Entenda o logon único (SSO) no Clevera
O que o logon único faz no Clevera: qual plano o inclui, SAML 2.0 vs OpenID Connect, quem pode entrar com ele, Exigir SSO e o que acontece com membros e senhas existentes.
O logon único (SSO) permite que sua equipe entre no Clevera com a conta corporativa do Okta, Microsoft Entra ID, Google Workspace ou qualquer provedor SAML 2.0 ou OpenID Connect. Este artigo explica o que o SSO faz no Clevera, quem pode configurá-lo e o que muda para seus membros.
Antes de começar
- Plano: O SSO faz parte dos planos Custom. Em outros planos, o proprietário vê Plano Custom necessário em Configurações da equipe → Segurança, com um link Fale conosco. Veja Escolha um plano.
- Quem configura: apenas o Proprietário do workspace. Administradores não podem ver ou alterar as configurações de SSO.
- Seu provedor de identidade: alguém que possa criar um aplicativo em seu provedor de identidade (IdP) ou que possa enviar os valores para você.
- Seus domínios de e-mail: todos os domínios da empresa com os quais seus colaboradores entram, como
acme.example.
O que o SSO faz no Clevera
| O que acontece | |
|---|---|
| Entrada | As pessoas digitam seu e-mail de trabalho na página de entrada do Clevera e clicam em Continuar com seu provedor. Elas entram no seu IdP e retornam conectadas ao seu workspace. |
| Novas pessoas | Com Criar contas no primeiro acesso ativado, alguém sem uma conta no Clevera ganha uma na primeira vez que entra e ingressa no seu workspace com a função padrão que você escolheu (como Editor(a) se essa função precisar de uma licença de criador e nenhuma estiver disponível). |
| Membros existentes | Membros cujo domínio de e-mail está na sua lista podem entrar com SSO imediatamente. Nada muda em relação aos seus vídeos ou função. |
| Exigir SSO | Com Exigir SSO ativado, membros em seus domínios não podem mais entrar com senha ou Google, e novas pessoas em seus domínios não podem se cadastrar com senha. |
| Proprietário | O proprietário sempre pode entrar com sua senha, para que você não perca o acesso. |
O SSO funciona por workspace: a conexão, seus domínios e suas regras pertencem ao workspace no qual você a configurou.
SAML 2.0 ou OpenID Connect
O Clevera suporta ambos. Escolha o que o administrador do seu IdP preferir; o resultado para seus membros é o mesmo.
| SAML 2.0 | OpenID Connect (OIDC) | |
|---|---|---|
| O que você insere no Clevera | ID da Entidade do IdP, URL de entrada SSO, certificado X.509, URL de logout opcional | ID do cliente, segredo do cliente e uma URL de descoberta (ou os endpoints manualmente) |
| O que você fornece ao seu IdP | ID da Entidade / URI de Público e URL ACS (URL de Resposta) | URI de Redirecionamento (URL de retorno) |
| Logout único do IdP | Suportado, se você adicionar uma URL de Logout | Não suportado |
| Guia | Configurar SSO com SAML | Configurar SSO com OpenID Connect |
Guias de provedores: Okta, Microsoft Entra ID, Google Workspace. OneLogin (SAML ou OIDC) e JumpCloud (apenas SAML) também estão na lista de provedores; siga o guia geral de SAML ou OIDC para eles.
Como funciona a configuração
Crie um aplicativo no seu IdP
Use os valores que o Clevera mostra na primeira etapa da caixa de diálogo de configuração, cada um com um botão de copiar: o ID da Entidade e a URL ACS para SAML, ou o URI de redirecionamento para OIDC.
Conecte-o no Clevera
Abra o menu do workspace na parte superior da barra lateral, escolha Configurações da equipe, depois Segurança. Em Logon único, clique em Configurar SSO e siga as quatro etapas: Provedor, Provedor de identidade, Domínios e funções, Revisar. Clique em Salvar configuração.
Teste-o
Clique em Executar teste e, em seguida, entre com um membro de teste em uma janela de navegador privada.
