管理域¶

本文介绍子管理员如何在 EnOS 应用门户管理员控制台中管理本 OU 的域信息及配置单点登录。

备注

子管理员可进行的管理操作取决于 OU 管理员的授权。更多信息，联系 OU 管理员。

前提条件¶

开始之前，确保：

已拥有域管理权限。如需开通此权限，联系 OU 管理员。
本 OU 已开通 SSO 单点登录功能。有关 SSO 单点登录的更多信息，联系租户管理员。

创建域¶

在 EnOS 应用门户管理员控制台的左侧导航栏中选择 域配置。

选择 添加域 并在弹窗中输入以下信息。

字段

描述

名称

输入域的名称。域的名称一旦提交，不可修改。

URL

输入域的 URL 地址。

自动导入用户

选择是否在用户首次进行 SSO 单点登录时自动为其创建账号并分配角色和用户组。

角色

启用 自动导入用户 后，选择自动导入用户时分配给用户的角色。

用户组

启用 自动导入用户 后，选择自动导入用户时分配给用户的用户组。

描述

输入域的描述。

选择提交。

添加域后，你可以使用此域名创建域账号。有关创建域账号的更多信息，参见添加用户。

编辑域¶

在 EnOS 应用门户管理员控制台的左侧导航栏中选择 域配置。
在域列表中选择目标域所在行的编辑。
在弹窗中编辑域的 URL、自动导入用户状态或描述信息。
选择提交。

删除域¶

在 EnOS 应用门户管理员控制台的左侧导航栏中选择 域配置。
在域列表中找到需要删除的域，并选择删除。
在弹窗中选择确认。若本 OU 存在属于目标域的域账号，必须先移除域账号再删除目标域。

配置单点登录¶

OU 内的域默认支持 SAML 和 OAuth 2.0 两种单点登录协议。通过配置单点登录，你可以使本 OU 的用户通过第三方身份提供商（IdP）进行身份验证，实现无缝登录。

启用单点登录¶

在 EnOS 应用门户管理员控制台的左侧导航栏中选择 域配置。
在域列表中找到需要配置 SSO 的域，并在操作栏中选择 单点登录配置 按钮进入配置页面。
在 当前域未启用单点登录 旁打开开关，启用单点登录。
根据 IdP 支持的协议类型，选择 单点登录协议 为 SAML 或 OAuth 2.0，然后根据对应协议的配置步骤进行设置。

SAML 单点登录配置¶

在 SSO 配置页面中，选择协议为 SAML。
在 IdP 元数据 字段中，选择以下任一方式提供 IdP 的元数据信息：
- URL: 输入 IdP 提供的在线元数据文件 URL。
- 文件: 上传从 IdP 获取的元数据 XML 文件。
在 客户端 ID 字段中，
在 登出重定向 URL 字段中，输入用户登出应用门户后要重定向的 URL 地址。

配置属性映射。系统会根据元数据自动识别可用的属性字段。在下表中选择并映射必需的用户属性：

属性映射字段	描述
用户名（必填）	从 IdP 属性中选择用于识别用户身份的字段。
邮箱（必填）	从 IdP 属性中选择用于存储用户邮箱地址的字段。
电话（可选）	从 IdP 属性中选择用于存储用户电话号码的字段。
昵称-名（可选）	从 IdP 属性中选择用于构成用户昵称的名字部分。
昵称-姓（可选）	从 IdP 属性中选择用于构成用户昵称的姓氏部分。
公司（可选）
部门（可选）
职位（可选）
角色（可选）
用户组（可选）

选择保存，完成配置。

OAuth 2.0 单点登录配置¶

在 SSO 配置页面中，选择 单点登录协议 为 OAuth 2.0。
在 登录回调 URL 字段中，配置
在 登出重定向 URL 字段中，输入用户登出应用门户后要重定向的 URL 地址。

配置客户端信息。从 IdP 获取以下信息，并在相应字段中填入：

字段	描述
客户端 ID（必填）	IdP 为本 OU 应用门户颁发的客户端标识符。
客户端密钥（必填）	IdP 为本 OU 应用门户颁发的客户端密钥，用于身份验证。
客户端认证方式（必填）	选择应用门户向 IdP 证明身份的方式，支持 Basic 或 POST。
授权范围（必填）	指定应用门户请求的用户信息范围，多个值以空格分隔。例如：openid email profile。
Issuer	是否提供 Issuer 地址，若选是，则输入 Issuer 地址。若选否，则继续输入下列客户端认证方式及授权参数。
认证端点（当 Issuer 为否时必填）”	用户进行身份验证的 HTTP URL，通常为 IdP 的登录页面地址。
Token 端点（当 Issuer 为否时必填）”	应用门户用于交换授权码或其他凭证的 HTTP URL。
用户信息端点（当 Issuer 为否时必填）”	应用门户用于获取用户身份信息的 HTTP URL。
用户信息验证方式（当 Issuer 为否时必填）
签名算法

配置属性映射。在下表中选择并映射必需的用户属性：

应用门户字段	描述
用户名（必填）	从 IdP 属性中选择用于识别用户身份的字段。
邮箱（必填）	从 IdP 属性中选择用于存储用户邮箱地址的字段。
电话（可选）	从 IdP 属性中选择用于存储用户电话号码的字段。
昵称-名（可选）	从 IdP 属性中选择用于构成用户昵称的名字部分。
昵称-姓（可选）	从 IdP 属性中选择用于构成用户昵称的姓氏部分。
公司（可选）
部门（可选）
职位（可选）
角色（可选）
用户组（可选）

（可选）配置角色和用户组映射。若要在登录时自动分配角色和用户组，需要：
- 在 IdP 中配置用户属性，确保 IdP 在身份验证时传递角色和用户组信息。
- 在应用门户中创建与 IdP 传入的角色和用户组名称完全一致的角色和用户组。
选择保存，完成配置。

备注

角色和用户组的分配基于 IdP 传入的用户属性。请确保在应用门户中创建的角色和用户组名称与 IdP 中配置的完全一致，以便权限分配生效。