ตั้งค่า SSO ด้วย Okta

ตั้งค่าการลงชื่อเข้าใช้ครั้งเดียว (Single Sign-On) ระหว่าง Okta และ Clevera เพื่อให้ทีมของคุณลงชื่อเข้าใช้ด้วยบัญชี Okta ของตนเอง คุณสามารถเชื่อมต่อด้วย SAML 2.0 หรือ OpenID Connect (OIDC) ได้ โดยคู่มือนี้จะแนะนำขั้นตอนทั้งในฝั่ง Okta และช่องที่ตรงกันใน Clevera

คอนโซลผู้ดูแลระบบของ Okta มีการเปลี่ยนแปลงอยู่เป็นระยะ หากป้ายกำกับด้านล่างไม่ตรงกับสิ่งที่คุณเห็น ให้มองหาการตั้งค่าที่มีความหมายเดียวกัน และใช้คู่มือทั่วไปสำหรับรายการค่าทั้งหมด: SAML, OIDC

ก่อนที่คุณจะเริ่ม#

• คุณเป็น เจ้าของ เวิร์กสเปซ Clevera บน แพลนแบบกำหนดเอง
• คุณเป็นผู้ดูแลระบบ Okta ที่สามารถสร้างการเชื่อมต่อแอปและกำหนดสิทธิ์ให้แอปเหล่านั้นได้
• คุณทราบโดเมนอีเมลที่ทีมของคุณใช้ใน Okta เช่น acme.example

เปิดกล่องโต้ตอบการตั้งค่าของ Clevera ก่อน เพื่อให้คุณสามารถคัดลอกค่าจากที่นั่นได้: เปิดเมนูเวิร์กสเปซที่ด้านบนของแถบด้านข้าง เลือก การตั้งค่าทีม จากนั้นเลือก ความปลอดภัย และคลิก ตั้งค่า SSO เลือก Okta เป็น ผู้ให้บริการข้อมูลประจำตัว (Identity provider)

เชื่อมต่อด้วย SAML 2.0#

1. สร้างแอปใน Okta#

   ในคอนโซลผู้ดูแลระบบของ Okta ไปที่ Applications → Applications แล้วคลิก Create App Integration เลือก SAML 2.0 แล้วคลิก ถัดไป ตั้งชื่อแอปว่า Clevera แล้วคลิก ถัดไป

2. ป้อนค่าของ Clevera#

   ภายใต้ SAML Settings ให้กรอกข้อมูลดังนี้:

   ช่องของ Okta	ค่าจาก Clevera
   Single sign-on URL	ACS URL (Reply URL): https://app.clevera.ai/sso/saml/callback คงการติ๊ก Use this for Recipient URL and Destination URL ไว้
   Audience URI (SP Entity ID)	Entity ID / Audience URI (คัดลอกมาจากกล่องโต้ตอบของ Clevera โดยจะลงท้ายด้วย ID เวิร์กสเปซของคุณ)
   Default RelayState	เว้นว่างไว้
   Name ID format	EmailAddress
   Application username	Email

3. ตรวจสอบการลงนาม#

   คลิก Show Advanced Settings และตรวจสอบว่า Response และ Assertion Signature ถูกตั้งค่าเป็น Signed ทั้งคู่, Signature Algorithm เป็น RSA-SHA256 และ Assertion Encryption เป็น Unencrypted Clevera ต้องการให้ทั้งการตอบกลับและการยืนยันมีการลงนาม

4. เพิ่มแอตทริบิวต์ชื่อ#

   ภายใต้ Attribute Statements ให้เพิ่ม firstName โดยมีค่าเป็น user.firstName และ lastName โดยมีค่าเป็น user.lastName Clevera จะใช้ข้อมูลเหล่านี้ในการตั้งชื่อบัญชีใหม่ คลิก ถัดไป ตอบคำถามความคิดเห็นของ Okta ว่าเป็นแอปภายในองค์กร แล้วคลิก เสร็จสิ้น

5. คัดลอกค่าของ Okta ลงใน Clevera#

   บนแท็บ Sign On ของแอป ให้เปิดรายละเอียดการตั้งค่า SAML (View SAML setup instructions หรือ More details ในคอนโซลรุ่นใหม่) ใน Clevera ให้ตั้งค่า Protocol เป็น SAML 2.0 คลิก ดำเนินการต่อ และวางค่าดังนี้:

