ตั้งค่า SSO ด้วย Microsoft Entra ID

ตั้งค่าการลงชื่อเข้าใช้ครั้งเดียว (SSO) ระหว่าง Microsoft Entra ID (เดิมคือ Azure AD) และ Clevera เพื่อให้ทีมของคุณลงชื่อเข้าใช้ด้วยบัญชี Microsoft ขององค์กร คุณสามารถเชื่อมต่อด้วย SAML 2.0 หรือ OpenID Connect (OIDC) ได้ โดยคู่มือนี้จะครอบคลุมทั้งฝั่ง Entra และฟิลด์ที่ตรงกันใน Clevera

ศูนย์ผู้ดูแลระบบ Microsoft Entra มีการเปลี่ยนแปลงอยู่เป็นระยะ หากป้ายกำกับด้านล่างไม่ตรงกัน ให้มองหาการตั้งค่าที่มีความหมายเดียวกัน และใช้คู่มือทั่วไปสำหรับรายการค่าทั้งหมด: SAML, OIDC

ก่อนที่คุณจะเริ่ม#

• คุณเป็น เจ้าของ เวิร์กสเปซ Clevera บน แพลนแบบกำหนดเอง
• คุณสามารถสร้างแอปพลิเคชันองค์กรหรือการลงทะเบียนแอปใน Entra ได้ (เช่น ในฐานะผู้ดูแลระบบแอปพลิเคชัน)
• คุณทราบโดเมนอีเมลที่ทีมของคุณใช้งาน เช่น acme.example

เปิดกล่องโต้ตอบการตั้งค่าของ Clevera ก่อน เพื่อให้คุณสามารถคัดลอกค่าจากที่นั่นได้: เปิดเมนูเวิร์กสเปซที่ด้านบนของแถบด้านข้าง เลือก การตั้งค่าทีม จากนั้นเลือก ความปลอดภัย และคลิก ตั้งค่า SSO เลือก Microsoft Entra ID (Azure AD) เป็น ผู้ให้บริการข้อมูลประจำตัว

เชื่อมต่อด้วย SAML 2.0#

1. สร้างแอปพลิเคชันองค์กร#

   ในศูนย์ผู้ดูแลระบบ Microsoft Entra ให้ไปที่ แอปพลิเคชันองค์กร และคลิก แอปพลิเคชันใหม่ จากนั้นคลิก สร้างแอปพลิเคชันของคุณเอง ตั้งชื่อว่า Clevera เลือก รวมแอปพลิเคชันอื่น ๆ ที่คุณไม่พบในแกลเลอรี (ไม่ใช่แกลเลอรี) แล้วคลิก สร้าง

2. เลือก SAML#

   ในแอปใหม่ ให้เปิด การลงชื่อเข้าใช้ครั้งเดียว และเลือก SAML

3. ป้อนค่าของ Clevera#

   ใน การกำหนดค่า SAML พื้นฐาน ให้คลิก แก้ไข และกรอกข้อมูลดังนี้:

   ฟิลด์ Entra	ค่าจาก Clevera
   ตัวระบุ (Entity ID)	Entity ID / Audience URI (คัดลอกจากกล่องโต้ตอบ Clevera ซึ่งจะลงท้ายด้วยรหัสเวิร์กสเปซของคุณ)
   Reply URL (Assertion Consumer Service URL)	https://app.clevera.ai/sso/saml/callback
   Sign on URL	เว้นว่างไว้
   Relay State	เว้นว่างไว้
   Logout Url	เฉพาะในกรณีที่คุณจะใช้การออกจากระบบครั้งเดียว: https://app.clevera.ai/sso/saml/slo

   คลิก บันทึก

4. ตรวจสอบการอ้างสิทธิ์ (claims)#

   ใน แอตทริบิวต์และการอ้างสิทธิ์ ให้เปิด ตัวระบุผู้ใช้ที่ไม่ซ้ำกัน (Name ID) ตั้งค่า รูปแบบตัวระบุชื่อ เป็น ที่อยู่อีเมล และแอตทริบิวต์ต้นทางเป็นแอตทริบิวต์ที่เก็บอีเมลของผู้ใช้: user.mail หรือ user.userprincipalname หากชื่อที่ใช้ลงชื่อเข้าใช้คืออีเมลของพวกเขา ให้คงการอ้างสิทธิ์เริ่มต้น givenname, surname และ emailaddress ไว้: Clevera จะอ่านค่าเหล่านี้

5. ลงนามในการตอบกลับและการยืนยัน#

   ใน ใบรับรอง SAML ให้คลิก แก้ไข ถัดจากใบรับรองการลงนาม ตั้งค่า ตัวเลือกการลงนาม เป็น ลงนามในการตอบกลับ SAML และการยืนยัน และ อัลกอริทึมการลงนาม เป็น SHA-256 คลิก บันทึก

   โดยค่าเริ่มต้น Entra จะลงนามเฉพาะการยืนยันเท่านั้น ซึ่ง Clevera จะปฏิเสธการดำเนินการนี้

6. คัดลอกค่าของ Entra ไปยัง Clevera#

   ใน ใบรับรอง SAML ให้ดาวน์โหลด ใบรับรอง (Base64) และเปิดในโปรแกรมแก้ไขข้อความ ใน ตั้งค่า Clevera ให้คัดลอก URL ต่างๆ ใน Clevera ให้ตั้งค่า โปรโตคอล เป็น SAML 2.0 คลิก ดำเนินการต่อ และวางค่าดังนี้:

