OIDC SSO

在身份系统注册应用

注册一个采用「授权码」方式的 OIDC 应用，准备 Client ID、Client Secret 和发现配置地址。申请的范围必须包含 openid；按实际资料需求增加 profile、email 或 phone。

请确认身份系统支持 RS256 签名，并明确用户唯一标识 sub、姓名及邮箱的返回方式。千问办公的回调链接需要在下一节复制后登记到此应用。

配置认证安全

在「认证安全」中，按身份平台要求选择 Token 端点认证方式：Basic Auth 将应用凭据放在认证头中，Form Post 将应用凭据放在表单中。PKCE（授权码交换保护）可选择 S256 或关闭；修改后需重新测试认证并保存。

Token 端点认证与 UserInfo 请求携带访问令牌的方式是两项配置，请分别按身份平台要求填写。

按身份提供商要求选择 Basic Auth 或 Form Post，以及 PKCE 的 S256 或关闭。

创建 OIDC 认证源

1. 进入 用户与体验 → 用户管理 → 身份认证 → SSO 登录，点击新增认证源。

2. 选择「通用 OAuth2 / OIDC」，填写可识别的认证源名称，保持 协议类型 为「OIDC」。

3. 填写 Client ID 和 Client Secret，在 Scopes 授权范围 中设置 openid 及所需范围。

4. 检查 ID Token 签名算法 为「RS256」。

5. 点击复制回调链接，回到身份系统的 OIDC 应用中登记完整地址。

OIDC 使用授权码模式；端点可通过发现接口取得，也可手动填写。

选择端点配置方式

手动输入

1. 将 设置方式 选择为「手动输入」。

2. 从身份系统的发现文档分别复制 Issuer、认证端点 URL、Token 端点 URL 和 签名公钥端点 URL。

3. 需要从 UserInfo 读取资料时，再填写 用户信息端点 URL。

4. 设置 Max Clock Skew，即允许的时钟偏差，可填写 30–300 秒。

解析后逐项检查端点；手动配置时也要提供同样的必要信息。

设置身份关联并启用

1. 在「关联规则」中，将 user.sub 对应「第三方用户 ID」。姓名、邮箱固定读取 user.name、user.email。

2. 需要补充资料时，从添加映射下拉选择手机号、工号、账号等目标，系统带入对应来源。右侧目标固定；只有三方 ID、账号、工号可以选择来源，手机号固定读取 user.phone_number。

3. 核对必填项。必填映射不能删除，可选映射可删除后重新添加。

4. 需要在登录时创建用户的，开启「自动创建用户」并选择默认部门；已有用户导入流程时，可保持关闭。

5. 点击测试认证。提示「测试通过」后，点击保存配置，开启列表中的认证源。

6. 切换到「登录方式」，开启 SSO，请测试成员从企业登录入口完成一次登录。

常见问题

修改发现地址、密钥或关联规则后需要重新测试。切换为另一个认证源前，先用测试成员确认新配置可用。

已有用户与删除记录

SSO 只通过三方 ID 匹配用户，匹配后的处理如下：

完整规则见身份认证。