Förstå enkel inloggning (SSO) i Clevera
Vad enkel inloggning gör i Clevera: vilken plan som inkluderar det, SAML 2.0 vs OpenID Connect, vem som kan logga in med det, Kräv SSO, och vad som händer med befintliga medlemmar och lösenord.
Enkel inloggning (SSO) låter ditt team logga in i Clevera med sitt företagskonto från Okta, Microsoft Entra ID, Google Workspace eller någon annan SAML 2.0- eller OpenID Connect-leverantör. Den här artikeln förklarar vad SSO gör i Clevera, vem som kan ställa in det och vilka ändringar som sker för dina medlemmar.
Innan du börjar
- Plan: SSO ingår i anpassade planer. På andra planer ser ägaren Anpassad plan krävs under Teaminställningar → Säkerhet, med en länk för att Kontakta oss. Se Välj en plan.
- Vem ställer in det: endast arbetsytans Ägare. Administratörer kan inte se eller ändra SSO-inställningar.
- Din identitetsleverantör: någon som kan skapa en app i din identitetsleverantör (IdP), eller som kan skicka dess värden till dig.
- Dina e-postdomäner: varje företagsdomän som dina användare loggar in med, till exempel
acme.example.
Vad SSO gör i Clevera
| Vad som händer | |
|---|---|
| Inloggning | Användare skriver sin jobb-e-post på Cleveras inloggningssida och klickar på Fortsätt med din leverantör. De loggar in hos din IdP och kommer tillbaka inloggade i din arbetsyta. |
| Nya personer | Med Skapa konton vid första inloggning aktiverat får någon utan ett Clevera-konto ett sådant första gången de loggar in, och går med i din arbetsyta med den standardroll du valt (som en Redigerare om den rollen kräver en skaparplats och ingen är ledig). |
| Befintliga medlemmar | Medlemmar vars e-postdomän finns på din lista kan logga in med SSO direkt. Ingenting ändras gällande deras videor eller roll. |
| Kräv SSO | Med Kräv SSO aktiverat kan medlemmar på dina domäner inte längre logga in med lösenord eller Google, och nya personer på dina domäner kan inte registrera sig med lösenord. |
| Ägare | Ägaren kan alltid logga in med sitt lösenord, så att du inte kan låsa ute dig själv. |
SSO fungerar per arbetsyta: anslutningen, dess domäner och dess regler tillhör den arbetsyta du ställde in det i.
SAML 2.0 eller OpenID Connect
Clevera stöder båda. Välj den som din IdP-administratör föredrar; resultatet för dina medlemmar är detsamma.
| SAML 2.0 | OpenID Connect (OIDC) | |
|---|---|---|
| Vad du anger i Clevera | IdP-entitets-ID, SSO-inloggnings-URL, X.509-certifikat, valfri utloggnings-URL | Klient-ID, klienthemlighet och en discovery-URL (eller slutpunkterna manuellt) |
| Vad du ger din IdP | Entitets-ID / Audience URI och ACS-URL (svars-URL) | Omdirigerings-URI (callback-URL) |
| Enkel utloggning från IdP | Stöds, om du lägger till en utloggnings-URL | Stöds ej |
| Guide | Ställ in SSO med SAML | Ställ in SSO med OpenID Connect |
Leverantörsguider: Okta, Microsoft Entra ID, Google Workspace. OneLogin (SAML eller OIDC) och JumpCloud (endast SAML) finns också i leverantörslistan; följ den allmänna SAML- eller OIDC-guiden för dessa.
Hur inställningen fungerar
Skapa en app i din IdP
Använd värdena som Clevera visar i det första steget i inställningsdialogen, var och en med en kopieringsknapp: entitets-ID och ACS-URL för SAML, eller omdirigerings-URI för OIDC.
Anslut den i Clevera
Öppna arbetsytemenyn högst upp i sidofältet, välj Teaminställningar, sedan Säkerhet. Under Enkel inloggning, klicka på Ställ in SSO och gå igenom de fyra stegen: Leverantör, Identitetsleverantör, Domäner & roller, Granska. Klicka på Spara konfiguration.
Testa det
Klicka på Kör test, logga sedan in med en testmedlem i ett privat webbläsarfönster.
