使用 Microsoft Entra ID 设置 SSO

在 Microsoft Entra ID（前身为 Azure AD）和 Clevera 之间设置单点登录，以便你的团队使用其 Microsoft 工作账户登录。你可以通过 SAML 2.0 或 OpenID Connect (OIDC) 进行连接；本指南涵盖了 Entra 端的配置以及 Clevera 中对应的字段。

Microsoft Entra 管理中心会不时更新。如果下方的标签不匹配，请寻找含义相同的设置，并参考完整取值列表的通用指南：SAML、OIDC。

开始之前#

• 你是 自定义套餐 下 Clevera 工作区的 所有者。
• 你可以在 Entra 中创建企业应用程序或应用注册（例如作为应用程序管理员）。
• 你了解成员使用的电子邮件域，例如 acme.example。

首先打开 Clevera 设置对话框，以便复制其中的值：打开侧边栏顶部的工作区菜单，选择 团队设置，然后选择 安全，并点击 设置 SSO。选择 Microsoft Entra ID (Azure AD) 作为 身份提供商。

使用 SAML 2.0 连接#

1. 创建企业应用程序#

   在 Microsoft Entra 管理中心，转到 企业应用程序 并点击 新建应用程序，然后点击 创建你自己的应用程序。将其命名为 Clevera，选择 集成你在库中找不到的任何其他应用程序（非库），然后点击 创建。

2. 选择 SAML#

   在新应用中，打开 单点登录 并选择 SAML。

3. 输入 Clevera 的值#

   在 基本 SAML 配置 中，点击 编辑 并填写：

   Entra 字段	来自 Clevera 的值
   标识符 (实体 ID)	实体 ID / 受众 URI（从 Clevera 对话框中复制；它以你的工作区 ID 结尾）
   回复 URL (断言消费者服务 URL)	https://app.clevera.ai/sso/saml/callback
   登录 URL	留空
   中继状态	留空
   注销 URL	仅当你将使用单点注销时：https://app.clevera.ai/sso/saml/slo

   点击 保存。

4. 检查声明#

   在 属性和声明 中，打开 唯一用户标识符 (名称 ID)。将 名称标识符格式 设置为 电子邮件地址，并将源属性设置为包含成员电子邮件的属性：user.mail，如果他们的登录名就是电子邮件，则设置为 user.userprincipalname。保留默认的 givenname、surname 和 emailaddress 声明：Clevera 会读取它们。

5. 对响应和断言进行签名#

   在 SAML 证书 中，点击签名证书旁边的 编辑。将 签名选项 设置为 对 SAML 响应和断言进行签名，并将 签名算法 设置为 SHA-256。点击 保存。

   Entra 默认仅对断言进行签名，而 Clevera 会拒绝该请求。

6. 将 Entra 的值复制到 Clevera#

   在 SAML 证书 中，下载 证书 (Base64) 并用文本编辑器打开它。在 设置 Clevera 中，复制 URL。在 Clevera 中，将 协议 设置为 SAML 2.0，点击 继续，并粘贴：

   Entra 值	Clevera 字段
   Microsoft Entra 标识符	IdP 实体 ID
   登录 URL	SSO 登录 URL
   注销 URL	注销 URL (可选)
   证书 (Base64) 的内容	X.509 证书

7. 分配人员#

   在 用户和组 中，点击 添加用户/组 并添加需要使用 Clevera 的人员或组。

然后在 Clevera 中完成设置：域和角色。

使用 OpenID Connect 连接#

1. 注册应用#

   在 Clevera 的设置对话框中，将 协议 设置为 OpenID Connect 并从灰色框中复制 重定向 URI (回调 URL)。在 Entra 中，转到 应用注册 并点击 新注册。将其命名为 Clevera，选择 仅此组织目录中的账户 (单租户)，并在 重定向 URI 下选择 Web 并粘贴 https://app.clevera.ai/sso/oidc/callback。点击 注册。

2. 复制编号#

   在应用的 概览 上，复制 应用程序 (客户端) ID 和 目录 (租户) ID。

3. 创建客户端密码#

   打开 证书和密码，点击 新客户端密码，选择过期时间并点击 添加。立即复制密码的 值（不是 密码 ID）；Entra 只会显示一次。

4. 添加电子邮件声明#

   打开 令牌配置，点击 添加可选声明，选择 ID，勾选 email 并点击 添加。接受添加 Microsoft Graph 电子邮件权限的提示。如果没有此权限，Clevera 将回退到登录名 (preferred_username)，这仅在登录名即为成员电子邮件时才有效。

5. 在 Clevera 中填写#

   在 Clevera 中，点击 继续 并输入：

   Clevera 字段	值
   客户端 ID	应用程序 (客户端) ID
   客户端密码	密码的 值
   发现 URL	https://login.microsoftonline.com/ 你的 目录 (租户) ID /v2.0/.well-known/openid-configuration

   在 URL 中使用你的租户 ID，而不是 common 或 organizations：Clevera 会检查颁发者，而那些共享 URL 与其不匹配。

6. 限制登录人员 (可选)#

   默认情况下，租户中的任何人都可以使用该应用。若要限制此权限，请打开 企业应用程序 → Clevera → 属性，将 需要分配? 设置为 是，并在 用户和组 中添加人员或组。

在 Clevera 中完成设置#

1. 在 域和角色 上，添加成员使用的每个电子邮件域，包括你租户中任何额外的已验证域。选择 首次登录时创建账户 以及 新 SSO 成员的默认角色。
2. 在 查看 上，点击 保存配置。
3. 点击 运行测试，开启 启用 SSO，并在隐私窗口中以测试用户身份登录，从 Clevera 登录页面开始。
4. 当一切对所有人正常工作后，如果你希望 SSO 成为唯一的登录方式，请开启 需要 SSO。

成员在 Clevera 登录页面输入其工作电子邮件并点击 继续使用 Microsoft Entra ID (Azure AD)。

故障排除#

更多消息：修复 SSO 登录问题。

相关内容#