SSO 常见问题

为您的 Cliqer 团队配置并强制启用单点登录（SSO）。

SSO 让您的团队通过自己的身份提供商登录。它包含在 Enterprise 套餐中，也可作为 Presenter、Studio HD、Studio 4K 和 Studio 8K 的 Enterprise 附加组件提供，由您的团队在 控制台 → 团队 → 安全（/dash/team/security）中配置。您需要拥有 管理安全 团队权限（所有者和管理员默认拥有该权限）。

支持哪些身份提供商？

自助式 SSO 使用 OpenID Connect (OIDC)。任何 OIDC 提供商都适用：Okta、 Microsoft Entra ID（Azure AD）、Google Workspace、Auth0 等均提供 OIDC 端点。

SAML 同样可用，但属于托管服务：请联系 Cliqer，我们将为您的团队完成设置。自助表单仅能创建 OIDC 提供商。

如何添加提供商？

添加提供商

前往 团队 → 安全 → 单点登录，点击 添加提供商。

填写表单

显示名称：显示在登录按钮上的标签。
颁发者 URL：您的提供商的 OIDC 颁发者。Cliqer 会自动从 <issuer>/.well-known/openid-configuration 获取发现文档。
客户端 ID 和 客户端密钥：来自您在 IdP 中创建的应用程序。
标识符声明：哪个声明映射到 Cliqer 账户（email、 sub 或 preferred_username）。默认为 email。
电子邮件域名允许列表 （可选）：将登录限制为特定的电子邮件域名。
自动创建账户：首次登录时开通 Cliqer 账户。

保存

点击保存。提供商随即显示在登录页面上。

编辑提供商时，客户端密钥字段可以留空，以保留已存储的密钥：该密钥永远不会再次向您显示。

我需要在 IdP 中配置哪个重定向 URI？

https://<your-cliqer-host>/sso/<slug>/callback

slug 在您创建提供商时生成。登录流程从 /api/auth/sso/<slug>/start 开始，并返回上述回调地址。

可以使用多个提供商吗？

可以。您可以添加多个提供商，每个提供商都会在登录页面上显示各自的按钮。使用电子邮件域名允许列表来限定每个提供商接受哪些用户。

“要求 SSO”有什么作用？

开启 要求 SSO 后，您团队成员的密码和通行密钥登录将 在服务器端被拒绝：他们必须使用您的某个 SSO 提供商。

强制执行发生在登录端点（/api/auth/login 和通行密钥验证步骤），而非通过隐藏表单实现，因此无法通过直接调用 API 绕过。
团队所有者不受此限制（应急通道）：所有者始终可以使用密码登录，因此组织永远不会把自己锁在门外。

在开启强制执行之前，请先添加并测试至少一个可正常工作的提供商。

现有账户会怎样？

成员通过标识符声明（默认为电子邮件）与其 SSO 身份匹配。现有账户会保留其数据和设置。启用 自动创建 后，首次使用 SSO 且没有匹配账户的用户将自动获得一个新开通的账户。

如何关闭强制执行？

在同一页面上关闭 要求 SSO 开关。密码和通行密钥登录将立即恢复可用。您的提供商配置会保持不变。