企业单点登录配置说明

企业 SSO 单点登录让成员使用企业身份登录 Soiawork。管理员可以接入钉钉、飞书或 Teams。

配置包括应用授权、成员同步和登录验证。成员首次登录时，需要关联本人的 Soiawork 账号。

开始前确认

组织版本：当前组织支持企业版成员同步与 SSO。
管理权限：具有管理成员与部门的权限。配置时还需启用连接器、创建凭证的权限。
平台权限：能够管理对应企业应用及其授权。Teams 配置还需有权批准应用权限的管理员参与。
成员范围：准备一个属于目标企业的员工账号。该员工需要在应用授权范围内。

组织 ID 首次设置由组织所有者完成。企业登录成功后，成员仍按组织授予的权限访问资源。

Teams 登录使用 Microsoft Entra 企业身份。当前接入支持 Microsoft 全球云的单租户应用。

打开配置页面

打开管理后台，核对当前组织。

点击【组织 & 角色】-【部门】，打开右上角【更多】。

点击【从飞书/钉钉/ Teams 同步】，进入配置页。已选中同步来源时，可点击【管理成员同步】。

也可以直接打开成员同步与 SSO 登录。按实际使用的平台选择【钉钉】【飞书】或【Teams】。

设置组织 ID

在「组织 ID」旁点击【编辑】，输入组织标识。

使用 8～48 个字母、数字或连字符。首尾为字母或数字，输入会转为小写。组织 ID 不能与其他组织重复。

点击【保存】，等待确认倒计时结束，再点击【确认保存】。保存后无法自助修改，请使用长期稳定的组织标识。

组织 ID 用于生成企业登录地址。已有组织 ID 时，直接继续配置对应平台。

配置钉钉登录

准备企业应用和权限

打开钉钉开发者平台，选择企业内部应用。没有应用时，由应用管理员创建。

在应用的【权限管理】中，添加下列权限。将应用可见范围覆盖需要登录的员工。

点击图片可查看完整电子表格

配置同步凭证

回到 Soiawork，在【钉钉】中选择已有同步凭证。需要新建时，选择【创建】。

填写同一应用的 AppKey 和 AppSecret。点击【创建凭证】，按提示完成权限校验。

修改已有选择时，点击【校验并保存修改】。仅完成填写或选择，尚未保存配置。

配置登录回调

在「启用 SSO 登录」区域点击【复制链接】。
打开同一钉钉应用的【安全设置】。
将完整地址填入【重定向 URL（回调域名）】并保存。
重新发布应用，确认发布及授权范围生效。

使用配置页复制的地址，保留完整路径。不要用企业登录地址替代重定向 URL。

完成后，继续执行本文的「同步成员并验证登录」。

配置飞书登录

连接企业应用

在 Soiawork 的【飞书】中选择已有同步凭证。
需要新建时，选择【创建】，点击【开始授权】。
在打开的授权页面创建或选择已有飞书应用。
确认授权，回到 Soiawork 保存授权结果。

当前页面通过授权流程接入飞书应用。已有可用的同步凭证可以直接复用。

配置通讯录权限

打开飞书开放平台，进入对应应用。

在【权限管理】中添加下列权限。将通讯录权限范围设置为全部成员。

回到 Soiawork，点击【校验并保存修改】。已保存配置可通过【重新校验权限】复查。

点击图片可查看完整电子表格

配置登录回调

在 Soiawork 的「启用 SSO 登录」区域复制重定向 URL。
打开同一飞书应用的【安全设置】。
添加复制的完整地址并保存。
重新发布应用，确认权限及可用范围生效。

成员同步与企业登录使用同一应用。完成后，继续执行「同步成员并验证登录」。

配置 Teams 登录

Teams 来源使用 Microsoft Entra 管理企业身份。员工在 Soiawork 登录页点击【Microsoft 登录】。

注册或选择应用

打开 Microsoft Entra 管理中心。
确认当前 Microsoft 企业目录，进入【Entra ID】-【应用注册】。
选择原目录应用，或点击【新注册】创建应用。
新应用选择仅当前组织目录的单租户账号类型。
在【概述】中记录目录 ID 和应用程序 ID。