   ค่าของ Okta	ช่องของ Clevera
   Identity Provider Issuer (หรือ Issuer)	IdP Entity ID
   Identity Provider Single Sign-On URL (หรือ Sign on URL)	SSO sign-in URL
   X.509 Certificate (หรือ Signing Certificate)	X.509 certificate

   เว้นช่อง Logout URL ไว้ว่างๆ เว้นแต่คุณจะใช้การออกจากระบบครั้งเดียว (Single Logout) ของ Okta

   

6. กำหนดผู้ใช้งาน#

   บนแท็บ Assignments ของแอป ให้คลิก Assign และเพิ่มบุคคลหรือกลุ่มที่ควรใช้ Clevera ผู้ที่ไม่ได้ถูกกำหนดสิทธิ์จะไม่สามารถลงชื่อเข้าใช้ผ่าน Okta ได้

จากนั้นดำเนินการให้เสร็จสิ้นใน Clevera: โดเมนและบทบาท

เชื่อมต่อด้วย OpenID Connect#

1. สร้างแอปใน Okta#

   ไปที่ Applications → Applications → Create App Integration เลือก OIDC - OpenID Connect จากนั้นเลือก Web Application แล้วคลิก ถัดไป

2. ตั้งค่า Redirect URI#

   ในกล่องโต้ตอบการตั้งค่าของ Clevera ให้ตั้งค่า Protocol เป็น OpenID Connect และคัดลอก Redirect URI (callback URL) จากช่องสีเทา จากนั้นกรอกข้อมูลใน Okta:

   ช่องของ Okta	ค่า
   App integration name	Clevera
   Grant type	Authorization Code
   Sign-in redirect URIs	Redirect URI (callback URL): https://app.clevera.ai/sso/oidc/callback
   Sign-out redirect URIs	ลบตัวอย่างออก; เว้นว่างไว้
   Controlled access	เลือกผู้ที่สามารถใช้แอปได้ หรือ Skip group assignment for now เพื่อกำหนดภายหลัง

   คลิก บันทึก

3. คัดลอกข้อมูลรับรอง#

   บนแท็บ General ของแอป ภายใต้ Client Credentials ให้คัดลอก Client ID และ Client secret คงการตั้งค่า Client authentication ไว้ที่ Client secret

4. กรอกข้อมูลใน Clevera#

   ใน Clevera ให้คลิก ดำเนินการต่อ และป้อนข้อมูลดังนี้:

   ช่องของ Clevera	ค่า
   Client ID	Client ID ของ Okta
   Client secret	Client secret ของ Okta
   Discovery URL	https:// โดเมน Okta ของคุณ /.well-known/openid-configuration เช่น https://acme.okta.com/.well-known/openid-configuration

   หากคุณใช้เซิร์ฟเวอร์การอนุญาตแบบกำหนดเอง ให้ใช้ Discovery URL ของเซิร์ฟเวอร์นั้นแทน เช่น https://acme.okta.com/oauth2/default/.well-known/openid-configuration

   

5. กำหนดผู้ใช้งาน#

   บนแท็บ Assignments ให้กำหนดสิทธิ์ให้บุคคลหรือกลุ่มที่ควรใช้ Clevera

ดำเนินการให้เสร็จสิ้นใน Clevera#

1. ในส่วน Domains & roles ให้เพิ่มทุกโดเมนอีเมลที่ผู้ใช้ Okta ของคุณมี เลือก Create accounts on first sign-in และ Default role for new SSO members
2. ในส่วน ตรวจสอบ ให้คลิก บันทึกการกำหนดค่า
3. คลิก Run test เปิดใช้งาน Enable SSO และลงชื่อเข้าใช้ในฐานะผู้ใช้ทดสอบที่ได้รับสิทธิ์ในหน้าต่างส่วนตัว โดยเริ่มจากหน้าลงชื่อเข้าใช้ของ Clevera
4. เมื่อใช้งานได้สำหรับทุกคนแล้ว ให้เปิดใช้งาน Require SSO หากคุณต้องการให้ SSO เป็นวิธีเดียวในการเข้าใช้งาน

จากนั้นสมาชิกจะพิมพ์อีเมลที่ทำงานของตนในหน้าลงชื่อเข้าใช้ของ Clevera แล้วคลิก ดำเนินการต่อด้วย Okta

การแก้ไขปัญหา#

ข้อความเพิ่มเติม: แก้ไขปัญหาการลงชื่อเข้าใช้ SSO

ข้อมูลที่เกี่ยวข้อง#