Thiết lập SSO với Microsoft Entra ID

Thiết lập đăng nhập một lần giữa Microsoft Entra ID (trước đây là Azure AD) và Clevera để nhóm của bạn đăng nhập bằng tài khoản công việc Microsoft của họ. Bạn có thể kết nối bằng SAML 2.0 hoặc OpenID Connect (OIDC); hướng dẫn này bao gồm cả hai phía Entra và các trường tương ứng trong Clevera.

Trung tâm quản trị Microsoft Entra thay đổi theo thời gian. Nếu một nhãn bên dưới không khớp, hãy tìm cài đặt có cùng ý nghĩa và sử dụng các hướng dẫn chung để xem danh sách đầy đủ các giá trị: SAML, OIDC.

Trước khi bạn bắt đầu#

• Bạn là Chủ sở hữu của một không gian làm việc Clevera trên Gói tùy chỉnh.
• Bạn có thể tạo các ứng dụng doanh nghiệp hoặc đăng ký ứng dụng trong Entra (ví dụ: với tư cách là Quản trị viên ứng dụng).
• Bạn biết các miền email mà nhân viên của bạn sử dụng, chẳng hạn như acme.example.

Hãy mở hộp thoại thiết lập Clevera trước để bạn có thể sao chép các giá trị từ đó: mở menu không gian làm việc ở đầu thanh bên, chọn Cài đặt nhóm, sau đó chọn Bảo mật và nhấp vào Thiết lập SSO. Chọn Microsoft Entra ID (Azure AD) làm Nhà cung cấp danh tính.

Kết nối với SAML 2.0#

1. Tạo một ứng dụng doanh nghiệp#

   Trong trung tâm quản trị Microsoft Entra, đi tới Ứng dụng doanh nghiệp và nhấp vào Ứng dụng mới, sau đó chọn Tạo ứng dụng của riêng bạn. Đặt tên là Clevera, chọn Tích hợp bất kỳ ứng dụng nào khác mà bạn không tìm thấy trong thư viện (Không thuộc thư viện) và nhấp vào Tạo.

2. Chọn SAML#

   Trong ứng dụng mới, hãy mở Đăng nhập một lần và chọn SAML.

3. Nhập các giá trị của Clevera#

   Trong Cấu hình SAML cơ bản, nhấp vào Chỉnh sửa và điền vào:

   Trường Entra	Giá trị từ Clevera
   Mã định danh (Mã định danh thực thể)	Mã định danh thực thể / URI đối tượng (sao chép từ hộp thoại Clevera; giá trị này kết thúc bằng ID không gian làm việc của bạn)
   URL trả lời (URL dịch vụ người tiêu dùng xác nhận)	https://app.clevera.ai/sso/saml/callback
   URL đăng nhập	Để trống
   Trạng thái chuyển tiếp	Để trống
   URL đăng xuất	Chỉ khi bạn sử dụng đăng xuất một lần: https://app.clevera.ai/sso/saml/slo

   Nhấp vào Lưu.

4. Kiểm tra các xác nhận quyền sở hữu#

   Trong Thuộc tính & Xác nhận quyền sở hữu, mở Mã định danh người dùng duy nhất (ID tên). Đặt Định dạng mã định danh tên thành Địa chỉ email và thuộc tính nguồn thành thuộc tính chứa email của mọi người: user.mail, hoặc user.userprincipalname nếu tên đăng nhập của họ chính là email. Giữ nguyên các xác nhận quyền sở hữu mặc định givenname, surname và emailaddress: Clevera sẽ đọc chúng.

5. Ký phản hồi và xác nhận#

   Trong Chứng chỉ SAML, nhấp vào Chỉnh sửa bên cạnh chứng chỉ ký. Đặt Tùy chọn ký thành Ký phản hồi và xác nhận SAML và Thuật toán ký thành SHA-256. Nhấp vào Lưu.

   Entra chỉ ký xác nhận theo mặc định và Clevera sẽ từ chối điều đó.