Ative-o
Ative Habilitar SSO. Quando todos puderem entrar, ative Exigir SSO se quiser que o SSO seja a única forma de acesso.
Salvar nunca ativa o SSO por conta própria, então você pode preparar a conexão sem afetar ninguém.
Como as pessoas entram depois
- Na página de entrada do Clevera, elas digitam seu e-mail de trabalho.
- O Clevera reconhece o domínio e mostra "Sua organização usa Okta" (o nome do seu provedor) com um botão Continuar com Okta. Com Provedor SAML/OIDC personalizado, ele diz "Sua organização usa SSO" e o botão diz Continuar com SSO. Com Exigir SSO ativado, ele adiciona "Membros desta organização entram com Okta."
- Elas clicam no botão, entram no seu IdP e chegam à sua página inicial do Clevera no seu workspace. Se estivessem abrindo um link do Clevera quando foram solicitadas a entrar, elas chegam a essa página.
Elas permanecem conectadas nesse navegador até saírem. Sair do Clevera não as desconecta do seu IdP.
Aplicativo para desktop: o aplicativo para desktop entra através do seu navegador. Na página de entrada do navegador, digite seu e-mail de trabalho e clique em Continuar com seu provedor. Após entrar no seu IdP, o navegador o redireciona de volta para o aplicativo para desktop, que finaliza a entrada. Veja Entrar no aplicativo para desktop.
Quem pode usar o SSO
| Pessoa | Pode entrar com SSO? |
|---|---|
| Um membro do workspace cujo domínio de e-mail está na sua lista | Sim |
| Alguém no seu domínio sem uma conta no Clevera | Sim, se Criar contas no primeiro acesso estiver ativado. Caso contrário, convide-os primeiro. |
| Alguém no seu domínio que já tem uma conta no Clevera, mas não é membro deste workspace | Não. Convide-os e, assim que aceitarem, o SSO funcionará para eles. |
| O proprietário | Sim, se ele mesmo salvou a configuração de SSO. Ele também sempre pode usar sua senha. |
| Qualquer pessoa cujo domínio de e-mail não esteja na sua lista | Não. Elas continuam entrando da maneira que fazem agora. |
A terceira e a quarta linhas são salvaguardas: como os domínios de e-mail no Clevera não são verificados, o SSO nunca assume uma conta que já não esteja no seu workspace e nunca conecta o proprietário através de uma conexão que outra pessoa salvou.
Licenças de criador
Uma pessoa criada pelo SSO recebe a Função padrão para novos membros de SSO que você escolheu. Se for Criador de conteúdo e todas as licenças de criador do seu plano estiverem ocupadas, ela entra como Editor(a), que não utiliza licença. Adicione uma licença e altere a função dela em Configurações da equipe → Membros. Veja Entenda workspaces, funções e licenças de criador.
O que acontece com as senhas
- Membros existentes mantêm sua senha. Enquanto Exigir SSO estiver desativado, eles podem usar qualquer uma. Com ele ativado, um membro que entra com a senha correta vê "Sua organização exige Logon único. Use o botão SSO para continuar."
- Novas pessoas em seus domínios não podem criar uma conta com senha enquanto Exigir SSO estiver ativado. O formulário de cadastro responde "Sua organização entra com logon único (SSO). Vá para Entrar, insira este e-mail e escolha Continuar com SSO." A conta delas é criada na primeira vez que entram com SSO (com Criar contas no primeiro acesso ativado; caso contrário, convide-as).
- Contas criadas pelo SSO não têm uma senha que a pessoa conheça. Se o SSO for desativado ou removido posteriormente, elas usam Esqueceu a senha? na página de entrada para definir uma.
- Entrada com Google é bloqueada para membros em seus domínios enquanto Exigir SSO estiver ativado.
Remover o acesso de alguém
O Clevera não sincroniza usuários do seu IdP. Remover alguém do seu IdP interrompe novas entradas via SSO, mas um navegador que já está conectado permanece conectado. Para cortar o acesso imediatamente, remova-os também em Configurações da equipe → Membros.