单点登录

单点登录（SSO）让人们用组织已经提供的账户登录您的工作区。CommonLynk 从不会看到他们的密码。启用 SSO 期间密码依然可用，工作区所有者始终可以用自己的密码登录。

开始之前

CommonLynk 会应您的请求为工作区开启 SSO。之后所有者可在“设置”中的“单点登录”找到它。只有所有者可以添加提供方、认领域名或启用提供方。管理员可以查看设置并运行测试。

1. 点击“添加提供方”，选择您的登录系统，并把显示的值交给 IT 团队。
2. IT 团队在他们那边创建应用，并把 CommonLynk 需要的值发回给您。
3. 在“域名”中添加您的电子邮件域名，发布旁边显示的 DNS TXT 记录，然后点击“检查”。
4. 点击“测试连接”。您会在提供方处真实登录，页面会告诉您将发生什么。
5. 点击“启用”。

Microsoft Entra ID

在 Microsoft Entra 管理中心打开“应用注册”，为仅限本组织目录的账户注册一个应用。把 CommonLynk 显示的重定向 URI 添加为 Web 重定向。复制应用程序（客户端）ID 和目录（租户）ID，并在“证书和密码”中创建客户端密码。颁发者为 https://login.microsoftonline.com/ 加上您的租户 ID 和 /v2.0。填写密码的到期日期：CommonLynk 会在 30 天和 7 天前提醒您。

如改用 SAML，请创建带 SAML 的企业应用，粘贴 CommonLynk 显示的标识符和回复 URL，并把应用联合元数据 URL 交给 CommonLynk。CommonLynk 通过对象 ID 识别人员，从不使用电子邮件地址。

Google Workspace

在您组织的 Google Cloud 控制台中创建“Web 应用”类型的 OAuth 客户端，并添加 CommonLynk 显示的重定向 URI。同时填写您的 Google Workspace 域名：没有它，任何 Google 账户都能登录，因此 CommonLynk 不会保存该提供方。

Okta

在 Okta 管理控制台中创建 OIDC 类型、Web 应用的应用集成，添加重定向 URI，并复制客户端 ID、客户端密码以及作为颁发者的 Okta 地址。使用 SAML 时，粘贴 CommonLynk 显示的单点登录 URL 和受众（audience），并把元数据 URL 交给 CommonLynk。

Keycloak

在您的 realm 中创建启用客户端认证的 OpenID Connect 客户端，将重定向 URI 添加为有效重定向，并从“Credentials”选项卡复制密码。颁发者是 Keycloak 地址加上 /realms/ 和 realm 名称。如果 Keycloak 运行在您的私有网络上，请让 CommonLynk 允许其地址。

谁可以进入

当一个人的电子邮件地址属于您已验证的某个域名时，他可以用 SSO 登录。首次登录时，CommonLynk 会为其创建没有角色、无法访问记录的账户，除非所有者为该提供方选择了角色；之后由管理员授予所需权限。您也可以只允许受邀的人。现有账户会在首次登录时与工作账户关联；如果提供方未确认该地址，CommonLynk 会先向其发送验证码。

使用 SSO 登录的人不会被要求进行 CommonLynk 的第二步验证：这由您组织的登录完成。如果您的提供方没有报告两步登录，设置页面会提示您。启用 SSO 期间，所有者用自己的密码登录时需要两步验证。

如果 SSO 无法使用

登录页面始终有“所有者登录”链接，可打开密码表单。如果密码过期或提供方故障，所有者可从那里登录，关闭提供方或填写新的密码。关闭提供方会结束所有通过它登录的会话。