ข้ามไปยังเนื้อหา
ศูนย์ช่วยเหลือ Clevera

ทำความเข้าใจการลงชื่อเข้าใช้ครั้งเดียว (SSO) ใน Clevera

สิ่งที่การลงชื่อเข้าใช้ครั้งเดียวทำใน Clevera: แผนใดบ้างที่รองรับ, SAML 2.0 เทียบกับ OpenID Connect, ใครสามารถลงชื่อเข้าใช้ด้วยวิธีนี้ได้บ้าง, การบังคับใช้ SSO, และสิ่งที่เกิดขึ้นกับสมาชิกที่มีอยู่และรหัสผ่าน

อัปเดตเมื่อ ใช้เวลาอ่าน 9 นาที

การลงชื่อเข้าใช้ครั้งเดียว (SSO) ช่วยให้ทีมของคุณลงชื่อเข้าใช้ Clevera ด้วยบัญชีบริษัทจาก Okta, Microsoft Entra ID, Google Workspace หรือผู้ให้บริการ SAML 2.0 หรือ OpenID Connect ใดๆ บทความนี้จะอธิบายว่า SSO ทำงานอย่างไรใน Clevera ใครสามารถตั้งค่าได้ และมีการเปลี่ยนแปลงอะไรบ้างสำหรับสมาชิกของคุณ

ก่อนที่คุณจะเริ่ม

  • แผน: SSO เป็นส่วนหนึ่งของแผน Custom สำหรับแผนอื่นๆ เจ้าของจะเห็น ต้องใช้แผน Custom ใน การตั้งค่าทีม → ความปลอดภัย พร้อมลิงก์ ติดต่อเรา ดู เลือกแผน
  • ผู้ที่ตั้งค่า: เฉพาะ เจ้าของ เวิร์กสเปซเท่านั้น ผู้ดูแลระบบไม่สามารถดูหรือเปลี่ยนการตั้งค่า SSO ได้
  • ผู้ให้บริการข้อมูลประจำตัวของคุณ: ผู้ที่สามารถสร้างแอปในผู้ให้บริการข้อมูลประจำตัว (IdP) ของคุณ หรือผู้ที่สามารถส่งค่าต่างๆ ให้คุณได้
  • โดเมนอีเมลของคุณ: โดเมนบริษัททุกแห่งที่พนักงานของคุณใช้ลงชื่อเข้าใช้ เช่น acme.example
การ์ดการลงชื่อเข้าใช้ครั้งเดียวบนเวิร์กสเปซ Pro ที่แสดงว่า SSO ต้องใช้แผน Custom พร้อมลิงก์ติดต่อเรา
ในแผนอื่นๆ เจ้าของจะเห็นสิ่งนี้แทนการตั้งค่า

สิ่งที่ SSO ทำใน Clevera

สิ่งที่เกิดขึ้น
การลงชื่อเข้าใช้ ผู้ใช้พิมพ์อีเมลงานของตนในหน้าลงชื่อเข้าใช้ Clevera และคลิก ดำเนินการต่อด้วย ผู้ให้บริการของคุณ พวกเขาจะลงชื่อเข้าใช้ที่ IdP ของคุณและกลับมายังเวิร์กสเปซของคุณในสถานะที่ลงชื่อเข้าใช้แล้ว
ผู้ใช้ใหม่ เมื่อเปิด สร้างบัญชีเมื่อลงชื่อเข้าใช้ครั้งแรก ผู้ที่ไม่มีบัญชี Clevera จะได้รับบัญชีเมื่อลงชื่อเข้าใช้ครั้งแรก และเข้าร่วมเวิร์กสเปซของคุณด้วยบทบาทเริ่มต้นที่คุณเลือก (เป็นตัวแก้ไขหากบทบาทนั้นต้องการที่นั่งผู้สร้างและไม่มีที่นั่งว่าง)
สมาชิกที่มีอยู่ สมาชิกที่มีโดเมนอีเมลอยู่ในรายการของคุณสามารถลงชื่อเข้าใช้ด้วย SSO ได้ทันที ไม่มีอะไรเปลี่ยนแปลงเกี่ยวกับวิดีโอหรือบทบาทของพวกเขา
บังคับใช้ SSO เมื่อเปิด บังคับใช้ SSO สมาชิกในโดเมนของคุณจะไม่สามารถลงชื่อเข้าใช้ด้วยรหัสผ่านหรือ Google ได้อีกต่อไป และผู้ใช้ใหม่ในโดเมนของคุณจะไม่สามารถสมัครใช้งานด้วยรหัสผ่านได้
เจ้าของ เจ้าของสามารถลงชื่อเข้าใช้ด้วยรหัสผ่านของตนได้เสมอ ดังนั้นคุณจึงไม่สามารถล็อกตัวเองออกจากระบบได้

