联合身份协议与用户配置

OIDC、OAuth 与 PKCE

已注册的 OIDC 客户端会按配置使用浏览器授权、账户选择、同意和条款确认。设备授权是独立接口，不能替代客户端注册。PKCE 和更高保障级别取决于客户端及租户策略。PAR、private-key JWT、mTLS、DPoP 和 FAPI 配置均为条件性功能；代码中存在相关实现不代表已启用。

1. 为客户端注册准确的 issuer、重定向地址和响应设置。
2. 完成同意和账户选择，并核验身份与 audience。
3. 在策略中确认是否支持 PKCE 或相应保障级别；不要为消除拒绝而降低校验强度。

SAML 与远程注销

SAML 服务提供方和身份提供方路由会提供元数据及浏览器断言流程。请通过 SAML 管理界面配置连接，并与合作方共同校验 issuer、audience、回复地址、签名和时间条件。注销是独立流程：本地撤销不能证明所有依赖方的 Cookie 或会话均已清除。

1. 与合作方核对连接元数据、签名密钥和端点。
2. 测试带签名的断言，并验证租户、subject、成员身份和有效期。
3. 使用受支持的注销控制，并区分本地撤销与远程退出。

SCIM 与目录同步

用户配置与交互式联合身份验证是不同流程。SCIM schema 和协调机制可与使用已注册客户侧代理的目录连接器配合。导入过程会保留租户来源信息，并将冲突项隔离；仅凭电子邮件不会关联账户。服务器不随附客户代理二进制文件。

1. 注册租户目标，并映射受支持的属性和不可变身份键。
2. 执行受控同步，检查结果，并在租户流程中处理隔离项。
3. 单独部署并注册兼容代理，然后再将连接器任务加入队列。

CAS、WS-Federation 与 RADIUS

CAS 必须显式启用。除非获准的注册或策略明确启用，否则 WS-Federation 和 WS-Trust 均保持禁用；realm、audience、回复地址、成员身份、签名和有效期检查始终必需。RADIUS 使用可选的签名代理，并非网站监听端点。维护中的参考实现优先使用基于 TLS 或 DTLS 的 RADIUS/1.1；旧版 UDP 仅用于私有网络兼容场景。

1. 测试 CAS 或 WS-Federation 前，先检查协议是否启用以及客户端是否已注册。
2. 使用 RADIUS 时，确认客户代理、租户连接器和允许的传输方式。
3. 如果功能未启用或代理未注册，请完成相应配置，不要切换协议来规避策略。

注册与凭据

客户端注册必须归属其所属租户和应用。动态注册、private-key JWT、mTLS 和 FAPI 相关说明描述的是有条件的接口契约，并非默认全部启用。私钥应由其所有者保管，并通过相应管理控制轮换或撤销凭据。代理密钥不是 OAuth 客户端凭据。

1. 准备所有者、租户、重定向地址或元数据、scope 和凭据类型。
2. 安全保存返回的密钥，并通过管理界面轮换或撤销。
3. 注册代理时，在客户侧生成私钥并提交其 CSR。

接口契约与故障排查

当前管理操作、字段和安全要求请见 /api/auth/management/openapi.json。维护中的协议说明涵盖更具体的连接器和保障行为。常见故障包括租户错误、重定向地址未注册、元数据或证书过期、配置未启用、签名无效、SCIM 项目被隔离或代理已撤销。请修正相应的信任边界，不要关闭验证。

1. 检查该操作的 OpenAPI schema 和安全要求。
2. 对照当前提供方元数据，检查安全的错误详情和已注册参数。
3. 重新测试受控流程，并在推广前确认身份或同步状态。

常见问题

相关页面

• 单点登录与身份管理
• SSO 管理
• 身份治理与特权访问
• 私有应用访问