使用 OpenID Connect 設定 SSO
透過 OpenID Connect 將 Clevera 連接到你的身分提供者：包含你的 IdP 所需的重新導向 URI、範圍與用戶端驗證、Clevera 讀取的宣告、所有設定欄位，以及測試與啟用 SSO 的方法。
透過 OpenID Connect (OIDC) 將 Clevera 連接到你的身分提供者 (IdP)，讓你的團隊成員能使用公司帳號登入。本文涵蓋了在你的 IdP 中建立應用程式的步驟、Clevera 設定對話框中的每個欄位、Clevera 讀取的宣告，以及如何測試並啟用 SSO。
若想了解 SSO 對成員造成的變更，請先閱讀 了解單一登入。各提供者的專屬設定畫面請參閱 Okta、Microsoft Entra ID 與 Google Workspace 的指南。
開始之前
- 你是 Custom plan 工作區的 擁有者。
- 你可以在 IdP 中建立 OIDC (網頁) 應用程式，或者有相關人員協助你處理。
- 你知道團隊使用的所有電子郵件網域。
在你的 IdP 中建立應用程式
建立一個 網頁應用程式 (具有用戶端密鑰的機密用戶端)，並依照下列方式設定：
| IdP 設定 | 數值 |
|---|---|
| 重新導向 URI (登入重新導向 URI、回呼 URL) | https://app.clevera.ai/sso/oidc/callback |
| 授權類型 | 授權碼 (Authorization code) |
| 用戶端驗證 | 用戶端密鑰 (Client secret)。Clevera 會在權杖請求的主體中傳送此密鑰 (client_secret_post)。 |
| 範圍 (Scopes) | openid, email, profile |
| 登出重新導向 URI、啟動登入 URI | 留空。登入必須從 Clevera 登入頁面開始。 |
你不必手動輸入重新導向 URI。在 Clevera 的設定對話框中，於第一步選擇 OpenID Connect：灰色方塊「給設定身分提供者的人員」會顯示 重新導向 URI (回呼 URL)，並附有一個複製按鈕。
建立應用程式後，請複製其 用戶端 ID、用戶端密鑰 與 探索 URL (也稱為 OpenID 設定 URL 或 well-known URL，結尾為 /.well-known/openid-configuration)。
Clevera 讀取的宣告
Clevera 會讀取 ID 權杖；若 IdP 具有 UserInfo 端點，Clevera 也會讀取該處的 UserInfo 回應。
| 用途 | 宣告 (依順序) | 備註 |
|---|---|---|
| 電子郵件 | email，接著 preferred_username，接著 upn |
使用第一個有效的電子郵件地址。若無，則登入失敗。 |
| 名稱 | name，接著 given_name + family_name，接著 preferred_username |
僅在 Clevera 建立新帳號時使用。若無，則預設使用電子郵件中 @ 之前的部分。 |
Clevera 不會讀取群組或角色宣告：所有透過 SSO 建立的使用者都會獲得你在 Clevera 中選擇的預設角色。
在 Clevera 中連接你的 IdP
開啟安全性索引標籤
開啟側邊欄頂端的工作區選單，選擇 團隊設定，然後選擇 安全性。在 單一登入 下方，點擊 設定 SSO。
提供者
選擇你的 身分提供者 並將 通訊協定 設為 OpenID Connect。若尚未操作，請將 重新導向 URI (回呼 URL) 複製到你的 IdP 中，然後點擊 繼續。(JumpCloud 在 Clevera 中僅支援 SAML。)
提供者名稱會顯示在成員看到的登入按鈕上，例如 使用 Okta 繼續。若使用 自訂 SAML/OIDC 提供者，按鈕則會顯示 使用 SSO 繼續。
