Tìm hiểu về đăng nhập một lần (SSO) trong Clevera
Chức năng của đăng nhập một lần trong Clevera: gói dịch vụ nào bao gồm tính năng này, SAML 2.0 so với OpenID Connect, ai có thể đăng nhập bằng SSO, Yêu cầu SSO, và điều gì xảy ra với các thành viên hiện tại và mật khẩu.
Đăng nhập một lần (SSO) cho phép nhóm của bạn đăng nhập vào Clevera bằng tài khoản công ty của họ từ Okta, Microsoft Entra ID, Google Workspace hoặc bất kỳ nhà cung cấp SAML 2.0 hoặc OpenID Connect nào. Bài viết này giải thích chức năng của SSO trong Clevera, ai có thể thiết lập và những thay đổi đối với thành viên của bạn.
Trước khi bạn bắt đầu
- Gói dịch vụ: SSO là một phần của các gói Tùy chỉnh. Trên các gói khác, chủ sở hữu sẽ thấy Cần có gói Tùy chỉnh trong Cài đặt nhóm → Bảo mật, kèm theo liên kết Liên hệ với chúng tôi. Xem Chọn gói dịch vụ.
- Người thiết lập: chỉ Chủ sở hữu không gian làm việc. Quản trị viên không thể xem hoặc thay đổi cài đặt SSO.
- Nhà cung cấp danh tính của bạn: người có thể tạo ứng dụng trong nhà cung cấp danh tính (IdP) của bạn hoặc người có thể gửi cho bạn các giá trị của ứng dụng đó.
- Miền email của bạn: mọi miền công ty mà nhân viên của bạn sử dụng để đăng nhập, chẳng hạn như
acme.example.
Chức năng của SSO trong Clevera
| Điều gì xảy ra | |
|---|---|
| Đăng nhập | Người dùng nhập email công việc của họ trên trang đăng nhập Clevera và nhấp vào Tiếp tục với nhà cung cấp của bạn. Họ đăng nhập tại IdP của bạn và quay lại không gian làm việc của bạn trong trạng thái đã đăng nhập. |
| Người dùng mới | Khi bật Tạo tài khoản khi đăng nhập lần đầu, người chưa có tài khoản Clevera sẽ được tạo tài khoản ngay lần đầu đăng nhập và tham gia không gian làm việc của bạn với vai trò mặc định mà bạn đã chọn (là Biên tập viên nếu vai trò đó cần chỗ ngồi cho người sáng tạo mà không còn chỗ trống). |
| Thành viên hiện tại | Các thành viên có miền email nằm trong danh sách của bạn có thể đăng nhập bằng SSO ngay lập tức. Mọi thông tin về video hoặc vai trò của họ đều không thay đổi. |
| Yêu cầu SSO | Khi bật Yêu cầu SSO, các thành viên thuộc miền của bạn không thể đăng nhập bằng mật khẩu hoặc Google nữa, và người mới thuộc miền của bạn không thể đăng ký bằng mật khẩu. |
| Chủ sở hữu | Chủ sở hữu luôn có thể đăng nhập bằng mật khẩu của mình, vì vậy bạn không thể tự khóa quyền truy cập của chính mình. |
SSO hoạt động theo từng không gian làm việc: kết nối, các miền và quy tắc của nó thuộc về không gian làm việc mà bạn đã thiết lập.
SAML 2.0 hoặc OpenID Connect
Clevera hỗ trợ cả hai. Hãy chọn loại mà quản trị viên IdP của bạn ưu tiên; kết quả đối với các thành viên của bạn là như nhau.
| SAML 2.0 | OpenID Connect (OIDC) | |
|---|---|---|
| Những gì bạn nhập vào Clevera | IdP Entity ID, URL đăng nhập SSO, chứng chỉ X.509, URL đăng xuất tùy chọn | Client ID, client secret và URL khám phá (hoặc nhập thủ công các điểm cuối) |
| Những gì bạn cung cấp cho IdP | Entity ID / Audience URI và ACS URL (Reply URL) | Redirect URI (callback URL) |
| Đăng xuất đơn lẻ từ IdP | Được hỗ trợ, nếu bạn thêm URL đăng xuất | Không được hỗ trợ |
| Hướng dẫn | Thiết lập SSO với SAML | Thiết lập SSO với OpenID Connect |
Hướng dẫn cho nhà cung cấp: Okta, Microsoft Entra ID, Google Workspace. OneLogin (SAML hoặc OIDC) và JumpCloud (chỉ SAML) cũng có trong danh sách nhà cung cấp; hãy làm theo hướng dẫn SAML hoặc OIDC chung cho các nhà cung cấp này.
Cách thức thiết lập
Tạo ứng dụng trong IdP của bạn
Sử dụng các giá trị mà Clevera hiển thị ở bước đầu tiên của hộp thoại thiết lập, mỗi giá trị đều có nút sao chép: Entity ID và ACS URL cho SAML, hoặc redirect URI cho OIDC.
Kết nối trong Clevera
Mở menu không gian làm việc ở đầu thanh bên, chọn Cài đặt nhóm, sau đó chọn Bảo mật. Trong phần Đăng nhập một lần, nhấp vào Thiết lập SSO và thực hiện qua bốn bước: Nhà cung cấp, Nhà cung cấp danh tính, Miền & vai trò, Xem lại. Nhấp vào Lưu cấu hình.
Kiểm tra
Nhấp vào Chạy kiểm tra, sau đó đăng nhập bằng một thành viên thử nghiệm trong cửa sổ trình duyệt ẩn danh.
Bật tính năng
Bật Bật SSO. Khi mọi người đã có thể đăng nhập, hãy bật Yêu cầu SSO nếu bạn muốn SSO là cách duy nhất để truy cập.
