跳转到主要内容
每个 Empiric Intelligence 工作区仅支持配置一条 SSO 连接，协议可选 SAML 2.0 或 OIDC。邮箱属于你已验证域名的成员随后通过你的身份提供商(IdP)登录，可完全替代密码登录，也可与密码、通行密钥登录并存。

​
整体结构

  • 可选模式：SSO 与密码、通行密钥登录并存。
  • 强制模式：已验证域名下的所有成员都将被拒绝密码登录，必须经由 IdP 登录；邮箱不在这些域名下的成员仍可使用密码。参见 域名与 SSO 强制。
  • 即时开通(JIT)：成员首次通过 SSO 登录时，若其邮箱属于你的已验证域名，系统会自动创建账号，赋予该连接的默认角色，同时占用一个席位；其他人需通过邀请加入。如果希望改由目录驱动开通，请接入 SCIM。

​
前置条件

  • Empiric Intelligence 工作区的所有者或管理员角色。保存 SSO 设置需要近期完成过重新认证(step-up)。
  • 身份提供商的管理员权限。
  • 至少一个已认领并通过 DNS 验证的邮箱域名。你的 IdP 只能让已验证域名下的人员登录，没有已验证域名时无法启用连接。已验证域名同时支持登录页上的「通过 SSO 继续」。参见 域名与 SSO 强制。

​
配置入口

工作区控制台(Studio)：依次进入 Workspace > Security。在此创建连接；创建完成后，页面会显示需要粘贴到 IdP 的服务提供方(SP)参数。

​
服务提供方(SP)参数

以下参数每个连接唯一；{connection_id} 即创建连接后显示的 ID。 登录入口 URL 也可作为可分享的登录链接：加入收藏夹或嵌入内网门户；连接启用后即可使用。

​
登录入口

  1. 登录页上的「通过 SSO 继续」：成员输入邮箱后，Empiric Intelligence 根据其已验证域名解析对应工作区并跳转至你的 IdP。该流程仅会暴露某域名是否启用了 SSO，不会用于枚举账号。
  2. 直接访问登录入口 URL：跳过邮箱输入环节。

​
下一步