单点登录-钉钉SSO

概述

本文档详细介绍如何在专属集成平台实现与钉钉的SSO（单点登录）功能配置。通过此配置，用户能够使用专属集成平台账号直接登录钉钉，无需重复输入账号密码，显著提升用户体验和工作效率，同时保障登录过程的安全性与便捷性。

功能价值

一次认证，多系统访问：用户只需在专属集成平台完成一次身份认证，即可访问已授权的钉钉应用

简化登录流程：消除多系统重复登录的繁琐步骤，降低密码疲劳

提升安全管控：集中管理身份认证策略，增强访问控制能力

优化用户体验：无缝切换应用系统，提高办公效率

降低管理成本：统一身份管理，减少账号维护工作量

支持的单点协议

专属集成平台支持多种标准单点登录协议，包括：

协议名称	适用场景	优势
OIDC	现代Web应用，移动应用	轻量级，基于JSON，适合移动场景
SAML	企业级应用，传统IT系统	成熟稳定，支持丰富的断言信息
OAuth2.0	API授权，第三方应用授权	分离认证与授权，灵活性高
CAS	内部系统集成	简单易用，配置门槛低

本文档以OIDC协议为例，详细说明与钉钉的SSO单点登录配置。

前提条件

在开始配置前，请确保满足以下条件：

拥有专属集成平台的管理员账号，并已成功登录平台

企业已在钉钉平台完成注册，并开通了钉钉开发者权限

具备获取钉钉AppKey和AppSecret的权限

确保专属集成平台与钉钉服务器之间网络连接正常，无防火墙或网络策略限制

确保已完成专属集成平台与钉钉的用户映射或通讯录同步，保证用户标识一致性

配置步骤

配置专属集成平台钉钉SSO单点登录应用

创建SSO应用

登录管理控制台

登录专属集成平台管理控制台

导航到应用管理

导航至"应用中心>应用管理"

创建自定义应用

点击"新建应用>自定义应用"

配置应用基本信息

字段说明：

字段名称	说明	配置建议
应用图标	自定义上传个性化图标	使用钉钉Logo或相关图标，便于识别
应用分类	应用功能的归属类别	通常选择"办公协作"或"企业应用"
应用名称	自定义应用名称	建议命名为"钉钉单点登录"或类似名称
首页地址	应用跳转的首页链接	填写：`https://login.dingtalk.com/oauth2/oidcCallBack.htm`
应用简介	应用功能描述	简要描述应用用途，如"实现与钉钉的单点登录集成"

点击"下一步"。

配置SSO单点参数

字段名称	说明	钉钉SSO配置要求
登录配置	设置支持的登录方式	可选择本地登录、企业认证登录、多因子认证(MFA)等
单点协议	选择单点登录协议	选择"OIDC"协议
认证设置	授权方式	选择"授权码模式"(authorization_code、implicit)
RedirectURIs	单点登录回调地址	填写：`https://login.dingtalk.com/oauth2/oidcCallBack.htm`
Token有效期	登录权限的有效期	根据安全策略设置，通常为1-24小时
IDToken签名设置	IDToken的签名方式	选择"RS256"

重要提示：请特别注意属性声明配置。需要将与钉钉userid一致的属性声明名称改为"sub"，这直接影响单点登录是否成功。

点击"保存"，应用创建完成。

用户授权配置

进入授权范围

为应用配置授权范围，确定哪些用户可以使用此SSO应用

选择授权方式

可通过以下三种方式进行授权：

基于组织架构和用户授权：授权特定部门或用户

基于角色授权(RBAC)：通过静态标签(角色)授权

基于用户属性授权(ABAC)：通过动态标签(用户属性)授权

钉钉管理后台配置SSO登录

访问钉钉SSO设置

登录钉钉管理后台

登录钉钉管理后台：https://oa.dingtalk.com/index.htm#/welcome

导航到SSO设置

导航至"安全与权限>SSO单点登录设置"

配置SSO参数

选择专属集成平台

选择配置方式为"专属集成平台"

