了解 Clevera 的單一登入 (SSO)
單一登入在 Clevera 中的功能：包含此功能的方案、SAML 2.0 與 OpenID Connect 的比較、誰可以使用它登入、強制 SSO，以及現有成員與密碼會發生什麼變化。
單一登入 (SSO) 讓你的團隊可以使用來自 Okta、Microsoft Entra ID、Google Workspace 或任何 SAML 2.0 或 OpenID Connect 提供者的公司帳號登入 Clevera。本文說明 SSO 在 Clevera 中的功能、誰可以進行設定，以及對成員產生的變更。
開始之前
- 方案： SSO 是「自訂方案」的一部分。在其他方案中，擁有者會在「團隊設定 → 安全性」中看到「需要自訂方案」，並附有「聯絡我們」連結。請參閱 選擇方案。
- 誰可以設定： 僅限工作區「擁有者」。管理員無法查看或變更 SSO 設定。
- 你的身分提供者： 能夠在你的身分提供者 (IdP) 中建立應用程式，或能將其數值傳送給你的人員。
- 你的電子郵件網域： 你的成員登入時使用的所有公司網域，例如
acme.example。
SSO 在 Clevera 中的功能
| 發生什麼事 | |
|---|---|
| 登入 | 使用者在 Clevera 登入頁面輸入工作電子郵件，並點擊「使用你的提供者繼續」。他們會在你的 IdP 完成登入，並返回已登入狀態進入你的工作區。 |
| 新成員 | 開啟「首次登入時建立帳號」後，沒有 Clevera 帳號的人員在首次登入時會自動建立帳號，並以你選擇的預設角色加入工作區（若該角色需要創作者席位且無可用席位，則會以「編輯器」身分加入）。 |
| 現有成員 | 電子郵件網域在你的清單中的成員，可立即使用 SSO 登入。他們的影片或角色不會有任何變更。 |
| 強制 SSO | 開啟「強制 SSO」後，你網域下的成員將無法再使用密碼或 Google 登入，且你網域下的新成員無法使用密碼註冊。 |
| 擁有者 | 擁有者始終可以使用密碼登入，因此你不會將自己鎖在門外。 |
SSO 是以工作區為單位運作的：連線、網域及其規則皆屬於你設定它的該工作區。
SAML 2.0 或 OpenID Connect
Clevera 兩者皆支援。請選擇你的 IdP 管理員偏好的方式；對你的成員而言，結果是一樣的。
| SAML 2.0 | OpenID Connect (OIDC) | |
|---|---|---|
| 你在 Clevera 輸入的內容 | IdP 實體 ID、SSO 登入 URL、X.509 憑證、選用的登出 URL | 用戶端 ID、用戶端密鑰，以及探索 URL（或手動輸入端點） |
| 你提供給 IdP 的內容 | 實體 ID / 受眾 URI 與 ACS URL (回覆 URL) | 重新導向 URI (回呼 URL) |
| 從 IdP 單一登出 | 支援（若你新增了登出 URL） | 不支援 |
| 指南 | 設定 SAML SSO | 設定 OpenID Connect SSO |
提供者指南：Okta、Microsoft Entra ID、Google Workspace。OneLogin (SAML 或 OIDC) 和 JumpCloud (僅限 SAML) 也在提供者清單中；請依照它們的一般 SAML 或 OIDC 指南進行設定。
設定方式
在你的 IdP 中建立應用程式
使用 Clevera 在設定對話框第一步中顯示的數值，每個數值旁都有複製按鈕：SAML 的實體 ID 與 ACS URL，或是 OIDC 的重新導向 URI。
在 Clevera 中連線
