认领邮箱域名
已验证的域名决定了你的身份提供商可以让哪些人登录、为哪些人创建或重新启用账号：SSO 登录、即时开通(JIT)以及通过 SCIM 创建或重新启用账号，都要求邮箱属于这些域名。SCIM 仍可更新或停用这些域名之外的现有受邀访客；停用可能会归档他们的资产。已验证的域名也是登录页 Continue with SSO 按钮的基础：成员在登录页输入邮箱后，Empiric Intelligence 将域名匹配到你的工作区，并重定向至 IdP。1
认领
在工作区控制台（Studio）中，依次打开 Workspace，然后 Security，添加你的域名（例如
acme.com）。公共邮箱域名（如 gmail.com、outlook.com 等）不可认领。2
添加 DNS TXT 记录
页面将显示 DNS TXT 验证所需的记录主机和记录值。请在你的 DNS 提供商处创建该记录。
3
验证
点击
Verify。系统会报告明确的失败状态（记录不存在、值不匹配、查询失败），以便你区分传播延迟与记录填写错误。验证通过后，该域名会将登录请求路由到你的连接。
一个域名全局只能被一个工作区验证。若验证提示该域名已被其他组织认领，而你确认该域名归属己方，请联系
Empiric Intelligence
技术支持。部分域名为保留域名，客户工作区无法认领或验证；若你的域名因此被拒绝，也请联系技术支持。
开启 SSO 强制
强制生效后，邮箱属于你已验证域名的所有成员都将被拒绝密码登录，必须经由你的 IdP 登录。邮箱不在这些域名下的成员（受邀访客，例如外部顾问或你的 Empiric Intelligence 对接人）仍可使用密码登录。 开启前需满足以下条件：- 至少有一个域名已验证（没有已验证域名时无法启用连接）。
- 连接必须已启用。
- 你本人必须已通过该 SSO 连接登录过至少一次，因此你自己的邮箱必须属于某个已验证域名；这可以确保该连接在成为唯一入口前能够正常工作。
- 已验证域名下所有成员的会话将立即失效，需重新通过 IdP 登录；你的会话不受影响，这些域名之外的访客也不受影响。
- 此后若修改任何 IdP 字段（issuer、client ID 或 secret、SAML entity ID、登录入口 URL、证书、协议），系统会在同一次保存时自动解除强制，防止错误的 IdP 配置导致整个工作区被锁定。
变更域名会立即改变强制的适用范围。移除一个已验证域名后，该域名下的成员即变为访客：单点登录对他们停止生效，他们可以重新使用密码重置。在已开启强制的工作区验证一个新域名，会让该域名下的成员退出登录（你的会话不受影响），他们需重新通过
IdP 登录。
开通交互
- 仅 JIT：首次通过 SSO 登录时，仅当成员邮箱属于你的已验证域名时，系统才会按照连接的默认角色创建成员；其他人需通过邀请加入。
- 配合 SCIM：目录会针对已验证域名下的邮箱，提前开通、更新和停用成员；JIT 仍作为兜底机制。参见 Directory sync。