SSO ทำงานแยกตามเวิร์กสเปซ: การเชื่อมต่อ โดเมน และกฎต่างๆ จะเป็นของเวิร์กสเปซที่คุณตั้งค่าไว้

SAML 2.0 หรือ OpenID Connect

Clevera รองรับทั้งสองแบบ เลือกแบบที่ผู้ดูแลระบบ IdP ของคุณต้องการ ผลลัพธ์สำหรับสมาชิกของคุณจะเหมือนกัน

SAML 2.0 OpenID Connect (OIDC)
สิ่งที่คุณต้องกรอกใน Clevera IdP Entity ID, URL สำหรับลงชื่อเข้าใช้ SSO, ใบรับรอง X.509, URL สำหรับออกจากระบบ (ไม่บังคับ) Client ID, client secret และ URL สำหรับการค้นพบ (หรือกรอก endpoints ด้วยตนเอง)
สิ่งที่คุณต้องให้ IdP ของคุณ Entity ID / Audience URI และ ACS URL (Reply URL) Redirect URI (callback URL)
การออกจากระบบครั้งเดียวจาก IdP รองรับ หากคุณเพิ่ม URL สำหรับออกจากระบบ ไม่รองรับ
คู่มือ ตั้งค่า SSO ด้วย SAML ตั้งค่า SSO ด้วย OpenID Connect

คู่มือผู้ให้บริการ: Okta, Microsoft Entra ID, Google Workspace นอกจากนี้ยังมี OneLogin (SAML หรือ OIDC) และ JumpCloud (SAML เท่านั้น) อยู่ในรายการผู้ให้บริการด้วย ให้ทำตามคู่มือ SAML หรือ OIDC ทั่วไปสำหรับผู้ให้บริการเหล่านั้น

วิธีการตั้งค่า

  1. สร้างแอปใน IdP ของคุณ

    ใช้ค่าที่ Clevera แสดงในขั้นตอนแรกของกล่องโต้ตอบการตั้งค่า โดยแต่ละค่าจะมีปุ่มคัดลอก: Entity ID และ ACS URL สำหรับ SAML หรือ redirect URI สำหรับ OIDC

  2. เชื่อมต่อใน Clevera

    เปิดเมนูเวิร์กสเปซที่ด้านบนของแถบด้านข้าง เลือก การตั้งค่าทีม จากนั้นเลือก ความปลอดภัย ภายใต้ การลงชื่อเข้าใช้ครั้งเดียว ให้คลิก ตั้งค่า SSO และทำตามขั้นตอนทั้งสี่: ผู้ให้บริการ, ผู้ให้บริการข้อมูลประจำตัว, โดเมนและบทบาท, ตรวจสอบ คลิก บันทึกการกำหนดค่า

  3. ทดสอบการทำงาน

    คลิก เรียกใช้การทดสอบ จากนั้นลงชื่อเข้าใช้ด้วยสมาชิกทดสอบในหน้าต่างเบราว์เซอร์ส่วนตัว

  4. เปิดใช้งาน

    เปิดสวิตช์ เปิดใช้งาน SSO เมื่อทุกคนสามารถลงชื่อเข้าใช้ได้แล้ว ให้เปิดสวิตช์ บังคับใช้ SSO หากคุณต้องการให้ SSO เป็นวิธีเดียวในการเข้าสู่ระบบ

การบันทึกจะไม่เปิดใช้งาน SSO โดยอัตโนมัติ ดังนั้นคุณจึงสามารถเตรียมการเชื่อมต่อโดยไม่ส่งผลกระทบต่อใครได้

