SaaS单点登录SSO介绍

注：目前该功能只有“SaaS高级版”才可以使用，如若对此功能感兴趣，请联系销售或客户成功

单点登录(SSO)：企业员工可在登录页输入企业域名后，使用三方系统或企业自建身份认证源登录到e签宝。

目前已支持如下几种方式，如果贵司的单点登录协议不在上述列表中，请联系对应商务和客户成功反馈需求。

①、微软Microsoft Entra ID（原Azure AD）-OAuth2.0

②、微软Microsoft Entra ID（原Azure AD）-SAML2.0

③、OKTA-OAuth2.0

④、OKTA-SAML 2.0

⑤、钉钉-OAuth2.0

SSO应用场景

在一个企业中，完成与工作相关的内容通常需涉及到若干个服务。比如办公用钉钉，人事管理用北森，商机管理用CRM，印章管理用e签宝，还有内部的一些管理系统等等。

在这样的背景下，每引入的一个新服务，对于一个员工而言，就需要去创建一个账号。

一方面，员工要去记忆不同系统的账号/密码，

另一方面，一个员工的不同账号散落在不同系统中，这给管理员在管理员工账号时带来了不少困难：比如某员工离职后好多月甚至若干年，他在某些系统里面的访问权限还被保留着。

SSO功能价值

1 用户体验提升：在多个应用系统中，只需要登录一次，就可以访问其他相互信任的应用系统

2 管理效率提升：企业管理员可以借助SSO统一管理用户，统一审计、统一控制；

3 关键登录效率提升：企业中每人每月在密码输入和密码重置上花费的平均时间为48分钟，看似微不足道，但当密码输入会阻碍了一些关键流程的登录，而采用SSO后，用户可以在任何情况下即时访问所需应用。

一、单点登录（SSO）管理

请前往“企业控制台-集成中心-单点登录SSO-单点登录（SSO）管理”操作，在此可以管理你的主企业和所有关联企业（若有）的SSO登录使用域名，支持对单个企业或多个企业进行管理，设置该企业使用哪个企业域名登录。

1. 页面各字段说明

1. 企业名称：系统会自动拉取你的主企业和所有关联企业
2. SSO企业域名：员工SSO登录时输入的企业域名

• Tips：若无可选企业域名，请先前往单点登录（SSO）配置，配置并启用一个单点登录三方身份认证配置

3. 企业可见限制：

• 仅SSO登录可见：企业员工只能通过SSO登录才能进入企业空间。通过账密、验证码等方式将无法登录到对应企业空间
• 无登录方式限制：企业员工可通过SSO、账密、验证码、支付宝或微信扫码等多种方式登录到对应企业空间
• Tips：适用于PC、APP、小程序，初次使用SSO时，建议SSO登录验证成功后，再切换成「仅SSO登录可见」

2. 管理各企业SSO登录

1. 支持单个企业和多个企业一同管理，简便操作步骤
2. 支持设置一个企业使用多个SSO企业域名登录，适用于企业各地区使用不同连接器场景

二、单点登录（SSO）配置

请前往“企业控制台-集成中心-单点登录SSO-单点登录（SSO）配置”操作，在此配置并启用对应厂商的连接器，SSO才会生效；后续如需更换其他厂商的连接器，请关闭使用中的连接器重新创建即可。

1. 页面各字段说明

1. SSO企业域名：员工SSO登录时输入的企业域名
2. SSO连接器：可用的三方厂商SSO连接器
3. 启用SSO：连接器配置完成后，方可启用

2. 配置单点登录（SSO）

第一步：配置SSO

1. 设置SSO企业域名，用于SSO登录校验
2. 选择三方厂商SSO连接器

第二步：复制SSO参数

请将「SSO企业域名」、「SSO 回调地址」，提供给第三方SSO厂商

Tips：微软 SAML2.0，还需将 https://tapi.esign.cn 复制给微软连接器中，详细操作步骤请见 微软Microsoft Entra ID（原Azure AD）-SAML2.0

第三步：配置连接器

请在此填写/上传第三方SSO厂商生成的参数/文件

第四步：启用SSO

启用SSO后，方可将该SSO连接器与企业进行关联

三、各厂商SSO连接器如何配置并启用？

1. 微软Microsoft Entra ID（原Azure AD）-OAuth2.0

2. 微软Microsoft Entra ID（原Azure AD）-SAML2.0

3. OKTA-OAuth2.0

4. OKTA-SAML 2.0

5. 钉钉-OAuth2.0

6. 微软Azure AD-OAuth2.0（旧版本）