SAML 单点登录设置

你需要在 Okta 中为每个 ClickHouse 组织配置两个 App Integration：一个 SAML 应用，以及一个用于承载直达链接的书签应用。

创建一个用于管理访问权限的组

1. 以 Administrator 身份登录你的 Okta 实例。
2. 在左侧选择 Groups。
3. 点击 Add group。
4. 输入组名称和描述。该组将用于在 SAML 应用及其关联的书签应用之间保持用户分配一致。
5. 点击 Save。
6. 点击你创建的组名称。
7. 点击 Assign people，为你希望有权访问此 ClickHouse 组织的用户分配该组。

创建一个书签应用，让用户能够无缝登录

1. 在左侧选择 Applications，然后选择 Applications 子标题。
2. 点击 Browse App Catalog。
3. 搜索并选择 Bookmark App。
4. 点击 Add integration。
5. 为应用选择一个标签。
6. 输入 URL：https://console.clickhouse.cloud/?connection={organizationid}
7. 前往 Assignments 选项卡，并添加你在上面创建的组。

创建一个 SAML 应用以启用连接

1. 在左侧选择 Applications，然后选择 Applications 子标题。

2. 点击 Create App Integration。

3. 选择 SAML 2.0，然后点击 Next。

4. 输入应用名称，勾选 Don't display application icon to users 旁边的复选框，然后点击 Next。

5. 使用以下值填写 SAML 设置页面。

   字段	值
   Single Sign-On URL	从控制台复制 Single Sign-On URL
   Audience URI (SP Entity ID)	从控制台复制 Service Provider Entity ID
   Default RelayState	留空
   Name ID format	未指定
   Application username	Email
   Update application username on	创建和更新

6. 输入以下 Attribute Statement。

   Name	Name format	Value
   email	Basic	user.email

7. 点击 Next。

8. 在 Feedback 页面输入所需信息，然后点击 Finish。

9. 前往 Assignments 选项卡，并添加你在上面创建的组。

10. 在新应用的 Sign On 选项卡中，点击 Copy metadata URL 按钮。

11. 返回 将元数据 URL 添加到你的 SAML 配置中 继续完成此过程。

如果使用多组织 SSO，你需要在 Google 中为每个 organization 配置一个 SAML 应用，并向用户提供可收藏为书签的直达链接 (https://console.clickhouse.cloud/?connection={organizationId}) 。

创建 Google Web 应用

1. 前往 Google 管理控制台 (admin.google.com) 。

   

2. 点击 Apps，然后点击左侧的 Web and mobile apps。

3. 点击顶部菜单中的 Add app，然后选择 Add custom SAML app。

4. 输入应用名称，然后点击 Continue。

5. 复制元数据 URL，并将其保存到其他地方。

6. 输入以下 ACS URL 和 Entity ID。

   Field	Value
   ACS URL	从控制台复制 Single Sign-On URL
   Entity ID	从控制台复制 Service Provider Entity ID

7. 勾选 Signed response 复选框。

8. 在 Name ID Format 中选择 EMAIL，并将 Name ID 保持为 Basic Information > Primary email.

9. 点击 Continue。

10. 输入以下属性映射：

    Field	Value
    Basic information	Primary email
    App attributes	email

11. 点击 Finish。

12. 要启用该应用，请点击面向所有人的 OFF，然后将其更改为面向所有人的 ON。你也可以通过选择屏幕左侧的选项，将访问权限限制为特定群组或组织单位。

13. 返回将元数据 URL 添加到你的 SAML 配置以继续后续流程。

Azure (Microsoft) SAML 也可能称为 Azure Active Directory (AD) 或 Microsoft Entra。

创建 Azure Enterprise 应用程序

您需要为每个组织设置一个应用程序集成，并为每个组织使用单独的登录 URL。

1. 登录 Microsoft Entra 管理中心。

2. 在左侧导航到 Applications > Enterprise applications。

3. 点击顶部菜单中的 New application。

4. 点击顶部菜单中的 Create your own application。

5. 输入名称，选择 Integrate any other application you don't find in the gallery (Non-gallery)，然后点击 Create。

   

6. 点击左侧的 Users and groups，然后分配用户。

7. 点击左侧的 Single sign-on。

8. 点击 SAML。

9. 使用以下设置填写 Basic SAML Configuration 页面。

   Field	Value
   Identifier (Entity ID)	从控制台复制 Service Provider Entity ID
   Reply URL (Assertion Consumer Service URL)	从控制台复制 Single Sign-On URL
   Sign on URL	https://console.clickhouse.cloud/?connection={organizationid}
   Relay State	留空
   Logout URL	留空

10. 在 Attributes & Claims 下添加 (A) 或更新 (U) 以下内容：

    Claim name	Format	Source attribute
    (U) Unique User Identifier (Name ID)	Email address	user.mail
    (A) email	Basic	user.mail
    (U) /identity/claims/name	Omitted	user.mail

    

11. 复制元数据 URL，然后返回将元数据 URL 添加到您的 SAML 配置中，继续后续流程。

为 Duo 创建通用 SAML 服务提供商

1. 按照 Duo Single Sign-On for Generic SAML Service Providers 中的说明进行操作。

2. 使用以下 Bridge Attribute 映射：

   Bridge Attribute	ClickHouse Attribute
   Email Address	email

3. 使用以下值更新您在 Duo 中的 Cloud Application：

   Field	Value
   Entity ID	从控制台复制 Service Provider Entity ID
   Assertion Consumer Service (ACS) URL	从控制台复制 Single Sign-On URL
   Service Provider Login URL	https://console.clickhouse.cloud/?connection={organizationid}

4. 复制元数据 URL，然后返回将元数据 URL 添加到您的 SAML 配置，继续完成此流程。