שאלות נפוצות על SSO
SSO מאפשר לצוות שלכם להתחבר דרך ספק הזהויות שלכם. הוא חלק מתוכנית
Enterprise, או מתוסף Enterprise לתוכניות Presenter, Studio HD, Studio 4K ו-Studio 8K, והצוות שלכם מגדיר אותו בנתיב
לוח בקרה ← צוות ← אבטחה (/dash/team/security). נדרשת הרשאת הצוות ניהול
אבטחה (לבעלים ולמנהלים יש אותה כברירת מחדל).
אילו ספקים נתמכים?
SSO בשירות עצמי משתמש ב-OpenID Connect (OIDC). כל ספק OIDC עובד: Okta, Microsoft Entra ID (Azure AD), Google Workspace, Auth0 ואחרים, כולם חושפים נקודת קצה OIDC.
SAML זמין, אך מנוהל: יש לפנות אל Cliqer ואנחנו נגדיר אותו עבור הצוות שלכם. טופס השירות העצמי יוצר ספקי OIDC בלבד.
איך מוסיפים ספק?
הוספת ספק
יש לעבור אל צוות ← אבטחה ← כניסה יחידה וללחוץ על הוספת ספק.
מילוי הטופס
- שם תצוגה: התווית שמוצגת על לחצן ההתחברות.
- כתובת URL של המנפיק (Issuer URL): מנפיק ה-OIDC של הספק שלכם. Cliqer מאחזר באופן אוטומטי את נתוני הגילוי מהכתובת
<issuer>/.well-known/openid-configuration. - מזהה לקוח (Client ID) ו-סוד לקוח (Client secret): מהאפליקציה שיצרתם ב-IdP שלכם.
- Claim מזהה: ה-claim שממופה לחשבון Cliqer (
email,subאוpreferred_username). ברירת המחדל:email. - רשימת היתרים של דומייני אימייל (אופציונלי): הגבלת ההתחברות לדומיינים ספציפיים של אימייל.
- יצירת חשבונות אוטומטית: הקצאת חשבון Cliqer בהתחברות הראשונה.
שמירה
יש לשמור. הספק יופיע מעכשיו בדף ההתחברות.
איזה URI להפניה מחדש (redirect URI) צריך להגדיר ב-IdP?
https://<your-cliqer-host>/sso/<slug>/callback
ה-slug נוצר בעת יצירת הספק. תהליך ההתחברות מתחיל בנתיב
/api/auth/sso/<slug>/start וחוזר לכתובת ה-callback שלמעלה.
אפשר להשתמש ביותר מספק אחד?
כן. אפשר להוסיף כמה ספקים, וכל אחד מהם מציג לחצן משלו בדף ההתחברות. יש להשתמש ברשימת ההיתרים של דומייני האימייל כדי לקבוע את מי כל ספק מקבל.
מה עושה "חובת SSO"?
כשמפעילים את חובת SSO, התחברות באמצעות סיסמה ובאמצעות מפתח גישה נדחית בצד השרת עבור חברי הצוות שלכם: הם חייבים להשתמש באחד מספקי ה-SSO שלכם.
- האכיפה מתבצעת בנקודות הקצה של ההתחברות (
/api/auth/loginושלב האימות של מפתח הגישה), ולא על ידי הסתרת טופס, ולכן אי אפשר לעקוף אותה באמצעות קריאה ישירה ל-API. - בעלי הצוות פטורים (גישת חירום, break-glass): הבעלים יכולים תמיד להתחבר באמצעות סיסמה, כך שארגון לעולם לא יכול לנעול את עצמו בחוץ.
מה קורה לחשבונות קיימים?
חברי הצוות מותאמים לזהות ה-SSO שלהם לפי ה-Claim המזהה (אימייל כברירת מחדל). חשבונות קיימים שומרים על הנתונים וההגדרות שלהם. כשהאפשרות יצירה אוטומטית מופעלת, משתמש SSO חדש שאין לו חשבון תואם מקבל חשבון שמוקצה לו באופן אוטומטי.
איך מבטלים את האכיפה?
יש לכבות את חובת SSO באותו דף. התחברות באמצעות סיסמה ומפתח גישה זמינה שוב באופן מיידי. הספקים שלכם נשארים מוגדרים.