開啟側邊欄頂端的工作區選單，選擇「團隊設定」，然後選擇「安全性」。在「單一登入」下方，點擊「設定 SSO」並完成四個步驟：提供者、身分提供者、網域與角色、審閱。點擊「儲存設定」。
進行測試
點擊「執行測試」，然後在私人瀏覽器視窗中使用測試成員帳號登入。
開啟功能
開啟「啟用 SSO」。當所有人都能登入後，若你希望 SSO 成為唯一的登入方式，請開啟「強制 SSO」。
儲存設定並不會自動開啟 SSO，因此你可以先準備好連線，而不會影響任何人。
使用者後續如何登入
- 在 Clevera 登入頁面，他們輸入工作電子郵件。
- Clevera 會識別該網域並顯示「你的組織使用 Okta」（你的提供者名稱）以及「使用 Okta 繼續」按鈕。若使用「自訂 SAML/OIDC 提供者」，則會顯示「你的組織使用 SSO」，按鈕文字為「使用 SSO 繼續」。若開啟「強制 SSO」，則會加上「此組織的成員使用 Okta 登入」。
- 他們點擊按鈕，在你的 IdP 登入，並進入你在該工作區的 Clevera 首頁。如果他們在被要求登入時正在開啟 Clevera 連結，他們會直接進入該頁面。
他們在該瀏覽器中會保持登入狀態，直到登出為止。登出 Clevera 並不會將他們從你的 IdP 登出。
桌面應用程式： 桌面應用程式透過你的瀏覽器進行登入。在瀏覽器的登入頁面上，輸入你的工作電子郵件並點擊「使用你的提供者繼續」。在你於 IdP 登入後，瀏覽器會將你導回桌面應用程式，完成登入程序。請參閱 登入桌面應用程式。
誰可以使用 SSO
| 人員 | 可以使用 SSO 登入嗎？ |
|---|---|
| 電子郵件網域在你的清單中的工作區成員 | 是 |
| 你網域下沒有 Clevera 帳號的人員 | 是（若開啟「首次登入時建立帳號」）。否則請先邀請他們。 |
| 你網域下已有 Clevera 帳號但非此工作區成員的人員 | 否。請邀請他們，一旦他們接受邀請，SSO 即可運作。 |
| 擁有者 | 是（若他們親自儲存了 SSO 設定）。他們也可以隨時使用密碼。 |
| 電子郵件網域不在你的清單中的任何人 | 否。他們繼續使用目前的方式登入。 |
第三與第四列是安全防護措施：由於 Clevera 中的電子郵件網域未經驗證，SSO 絕不會接管尚未加入你工作區的帳號，也不會讓擁有者透過他人儲存的連線登入。
創作者席位
由 SSO 建立的人員會獲得你選擇的「新 SSO 成員預設角色」。如果該角色為「內容創作者」且方案中的所有創作者席位已滿，他們將以「編輯器」身分加入，這不會佔用席位。請在「團隊設定 → 成員」中新增席位並變更其角色。請參閱 了解工作區、角色與創作者席位。
密碼會發生什麼變化
- 現有成員保留其密碼。在「強制 SSO」關閉時，他們可以使用任一方式。開啟後，使用正確密碼登入的成員會看到「你的組織需要單一登入。請使用 SSO 按鈕繼續。」
- 你網域下的新成員在「強制 SSO」開啟時無法使用密碼建立帳號。註冊表單會顯示「你的組織使用單一登入 (SSO)。請前往登入頁面，輸入此電子郵件並選擇『使用 SSO 繼續』。」他們的帳號會在首次使用 SSO 登入時建立（需開啟「首次登入時建立帳號」；否則請邀請他們）。
- 由 SSO 建立的帳號沒有使用者知道的密碼。如果之後關閉或移除 SSO，他們可以使用登入頁面上的「忘記密碼？」來設定密碼。
- 當「強制 SSO」開啟時，你網域下的成員無法使用 Google 登入。
移除某人的存取權
Clevera 不會從你的 IdP 同步使用者。在你的 IdP 中取消指派某人會停止新的 SSO 登入，但已登入的瀏覽器仍會保持登入狀態。若要立即切斷存取權，請同時在「團隊設定 → 成員」中移除他們。