使用 Okta 设置 SSO

设置 Okta 与 Clevera 之间的单点登录，以便你的团队成员使用其 Okta 账户登录。你可以通过 SAML 2.0 或 OpenID Connect (OIDC) 进行连接；本指南将介绍 Okta 端的设置以及 Clevera 中对应的字段。

Okta 的管理控制台会不时更新。如果下方的标签与你看到的界面不符，请查找含义相同的设置，并参考完整值列表的通用指南：SAML、OIDC。

开始之前#

• 你是 自定义套餐 下 Clevera 工作区的 所有者。
• 你是拥有创建和分配应用集成权限的 Okta 管理员。
• 你了解团队成员在 Okta 中使用的电子邮件域，例如 acme.example。

首先打开 Clevera 设置对话框，以便复制其中的值：打开侧边栏顶部的“工作区”菜单，选择 团队设置，然后选择 安全，并点击 设置 SSO。选择 Okta 作为 身份提供商。

使用 SAML 2.0 连接#

1. 在 Okta 中创建应用#

   在 Okta 管理控制台中，前往 Applications → Applications 并点击 Create App Integration。选择 SAML 2.0 并点击 下一步。将其命名为 Clevera 并点击 下一步。

2. 输入 Clevera 的值#

   在 SAML Settings 下，填写以下内容：

   Okta 字段	来自 Clevera 的值
   Single sign-on URL	ACS URL (Reply URL)：https://app.clevera.ai/sso/saml/callback。保持勾选 Use this for Recipient URL and Destination URL。
   Audience URI (SP Entity ID)	Entity ID / Audience URI（从 Clevera 对话框中复制；它以你的工作区 ID 结尾）
   Default RelayState	留空
   Name ID format	EmailAddress
   Application username	Email

3. 检查签名#

   点击 Show Advanced Settings 并检查 Response 和 Assertion Signature 是否均为 Signed，Signature Algorithm 是否为 RSA-SHA256，以及 Assertion Encryption 是否为 Unencrypted。Clevera 要求响应和断言都必须签名。

4. 添加名称属性#

   在 Attribute Statements 下，添加 firstName（值为 user.firstName）和 lastName（值为 user.lastName）。Clevera 使用这些属性来命名新账户。点击 下一步，在 Okta 的反馈问题中回答这是一个内部应用，然后点击 完成。

5. 将 Okta 的值复制到 Clevera#

   在应用的 Sign On 选项卡上，打开 SAML 设置详情（点击 View SAML setup instructions，或在较新的控制台中点击 More details）。在 Clevera 中，将 Protocol 设置为 SAML 2.0，点击 继续，并粘贴以下内容：

   Okta 值	Clevera 字段
   Identity Provider Issuer (或 Issuer)	IdP Entity ID
   Identity Provider Single Sign-On URL (或 Sign on URL)	SSO sign-in URL
   X.509 Certificate (或 Signing Certificate)	X.509 certificate

   除非你使用 Okta 单点注销，否则请将 Logout URL 留空。

   

6. 分配人员#

   在应用的 Assignments 选项卡上，点击 Assign 并添加需要使用 Clevera 的人员或组。未被分配的人员无法通过 Okta 登录。

然后在 Clevera 中完成设置：域和角色。

使用 OpenID Connect 连接#

1. 在 Okta 中创建应用#

   前往 Applications → Applications → Create App Integration。选择 OIDC - OpenID Connect，然后选择 Web Application，并点击 下一步。

2. 设置重定向 URI#

   在 Clevera 的设置对话框中，将 Protocol 设置为 OpenID Connect，并从灰色框中复制 Redirect URI (callback URL)。然后在 Okta 中填写：

   Okta 字段	值
   App integration name	Clevera
   Grant type	Authorization Code
   Sign-in redirect URIs	Redirect URI (callback URL)：https://app.clevera.ai/sso/oidc/callback
   Sign-out redirect URIs	删除示例；留空
   Controlled access	选择可以使用该应用的人员，或选择 Skip group assignment for now 稍后再分配

   点击 保存。

3. 复制凭据#

   在应用的 General 选项卡上，在 Client Credentials 下，复制 Client ID 和 Client secret。保持 Client authentication 设置为 Client secret。

4. 在 Clevera 中填写#

   在 Clevera 中，点击 继续 并输入：

   Clevera 字段	值
   Client ID	Okta 的 Client ID
   Client secret	Okta 的 Client secret
   Discovery URL	https:// 你的 Okta 域 /.well-known/openid-configuration，例如 https://acme.okta.com/.well-known/openid-configuration

   如果你使用自定义授权服务器，请改用其对应的发现 URL，例如 https://acme.okta.com/oauth2/default/.well-known/openid-configuration。

   

5. 分配人员#

   在 Assignments 选项卡上，分配需要使用 Clevera 的人员或组。

在 Clevera 中完成设置#

1. 在 Domains & roles 中，添加你的 Okta 用户拥有的所有电子邮件域，选择 Create accounts on first sign-in 以及 Default role for new SSO members。
2. 在 查看 中，点击 保存配置。
3. 点击 运行测试，开启 启用 SSO，并在隐私窗口中以已分配的测试用户身份，从 Clevera 登录页面开始进行登录测试。
4. 当一切正常后，如果你希望 SSO 成为唯一的登录方式，请开启 强制 SSO。

成员随后在 Clevera 登录页面输入其工作邮箱，并点击 Continue with Okta。

故障排除#

更多消息：修复 SSO 登录问题。

相关内容#