跳转到内容
Clevera 帮助中心

使用 SAML 2.0 设置 SSO

使用 SAML 2.0 将 Clevera 连接到你的身份提供商：包括提供给 IdP 的实体 ID 和 ACS URL、签名和名称 ID 设置、Clevera 读取的属性、每个设置字段、测试以及启用 SSO 的方法。

更新于 阅读需 4 分钟

使用 SAML 2.0 将 Clevera 连接到你的身份提供商 (IdP)，以便你的团队成员可以使用其公司账户登录。本文列出了 Clevera 设置对话框中的每个字段、你的 IdP 所需的确切值，以及如何进行测试和启用。

关于 SSO 为你的成员带来的变化，请先阅读 了解单点登录。有关 IdP 分步设置界面，请参阅 Okta、Microsoft Entra ID 和 Google Workspace 的指南。

开始之前

  • 你是自定义套餐工作区的所有者。
  • 你可以在 IdP 中创建 SAML 应用，或者有相关人员协助你完成。
  • 你了解团队使用的所有电子邮件域名，例如 acme.example 和 eu.acme.example。

提供给 IdP 的值

Clevera 会在设置对话框的“针对设置身份提供商的人员”部分显示这些值，每个值旁边都有一个复制按钮。请从此处复制：实体 ID 包含你工作区自己的 ID。

SSO 设置对话框第 1 步，选中了 Okta 和 SAML 2.0，并显示了待复制的实体 ID、ACS URL 和元数据 URL
将这三个值复制到你的身份提供商中。
Clevera 标签 在你的 IdP 中对应的名称 值
实体 ID / 受众 URI Audience URI, SP Entity ID, Identifier https://app.clevera.ai/sso/metadata/ 后跟你的工作区 ID
ACS URL (回复 URL) Assertion Consumer Service URL, Single sign-on URL, Reply URL https://app.clevera.ai/sso/saml/callback
SP 元数据 URL Service provider metadata 与实体 ID 地址相同。它以 XML 格式提供 Clevera 的 SAML 元数据，供支持导入的 IdP 使用。

按如下方式在你的 IdP 中设置应用：

IdP 设置 设置为
名称 ID 格式 EmailAddress (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress)
名称 ID 值 个人工作电子邮件
签名 签署SAML 响应和断言。建议使用 SHA-256。
断言加密 关闭。Clevera 不接受加密的断言。
签署身份验证请求 不需要。Clevera 发送未签名的请求。
ACS URL 绑定 HTTP POST
默认 RelayState，IdP 发起的登录 留空。登录必须从 Clevera 登录页面开始。

Clevera 读取的属性

电子邮件来自名称 ID。如果名称 ID 不是电子邮件地址，Clevera 会按顺序查找以下属性：

用途 Clevera 接受的属性名称（按顺序）
电子邮件 email, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress, User.Email
名字 firstName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname, User.FirstName, first_name
姓氏 lastName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname, User.LastName, last_name
显示名称（在没有名字或姓氏时使用） displayName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name, User.Name, name

名称仅在 Clevera 创建新账户时使用。如果没有任何名称属性，账户将以电子邮件中 @ 之前的部分命名。Clevera 不读取任何组或角色属性：所有通过 SSO 创建的用户都将获得你在下方选择的默认角色。

在 Clevera 中连接你的 IdP

  1. 打开“安全”选项卡

    打开侧边栏顶部的工作区菜单，选择团队设置，然后选择安全。在单点登录下，点击设置 SSO。此时会打开配置单点登录对话框。

  2. 提供商

    选择你的身份提供商（Okta、Microsoft Entra ID (Azure AD)、OneLogin、Google Workspace、JumpCloud 或自定义 SAML/OIDC 提供商），并将协议设置为SAML 2.0。将灰色框中的值复制到你的 IdP 中，然后点击继续。

    提供商名称即成员在登录按钮上看到的名称，例如继续使用 Okta。对于自定义 SAML/OIDC 提供商，按钮显示为继续使用 SSO。

  3. 身份提供商

    粘贴来自你的 IdP SAML 设置页面的值。请参阅 字段参考。点击继续。

  4. 域名与角色

    在允许的电子邮件域名下输入每个电子邮件域名，然后点击添加（或按回车键）。然后选择是否在首次登录时创建账户，并选择新 SSO 成员的默认角色。请参阅 域名与角色。

  5. 检查

    检查摘要并点击保存配置。你将看到“SSO 配置已保存。请运行测试，然后将其启用。”保存操作不会自动启用 SSO。

身份提供商字段

SSO 设置对话框第 2 步，已填入 IdP 实体 ID、登录 URL 和证书
注销 URL 是可选的。
字段 必填 粘贴内容 你的 IdP 中的称呼
IdP 实体 ID 是 IdP 的颁发者，与你的 IdP 显示的完全一致 Identity Provider Issuer, Entity ID, Microsoft Entra Identifier
SSO 登录 URL 是 Clevera 将用户重定向至登录的 URL (HTTP 重定向绑定) Identity Provider Single Sign-On URL, Login URL, SSO URL
注销 URL 否 你 IdP 的单点注销 URL。“除非你的提供商需要单点注销，否则请留空。” Single Logout URL, Logout URL
X.509 证书 是 你 IdP 的签名证书 X.509 Certificate, Certificate (Base64)

