Najczęstsze pytania o SSO
SSO pozwala Twojemu zespołowi logować się przez własnego dostawcę tożsamości. Wchodzi w skład
planu Enterprise lub dodatku Enterprise do planów Presenter, Studio HD, Studio 4K i Studio 8K, a konfiguruje go Twój zespół w sekcji
Panel → Zespół → Bezpieczeństwo (/dash/team/security). Potrzebujesz uprawnienia zespołowego Zarządzanie
bezpieczeństwem (właściciel i administratorzy mają je domyślnie).
Którzy dostawcy są obsługiwani?
Samoobsługowe SSO korzysta z OpenID Connect (OIDC). Działa każdy dostawca OIDC: Okta, Microsoft Entra ID (Azure AD), Google Workspace, Auth0 i inni udostępniają punkt końcowy OIDC.
SAML jest dostępny, ale jako usługa zarządzana: skontaktuj się z Cliqer, a skonfigurujemy go dla Twojego zespołu. Formularz samoobsługowy tworzy wyłącznie dostawców OIDC.
Jak dodać dostawcę?
Dodaj dostawcę
Przejdź do Zespół → Bezpieczeństwo → Logowanie jednokrotne i kliknij Dodaj dostawcę.
Wypełnij formularz
- Nazwa wyświetlana: etykieta widoczna na przycisku logowania.
- URL wystawcy: adres wystawcy OIDC Twojego dostawcy. Cliqer automatycznie pobiera dane discovery z
<issuer>/.well-known/openid-configuration. - Identyfikator klienta i Sekret klienta: z aplikacji utworzonej w Twoim IdP.
- Claim identyfikatora: claim mapowany na konto Cliqer (
email,sublubpreferred_username). Domyślnieemail. - Dozwolone domeny e-mail (opcjonalnie): ogranicz logowanie do wybranych domen e-mail.
- Automatyczne tworzenie kont: zakładaj konto Cliqer przy pierwszym logowaniu.
Zapisz
Zapisz. Dostawca pojawi się teraz na stronie logowania.
Jaki URI przekierowania skonfigurować w IdP?
https://<your-cliqer-host>/sso/<slug>/callback
Wartość slug jest generowana podczas tworzenia dostawcy. Proces logowania zaczyna się od
/api/auth/sso/<slug>/start i wraca do powyższego adresu callback.
Czy mogę używać więcej niż jednego dostawcy?
Tak. Możesz dodać wielu dostawców; każdy ma własny przycisk na stronie logowania. Za pomocą listy dozwolonych domen e-mail określ, kogo akceptuje każdy dostawca.
Do czego służy „Wymagaj SSO”?
Po włączeniu opcji Wymagaj SSO logowanie hasłem i kluczem dostępu jest odrzucane po stronie serwera dla członków Twojego zespołu: muszą korzystać z jednego z Twoich dostawców SSO.
- Wymuszanie odbywa się w punktach końcowych logowania (
/api/auth/logini krok weryfikacji klucza dostępu), a nie przez ukrycie formularza, więc nie da się go obejść, wywołując API bezpośrednio. - Właściciel zespołu jest wyłączony z tego wymogu (dostęp awaryjny): właściciel zawsze może zalogować się hasłem, dzięki czemu organizacja nigdy nie zablokuje sobie dostępu.
Co dzieje się z istniejącymi kontami?
Członkowie są dopasowywani do swojej tożsamości SSO na podstawie claimu identyfikatora (domyślnie adresu e-mail). Istniejące konta zachowują swoje dane i ustawienia. Gdy opcja Automatyczne tworzenie jest włączona, użytkownik logujący się przez SSO po raz pierwszy, który nie ma pasującego konta, otrzymuje je automatycznie.
Jak wyłączyć wymuszanie?
Wyłącz przełącznik Wymagaj SSO na tej samej stronie. Logowanie hasłem i kluczem dostępu jest od razu ponownie dostępne. Twoi dostawcy pozostają skonfigurowani.