管理身份源-AI 原生数据库服务(AIDBS)-阿里云帮助中心

身份源是企业成员登录 Agent 数据网关控制台的认证通道。本文介绍如何添加和管理身份源、绑定企业身份提供方，以及成员如何通过身份源登录控制台。

功能概述

身份源管理用于管理企业身份源，配置团队成员登录 Agent 数据网关控制台的方式。配置完成后，系统会为身份源生成专属的登录地址，企业成员通过该地址即可使用企业账号（钉钉、企业微信、飞书、AD、LDAP、企业 IdP 等）登录控制台。

Agent 数据网关支持以下两类身份源：

身份源类型	来源	是否可编辑或删除	说明
Aliyun RAM（内置）	系统自动维护	否	阿里云主账号与 RAM 用户的登录通道，无需配置登录地址与登录有效期。
IDaaS 身份源	管理员主动添加	是	基于阿里云 IDaaS（EIAM）实例创建，承载企业 SSO 登录。

身份源的整体使用流程分为以下三步：

概念	说明
身份源	企业登录通道，拥有独立的登录地址与登录有效期。
IDaaS 实例	阿里云 IDaaS（EIAM）实例，是企业组织与账号的承载方。
区域	IDaaS 实例所在的地域，与 Agent 数据网关的地域相互独立。
身份源名称	身份源的展示名称，用于区分多个身份源（如“公司 SSO”“合作方登录”），最长 128 个字符。
登录入口码	登录地址的最后一段路径，全局唯一。留空时系统自动生成 10 位小写随机码。
登录地址	成员的登录入口，格式为 `https://<控制台域名>/login/<登录入口码>`，可一键复制并分发给成员。
登录有效期	一次登录后浏览器会话的绝对有效期，到期后需要重新登录。

身份源管理页面展示当前主账号下的所有身份源。您可以在此添加身份源，并对已有身份源执行编辑、添加成员、查看成员和删除等操作。

配置登录信息。参数说明如下表所示。

字段	是否必填	约束	说明
身份源名称	是	不超过 128 个字符	身份源的展示名称，如“公司 SSO”。
登录有效期	否	30 分钟 ~ 24 小时	一次登录后浏览器会话的绝对有效期，默认为 8 小时。
登录入口码	否	参见下方登录入口码规则	登录地址的最后一段路径。留空时系统自动生成 10 位小写随机码。

其中，登录入口码需满足以下规则：

长度为 9~64 位，仅允许小写字母（大写字母会自动转换为小写）、数字和中划线（-）。
必须以字母或数字开头和结尾，不允许出现连续的中划线（--）。
不能使用以下保留字：admin、api、oauth、gateway、system、dms、aliyun、internal、static、assets、public、health、login、logout、t、debug、undefined、null。

选择要绑定的企业身份提供方，单击添加，并按引导完成绑定。支持的身份提供方如下表所示。

类别	可选身份提供方
即时通讯与办公平台	钉钉（三方应用）、钉钉（一方应用）、企业微信、飞书、Lark（飞书国际版）
企业目录	AD、OpenLDAP
标准协议 IdP	OIDC 身份提供方（Azure AD、OKTA 等）、SAML 身份提供方（OKTA、ADFS 等）
其他	阿里云 SASE

绑定完成后，企业组织和账号会同步到 Agent 数据网关，成员可通过扫码、工作台或企业目录账号等方式登录。

您可以对身份源进行以下操作：

编辑身份源：在目标身份源的操作列，单击编辑，可修改身份源名称、登录入口码和登录有效期。
- 修改登录入口码后，原登录地址立即失效，您需要将新地址重新分发给成员。
- 修改登录有效期后，仅对新的登录生效，不影响已签发的会话。
查看成员：在目标身份源的操作列，单击查看成员，查看该身份源下已绑定的身份提供方及其运行状态。
删除身份源：在目标身份源的操作列，单击删除。
警告
删除后，该身份源的登录地址立即失效，成员无法再通过该地址登录控制台。