1. 应用单点登录
专属集成平台
  • 快速开始
    • 集成平台概览
  • 身份与用户管理
    • 用户管理
      • 用户与组织架构管理
    • 角色管理
      • 角色管理配置说明
    • 属性管理
      • 属性管理配置说明
      • IDAAS 扩展物理字段使用说明
    • 上游身份数据集成
      • 通讯录身份集成概述
      • 集成连接器配置指南
        • 通讯录集成-泛微
        • 通讯录集成-飞书
        • 通讯录集成-企业微信
        • 通讯录集成-AD
        • 通讯录集成-睿人事
        • 通讯录集成-北森
        • 通讯录集成-SCIM
        • 通讯录集成-用友EHR
        • 通讯录集成-Azure AD
        • 通讯录集成-致远
        • 通讯录集成-LDAP
        • 通讯录集成-数据库
        • 通讯录集成-钉钉
          • 基础说明
          • 钉钉集成连接器如何配置属性映射
      • 通过连接流实现身份集成
        • 在连接流画布中完成身份集成配置
      • 身份集成常见问题
        • 常见问题 & 排错指南
    • 下游身份数据同步
      • 通讯录同步概述
      • 同步连接器配置指南
        • 通讯录同步-企业微信
        • 通讯录同步-AD
        • 通讯录同步-用友U8C
        • 通讯录同步-钉钉
          • 基础说明
          • 如何配置部门职位扩展字段
      • 通过连接流实现身份同步
        • 使用连接流实现身份下游同步
      • 身份同步常见问题
        • 常见问题 & 排错指南
        • 使用代理网关进行身份同步
  • 认证源管理
    • 认证源基础说明
      • 认证源选型说明
      • 认证源管理概述
    • 认证源配置指南
      • 基础协议配置
        • 认证源-CAS协议
        • 认证源-OIDC协议
        • 认证源-OAuth2协议
      • 三方认证源配置手册
        • 认证源-钉钉
        • 认证源-AD
        • 认证源-飞书
        • 认证源-LDAP
        • 认证源-微信
        • 认证源-微信公众号
        • 认证源-Google Workspace
        • 认证源-AD Azure
        • 认证源-美云智数
        • 认证源-企业微信
  • 应用管理
    • 基础说明
      • 应用管理概述
      • 应用创建与配置
    • 应用单点登录
      • 单点登录概述
      • 单点登录配置
      • 单点登出配置
      • 授权范围配置
      • 自定义集成单点登录配置说明
      • 应用密码代填
      • 应用网关
      • 单点登录配置指南
        • 单点登录-OIDC
        • 单点登录-SAML协议
        • 单点登录-OAuth2
        • 单点登录-CAS协议
        • 单点登录-钉钉SSO
        • 单点登录-分贝通
        • 单点登录-用友NCC
        • 单点登录-宜搭
        • 单点登录-泛微OA
        • 单点登录-致远OA
        • 单点登录-金蝶云星空
        • 单点登录-中国电子云邮箱
        • 单点登录-阿里云控制台(RAM)
        • 单点登录-纷享销客应用
        • 单点登录-纷享销客待办
        • 单点登录-Exchange
        • Exchange-双入口配置指南
    • 应用授权管理
      • 应用授权概述
      • 基于组织架构和用户授权
      • 基于角色授权（RBAC）
      • 基于用户属性授权（ABAC）
      • 用户自主申请应用（OA审批授权）权限
    • 应用分发
      • 企业应用分发
      • ABM应用分发
    • 使用应用调用集成平台 OPENAPI
      • M2M接口授权
      • 接口调用权限配置说明
  • 连接中心
    • 产品概述
      • 什么是 AI 连接流
      • AI 连接流的典型使用场景
    • 基础功能
      • 流程运行日志
      • 功能概览
      • 如何创建 AI 工作流
      • 授权凭证管理
