Thiết lập SSO với Google Workspace

Thiết lập đăng nhập một lần giữa Google Workspace và Clevera để nhóm của bạn đăng nhập bằng tài khoản công việc Google của họ. Bạn có thể kết nối bằng OpenID Connect (OIDC) thông qua ứng dụng khách Google Cloud OAuth, hoặc bằng SAML 2.0 thông qua ứng dụng SAML tùy chỉnh trong bảng điều khiển Google Admin.

Các bảng điều khiển của Google thường xuyên thay đổi. Nếu một nhãn bên dưới không khớp, hãy tìm cài đặt có ý nghĩa tương tự và sử dụng các hướng dẫn chung để xem danh sách đầy đủ các giá trị: SAML, OIDC.

Trước khi bắt đầu#

• Bạn là Chủ sở hữu của một không gian làm việc Clevera trên Gói tùy chỉnh.
• Đối với OIDC: bạn có thể tạo các ứng dụng khách OAuth trong một dự án Google Cloud thuộc tổ chức Google Workspace của bạn.
• Đối với SAML: bạn là quản trị viên cấp cao của Google Workspace.
• Bạn biết các tên miền Google Workspace của mình, chẳng hạn như acme.example, bao gồm cả các tên miền phụ.

Trước tiên, hãy mở hộp thoại thiết lập Clevera: mở menu không gian làm việc ở đầu thanh bên, chọn Cài đặt nhóm, sau đó chọn Bảo mật và nhấp vào Thiết lập SSO. Chọn Google Workspace làm Nhà cung cấp danh tính.

Kết nối với OpenID Connect#

1. Đặt ứng dụng thành nội bộ#

   Trong bảng điều khiển Google Cloud, chọn một dự án trong tổ chức của bạn và mở Nền tảng xác thực Google (trong các bảng điều khiển cũ hơn là API & Dịch vụ → Màn hình đồng ý OAuth). Đặt Đối tượng khán giả (loại người dùng) thành Nội bộ, để chỉ các tài khoản trong Google Workspace của bạn mới có thể đăng nhập. Điền tên ứng dụng (Clevera) và email hỗ trợ.

2. Tạo ứng dụng khách OAuth#

   Trong hộp thoại thiết lập của Clevera, đặt Giao thức thành OpenID Connect và sao chép URI chuyển hướng (URL callback) từ hộp màu xám. Sau đó, trong Google, hãy mở Ứng dụng khách (hoặc API & Dịch vụ → Thông tin xác thực) và tạo một ID ứng dụng khách OAuth:

   Trường Google	Giá trị
   Loại ứng dụng	Ứng dụng web
   Tên	Clevera
   URI chuyển hướng được ủy quyền	URI chuyển hướng (URL callback): https://app.clevera.ai/sso/oidc/callback

   Nhấp vào Tạo và sao chép ID ứng dụng khách và Mã bí mật ứng dụng khách.

3. Điền thông tin vào Clevera#

   Trong Clevera, nhấp vào Tiếp tục và nhập:

   Trường Clevera	Giá trị
   ID ứng dụng khách	ID ứng dụng khách của Google
   Mã bí mật ứng dụng khách	Mã bí mật ứng dụng khách của Google
   URL khám phá	https://accounts.google.com/.well-known/openid-configuration

Google gửi các yêu cầu email và name cho các phạm vi openid email profile mà Clevera yêu cầu, vì vậy không cần phải ánh xạ gì thêm.

Kết nối với SAML 2.0#

1. Thêm ứng dụng SAML tùy chỉnh#

   Trong bảng điều khiển Google Admin, đi tới Ứng dụng → Ứng dụng web và di động, nhấp vào Thêm ứng dụng và chọn Thêm ứng dụng SAML tùy chỉnh. Đặt tên là Clevera và nhấp vào Tiếp tục.

2. Sao chép các giá trị của Google vào Clevera#

   Trên phần Chi tiết nhà cung cấp danh tính Google, hãy sao chép các giá trị vào Clevera (trước tiên hãy đặt Giao thức thành SAML 2.0 và nhấp vào Tiếp tục):

   Giá trị Google	Trường Clevera
   ID thực thể	ID thực thể IdP
   URL SSO	URL đăng nhập SSO
   Chứng chỉ	Chứng chỉ X.509

   Nhấp vào Tiếp tục trong Google.

3. Nhập các giá trị của Clevera#

   Trên phần Chi tiết nhà cung cấp dịch vụ:

   Trường Google	Giá trị
   URL ACS	https://app.clevera.ai/sso/saml/callback
   ID thực thể	ID thực thể / URI đối tượng từ hộp thoại Clevera
   URL bắt đầu	Để trống
   Phản hồi đã ký	Đã chọn
   Định dạng ID tên	EMAIL
   ID tên	Thông tin cơ bản → Email chính

   Nhấp vào Tiếp tục.

4. Ánh xạ tên#

   Trên phần Ánh xạ thuộc tính, hãy ánh xạ Tên thành firstName và Họ thành lastName. Nhấp vào Hoàn tất.

5. Bật ứng dụng#

   Mở phần Quyền truy cập của người dùng của ứng dụng, chọn BẬT cho mọi người (hoặc cho các đơn vị tổ chức hoặc nhóm cần sử dụng Clevera) và nhấp vào Lưu. Google cho biết quá trình này có thể mất một lúc để áp dụng.

Hoàn tất trong Clevera#

1. Trên phần Tên miền & vai trò, hãy thêm mọi tên miền Google Workspace mà nhân viên của bạn sử dụng. Chọn Tạo tài khoản khi đăng nhập lần đầu và Vai trò mặc định cho thành viên SSO mới.
2. Trên phần Xem lại, nhấp vào Lưu cấu hình.
3. Nhấp vào Chạy thử nghiệm, bật Bật SSO, và đăng nhập với tư cách người dùng thử nghiệm trong cửa sổ ẩn danh, bắt đầu từ trang đăng nhập Clevera.
4. Khi mọi thứ hoạt động, hãy bật Yêu cầu SSO nếu bạn muốn SSO là cách duy nhất để đăng nhập. Thao tác này cũng sẽ tắt Tiếp tục với Google cho các thành viên đó.

Các thành viên nhập email công việc của họ trên trang đăng nhập Clevera và nhấp vào Tiếp tục với Google Workspace.

Khắc phục sự cố#

Xem thêm thông báo: Khắc phục sự cố đăng nhập SSO.

Liên quan#