ข้ามไปยังเนื้อหา
ศูนย์ช่วยเหลือ Clevera

ตั้งค่า SSO ด้วย OpenID Connect

เชื่อมต่อ Clevera เข้ากับผู้ให้บริการข้อมูลประจำตัวของคุณด้วย OpenID Connect: ทั้ง Redirect URI, ขอบเขต (scopes) และการยืนยันตัวตนของไคลเอนต์ที่ IdP ของคุณต้องการ, ข้อมูล (claims) ที่ Clevera อ่าน, ฟิลด์การตั้งค่าทั้งหมด, การทดสอบ และการเปิดใช้งาน SSO

อัปเดตเมื่อ ใช้เวลาอ่าน 8 นาที

เชื่อมต่อ Clevera เข้ากับผู้ให้บริการข้อมูลประจำตัว (IdP) ของคุณด้วย OpenID Connect (OIDC) เพื่อให้ทีมของคุณลงชื่อเข้าใช้ด้วยบัญชีบริษัท บทความนี้ครอบคลุมถึงวิธีการสร้างแอปใน IdP ของคุณ, ฟิลด์ทั้งหมดในกล่องโต้ตอบการตั้งค่าของ Clevera, ข้อมูล (claims) ที่ Clevera อ่าน รวมถึงวิธีทดสอบและเปิดใช้งาน

สำหรับข้อมูลว่า SSO เปลี่ยนแปลงสิ่งใดบ้างสำหรับสมาชิกของคุณ โปรดอ่าน ทำความเข้าใจ Single Sign-On ก่อน หน้าจอเฉพาะของผู้ให้บริการแต่ละรายอยู่ในคู่มือสำหรับ Okta, Microsoft Entra ID และ Google Workspace

ก่อนที่คุณจะเริ่มต้น

  • คุณเป็น เจ้าของ เวิร์กสเปซบน แพลนแบบกำหนดเอง
  • คุณสามารถสร้างแอป OIDC (เว็บ) ใน IdP ของคุณได้ หรือกำลังทำงานร่วมกับผู้ที่สามารถทำได้
  • คุณทราบโดเมนอีเมลทั้งหมดที่ทีมของคุณใช้งาน

สร้างแอปใน IdP ของคุณ

สร้าง เว็บแอปพลิเคชัน (ไคลเอนต์ที่มีความปลอดภัยพร้อม client secret) และตั้งค่าดังนี้:

การตั้งค่า IdP ค่า
Redirect URI (URI สำหรับเปลี่ยนเส้นทางเพื่อลงชื่อเข้าใช้, URL สำหรับเรียกกลับ) https://app.clevera.ai/sso/oidc/callback
ประเภทการให้สิทธิ์ (Grant type) Authorization code
การยืนยันตัวตนของไคลเอนต์ Client secret Clevera จะส่ง secret ในเนื้อหาของคำขอโทเค็น (client_secret_post)
ขอบเขต (Scopes) openid, email, profile
Sign-out redirect URI, initiate login URI เว้นว่างไว้ การลงชื่อเข้าใช้ต้องเริ่มต้นที่หน้าลงชื่อเข้าใช้ของ Clevera

คุณไม่จำเป็นต้องพิมพ์ Redirect URI เอง ในกล่องโต้ตอบการตั้งค่าของ Clevera ให้เลือก OpenID Connect ในขั้นตอนแรก: กล่องสีเทา "สำหรับผู้ที่ตั้งค่าผู้ให้บริการข้อมูลประจำตัวของคุณ" จะแสดง Redirect URI (URL สำหรับเรียกกลับ) พร้อมปุ่มคัดลอก

ขั้นตอนที่ 1 ของกล่องโต้ตอบการตั้งค่า SSO โดยเลือก Okta และ OpenID Connect ซึ่งแสดง Redirect URI (URL สำหรับเรียกกลับ) พร้อมปุ่มคัดลอก
คัดลอก Redirect URI ไปยังผู้ให้บริการข้อมูลประจำตัวของคุณ

เมื่อสร้างแอปแล้ว ให้คัดลอก client ID, client secret และ discovery URL (หรือที่เรียกว่า OpenID configuration URL หรือ well-known URL ซึ่งลงท้ายด้วย /.well-known/openid-configuration)

ข้อมูล (claims) ที่ Clevera อ่าน

Clevera จะอ่าน ID token และหาก IdP มี UserInfo endpoint ก็จะอ่านการตอบกลับของ UserInfo เพิ่มเติมด้วย

วัตถุประสงค์ ข้อมูล (claims) ตามลำดับ หมายเหตุ
อีเมล email, จากนั้น preferred_username, จากนั้น upn จะใช้รายการแรกที่เป็นที่อยู่อีเมลที่ถูกต้อง หากไม่มี การลงชื่อเข้าใช้จะล้มเหลว
ชื่อ name, จากนั้น given_name + family_name, จากนั้น preferred_username ใช้เฉพาะเมื่อ Clevera สร้างบัญชีใหม่เท่านั้น โดยจะใช้ส่วนของอีเมลก่อนหน้า @ แทนหากไม่มีข้อมูล