填写参数

输入必要参数：

Issuer：填写钉钉自建应用所在地址，如https://xxxxxxx.dingtalk.com

ClientID：填写SSO单点应用的ClientID值，如AD124032EB21B9EAAB8F35B7A4119D0E

配置授权范围

选择允许使用SSO登录的用户范围，可以基于组织架构、角色或用户属性进行配置。设置完成后，点击"保存"完成配置。

配置验证

测试SSO登录流程

打开钉钉客户端

打开钉钉客户端或网页版

选择企业认证

在登录界面选择"企业认证"方式

完成认证

系统自动跳转到专属集成平台的登录页面，输入专属集成平台的用户名和密码

验证结果

验证身份成功后，自动跳回钉钉并完成登录

验证要点

确认用户能够成功重定向到专属集成平台登录页面

验证登录成功后能自动返回钉钉并完成授权

检查用户在钉钉中的身份信息是否正确

常见问题

Q：配置完成后，钉钉SSO登录失败，显示「用户不存在」错误？

Q：SSO配置中的RedirectURI应该填写什么地址？

Q：钉钉管理后台中无法找到「专属集成平台」选项？

Q：用户通过SSO登录钉钉后，不久就被自动登出？

Q：部分用户可以使用SSO登录，部分用户不行？

Q：SSO登录时出现「RedirectURI不匹配」错误？

Q：如何增强SSO登录的安全性？

Q：用户离职后，如何立即撤销其SSO登录权限？

故障排除

日志分析

当SSO登录出现问题时，可以通过以下日志进行分析：

专属集成平台的认证日志：

位置：系统管理>日志管理>认证日志

关注点：认证失败原因、错误代码、用户ID映射

钉钉开放平台日志：

位置：钉钉开发者后台>应用管理>应用调试

关注点：API调用错误、回调失败、参数不匹配

常见错误代码解析

错误代码	错误描述	可能原因	解决方案
invalid_request	无效请求	请求参数缺失或格式错误	检查请求参数完整性和格式
unauthorized_client	未授权客户端	ClientID无效或未授权	验证ClientID正确性和授权状态
access_denied	访问被拒绝	用户未授权或权限不足	检查用户授权配置和权限设置
invalid_token	无效令牌	令牌过期或被撤销	重新获取令牌或检查令牌有效期
invalid_grant	无效授权	授权码已使用或过期	重新进行授权流程
unsupported_response_type	不支持的响应类型	配置了不支持的响应类型	修改为支持的响应类型(如code)
server_error	服务器错误	服务器内部错误	查看服务器日志，联系技术支持

网络问题排查

网络连通性检查

域名解析验证：

在专属集成平台服务器上执行ping login.dingtalk.com命令

使用nslookup login.dingtalk.com验证DNS解析是否正确

网络连接测试：

使用telnet login.dingtalk.com 443测试HTTPS端口连通性

代理设置检查：

确认专属集成平台的代理服务器配置（如适用）

防火墙与白名单配置

域名IP	端口	用途	优先级
login.dingtalk.com	443	钉钉认证服务	高
api.dingtalk.com	443	钉钉API服务	高
oapi.dingtalk.com	443	钉钉开放平台API	高
*.dingtalk.com	443	钉钉相关服务	中
*.alicdn.com	443	钉钉静态资源	中
*.aliyuncs.com	443	阿里云服务	中

常见网络问题解决方案

问题现象	可能原因	解决方案
无法解析钉钉域名	DNS服务器配置问题	使用公共DNS如8.8.8.8或内网DNS配置钉钉域名解析
连接超时	防火墙拦截或网络路由问题	检查防火墙日志，添加必要的白名单规则
SSL握手失败	TLS版本不兼容或证书问题	升级到TLS1.2或更高版本，更新系统CA证书库
重定向失败	RedirectURI被拦截	确保redirectURI域名在白名单中，检查URL重写规则

最佳实践

提升配置效率

前期准备充分：

提前收集所有必要的参数和信息

确认用户数据已同步且映射关系正确

准备测试账号，用于验证配置

分阶段实施：

先在测试环境完成配置并验证

选择小范围用户进行试点

收集反馈并调整后再全面推广

优化用户体验

减少跳转次数：

优化登录流程，减少重定向步骤

确保页面加载速度快捷流畅

清晰的错误提示：

为常见错误设置友好提示信息

提供自助排障指南或支持联系方式

保持会话连续性：

合理设置会话超时时间

实现无感知的令牌刷新机制

安全建议

定期审计：

定期检查SSO配置和权限设置

审查异常登录行为和访问模式

应用权限最小化：

仅授予应用必要的权限和范围

定期清理未使用的应用和授权

加强身份验证：

考虑实施风险式身份验证

对敏感操作增加额外的身份验证步骤

附录

参考资料

钉钉开发者文档-SSO单点登录

概述#

功能价值#

支持的单点协议#

前提条件#

配置步骤#

配置专属集成平台钉钉SSO单点登录应用#

创建SSO应用#

配置应用基本信息#

配置SSO单点参数#

用户授权配置#

钉钉管理后台配置SSO登录#

访问钉钉SSO设置#

配置SSO参数#

配置授权范围#

配置验证#

测试SSO登录流程#

验证要点#

常见问题#

故障排除#

日志分析#

常见错误代码解析#

网络问题排查#

网络连通性检查#

防火墙与白名单配置#

常见网络问题解决方案#

最佳实践#

提升配置效率#

优化用户体验#

安全建议#

附录#

参考资料#

概述