      • 错误处理
    • 节点说明
      • 节点基础类型说明
      • 数据处理节点
        • 文本处理节点
        • 数组处理
        • 数据集合节点
      • 文件处理节点
        • 「Base64 转 URL」动作说明
        • 「PPT分页切割」动作说明
      • 应用节点
        • Teambition
        • 金蝶云 K3Cloud
      • 内置节点
        • 子流程调用
        • 缓存处理
        • 分支节点
        • 循环执行
        • MYSQL 触发动作说明
        • 数字签名
        • Webhook触发
        • 缓存列表处理
        • 条件分支
        • FTP
        • 延时节点
        • 模型子节点
        • MCP SERVER 工具
        • 邮件发送
        • 存储子节点
        • 工具子节点
        • HTTP 请求
        • 变量节点
        • 加解密节点
        • 返回变量
      • 运维管理节点
        • 数据校验节点
      • AI节点
        • 构建你的第一个 AI Agent
        • AI 浏览器操作节点
        • AI Agent节点使用指南
        • AI 消息对话节点 & 组件嵌入
  • 审计日志
    • 管理员行为日志
    • 用户变更日志
    • 接口调用日志
    • 用户行为日志
    • 消息发送日志
  • 权限中心
    • 管理员账号管理
    • 管理员角色管理
  • 品牌设置
    • 登录页设置
      • 登录页面配置
      • 登录页CSS自定义页面样式
      • CSS定制页面内容：样式修改指南及故障排除
    • 短信设置
      • 短信模板配置
      • 短信服务使用及签名修改使用指南
      • 短信服务-自定义连接流配置
      • 阿里云短信网关配置指引
    • 邮件设置
      • 邮件模板配置
      • 通过自定义连接流发送邮件
      • SMTP 配置与测试支持文档
    • 企业消息设置
      • 企业消息配置
      • 企业消息（钉钉_飞书）配置
    • 分发页面设置
      • 分发页面设置
  • 平台设置
    • 功能概述
    • 授权管理
    • 代理网关
    • 授权信息
    • 登录策略配置
      • 弱密码检测功能说明
      • 登录流程配置
      • 自动登录功能配置
    • MFA 配置
      • MFA基础配置
      • 使用连接流自定义 MFA 策略
    • 运维日志
      • 运维日志下载
  • 最佳实践
    • AD-LDAP接入指南
    • 第三方平台应用创建指南
      • 钉钉
        • 钉钉全套集成指南
        • 创建钉钉开放平台应用
      • 飞书
        • 飞书全套集成指南
        • 创建飞书开放平台应用
      • 企微
        • 企业微信全套集成指南
        • 创建企业微信开放平台应用
  • 开放接口
    • 鉴权认证
      • 获取access_token（请求体方式）
      • 获取access_token（Basic认证方式）
    • 用户管理
      • 查询用户
      • 创建用户
      • 根据多个条件过滤并查询用户信息
      • 根据用户帐号获取用户信息
      • 修改用户
      • 启用/禁用用户
      • 删除用户
      • 修改用户密码
    • 组织部门
      • 获取组/部门的列表
      • 创建组/部门
      • 根据组/部门ID获取组/部门的信息
      • 修改组/部门
      • 删除组/部门
      • 根据组/部门ID获取下级组/部门信息
      • 过滤部门信息
    • 角色管理
      • 创建角色
      • 获取单个角色详情
      • 修改角色
      • 删除角色
      • 查询角色列表
      • 根据应用ID和用户ID获取角色列表
      • 查看角色所对应的用户列表
      • 给多个用户添加静态角色
      • 删除用户静态角色
      • 获取用户的角色信息
    • 连接中心
      • Webhook启动连接流
    • 事件通知
      • 连接器事件通知
  1. 应用单点登录