Clevera ไม่อ่านข้อมูลกลุ่มหรือบทบาท: ทุกคนที่สร้างขึ้นโดย SSO จะได้รับบทบาทเริ่มต้นที่คุณเลือกไว้ใน Clevera

เชื่อมต่อ IdP ของคุณใน Clevera

  1. เปิดแท็บ ความปลอดภัย

    เปิดเมนูเวิร์กสเปซที่ด้านบนของแถบด้านข้าง เลือก การตั้งค่าทีม จากนั้นเลือก ความปลอดภัย ภายใต้ Single sign-on ให้คลิก ตั้งค่า SSO

  2. ผู้ให้บริการ

    เลือก ผู้ให้บริการข้อมูลประจำตัว ของคุณและตั้งค่า โปรโตคอล เป็น OpenID Connect คัดลอก Redirect URI (URL สำหรับเรียกกลับ) ไปยัง IdP ของคุณหากคุณยังไม่ได้ทำ จากนั้นคลิก ดำเนินการต่อ (JumpCloud รองรับเฉพาะ SAML ใน Clevera)

    ชื่อของผู้ให้บริการคือสิ่งที่สมาชิกเห็นบนปุ่มลงชื่อเข้าใช้ เช่น ดำเนินการต่อด้วย Okta สำหรับ Custom SAML/OIDC Provider ปุ่มจะแสดงข้อความ ดำเนินการต่อด้วย SSO

  3. ผู้ให้บริการข้อมูลประจำตัว

    กรอกข้อมูลในฟิลด์ด้านล่าง แล้วคลิก ดำเนินการต่อ

  4. โดเมนและบทบาท

    เพิ่มโดเมนอีเมลแต่ละรายการภายใต้ โดเมนอีเมลที่อนุญาต, เลือกว่าจะ สร้างบัญชีเมื่อลงชื่อเข้าใช้ครั้งแรก หรือไม่ และเลือก บทบาทเริ่มต้นสำหรับสมาชิก SSO ใหม่ สิ่งเหล่านี้ทำงานเหมือนกับ SAML: ดู โดเมนและบทบาท

  5. ตรวจสอบ

    ตรวจสอบสรุปข้อมูลแล้วคลิก บันทึกการกำหนดค่า คุณจะเห็นข้อความ "บันทึกการกำหนดค่า SSO แล้ว โปรดเรียกใช้การทดสอบ จากนั้นเปิดใช้งาน" การบันทึกไม่ได้เป็นการเปิดใช้งาน SSO

ฟิลด์ของผู้ให้บริการข้อมูลประจำตัว

ขั้นตอนที่ 2 ของกล่องโต้ตอบการตั้งค่า SSO สำหรับ OpenID Connect พร้อม client ID, secret และ discovery URL
เมื่อมี discovery URL ฟิลด์ endpoint จะถูกซ่อนไว้
ฟิลด์ จำเป็น สิ่งที่ต้องกรอก
Client ID ใช่ Client ID ของแอปพลิเคชัน OIDC ของคุณ
Client secret ใช่ Client secret ของแอปพลิเคชัน OIDC ของคุณ ข้อมูลจะถูกจัดเก็บแบบเข้ารหัสและจะไม่แสดงอีก เมื่อคุณแก้ไขในภายหลัง จะแสดงว่า "มีการจัดเก็บ secret ไว้แล้ว เว้นว่างไว้เพื่อคงค่าเดิม"
Discovery URL แนะนำ "แนะนำ ข้อมูล endpoint จะถูกอ่านจาก URL นี้" เช่น https://idp.example.com/.well-known/openid-configuration
Authorization URL เฉพาะเมื่อไม่มี discovery URL Authorization endpoint ของ IdP ของคุณ
Token URL เฉพาะเมื่อไม่มี discovery URL Token endpoint ของ IdP ของคุณ
UserInfo URL ไม่ UserInfo endpoint ของ IdP ของคุณ แสดงเฉพาะเมื่อไม่มี discovery URL เท่านั้น

ฟิลด์ endpoint ทั้งสามจะปรากฏเฉพาะในขณะที่ Discovery URL ว่างเปล่าเท่านั้น

ทำไม discovery URL ถึงดีกว่า

ด้วย discovery URL ทาง Clevera จะอ่าน endpoint ด้วยตนเองและตรวจสอบการลงชื่อเข้าใช้แต่ละครั้งกับคีย์การลงชื่อและผู้ออก (issuer) ที่เผยแพร่โดย IdP ของคุณ ให้กรอก endpoint ด้วยตนเองเฉพาะในกรณีที่ IdP ของคุณไม่มีเอกสาร discovery เท่านั้น

