配置企业单点登录并交接给成员

准备企业身份源，保存 OIDC 连接、验证域名、完成登录测试，再按批准范围设置登录策略并核对成员实际访问。

企业单点登录（SSO）让成员通过企业身份源登录。由负责企业身份、域名和权限的人员共同准备，按“保存连接 → 验证企业域名 → 完成登录测试 → 核对成员实际访问”的顺序办理。连接可用、成员成功进入和业务权限正确分别核对。

从哪里进入

在“账号与安全”切到“企业登录”，确认当前企业。查看连接、候选角色部门和企业登录记录，需要企业范围的 SSO 查看权限；保存、验证域名及测试另需企业范围的 SSO 配置权限。

页面的身份提供商选项为 Microsoft Entra ID、Google Workspace 和标准 OIDC。仅选择提供商名称不会创建外部身份应用；先由企业身份负责人提供真实配置。

资料	用途与注意事项
企业邮箱域名	填域名，不填完整邮箱或 `@`；确认有权维护其域名解析（DNS），且没有绑定其他企业
Issuer URL、Client ID	分别为身份提供商的签发者地址与客户端标识，由身份提供商提供；正式环境使用符合要求的 HTTPS 地址，不用普通登录页代替
Client Secret	客户端密钥，首次保存必需；由有权限的人员通过正式保密渠道取得，不放入文档、截图或业务备注
身份应用回调地址	由平台负责人确认当前环境的准确值，并在身份提供商中配置；本页没有编辑回调地址的字段，不自行猜测
JIT 默认角色、默认部门	首次建立企业成员关系时使用的角色及可选部门，先核对实际业务范围和有效状态
企业登录标识及恢复安排	成员使用的企业标识与显示名称不同；强制登录前保留经批准且可用的恢复方式

JIT 表示符合条件的成员首次通过身份源登录时按配置建立所需成员关系。已有成员不会因为修改默认角色就自动更换其角色；部门设置也不是业务权限。

已有连接的 Client Secret 留空表示保留原值，不是清空密钥。更换身份应用、Issuer 或密钥后，应重新完成测试；修改域名后重新验证并测试，再交付成员。

记录未找到或不匹配时，核对域名、主机记录、完整 TXT 值及 DNS 生效情况，再验证。域名被另一企业绑定时先联系负责人员核对，不创建第二家企业绕过。

一次性验证值不会在普通读取中再次显示。若已经遗失，先联系负责人处理；当前没有独立重新生成按钮，原样重新保存同一域名也不会生成新值。不要为了取新值随意改成其他域名再改回。

“待完成”“可用”“已停用”是连接状态；域名验证和测试分别影响是否可用。重新测试会更新测试状态，进行中不能把旧的可用标记当作本次已成功。

测试主要核对连接往返，不自动创建测试成员或完成同邮箱关联，也不能证明首次成员的角色、企业访问和业务权限正确。正式交付前仍需由成员本人走实际入口核对。

启用强制模式时，“允许本地密码登录”会被关闭。保存前确认域名已验证、测试成功、受影响成员能实际登录，以及恢复负责人、账号和合法网络已准备；强制策略可能使原有非 SSO 会话无法继续进入企业。

需要取消强制时，由具备权限的负责人按批准方案选择“不强制”并核对“允许本地密码登录”，保存后验证结果。当前页面没有独立删除或停用连接的按钮，取消强制不等于删除身份关联或关闭 SSO 入口。

预先登记且仍有效的紧急管理员可以按批准安排处理 SSO 恢复，但登记不自动授予管理角色，也不绕过企业 MFA 或网络限制。见紧急管理员与安全交接。

首次成员开通还要求身份源提供已验证且匹配企业域名的邮箱；连接测试成功不代表所有邮箱或已停用人员都能加入。无法进入时保留错误信息，由负责人核对，不借用他人身份完成验证。

情况	处理方式
版本冲突	重新读取当前连接，核对他人修改及本次拟改字段后再保存
首次密钥缺失、角色或部门不可用	核对真实身份应用与当前有效清单，不填占位值或随意扩大默认权限
强制模式被拒绝	先完成域名验证和成功测试，不能关闭验证或通过换企业绕过
提供商登录取消、回调无效或已过期	回到正常入口启动新一次测试或登录，不重复打开旧回调地址
保存、验证或测试结果未知	先读取当前连接及对应登录记录，不反复替换密钥、域名或强制模式
记录刷新失败	当前可见旧记录不当作最新结果，使用重试后再判断

“企业登录记录”支持刷新和分页，显示结果、时间、邮箱域、错误码及请求 ID。需要协助时提供必要的时间、错误码和请求 ID；不转发密钥、授权码、完整回调地址或验证码。个人“登录记录”与企业 SSO 记录分别使用，不能相互代替。