Thiết lập SSO với Okta

Thiết lập đăng nhập một lần giữa Okta và Clevera để nhóm của bạn đăng nhập bằng tài khoản Okta của họ. Bạn có thể kết nối bằng SAML 2.0 hoặc OpenID Connect (OIDC); hướng dẫn này sẽ đi qua cả hai phía Okta và các trường tương ứng trong Clevera.

Bảng điều khiển quản trị của Okta thay đổi theo thời gian. Nếu một nhãn bên dưới không khớp với những gì bạn thấy, hãy tìm cài đặt có ý nghĩa tương tự và sử dụng các hướng dẫn chung để có danh sách đầy đủ các giá trị: SAML, OIDC.

Trước khi bắt đầu#

• Bạn là Chủ sở hữu của một không gian làm việc Clevera trên Gói tùy chỉnh.
• Bạn là quản trị viên Okta có quyền tạo và chỉ định các tích hợp ứng dụng.
• Bạn biết các tên miền email mà người dùng của bạn sử dụng trong Okta, chẳng hạn như acme.example.

Trước tiên, hãy mở hộp thoại thiết lập Clevera để bạn có thể sao chép các giá trị từ đó: mở menu không gian làm việc ở đầu thanh bên, chọn Cài đặt nhóm, sau đó chọn Bảo mật và nhấp vào Thiết lập SSO. Chọn Okta làm Nhà cung cấp danh tính.

Kết nối với SAML 2.0#

1. Tạo ứng dụng trong Okta#

   Trong Bảng điều khiển quản trị Okta, đi tới Applications → Applications và nhấp vào Create App Integration. Chọn SAML 2.0 và nhấp vào Tiếp theo. Đặt tên là Clevera và nhấp vào Tiếp theo.

2. Nhập các giá trị của Clevera#

   Trong phần SAML Settings, hãy điền:

   Trường Okta	Giá trị từ Clevera
   Single sign-on URL	ACS URL (Reply URL): https://app.clevera.ai/sso/saml/callback. Giữ nguyên tích chọn Use this for Recipient URL and Destination URL.
   Audience URI (SP Entity ID)	Entity ID / Audience URI (sao chép từ hộp thoại Clevera; nó kết thúc bằng ID không gian làm việc của bạn)
   Default RelayState	Để trống
   Name ID format	EmailAddress
   Application username	Email

3. Kiểm tra chữ ký#

   Nhấp vào Show Advanced Settings và kiểm tra xem Response và Assertion Signature đều được đặt là Signed, Signature Algorithm là RSA-SHA256, và Assertion Encryption là Unencrypted. Clevera yêu cầu cả phản hồi và xác nhận phải được ký.

4. Thêm các thuộc tính tên#

   Trong phần Attribute Statements, thêm firstName với giá trị user.firstName và lastName với giá trị user.lastName. Clevera sử dụng chúng để đặt tên cho các tài khoản mới. Nhấp vào Tiếp theo, trả lời câu hỏi phản hồi của Okta rằng đây là ứng dụng nội bộ, rồi nhấp vào Hoàn tất.

5. Sao chép các giá trị của Okta vào Clevera#

   Trên tab Sign On của ứng dụng, hãy mở chi tiết thiết lập SAML (View SAML setup instructions, hoặc More details trong các bảng điều khiển mới hơn). Trong Clevera, đặt Protocol thành SAML 2.0, nhấp vào Tiếp tục và dán:

   Giá trị Okta	Trường Clevera
   Identity Provider Issuer (hoặc Issuer)	IdP Entity ID
   Identity Provider Single Sign-On URL (hoặc Sign on URL)	SSO sign-in URL
   X.509 Certificate (hoặc Signing Certificate)	X.509 certificate

   Để trống Logout URL trừ khi bạn sử dụng tính năng đăng xuất một lần của Okta.

   

6. Chỉ định người dùng#

   Trên tab Assignments của ứng dụng, nhấp vào Assign và thêm những người hoặc nhóm sẽ sử dụng Clevera. Những người không được chỉ định sẽ không thể đăng nhập thông qua Okta.

Sau đó hoàn tất trong Clevera: tên miền và vai trò.

Kết nối với OpenID Connect#

1. Tạo ứng dụng trong Okta#

   Đi tới Applications → Applications → Create App Integration. Chọn OIDC - OpenID Connect, sau đó chọn Web Application và nhấp vào Tiếp theo.

2. Thiết lập URI chuyển hướng#

   Trong hộp thoại thiết lập của Clevera, đặt Protocol thành OpenID Connect và sao chép Redirect URI (callback URL) từ ô màu xám. Sau đó điền vào Okta:

   Trường Okta	Giá trị
   App integration name	Clevera
   Grant type	Authorization Code
   Sign-in redirect URIs	Redirect URI (callback URL): https://app.clevera.ai/sso/oidc/callback
   Sign-out redirect URIs	Xóa ví dụ; để trống
   Controlled access	Chọn người có thể sử dụng ứng dụng, hoặc Skip group assignment for now để chỉ định sau

   Nhấp vào Lưu.

3. Sao chép thông tin xác thực#

   Trên tab General của ứng dụng, trong phần Client Credentials, sao chép Client ID và Client secret. Giữ nguyên Client authentication là Client secret.

4. Điền vào Clevera#

   Trong Clevera, nhấp vào Tiếp tục và nhập:

   Trường Clevera	Giá trị
   Client ID	Client ID của Okta
   Client secret	Client secret của Okta
   Discovery URL	https:// tên miền Okta của bạn /.well-known/openid-configuration, ví dụ https://acme.okta.com/.well-known/openid-configuration

   Nếu bạn sử dụng máy chủ ủy quyền tùy chỉnh, hãy sử dụng URL khám phá riêng của nó, ví dụ https://acme.okta.com/oauth2/default/.well-known/openid-configuration.

   

5. Chỉ định người dùng#

   Trên tab Assignments, chỉ định những người hoặc nhóm sẽ sử dụng Clevera.

Hoàn tất trong Clevera#

1. Trên phần Domains & roles, thêm mọi tên miền email mà người dùng Okta của bạn có, chọn Create accounts on first sign-in và Default role for new SSO members.
2. Trên phần Xem lại, nhấp vào Save configuration.
3. Nhấp vào Run test, bật Enable SSO, và đăng nhập với tư cách là người dùng thử nghiệm đã được chỉ định trong cửa sổ ẩn danh, bắt đầu từ trang đăng nhập Clevera.
4. Khi mọi thứ hoạt động ổn định, hãy bật Require SSO nếu bạn muốn SSO là cách duy nhất để đăng nhập.

Sau đó, các thành viên nhập email công việc của họ trên trang đăng nhập Clevera và nhấp vào Continue with Okta.

Khắc phục sự cố#

Xem thêm các thông báo khác: Khắc phục sự cố đăng nhập SSO.

Liên quan#