设置 Google Workspace SSO

设置 Google Workspace 与 Clevera 之间的单点登录 (SSO)，以便你的团队使用其 Google 工作账号登录。你可以通过 Google Cloud OAuth 客户端连接 OpenID Connect (OIDC)，或通过 Google 管理控制台中的自定义 SAML 应用连接 SAML 2.0。

Google 的控制台界面会不时更新。如果下方的标签不匹配，请寻找含义相同的设置，并参考通用指南获取完整的值列表：SAML、OIDC。

开始之前#

• 你是 Custom plan 下 Clevera 工作区的 所有者。
• 对于 OIDC：你可以在属于你的 Google Workspace 组织的 Google Cloud 项目中创建 OAuth 客户端。
• 对于 SAML：你是 Google Workspace 超级管理员。
• 你了解你的 Google Workspace 域名（例如 acme.example），包括辅助域名。

首先打开 Clevera 设置对话框：打开侧边栏顶部的工作区菜单，选择 Team settings，然后选择 Security，点击 Set up SSO。选择 Google Workspace 作为 Identity provider。

使用 OpenID Connect 连接#

1. 将应用设置为内部应用#

   在 Google Cloud 控制台中，选择你组织中的一个项目并打开 Google Auth Platform（在旧版控制台中为 APIs & Services → OAuth consent screen）。将 Audience（用户类型）设置为 Internal，这样只有你 Google Workspace 中的账号才能登录。填写应用名称 (Clevera) 和支持电子邮件。

2. 创建 OAuth 客户端#

   在 Clevera 的设置对话框中，将 Protocol 设置为 OpenID Connect，并从灰色框中复制 Redirect URI (callback URL)。然后，在 Google 中打开 Clients（或 APIs & Services → Credentials）并创建一个 OAuth client ID：

   Google 字段	值
   Application type	Web application
   Name	Clevera
   Authorized redirect URIs	Redirect URI (callback URL)：https://app.clevera.ai/sso/oidc/callback

   点击 Create 并复制 Client ID 和 Client secret。

3. 在 Clevera 中填写信息#

   在 Clevera 中，点击 Continue 并输入：

   Clevera 字段	值
   Client ID	Google 的 Client ID
   Client secret	Google 的 Client secret
   Discovery URL	https://accounts.google.com/.well-known/openid-configuration

Google 会发送 Clevera 所需 openid email profile 作用域的 email 和 name 声明，因此无需进行其他映射。

使用 SAML 2.0 连接#

1. 添加自定义 SAML 应用#

   在 Google 管理控制台中，转到 Apps → Web and mobile apps，点击 Add app 并选择 Add custom SAML app。将其命名为 Clevera 并点击 Continue。

2. 将 Google 的值复制到 Clevera#

   在 Google Identity Provider details 页面上，将值复制到 Clevera 中（首先将 Protocol 设置为 SAML 2.0 并点击 Continue）：

   Google 值	Clevera 字段
   Entity ID	IdP Entity ID
   SSO URL	SSO sign-in URL
   Certificate	X.509 certificate

   在 Google 中点击 Continue。

3. 输入 Clevera 的值#

   在 Service provider details 页面上：

   Google 字段	值
   ACS URL	https://app.clevera.ai/sso/saml/callback
   Entity ID	Clevera 对话框中的 Entity ID / Audience URI
   Start URL	留空
   Signed response	勾选
   Name ID format	EMAIL
   Name ID	Basic Information → Primary email

   点击 Continue。

4. 映射名称#

   在 Attribute mapping 页面上，将 First name 映射到 firstName，将 Last name 映射到 lastName。点击 Finish。

5. 启用应用#

   打开应用的 User access，选择 ON for everyone（或选择需要使用 Clevera 的组织单位或群组），然后点击 Save。Google 表示应用此设置可能需要一些时间。

在 Clevera 中完成设置#

1. 在 Domains & roles 中，添加你的成员使用的所有 Google Workspace 域名。选择 Create accounts on first sign-in 以及 Default role for new SSO members。
2. 在 Review 中，点击 Save configuration。
3. 点击 Run test，开启 Enable SSO，并在隐私窗口中从 Clevera 登录页面开始，以测试用户身份登录。
4. 当一切正常后，如果你希望 SSO 成为唯一的登录方式，请开启 Require SSO。这也会为这些成员关闭 Continue with Google。

成员在 Clevera 登录页面输入其工作邮箱并点击 Continue with Google Workspace。

故障排除#

更多消息：修复 SSO 登录问题。

相关内容#