Aktivera det
Aktivera Aktivera SSO. När alla kan logga in, aktivera Kräv SSO om du vill att SSO ska vara det enda sättet att logga in.
Att spara aktiverar aldrig SSO av sig självt, så du kan förbereda anslutningen utan att påverka någon.
Hur personer loggar in efteråt
- På Cleveras inloggningssida skriver de sin jobb-e-post.
- Clevera känner igen domänen och visar "Din organisation använder Okta" (din leverantörs namn) med en Fortsätt med Okta-knapp. Med Anpassad SAML/OIDC-leverantör står det "Din organisation använder SSO" och knappen heter Fortsätt med SSO. Med Kräv SSO aktiverat läggs texten "Medlemmar i denna organisation loggar in med Okta" till.
- De klickar på knappen, loggar in hos din IdP och hamnar på sin Clevera-hemsida i din arbetsyta. Om de öppnade en Clevera-länk när de ombads logga in, hamnar de på den sidan istället.
De förblir inloggade i den webbläsaren tills de loggar ut. Att logga ut från Clevera loggar inte ut dem från din IdP.
Skrivbordsapp: skrivbordsappen loggar in via din webbläsare. På webbläsarens inloggningssida, skriv din jobb-e-post och klicka på Fortsätt med din leverantör. När du har loggat in hos din IdP skickar webbläsaren tillbaka dig till skrivbordsappen, som slutför inloggningen. Se Logga in i skrivbordsappen.
Vem kan använda SSO
| Person | Kan logga in med SSO? |
|---|---|
| En medlem i arbetsytan vars e-postdomän finns på din lista | Ja |
| Någon på din domän utan ett Clevera-konto | Ja, om Skapa konton vid första inloggning är aktiverat. Annars, bjud in dem först. |
| Någon på din domän som redan har ett Clevera-konto men inte är medlem i denna arbetsyta | Nej. Bjud in dem, och när de har accepterat fungerar SSO för dem. |
| Ägaren | Ja, om de sparade SSO-konfigurationen själva. De kan alltid använda sitt lösenord också. |
| Alla vars e-postdomän inte finns på din lista | Nej. De fortsätter logga in som de gör nu. |
Den tredje och fjärde raden är säkerhetsåtgärder: eftersom e-postdomäner i Clevera inte verifieras, tar SSO aldrig över ett konto som inte redan finns i din arbetsyta, och loggar aldrig in ägaren via en anslutning som någon annan sparat.
Skaparplatser
En person som skapas via SSO får den Standardroll för nya SSO-medlemmar du valt. Om det är Innehållsskapare och varje skaparplats i din plan är upptagen, går de med som en Redigerare istället, vilket inte använder någon plats. Lägg till en plats och ändra deras roll under Teaminställningar → Medlemmar. Se Förstå arbetsytor, roller och skaparplatser.
Vad händer med lösenord
- Befintliga medlemmar behåller sitt lösenord. Så länge Kräv SSO är inaktiverat kan de använda båda. Med det aktiverat ser en medlem som loggar in med rätt lösenord "Din organisation kräver enkel inloggning. Använd SSO-knappen för att fortsätta."
- Nya personer på dina domäner kan inte skapa ett konto med lösenord medan Kräv SSO är aktiverat. Registreringsformuläret svarar "Din organisation loggar in med enkel inloggning (SSO). Gå till Logga in, ange denna e-post och välj Fortsätt med SSO." Deras konto skapas första gången de loggar in med SSO (med Skapa konton vid första inloggning aktiverat; annars bjud in dem).
- Konton skapade via SSO har inget lösenord som personen känner till. Om SSO senare inaktiveras eller tas bort, använder de Glömt lösenordet? på inloggningssidan för att ställa in ett.
- Google-inloggning blockeras för medlemmar på dina domäner medan Kräv SSO är aktiverat.
Ta bort någons åtkomst
Clevera synkroniserar inte användare från din IdP. Att ta bort tilldelningen för någon i din IdP stoppar nya SSO-inloggningar, men en webbläsare som redan är inloggad förblir inloggad. För att omedelbart bryta åtkomsten, ta även bort dem under Teaminställningar → Medlemmar.