单点登录

单点登录（SSO）把 Alforse 的登录交给贵公司的 SAML 2.0 （IdP），例如 Okta、Entra ID 或 Google Workspace。管理员只需设置一次；此后，邮箱位于已验证域名的 ERP 和 MES 用户会被自动导向 IdP。

​

开始之前

• 可用性。 只有当您的账户启用了 SSO 时，单点登录部分才会出现在设置 → 安全中。
• 权限。 保存 SSO 设置需要 settings 更新权限。
• IdP 权限。 您需要有在身份提供商中创建 SAML 应用的权限。
• DNS 权限。 您需要为每个邮箱域名发布一条 TXT 记录。

在您开启需要 SAML SSO之前，包括在内的其他登录方式仍可使用。因此您可以先完成全部设置并测试，而不会把任何人锁在门外。

​

连接身份提供商

整个设置都在设置 → 安全的“单点登录”部分完成。

1. 复制 Alforse 的详情。 “服务提供商详情”卡片列出了“ACS URL”和“SP 元数据 URL”，每项都带有复制按钮。
2. 使用这两个 URL 在 IdP 中创建 SAML 应用。 确保断言包含邮箱属性：Alforse 用邮箱把每次登录匹配到一个人和一家公司。
3. 向 Alforse 提供 IdP 元数据。 在“身份提供商”卡片中，输入“IdP 元数据 URL”或原始的“IdP 元数据 XML”，二者选其一，然后选择“连接”。之后修改时，按钮显示为“保存更改”。
4. 确认连接已启用。 Alforse 会提示“SAML SSO connection saved”（SAML SSO 连接已保存），此时卡片显示“需要 SAML SSO”开关和“停用”按钮。
5. 添加并验证您的邮箱域名。 在“电子邮件域”卡片中操作，该卡片在连接建立后出现。添加您的员工用于登录的每个域名，发布各自显示的 DNS 记录，然后选择“验证”。只有已验证的域名才会路由 SSO 登录。

​

验证域名

新域名初始为待处理，并获得专属的 TXT 质询，显示在卡片上： 添加域名时，Alforse 会确认：“Domain added. Publish the TXT record shown below, then click Verify.”（域名已添加。请发布下方显示的 TXT 记录，然后点击验证。）通过 DNS 提供商发布该记录后，选择“验证”。

• 验证只需一次。 之后您可以删除该 TXT 记录。
• 待处理的域名不起作用。 在验证之前，添加域名绝不会改变任何人的登录方式，因此添加是安全的。

​

用户体验

​

登录

登录页面首先询问邮箱。当用户选择“继续”时：

• 如果域名有已启用的 IdP，则被重定向到该 IdP；
• 否则继续使用标准的魔法链接登录。

在 Alforse 创建会话之前，IdP 断言中的邮箱域名必须与该连接上的某个已验证域名匹配。

​

谁能进入：邀请优先的开通方式

SSO 不允许人们自行注册。 要让某人进入，请在员工目录中创建其邀请，并请他们重试。

​

双因素认证

SSO 会话会跳过 Alforse 自己的双因素质询，受控部署中也是如此，因为 IdP 会应用其自己的 MFA 策略。通过魔法链接登录仍要经过 Alforse 的质询。

​

强制使用 SSO

开启“需要 SAML SSO”，可使 IdP 成为已验证域名下用户唯一被接受的登录方式。Alforse 会确认“SAML SSO is now required for covered domains”（涵盖的域名现在必须使用 SAML SSO），此后这些用户的魔法链接、Google 和通行密钥登录都会被拒绝。 只有连接启用后才会出现该开关，因此您可以在强制之前先确认 SSO 登录可用。

​

相关内容