Thiết lập SSO với OpenID Connect
Kết nối Clevera với nhà cung cấp danh tính của bạn bằng OpenID Connect: URI chuyển hướng, phạm vi và xác thực máy khách mà IdP của bạn cần, các yêu cầu (claims) mà Clevera đọc, mọi trường thiết lập, kiểm tra và bật SSO.
Kết nối Clevera với nhà cung cấp danh tính (IdP) của bạn bằng OpenID Connect (OIDC) để nhóm của bạn đăng nhập bằng tài khoản công ty. Bài viết này bao gồm cách tạo ứng dụng trong IdP của bạn, mọi trường trong hộp thoại thiết lập của Clevera, các yêu cầu (claims) mà Clevera đọc, cũng như cách kiểm tra và bật tính năng này.
Để biết SSO thay đổi những gì đối với thành viên của bạn, hãy đọc Tìm hiểu về đăng nhập một lần trước. Các màn hình dành riêng cho từng nhà cung cấp nằm trong hướng dẫn cho Okta, Microsoft Entra ID và Google Workspace.
Trước khi bạn bắt đầu
- Bạn là Chủ sở hữu của một không gian làm việc trên Gói tùy chỉnh.
- Bạn có thể tạo ứng dụng OIDC (web) trong IdP của mình hoặc đang làm việc với người có thể làm điều đó.
- Bạn biết mọi miền email mà nhóm của bạn sử dụng.
Tạo ứng dụng trong IdP của bạn
Tạo một ứng dụng web (một máy khách bảo mật với bí mật máy khách) và thiết lập như sau:
| Cài đặt IdP | Giá trị |
|---|---|
| URI chuyển hướng (URI chuyển hướng đăng nhập, URL callback) | https://app.clevera.ai/sso/oidc/callback |
| Loại cấp quyền | Mã ủy quyền |
| Xác thực máy khách | Bí mật máy khách. Clevera gửi bí mật trong phần thân của yêu cầu mã thông báo (client_secret_post). |
| Phạm vi | openid, email, profile |
| URI chuyển hướng đăng xuất, khởi tạo URI đăng nhập | Để trống. Việc đăng nhập phải bắt đầu trên trang đăng nhập của Clevera. |
Bạn không cần phải nhập URI chuyển hướng. Trong hộp thoại thiết lập của Clevera, hãy chọn OpenID Connect ở bước đầu tiên: hộp màu xám "Dành cho người thiết lập nhà cung cấp danh tính của bạn" hiển thị URI chuyển hướng (URL callback) kèm theo nút sao chép.
Khi ứng dụng được tạo, hãy sao chép ID máy khách, bí mật máy khách và URL khám phá (còn được gọi là URL cấu hình OpenID hoặc URL well-known, kết thúc bằng /.well-known/openid-configuration).
Các yêu cầu (claims) Clevera đọc
Clevera đọc mã thông báo ID và, khi IdP có điểm cuối UserInfo, phản hồi UserInfo trên đó.
| Mục đích | Các yêu cầu, theo thứ tự | Ghi chú |
|---|---|---|
| Địa chỉ email | email, sau đó preferred_username, sau đó upn |
Địa chỉ đầu tiên là địa chỉ email hợp lệ sẽ được sử dụng. Nếu không có, việc đăng nhập sẽ thất bại. |
| Tên | name, sau đó given_name + family_name, sau đó preferred_username |
Chỉ được sử dụng khi Clevera tạo tài khoản mới. Quay lại phần email trước @. |
Clevera không đọc các yêu cầu về nhóm hoặc vai trò: mọi người được tạo bởi SSO đều nhận được vai trò mặc định mà bạn chọn trong Clevera.
Kết nối IdP của bạn trong Clevera
Mở tab Bảo mật
Mở menu không gian làm việc ở đầu thanh bên, chọn Cài đặt nhóm, sau đó chọn Bảo mật. Trong phần Đăng nhập một lần, nhấp vào Thiết lập SSO.
Nhà cung cấp
Chọn Nhà cung cấp danh tính của bạn và đặt Giao thức thành OpenID Connect. Sao chép URI chuyển hướng (URL callback) vào IdP của bạn nếu bạn chưa thực hiện, sau đó nhấp vào Tiếp tục. (JumpCloud chỉ hỗ trợ SAML trong Clevera.)
Tên của nhà cung cấp là những gì thành viên thấy trên nút đăng nhập, ví dụ: Tiếp tục với Okta. Với Nhà cung cấp SAML/OIDC tùy chỉnh, nút này hiển thị Tiếp tục với SSO.
Nhà cung cấp danh tính
Điền vào các trường bên dưới. Nhấp vào Tiếp tục.
Miền & vai trò
Thêm từng miền email vào Các miền email được phép, chọn xem có Tạo tài khoản khi đăng nhập lần đầu hay không, và chọn Vai trò mặc định cho thành viên SSO mới. Các tùy chọn này hoạt động giống như SAML: xem Miền và vai trò.
Xem lại
Kiểm tra bản tóm tắt và nhấp vào Lưu cấu hình. Bạn sẽ thấy "Cấu hình SSO đã được lưu. Hãy chạy kiểm tra, sau đó bật nó lên." Việc lưu không tự động bật SSO.