Việc lưu cấu hình không tự động bật SSO, vì vậy bạn có thể chuẩn bị kết nối mà không ảnh hưởng đến bất kỳ ai.
Cách mọi người đăng nhập sau đó
- Trên trang đăng nhập Clevera, họ nhập email công việc của mình.
- Clevera nhận diện miền và hiển thị "Tổ chức của bạn sử dụng Okta" (tên nhà cung cấp của bạn) cùng với nút Tiếp tục với Okta. Với Nhà cung cấp SAML/OIDC tùy chỉnh, thông báo sẽ là "Tổ chức của bạn sử dụng SSO" và nút sẽ hiển thị Tiếp tục với SSO. Khi bật Yêu cầu SSO, hệ thống sẽ thêm dòng "Các thành viên của tổ chức này đăng nhập bằng Okta."
- Họ nhấp vào nút, đăng nhập tại IdP của bạn và được đưa đến trang chủ Clevera trong không gian làm việc của bạn. Nếu họ đang mở một liên kết Clevera khi được yêu cầu đăng nhập, họ sẽ được đưa đến trang đó thay vì trang chủ.
Họ sẽ duy trì trạng thái đăng nhập trên trình duyệt đó cho đến khi đăng xuất. Việc đăng xuất khỏi Clevera không đăng xuất họ khỏi IdP của bạn.
Ứng dụng máy tính: ứng dụng máy tính thực hiện đăng nhập thông qua trình duyệt của bạn. Trên trang đăng nhập của trình duyệt, hãy nhập email công việc và nhấp Tiếp tục với nhà cung cấp của bạn. Sau khi bạn đăng nhập tại IdP, trình duyệt sẽ chuyển hướng bạn trở lại ứng dụng máy tính để hoàn tất quá trình đăng nhập. Xem Đăng nhập vào ứng dụng máy tính.
Ai có thể sử dụng SSO
| Người dùng | Có thể đăng nhập bằng SSO không? |
|---|---|
| Thành viên không gian làm việc có miền email nằm trong danh sách của bạn | Có |
| Người thuộc miền của bạn chưa có tài khoản Clevera | Có, nếu bật Tạo tài khoản khi đăng nhập lần đầu. Nếu không, hãy mời họ trước. |
| Người thuộc miền của bạn đã có tài khoản Clevera nhưng không phải thành viên không gian làm việc này | Không. Hãy mời họ, và sau khi họ chấp nhận, SSO sẽ hoạt động với họ. |
| Chủ sở hữu | Có, nếu họ tự lưu cấu hình SSO. Họ cũng luôn có thể sử dụng mật khẩu của mình. |
| Bất kỳ ai có miền email không nằm trong danh sách của bạn | Không. Họ tiếp tục đăng nhập theo cách hiện tại. |
Dòng thứ ba và thứ tư là các biện pháp bảo vệ: vì các miền email trong Clevera không được xác minh, SSO không bao giờ chiếm quyền kiểm soát tài khoản chưa có trong không gian làm việc của bạn và không bao giờ đăng nhập cho chủ sở hữu thông qua kết nối do người khác lưu.
Chỗ ngồi cho người sáng tạo
Người dùng được tạo bởi SSO sẽ nhận được Vai trò mặc định cho thành viên SSO mới mà bạn đã chọn. Nếu vai trò đó là Người sáng tạo nội dung và tất cả chỗ ngồi cho người sáng tạo trong gói của bạn đã đầy, họ sẽ tham gia với tư cách là Biên tập viên, vai trò này không sử dụng chỗ ngồi. Hãy thêm chỗ ngồi và thay đổi vai trò của họ trong Cài đặt nhóm → Thành viên. Xem Tìm hiểu về không gian làm việc, vai trò và chỗ ngồi cho người sáng tạo.
Điều gì xảy ra với mật khẩu
- Thành viên hiện tại vẫn giữ mật khẩu của họ. Khi Yêu cầu SSO đang tắt, họ có thể sử dụng một trong hai cách. Khi bật tính năng này, thành viên đăng nhập bằng mật khẩu đúng sẽ thấy thông báo "Tổ chức của bạn yêu cầu Đăng nhập một lần. Sử dụng nút SSO để tiếp tục."
- Người mới thuộc miền của bạn không thể tạo tài khoản bằng mật khẩu khi Yêu cầu SSO đang bật. Biểu mẫu đăng ký sẽ trả lời "Tổ chức của bạn đăng nhập bằng đăng nhập một lần (SSO). Hãy truy cập Đăng nhập, nhập email này và chọn Tiếp tục với SSO." Tài khoản của họ được tạo lần đầu tiên khi họ đăng nhập bằng SSO (nếu bật Tạo tài khoản khi đăng nhập lần đầu; nếu không, hãy mời họ).
- Tài khoản được tạo bởi SSO không có mật khẩu mà người dùng biết. Nếu SSO sau đó bị tắt hoặc xóa, họ sẽ sử dụng Quên mật khẩu? trên trang đăng nhập để đặt mật khẩu mới.
- Đăng nhập bằng Google bị chặn đối với các thành viên thuộc miền của bạn khi Yêu cầu SSO đang bật.
Xóa quyền truy cập của một người
Clevera không đồng bộ hóa người dùng từ IdP của bạn. Việc hủy gán quyền cho ai đó trong IdP của bạn sẽ ngăn chặn các lần đăng nhập SSO mới, nhưng trình duyệt đã đăng nhập trước đó vẫn sẽ duy trì trạng thái đăng nhập. Để cắt quyền truy cập ngay lập tức, hãy xóa họ trong Cài đặt nhóm → Thành viên.