1. 可以執行的操作
單點登入（SSO）允許組織成員使用企業身份供應商帳號登入 QwenWork。當前支援：
Authing；
Azure AD；
DingTalk；
飛書；
SAML2；
企業微信。
管理員可以為組織建立、編輯、提交審核、啟用、停用或刪除一個 SSO 串連，還可以決定成員通過 SSO 加入組織時是否自動獲得席位。
2. 開始前準備
請確認：
當前帳號是組織超級管理員；
導航中顯示 單點登入；
組織的席位元不低於頁面顯示的最低要求；
已在身份供應商中建立公司專屬應用程式，並取得所需憑據；
Alibaba Mail網域名稱已經準備好，例如填寫
example.com，不包含@；已準備普通成員測試帳號，避免僅使用超級管理員帳號測試。
如果頁面提示席位不足，請先在 訂閱管理 中購買或增加席位。
在身份供應商中登記回調地址
將以下地址填寫為身份供應商應用的回調地址、redirect URI 或 Redirect URI：
https://qwenwork.ai/biz/user/v1/sso/callback必須使用 HTTPS。協議、網域名稱、連接埠、路徑和末尾斜杠必須與登記值完全一致。不要把身份供應商的授權地址誤填為 QwenWork 回調地址。
3. 準備身份供應商資訊
不同供應商需要的資訊不同，頁面常見欄位如下：
供應商 | 需要準備的資訊 |
Authing | Client ID、協議和授權地址；OAuth2 還需要 Client Secret、Token URL 和 UserInfo URL；OIDC 需要 JWKS URL 或簽名公開金鑰 |
Azure AD | Azure Tenant、Application（client）ID、Client Secret、Scopes 和郵箱網域名稱 |
DingTalk | AppKey、AppSecret、可選 Corp ID、Scopes 和郵箱網域名稱 |
飛書 | App ID、App Secret 和郵箱網域名稱；Scopes 可選 |
SAML2 | SP Entity ID、IdP SSO URL、IdP/SP 認證、SP 私密金鑰、唯一 ID 欄位和郵箱網域名稱 |
企業微信 | 企業 Corp ID、應用憑據、Agent Secret、Scopes 和郵箱網域名稱 |
如果身份供應商控制台要求填寫回調地址、許可權範圍或應用可見成員，請使用組織整合對應的 QwenWork 參數，並確保生產網域名稱、協議和末尾斜杠完全一致。
當前飛書配置不提供中國區/Lark 國際區選取器。如果組織使用 Lark 國際版，請先向 QwenWork 支援小組確認受支援的配置方式，再建立串連。
4. 建立 SSO 串連
開啟 單點登入。
確認頁面沒有提示席位不足或其他前置條件失敗。
選擇 配置 SSO。
選擇供應商類型。
輸入管理員易於識別的串連名稱。
輸入身份憑據和供應商專用資訊。
輸入允許的郵箱網域名稱，多個網域名稱用英文逗號分隔。
按需配置欄位對應、Scopes、JWKS、公開金鑰或認證。
選擇 建立。
新串連通常以 草稿 狀態建立，必須提交並通過審核後才能進入生產登入流程。
建立後不能更改供應商類型和協議。如果選錯，請刪除串連並重新建立。
5. 關鍵字段
串連名稱
串連名稱用於協助管理員識別串連，例如 Corporate Azure AD Production。名稱應包含環境或組織範圍，不要只填寫 SSO。
Client ID 和 Client Secret
從身份供應商應用控制台擷取這些值。編輯已有串連時，如果不更換 Secret，請將 Secret 欄位留空。
不要把 Secret 粘貼到備忘、支援工單截圖或聊天訊息中。
Scopes
Scopes 決定 QwenWork 可以從身份供應商讀取哪些資訊。除非企業身份管理員確認需要更改，否則請保留頁面預設值。
郵箱網域名稱白名單
該白名單限制可以使用此 SSO 串連的Alibaba Mail網域名稱，例如：
example.com, subsidiary.example.com不要包含 @，多個網域名稱用英文逗號分隔。公用郵箱網域名稱通常不適合企業 SSO。
唯一 ID 欄位
使用身份供應商返回的穩定使用者標識。OIDC 通常使用 sub，SAML 通常使用 name_id。不要使用可能變化的顯示名稱。
登入名稱欄位
該欄位為可選項。設定後，系統會將其與已配置的企業網域名稱組合，用於內部識別。
