单点登录-泛微OA

1. 概述

本文档详细介绍如何配置专属集成平台与泛微e-cology OA系统之间的单点登录功能。主要涵盖通过泛微OA的"Token认证"集成方式，实现在企业门户、飞书工作台等平台单点登录到泛微OA系统的完整配置步骤。

说明：如果泛微OA开通了"认证接入管理"功能，也支持"CAS集成"和"OAuth集成"等标准协议集成方式。本文主要针对Token认证这一非标准协议的集成场景。

2. 前提条件

2.1 环境准备

在开始配置前，请确保满足以下条件：

已开通专属集成平台租户并拥有管理员权限

已拥有泛微OA的管理员权限，并确认支持"Token认证"集成方式

泛微OA已正确配置网络环境，包括白名单、防火墙等设置

2.2 网络环境配置

项目	内容	说明
专属集成平台
部署方式	SaaS
服务出口IP	123.57.150.128123.56.113.252123.57.151.3439.107.116.15039.105.31.618.140.227.212	需要添加到泛微OA的IP白名单
泛微OA
系统版本	泛微OA（e-cology9）或其他版本
IP白名单	需添加专属集成平台服务出口IP	允许专属集成平台访问泛微OA
用户端IP白名单	客户端IP地址	允许用户端访问泛微OA
泛微OA登录地址	如：http://122.224.255.18:59821	提供公网访问地址
VPN	如有必要，提供VPN账号及工具	用于内网环境访问

注意：如果泛微OA部署在企业内网，确保已配置好相关的网络代理或VPN，使专属集成平台能够正常访问泛微OA系统。

3. 泛微OA配置

3.1 启用Token认证

登录泛微OA管理后台

点击右上角"..."，进入"后端应用中心"

导航至：集成中心 > 统一认证中心 > 认证服务管理 > Token认证

启用Token认证功能，并配置以下参数：

参数	值	说明
获取Token地址	http://[域名或IP:端口]/ssologin/getToken	例如：http://122.224.255.18:59821/ssologin/getToken
校验Token地址	http://[域名或IP:端口]/ssologin/checkToken	例如：http://122.224.255.18:59821/ssologin/checkToken

3.2 注册认证应用

进入认证应用管理页面

点击"新建"按钮创建一个新的认证应用

配置认证应用参数：

参数	值	说明
启用	开启	启用此认证应用
认证方式	Token	选择Token认证方式
应用标识	如：PoC	点击生成，并复制保存，后续配置需要使用
应用密钥	自动生成	点击生成，并复制保存，后续配置需要使用
应用简称	如：PoC	自定义简称
应用全称	如：PoC	自定义全称
IP白名单	专属集成平台的服务出口IP地址	多个IP用逗号分隔
账号映射规则	手机号	可选：用户名、工号、邮箱、手机号码、身份证等

重要提示：请务必妥善保存应用标识和应用密钥，这些信息将在专属集成平台配置中使用。同时，确保账号映射规则与专属集成平台中的用户标识保持一致。

3.3 获取SSO登录地址

泛微OA的SSO登录地址通常为：

http://[域名]/wui/index.html

或 http://[IP:端口]/wui/index.html

记录此地址，用于后续专属集成平台配置。

4. 专属集成平台配置

4.1 创建泛微OA应用

登录专属集成平台管理后台

导航至：应用中心 > 应用管理 > 应用市场

在搜索框中输入"泛微OA"，找到应用并点击添加

4.2 配置基本信息

在应用详情页面，配置应用基本信息：

基本信息参数	说明
自定义应用名称	自定义有意义的应用名称
应用分类	选择或创建适合的应用分类
是否允许自动申请	决定未授权用户是否可以申请使用该应用
首页地址	个人门户中访问应用的地址
Client ID	系统自动生成，不可编辑
Client Secret	系统自动生成，不可编辑，但可重置