วิธีที่ผู้ใช้ลงชื่อเข้าใช้หลังจากนั้น

  1. ในหน้าลงชื่อเข้าใช้ Clevera ให้พิมพ์อีเมลงานของตน
  2. Clevera จะจดจำโดเมนและแสดงข้อความ "องค์กรของคุณใช้ Okta" (ชื่อผู้ให้บริการของคุณ) พร้อมปุ่ม ดำเนินการต่อด้วย Okta สำหรับ ผู้ให้บริการ SAML/OIDC แบบกำหนดเอง ระบบจะแสดงข้อความ "องค์กรของคุณใช้ SSO" และปุ่มจะระบุว่า ดำเนินการต่อด้วย SSO เมื่อเปิด บังคับใช้ SSO ระบบจะเพิ่มข้อความ "สมาชิกขององค์กรนี้ลงชื่อเข้าใช้ด้วย Okta"
  3. พวกเขาคลิกปุ่ม ลงชื่อเข้าใช้ที่ IdP ของคุณ และเข้าสู่หน้าแรกของ Clevera ในเวิร์กสเปซของคุณ หากพวกเขากำลังเปิดลิงก์ Clevera เมื่อถูกขอให้ลงชื่อเข้าใช้ พวกเขาจะเข้าสู่หน้านั้นแทน
หน้าลงชื่อเข้าใช้ Clevera ที่เสนอให้ดำเนินการต่อด้วย Okta สำหรับที่อยู่อีเมล acme.example
การพิมพ์อีเมลงานก็เพียงพอแล้วสำหรับ Clevera ในการเสนอผู้ให้บริการของคุณ

พวกเขาจะยังคงลงชื่อเข้าใช้ในเบราว์เซอร์นั้นจนกว่าจะออกจากระบบ การออกจากระบบ Clevera จะไม่ทำให้พวกเขาออกจากระบบ IdP ของคุณ

แอปเดสก์ท็อป: แอปเดสก์ท็อปจะลงชื่อเข้าใช้ผ่านเบราว์เซอร์ของคุณ ในหน้าลงชื่อเข้าใช้ของเบราว์เซอร์ ให้พิมพ์อีเมลงานของคุณและคลิก ดำเนินการต่อด้วย ผู้ให้บริการของคุณ หลังจากที่คุณลงชื่อเข้าใช้ที่ IdP ของคุณแล้ว เบราว์เซอร์จะส่งคุณกลับไปยังแอปเดสก์ท็อป ซึ่งจะดำเนินการลงชื่อเข้าใช้ให้เสร็จสิ้น ดู ลงชื่อเข้าใช้แอปเดสก์ท็อป

ใครสามารถใช้ SSO ได้บ้าง

บุคคล สามารถลงชื่อเข้าใช้ด้วย SSO ได้หรือไม่
สมาชิกของเวิร์กสเปซที่มีโดเมนอีเมลอยู่ในรายการของคุณ ได้
ผู้ใช้ในโดเมนของคุณที่ไม่มีบัญชี Clevera ได้ หากเปิด สร้างบัญชีเมื่อลงชื่อเข้าใช้ครั้งแรก ไว้ มิฉะนั้นให้เชิญพวกเขาก่อน
ผู้ใช้ในโดเมนของคุณที่มีบัญชี Clevera อยู่แล้วแต่ไม่ได้เป็นสมาชิกของเวิร์กสเปซนี้ ไม่ได้ ให้เชิญพวกเขา และเมื่อพวกเขายอมรับแล้ว SSO จะทำงานสำหรับพวกเขา
เจ้าของ ได้ หากพวกเขาบันทึกการกำหนดค่า SSO ด้วยตนเอง พวกเขาสามารถใช้รหัสผ่านของตนได้เสมอ
ใครก็ตามที่มีโดเมนอีเมลไม่อยู่ในรายการของคุณ ไม่ได้ พวกเขายังคงลงชื่อเข้าใช้ด้วยวิธีเดิมต่อไป

แถวที่สามและสี่เป็นมาตรการป้องกัน: เนื่องจากโดเมนอีเมลใน Clevera ไม่ได้รับการยืนยัน SSO จึงไม่สามารถเข้าควบคุมบัญชีที่ไม่ได้อยู่ในเวิร์กสเปซของคุณ และไม่สามารถลงชื่อเข้าใช้เจ้าของผ่านการเชื่อมต่อที่ผู้อื่นบันทึกไว้ได้

