安全与 IT
让 IT 批准 AV 软件：实用指南
IT 部门对 AV 软件的安全审查究竟检查什么，以及如何做好准备，让您的工具一次通过审批。
AV 与活动团队的人员结构，是大多数软件在设计时从未考虑过的：一支核心团队，大型演出时轮换加入的一批自由职业者，以及每个季度都在变化的客户名单。这些人每一位都需要登录您的工具，而每一个账户都意味着一个需要有人记住、重置，并最终吊销的密码。面向 AV 与活动团队的 SSO，正是为了帮您彻底卸下这个负担。
如果您曾在某位自由职业者结束最后一次合作、又过了三场演出之后，还要追着对方修改共享密码，那么这篇文章正是为您而写。
核心要点
- SSO 将身份验证交给您的身份提供商（Okta、Microsoft Entra ID、Google Workspace 或任何其他 OpenID Connect 提供商）。
- 自由职业者入职只需在 IdP 中更改一次群组；离职处理即时生效且集中管理。
- SSO 和 SCIM 预配是 Enterprise 套餐功能。规模较小的团队可以改用通行密钥，实现高强度、免密码的登录。
活动行业的密码问题比大多数行业更严重
大多数 SaaS 工具都假定员工名单是稳定的：招聘一个人，开通一个账户，对方一待就是好几年，离职时再停用账户。活动与 AV 团队的运作方式并非如此。一个音乐节季可能会引入十几位自由职业操作员，每人只工作一周，他们都需要访问演出工具，但到了十月，谁都不应该再拥有访问权限。
基于密码的访问方式，让安全地管理这种人员流动变得代价高昂。每个账户都需要创建，每次离职都需要及时发现并吊销权限，而每一次密码重置请求，都是活动进行中没人有空处理的支持工单。再乘以现代活动技术栈实际使用的各种工具（排期、通讯、演出控制、票务），管理开销的增长速度比团队名单还快。
如果您的团队无法在一分钟内回答「目前谁拥有我们演出工具的访问权限」，这就是您需要 SSO 的信号，而不是再发一次关于密码卫生的培训提醒。
SSO 实际带来的改变
单点登录将身份验证从应用中移出，交给您的身份提供商，无论是 Okta、Microsoft Entra ID、Google Workspace，还是其他 OpenID Connect 提供商。您的团队不再需要为每个工具设置单独的密码，而是使用他们在电子邮件及其他一切服务中早已使用的同一身份登录。
对于 AV 或活动团队，这会带来三个具体效果：
- 自由职业者入职只需在 IdP 中更改一次群组，而不是为每个工具分别申请新账户。
- **离职处理即时生效且集中管理。**将某人从身份提供商中移除，他们对所有已连接工具的访问权限也会在当天随之失效。
- 只需保护一个密码，而且正是您的 IT 团队早已妥善保护的那个，并适用他们已在强制执行的多重身份验证策略。
Cliqer 的 SSO 如何运作
Cliqer 的自助式 SSO 采用 OpenID Connect，因此适用于任何符合 OIDC 标准的提供商，包括 Okta、Microsoft Entra ID 和 Google Workspace。所有配置都在 Dashboard → Team → Security 中完成，无需提交支持工单：
- 前往 Team → Security → Single sign-on，然后点击 Add provider。
- 输入显示名称、提供商的颁发者 URL，以及您在 IdP 中创建的应用的客户端 ID 和密钥。Cliqer 会自动从提供商的发现端点获取其余配置。
- 可选择将登录限制为特定电子邮件域名，并选择是否在首次登录时自动创建新账户。
- 保存。该提供商现在会作为登录按钮显示在您团队的登录页面上。
