单点登录配置

功能说明

应用单点登录用于让数犀集成平台作为身份提供方或认证入口，把已经登录平台的用户带到目标应用。

每个应用只展示该应用实际支持的单点登录协议。当前配置页可按应用提供 SAML、OIDC、OAuth 2.0、CAS、应用市场模板或自定义认证流中的一种或多种能力，不存在对所有应用统一生效的“启用 SSO”开关。

应用网关、密码代填和表单登录属于其他接入方式，不应当作为 SAML、OIDC、OAuth 2.0 或 CAS 的协议类型填写。

前置条件

已创建目标应用，并确认应用支持的协议。

当前账号具有应用配置权限。

已从目标应用管理员处取得回调地址、SP 参数或其他协议资料。

已明确使用哪个用户属性作为目标应用用户名。

生产验证使用专用测试账号，并遵守最小授权原则。

目标租户可能因版本、许可证或灰度策略只展示部分协议。本文中的字段范围应以当前应用页面为准。

选择协议

应用单点登录页面按当前应用展示可用协议和模板

打开应用

进入应用管理，打开需要配置的应用。

进入单点登录配置

打开应用的单点登录配置区域，查看当前应用实际提供的协议或模板。

确认双方角色

确认数犀集成平台与目标应用在该协议中的角色，以及哪些参数由哪一方提供。

选择一种接入方式

按目标应用能力选择 SAML、OIDC、OAuth 2.0、CAS、应用市场模板或自定义认证流。不要把不同协议的字段混合填写。

配置 OIDC

OIDC 配置页包含：

授权类型。

服务发现地址，格式由当前应用的 Client ID 自动生成。

退出回调地址。

重定向 URI。

应用语言信息。

Token 设置。

ID Token 签名方式。

用户信息与 Claim 映射。

ID Token 签名方式可选择：

RS256：使用非对称密钥签名，可从页面下载签名证书。

HS256：使用对称密钥签名，页面提供签名密钥并允许重新生成。

重新生成 HS256 密钥会影响已经依赖旧密钥验签的应用。应先完成变更评估，再同步更新目标应用。

OIDC 的退出回调地址只是当前协议表单中可配置的一个回调字段，不等同于已经实现前端通道登出、后端通道登出或所有应用会话自动级联清理。

OIDC 配置包含授权类型、服务发现地址、重定向 URI 和 Token 设置；地址已脱敏

OIDC 的 Token 有效期、签名方式和 Claim 映射配置

配置 SAML

SAML 基础配置包含：

SSO URL。

Recipient URL。

Destination URL。

SP 实例 ID 或 Audience Restriction。

NameID 格式。

应用用户名属性。

平台生成的 Metadata URL。

高级配置包含：

Response 是否签名。

Assertion 是否签名。

签名算法。

摘要算法。

SAML 属性映射。

配置完成后，可使用页面提供的 Assertion 预览检查属性名称和值。预览结果只能辅助检查配置，不能代替目标应用的真实登录验证。

SAML 基础配置包含 SSO、Recipient、Destination 和受众参数

SAML 高级配置包含签名、摘要算法和属性映射；元数据地址已脱敏

配置 OAuth 2.0

OAuth 2.0 配置页包含授权类型、重定向 URI、应用语言信息和 Token 设置。

保存前应核对：

目标应用登记的回调地址与页面配置完全一致。

授权类型符合目标应用的实际实现。

Token 有效期和刷新策略符合安全要求。

授权范围只包含目标应用所需的最小权限。

OAuth 2.0 本身不能自动证明用户身份语义与 OIDC 相同。目标应用如果依赖 ID Token 或标准 Claim，应使用其明确支持的 OIDC 接入方式。

配置 CAS

CAS 配置页提供只读的：

Logout URL。

CAS 2.2 serviceValidate 地址。

CAS 3.0 p3/serviceValidate 地址。

同时可以配置重定向 URI和用户属性映射。应根据目标应用使用的 CAS 版本登记对应校验地址，并验证目标应用能正确读取映射后的用户名及其他属性。

CAS 的 Login、Logout、serviceValidate 地址和 OAuth 2.0 配置入口；租户地址已脱敏

应用市场模板和自定义认证流

应用市场模板的表单由模板动态生成。字段名称、必填规则和选项以当前模板页面为准，不能套用其他应用的配置。

自定义接入会生成应用访问地址，并进入认证流设计。首次进入时平台可能创建对应认证流；能否创建受许可证和租户配额限制。认证流保存成功不代表真实认证已经通过，仍需执行端到端登录验证。

保存与验证

保存配置

检查必填项、回调地址、签名配置和属性映射后保存应用。

核对目标应用

在目标应用中登记平台提供的地址、元数据、证书或 Client 信息。

执行发起方登录

使用测试账号从平台发起登录，确认能够进入正确的目标应用。

检查身份映射

核对目标应用识别到的用户名、邮箱、组织和授权范围是否符合预期。

验证失败路径

分别验证无权限用户、属性缺失、回调地址错误、签名错误和账号不存在时的结果。

记录运行证据

保存脱敏后的配置截图、登录时间、测试账号、目标应用结果和相关日志编号。

验证清单

当前应用只展示其实际支持的协议或模板。

没有把应用网关、密码代填或 HTTP 代理写成单点登录协议。

协议两端的回调地址、实体标识、证书或密钥一致。

用户名和属性映射符合目标应用要求。

成功登录后进入正确租户、正确应用和正确账号。

无权限和配置错误场景能够被拒绝并留下可排查信息。

Secret、Token、证书私钥、真实账号和租户域名已脱敏。

没有把一次登录成功扩大描述为跨应用会话统一管理能力。

常见问题

为什么我的应用没有显示所有协议？

协议入口由应用实际支持的协议、模板、许可证和租户配置决定，不是所有应用都展示相同选项。

保存配置后是否代表单点登录已经可用？

不代表。还需在目标应用完成对应登记，并用测试账号验证成功路径、失败路径和属性映射。

是否有一个开关可以为所有应用统一启用 SSO？

当前应用配置按应用和协议分别设置，不能用一个通用开关替代每个应用的协议配置与验收。

功能说明#

前置条件#

选择协议#

配置 OIDC#

配置 SAML#

配置 OAuth 2.0#

配置 CAS#

应用市场模板和自定义认证流#

保存与验证#

验证清单#

常见问题#