Konfigurera SSO med SAML 2.0
Anslut Clevera till din identitetsleverantör med SAML 2.0: Entity ID och ACS-URL att ange i din IdP, inställningar för signering och Name ID, attributen som Clevera läser, varje konfigurationsfält, samt testning och aktivering av SSO.
Anslut Clevera till din identitetsleverantör (IdP) med SAML 2.0 så att ditt team kan logga in med sitt företagskonto. Den här artikeln listar varje fält i Cleveras konfigurationsdialog, de exakta värdena som din IdP behöver, samt hur du testar och aktiverar funktionen.
För information om vad SSO innebär för dina medlemmar, läs Förstå enkel inloggning (SSO) först. För steg-för-steg-instruktioner för IdP-gränssnitt, se guiderna för Okta, Microsoft Entra ID och Google Workspace.
Innan du börjar
- Du är Ägare av en arbetsyta på en Anpassad plan.
- Du kan skapa en SAML-app i din IdP, eller så arbetar du med någon som kan.
- Du känner till varje e-postdomän som ditt team använder, till exempel
acme.exampleocheu.acme.example.
Värden att ange i din IdP
Clevera visar dessa i konfigurationsdialogen under "För personen som konfigurerar din identitetsleverantör", var och en med en kopieringsknapp. Kopiera dem därifrån: Entity ID innehåller din arbetsytas unika ID.
| Clevera-etikett | Vad det är i din IdP | Värde |
|---|---|---|
| Entity ID / Audience URI | Audience URI, SP Entity ID, Identifier | https://app.clevera.ai/sso/metadata/ följt av ditt arbetsyte-ID |
| ACS URL (Reply URL) | Assertion Consumer Service URL, Single sign-on URL, Reply URL | https://app.clevera.ai/sso/saml/callback |
| SP metadata URL | Service provider metadata | Samma adress som Entity ID. Den tillhandahåller Cleveras SAML-metadata som XML för IdP:er som kan importera den. |
Konfigurera appen i din IdP på följande sätt:
| IdP-inställning | Ställ in till |
|---|---|
| Name ID-format | EmailAddress (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress) |
| Name ID-värde | Personens arbets-e-post |
| Signering | Signera både SAML-svaret och försäkran (assertion). SHA-256 rekommenderas. |
| Kryptering av försäkran | Av. Clevera accepterar inte krypterade försäkringar. |
| Signerade autentiseringsförfrågningar | Krävs ej. Clevera skickar osignerade förfrågningar. |
| Bindning för ACS-URL | HTTP POST |
| Standard RelayState, IdP-initierad inloggning | Lämna tom. Inloggning måste starta på Cleveras inloggningssida. |
Attribut som Clevera läser
E-postadressen hämtas från Name ID. Om Name ID inte är en e-postadress letar Clevera efter det första av dessa attribut:
| Syfte | Attributnamn som Clevera accepterar, i ordning |
|---|---|
| E-post | email, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress, User.Email |
| Förnamn | firstName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname, User.FirstName, first_name |
| Efternamn | lastName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname, User.LastName, last_name |
| Visningsnamn (används när för- eller efternamn saknas) | displayName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name, User.Name, name |
Namn används endast när Clevera skapar ett nytt konto. Om inga namnattribut finns alls namnges kontot efter delen av e-postadressen före @. Clevera läser inga grupp- eller rollattribut: alla som skapas via SSO får den standardroll du väljer nedan.
Anslut din IdP i Clevera
Öppna fliken Säkerhet
Öppna arbetsytemenyn högst upp i sidofältet, välj Teaminställningar och sedan Säkerhet. Under Enkel inloggning (SSO), klicka på Konfigurera SSO. Dialogrutan Konfigurera enkel inloggning öppnas.
Leverantör
Välj din Identitetsleverantör (Okta, Microsoft Entra ID (Azure AD), OneLogin, Google Workspace, JumpCloud eller Anpassad SAML/OIDC-leverantör) och ställ in Protokoll till SAML 2.0. Kopiera värdena i den grå rutan till din IdP och klicka sedan på Fortsätt.
Leverantörens namn är vad medlemmarna ser på inloggningsknappen, till exempel Fortsätt med Okta. Med Anpassad SAML/OIDC-leverantör står det Fortsätt med SSO på knappen.
Identitetsleverantör
Klistra in värdena från din IdP:s SAML-konfigurationssida. Se fältreferensen. Klicka på Fortsätt.
Domäner och roller
Skriv in varje e-postdomän under Tillåtna e-postdomäner och klicka på Lägg till (eller tryck på Enter). Välj sedan om du vill Skapa konton vid första inloggning och välj Standardroll för nya SSO-medlemmar. Se Domäner och roller.
Granska
Kontrollera sammanfattningen och klicka på Spara konfiguration. Du ser meddelandet "SSO-konfiguration sparad. Kör ett test och aktivera sedan." Att spara aktiverar inte SSO.
