通过办公安全平台保障飞书用户安全访问

应用场景

SASE帮助您管控企业员工的内网访问权限、互联网访问权限，以及保护企业办公数据，满足企业对日常办公安全的需求。当您已经使用飞书管理企业的用户信息，此时，您可以通过SASE与飞书的连接，实现企业用户直接使用飞书账号登录SASE客户端，无需再维护一套SASE的身份管理系统，为您降低用户信息的维护成本。

步骤一：创建飞书自建应用

建立飞书与SASE的连接之前，需要先在飞书开放平台创建飞书应用。通过创建飞书自建应用获取App ID和App Secret，用于飞书账号登录SASE客户端时的身份验证。

1. 使用飞书管理员账号登录飞书开放平台。

2. 创建企业自建应用。

   1. 在飞书开放平台首页，单击创建应用。

   2. 在创建应用对话框，设置企业自建应用的应用名称和应用描述。然后单击确定创建。

   3. 在企业自建应用区域，单击已创建的应用。

   4. 在左侧导航栏，单击凭证与基础信息。执行如下操作，然后单击保存。

      • 在应用凭证区域，获取App ID和App Secret。

      • 在基础信息区域，上传应用图标。

        建议您使用SASE的图标作为应用logo。如下所示：

3. 配置安全设置。

   1. 配置重定向URL。

      分别添加重定向URL：https://login.aliyuncsas.com/open-dev/feishu、https://login.aliyuncsas.com/ui/feishuAuth/。

      您可以在SASE控制台的身份源管理页面，添加身份源信息时设置企业身份源为飞书，获取重定向 URL信息。

   2. 配置IP白名单。

      添加协议白名单：仅白名单中的来源请求可以正常调用开放平台 API，不在白名单中的来源请求会被拒绝。

4. 在权限管理页面，配置企业自建应用的如下权限。

   1. 手动添加权限：单击开通权限，参考如下列表选择需要开通的应用身份权限和用户身份权限。

      权限	说明
      contact:contact	更新通讯录
      contact:contact.base:readonly	获取通讯录基本信息
      contact:department.base:readonly	获取部门基础信息
      admin:app.info:readonly	获取应用基本信息
      contact:department.hrbp:readonly	查询部门HRBP信息
      contact:department.organize:readonly	获取通讯录部门组织架构信息
      event:ip_list	获取事件的出口IP
      contact:user.base:readonly	获取用户基本信息
      contact:user.employee_id:readonly	获取用户userID
      contact:user.department:readonly	获取用户组织架构信息
      contact:user.email:readonly	获取用户邮箱信息
      contact:user.phone:readonly	获取用户手机号

   2. 批量导入权限：单击批量导入/导出权限，在导入页签中参考如下内容添加所需权限，并单击下一步，确认新增权限。您也可以在导出页签中对已配置的权限内容进行导出操作。

      {
          "scopes": {
              "tenant": [
                  "admin:app.info:readonly",
                  "contact:department.organize:readonly",
                  "contact:department.base:readonly",
                  "contact:user.email:readonly",
                  "contact:user.phone:readonly",
                  "contact:user.employee_id:readonly",
                  "contact:user.base:readonly",
                  "contact:user.department:readonly",
                  "contact:contact.base:readonly"
              ],
              "user": [
                  "contact:department.organize:readonly",
                  "contact:department.base:readonly",
                  "contact:user.email:readonly",
                  "contact:user.phone:readonly",
                  "contact:user.employee_id:readonly",
                  "contact:user.base:readonly",
                  "contact:user.department:readonly",
                  "contact:contact.base:readonly"
              ]
          }
      }

