实现 MFA 与专属钉钉的设备管理联动配置

本文介绍如何开启「专属钉设备管理联动」，让钉钉设备管理中的删除设备动作实时同步到 IDaaS 的 MFA 可信设备体系，帮助 IDaaS 管理员保持设备信任状态一致、提升登录安全性。

概述

IDaaS 的「基于新设备的 MFA」能力可根据设备指纹、设备类型、操作系统、浏览器等特征变化，触发额外的多因素认证（MFA）。在专属钉场景下，管理员可能在钉钉设备管理中删除某台员工设备，表示该设备不再可信。但在此之前，IDaaS 与钉钉设备管理之间没有联动——钉钉侧删除设备后，IDaaS 本地仍保留该设备对应的 MFA 设备记录与浏览器指纹，用户用这台「已被管理员判定为不可信」的设备登录时，仍可能被当作已知设备直接放行。

「专属钉设备管理联动」通过钉钉 Stream 事件实时监听钉钉设备管理中的「删除设备」事件：当钉钉推送被删除设备的 deviceId 后，IDaaS 据此查询 MFA 设备表，同步删除本地设备记录及其关联的浏览器指纹。用户后续再次登录时会被识别为新设备或指纹变化，从而触发 MFA 验证。

💡

本能力是「基于新设备的 MFA」的增强项，仅在勾选「设备指纹变化时启用 MFA」后可配置；开启后钉钉删除设备的动作会实时反映到 IDaaS 的可信设备体系，无需人工清理。

适用对象

角色	关注点
IDaaS 管理员	配置 MFA 与设备联动，维护可信设备体系
安全 / 运维人员	关注设备信任一致性、登录安全与审计追溯

前提条件

已开启「基于新设备的 MFA」能力

已获取专属钉应用的 clientId 与 secret

拥有 MFA / 认证安全的配置权限

钉钉侧设备管理已启用，可对外推送「删除设备」事件

功能开启位置与展示规则

配置入口位于 MFA 配置页的「基于新设备的 MFA」模块，「新设备判定规则」区域。是否展示「专属钉设备管理联动」配置区，取决于上层开关状态：

条件	页面表现
未勾选「设备指纹变化时启用 MFA」	不展示「专属钉设备管理联动」
勾选「设备指纹变化时启用 MFA」	展示「专属钉设备管理联动」配置区
关闭「基于新设备的 MFA」总开关	隐藏或置灰该配置区，保存时联动能力不生效
取消勾选「设备指纹变化时启用 MFA」	自动停用联动能力，保留已填写配置但不生效

配置项说明

配置项	组件类型	默认值	是否必填	说明
专属钉设备管理联动	开关（Switch）	关闭	否	控制是否启用钉钉设备删除事件联动
钉钉 Client ID	输入框	空	开启后必填	专属钉应用的 `clientId`
钉钉 Secret	密码输入框	空	开启后必填	专属钉应用的 `secret`，前端不明文回显

操作步骤

步骤 1：进入「基于新设备的 MFA」配置

使用管理员账号登录专属集成平台，进入 MFA 配置页，找到「基于新设备的 MFA」模块的「新设备判定规则」区域。

步骤 2：勾选「设备指纹变化时启用 MFA」

勾选「设备指纹变化时启用 MFA」后，下方会展示「专属钉设备管理联动」配置区。

说明：若未勾选该项，联动配置区不展示；取消勾选会自动停用联动能力，但保留已填写的凭证。

步骤 3：开启联动并填写钉钉应用凭证

打开「专属钉设备管理联动」开关，填写专属钉应用的 钉钉 Client ID 与 钉钉 Secret。两项在开启联动后均为必填。

重要：Secret 属于敏感凭证，保存后前端不再明文回显，请在专属钉应用侧妥善保管；如发生泄露，请在钉钉侧轮换后重新填写。

步骤 4：保存并确认 Stream 连接状态

保存配置后，IDaaS 会按凭证注册并启用钉钉 Stream 事件监听，页面展示连接状态。状态为「已连接（connected）」表示监听就绪。

提示：若状态为失败，请核对 clientId / secret 是否正确、专属钉应用是否具备设备事件订阅权限，修正后重新保存。

删除事件处理流程

开启联动后，IDaaS 监听钉钉设备管理的「删除设备」事件。事件至少包含以下字段：

{
  "eventId": "evt_xxx",
  "eventType": "device_delete",
  "corpId": "ding_corp_xxx",
  "deviceId": "device_xxx",
  "operatorUserId": "manager_xxx",
  "eventTime": 1710000000000
}

IDaaS 接收事件后，按 deviceId 定位并清理本地可信设备数据，整体流程如下：

幂等与边界处理

事件处理支持幂等，避免重复消费或数据缺失导致异常：

场景	处理方式
同一 `eventId` 重复推送	只处理一次，后续标记为重复事件
本地设备已被删除	返回处理成功，不报错
浏览器指纹已不存在	返回处理成功，不影响主流程
查询不到对应 `deviceId`	记录事件与未命中结果，不触发异常告警

说明：本期仅处理钉钉「删除设备」事件，不做设备新增同步、不做设备列表定时全量校准，也不调整现有 MFA 判断逻辑，仅影响本地可信设备数据。

验证与测试

验证项	验证方法	预期结果
配置展示	勾选 / 取消「设备指纹变化时启用 MFA」	勾选时展示联动配置区，取消时隐藏并停用
必填校验	开启联动但不填 `clientId` 或 `secret` 后保存	保存失败并提示必填
Stream 注册	填写有效凭证后保存	状态显示「已连接」；无效凭证时保存失败并提示原因
删除同步	钉钉推送某 `deviceId` 的删除设备事件	本地对应 MFA 设备记录与关联浏览器指纹被删除
未命中处理	推送本地不存在的 `deviceId`	不删除数据，记录未命中日志，无告警
重复事件	同一 `eventId` 连续推送两次	仅首次执行删除，第二次忽略
触发 MFA	设备被联动删除后用户再次登录	被识别为新设备，触发二次 MFA 验证

常见问题

Q：为什么看不到「专属钉设备管理联动」配置项？

Q：钉钉删除设备后，用户会被立刻强制下线吗？

Q：同一个删除事件被推送多次会重复处理吗？

Q：钉钉里删除的设备在 IDaaS 查不到对应记录会报错吗？

Q：关闭联动后，已经被删除的本地设备会恢复吗？

关联文档	关系说明
MFA 基础配置	查看当前 MFA 方法、可信设备与规则配置入口
集成平台概览	平台整体架构与模块导航

实现 MFA 与专属钉钉的设备管理联动配置

概述#

适用对象#

前提条件#

功能开启位置与展示规则#

配置项说明#

操作步骤#

删除事件处理流程#

幂等与边界处理#

验证与测试#

常见问题#

相关文档#

概述