使用 Microsoft Entra ID 設定 SSO

設定 Microsoft Entra ID (前身為 Azure AD) 與 Clevera 之間的單一登入，讓你的團隊能使用 Microsoft 公司帳戶登入。你可以透過 SAML 2.0 或 OpenID Connect (OIDC) 進行連線；本指南涵蓋了 Entra 端的設定以及 Clevera 中對應的欄位。

Microsoft Entra 管理中心會不定期更新。如果下方的標籤不符，請尋找意義相同的設定，並使用完整數值列表的通用指南：SAML、OIDC。

開始之前#

• 你是 Clevera 工作區的擁有者，且方案為自訂方案。
• 你可以在 Entra 中建立企業應用程式或應用程式註冊（例如擔任應用程式管理員）。
• 你知道團隊成員使用的電子郵件網域，例如 acme.example。

請先開啟 Clevera 設定對話框，以便複製其中的數值：開啟側邊欄頂端的工作區選單，選擇團隊設定，接著點選安全性，然後點擊設定 SSO。選擇 Microsoft Entra ID (Azure AD) 作為身分識別提供者。

使用 SAML 2.0 連線#

1. 建立企業應用程式#

   在 Microsoft Entra 管理中心，前往企業應用程式並點擊新增應用程式，然後選擇建立您自己的應用程式。將其命名為 Clevera，選擇整合您在資源庫中找不到的任何其他應用程式 (非資源庫)，然後點擊建立。

2. 選擇 SAML#

   在新的應用程式中，開啟單一登入並選擇 SAML。

3. 輸入 Clevera 的數值#

   在基本 SAML 設定中，點擊編輯並填入以下內容：

   Entra 欄位	來自 Clevera 的數值
   識別碼 (實體識別碼)	實體識別碼 / 對象 URI (從 Clevera 對話框複製；結尾為你的工作區識別碼)
   回覆 URL (判斷提示取用者服務 URL)	https://app.clevera.ai/sso/saml/callback
   登入 URL	保持空白
   轉送狀態	保持空白
   登出 URL	僅在你將使用單一登出時填寫：https://app.clevera.ai/sso/saml/slo

   點擊儲存。

4. 檢查宣告#

   在屬性與宣告中，開啟唯一使用者識別碼 (名稱識別碼)。將名稱識別碼格式設為電子郵件地址，並將來源屬性設為包含成員電子郵件的屬性：user.mail，如果他們的登入名稱就是電子郵件，則設為 user.userprincipalname。保留預設的 givenname、surname 和 emailaddress 宣告：Clevera 會讀取這些內容。

5. 簽署回應與判斷提示#

   在 SAML 憑證中，點擊簽署憑證旁邊的編輯。將簽署選項設為簽署 SAML 回應與判斷提示，並將簽署演算法設為 SHA-256。點擊儲存。

   Entra 預設僅簽署判斷提示，而 Clevera 會拒絕該設定。

6. 將 Entra 的數值複製到 Clevera#

   在 SAML 憑證中，下載憑證 (Base64) 並以文字編輯器開啟。在設定 Clevera 中，複製這些 URL。在 Clevera 中，將通訊協定設為 SAML 2.0，點擊繼續，並貼上：

   Entra 數值	Clevera 欄位
   Microsoft Entra 識別碼	IdP 實體識別碼
   登入 URL	SSO 登入 URL
   登出 URL	登出 URL (選填)
   憑證 (Base64) 的內容	X.509 憑證

7. 指派人員#

   在使用者與群組中，點擊新增使用者/群組，並加入需要使用 Clevera 的人員或群組。

接著在 Clevera 完成設定：網域與角色。

使用 OpenID Connect 連線#

1. 註冊應用程式#

   在 Clevera 的設定對話框中，將通訊協定設為 OpenID Connect 並從灰色方塊中複製重新導向 URI (回呼 URL)。在 Entra 中，前往應用程式註冊並點擊新註冊。將其命名為 Clevera，選擇僅此組織目錄中的帳戶 (單一租用戶)，並在重新導向 URI 下選擇網頁並貼上 https://app.clevera.ai/sso/oidc/callback。點擊註冊。

2. 複製識別碼#

   在應用程式的總覽頁面上，複製應用程式 (用戶端) 識別碼與目錄 (租用戶) 識別碼。

3. 建立用戶端密碼#

   開啟憑證與密碼，點擊新增用戶端密碼，選擇到期日並點擊新增。請立即複製密碼的數值（而非密碼識別碼）；Entra 只會顯示該數值一次。

4. 新增電子郵件宣告#

   開啟權杖設定，點擊新增選用宣告，選擇 ID，勾選 email 並點擊新增。接受新增 Microsoft Graph 電子郵件權限的提示。若未執行此步驟，Clevera 將會退而求其次使用登入名稱 (preferred_username)，這僅在該名稱為使用者的電子郵件時才有效。

5. 填寫 Clevera#

   在 Clevera 中，點擊繼續並輸入：

   Clevera 欄位	數值
   用戶端識別碼	應用程式 (用戶端) 識別碼
   用戶端密碼	密碼的數值
   探索 URL	https://login.microsoftonline.com/ 你的目錄 (租用戶) 識別碼 /v2.0/.well-known/openid-configuration

   請在 URL 中使用你的租用戶識別碼，不要使用 common 或 organizations：Clevera 會檢查簽發者，而這些共用的 URL 無法與其匹配。

6. 限制登入人員 (選填)#

   預設情況下，租用戶中的任何人都可以使用此應用程式。若要限制存取，請開啟企業應用程式 → Clevera → 屬性，將需要指派嗎？設為是，並在使用者與群組中新增人員或群組。

在 Clevera 完成設定#

1. 在網域與角色中，新增成員使用的每個電子郵件網域，包含租用戶中任何額外驗證過的網域。選擇首次登入時建立帳戶以及新 SSO 成員的預設角色。
2. 在審閱中，點擊儲存設定。
3. 點擊執行測試，開啟啟用 SSO，並在私密視窗中以測試使用者身分，從 Clevera 登入頁面開始進行登入。
4. 當所有人都運作正常後，若希望強制使用 SSO，請開啟要求 SSO。

成員在 Clevera 登入頁面輸入公司電子郵件，並點擊繼續使用 Microsoft Entra ID (Azure AD)。

疑難排解#

更多訊息：修正 SSO 登入問題。

相關內容#