  • Discovery URL ต้องเป็นผู้ออก (issuer) ของ IdP บวกด้วย /.well-known/openid-configuration และ issuer ภายในนั้นต้องตรงกับโทเค็นที่ IdP ของคุณออกให้ URL แบบหลายผู้เช่า (multi-tenant) ที่ผู้ออกมีตัวยึดตำแหน่ง (เช่น endpoint common ของ Microsoft) จะใช้งานไม่ได้ ให้ใช้ URL ของผู้เช่าของคุณเอง
  • URL ทุกรายการต้องเป็นที่อยู่ https:// (หรือ http://) สาธารณะที่เซิร์ฟเวอร์ของ Clevera สามารถเข้าถึงได้ ที่อยู่ในเครือข่ายส่วนตัว เช่น IdP ที่เข้าถึงได้ผ่าน VPN ของคุณเท่านั้น จะถูกปฏิเสธ สามารถใช้พอร์ตใดก็ได้
  • Clevera จะเก็บเอกสาร discovery และคีย์การลงชื่อไว้สูงสุดหนึ่งชั่วโมง หาก IdP ของคุณหมุนเวียนคีย์การลงชื่อในช่วงเวลานั้น Clevera จะดึงคีย์ใหม่หนึ่งครั้งก่อนที่จะปฏิเสธการลงชื่อเข้าใช้ ดังนั้นการหมุนเวียนคีย์จะไม่ทำให้ผู้ใช้เข้าใช้งานไม่ได้

ทดสอบการเชื่อมต่อ

  1. เรียกใช้การตรวจสอบ

    บนแท็บ ความปลอดภัย ให้คลิก เรียกใช้การทดสอบ ระบบจะตรวจสอบว่ามีการบันทึก client ID และ secret ไว้แล้ว และหากมี discovery URL ระบบจะตรวจสอบว่าเอกสารโหลดได้และมี authorization endpoint คุณจะเห็นข้อความ "การกำหนดค่า SSO ถูกต้องและพร้อมใช้งาน" หรือรายการปัญหาที่พบ ดู แก้ไขปัญหาการลงชื่อเข้าใช้ SSO

    การทดสอบ SSO ที่ล้มเหลวโดยอธิบายว่าไม่สามารถโหลดเอกสาร OIDC discovery ได้
    ปัญหาแต่ละรายการจะบอกคุณว่าต้องแก้ไขอะไร

  2. เปิดใช้งาน SSO

    เปิดสวิตช์ เปิดใช้งาน SSO คุณจะเห็นข้อความ "เปิดใช้งาน SSO แล้ว" และป้ายสถานะจะแสดงเป็น ใช้งานอยู่

  3. ลงชื่อเข้าใช้ในฐานะสมาชิกทดสอบ

    ในหน้าต่างเบราว์เซอร์ส่วนตัว ให้ไปที่หน้าลงชื่อเข้าใช้ของ Clevera พิมพ์อีเมลของสมาชิก คลิก ดำเนินการต่อด้วย ผู้ให้บริการของคุณแล้วลงชื่อเข้าใช้ คุณควรจะเข้าสู่หน้าแรกของ Clevera ในเวิร์กสเปซของคุณ ในฐานะเจ้าของ คุณสามารถลงชื่อเข้าใช้ด้วยรหัสผ่านของคุณได้เสมอ ดังนั้นวิธีนี้จะไม่ทำให้คุณเข้าใช้งานไม่ได้

เรียกใช้การทดสอบ ไม่ได้ตรวจสอบ client secret หรือการลงชื่อเข้าใช้จริง มีเพียงขั้นตอนที่ 3 เท่านั้นที่ทำได้

บังคับใช้ SSO, เปลี่ยนแปลง หรือลบ

สิ่งเหล่านี้ทำงานเหมือนกับ SAML:

  • เปิดสวิตช์ บังคับใช้ SSO เมื่อทุกคนสามารถลงชื่อเข้าใช้ได้แล้ว สมาชิกในโดเมนของคุณจะไม่สามารถใช้รหัสผ่านหรือ Google ได้
  • แก้ไข เพื่อเปลี่ยนการเชื่อมต่อ เว้นว่าง Client secret ไว้เพื่อคงค่าเดิมที่จัดเก็บไว้ เมื่อคุณหมุนเวียน secret ใน IdP ของคุณ ให้วางค่าใหม่แล้วบันทึก
  • ลบการกำหนดค่า SSO (ในเมนูถัดจากป้ายสถานะ) จะเป็นการลบการกำหนดค่า สมาชิกที่สร้างโดย SSO ให้ใช้ ลืมรหัสผ่านใช่หรือไม่? เพื่อตั้งรหัสผ่าน

ดู ตั้งค่า SSO ด้วย SAML สำหรับรายละเอียด OIDC ไม่มีการลงชื่อออกเดี่ยว (single logout): การลงชื่อออกจาก IdP ของคุณจะไม่ทำให้ผู้ใช้ลงชื่อออกจาก Clevera

ทำความเข้าใจ Single Sign-Onสิ่งที่ SSO เปลี่ยนแปลงสำหรับสมาชิกของคุณตั้งค่า SSO ด้วย SAMLทางเลือก SAML 2.0ตั้งค่า SSO ด้วย Microsoft Entra IDหน้าจอของ Entra ทีละขั้นตอนแก้ไขปัญหาการลงชื่อเข้าใช้ SSOข้อความ SSO ทั้งหมดและสิ่งที่ต้องทำ