Hoppa till innehåll
Clevera Help Center

Konfigurera SSO med OpenID Connect

Anslut Clevera till din identitetsleverantör med OpenID Connect: omdirigerings-URI, omfattningar (scopes) och klientautentisering som din IdP behöver, de anspråk (claims) som Clevera läser, varje konfigurationsfält, samt testning och aktivering av SSO.

Uppdaterad 6 min läsning

Anslut Clevera till din identitetsleverantör (IdP) med OpenID Connect (OIDC) så att ditt team kan logga in med sitt företagskonto. Den här artikeln täcker appen du behöver skapa i din IdP, varje fält i Cleveras konfigurationsdialog, de anspråk (claims) som Clevera läser, samt hur du testar och aktiverar funktionen.

För information om vad SSO innebär för dina medlemmar, läs Förstå enkel inloggning (SSO) först. Leverantörsspecifika skärmar finns i guiderna för Okta, Microsoft Entra ID och Google Workspace.

Innan du börjar

  • Du är Ägare av en arbetsyta på en Anpassad plan.
  • Du kan skapa en OIDC-app (webb) i din IdP, eller samarbetar med någon som kan.
  • Du känner till alla e-postdomäner som ditt team använder.

Skapa appen i din IdP

Skapa en webbapplikation (en konfidentiell klient med en klienthemlighet) och konfigurera den enligt följande:

IdP-inställning Värde
Omdirigerings-URI (inloggnings-URI, callback-URL) https://app.clevera.ai/sso/oidc/callback
Beviljandetyp (Grant type) Auktoriseringskod
Klientautentisering Klienthemlighet. Clevera skickar hemligheten i brödtexten i token-förfrågan (client_secret_post).
Omfattningar (Scopes) openid, email, profile
Utloggnings-URI, initiera inloggnings-URI Lämna tom. Inloggning måste starta på Cleveras inloggningssida.

Du behöver inte skriva in omdirigerings-URI:n manuellt. I Cleveras konfigurationsdialog, välj OpenID Connect i det första steget: den grå rutan "För personen som konfigurerar din identitetsleverantör" visar Omdirigerings-URI (callback-URL) med en kopieringsknapp.

Steg 1 i SSO-konfigurationsdialogen med Okta och OpenID Connect valt, som visar omdirigerings-URI (callback-URL) med en kopieringsknapp
Kopiera omdirigerings-URI:n till din identitetsleverantör.

När appen är skapad, kopiera dess klient-ID, klienthemlighet och discovery-URL (även kallad OpenID-konfigurations-URL eller well-known URL, som slutar på /.well-known/openid-configuration).

Anspråk (claims) som Clevera läser

Clevera läser ID-token och, när IdP:n har en UserInfo-slutpunkt, även UserInfo-svaret utöver detta.

Syfte Anspråk, i ordning Noteringar
E-post email, sedan preferred_username, sedan upn Den första som är en giltig e-postadress används. Utan en sådan misslyckas inloggningen.
Namn name, sedan given_name + family_name, sedan preferred_username Används endast när Clevera skapar ett nytt konto. Faller tillbaka på delen av e-postadressen före @.

Clevera läser inga grupp- eller rollanspråk: alla som skapas via SSO får den standardroll du väljer i Clevera.

Anslut din IdP i Clevera

  1. Öppna fliken Säkerhet

    Öppna arbetsytemenyn högst upp i sidofältet, välj Teaminställningar, sedan Säkerhet. Under Enkel inloggning (SSO), klicka på Konfigurera SSO.

  2. Leverantör

    Välj din Identitetsleverantör och ställ in Protokoll till OpenID Connect. Kopiera Omdirigerings-URI (callback-URL) till din IdP om du inte redan gjort det, och klicka sedan på Fortsätt. (JumpCloud stöder endast SAML i Clevera.)

    Leverantörens namn är vad medlemmarna ser på inloggningsknappen, till exempel Fortsätt med Okta. Med Anpassad SAML/OIDC-leverantör står det Fortsätt med SSO på knappen.

  3. Identitetsleverantör

    Fyll i fälten nedan. Klicka på Fortsätt.

  4. Domäner och roller

    Lägg till varje e-postdomän under Tillåtna e-postdomäner, välj om du vill Skapa konton vid första inloggning, och välj Standardroll för nya SSO-medlemmar. Dessa fungerar på samma sätt som för SAML: se Domäner och roller.

  5. Granska

    Kontrollera sammanfattningen och klicka på Spara konfiguration. Du ser "SSO-konfiguration sparad. Kör ett test och aktivera sedan." Att spara aktiverar inte SSO.