Fält för identitetsleverantör
| Fält | Krävs | Vad som ska klistras in | Vad din IdP kallar det |
|---|---|---|---|
| IdP Entity ID | Ja | IdP:ns utfärdare, exakt som din IdP visar det | Identity Provider Issuer, Entity ID, Microsoft Entra Identifier |
| SSO-inloggnings-URL | Ja | URL:en Clevera skickar användare till för inloggning (HTTP Redirect-bindning) | Identity Provider Single Sign-On URL, Login URL, SSO URL |
| Utloggnings-URL | Nej | Din IdP:s URL för enkel utloggning. "Lämna tom om inte din leverantör kräver enkel utloggning." | Single Logout URL, Logout URL |
| X.509-certifikat | Ja | Din IdP:s signeringscertifikat | X.509 Certificate, Certificate (Base64) |
Certifikatet
- Klistra in hela certifikatet. Raderna
-----BEGIN CERTIFICATE-----och-----END CERTIFICATE-----är valfria; mellanslag och radbrytningar ignoreras. - Använd Base64 (PEM)-texten, inte en binär
.cer-fil. Om du laddade ner en fil, öppna den i en textredigerare och kopiera innehållet. - Clevera lagrar det krypterat och visar det aldrig igen. När du redigerar anslutningen senare står det i fältet: "Ett certifikat är lagrat. Lämna tomt för att behålla det."
- Kör test talar om för dig om certifikatet inte kan läsas eller har gått ut.
Domäner och roller
| Inställning | Vad den gör | Standard |
|---|---|---|
| Tillåtna e-postdomäner | Endast personer med dessa e-postdomäner kan använda anslutningen. Domänerna avgör också när inloggningssidan erbjuder SSO. Minst en krävs. | Ingen |
| Skapa konton vid första inloggning | "Ett Clevera-konto skapas första gången någon loggar in med SSO." Det nya kontot ansluts till denna arbetsyta. | På |
| Standardroll för nya SSO-medlemmar | Rollen nya konton får: Redigerare, Innehållsskapare eller Administratör. Administratör erbjuds endast när Skapa konton vid första inloggning är avstängt: "Konton som skapas automatiskt blir aldrig Administratör." | Redigerare |
Om domäner:
- En domän matchar exakt.
acme.exampletäcker inteeu.acme.example; lägg till varje domän. - Skriv endast domänen (
acme.example), inte en e-postadress. Ett inledande@tas bort. - En domän kan endast tillhöra en Clevera-arbetsyta. Om en annan arbetsyta redan använder den visas meddelandet "Domänen acme.example är redan tilldelad ett annat team" vid sparande. Kontakta supporten om det är din domän.
Innehållsskapare använder en skaparlicens; Redigerare gör det inte. Om standardrollen är Innehållsskapare och alla skaparlicenser är upptagna, blir någon som ansluter via SSO en Redigerare istället, så SSO överskrider aldrig ditt licensantal. Lägg till en licens och ändra deras roll i Teaminställningar → Medlemmar när du är redo. Se Förstå arbetsytor, roller och skaparlicenser.
Testa anslutningen
Kör kontrollen
Tillbaka på fliken Säkerhet, klicka på Kör test bredvid Testa anslutning. Den kontrollerar de sparade inställningarna: att Entity ID, inloggnings-URL och certifikat finns, att URL:en är giltig och att certifikatet är läsbart och inte har gått ut.
Du ser "SSO-konfigurationen är giltig och redo att användas." eller "SSO-konfigurationen har problem som måste åtgärdas." tillsammans med en lista. Se Åtgärda problem med SSO-inloggning.
Kör testet innan du aktiverar SSO. Aktivera SSO
Aktivera Aktivera SSO. Du ser meddelandet "SSO aktiverat." Statusmärket ändras från Av till Aktiv.
Logga in som en testmedlem
Öppna ett privat webbläsarfönster, gå till Clevera-inloggningssidan och skriv in e-postadressen för en medlem (eller en ny person, om konton skapas vid första inloggningen). Klicka på Continue with din leverantör och logga in hos din IdP. Du bör hamna på personens Clevera-hemsida i din arbetsyta.
Din egen session påverkas inte, och som ägare kan du alltid logga in med ditt lösenord.
Run test kontaktar inte din IdP, så den riktiga inloggningen i steg 3 är det enda fullständiga testet. Starta det från Clevera-inloggningssidan: ett test som startas från din IdP:s instrumentpanel nekas.
Kräv SSO
När alla kan logga in, slå på Require SSO ("Matching members must sign in with SSO."). Du ser "SSO is now required." och märket visar Active · enforced.
Från och med då kan medlemmar på dina domäner inte använda ett lösenord eller Google, och någon ny på dina domäner kan inte skapa ett Clevera-konto med ett lösenord: de får sitt konto genom att logga in med SSO. Du kan bara slå på detta medan Enable SSO är på, och att stänga av Enable SSO stänger även av detta.
Enkel utloggning
Om du fyller i Logout URL, listar Cleveras metadata även en utloggningsadress: https://app.clevera.ai/sso/saml/slo (HTTP Redirect-bindning). När din IdP skickar en utloggningsförfrågan dit, loggar Clevera ut personen och skickar tillbaka dem till din IdP.
Att logga ut i Clevera loggar inte ut personer från din IdP.
Ändra eller ta bort anslutningen
- Ändra den: klicka på Redigera bredvid Provider. Dialogrutan öppnas med dina sparade värden; lämna certifikatet tomt för att behålla det.
- Stäng av den en stund: stäng av Enable SSO. Inställningarna förblir sparade.
- Ta bort den: öppna menyn bredvid statusmärket och välj Remove SSO configuration, sedan Remove SSO. "Members who sign in with SSO will need to reset their password to keep signing in."
Raden Provider visar protokollet och hur många domäner du har. När personer använder SSO visas en rad som "12 SSO sign-ins · last Oct 12" längst ner i sektionen.