SAML 2.0 ile SSO kurulumu
Clevera'yı SAML 2.0 ile kimlik sağlayıcınıza bağlayın: IdP'nize vermeniz gereken Varlık Kimliği (Entity ID) ve ACS URL'si, imzalama ve Name ID ayarları, Clevera'nın okuduğu öznitelikler, her kurulum alanı, test etme ve SSO'yu açma.
Ekibinizin şirket hesaplarıyla giriş yapabilmesi için Clevera'yı SAML 2.0 ile kimlik sağlayıcınıza (IdP) bağlayın. Bu makale, Clevera'nın kurulum iletişim kutusundaki her alanı, IdP'nizin ihtiyaç duyduğu kesin değerleri ve SSO'yu nasıl test edip açacağınızı listeler.
SSO'nun üyeleriniz için neleri değiştirdiği hakkında bilgi almak için önce Tek oturum açmayı anlama bölümünü okuyun. Adım adım IdP ekranları için Okta, Microsoft Entra ID ve Google Workspace kılavuzlarına bakın.
Başlamadan önce
- Bir Özel plan üzerindeki çalışma alanının Sahip'isiniz.
- IdP'nizde bir SAML uygulaması oluşturabiliyorsunuz veya bunu yapabilecek biriyle çalışıyorsunuz.
- Ekibinizin kullandığı
acme.exampleveeu.acme.examplegibi tüm e-posta alan adlarını biliyorsunuz.
IdP'nize vermeniz gereken değerler
Clevera bunları kurulum iletişim kutusunda "Kimlik sağlayıcınızı kuran kişi için" başlığı altında, her biri için bir kopyalama düğmesiyle gösterir. Bunları oradan kopyalayın: Varlık Kimliği (Entity ID), çalışma alanınızın kendi kimliğini içerir.
| Clevera etiketi | IdP'nizdeki karşılığı | Değer |
|---|---|---|
| Varlık Kimliği / Audience URI | Audience URI, SP Entity ID, Identifier | https://app.clevera.ai/sso/metadata/ ve ardından çalışma alanı kimliğiniz |
| ACS URL (Yanıt URL'si) | Assertion Consumer Service URL, Single sign-on URL, Reply URL | https://app.clevera.ai/sso/saml/callback |
| SP meta veri URL'si | Service provider metadata | Varlık Kimliği ile aynı adres. İçe aktarabilen IdP'ler için Clevera'nın SAML meta verilerini XML olarak sunar. |
Uygulamayı IdP'nizde şu şekilde kurun:
| IdP ayarı | Şuna ayarlayın |
|---|---|
| Name ID formatı | EmailAddress (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress) |
| Name ID değeri | Kişinin iş e-postası |
| İmzalama | Hem SAML yanıtını hem de doğrulamayı (assertion) imzalayın. SHA-256 önerilir. |
| Doğrulama şifreleme | Kapalı. Clevera şifrelenmiş doğrulamaları kabul etmez. |
| İmzalı kimlik doğrulama istekleri | Gerekli değil. Clevera imzasız istekler gönderir. |
| ACS URL için bağlama | HTTP POST |
| Varsayılan RelayState, IdP tarafından başlatılan giriş | Boş bırakın. Giriş işlemi Clevera giriş sayfasında başlamalıdır. |
Clevera'nın okuduğu öznitelikler
E-posta, Name ID'den gelir. Name ID bir e-posta adresi değilse, Clevera şu özniteliklerden ilkini arar:
| Amaç | Clevera'nın kabul ettiği öznitelik adları (sırasıyla) |
|---|---|
| E-posta | email, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress, User.Email |
| Ad | firstName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname, User.FirstName, first_name |
| Soyad | lastName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname, User.LastName, last_name |
| Görünen ad (ad veya soyad olmadığında kullanılır) | displayName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name, User.Name, name |
İsimler yalnızca Clevera yeni bir hesap oluşturduğunda kullanılır. Hiçbir isim özniteliği yoksa, hesap e-postanın @ işaretinden önceki kısmıyla adlandırılır. Clevera hiçbir grup veya rol özniteliğini okumaz: SSO ile oluşturulan herkes aşağıda seçtiğiniz varsayılan rolü alır.
IdP'nizi Clevera'ya bağlayın
Güvenlik sekmesini açın
Kenar çubuğunun üst kısmındaki çalışma alanı menüsünü açın, Ekip ayarları'nı ve ardından Güvenlik'i seçin. Tek oturum açma altında SSO'yu ayarla'ya tıklayın. Tek oturum açmayı yapılandır iletişim kutusu açılır.
