绑定钉钉一方应用

步骤一：创建应用

1. 钉钉侧创建。

   1. 登录钉钉开放平台，进入开发者后台。在企业内部应用页面创建应用，填写应用名称和描述信息，同时可根据需要上传应用图标（非必选项）。

   2. 创建应用后，进入应用详情页，单击凭证与基础信息获取AppKey和AppSecret。然后单击右上角图标，复制CorpID并填写到IDaaS中。

2. IDaaS侧创建。

   1. 登录阿里云IDaaS控制台，选择对应的IDaaS实例。在身份提供方菜单中，选择其他身份提供方 > 钉钉 - 入方向（一方应用），即可进入绑定流程。

   2. 填写基础信息。按要求填写显示名称和CorpId。

   3. 填写应用信息。将获取的AppKey、AppSecret填写至IDaaS，确认无误后单击下一步继续。

      说明

      系统将自动校验您输入的AppKey、AppSecret和CorpID的有效性，请注意CorpID在同一个实例中具有唯一性。

步骤二：分配权限

1. 在钉钉应用详情页中，依次进入权限管理 > 通信录管理，完成以下通讯录查询权限的授权配置，以实现数据同步和用户登录。

   权限名称	权限值	注意事项
   企业员工手机号信息	fieldMobile	2个属性必须选择一个，根据业务需求，需要用到哪个字段进行对应的开通。
   邮箱等个人信息	fieldEmail
   获取通讯录基本信息	qyapi_get_department_list	--
   通讯录部门成员读权限	qyapi_get_department_member	--
   成员信息读权限	qyapi_get_member	--

2. 在权限管理中配置数据权限，此设置将决定哪些用户、组织数据可以同步到IDaaS并使用钉钉登录。

   

3. 完成权限配置后，在IDaaS中单击下一步，系统将自动校验API及数据权限，验证通过后即可继续后续流程。

步骤三：选择场景

1. 同步目标：在下拉框选择阿里云IDaaS，钉钉的通讯录数据将会导入到IDaaS的这个节点之下。

2. 增量同步：需在IDaaS配置完成后开启（依赖钉钉事件回调机制，要求IDaaS必须处于可用状态）。

3. 定时校验：支持通过定时任务或Cron表达式配置同步策略，采用增量方式更新本地用户数据。

4. 扫码登录：启用后支持用户通过钉钉扫码快捷登录。

步骤四：字段映射

当您的IDaaS中已存在存量数据，若需将钉钉通讯录用户/部门与IDaaS现有的账户/组织进行关联，或将钉钉用户字段（如姓名）映射为IDaaS账户属性（如显示名），则需要在此步骤完成字段映射配置，完成配置后单击保存按钮。

步骤五：安全设置

1. 在IDaaS应用修改页面中，需配置钉钉的安全设置，包括获取共享公网出口IP白名单和应用首页地址，并将其填入钉钉企业内部应用的相关字段。具体分为共享端点和专属端点两种方式，前者使用共享IP实现基础网络策略，后者通过专属IP提供更严格的数据同步和登录控制。

   1. 共享端点

      • 从IDaaS应用修改页面获取共享公网出口IP列表和应用首页地址，配置到钉钉的安全设置。

   2. 专属端点

      • 若需更严格的网络策略，选择专属端点并获取专属IP地址。添加专属端点，请参见：创建专属端点。

      • 将专属IP配置到钉钉应用的相同安全设置位置，实现独立的数据同步和扫码登录，增强可控性。

2. 进入钉钉应用详情，单击安全设置，填写IDaaS服务器出口IP和重定向URL（回调域名）。

   1. 服务出口IP：IDaas调用钉钉接口时，钉钉会校验服务发起地址是否在钉钉受信的IP列表中。

   2. 重定向URL：对应IDaaS中应用登录首页地址，当开启钉钉扫码登录时，钉钉扫码授权后会携带授权码跳转当前地址。