基于SAML实现飞书单点登录无影云电脑

配置SSO

无影云电脑支持以下两种SSO方案：

• 方案A：为办公网络配置SSO

  登录无影终端后，可以访问该办公网络下的所有云电脑，不能访问其他办公网络下的云电脑。

• 方案B：为组织ID配置SSO

  登录无影终端后，可以访问阿里云账号下的所有云电脑，不论云电脑属于哪个办公网络。

创建同名便捷账号

完成配置SSO后，还需要在无影云电脑企业版控制台创建与飞书帐号同名的便捷账号。

1. 登录无影云电脑企业版控制台。

2. 在左侧导航栏，选择用户中心>用户管理。

3. 在用户管理页面的用户页签上单击创建用户，然后按需选择以下一种方式创建便捷账号。

   手动录入

   单击手动录入页签，完成以下配置，并单击手动录入。

   配置项	是否必填	说明
   用户类型	是	便捷账号的类型，包括用户激活和管理员激活两种。
   用户名称	是	用于登录无影终端的用户名。长度3~25个字符，必须以小写字母或数字开头。可包括：小写字母、数字、短划线（-）、下划线（_）。用户名称不能仅含数字，不能使用操作系统预留的内置账号名称，详细信息，请参见便捷用户名称规范。
   显示名	否	用于辨识的显示名，终端用户不会看到该名称。
   联系方式	是	邮箱或手机号码用于接收云电脑分配信息、登录信息、初始密码或重置密码等通知，请务必填写正确的联系信息，邮箱或手机号码至少填写一项。
   所属组织	否	实际业务关系（如公司架构），一个用户仅属于一个组织。组织为树状结构。 可在创建时选择，也可在创建后按需为用户添加组织。
   所属用户组	否	多个用户的集合，一个用户可属于多个用户组，一个用户组下可包含来自不同组织的用户。用户组无层级结构。 可使用用户组实现多台共享型云电脑、云浏览器、云应用的快速批量授权，并对不同用户组设置不同登录策略和文件审批权限，实现用户权益的精细化管理。
   用户密码	是	若为管理员激活类型的用户，则必须填写用户密码。用户密码的长度不少于10位，且至少包含以下字符类型中的三类：大写字母，小写字母，数字，特殊符号（除空格外）。
   密码有效期	否	密码默认为永久有效。您也可以输入7～365天的有效期。当密码到期后，必须先修改密码才能继续登录。
   账号锁定时间		若为管理员激活类型的用户，则可按需选择账号锁定时间。账号锁定后，终端用户无法使用该便捷账号登录无影终端。
   授权本地管理员	否	新建的便捷账号默认授予授权本地管理员权限。 说明 获得本地管理员权限的用户账号可以在云电脑中自行安装软件，或者修改某些系统设置。 添加或取消本地管理员权限的操作，都将在云电脑重启后生效。
   备注	否	按需填写账号的补充信息。

   批量录入

   单击批量录入页签，完成以下配置，并单击关闭。

   配置项	是否必填	说明
   用户类型	是	便捷账号的类型，包括用户激活和管理员激活两种。
   密码有效期	否	密码默认为永久有效。您也可以输入7～365天的有效期。当密码到期后，必须先修改密码才能继续登录。
   账号锁定时间	否	若为管理员激活类型的用户，则可按需选择账号锁定时间。账号锁定后，终端用户无法使用该便捷账号登录无影终端。
   授权本地管理员	否	新建的便捷账号默认授予授权本地管理员权限。 说明 获得本地管理员权限的用户账号可以在云电脑中自行安装软件，或者修改某些系统设置。 添加或取消本地管理员权限的操作，都将在云电脑重启后生效。
   上传文件	是	单击下载模板，下载并打开模板，按照格式录入用户信息后保存。 如果是用户激活，录入用户信息时，第一列Username是用户名，第二列Email是用户邮箱，均为必填项。 如果是管理员激活，录入用户信息时，第一列Username是用户名，第四列Password是密码，均为必填项。 如需为新建的便捷账号指定所属组织结构，可以在模板的最后一列OrgId中填写目标组织结构ID。如需查询OrgId，请将鼠标光标悬停在组织结构上，并在气泡中查看。 单击上传本地文件，选择已录入用户信息的模板文件并按照提示完成操作，系统将自动导入文件中的用户信息。 导入完成后，创建用户面板提示创建成功，此时单击查看账号，可以查看各个用户数据的导入情况。如果导入失败，请检查文件中的用户信息是否符合格式要求。

   说明

   成功创建便捷账号后，系统不会发送通知。只有为便捷账号分配云电脑或多台共享型云电脑后，才会向相应联系方式发送通知。

创建企业身份源

1. 登录无影云电脑企业版控制台。

2. 在左侧导航栏选择用户中心 > 企业身份源。

3. 单击新增企业身份源，选择飞书，输入企业身份源名称，选择账号类型，然后单击确定。

4. 找到创建的企业身份源，单击操作列编辑。

5. 在编辑企业身份源页面应用元数据处单击下载文件。

创建飞书应用

1. 登录飞书开放平台，前往开发者后台。

2. 单击创建企业自建应用，输入应用名称与应用描述，单击创建。

3. 在左侧导航栏选择权限管理，单击开通权限，搜索并勾选开通以下权限：

   • 获取通讯录基本信息

   • 获取部门基础信息

   • 获取通讯录部门组织架构信息

   • 获取用户基本信息

   • 获取用户组织架构信息

4. 在权限管理页面单击可访问的数据范围右侧配置。在通讯录页签单击配置，选择权限可访问的数据范围，仅范围内的用户与组织会同步至无影。

5. 在左侧导航栏选择版本管理与发布，单击创建版本。

6. 输入应用版本号与更新说明，单击保存，然后单击确认发布。

7. 在左侧导航栏选择凭证与基础信息，复制App ID与App Secret。

配置单点登录

1. 登录飞书集成平台单点登录管理。

2. 单击新建应用，选择新建自建应用。

3. 在应用配置页签，展开更多配置，选择 SAML 2.0 协议。

4. 启用 SAML 2.0 协议，单击上传文件，上传在无影企业身份源中下载的应用元数据文件。

5. 在Name ID配置中设置Name ID，选择用户 Union ID，单击保存并启用。

6. 在页面右侧单击下载元数据文档。

完成配置

1. 返回无影云电脑企业版控制台。

2. 单击目标企业身份源操作列的编辑编辑。

3. 启用同步数据，输入在创建飞书应用步骤中复制的App ID与App Secret。

4. 单击确定。

5. 单击目标企业身份源操作列的同步数据，然后单击确定。