Sağlayıcı
Kimlik sağlayıcınızı (Okta, Microsoft Entra ID (Azure AD), OneLogin, Google Workspace, JumpCloud veya Özel SAML/OIDC Sağlayıcı) seçin ve Protokol'ü SAML 2.0 olarak ayarlayın. Gri kutudaki değerleri IdP'nize kopyalayın ve ardından Devam et'e tıklayın.
Sağlayıcının adı, üyelerin giriş düğmesinde gördüğü isimdir; örneğin Okta ile devam et. Özel SAML/OIDC Sağlayıcı ile düğme SSO ile devam et şeklinde görünür.
Kimlik sağlayıcı
IdP'nizin SAML kurulum sayfasındaki değerleri yapıştırın. Alan referansına bakın. Devam et'e tıklayın.
Alan adları ve roller
Her e-posta alan adını İzin verilen e-posta alan adları altına yazın ve Ekle'ye tıklayın (veya Enter tuşuna basın). Ardından İlk girişte hesap oluştur seçeneğini belirleyip Yeni SSO üyeleri için varsayılan rol'ü seçin. Alan adları ve roller bölümüne bakın.
Gözden geçir
Özeti kontrol edin ve Yapılandırmayı kaydet'e tıklayın. "SSO yapılandırması kaydedildi. Bir test çalıştırın, ardından açın." mesajını görürsünüz. Kaydetmek SSO'yu açmaz.
Kimlik sağlayıcı alanları
| Alan | Gerekli | Ne yapıştırılmalı | IdP'nizdeki adı |
|---|---|---|---|
| IdP Varlık Kimliği | Evet | IdP'nizin gösterdiği şekliyle IdP vereni | Identity Provider Issuer, Entity ID, Microsoft Entra Identifier |
| SSO giriş URL'si | Evet | Clevera'nın kişileri giriş için yönlendirdiği URL (HTTP Redirect bağlaması) | Identity Provider Single Sign-On URL, Login URL, SSO URL |
| Çıkış URL'si | Hayır | IdP'nizin tekli çıkış URL'si. "Sağlayıcınız tekli çıkış gerektirmiyorsa boş bırakın." | Single Logout URL, Logout URL |
| X.509 sertifikası | Evet | IdP'nizin imzalama sertifikası | X.509 Certificate, Certificate (Base64) |
Sertifika
- Sertifikanın tamamını yapıştırın.
-----BEGIN CERTIFICATE-----ve-----END CERTIFICATE-----satırları isteğe bağlıdır; boşluklar ve satır sonları yoksayılır. - İkili bir
.cerdosyası değil, Base64 (PEM) metnini kullanın. Bir dosya indirdiyseniz, onu bir metin düzenleyicide açın ve içeriğini kopyalayın. - Clevera bunu şifreli olarak saklar ve bir daha asla göstermez. Bağlantıyı daha sonra düzenlediğinizde alan "Bir sertifika kayıtlı. Korumak için boş bırakın." der.
- Testi çalıştır, sertifikanın okunamadığını veya süresinin dolduğunu size bildirir.
Alan adları ve roller
| Ayar | Ne işe yarar | Varsayılan |
|---|---|---|
| İzin verilen e-posta alan adları | Sadece bu alan adlarına sahip kişiler bağlantıyı kullanabilir. Alan adları ayrıca giriş sayfasının ne zaman SSO sunacağını belirler. En az bir tane gereklidir. | Yok |
| İlk girişte hesap oluştur | "Birisi SSO ile ilk kez giriş yaptığında bir Clevera hesabı oluşturulur." Yeni hesap bu çalışma alanına katılır. | Açık |
| Yeni SSO üyeleri için varsayılan rol | Yeni hesapların aldığı rol: Düzenleyici, İçerik Oluşturucu veya Yönetici. Yönetici sadece İlk girişte hesap oluştur kapalıyken sunulur: "Otomatik oluşturulan hesaplar asla Yönetici olamaz." | Düzenleyici |
Alan adları hakkında:
- Bir alan adı tam olarak eşleşmelidir.
acme.example,eu.acme.example'i kapsamaz; her birini ekleyin. - E-posta değil, sadece alan adını (
acme.example) yazın. Başındaki@kaldırılır. - Bir alan adı yalnızca bir Clevera çalışma alanına ait olabilir. Başka bir çalışma alanı zaten kullanıyorsa, kaydederken "acme.example alan adı zaten başka bir ekibe atanmış." hatasını görürsünüz. Eğer o alan adı size aitse destek ekibiyle iletişime geçin.
