使用 SAML 2.0 設定 SSO
使用 SAML 2.0 將 Clevera 連接到您的身分提供者：提供給 IdP 的實體 ID (Entity ID) 和 ACS URL、簽章與 Name ID 設定、Clevera 讀取的屬性、每個設定欄位，以及測試與啟用 SSO 的方法。
使用 SAML 2.0 將 Clevera 連接到您的身分提供者 (IdP)，讓您的團隊能使用公司帳號登入。本文列出了 Clevera 設定對話框中的每個欄位、您的 IdP 所需的確切值，以及如何測試並啟用它。
若要了解 SSO 對成員造成的變更，請先閱讀 了解單一登入。如需逐步的 IdP 畫面說明，請參閱 Okta、Microsoft Entra ID 和 Google Workspace 的指南。
開始之前
- 您是 自訂方案 工作區的 擁有者。
- 您可以在 IdP 中建立 SAML 應用程式，或者您正與可以執行此操作的人員合作。
- 您知道團隊使用的每個電子郵件網域，例如
acme.example和eu.acme.example。
提供給 IdP 的值
Clevera 會在設定對話框的「給設定身分提供者的人員」下方顯示這些值，每個值都附有複製按鈕。請從該處複製它們：實體 ID (Entity ID) 包含您工作區專屬的 ID。
| Clevera 標籤 | 在您的 IdP 中是什麼 | 值 |
|---|---|---|
| 實體 ID / 受眾 URI | Audience URI, SP Entity ID, Identifier | https://app.clevera.ai/sso/metadata/ 後接您的工作區 ID |
| ACS URL (回覆 URL) | Assertion Consumer Service URL, Single sign-on URL, Reply URL | https://app.clevera.ai/sso/saml/callback |
| SP 中繼資料 URL | Service provider metadata | 與實體 ID 相同的位址。它以 XML 格式提供 Clevera 的 SAML 中繼資料，供可匯入此格式的 IdP 使用。 |
請依照下列方式在您的 IdP 中設定應用程式：
| IdP 設定 | 設定為 |
|---|---|
| Name ID 格式 | EmailAddress (urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress) |
| Name ID 值 | 該人員的工作電子郵件 |
| 簽章 | 簽署 SAML 回應與斷言 (Assertion) 兩者。建議使用 SHA-256。 |
| 斷言加密 | 關閉。Clevera 不接受加密的斷言。 |
| 已簽署的驗證請求 | 不需要。Clevera 發送未簽署的請求。 |
| ACS URL 的繫結 | HTTP POST |
| 預設 RelayState，IdP 發起的登入 | 留空。登入必須從 Clevera 登入頁面開始。 |
Clevera 讀取的屬性
電子郵件來自 Name ID。如果 Name ID 不是電子郵件位址，Clevera 會尋找下列屬性中的第一個：
| 用途 | Clevera 接受的屬性名稱 (依順序) |
|---|---|
| 電子郵件 | email, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/emailaddress, User.Email |
| 名字 | firstName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/givenname, User.FirstName, first_name |
| 姓氏 | lastName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/surname, User.LastName, last_name |
| 顯示名稱 (當沒有名字或姓氏時使用) | displayName, http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name, User.Name, name |
名稱僅在 Clevera 建立新帳號時使用。若完全沒有名稱屬性，帳號將以電子郵件中 @ 之前的部分命名。Clevera 不會讀取任何群組或角色屬性：每個透過 SSO 建立的使用者都會獲得您在下方選擇的預設角色。
在 Clevera 中連接您的 IdP
開啟「安全性」索引標籤
開啟側邊欄頂端的工作區選單，選擇 團隊設定，然後選擇 安全性。在 單一登入 下方，點擊 設定 SSO。隨即會開啟 設定單一登入 對話框。
提供者
選擇您的 身分提供者 (Okta、Microsoft Entra ID (Azure AD)、OneLogin、Google Workspace、JumpCloud 或自訂 SAML/OIDC 提供者)，並將 通訊協定 設定為 SAML 2.0。將灰色方塊中的值複製到您的 IdP，然後點擊 繼續。
提供者的名稱是成員在登入按鈕上看到的內容，例如 繼續使用 Okta。若使用 自訂 SAML/OIDC 提供者，按鈕會顯示為 繼續使用 SSO。
身分提供者
貼上來自您 IdP SAML 設定頁面的值。請參閱 欄位參考。點擊 繼續。
網域與角色
在 允許的電子郵件網域 下輸入每個電子郵件網域，並點擊 新增 (或按下 Enter)。接著選擇是否 在首次登入時建立帳號，並選擇 新 SSO 成員的預設角色。請參閱 網域與角色。
審閱
檢查摘要並點擊 儲存設定。您會看到「SSO 設定已儲存。請執行測試，然後將其開啟。」儲存動作不會啟用 SSO。