6. Sao chép các giá trị của Entra vào Clevera#

   Trong Chứng chỉ SAML, tải xuống Chứng chỉ (Base64) và mở nó trong trình soạn thảo văn bản. Trong Thiết lập Clevera, sao chép các URL. Trong Clevera, đặt Giao thức thành SAML 2.0, nhấp vào Tiếp tục và dán:

   Giá trị Entra	Trường Clevera
   Mã định danh Microsoft Entra	Mã định danh thực thể IdP
   URL đăng nhập	URL đăng nhập SSO
   URL đăng xuất	URL đăng xuất (tùy chọn)
   Nội dung của Chứng chỉ (Base64)	Chứng chỉ X.509

7. Chỉ định người dùng#

   Trong Người dùng và nhóm, nhấp vào Thêm người dùng/nhóm và thêm những người hoặc nhóm sẽ sử dụng Clevera.

Sau đó hoàn tất trong Clevera: miền và vai trò.

Kết nối với OpenID Connect#

1. Đăng ký ứng dụng#

   Trong hộp thoại thiết lập của Clevera, đặt Giao thức thành OpenID Connect và sao chép URI chuyển hướng (URL gọi lại) từ hộp màu xám. Trong Entra, đi tới Đăng ký ứng dụng và nhấp vào Đăng ký mới. Đặt tên là Clevera, chọn Chỉ các tài khoản trong thư mục tổ chức này (Một đối tượng thuê), và trong phần URI chuyển hướng, chọn Web rồi dán https://app.clevera.ai/sso/oidc/callback. Nhấp vào Đăng ký.

2. Sao chép các ID#

   Trên Tổng quan của ứng dụng, hãy sao chép ID ứng dụng (khách hàng) và ID thư mục (đối tượng thuê).

3. Tạo bí mật khách hàng#

   Mở Chứng chỉ & bí mật, nhấp vào Bí mật khách hàng mới, chọn thời hạn và nhấp vào Thêm. Sao chép Giá trị của bí mật ngay lập tức (không phải ID bí mật); Entra chỉ hiển thị nó một lần.

4. Thêm xác nhận quyền sở hữu email#

   Mở Cấu hình mã thông báo, nhấp vào Thêm xác nhận quyền sở hữu tùy chọn, chọn ID, đánh dấu vào email và nhấp vào Thêm. Chấp nhận lời nhắc thêm quyền email Microsoft Graph. Nếu không có quyền này, Clevera sẽ quay lại sử dụng tên đăng nhập (preferred_username), vốn chỉ hoạt động khi đó là email của người dùng.

5. Điền vào Clevera#

   Trong Clevera, nhấp vào Tiếp tục và nhập:

   Trường Clevera	Giá trị
   ID khách hàng	ID ứng dụng (khách hàng)
   Bí mật khách hàng	Giá trị của bí mật
   URL khám phá	https://login.microsoftonline.com/ ID thư mục (đối tượng thuê) của bạn /v2.0/.well-known/openid-configuration

   Sử dụng ID đối tượng thuê của bạn trong URL, không phải common hoặc organizations: Clevera kiểm tra nhà phát hành và các URL dùng chung đó không khớp với nó.

6. Giới hạn người có thể đăng nhập (tùy chọn)#

   Theo mặc định, bất kỳ ai trong đối tượng thuê của bạn đều có thể sử dụng ứng dụng. Để giới hạn, hãy mở Ứng dụng doanh nghiệp → Clevera → Thuộc tính, đặt Yêu cầu chỉ định? thành Có, và thêm người dùng hoặc nhóm trong Người dùng và nhóm.

Hoàn tất trong Clevera#

1. Trên Miền & vai trò, thêm mọi miền email mà nhân viên của bạn sử dụng, bao gồm cả các miền đã xác minh bổ sung trong đối tượng thuê của bạn. Chọn Tạo tài khoản khi đăng nhập lần đầu và Vai trò mặc định cho thành viên SSO mới.
2. Trên Xem lại, nhấp vào Lưu cấu hình.
3. Nhấp vào Chạy kiểm thử, bật Bật SSO và đăng nhập với tư cách là người dùng kiểm thử trong cửa sổ riêng tư, bắt đầu từ trang đăng nhập Clevera.
4. Khi mọi thứ hoạt động cho tất cả mọi người, hãy bật Yêu cầu SSO nếu bạn muốn SSO là cách duy nhất để truy cập.

Các thành viên nhập email công việc của họ trên trang đăng nhập Clevera và nhấp vào Tiếp tục với Microsoft Entra ID (Azure AD).

Khắc phục sự cố#

Xem thêm thông báo: Khắc phục sự cố đăng nhập SSO.

Liên quan#