İçerik Oluşturucular bir oluşturucu koltuğu kullanır; Düzenleyiciler kullanmaz. Varsayılan rol İçerik Oluşturucu ise ve tüm oluşturucu koltukları doluysa, SSO ile katılan biri bunun yerine Düzenleyici olur, böylece SSO sizi asla koltuk sınırınızın üzerine çıkarmaz. Hazır olduğunuzda bir koltuk ekleyin ve Ekip ayarları → Üyeler kısmından rollerini değiştirin. Çalışma alanlarını, rolleri ve oluşturucu koltuklarını anlama bölümüne bakın.
Bağlantıyı test edin
Kontrolü çalıştırın
Güvenlik sekmesine geri dönün ve Bağlantıyı test et'in yanındaki Testi çalıştır'a tıklayın. Kaydedilen ayarları kontrol eder: Varlık Kimliği, giriş URL'si ve sertifikanın mevcut olduğunu, URL'nin geçerli olduğunu ve sertifikanın okunabilir olup süresinin dolmadığını doğrular.
"SSO yapılandırması geçerli ve kullanıma hazır." veya bir listeyle birlikte "SSO yapılandırmasında çözülmesi gereken sorunlar var." mesajını görürsünüz. SSO giriş sorunlarını giderme bölümüne bakın.
SSO'yu açmadan önce testi çalıştırın. SSO'yu açın
SSO'yu etkinleştir'i açın. "SSO açıldı." mesajını görürsünüz. Durum rozeti Kapalı'dan Etkin'e değişir.
Test üyesi olarak giriş yapın
Gizli bir tarayıcı penceresi aç, Clevera giriş sayfasına git ve bir üyenin (veya hesaplar ilk girişte oluşturuluyorsa yeni bir kişinin) e-posta adresini yaz. Continue with sağlayıcına tıkla ve IdP'nde oturum aç. O kişinin çalışma alanındaki Clevera ana sayfasına yönlendirilmelisin.
Kendi oturumun etkilenmez ve sahip olarak her zaman parolanla giriş yapabilirsin.
Run test IdP'n ile iletişim kurmaz, bu nedenle 3. adımdaki gerçek giriş tek tam testtir. Bunu Clevera giriş sayfasından başlat: IdP'nin kontrol panelinden başlatılan bir test reddedilir.
SSO'yu zorunlu kıl
Herkes giriş yapabildiğinde, Require SSO ("Eşleşen üyeler SSO ile giriş yapmalıdır.") seçeneğini aç. "SSO is now required." ifadesini görürsün ve rozet Active · enforced olarak görünür.
O andan itibaren, alan adlarındaki üyeler parola veya Google kullanamaz ve alan adlarındaki yeni biri parola ile Clevera hesabı oluşturamaz: hesaplarını SSO ile giriş yaparak alırlar. Bunu yalnızca Enable SSO açıkken açabilirsin ve Enable SSO seçeneğini kapatmak bunu da kapatır.
Tekli oturum kapatma
Logout URL alanını doldurursan, Clevera'nın meta verileri bir oturum kapatma adresi de listeler: https://app.clevera.ai/sso/saml/slo (HTTP Redirect bağlaması). IdP'n oraya bir oturum kapatma isteği gönderdiğinde, Clevera kişinin oturumunu kapatır ve onu IdP'ne geri gönderir.
Clevera'da oturumu kapatmak, kişilerin IdP'nizdeki oturumunu kapatmaz.
Bağlantıyı değiştir veya kaldır
- Değiştir: Provider yanındaki Düzenle seçeneğine tıkla. İletişim kutusu kayıtlı değerlerinle açılır; sertifikayı korumak için boş bırak.
- Bir süreliğine kapat: Enable SSO seçeneğini kapat. Ayarlar kayıtlı kalır.
- Kaldır: durum rozetinin yanındaki menüyü aç ve Remove SSO configuration, ardından Remove SSO seçeneğini seç. "SSO ile giriş yapan üyelerin giriş yapmaya devam edebilmeleri için parolalarını sıfırlamaları gerekecektir."
Provider satırı protokolü ve kaç alan adın olduğunu gösterir. İnsanlar SSO kullanmaya başladığında, bölümün altında "12 SSO sign-ins · last Oct 12" gibi bir satır görünür.