github-actions[bot]
001c2097a3
Created by Github action <!-- mintlify-editor-comments:start --> Mintlify --- 0 threads from 0 users in Mintlify - No unresolved comments <!-- mintlify-editor-comments:end --> <!-- mintlify-comment--> <a href="https://dashboard.mintlify.com/twenty/twenty/editor/i18n-docs?source=pr_comment" target="_blank" rel="noopener noreferrer"><picture><source media="(prefers-color-scheme: dark)" srcset="https://d3gk2c5xim1je2.cloudfront.net/assets/open-mintlify-editor-dark.svg"><source media="(prefers-color-scheme: light)" srcset="https://d3gk2c5xim1je2.cloudfront.net/assets/open-mintlify-editor-light.svg"><img src="https://d3gk2c5xim1je2.cloudfront.net/assets/open-mintlify-editor-light.svg" alt="Open in Mintlify Editor"></picture></a> <!-- /mintlify-comment --> Co-authored-by: github-actions <github-actions@twenty.com>
126 lines
3.0 KiB
Plaintext
126 lines
3.0 KiB
Plaintext
---
|
||
title: SSO 配置
|
||
description: 配置单点登录（SSO），以实现安全的企业级身份验证。
|
||
---
|
||
|
||
## 关于 SSO
|
||
|
||
单点登录（SSO）允许您的团队成员使用您组织的身份提供商登录 Twenty。 这将提供：
|
||
|
||
* **集中式访问控制**：在一个位置管理访问
|
||
* **增强的安全性**：利用您现有的安全策略
|
||
* **更佳的用户体验**：一组凭据适用于所有工具
|
||
|
||
## 支持的提供商
|
||
|
||
Twenty 支持以下 SSO：
|
||
|
||
* **SAML 2.0**：适用于大多数企业身份提供商
|
||
* **Google Workspace**：适用于使用 Google 的组织
|
||
* **Microsoft Entra ID**（原 Azure AD）：适用于 Microsoft 环境
|
||
|
||
## 设置 SSO
|
||
|
||
### 先决条件
|
||
|
||
* 组织计划（云端和自托管工作区）
|
||
* 对您的身份提供商的管理员访问权限
|
||
* 对 Twenty 工作区的管理员访问权限
|
||
|
||
<Note>
|
||
**对于希望设置 SSO 的自托管用户**，请联系 contact@twenty.com
|
||
</Note>
|
||
|
||
### 配置步骤
|
||
|
||
#### 1. 访问 SSO 设置
|
||
|
||
1. 转到 **设置 → 安全**
|
||
2. 找到 **SSO 配置** 部分
|
||
3. 点击 **配置 SSO**
|
||
|
||
#### 2) 选择服务提供商
|
||
|
||
从列表中选择您的身份提供商，或为其他提供商选择“Custom SAML”。
|
||
|
||
#### 3. 配置您的身份提供商
|
||
|
||
您需要为身份提供商配置以下内容：
|
||
|
||
* **实体 ID**：由 Twenty 提供
|
||
* **ACS URL**：用于身份验证的回调 URL
|
||
* **证书**：用于安全通信
|
||
|
||
#### 4. 在 Twenty 中输入提供商详细信息
|
||
|
||
* **SSO URL**：来自您的提供商的登录 URL
|
||
* **实体 ID**：您的提供商的标识符
|
||
* **证书**：来自您的提供商的 X.509 证书
|
||
|
||
#### 5. 测试并启用
|
||
|
||
1. 点击 **测试配置** 以验证设置
|
||
2. 测试成功后启用 SSO
|
||
3. 配置用户预配偏好设置
|
||
|
||
## 用户预配
|
||
|
||
### 即时（JIT）预配
|
||
|
||
* 用户在首次登录时自动创建
|
||
* 自动分配默认角色
|
||
* 无需手动创建用户
|
||
|
||
### 手动预配
|
||
|
||
* 在登录前邀请用户
|
||
* 预先分配特定角色
|
||
* 更好地控制谁可以访问
|
||
|
||
## 管理 SSO 用户
|
||
|
||
### 角色分配
|
||
|
||
与普通用户一样，可以为 SSO 用户分配角色：
|
||
|
||
1. 转到 **设置 → 成员**
|
||
2. 找到该用户
|
||
3. 根据需要更改其角色
|
||
|
||
### 撤销访问权限
|
||
|
||
要移除 SSO 用户的访问权限：
|
||
|
||
* 将其从您的身份提供商中移除，或
|
||
* 将其从 Twenty 工作区中移除
|
||
|
||
## 最佳实践
|
||
|
||
### 安全
|
||
|
||
* **要求使用 SSO**：为 SSO 用户禁用密码登录
|
||
* **定期审计**：定期审查访问权限
|
||
* **严格的 IdP 策略**：在身份提供商处强制执行 MFA
|
||
|
||
### 用户管理
|
||
|
||
* **清晰的命名**：使用与您的目录一致的命名
|
||
* **组映射**：将 IdP 的组映射到 Twenty 角色（如可用）
|
||
* **离职流程**：将 Twenty 纳入您的停用工作流
|
||
|
||
## 故障排除
|
||
|
||
### 常见问题
|
||
|
||
* **证书错误**：确保证书未过期
|
||
* **URL 不匹配**：验证 ACS URL 完全一致
|
||
* **未找到用户**：检查 JIT 预配设置
|
||
|
||
### 获取帮助
|
||
|
||
如果您遇到问题，请联系支持并提供：
|
||
|
||
* 收到的错误消息
|
||
* 所使用的身份提供商
|
||
* 配置详情（不含敏感数据）
|