单点登录与身份管理

登录 URL 与账户恢复

常规网站账户登录使用 /login，支持 SSO 的登录使用 /sso/login。注册、账户恢复和无密码登录流程位于 /sso 下。旧版 OAuth 授权页面会将进行中的用户重定向到当前对应的 SSO 页面。URL 本身不能证明提供方已启用；请检查租户和应用状态。

1. 打开与目标登录流程对应的 URL。
2. 如果看不到某个提供方，请联系其租户管理员检查配置。
3. 如果验证因素丢失或密码过期，请使用 SSO 恢复提示。

租户、域和身份

租户管理其应用、域、成员、策略和委派权限。已验证域的发现功能可以引导用户，但不会对其进行身份验证，也不会授予成员身份。客户管理员负责配置组织的 SAML 或 OIDC。身份应根据租户、issuer 和不可变 subject 进行匹配；切勿仅凭电子邮件关联账户。

1. 更改成员、提供方或域之前，先选择目标租户。
2. 完成页面显示的域所有权验证，并确认状态为已验证。
3. 通过获授权的租户流程处理重复身份。

应用与社交登录提供方

每个应用都有独立的协议注册、策略和生命周期。平台级社交登录提供方设置与用户已关联的身份不同。回调可能要求补全个人资料；但回调成功并不代表用户有权访问应用，仍须满足成员身份、应用分配和策略要求。

1. 记录租户、所有者、协议以及已注册的重定向地址或元数据。
2. 在提供方管理页面完成配置，并妥善保护凭据。
3. 测试登录，并确认租户和应用的访问判定。

角色与权限委派

网站角色和租户权限相互独立。治理配置可以设置上级组织、权限限制和有时限的管理员委派。受委派者仅在指定租户内获得选定权限；更高层级、同级或无关范围的访问都会被拒绝。有效成员身份、角色层级和应用策略都会影响授权。

1. 确保管理员在目标租户中具有有效成员身份。
2. 仅授予所需权限，并设置到期时间。
3. 工作结束后撤销委派，并检查对应审计记录。

MFA、通行密钥与账户恢复

登录可能要求 MFA、通行密钥或其他无密码验证，也可能要求更高强度的 step-up 验证。初始化、挑战、设置和恢复是不同阶段；完成其中一个阶段，不代表后续受保护操作的验证要求也已满足。管理员必须具有身份验证管理权限，才能管理受支持的租户验证器和注册活动。

1. 使用通行密钥登录，或在注册时验证新的身份验证器。
2. 通过提供的方式恢复账户，然后更换已泄露的验证因素。
3. 如果访问被拒绝，记录原因并请获授权的管理员检查策略。

管理与生命周期

生成的管理接口契约位于 /api/auth/management/openapi.json，其中列出操作 schema 和安全要求。人工管理请使用受保护的工作区。租户和应用的启用、暂停、退役及回滚均属于有版本记录和审计历史的生命周期变更。

1. 打开 OpenAPI 文档并查找所需的管理操作。
2. 核对该操作所需权限、租户上下文和输入参数。
3. 完成生命周期变更后，确认当前状态和审计历史。

常见问题

相关页面

• 联合身份协议与用户配置
• SSO 管理
• 身份治理与特权访问
• 私有应用访问