单点登录配置

功能概述#

平台单点登录具有以下特点：
统一认证入口：为所有应用提供统一的认证登录界面
多协议支持：支持SAML、OIDC、OAuth2.0等主流SSO协议
统一会话管理：集中管理用户会话状态和超时策略
跨域访问支持：解决不同域名应用之间的认证问题
安全防护：防止会话劫持、CSRF等安全威胁

单点登录原理#

标准模式#

平台的标准单点登录流程如下：
1.
用户访问受保护的应用
2.
应用重定向到认证中心
3.
用户在认证中心完成身份验证
4.
认证中心生成令牌，并重定向回应用
5.
应用验证令牌有效性，授权用户访问

代理模式#

对于无法改造的传统应用，平台提供代理模式：
1.
用户访问应用网关
2.
网关重定向到认证中心
3.
用户完成身份验证
4.
网关代理用户向后端应用发起请求
5.
网关可模拟表单登录或HTTP头传递身份信息

单点登录配置#

启用单点登录#

1
进入应用管理
进入应用中心 > 应用管理
2
编辑应用
选择需要配置SSO的应用，点击"编辑"
3
启用SSO
在"认证设置"选项卡中，启用"单点登录"开关
4
选择协议
选择认证协议类型（SAML 2.0、OIDC、OAuth 2.0、表单代理或标准HTTP代理）
5
保存配置
点击"保存"
image.png

认证协议选择#

根据应用类型选择合适的认证协议：
SAML 2.0：适用于传统企业应用，支持跨域SSO
OIDC：适用于现代Web应用，提供更丰富的用户信息
OAuth 2.0：适用于API授权场景
表单代理：适用于无法改造的传统表单登录应用
标准HTTP代理：适用于无法改造的HTTP应用
image.png

SAML 2.0配置#

提供者配置#

1
设置SAML参数
选择SAML 2.0协议后，设置以下参数：
服务提供者ID：应用的唯一标识符
ACS URL：断言消费服务URL
断言加密：是否加密SAML断言
签名算法：选择签名算法（RSA-SHA256推荐）
摘要算法：选择摘要算法（SHA-256推荐）
2
获取元数据
访问metadata地址"下载元数据"获取IdP元数据文件
3
导入元数据
将元数据文件导入到应用的SAML配置中

属性映射#

1
进入属性映射
在"属性映射"区域
2
添加属性映射
添加需要的属性映射：
NameID：用户的唯一标识（如邮箱、用户名）
姓名：用户姓名
邮箱：用户邮箱
部门：用户所属部门
角色：用户角色信息
3
保存配置
点击"保存"完成配置
image.png

OIDC配置#

客户端配置#

1
设置OIDC参数
选择OIDC协议后，设置以下参数：
客户端ID：系统自动生成的客户端标识
客户端密钥：系统自动生成的密钥
重定向URI：认证完成后的跳转地址
授权类型：支持的授权流程类型
作用域：请求的用户信息范围
2
生成密钥
点击"生成密钥"重新生成客户端密钥（如需要）
3
复制配置
复制配置信息到应用的OIDC设置中
image.png

令牌设置#

1
进入令牌设置
在"令牌设置"区域
2
配置令牌参数
设置以下参数：
访问令牌有效期：如1小时
刷新令牌有效期：如7天
ID令牌签名算法：如RS256
3
保存配置
点击"保存"完成配置
image.png

高级配置#

会话管理#

1
进入会话管理
在"会话管理"选项卡
2
配置会话参数
设置以下参数：
会话超时时间：如30分钟
最大会话数：每个用户允许的并发会话数
会话续期：是否允许自动续期会话
强制重新认证：是否定期要求重新认证
3
保存配置
点击"保存"完成配置
image.png

应用场景#

企业门户集成#

1
配置SSO
配置企业门户应用的SSO设置
2
设置默认应用
设置门户为默认应用
3
配置应用导航
配置应用导航和权限
4
验证SSO
用户登录门户后可直接访问其他已授权应用

移动应用SSO#

1
配置OIDC
配置移动应用的OIDC设置
2
集成SDK
在移动应用中集成SDK
3
获取令牌
用户首次登录后获得令牌
4
保存并使用令牌
应用保存令牌用于后续访问，令牌过期后自动刷新

跨域SSO#

1
配置相同SSO
为不同域名应用配置相同的SSO设置
2
启用跨域支持
启用跨域Cookie支持或使用令牌传递
3
验证跨域访问
用户在一个应用登录后，可无缝访问其他域名应用

最佳实践#

安全性最佳实践#

提高SSO安全性的建议：
使用TLS/SSL加密所有SSO通信
启用断言加密和签名验证
实施适当的会话超时策略
集成多因子认证
定期轮换密钥和证书
启用登录异常检测和阻止

性能最佳实践#

优化SSO性能的建议：
使用分布式会话管理
优化令牌大小和有效期
实施合理的缓存策略
监控认证服务器负载
考虑部署地理分布的认证节点

用户体验最佳实践#

改善SSO用户体验的建议：
提供直观的登录失败提示
实现"记住我"功能
优化移动设备上的登录体验
提供自助密码重置功能
减少登录页面加载时间

常见问题#

Q：用户无法通过SSO登录应用？
Q：登录后出现「未授权」错误？
Q：SAML断言验证失败？
Q：SAML响应包含无效的目标URL？
Q：无效的重定向URI错误？
Q：令牌验证失败？
修改于 2026-05-06 11:18:48
上一页
单点登录概述
下一页
单点登出配置
Built with