Pular para o conteúdo
Central de Ajuda Clevera

Configurar SSO com OpenID Connect

Conecte o Clevera ao seu provedor de identidade com OpenID Connect: a URI de redirecionamento, escopos e autenticação de cliente que seu IdP precisa, as declarações que o Clevera lê, cada campo de configuração, testes e ativação do SSO.

Atualizado 7 min de leitura

Conecte o Clevera ao seu provedor de identidade (IdP) com OpenID Connect (OIDC) para que sua equipe faça login com a conta da empresa. Este artigo aborda o aplicativo a ser criado no seu IdP, cada campo na caixa de diálogo de configuração do Clevera, as declarações que o Clevera lê e como testar e ativar o recurso.

Para saber o que o SSO altera para seus membros, leia Entenda o single sign-on primeiro. As telas específicas de cada provedor estão nos guias para Okta, Microsoft Entra ID e Google Workspace.

Antes de começar

  • Você é o Proprietário de um workspace em um Plano personalizado.
  • Você pode criar um aplicativo OIDC (web) no seu IdP ou está trabalhando com alguém que possa.
  • Você conhece todos os domínios de e-mail que sua equipe usa.

Criar o aplicativo no seu IdP

Crie um aplicativo web (um cliente confidencial com um segredo de cliente) e configure-o da seguinte forma:

Configuração do IdP Valor
URI de redirecionamento (URI de redirecionamento de login, URL de retorno) https://app.clevera.ai/sso/oidc/callback
Tipo de concessão Código de autorização
Autenticação de cliente Segredo do cliente. O Clevera envia o segredo no corpo da solicitação de token (client_secret_post).
Escopos openid, email, profile
URI de redirecionamento de logout, URI de início de login Deixe vazio. O login deve começar na página de login do Clevera.

Você não precisa digitar a URI de redirecionamento. Na caixa de diálogo de configuração do Clevera, escolha OpenID Connect na primeira etapa: a caixa cinza "Para a pessoa que está configurando seu provedor de identidade" mostra a URI de redirecionamento (URL de retorno) com um botão de copiar.

Etapa 1 da caixa de diálogo de configuração de SSO com Okta e OpenID Connect selecionados, mostrando a URI de redirecionamento (URL de retorno) com um botão de copiar
Copie a URI de redirecionamento para o seu provedor de identidade.

Quando o aplicativo for criado, copie seu ID de cliente, segredo do cliente e URL de descoberta (também chamada de URL de configuração OpenID ou URL well-known, terminando em /.well-known/openid-configuration).

Declarações que o Clevera lê

O Clevera lê o token de ID e, quando o IdP possui um endpoint UserInfo, a resposta UserInfo além dele.

Objetivo Declarações, em ordem Notas
E-mail email, depois preferred_username, depois upn O primeiro que for um endereço de e-mail válido é usado. Sem um, o login falha.
Nome name, depois given_name + family_name, depois preferred_username Usado apenas quando o Clevera cria uma nova conta. Recorre à parte do e-mail antes do @.

O Clevera não lê declarações de grupo ou função: todos os criados pelo SSO recebem a função padrão que você escolher no Clevera.

Conecte seu IdP no Clevera

  1. Abra a aba Segurança

    Abra o menu do workspace na parte superior da barra lateral, escolha Configurações da equipe, depois Segurança. Em Single sign-on, clique em Configurar SSO.

  2. Provedor

    Escolha seu Provedor de identidade e defina o Protocolo como OpenID Connect. Copie a URI de redirecionamento (URL de retorno) para o seu IdP, caso ainda não tenha feito, e clique em Continuar. (O JumpCloud suporta apenas SAML no Clevera.)

    O nome do provedor é o que os membros veem no botão de login, por exemplo, Continuar com Okta. Com Provedor SAML/OIDC personalizado, o botão diz Continuar com SSO.

  3. Provedor de identidade

    Preencha os campos abaixo. Clique em Continuar.

  4. Domínios e funções

    Adicione cada domínio de e-mail em Domínios de e-mail permitidos, escolha se deseja Criar contas no primeiro login e selecione a Função padrão para novos membros de SSO. Eles funcionam da mesma forma que para SAML: veja Domínios e funções.

  5. Revisão

    Verifique o resumo e clique em Salvar configuração. Você verá "Configuração de SSO salva. Execute um teste e, em seguida, ative-o." Salvar não ativa o SSO.

