单点登录（SSO）
使用身份提供商登录 Jamdesk 控制台。任何付费套餐均可自行配置 SAML 或 OIDC；文档站读者 SSO 需企业版。
Jamdesk 提供两种单点登录。控制台 SSO 通过您的身份提供商让团队成员登录控制台，在任何付费套餐的“设置”中即可自行配置。文档站 SSO 通过您的 IdP 让已发布文档的读者登录，取代共享密码。企业版套餐由我们的团队为您设置。
如需在不使用企业版的情况下按用户控制文档访问，请使用 JWT 认证。如果您的产品有自己的登录功能，由您的后端为读者完成登录。该功能适用于所有套餐。
SSO 涵盖的内容
适用对象
SSO 需要身份提供商：Okta、Google Workspace、Microsoft Entra ID、Auth0，或任何 SAML 2.0 / OIDC 提供商。
控制台 SSO 让您可以集中控制谁可以管理项目。MFA 通过您的 IdP 强制执行。启用 SSO 强制登录后，将某人从目录中移除即可切断其控制台登录。
文档站 SSO 可为您提供谁阅读了哪些文档的审计记录。它用按用户的访问权限取代单一共享口令。
启用仪表板 SSO
控制台 SSO 在任何付费套餐下均可自助配置。验证您的邮箱域名、连接身份提供商，并可选择要求该域名下的所有人使用 SSO 登录。
开始前的准备
- 一个付费 Jamdesk 套餐。
- 项目的所有者权限。SSO 连接覆盖您拥有的所有项目，只有所有者可以看到单点登录设置。
- 可访问您域名的 DNS 以添加 TXT 记录。
- 身份提供商（Okta、Microsoft Entra、Google Workspace、Auth0，或任何 SAML 2.0 / OIDC 提供商）的管理员权限。
设置连接
在控制台中，进入 设置 → 单点登录，并输入您公司的邮箱域名，例如 acme.com。Jamdesk 会创建连接，并显示用于域名验证的 DNS TXT 记录。
将控制台中显示的名称和值添加为您域名 DNS 中的 TXT 记录。点击 验证。DNS 更改最长可能需要一小时生效。如果首次尝试失败，请稍候再试。验证通过后请保留该记录。Jamdesk 会定期重新检查，如果记录消失，将禁用该连接。
将控制台中的 Entity ID 和 ACS URL 复制到您 IdP 中新建的 SAML 或 OIDC 应用中。再将您 IdP 的详细信息粘贴回 Jamdesk：
- SAML 2.0：IdP Entity ID、SSO URL，以及 PEM 格式的 X.509 签名证书。
- OIDC：颁发者 URL、客户端 ID 和客户端密钥。
从列表中选择您的提供商，可查看针对该厂商的设置指南。点击 保存并激活，连接将变为 已激活。
连接为 已激活 后，开启 要求该域名下的所有用户使用 SSO。该域名下的每个邮箱都将通过您的 IdP 登录，其密码和 Google 登录将停止生效。您的所有者账户保持豁免。可添加最多 20 个紧急通道邮箱，供在您的 IdP 无法访问时需要密码备用登录的管理员使用。
在开启强制登录之前，请至少添加一个紧急通道邮箱。否则，一旦 IdP 中断，该域名下的所有人都将无法登录控制台。
用户登录方式
控制台 SSO 登录采用邮箱优先方式。在登录界面输入公司邮箱。如果其域名已配置 SSO 连接，Jamdesk 会重定向到您的身份提供商。没有单独的“使用 SSO 登录”按钮。
通过 IdP 登录并不代表获得访问权限。每位团队成员仍需获得项目的邀请。没有邀请的人会看到“您的账户未配置”。被阻止的登录会进入一个 SSO 错误页面，并说明下一步操作。
故障排除
DNS 更改最长可能需要一小时才能被 Jamdesk 识别。请等待后再次点击 验证。如果仍然失败，请检查记录名称和值是否与控制台中的完全一致。某些 DNS 服务商会在记录名称后自动追加您的域名，使 _jamdesk 变成 _jamdesk.acme.com.acme.com，请删除重复的后缀。
Jamdesk 在设置后会重新检查您域名的 TXT 记录。记录被删除或更改后，连接会变为 已禁用，登录将不再转发到您的 IdP。请将记录重新添加到 DNS，然后点击 重新检查状态，或删除连接后重新开始。
他们已通过您的身份提供商认证，但尚未被邀请加入任何项目。请在 设置 → 成员 中邀请他们，然后让其重新登录。参见团队成员。
强制登录已开启。他们尝试使用密码或 Google 登录，而非通过您的 IdP。请让他们使用邮箱优先的流程，该流程会重定向到您的提供商。如需密码备用登录（例如您的 IdP 无法访问），请将其邮箱地址添加到紧急通道列表。
启用文档站点 SSO
文档站读者 SSO 由我们的团队设置。在为您已发布的文档设置访问限制之前，我们会检查您的元数据、声明映射和用户组过滤器。
定价页面列出了各套餐等级以及企业版的联系方式。我们的团队将与您一同配置 IdP，在预发布子域名上进行测试，并在您准备就绪后发布到生产环境。
替代方案
无需企业版即可限制文档访问：