单点登录（SSO）

单点登录让你的团队可以用贵公司的身份提供商（例如 Okta、Microsoft Entra 或 Google）登录 laiout，这样就不需要单独管理密码。

开始使用

什么是 laiout 中的单点登录？

单点登录让你的团队可以使用贵公司的身份提供商登录 laiout，例如 Okta、Microsoft Entra 或 Google，无需单独密码。

我需要什么来设置 SSO？

你需要在 laiout 中拥有组织的管理员或经理权限，身份提供商的管理员权限（或 IT 团队的帮助），以及大约 10 分钟。

我在哪里可以找到 SSO 设置？

打开你在 laiout 中的组织，点击左侧边栏中的组织头像打开组织面板，然后在底部点击你的用户菜单，选择 Single Sign On (SSO)。

在你的身份提供商中创建应用

我如何在身份提供商中创建一个 laiout 应用？

在你的身份提供商中，为 laiout 创建一个新应用，然后按照下面与你将使用的协议相匹配的部分操作（SAML 或 OIDC）。你需要的值也显示在 laiout 的 SSO 窗口顶部。laiout 通过电子邮件地址匹配用户，所以应用在用户登录时必须包含用户的电子邮件；没有电子邮件的登录会被拒绝。创建完成后，把应用分配给应该有权限访问 laiout 的人员。

我在 SAML 身份提供商中要使用哪些值？

用以下值创建应用：

你的 IdP 需要	值
ACS / Reply URL	https://laiout.app/api/oauth/saml
Audience / Entity ID	https://saml.laiout.co

然后添加一个属性，让应用发送用户的电子邮件。你的身份提供商可能把这称为属性语句、属性映射或声明：

属性名称	值
email	用户的电子邮件地址

如果更方便，把应用的 Name ID format 设为 EmailAddress 也可以。你也可以顺便添加 firstName 和 lastName 属性。

我在 OpenID Connect (OIDC) 身份提供商中要使用哪些值？

用以下值创建应用：

你的 IdP 需要	值
Redirect URL	https://laiout.app/api/oauth/oidc

这个应用必须是一个机密 Web 应用，并且必须返回标准的 email 声明。

在 laiout 中连接 SSO

应用创建后，我如何连接 SSO？

回到 laiout 的 SSO 窗口，在 Email domains（邮箱域名）下输入贵公司的电子邮件域名或多个域名，例如 acme.com，每输入一个都按一次 Enter。然后选择你的协议，SAML 或 OIDC。对于 SAML，粘贴你刚创建的应用里的完整 metadata XML。对于 OIDC，输入应用中的 Issuer URL、Client ID 和 Client Secret。最后，点击 Enable SSO。SSO 会立即生效。

我的 SAML metadata 被拒绝了。哪里出错了？

粘贴完整的 metadata 文件，要从第一行的声明开始。不包含该声明的 metadata 会被拒绝。

我如何测试 SSO 是否正常工作？

前往 laiout 登录页面，点击 Single Sign On，输入你的工作邮箱，然后点击 Proceed。你会被发送到贵公司的登录页面，登录后再返回 laiout。

管理 SSO

我可以要求我的团队必须用 SSO 登录吗？

可以。一旦 SSO 正常工作，你可以在同一窗口中开启 Require SSO on Login。之后，团队成员必须通过 SSO 登录，而不是使用密码。组织管理员和经理仍保留密码访问作为备用。

SSO 会让别人获得我组织的访问权限吗？

不会。SSO 负责登录，不负责访问。团队成员在可以登录之前，仍然需要先被邀请加入你的 laiout 组织。

我可以为每个组织设置多个 SSO 连接吗？

不可以。每个组织只有一个 SSO 连接，重新保存会替换之前的设置。

我如何在不重新输入全部内容的情况下编辑 SSO 设置？

你的 client secret 和 metadata 会被安全存储，之后不会再次显示。编辑时把这些字段留空，就会保留当前值。

如果我移除 SSO 连接，会发生什么？

移除连接后，SSO 会立即关闭，密码登录仍然可用。

我应该联系谁来帮助设置 SSO？

请联系 laiout 团队 [e-mail]，我们很乐意帮助你完成设置。