Các trường của nhà cung cấp danh tính
| Trường | Bắt buộc | Nội dung cần nhập |
|---|---|---|
| ID máy khách | Có | ID máy khách của ứng dụng OIDC của bạn. |
| Bí mật máy khách | Có | Bí mật máy khách của ứng dụng OIDC của bạn. Được lưu trữ mã hóa và không bao giờ hiển thị lại; khi bạn chỉnh sửa sau này, "Một bí mật đã được lưu trữ. Để trống để giữ nguyên." |
| URL khám phá | Khuyến nghị | "Khuyến nghị. Các điểm cuối được đọc từ đó." Ví dụ https://idp.example.com/.well-known/openid-configuration. |
| URL ủy quyền | Chỉ khi không có URL khám phá | Điểm cuối ủy quyền của IdP của bạn. |
| URL mã thông báo | Chỉ khi không có URL khám phá | Điểm cuối mã thông báo của IdP của bạn. |
| URL UserInfo | Không | Điểm cuối UserInfo của IdP của bạn. Chỉ hiển thị khi không có URL khám phá. |
Ba trường điểm cuối chỉ xuất hiện khi URL khám phá trống.
Tại sao URL khám phá lại tốt hơn
Với URL khám phá, Clevera tự đọc các điểm cuối và kiểm tra từng lần đăng nhập dựa trên các khóa ký và nhà phát hành đã công bố của IdP của bạn. Chỉ nhập thủ công các điểm cuối nếu IdP của bạn không có tài liệu khám phá.
- URL khám phá phải là nhà phát hành của IdP cộng với
/.well-known/openid-configuration, vàissuerbên trong nó phải khớp với các mã thông báo mà IdP của bạn phát hành. Các URL đa đối tượng thuê có nhà phát hành chứa trình giữ chỗ (chẳng hạn như điểm cuốicommoncủa Microsoft) sẽ không hoạt động; hãy sử dụng URL của chính đối tượng thuê của bạn. - Mỗi URL phải là một địa chỉ
https://(hoặchttp://) công khai mà máy chủ của Clevera có thể truy cập. Các địa chỉ trên mạng riêng, chẳng hạn như IdP chỉ có thể truy cập qua VPN của bạn, sẽ bị từ chối. Bất kỳ cổng nào cũng được. - Clevera giữ tài liệu khám phá và các khóa ký trong tối đa một giờ. Nếu IdP của bạn xoay vòng các khóa ký trong thời gian đó, Clevera sẽ tìm nạp các khóa mới một lần trước khi từ chối đăng nhập, vì vậy việc xoay vòng khóa không làm người dùng bị khóa.
Kiểm tra kết nối
Chạy kiểm tra
Trên tab Bảo mật, nhấp vào Chạy kiểm tra. Nó kiểm tra xem ID máy khách và bí mật đã được lưu chưa và, với URL khám phá, tài liệu có tải được và chứa điểm cuối ủy quyền hay không. Bạn sẽ thấy "Cấu hình SSO hợp lệ và sẵn sàng sử dụng." hoặc danh sách các vấn đề. Xem Khắc phục sự cố đăng nhập SSO.
Mỗi vấn đề cho bạn biết cần sửa gì. Bật SSO
Bật Bật SSO. Bạn sẽ thấy "SSO đã được bật." và huy hiệu hiển thị Đang hoạt động.
Đăng nhập với tư cách thành viên kiểm tra
Trong cửa sổ trình duyệt ẩn danh, hãy truy cập trang đăng nhập Clevera, nhập email của thành viên, nhấp vào Tiếp tục với nhà cung cấp của bạn và đăng nhập. Bạn sẽ đến trang chủ Clevera của họ trong không gian làm việc của bạn. Với tư cách là chủ sở hữu, bạn luôn có thể đăng nhập bằng mật khẩu của mình, vì vậy điều này không thể khóa bạn lại.
Chạy kiểm tra không kiểm tra bí mật máy khách hoặc đăng nhập thực tế; chỉ bước 3 mới làm điều đó.
Yêu cầu SSO, thay đổi hoặc xóa
Các tùy chọn này hoạt động giống như SAML:
- Bật Yêu cầu SSO khi mọi người có thể đăng nhập. Các thành viên trên miền của bạn sau đó sẽ không thể sử dụng mật khẩu hoặc Google.
- Chỉnh sửa để thay đổi kết nối. Để trống Bí mật máy khách để giữ nguyên bí mật đã lưu. Khi bạn xoay vòng bí mật trong IdP của mình, hãy dán bí mật mới và lưu lại.
- Xóa cấu hình SSO (trong menu bên cạnh huy hiệu trạng thái) sẽ xóa cấu hình đó. Các thành viên được tạo bởi SSO sử dụng Quên mật khẩu? để đặt mật khẩu.
Xem Thiết lập SSO với SAML để biết chi tiết. OIDC không có đăng xuất đơn lẻ: đăng xuất khỏi IdP của bạn không đăng xuất người dùng khỏi Clevera.