使用 OpenID Connect 设置 SSO
通过 OpenID Connect 将 Clevera 连接到你的身份提供商：了解你的 IdP 所需的重定向 URI、作用域和客户端身份验证、Clevera 读取的声明、每个设置字段，以及如何测试和启用 SSO。
通过 OpenID Connect (OIDC) 将 Clevera 连接到你的身份提供商 (IdP)，以便你的团队能够使用其公司账户登录。本文涵盖了在你的 IdP 中创建应用、Clevera 设置对话框中的每个字段、Clevera 读取的声明，以及如何测试和启用它。
关于 SSO 为你的成员带来的变化，请先阅读 了解单点登录。特定于提供商的界面说明请参阅 Okta、Microsoft Entra ID 和 Google Workspace 的指南。
开始之前
- 你是 自定义套餐 工作区的 所有者。
- 你可以在 IdP 中创建 OIDC (Web) 应用，或者有相关人员协助你完成。
- 你了解团队使用的所有电子邮件域名。
在你的 IdP 中创建应用
创建一个 Web 应用程序（具有客户端密钥的机密客户端）并按如下方式进行设置：
| IdP 设置 | 值 |
|---|---|
| 重定向 URI (登录重定向 URI, 回调 URL) | https://app.clevera.ai/sso/oidc/callback |
| 授权类型 | 授权码 (Authorization code) |
| 客户端身份验证 | 客户端密钥 (Client secret)。Clevera 在令牌请求的正文中发送该密钥 (client_secret_post)。 |
| 作用域 | openid, email, profile |
| 注销重定向 URI, 发起登录 URI | 留空。登录必须从 Clevera 登录页面开始。 |
你无需手动输入重定向 URI。在 Clevera 的设置对话框中，第一步选择 OpenID Connect：灰色框“针对设置身份提供商的人员”会显示带有复制按钮的 重定向 URI (回调 URL)。
创建应用后，复制其 客户端 ID、客户端密钥 和 发现 URL（也称为 OpenID 配置 URL 或 well-known URL，以 /.well-known/openid-configuration 结尾）。
Clevera 读取的声明
Clevera 会读取 ID 令牌；如果 IdP 具有 UserInfo 端点，Clevera 还会读取其上的 UserInfo 响应。
| 用途 | 声明 (按顺序) | 备注 |
|---|---|---|
| 电子邮件 | email, 然后 preferred_username, 然后 upn |
使用第一个有效的电子邮件地址。如果没有，登录将失败。 |
| 名称 | name, 然后 given_name + family_name, 然后 preferred_username |
仅在 Clevera 创建新账户时使用。回退到电子邮件中 @ 之前的部分。 |
Clevera 不读取组或角色声明：所有通过 SSO 创建的用户都会获得你在 Clevera 中选择的默认角色。
在 Clevera 中连接你的 IdP
打开“安全”选项卡
打开侧边栏顶部的工作区菜单，选择 团队设置，然后选择 安全。在 单点登录 下，点击 设置 SSO。
提供商
选择你的 身份提供商 并将 协议 设置为 OpenID Connect。如果尚未操作，请将 重定向 URI (回调 URL) 复制到你的 IdP 中，然后点击 继续。（JumpCloud 在 Clevera 中仅支持 SAML。）
提供商名称即成员在登录按钮上看到的名称，例如 继续使用 Okta。使用 自定义 SAML/OIDC 提供商 时，按钮显示为 继续使用 SSO。
身份提供商
填写以下字段。点击 继续。
域名与角色
在 允许的电子邮件域名 下添加每个电子邮件域名，选择是否 在首次登录时创建账户，并选择 新 SSO 成员的默认角色。这些设置与 SAML 的工作方式相同：请参阅 域名与角色。
检查
检查摘要并点击 保存配置。你会看到“SSO 配置已保存。运行测试，然后将其启用。”保存操作不会自动启用 SSO。
身份提供商字段
| 字段 | 必填 | 输入内容 |
|---|---|---|
| 客户端 ID | 是 | 你的 OIDC 应用的客户端 ID。 |
| 客户端密钥 | 是 | 你的 OIDC 应用的客户端密钥。加密存储且不再显示；稍后编辑时显示“密钥已存储。留空以保持不变。” |
| 发现 URL | 推荐 | “推荐。端点将从中读取。”例如 https://idp.example.com/.well-known/openid-configuration。 |
| 授权 URL | 仅在无发现 URL 时 | 你的 IdP 的授权端点。 |
| 令牌 URL | 仅在无发现 URL 时 | 你的 IdP 的令牌端点。 |
| UserInfo URL | 否 | 你的 IdP 的 UserInfo 端点。仅在无发现 URL 时显示。 |
这三个端点字段仅在 发现 URL 为空时出现。
为什么发现 URL 更好
使用发现 URL，Clevera 会自行读取端点，并根据 IdP 发布的签名密钥和颁发者检查每次登录。仅在你的 IdP 没有发现文档时才手动输入端点。
- 发现 URL 必须是 IdP 的颁发者加上
/.well-known/openid-configuration，且其中的issuer必须与你的 IdP 颁发的令牌匹配。颁发者包含占位符的多租户 URL（例如 Microsoft 的common端点）无法使用；请使用你租户自己的 URL。 - 每个 URL 必须是 Clevera 服务器可以访问的公共
https://(或http://) 地址。私有网络上的地址（例如仅能通过 VPN 访问的 IdP）将被拒绝。任何端口均可。 - Clevera 最多保留发现文档和签名密钥一小时。如果你的 IdP 在此期间轮换了签名密钥，Clevera 会在拒绝登录前获取一次新密钥，因此密钥轮换不会导致用户无法登录。
测试连接
运行检查
在 安全 选项卡上，点击 运行测试。它会检查客户端 ID 和密钥是否已保存，并检查发现 URL 是否加载成功且包含授权端点。你会看到“SSO 配置有效且可以使用。”或问题列表。请参阅 修复 SSO 登录问题。
每个问题都会告诉你需要修复的内容。 启用 SSO
开启 启用 SSO。你会看到“SSO 已启用。”且徽章显示为 活跃。
以测试成员身份登录
在隐私浏览器窗口中，前往 Clevera 登录页面，输入成员的电子邮件，点击 继续使用 你的提供商并登录。你应该会进入工作区中该成员的 Clevera 主页。作为所有者，你始终可以使用密码登录，因此这不会将你锁定在外。
运行测试 不会检查客户端密钥或进行真实登录；只有第 3 步才会进行检查。
要求 SSO、更改或移除
这些操作与 SAML 的工作方式相同：
- 当所有人都可以登录时，开启 要求 SSO。此时，你域名下的成员将无法使用密码或 Google 登录。
- 编辑 可更改连接。将 客户端密钥 留空以保留已存储的密钥。当你在 IdP 中轮换密钥时，粘贴新密钥并保存。
- 移除 SSO 配置（在状态徽章旁边的菜单中）会将其删除。通过 SSO 创建的成员可以使用 忘记密码？ 来设置密码。
详情请参阅 使用 SAML 设置 SSO。OIDC 没有单点注销功能：从 IdP 注销不会将用户从 Clevera 中注销。