OpenID Connect ile SSO kurulumu

Ekibinizin şirket hesaplarıyla oturum açabilmesi için Clevera'yı OpenID Connect (OIDC) ile kimlik sağlayıcınıza (IdP) bağlayın. Bu makale, IdP'nizde oluşturmanız gereken uygulamayı, Clevera'nın kurulum iletişim kutusundaki her alanı, Clevera'nın okuduğu talepleri ve bunun nasıl test edilip açılacağını kapsar.

SSO'nun üyeleriniz için neleri değiştirdiği hakkında bilgi almak için önce Tek oturum açmayı anlama bölümünü okuyun. Sağlayıcıya özel ekranlar Okta, Microsoft Entra ID ve Google Workspace kılavuzlarında yer almaktadır.

Başlamadan önce#

• Özel plan kapsamındaki bir çalışma alanının Sahip'isiniz.
• IdP'nizde bir OIDC (web) uygulaması oluşturabilirsiniz veya bunu yapabilecek biriyle çalışıyorsunuz.
• Ekibinizin kullandığı tüm e-posta alan adlarını biliyorsunuz.

IdP'nizde uygulamayı oluşturun#

Bir web uygulaması (istemci gizli anahtarına sahip gizli bir istemci) oluşturun ve şu şekilde ayarlayın:

Yönlendirme URI'sini yazmanıza gerek yoktur. Clevera'nın kurulum iletişim kutusunda, ilk adımda OpenID Connect'i seçin: "Kimlik sağlayıcınızı kuran kişi için" yazan gri kutu, kopyalama düğmesiyle birlikte Yönlendirme URI'si (geri çağırma URL'si) bilgisini gösterir.

Uygulama oluşturulduğunda, istemci kimliğini (client ID), istemci gizli anahtarını (client secret) ve keşif URL'sini (discovery URL) (OpenID yapılandırma URL'si veya iyi bilinen URL olarak da adlandırılır, /.well-known/openid-configuration ile biter) kopyalayın.

Clevera'nın okuduğu talepler#

Clevera, kimlik belirtecini ve IdP'nin bir UserInfo uç noktası olduğunda, bunun üzerine UserInfo yanıtını okur.

Clevera hiçbir grup veya rol talebini okumaz: SSO tarafından oluşturulan herkes, Clevera'da seçtiğiniz varsayılan rolü alır.

IdP'nizi Clevera'da bağlayın#

1. Güvenlik sekmesini açın#

   Kenar çubuğunun üst kısmındaki çalışma alanı menüsünü açın, Ekip ayarları'nı ve ardından Güvenlik'i seçin. Tek oturum açma altında SSO'yu kur'a tıklayın.

2. Sağlayıcı#

   Kimlik sağlayıcınızı seçin ve Protokol'ü OpenID Connect olarak ayarlayın. Henüz yapmadıysanız Yönlendirme URI'sini (geri çağırma URL'si) IdP'nize kopyalayın, ardından Devam et'e tıklayın. (JumpCloud, Clevera'da yalnızca SAML'yi destekler.)

   Sağlayıcının adı, üyelerin oturum açma düğmesinde gördüğü isimdir; örneğin Okta ile devam et. Özel SAML/OIDC Sağlayıcısı ile düğme SSO ile devam et şeklinde görünür.

3. Kimlik sağlayıcı#

   Aşağıdaki alanları doldurun. Devam et'e tıklayın.

4. Alan adları ve roller#

   İzin verilen e-posta alan adları altına her e-posta alan adını ekleyin, İlk oturum açmada hesap oluştur seçeneğini belirleyin ve Yeni SSO üyeleri için varsayılan rol'ü seçin. Bunlar SAML ile aynı şekilde çalışır: bkz. Alan adları ve roller.

5. Gözden geçir#

   Özeti kontrol edin ve Yapılandırmayı kaydet'e tıklayın. "SSO yapılandırması kaydedildi. Bir test çalıştırın, ardından açın." mesajını görürsünüz. Kaydetmek SSO'yu açmaz.