   ค่า Entra	ฟิลด์ Clevera
   ตัวระบุ Microsoft Entra	IdP Entity ID
   Login URL	SSO sign-in URL
   Logout URL	Logout URL (ไม่บังคับ)
   เนื้อหาของ ใบรับรอง (Base64)	X.509 certificate

7. กำหนดผู้ใช้#

   ใน ผู้ใช้และกลุ่ม ให้คลิก เพิ่มผู้ใช้/กลุ่ม และเพิ่มบุคคลหรือกลุ่มที่ควรใช้ Clevera

จากนั้นดำเนินการให้เสร็จสิ้นใน Clevera: โดเมนและบทบาท

เชื่อมต่อด้วย OpenID Connect#

1. ลงทะเบียนแอป#

   ในกล่องโต้ตอบการตั้งค่าของ Clevera ให้ตั้งค่า โปรโตคอล เป็น OpenID Connect และคัดลอก Redirect URI (callback URL) จากกล่องสีเทา ใน Entra ให้ไปที่ การลงทะเบียนแอป และคลิก การลงทะเบียนใหม่ ตั้งชื่อว่า Clevera เลือก บัญชีในไดเรกทอรีองค์กรนี้เท่านั้น (ผู้เช่ารายเดียว) และภายใต้ Redirect URI ให้เลือก เว็บ และวาง https://app.clevera.ai/sso/oidc/callback คลิก ลงทะเบียน

2. คัดลอกรหัส#

   ใน ภาพรวม ของแอป ให้คัดลอก รหัสแอปพลิเคชัน (ไคลเอ็นต์) และ รหัสไดเรกทอรี (ผู้เช่า)

3. สร้างความลับของไคลเอ็นต์#

   เปิด ใบรับรองและความลับ คลิก ความลับของไคลเอ็นต์ใหม่ เลือกวันหมดอายุและคลิก เพิ่ม คัดลอก ค่า ของความลับทันที (ไม่ใช่ รหัสความลับ); Entra จะแสดงค่านี้เพียงครั้งเดียวเท่านั้น

4. เพิ่มการอ้างสิทธิ์อีเมล#

   เปิด การกำหนดค่าโทเค็น คลิก เพิ่มการอ้างสิทธิ์ทางเลือก เลือก ID ติ๊กถูกที่ อีเมล และคลิก เพิ่ม ยอมรับข้อความแจ้งเตือนเพื่อเพิ่มสิทธิ์อีเมล Microsoft Graph หากไม่มีสิทธิ์นี้ Clevera จะกลับไปใช้ชื่อที่ใช้ลงชื่อเข้าใช้ (preferred_username) ซึ่งจะใช้งานได้ก็ต่อเมื่อชื่อนั้นเป็นอีเมลของบุคคลนั้น

5. กรอกข้อมูลใน Clevera#

   ใน Clevera ให้คลิก ดำเนินการต่อ และป้อนข้อมูลดังนี้:

   ฟิลด์ Clevera	ค่า
   Client ID	รหัสแอปพลิเคชัน (ไคลเอ็นต์)
   Client secret	ค่า ของความลับ
   Discovery URL	https://login.microsoftonline.com/ รหัสไดเรกทอรี (ผู้เช่า) ของคุณ /v2.0/.well-known/openid-configuration

   ใช้รหัสผู้เช่าของคุณใน URL ไม่ใช่ common หรือ organizations: Clevera จะตรวจสอบผู้ออกใบรับรอง และ URL ที่แชร์เหล่านั้นจะไม่ตรงกัน

6. จำกัดผู้ที่สามารถลงชื่อเข้าใช้ (ไม่บังคับ)#

   โดยค่าเริ่มต้น ใครก็ตามในผู้เช่าของคุณสามารถใช้แอปได้ หากต้องการจำกัด ให้เปิด แอปพลิเคชันองค์กร → Clevera → คุณสมบัติ ตั้งค่า จำเป็นต้องมีการกำหนดหรือไม่? เป็น ใช่ และเพิ่มบุคคลหรือกลุ่มใน ผู้ใช้และกลุ่ม

เสร็จสิ้นใน Clevera#

1. ใน โดเมนและบทบาท ให้เพิ่มทุกโดเมนอีเมลที่ทีมของคุณใช้ รวมถึงโดเมนที่ได้รับการยืนยันเพิ่มเติมในผู้เช่าของคุณ เลือก สร้างบัญชีเมื่อลงชื่อเข้าใช้ครั้งแรก และ บทบาทเริ่มต้นสำหรับสมาชิก SSO ใหม่
2. ใน ตรวจสอบ ให้คลิก บันทึกการกำหนดค่า
3. คลิก เรียกใช้การทดสอบ เปิดใช้งาน เปิดใช้งาน SSO และลงชื่อเข้าใช้ในฐานะผู้ใช้ทดสอบในหน้าต่างส่วนตัว โดยเริ่มจากหน้าลงชื่อเข้าใช้ของ Clevera
4. เมื่อใช้งานได้สำหรับทุกคน ให้เปิดใช้งาน ต้องใช้ SSO หากคุณต้องการให้ SSO เป็นวิธีเดียวในการเข้าถึง

สมาชิกพิมพ์อีเมลที่ทำงานของตนในหน้าลงชื่อเข้าใช้ Clevera และคลิก ดำเนินการต่อด้วย Microsoft Entra ID (Azure AD)

การแก้ไขปัญหา#

ข้อความเพิ่มเติม: แก้ไขปัญหาการลงชื่อเข้าใช้ SSO

ที่เกี่ยวข้อง#