概念
- 每家公司一个连接。 贵公司只有一个单点登录连接，使用一种协议：OpenID Connect、飞书 / Lark、钉钉或 SAML。在本页保存前三者之一，会替换已有的 SAML 连接（参见从 SAML 切换）。
- 已验证的域名决定登录路由。 只有用 DNS 记录证明过的邮箱域名，才会把人导向该提供方。
- 先邀请。 单点登录绝不会自行创建账户。一个人只能以现有成员的身份进入，或接受贵公司的待处理邀请。
- 已关联账号。 第一次成功登录会把提供方账号与 Alforse 中的人员关联起来。之后的登录直接使用该关联。
开始之前
- 权限。 您需要修改公司设置的权限（
settings更新）。没有该权限时，页面显示“仅限管理员”。 - 可用性。 如果您的订阅不含单点登录，页面显示“您的套餐不含单点登录”。
- 提供方权限。 您需要有权在身份提供商中创建应用：飞书 / Lark 开放平台中的企业自建应用、钉钉开发者后台中的企业内部应用，或 IdP 中的 OIDC Web 应用。
- DNS 权限。 您需要为每个邮箱域名发布一条 TXT 记录。
打开单点登录页面
- 登录 ERP：https://app.alforse.com。
- 在同一浏览器中打开 https://api.alforse.com/identity。
“身份提供方”卡片
选择连接（已有连接则为保存更改）。Alforse 会在保存前与提供方核对设置，并提示“单点登录已保存”。
重定向 URI
每个提供方应用都必须使用这同一个重定向（回调）URI：设置您的提供方
- 飞书 / Lark
- 钉钉
- OpenID Connect
在飞书开放平台中（https://open.feishu.cn；Lark 为 https://open.larksuite.com）：
- 创建企业自建应用。
- 在凭证与基础信息中，复制 App ID 和 App Secret。
- 在安全设置 → 重定向 URL中，添加上面显示的重定向 URI。
- 在权限管理中，开通：
- 读取用户基本信息的权限（必需）；
- 读取用户企业邮箱的权限，以便按邮箱匹配人员；
- 读取企业信息的权限，如果您在 Alforse 中将租户 Key留空。
- 创建版本，并发布给需要登录的人员。
- 只有您的飞书租户签发的企业邮箱才算已验证。用户在自己资料中填写的邮箱地址绝不会用于匹配。
- 没有企业邮箱的人员，用一个登录链接关联一次即可。
验证邮箱域名
连接保存后，在邮箱域名卡片中添加员工用于登录的每个域名：在添加域名下输入域名（例如example.com），然后选择添加。新域名为待验证状态，并显示需要发布的 TXT 记录：
通过您的 DNS 提供商发布该记录，然后选择验证。成功后，域名显示已验证，页面提示“域名已验证”。规则与 SAML 相同：参见验证域名。
登录如何匹配到人员
人员在 ERP 登录页输入工作邮箱并选择继续。已验证域名下的邮箱会把他们导向您的提供方。他们返回后，Alforse 只在贵公司范围内查找，顺序如下：- 已关联账号。 提供方账号已关联到某个人：该人被登录。
- 已验证邮箱。 提供方报告了属于您某个已验证域名的已验证邮箱。匹配的启用成员会被登录；匹配的待处理邀请会被接受并应用其角色。随后账号被关联。
- 登录链接。 该人打开了您签发的一次性登录链接。账号会关联到该链接所针对的成员或邀请。
登录链接
用登录链接卡片来关联那些提供方无法证明其邮箱的人员：所有钉钉用户，以及没有企业邮箱的飞书用户。- 选择一个待接受的邀请，或输入或现有成员的邮箱。
- 选择创建链接。
- 从登录链接已创建对话框中复制链接，并自行发送给对方。
https://api.alforse.com/api/web/auth/v1/sso/oauth/invite?token=…。对方打开它，用提供方登录，账号即被关联；此后他们正常登录即可。
- 只显示一次。 链接只在该对话框中显示。如果丢失，请撤销它并创建新链接。
- 只能使用一次，7 天内有效。 表格显示每个链接的对象、状态（可用、已使用、已撤销或已过期）和过期时间。选择撤销可取消可用的链接。
- 需要已验证域名。 邀请或成员的邮箱必须位于该连接的已验证域名下。
- 登录链接适用于 OpenID Connect、飞书 / Lark 和钉钉连接，不适用于 SAML。
已关联账号
已关联账号卡片列出每个关联，包含员工、提供方账号、关联方式（已验证邮箱或登录链接）和关联时间。选择撤销可移除关联。该人的 Alforse 账户会保留；下次登录时，他们会再次按已验证邮箱匹配，或需要新的登录链接。强制单点登录
开启强制单点登录，可使您的提供方成为已验证域名下人员唯一的登录入口。此后，魔法链接等其他登录方式对他们会被拒绝。该开关在至少一个域名通过验证后才会生效，因此您可以在强制之前先测试登录。从 SAML 切换
如果贵公司已经在使用 SAML，卡片会提示“贵公司目前使用 SAML 登录。在此保存其他提供方会替换它。”- 保存 OpenID Connect、飞书 / Lark 或钉钉连接，会从您的连接中移除 SAML 设置（IdP 元数据）。SAML 登录随即停止。
- 您的邮箱域名及其验证状态保留，强制单点登录也保留。
- 只要有非 SAML 连接处于启用状态，设置 → 安全中的 SAML 卡片就无法保存。请先在本页停用该连接。