Fält för identitetsleverantör

Steg 2 i SSO-konfigurationsdialogen för OpenID Connect med klient-ID, hemlighet och discovery-URL
Med en discovery-URL förblir slutpunktsfälten dolda.
Fält Krävs Vad du ska ange
Klient-ID Ja Din OIDC-applikations klient-ID.
Klienthemlighet Ja Din OIDC-applikations klienthemlighet. Lagras krypterad och visas aldrig igen; när du redigerar senare står det "En hemlighet är lagrad. Lämna tom för att behålla den."
Discovery-URL Rekommenderas "Rekommenderas. Slutpunkter läses in från denna." Till exempel https://idp.example.com/.well-known/openid-configuration.
Auktoriserings-URL Endast utan discovery-URL Din IdP:s auktoriseringsslutpunkt.
Token-URL Endast utan discovery-URL Din IdP:s token-slutpunkt.
UserInfo-URL Nej Din IdP:s UserInfo-slutpunkt. Visas endast utan discovery-URL.

De tre slutpunktsfälten visas endast när Discovery-URL är tom.

Varför discovery-URL är bättre

Med en discovery-URL läser Clevera själv in slutpunkterna och kontrollerar varje inloggning mot din IdP:s publicerade signeringsnycklar och utfärdare. Ange endast slutpunkter manuellt om din IdP saknar ett discovery-dokument.

  • Discovery-URL:en måste vara IdP:ns utfärdare plus /.well-known/openid-configuration, och issuer inuti den måste matcha de tokens din IdP utfärdar. URL:er för flera klienter (multi-tenant) vars utfärdare innehåller en platshållare (som Microsofts common-slutpunkt) fungerar inte; använd din klients egen URL.
  • Varje URL måste vara en offentlig https:// (eller http://) adress som Cleveras servrar kan nå. Adresser på ett privat nätverk, som en IdP som endast är nåbar via ditt VPN, nekas. Vilken port som helst går bra.
  • Clevera behåller discovery-dokumentet och signeringsnycklarna i upp till en timme. Om din IdP roterar sina signeringsnycklar under den tiden, hämtar Clevera de nya nycklarna en gång innan en inloggning nekas, så nyckelrotation låser inte ute användare.

Testa anslutningen

  1. Kör kontrollen

    På fliken Säkerhet, klicka på Kör test. Den kontrollerar att klient-ID och hemlighet är sparade och, med en discovery-URL, att dokumentet laddas och innehåller en auktoriseringsslutpunkt. Du ser "SSO-konfigurationen är giltig och redo att användas." eller en lista med problem. Se Åtgärda problem med SSO-inloggning.

    Ett misslyckat SSO-test som förklarar att OIDC-discovery-dokumentet inte kunde laddas
    Varje problem talar om för dig vad som behöver åtgärdas.

  2. Aktivera SSO

    Aktivera Aktivera SSO. Du ser "SSO aktiverat." och märket visar Aktiv.

  3. Logga in som en testmedlem

    I ett privat webbläsarfönster, gå till Cleveras inloggningssida, skriv in en medlems e-postadress, klicka på Fortsätt med din leverantör och logga in. Du bör hamna på deras Clevera-startsida i din arbetsyta. Som ägare kan du alltid logga in med ditt lösenord, så detta kan inte låsa ute dig.

Kör test kontrollerar inte klienthemligheten eller en faktisk inloggning; endast steg 3 gör det.

Kräv SSO, ändra eller ta bort

Dessa fungerar på samma sätt som för SAML:

  • Aktivera Kräv SSO när alla kan logga in. Medlemmar med dina domäner kan då inte använda lösenord eller Google.
  • Redigera ändrar anslutningen. Lämna Klienthemlighet tom för att behålla den lagrade. När du roterar hemligheten i din IdP, klistra in den nya och spara.
  • Ta bort SSO-konfiguration (i menyn bredvid statusmärket) raderar den. Medlemmar som skapats via SSO använder Glömt lösenordet? för att ange ett lösenord.

Se Konfigurera SSO med SAML för detaljer. OIDC har ingen enkel utloggning: att logga ut från din IdP loggar inte ut användare från Clevera.

Förstå enkel inloggning (SSO)Vad SSO ändrar för dina medlemmar.Konfigurera SSO med SAMLSAML 2.0-alternativet.Konfigurera SSO med Microsoft Entra IDEntras skärmar steg för steg.Åtgärda problem med SSO-inloggningVarje SSO-meddelande och vad du ska göra.