5. 在事件订阅页面，配置企业自建应用的订阅事件。

   1. 设置Encrypt Key、Verification Token、请求网址URL。

      您可以在SASE控制台的身份源管理页面，添加身份源信息时设置企业身份源为飞书，获取请求网址URL。

   2. 开通如下订阅事件。

      包含部门新建、部门被删除、部门信息变化、员工离职、员工信息变化。关于如何配置飞书的事件订阅，请参见事件订阅。

步骤二：发布企业自建应用版本并审核应用

1. 创建企业自建应用的版本并发布。

   1. 使用飞书管理员账号登录飞书开放平台。

   2. 在左侧导航栏，单击版本管理与发布。

   3. 在版本管理与发布页面，单击创建版本。根据实际业务，设置版本号、更新说明，应用能力，权限变更、可用范围等相关信息，然后单击保存。

      其中移动端默认的应用功能、PC端默认的应用功能需设置为网页。

      说明

      可用范围外的用户将无法使用此身份源进行登录SASE客户端。

2. 审核应用。

   1. 使用飞书管理员账号登录飞书管理后台。在顶部菜单栏，选择产品功能 > 管理后台。

   2. 在管理后台页面，单击进入飞书。

   3. 在首页的应用管理区域，单击前往审核。

   4. 在应用审核页面，单击待审核应用操作列的审核。然后单击通过。

      飞书开发平台配置生效大概需要十分钟。

步骤三：建立办公安全平台与飞书数据的连接

配置完飞书数据后，您需要建立SASE与飞书数据的连接。

1. 登录办公安全平台控制台。

2. 在左侧导航栏，选择身份认证 > 身份接入。

3. 在身份同步页签，单击新增身份源。

4. 在新增身份源面板中，选择飞书，然后单击开始配置，根据配置向导完成相关配置。

5. 在基础配置向导中，参考下表内容进行配置。

   配置项	说明
   身份源名称	自定义身份源的名称信息。 长度为2~100个字符，支持输入中文字符、英文字母、阿拉伯数字、短划线（-）和下划线（_）。
   描述	该配置的描述信息。 该描述会作为登录标题显示在SASE客户端，方便您登录时知晓身份源信息。
   身份源状态	根据需要配置身份源状态。取值： 已开启：创建成功后开启身份源开关。 已关闭：创建成功后关闭身份源开关。 重要 关闭身份源开关，会导致终端用户使用SASE App无法访问内网应用。请谨慎操作。
   App ID	飞书平台自建应用的应用ID。
   App Secret	飞书平台自建应用的密码。
   高级配置 > 事件订阅	配置事件订阅后，企业员工的组织架构会同步至SASE，实现企业员工的组织架构调整或离职场景下SASE安全策略的时效性。 Encrypt Key 该值从飞书开放平台通讯录同步页面获取。 Verification Token 该值从飞书开放平台上目标应用的通讯录同步页面获取。 请求网址URL：该值用于在飞书开放平台配置重定向URL。 订阅的事件：部门新建、部门被删除、部门信息变化、员工离职、员工信息变化。
   重定向 URL	固定值：https://login.aliyuncsas.com/open-dev/feishu。 该值用于在飞书开放平台 > 开发者后台 > 企业自建应用 > 安全设置中配置重定向URL。
   自动同步	开启自动同步开关后，系统将自动根据同步模式从飞书同步相关信息。 如果您未开启自动同步，需要手动同步组织架构，具体操作，请参见查看同步记录。
   同步员工信息	开启同步员工信息开关后，系统将根据自动同步周期，自动从飞书同步员工信息。 说明 若未开启自动同步功能，则不执行同步员工信息功能。
   自动同步周期	设置自动同步周期，支持设置每1小时-每24小时自动同步一次。

6. 单击连通性测试，测试成功后，单击下一步。

   说明

   如果提示连接失败，请检查相关信息是否填写错误。

7. 在同步配置向导中，对组织架构的同步范围及字段映射进行配置，然后单击确认。

   配置项	说明
   组织架构同步	配置同步组织架构的范围。 全部同步：将飞书的组织架构全部同步到SASE系统中。 部分同步：选择需要同步的组织架构。
   字段同步映射	配置飞书组织架构字段与SASE同步字段的映射关系。 说明 如果SASE系统内置的映射后本地字段无法满足您的业务需求，您可以单击列表右上方的查看扩展字段，在查看扩展字段面板中对扩展字段进行新增、编辑、删除等操作。

步骤四：查看连接是否建立成功

连接建立成功后，您的企业用户便可以使用飞书账号登录SASE。

1. 打开您已安装的SASE App。

2. 输入企业认证标识，然后单击确认。

   您可以登录办公安全平台控制台。在左侧导航栏的设置页面，获取企业认证标识。

3. 输入飞书用户账号和密码，单击登录或扫码登录。

   • 登录成功：表示连接已经建立成功。

   • 登录失败：根据返回提示进行处理。

     • 返回错误信息：您可用参考通用错误码，查找解决方案。例如：40004错误码为应用没有部门权限，需修改应用的可见范围。

     • 返回提示信息：若登录后提示没有应用权限，您需要登录超级管理员账号，修改应用可见范围。