身分提供者欄位
| 欄位 | 必填 | 貼上內容 | 您的 IdP 如何稱呼它 |
|---|---|---|---|
| IdP 實體 ID | 是 | IdP 的簽發者，與您的 IdP 顯示的完全一致 | Identity Provider Issuer, Entity ID, Microsoft Entra Identifier |
| SSO 登入 URL | 是 | Clevera 將使用者導向登入的 URL (HTTP Redirect 繫結) | Identity Provider Single Sign-On URL, Login URL, SSO URL |
| 登出 URL | 否 | 您 IdP 的單一登出 URL。「除非您的提供者需要單一登出，否則請留空。」 | Single Logout URL, Logout URL |
| X.509 憑證 | 是 | 您 IdP 的簽署憑證 | X.509 Certificate, Certificate (Base64) |
憑證
- 貼上整個憑證。
-----BEGIN CERTIFICATE-----和-----END CERTIFICATE-----行是選填的；空格和換行符號會被忽略。 - 請使用 Base64 (PEM) 文字，而非二進位
.cer檔案。如果您下載了檔案，請用文字編輯器開啟並複製其內容。 - Clevera 會將其加密儲存，且不會再次顯示。當您稍後編輯連線時，該欄位會顯示「已儲存憑證。留空以保留它。」
- 執行測試 會告知您憑證是否無法讀取或已過期。
網域與角色
| 設定 | 功能 | 預設 |
|---|---|---|
| 允許的電子郵件網域 | 僅擁有這些電子郵件網域的人員可以使用此連線。網域也決定了登入頁面何時提供 SSO。至少需要一個。 | 無 |
| 在首次登入時建立帳號 | 「當有人首次使用 SSO 登入時，會建立一個 Clevera 帳號。」新帳號會加入此工作區。 | 開啟 |
| 新 SSO 成員的預設角色 | 新帳號獲得的角色：編輯器、內容創作者 或 管理員。管理員僅在 在首次登入時建立帳號 關閉時提供：「自動建立的帳號永遠不會成為管理員。」 | 編輯器 |
關於網域：
- 網域必須完全相符。
acme.example不包含eu.acme.example；請逐一新增。 - 僅輸入網域 (
acme.example)，不要輸入電子郵件。開頭的@會被移除。 - 一個網域只能屬於一個 Clevera 工作區。如果其他工作區已使用該網域，儲存時會顯示「網域 acme.example 已指派給另一個團隊。」如果那是您的網域，請聯絡支援團隊。
內容創作者會佔用創作者席位；編輯器則不會。如果預設角色是 內容創作者 且所有創作者席位已滿，透過 SSO 加入的人員將改為成為 編輯器，因此 SSO 永遠不會讓您超過席位限制。當您準備好時，請新增席位並在 團隊設定 → 成員 中變更他們的角色。請參閱 了解工作區、角色與創作者席位。
測試連線
執行檢查
回到 安全性 索引標籤，點擊 測試連線 旁邊的 執行測試。它會檢查已儲存的設定：確認實體 ID、登入 URL 和憑證是否存在、URL 是否有效，以及憑證是否可讀取且未過期。
您會看到「SSO 設定有效且可供使用。」或「SSO 設定有問題，需要解決。」以及問題清單。請參閱 修正 SSO 登入問題。
在啟用 SSO 之前請先執行測試。 啟用 SSO
開啟 啟用 SSO。您會看到「SSO 已開啟。」狀態徽章會從 關閉 變更為 啟用中。
以測試成員身分登入
開啟無痕瀏覽視窗，前往 Clevera 登入頁面並輸入成員的電子郵件（若帳號是在首次登入時建立，則輸入新人員的電子郵件）。點擊 Continue with 您的提供商，並在您的 IdP 進行登入。您應該會進入該人員在您工作區中的 Clevera 首頁。
您自己的工作階段不會受到影響，且身為擁有者，您隨時可以使用密碼登入。
Run test 不會連接您的 IdP，因此步驟 3 的實際登入是唯一的完整測試。請從 Clevera 登入頁面啟動測試：從 IdP 儀表板啟動的測試將會被拒絕。
強制使用 SSO
當所有人都能登入後，請開啟 Require SSO（「符合條件的成員必須使用 SSO 登入。」）。您會看到「SSO is now required.」，且徽章顯示為 Active · enforced。
從那時起，您網域上的成員將無法使用密碼或 Google 登入，且您網域上的新成員也無法使用密碼建立 Clevera 帳號：他們必須透過 SSO 登入來取得帳號。您只能在 Enable SSO 開啟時才能啟用此功能，且關閉 Enable SSO 也會一併將其關閉。
單一登出
如果您填寫了 Logout URL，Clevera 的中繼資料也會列出登出位址：https://app.clevera.ai/sso/saml/slo（HTTP Redirect 綁定）。當您的 IdP 在該處發送登出請求時，Clevera 會將該人員登出並將其導回您的 IdP。
在 Clevera 登出並不會將人員從您的 IdP 登出。
變更或移除連線
- 變更連線： 點擊 Provider 旁邊的 編輯。對話框會開啟並顯示您儲存的值；若要保留憑證，請將其留空。
- 暫時關閉： 關閉 Enable SSO。設定將會保留。
- 移除連線： 開啟狀態徽章旁邊的選單，選擇 Remove SSO configuration，然後選擇 Remove SSO。「使用 SSO 登入的成員將需要重設密碼才能繼續登入。」
Provider 列會顯示通訊協定以及您擁有的網域數量。一旦有人開始使用 SSO，該區塊底部會出現類似「12 SSO sign-ins · last Oct 12」的資訊。