身分提供者
填寫下方欄位。點擊 繼續。
網域與角色
在 允許的電子郵件網域 下方新增每個電子郵件網域，選擇是否 在首次登入時建立帳號，並挑選 新 SSO 成員的預設角色。這些設定與 SAML 的運作方式相同：請參閱 網域與角色。
審閱
檢查摘要並點擊 儲存設定。你會看到「SSO 設定已儲存。請執行測試，然後將其啟用。」儲存動作並不會直接啟用 SSO。
身分提供者欄位
| 欄位 | 必填 | 輸入內容 |
|---|---|---|
| 用戶端 ID | 是 | 你的 OIDC 應用程式用戶端 ID。 |
| 用戶端密鑰 | 是 | 你的 OIDC 應用程式用戶端密鑰。會加密儲存且不再顯示；稍後編輯時會顯示「密鑰已儲存。留空以保留原密鑰。」 |
| 探索 URL | 建議 | 「建議。端點將從此處讀取。」例如 https://idp.example.com/.well-known/openid-configuration。 |
| 授權 URL | 僅在無探索 URL 時 | 你的 IdP 授權端點。 |
| 權杖 URL | 僅在無探索 URL 時 | 你的 IdP 權杖端點。 |
| UserInfo URL | 否 | 你的 IdP UserInfo 端點。僅在無探索 URL 時顯示。 |
這三個端點欄位僅在 探索 URL 為空時才會出現。
為什麼建議使用探索 URL
使用探索 URL 時，Clevera 會自行讀取端點，並根據 IdP 發布的簽署金鑰與簽發者來檢查每次登入。僅在你的 IdP 沒有探索文件時，才手動輸入端點。
- 探索 URL 必須是 IdP 的簽發者加上
/.well-known/openid-configuration，且其中的issuer必須與你的 IdP 所發出的權杖相符。簽發者包含預留位置的多租戶 URL (例如 Microsoft 的common端點) 無法運作；請使用你租戶專屬的 URL。 - 每個 URL 都必須是 Clevera 伺服器可存取的公開
https://(或http://) 位址。私有網路上的位址 (例如僅能透過 VPN 存取的 IdP) 將會被拒絕。任何連接埠皆可。 - Clevera 最多會保留探索文件與簽署金鑰一小時。若你的 IdP 在此期間輪替簽署金鑰，Clevera 會在拒絕登入前重新擷取一次新金鑰，因此金鑰輪替不會導致使用者無法登入。
測試連線
執行檢查
在 安全性 索引標籤上，點擊 執行測試。這會檢查用戶端 ID 與密鑰是否已儲存，並在有探索 URL 的情況下，檢查文件是否載入且包含授權端點。你會看到「SSO 設定有效且可使用。」或問題清單。請參閱 修正 SSO 登入問題。
每個問題都會告訴你如何修正。 啟用 SSO
開啟 啟用 SSO。你會看到「SSO 已啟用。」且徽章顯示為 啟用中。
以測試成員身分登入
在私人瀏覽器視窗中，前往 Clevera 登入頁面，輸入成員的電子郵件，點擊 使用...繼續 (你的提供者) 並登入。你應該會進入該成員在工作區的 Clevera 首頁。身為擁有者，你隨時可以使用密碼登入，因此這不會導致你被鎖在系統外。
執行測試 不會檢查用戶端密鑰或實際登入；只有第 3 步才會。
強制使用 SSO、變更或移除
這些操作與 SAML 相同：
- 當所有人都可登入時，開啟 強制使用 SSO。此後，你網域內的成員將無法使用密碼或 Google 登入。
- 編輯 可變更連線設定。將 用戶端密鑰 留空以保留已儲存的密鑰。當你在 IdP 中輪替密鑰時，請貼上新密鑰並儲存。
- 移除 SSO 設定 (位於狀態徽章旁的選單中) 會將其刪除。透過 SSO 建立的成員需使用 忘記密碼？ 來設定密碼。
詳細資訊請參閱 使用 SAML 設定 SSO。OIDC 沒有單一登出功能：從你的 IdP 登出並不會讓使用者從 Clevera 登出。