ที่นั่งผู้สร้าง

บุคคลที่ถูกสร้างโดย SSO จะได้รับ บทบาทเริ่มต้นสำหรับสมาชิก SSO ใหม่ ที่คุณเลือก หากบทบาทนั้นคือ ผู้สร้างเนื้อหา และที่นั่งผู้สร้างทั้งหมดในแผนของคุณถูกใช้งานเต็มแล้ว พวกเขาจะเข้าร่วมในฐานะ ตัวแก้ไข แทน ซึ่งจะไม่ใช้ที่นั่ง ให้เพิ่มที่นั่งและเปลี่ยนบทบาทของพวกเขาใน การตั้งค่าทีม → สมาชิก ดู ทำความเข้าใจเวิร์กสเปซ บทบาท และที่นั่งผู้สร้าง

สิ่งที่เกิดขึ้นกับรหัสผ่าน

  • สมาชิกที่มีอยู่ จะยังคงใช้รหัสผ่านเดิมได้ ในขณะที่ บังคับใช้ SSO ปิดอยู่ พวกเขาสามารถใช้วิธีใดก็ได้ เมื่อเปิดใช้งาน สมาชิกที่ลงชื่อเข้าใช้ด้วยรหัสผ่านที่ถูกต้องจะเห็นข้อความ "องค์กรของคุณต้องการการลงชื่อเข้าใช้ครั้งเดียว โปรดใช้ปุ่ม SSO เพื่อดำเนินการต่อ"
  • ผู้ใช้ใหม่ในโดเมนของคุณ จะไม่สามารถสร้างบัญชีด้วยรหัสผ่านได้ในขณะที่ บังคับใช้ SSO เปิดอยู่ แบบฟอร์มการสมัครจะตอบกลับว่า "องค์กรของคุณลงชื่อเข้าใช้ด้วยการลงชื่อเข้าใช้ครั้งเดียว (SSO) ไปที่หน้าลงชื่อเข้าใช้ กรอกอีเมลนี้ และเลือกดำเนินการต่อด้วย SSO" บัญชีของพวกเขาจะถูกสร้างขึ้นเมื่อลงชื่อเข้าใช้ด้วย SSO ครั้งแรก (เมื่อเปิด สร้างบัญชีเมื่อลงชื่อเข้าใช้ครั้งแรก ไว้ มิฉะนั้นให้เชิญพวกเขา)
  • บัญชีที่สร้างโดย SSO จะไม่มีรหัสผ่านที่ผู้ใช้ทราบ หากมีการปิดใช้งานหรือลบ SSO ในภายหลัง พวกเขาจะต้องใช้ ลืมรหัสผ่านใช่หรือไม่? ในหน้าลงชื่อเข้าใช้เพื่อตั้งรหัสผ่านใหม่
  • การลงชื่อเข้าใช้ด้วย Google จะถูกบล็อกสำหรับสมาชิกในโดเมนของคุณในขณะที่ บังคับใช้ SSO เปิดอยู่

ลบการเข้าถึงของบุคคลอื่น

Clevera ไม่ซิงค์ผู้ใช้จาก IdP ของคุณ การยกเลิกการกำหนดสิทธิ์บุคคลใน IdP ของคุณจะหยุดการลงชื่อเข้าใช้ SSO ใหม่ แต่เบราว์เซอร์ที่ลงชื่อเข้าใช้ไว้แล้วจะยังคงลงชื่อเข้าใช้อยู่ เพื่อตัดการเข้าถึงทันที ให้ลบพวกเขาออกใน การตั้งค่าทีม → สมาชิก ด้วย

ตั้งค่า SSO ด้วย SAMLทุกฟิลด์และค่าสำหรับ SAML 2.0ตั้งค่า SSO ด้วย OpenID ConnectClient ID, secret, URL สำหรับการค้นพบ และ redirect URIแก้ไขปัญหาการลงชื่อเข้าใช้ SSOข้อความ SSO ทุกข้อความและสิ่งที่ต้องทำทำความเข้าใจเวิร์กสเปซ บทบาท และที่นั่งผู้สร้างเลือกบทบาทเริ่มต้นที่เหมาะสม