您可以添加多个提供商，如果您的代理机构在某个特定项目中需要同时使用客户的 IdP 和您自己的 IdP，这一点会很有用。完整的设置详情（包括您的 IdP 所需的回调 URL）请参阅 SSO 常见问题。
强制要求 SSO，同时不把自己锁在门外
至少有一个提供商经过测试并正常工作后，您就可以开启 Require SSO。它会在服务器端拒绝整个团队的密码和通行密钥登录，而不仅仅是在登录表单中隐藏这些选项。这就堵住了某人在 IdP 访问权限被撤销后仍可继续使用旧密码的漏洞。
唯一的刻意例外是团队所有者，其始终保留密码登录作为应急账户，因此提供商配置错误永远不会把整个组织锁在自己的工具之外。
在开启 Require SSO 之前，请先用第二个账户测试您的 SSO 提供商。颁发者 URL 中的拼写错误，在强制执行生效前修复，要比在演出中修复容易得多。
将 SSO 与团队角色结合使用
身份只是访问控制的一半。用户登录后，团队角色决定他们实际可以做什么：邀请其他成员、管理品牌设置、修改安全设置或 API 密钥。将 SSO 与权限范围严格限定的自定义角色相结合，意味着您可以为自由职业操作员精确授予单场演出所需的访问权限，绝不多给。
对于还需要将账户的自动创建和删除直接与人力资源或团队管理系统挂钩的团队，SCIM 预配比单独使用 SSO 更进一步，它同步的是成员名单本身，而不仅仅是登录环节。如果您正在向自己的管理层论证引入其中任一功能，我们关于让 AV 软件获得 IT 批准的完整指南介绍了如何开展这场对话，而演示软件安全检查清单则涵盖了这类讨论通常所属的更全面的审查。
SSO 与其他方案的对比
| 方案 | 入职工作量 | 离职风险 | 最适合 |
|---|---|---|---|
| 共享密码 | 前期低，后续高 | 高，需要手动重置一个人人都知道的密码 | 坦白说，谁都不适合，请避免使用 |
| 个人密码 | 中 | 中，依赖有人记得吊销权限 | 规模很小的团队，短期使用 |
| 每人一个通行密钥 | 低 | 中，仍需手动移除 | 没有 IdP 的小型团队 |
| SSO | 低，只需在 IdP 中更改一次群组 | 低，集中且即时吊销 | 已在使用身份提供商的团队 |
如果您的团队尚未使用正式的身份提供商，通行密钥是一个可靠的过渡方案：防网络钓鱼且无需密码，也不需要 Enterprise 套餐或 IdP 配置。身份也只是更大的访问控制图景中的一部分：如果您的团队处理敏感资料，请同时阅读安全展示机密内容；如果您的团队在网络受严格管控的客户现场工作，请参阅企业防火墙为何会拦截演示工具。
常见问题
不一定。SSO 通过您的身份提供商进行身份验证，而通行密钥是一种登录方式，适用于背后没有 IdP 的账户，或者在强制执行 SSO 之后用于团队所有者的应急访问。
是的，SSO 和 SCIM 预配是 Enterprise 套餐功能，升级到该套餐后即可自助配置。规模较小的团队仍可使用通行密钥，实现高强度、免密码的登录。
现有账户会通过标识符声明（默认为电子邮件）与其 SSO 身份匹配，并保留原有数据和设置。切换过程中不会丢失任何内容。
只有当他们在您的 IdP 或您已连接的某个提供商中拥有账户时才可以。对于身份系统之外的自由职业者，请改用权限范围受限的自定义团队角色，并搭配通行密钥或密码登录。
开始使用
如果轮换团队中的密码泛滥让您每场演出都在浪费时间，请了解 Enterprise 如何将 SSO、SCIM 和自定义角色整合在一起，或阅读完整的安全概览，了解 Team → Security 页面上所有可自助配置的功能。
SSOidentityevent teamsIT
继续阅读
更多安全与 it，助力您的下一场活动
赶在您的下一场活动之前，抢先获取下一篇指南
为演讲者、AV 团队和活动团队提供实用指南，以及真正重要的 Cliqer 版本更新。绝无垃圾邮件，一键即可退订。