4.3 配置登录设置

切换到"登录配置"选项卡，设置登录相关参数：

登录配置参数	说明
本地登录方式	可选择用户名密码、短信验证码、邮箱验证码等方式
企业认证登录	是否支持企业认证源的登录方式
多因子认证	是否启用二次验证
集成协议	选择泛微OA支持的协议类型，此处选择"Token认证"
访问地址	应用的登录地址

4.4 配置非标协议参数

继续配置Token认证所需的特定参数：

参数	值	说明
应用appId	泛微OA中生成的应用标识	从泛微OA认证应用管理中获取
获取token地址	完整的getToken URL	如：http://122.224.255.18:59821/ssologin/getToken
检查token的地址	完整的checkToken URL	如：http://122.224.255.18:59821/ssologin/checkToken
单点登录URL	泛微OA的SSO登录地址	如：http://122.224.255.18:59821/wui/index.html
用户标识	与泛微OA账号映射规则一致的字段	如选择"手机号"

匹配说明：用户标识必须与泛微OA中设置的账号映射规则保持一致，确保专属集成平台的用户能够正确映射到泛微OA系统中的用户。

4.5 配置授权范围

最后，配置允许访问此应用的用户范围：

专属集成平台支持三种授权方式：

基于组织架构和用户授权：

可选择特定的部门或用户进行授权

适合按组织结构管理访问权限的场景

基于组织架构和用户授权

基于角色授权(RBAC)：

通过静态标签(角色)进行授权

适合按职能角色管理访问权限的场景

基于角色授权（RBAC）

基于用户属性授权(ABAC)：

通过动态标签(用户属性)进行授权

适合按用户特定属性管理访问权限的场景

基于用户属性授权（ABAC）

根据企业实际需求，选择合适的授权方式并配置授权范围。

5. 测试与验证

5.1 测试步骤

登录专属集成平台用户门户

在应用列表中找到并点击"泛微OA"应用图标

系统应自动完成认证并跳转至泛微OA界面

验证是否成功登录泛微OA且无需再次输入账号密码

5.2 常见问题排查

如遇到单点登录失败，请检查以下几个方面：

问题	可能原因	解决方案
无法获取Token	应用标识或密钥配置错误	检查应用appId是否正确配置
Token验证失败	IP白名单配置有误	确认专属集成平台IP已添加到泛微OA白名单
登录后提示用户不存在	用户标识映射不匹配	检查两边系统的用户标识配置和映射规则
网络连接问题	网络环境限制	检查网络防火墙、代理设置或VPN连接

6. 最佳实践

6.1 安全建议

定期更新应用密钥，提高系统安全性

严格控制IP白名单，只允许必要的系统访问

启用多因子认证，增强身份验证强度

定期审计访问日志，监控异常登录行为

6.2 用户体验优化

在企业门户中突出显示泛微OA应用入口

为用户提供清晰的使用指南

配置合理的会话超时时间

在单点登录失败时提供友好的错误提示

7. 附录

7.1 术语解释

Token认证：一种基于令牌的认证机制，用户通过获取和验证令牌来实现身份认证

SSO(单点登录)：允许用户使用单一身份凭证访问多个应用系统的技术

账号映射规则：确定如何将一个系统中的用户身份映射到另一个系统的规则

7.2 参考文档

钉钉工作台触发单点登录参考文档：钉钉工作台应用免登

IDP发起单点登录拼接地址参考文档：单点登录（SSO）链接拼接指南

泛微OA官方集成文档

泛微Token认证技术规范

1. 概述#

2. 前提条件#

2.1 环境准备#

2.2 网络环境配置#

3. 泛微OA配置#

3.1 启用Token认证#

3.2 注册认证应用#

3.3 获取SSO登录地址#

4. 专属集成平台配置#

4.1 创建泛微OA应用#

4.2 配置基本信息#

4.3 配置登录设置#

4.4 配置非标协议参数#

4.5 配置授权范围#

5. 测试与验证#

5.1 测试步骤#

5.2 常见问题排查#

6. 最佳实践#

6.1 安全建议#

6.2 用户体验优化#

7. 附录#

7.1 术语解释#

7.2 参考文档#