SSO 管理

租户和应用工作区

导航按租户、域、应用、联合身份、用户配置、权限包、访问审查、PIM、设备、工作流、会话、密钥和审计分类。租户范围的设置请使用租户设置；协议和生命周期设置请使用应用编辑器。可执行操作取决于有效角色和受委派权限。集成接口契约见 /api/auth/management/openapi.json。

1. 选择准确的租户或应用，并核实其所有者和状态。
2. 如果看不到某项操作，请确认你是否获得了相应委派权限。
3. 保存后，检查页面状态以及对应的审计或版本记录。

角色与权限

角色层级支持调整父级和比较版本。有效权限要求用户具有活跃成员身份及正确的租户委派权限；对于同级或更高角色的访问会默认拒绝。平台角色和应用角色应分开管理。分配角色不能覆盖租户成员要求、应用策略或职责分离规则。

1. 分配访问权前，检查成员身份和当前角色路径。
2. 选择范围最窄的角色和权限，并确认范围及有效期。
3. 遇到拒绝时，检查有效的租户权限，不要直接授予更宽泛的平台角色。

域与注册

域声明必须先明确验证所有权，之后才能用于发现或证书。应用注册会分别定义协议、所有者、租户、策略和生命周期。发布新版本前，先预览策略影响。平台社交登录提供方与用户已关联的身份分开管理。

1. 添加准确的租户域名并完成所有权验证。
2. 在对应协议的管理页面注册应用。
3. 预览、发布并测试策略，确认生效版本。

身份验证器与注册

身份验证管理包括验证因素注册、恢复码、受支持的身份验证器管理、临时访问通行证、硬件 OATH 操作和注册活动。这些操作要求身份验证管理权限。敏感操作还可能要求近期完成与用户本人绑定的 step-up 验证；一般管理员角色不能替代这项要求。

1. 启动注册活动前，检查租户策略和注册状态。
2. 要求用户完成身份验证器挑战并核实结果。
3. 通过获授权的控制撤销丢失的验证因素或通行证，并签发替代项。

会话、密钥与社交登录提供方

会话清单包括受跟踪的浏览器、OIDC、SAML、私有和特权会话。仅在授权范围内撤销会话；面向用户的批量操作可能影响多个应用，中央浏览器会话撤销仅限 God 权限。用户可以撤销自己的已连接应用令牌和受信任设备。签名密钥和社交登录提供方各有独立的维护控制。

1. 按获授权用户、租户、应用和会话类型筛选。
2. 检查影响后，再选择撤销单个会话或执行范围更广的撤销。
3. 更改密钥或提供方后，确认状态并测试受控登录流程。

审计、导出与故障排查

租户审计、安全证据、保留策略、法律保全、日志目标和批量导出均有范围限制。导出内容可能包含敏感记录，请使用最小授权范围。数据不可用或变更失败时，保留安全的错误信息，并在重试前检查当前状态。修正配置时应保留只追加的历史记录。

1. 按可用的操作者、应用或时间段筛选租户审计记录。
2. 仅导出必要记录，并存放在获准的位置。
3. 变更或重试投递前，检查保留策略、法律保全和目标状态。

常见问题

相关页面

• 单点登录与身份管理
• 联合身份协议与用户配置
• 身份治理与特权访问
• 私有应用访问