Campos do provedor de identidade

Etapa 2 da caixa de diálogo de configuração de SSO para OpenID Connect com ID de cliente, segredo e URL de descoberta
Com uma URL de descoberta, os campos de endpoint permanecem ocultos.
Campo Obrigatório O que inserir
ID de cliente Sim O ID de cliente do seu aplicativo OIDC.
Segredo do cliente Sim O segredo do cliente do seu aplicativo OIDC. Armazenado criptografado e nunca mais exibido; ao editar mais tarde, "Um segredo está armazenado. Deixe em branco para mantê-lo."
URL de descoberta Recomendado "Recomendado. Os endpoints são lidos a partir dela." Por exemplo, https://idp.example.com/.well-known/openid-configuration.
URL de autorização Apenas sem URL de descoberta O endpoint de autorização do seu IdP.
URL de token Apenas sem URL de descoberta O endpoint de token do seu IdP.
URL de UserInfo Não O endpoint UserInfo do seu IdP. Exibido apenas sem uma URL de descoberta.

Os três campos de endpoint aparecem apenas enquanto a URL de descoberta estiver vazia.

Por que a URL de descoberta é melhor

Com uma URL de descoberta, o Clevera lê os endpoints por conta própria e verifica cada login em relação às chaves de assinatura e emissor publicados pelo seu IdP. Insira os endpoints manualmente apenas se o seu IdP não tiver um documento de descoberta.

  • A URL de descoberta deve ser o emissor do IdP mais /.well-known/openid-configuration, e o issuer dentro dela deve corresponder aos tokens que seu IdP emite. URLs multilocatário cujo emissor contém um espaço reservado (como o endpoint common da Microsoft) não funcionam; use a URL do seu próprio locatário.
  • Cada URL deve ser um endereço https:// (ou http://) público que os servidores do Clevera possam alcançar. Endereços em uma rede privada, como um IdP acessível apenas via VPN, são recusados. Qualquer porta é aceitável.
  • O Clevera mantém o documento de descoberta e as chaves de assinatura por até uma hora. Se o seu IdP rotacionar suas chaves de assinatura nesse período, o Clevera busca as novas chaves uma vez antes de recusar um login, para que a rotação de chaves não bloqueie o acesso dos usuários.

Testar a conexão

  1. Executar a verificação

    Na aba Segurança, clique em Executar teste. Ele verifica se o ID e o segredo do cliente estão salvos e, com uma URL de descoberta, se o documento é carregado e contém um endpoint de autorização. Você verá "A configuração de SSO é válida e está pronta para uso." ou uma lista de problemas. Veja Corrigir problemas de login SSO.

    Um teste de SSO com falha explicando que o documento de descoberta OIDC não pôde ser carregado
    Cada problema indica o que você deve corrigir.

  2. Ativar o SSO

    Ative a opção Habilitar SSO. Você verá "SSO ativado." e o selo exibirá Ativo.

  3. Fazer login como um membro de teste

    Em uma janela de navegador privada, vá para a página de login do Clevera, digite o e-mail de um membro, clique em Continuar com seu provedor e faça login. Você deve ser direcionado para a página inicial do Clevera dele no seu workspace. Como proprietário, você sempre pode fazer login com sua senha, portanto, isso não pode bloquear seu acesso.

Executar teste não verifica o segredo do cliente ou um login real; apenas a etapa 3 faz isso.

Exigir SSO, alterar ou remover

Eles funcionam da mesma forma que para SAML:

  • Ative Exigir SSO quando todos puderem fazer login. Os membros nos seus domínios não poderão usar senha ou Google.
  • Editar altera a conexão. Deixe Segredo do cliente em branco para manter o que está armazenado. Quando você rotacionar o segredo no seu IdP, cole o novo e salve.
  • Remover configuração de SSO (no menu ao lado do selo de status) a exclui. Membros criados pelo SSO usam Esqueceu a senha? para definir uma senha.

Veja Configurar SSO com SAML para obter detalhes. O OIDC não possui logout único: sair do seu IdP não desconecta as pessoas do Clevera.

Entenda o single sign-onO que o SSO altera para seus membros.Configurar SSO com SAMLA alternativa SAML 2.0.Configurar SSO com Microsoft Entra IDTelas do Entra passo a passo.Corrigir problemas de login SSOCada mensagem de SSO e o que fazer.