspace.

Etapa 1 da caixa de diálogo de configuração de SSO com Okta e SAML 2.0 selecionados e o ID da Entidade, URL ACS e URL de metadados para copiar
Copie estes três valores para o seu provedor de identidade.
Rótulo do Clevera O que é no seu IdP Valor
ID da Entidade / URI de Público URI de Público, ID da Entidade SP, Identificador https://app.clevera.ai/sso/metadata/ seguido pelo ID do seu workspace
URL ACS (URL de Resposta) URL do Assertion Consumer Service, URL de single sign-on, URL de resposta https://app.clevera.ai/sso/saml/callback
URL de metadados SP Metadados do provedor de serviço O mesmo endereço do ID da Entidade. Ele fornece os metadados SAML do Clevera como XML, para IdPs que podem importá-los.

Configure o aplicativo no seu IdP da seguinte forma:

Configuração do IdP Defina como
Formato do Name ID EmailAddress (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress)
Valor do Name ID O e-mail de trabalho da pessoa
Assinatura Assinar tanto a resposta SAML quanto a asserção. Recomenda-se SHA-256.
Criptografia de asserção Desativado. O Clevera não aceita asserções criptografadas.
Solicitações de autenticação assinadas Não é necessário. O Clevera envia solicitações não assinadas.
Binding para a URL ACS HTTP POST
RelayState padrão, login iniciado pelo IdP Deixe vazio. O login deve começar na página de login do Clevera.

Atributos que o Clevera lê

O e-mail vem do Name ID. Se o Name ID não for um endereço de e-mail, o Clevera procura pelo primeiro destes atributos:

Finalidade Nomes de atributos que o Clevera aceita, em ordem
E-mail email, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress, User.Email
Nome firstName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname, User.FirstName, first_name
Sobrenome lastName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname, User.LastName, last_name
Nome de exibição (usado quando não há nome ou sobrenome) displayName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name, User.Name, name

Os nomes são usados apenas quando o Clevera cria uma nova conta. Sem nenhum atributo de nome, a conta é nomeada após a parte do e-mail antes do @. O Clevera não lê atributos de grupo ou função: todos criados pelo SSO recebem a função padrão que você escolher abaixo.

Conecte seu IdP no Clevera

  1. Abra a aba Segurança

    Abra o menu do workspace na parte superior da barra lateral, escolha Configurações da equipe, depois Segurança. Em Single sign-on, clique em Configurar SSO. A caixa de diálogo Configurar single sign-on será aberta.

  2. Provedor

    Escolha seu Provedor de identidade (Okta, Microsoft Entra ID (Azure AD), OneLogin, Google Workspace, JumpCloud ou Provedor SAML/OIDC personalizado) e defina o Protocolo como SAML 2.0. Copie os valores na caixa cinza para o seu IdP e clique em Continuar.

    O nome do provedor é o que os membros veem no botão de login, por exemplo, Continuar com Okta. Com Provedor SAML/OIDC personalizado, o botão diz Continuar com SSO.

  3. Provedor de identidade

    Cole os valores da página de configuração SAML do seu IdP. Consulte a referência de campos. Clique em Continuar.

  4. Domínios e funções

    Digite cada domínio de e-mail em Domínios de e-mail permitidos e clique em Adicionar (ou pressione Enter). Em seguida, escolha se deseja Criar contas no primeiro login e selecione a Função padrão para novos membros de SSO. Consulte Domínios e funções.

  5. Revisão

    Verifique o resumo e clique em Salvar configuração. Você verá "Configuração de SSO salva. Execute um teste e, em seguida, ative-o." Salvar não ativa o SSO.

Campos do provedor de identidade

Etapa 2 da caixa de diálogo de configuração de SSO com o ID da Entidade do IdP, URL de login e certificado preenchidos
A URL de logout é opcional.
Campo Obrigatório O que colar Como seu IdP chama isso
ID da Entidade do IdP Sim O emissor do IdP, exatamente como seu IdP mostra Emissor do Provedor de Identidade, ID da Entidade, Identificador do Microsoft Entra
URL de login SSO Sim A URL para a qual o Clevera envia as pessoas para login (Binding de redirecionamento HTTP) URL de Single Sign-On do Provedor de Identidade, URL de login, URL de SSO
URL de logout Não A URL de logout único do seu IdP. "Deixe em branco, a menos que seu provedor precise de logout único." URL de Single Logout, URL de logout
Certificado X.509 Sim O certificado de assinatura do seu IdP Certificado X.509, Certificado (Base64)

O certificado

  • Cole o certificado inteiro. As linhas -----BEGIN CERTIFICATE----- e -----END CERTIFICATE----- são opcionais; espaços e quebras de linha são ignorados.
  • Use o texto Base64 (PEM), não um arquivo .cer binário. Se você baixou um arquivo, abra-o em um editor de texto e copie seu conteúdo.
  • O Clevera o armazena criptografado e nunca mais o exibe. Ao editar a conexão posteriormente, o campo diz "Um certificado está armazenado. Deixe em branco para mantê-lo."
  • Executar teste informa se o certificado não pode ser lido ou expirou.