Kimlik sağlayıcı alanları#

Üç uç nokta alanı yalnızca Keşif URL'si boş olduğunda görünür.

Keşif URL'si neden daha iyidir#

Bir keşif URL'si ile Clevera, uç noktaları kendisi okur ve her oturum açma işlemini IdP'nizin yayınlanan imzalama anahtarları ve veren (issuer) bilgisine göre kontrol eder. Uç noktaları yalnızca IdP'nizde keşif belgesi yoksa manuel olarak girin.

• Keşif URL'si, IdP'nin veren (issuer) adresi artı /.well-known/openid-configuration olmalıdır ve içindeki issuer, IdP'nizin verdiği belirteçlerle eşleşmelidir. Veren adresi yer tutucu içeren (Microsoft'un common uç noktası gibi) çok kiracılı URL'ler çalışmaz; kendi kiracınızın URL'sini kullanın.
• Her URL, Clevera'nın sunucularının ulaşabileceği herkese açık bir https:// (veya http://) adresi olmalıdır. Yalnızca VPN üzerinden erişilebilen bir IdP gibi özel bir ağdaki adresler reddedilir. Herhangi bir bağlantı noktası uygundur.
• Clevera, keşif belgesini ve imzalama anahtarlarını bir saate kadar saklar. IdP'niz bu süre içinde imzalama anahtarlarını değiştirirse, Clevera bir oturum açma işlemini reddetmeden önce yeni anahtarları bir kez getirir, böylece anahtar değişimi kullanıcıların erişimini engellemez.

Bağlantıyı test edin#

1. Kontrolü çalıştırın#

   Güvenlik sekmesinde Testi çalıştır'a tıklayın. İstemci kimliğinin ve gizli anahtarın kaydedildiğini ve bir keşif URL'si ile belgenin yüklendiğini ve bir yetkilendirme uç noktası içerdiğini kontrol eder. "SSO yapılandırması geçerli ve kullanıma hazır." mesajını veya bir sorun listesini görürsünüz. Bkz. SSO oturum açma sorunlarını düzeltme.

   

2. SSO'yu açın#

   SSO'yu etkinleştir'i açın. "SSO açıldı." mesajını görürsünüz ve rozet Etkin olarak görünür.

3. Test üyesi olarak oturum açın#

   Özel bir tarayıcı penceresinde Clevera oturum açma sayfasına gidin, bir üyenin e-posta adresini yazın, sağlayıcınızla Devam et'e tıklayın ve oturum açın. Çalışma alanınızdaki Clevera ana sayfalarına ulaşmalısınız. Sahip olarak her zaman parolanızla oturum açabilirsiniz, bu yüzden bu sizi dışarıda bırakmaz.

Testi çalıştır istemci gizli anahtarını veya gerçek bir oturum açma işlemini kontrol etmez; bunu yalnızca 3. adım yapar.

SSO'yu zorunlu kılma, değiştirme veya kaldırma#

Bunlar SAML ile aynı şekilde çalışır:

• Herkes oturum açabildiğinde SSO'yu zorunlu kıl'ı açın. Alan adlarınızdaki üyeler artık parola veya Google kullanamaz.
• Düzenle bağlantıyı değiştirir. Kayıtlı olanı korumak için İstemci gizli anahtarı'nı boş bırakın. Gizli anahtarı IdP'nizde değiştirdiğinizde, yenisini yapıştırın ve kaydedin.
• SSO yapılandırmasını kaldır (durum rozetinin yanındaki menüde) bunu siler. SSO tarafından oluşturulan üyeler, parola belirlemek için Parolanızı mı unuttunuz? seçeneğini kullanır.

Ayrıntılar için SAML ile SSO kurulumu bölümüne bakın. OIDC'de tekli oturum kapatma yoktur: IdP'nizden çıkış yapmak, kişileri Clevera'dan çıkarmaz.

İlgili#