证书

  • 粘贴整个证书。-----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE----- 行是可选的；空格和换行符会被忽略。
  • 请使用 Base64 (PEM) 文本，而不是二进制 .cer 文件。如果你下载了文件，请在文本编辑器中打开并复制其内容。
  • Clevera 会加密存储该证书，且不会再次显示。当你稍后编辑连接时，该字段会显示“已存储证书。留空以保留原证书。”
  • 运行测试会告知你证书是否无法读取或已过期。

域名与角色

SSO 设置对话框第 3 步，包含两个允许的域名，已开启账户创建，并设置编辑者为默认角色
自动创建账户时，不提供管理员选项。
设置 功能 默认
允许的电子邮件域名 仅拥有这些电子邮件域名的用户可以使用此连接。这些域名也决定了登录页面何时提供 SSO。至少需要一个。 无
在首次登录时创建账户 “用户首次使用 SSO 登录时，系统会自动创建一个 Clevera 账户。”新账户将加入此工作区。 开启
新 SSO 成员的默认角色 新账户获得的角色：编辑者、内容创作者或管理员。仅在在首次登录时创建账户关闭时才提供“管理员”选项：“自动创建的账户永远不会获得管理员权限。” 编辑者

关于域名：

  • 域名必须完全匹配。acme.example 不包含 eu.acme.example；请逐个添加。
  • 仅输入域名（acme.example），不要输入电子邮件。开头的 @ 会被移除。
  • 一个域名只能属于一个 Clevera 工作区。如果其他工作区已在使用该域名，保存时会显示“域名 acme.example 已分配给另一个团队。”如果这是你的域名，请联系支持团队。

内容创作者占用创作者席位；编辑者则不占用。如果默认角色是内容创作者且所有创作者席位已满，通过 SSO 加入的用户将变为编辑者，因此 SSO 永远不会导致你超出席位限制。准备好后，请添加席位并在团队设置 → 成员中更改他们的角色。请参阅 了解工作区、角色和创作者席位。

测试连接

  1. 运行检查

    回到安全选项卡，点击测试连接旁边的运行测试。它会检查已保存的设置：实体 ID、登录 URL 和证书是否存在，URL 是否有效，以及证书是否可读且未过期。

    你将看到“SSO 配置有效且可以使用。”或“SSO 配置存在需要解决的问题。”以及问题列表。请参阅 修复 SSO 登录问题。

    测试通过后的单点登录卡片，启用 SSO 仍处于关闭状态
    在启用 SSO 之前请先运行测试。

  2. 启用 SSO

    开启启用 SSO。你将看到“SSO 已启用。”状态徽章将从关闭变为活跃。

  3. 以测试成员身份登录

    打开一个隐私浏览器窗口，前往 Clevera 登录页面，输入一名成员的电子邮件（如果是在首次登录时创建账户，则输入新人的邮箱）。点击 Continue with 你的提供商，并在你的 IdP 处登录。你应该会进入该成员在你的工作区中的 Clevera 主页。

    你自己的会话不会受到影响，作为所有者，你始终可以使用密码登录。

Run test 不会连接到你的 IdP，因此第 3 步中的实际登录是唯一的完整测试。请从 Clevera 登录页面启动它：从你的 IdP 控制面板启动的测试会被拒绝。

要求 SSO

当所有人都能登录后，开启 Require SSO（“匹配的成员必须使用 SSO 登录。”）。你会看到“SSO is now required.”，且状态徽章显示为 Active · enforced。

已启用并要求 SSO 的单点登录卡片，显示 Active · enforced
所有者始终可以使用其常规登录方式。

从那时起，你域名下的成员将无法使用密码或 Google 登录，你域名下的新人也无法使用密码创建 Clevera 账户：他们必须通过 SSO 登录来获取账户。你只能在 Enable SSO 开启时才能启用此功能，关闭 Enable SSO 也会将其关闭。

单点注销

如果你填写了 Logout URL，Clevera 的元数据也会列出一个注销地址：https://app.clevera.ai/sso/saml/slo（HTTP 重定向绑定）。当你的 IdP 向该地址发送注销请求时，Clevera 会将该用户注销并将其重定向回你的 IdP。

在 Clevera 中注销不会将用户从你的 IdP 中注销。

更改或移除连接

  • 更改连接： 点击 Provider 旁边的 编辑。对话框将打开并显示你保存的值；保持证书为空即可保留原证书。
  • 暂时关闭： 关闭 Enable SSO。设置将保持保存状态。
  • 移除连接： 打开状态徽章旁边的菜单，选择 Remove SSO configuration，然后选择 Remove SSO。“使用 SSO 登录的成员将需要重置密码才能继续登录。”

Provider 行显示了协议以及你拥有的域名数量。一旦成员开始使用 SSO，该部分底部会出现一行类似“12 SSO sign-ins · last Oct 12”的文字。

了解单点登录SSO 为你的成员带来的变化。设置 OpenID Connect SSOOIDC 替代方案。修复 SSO 登录问题所有 SSO 消息及其处理方法。设置 Okta SSOOkta 的分步设置界面。