JWKS URL 或簽名公開金鑰
Authing OIDC 使用此值驗證身份令牌簽名。優先使用供應商公開、穩定的 JWKS URL；只有 JWKS 不可用時才使用 PEM 格式公開金鑰。
SAML 認證和私密金鑰
請粘貼完整的認證和私密金鑰，包括 BEGIN 與 END 行，並確認：
IdP X.509 簽署憑證來自身份供應商；
SP X.509 憑證與 SP 私密金鑰匹配；
私密金鑰只儲存在受控位置；
已安排在認證到期前進行輪換。
6. 提交審核
建立串連後返回串連詳情。
再次檢查供應商、協議、網域名稱和憑據。
選擇右上方的 提交審核。
等待審核結果。
狀態 | 含義 | 下一步 |
草稿 | 配置已儲存但尚未提交 | 檢查後提交審核 |
審核中 | 配置正在審核 | 等待結果 |
已通過 | 配置可進入生產登入流程 | 使用普通成員帳號測試 |
已拒絕 | 配置未通過審核 | 查看原因，修改後重新提交 |
如果串連已有通過審核的版本，編輯產生的新草稿不會立即替換該版本。新版本審核期間，之前通過審核的配置會繼續提供登入服務。
7. 啟用 SSO
串連詳情中的 啟用 SSO 控製成員能否通過該串連登入。
已啟用且審核通過：組織成員可以使用該串連登入。
已停用：成員無法通過該串連發起新的 SSO 登入。
首次上線建議：
完成配置並通過審核。
啟用 SSO。
使用一到兩個普通成員帳號測試。
測試成功後，再向所有成員公布登入方式。
8. 設定自動分配席位
開啟 通過 SSO 加入時自動分配席位 後，新成員通過 SSO 加入時會嘗試獲得席位。
有可用席位：成員自動獲得席位。
沒有可用席位：成員仍可登入，但可能保持未分配席位狀態。
關閉該設定後，新成員可以登入並加入組織，但管理員必須在 成員管理 中手動分配席位。
9. 查看串連詳情
串連詳情包含以下標籤頁：
串連資訊：協議、Client ID 和隱藏顯示的 Secret。
存取控制：Scopes 和郵箱網域名稱白名單。
端點：Authorization、Token 和 UserInfo URL。
工作台：DingTalk、飛書或企業微信串連的企業工作台登入地址。
備忘：組織內部備註。
使用複製按鈕可以複製 Client ID、端點或工作台登入地址。
10. 配置企業工作台入口
建立DingTalk、飛書或企業微信串連後，串連詳情中會顯示 工作台 標籤頁：
開啟 工作台。
複製 登入地址。
將該地址設為身份供應商中公司專屬應用程式的首頁或工作台地址。
使用普通成員帳號從工作台開啟，並驗證登入。
不要手動修改登入地址中的串連 ID 或返回地址。
11. 編輯串連和輪換密鑰
編輯串連
選擇 編輯。
修改可編輯欄位。
如果不更換 Secret 或私密金鑰，請將對應輸入框留空。
儲存串連並重新提交審核。
輪換 Secret
在身份供應商中建立新的 Secret，暫時不要刪除舊 Secret。
在 QwenWork 中編輯串連並輸入新 Secret。
儲存新配置並提交審核。
新組態稽核通過且測試成功後，再在身份供應商中撤銷舊 Secret。
12. 刪除串連
選擇串連右上方的刪除按鈕。
閱讀影響說明。
確認刪除。
刪除後，成員無法再通過該串連登入。刪除前請：
準備其他登入方式；
通知群組織成員；
從身份供應商工作台移除舊入口；
保留必要的非敏感配置記錄。
如需臨時停用串連，請關閉 啟用 SSO，不要刪除串連。
13. 故障排查
導航中沒有“單點登入”
確認當前帳號是組織超級管理員，並且已開啟正確的企業工作空間。部分已使用綁定組織身份方式的組織不會顯示此菜單。
“配置 SSO”或“提交審核”不可用
檢查組織席位元是否達到頁面要求的最低數量。如果前置條件檢查失敗，請選擇 重試。
頁面提示未配置郵箱網域名稱
確認已輸入郵箱網域名稱、配置已通過審核，並且 啟用 SSO 已開啟。
身份供應商提示回調地址不匹配
檢查 HTTPS 協議、網域名稱、連接埠、路徑和末尾斜杠是否與身份供應商控制台登記的值完全一致。
Client 無效或憑據錯誤
確認 Client ID、Secret、Tenant、AppKey、Corp ID 等相關值來自同一個生產應用，並且 Secret 尚未到期。
登入成功但成員沒有席位
檢查自動分配席位是否已開啟，以及組織是否仍有可用席位。也可以在 成員管理 中手動分配席位。
編輯後仍使用舊配置
新配置必須重新審核。新版本通過審核前，之前已通過審核的版本會保持生效。
---