Domínios e funções

Etapa 3 da caixa de diálogo de configuração de SSO com dois domínios permitidos, criação de conta ativada e Editor como função padrão
Administrador não é oferecido enquanto as contas são criadas automaticamente.
Configuração O que faz Padrão
Domínios de e-mail permitidos Apenas pessoas com esses domínios de e-mail podem usar a conexão. Os domínios também decidem quando a página de login oferece SSO. Pelo menos um é necessário. Nenhum
Criar contas no primeiro login "Uma conta Clevera é criada na primeira vez que alguém faz login com SSO." A nova conta entra neste workspace. Ativado
Função padrão para novos membros de SSO A função que as novas contas recebem: Editor(a), Criador de conteúdo ou Administrador. Administrador só é oferecido quando Criar contas no primeiro login está desativado: "Contas criadas automaticamente nunca recebem Administrador." Editor(a)

Sobre domínios:

  • Um domínio corresponde exatamente. acme.example não cobre eu.acme.example; adicione cada um.
  • Digite apenas o domínio (acme.example), não um e-mail. Um @ inicial é removido.
  • Um domínio pode pertencer a apenas um workspace do Clevera. Se outro workspace já o estiver usando, salvar mostrará "O domínio acme.example já está atribuído a outra equipe." Entre em contato com o suporte se esse for o seu domínio.

Criadores de conteúdo usam uma licença de criador; Editores não. Se a função padrão for Criador de conteúdo e todas as licenças de criador estiverem ocupadas, alguém que entrar via SSO se tornará um Editor(a), para que o SSO nunca exceda sua contagem de licenças. Adicione uma licença e altere a função deles em Configurações da equipe → Membros quando estiver pronto. Consulte Entenda workspaces, funções e licenças de criador.

Teste a conexão

  1. Execute a verificação

    De volta à aba Segurança, clique em Executar teste ao lado de Testar conexão. Ele verifica as configurações salvas: se o ID da Entidade, a URL de login e o certificado estão presentes, se a URL é válida e se o certificado é legível e não expirou.

    Você verá "A configuração de SSO é válida e está pronta para uso." ou "A configuração de SSO tem problemas que precisam ser resolvidos." com uma lista. Consulte Corrigir problemas de login SSO.

    O cartão de Single sign-on após um teste bem-sucedido, com Ativar SSO ainda desativado
    Execute o teste antes de ativar o SSO.

  2. Ative o SSO

    Ative Ativar SSO. Você verá "SSO ativado." O selo de status muda de Desativado para Ativo.

  3. Faça login como um membro de teste

    Abra uma janela anônima no navegador, acesse a página de login do Clevera e digite o e-mail de um membro (ou de uma nova pessoa, caso as contas sejam criadas no primeiro login). Clique em Continue with (Continuar com) seu provedor e faça login no seu IdP. Você deve ser direcionado para a página inicial do Clevera dessa pessoa no seu workspace.

    Sua própria sessão não é afetada e, como proprietário, você sempre pode fazer login com sua senha.

Run test (Executar teste) não entra em contato com seu IdP, portanto, o login real na etapa 3 é o único teste completo. Inicie-o a partir da página de login do Clevera: um teste iniciado a partir do painel do seu IdP será recusado.

Exigir SSO

Quando todos puderem fazer login, ative Require SSO (Exigir SSO) ("Membros correspondentes devem fazer login com SSO."). Você verá "SSO is now required." (O SSO agora é obrigatório) e o selo exibirá Active · enforced (Ativo · aplicado).

O cartão de Single sign-on com SSO ativado e obrigatório, mostrando Active · enforced
Proprietários sempre podem usar seu login normal.

A partir de então, membros em seus domínios não podem usar uma senha ou o Google, e alguém novo em seus domínios não pode criar uma conta Clevera com uma senha: eles obtêm sua conta fazendo login com SSO. Você só pode ativá-lo enquanto Enable SSO (Ativar SSO) estiver ligado, e desligar o Enable SSO também o desativa.

Logout único

Se você preencher a Logout URL (URL de logout), os metadados do Clevera também listarão um endereço de logout: https://app.clevera.ai/sso/saml/slo (Binding de redirecionamento HTTP). Quando seu IdP envia uma solicitação de logout para lá, o Clevera desconecta a pessoa e a envia de volta para seu IdP.

Sair do Clevera não desconecta as pessoas do seu IdP.

Alterar ou remover a conexão

  • Alterar: clique em Editar ao lado de Provider (Provedor). A caixa de diálogo abre com seus valores salvos; deixe o certificado em branco para mantê-lo.
  • Desativar temporariamente: desligue Enable SSO (Ativar SSO). As configurações permanecem salvas.
  • Remover: abra o menu ao lado do selo de status e escolha Remove SSO configuration (Remover configuração de SSO), depois Remove SSO (Remover SSO). "Membros que fazem login com SSO precisarão redefinir sua senha para continuar fazendo login."

A linha Provider (Provedor) mostra o protocolo e quantos domínios você possui. Assim que as pessoas usarem o SSO, uma linha como "12 SSO sign-ins · last Oct 12" (12 logins via SSO · último em 12 de out) aparecerá na parte inferior da seção.

Entenda o single sign-onO que o SSO muda para seus membros.Configure o SSO com OpenID ConnectA alternativa OIDC.Corrija problemas de login com SSOTodas as mensagens de SSO e o que fazer.Configure o SSO com OktaTelas do Okta passo a passo.