目录同步已使用 Microsoft 应用时，直接复用该应用。应用注册步骤可参照 Microsoft 官方说明。

准备客户端密码

打开应用的【证书和密码】-【客户端密码】。

创建客户端密码，选择合适的有效期。

复制密码的「值」，在安全配置页使用。不要填写密码 ID 或员工的 Microsoft 登录密码。

密码值仅在创建后显示，请按企业规范保管。到期前更新 Soiawork 中的应用凭证。详见 Microsoft 凭据配置说明。

授予目录应用权限

打开【API 权限】-【添加权限】-【Microsoft Graph】。

选择【应用程序权限】，添加下列四项权限。

由有权审批的管理员授予管理员同意。确认每项权限均已获当前企业批准。

点击图片可查看完整电子表格

权限边界：第四项同时包含启停账号的写能力。Soiawork 当前仅用它读取账号状态。授权前请由企业管理员确认该范围。

权限名称及范围见 Microsoft Graph 权限说明。本页接入无需另加 Teams 聊天消息权限。

填写 Teams 同步凭证

在 Soiawork 的【Teams】中选择原同步凭证。需要新建时，选择【创建】并填写以下内容。

点击图片可查看完整电子表格

点击【创建凭证】，按提示完成权限校验。修改已有选择时，点击【校验并保存修改】。

企业登录复用这份应用凭证。无需再为 SSO 创建另一份应用或凭证。

配置 Web 回调

在 Soiawork 的「启用 SSO 登录」区域复制重定向 URL。
回到同一 Entra 应用，打开【身份验证】。
添加重定向 URI，平台选择【Web】。
粘贴完整地址，保存身份验证配置。

已有【Web】平台时，在其中添加回调地址。无需开启隐式授权或公共客户端流程。界面位置可参照 Microsoft 回调配置说明。

应用启用了用户分配要求时，还需分配允许登录的员工。完成后，继续执行下一节。

同步成员并验证登录

确认目录就绪

确认所选平台的凭证已保存，权限校验通过。
查看同步状态，必要时点击【立即同步】。
等待首次同步成功，核对需要登录的员工已同步。
在「SSO 登录测试」区域点击【复制地址】。

保存成功不代表登录就绪。首次同步未成功、凭证失效或待重同步时，登录仍可能不可用。

Teams 接入当前 Entra 目录中的 Member 用户。Guest 用户不在接入范围内。同步为停用状态的人员不能登录。

使用员工账号验证

在独立浏览器窗口打开复制的企业登录地址。
点击【钉钉登录】【飞书登录】或【Microsoft 登录】。
使用目标企业的员工账号完成身份验证。
首次登录时，按页面提示关联 Soiawork 账号。
进入后核对组织名称、本人身份和可访问内容。

【测试登录】会打开企业登录页面。需要继续完成上述步骤，才能确认实际登录成功。

首次关联账号

已有 Soiawork 账号时，输入本人的邮箱和密码完成验证。目录邮箱已对应账号时，使用该账号进行关联。

尚无账号时，按页面提示验证邮箱并创建账号。当前服务要求注册邀请码时，还需填写有效邀请码。

管理员不能代替员工完成身份关联。身份关联也不会自动合并两个 Soiawork 账号。

保持成员信息更新

钉钉和飞书可配置后续成员与部门变更推送。打开对应平台的「持续同步」说明，按页面清单订阅事件。

点击图片可查看完整电子表格

钉钉和飞书需发布应用，并确认对应连接在线。后续成员变化后，回到部门页核对同步结果。

缺少已有人员时，可点击【立即同步】补齐。更换应用或凭证后，等待对应同步完成再验证登录。

暂停同步会保留符合条件成员的 SSO 登录。暂停用于停止后续目录更新，不能用作关闭登录的开关。

常见问题

Q1：登录成功就能进入管理后台吗？

不能。登录只确认身份，管理后台仍检查组织权限。需要管理功能时，联系组织管理员授权。

Q2：已经同步了成员，还需要邀请每个人吗？

通常不需要。符合条件的目录成员可通过首次企业登录关联并加入组织。已有邀请或成员状态异常时，按页面提示处理。

Q3：Teams 账号密码要填到同步凭证里吗？

不要填写。同步凭证使用 Entra 应用的客户端密码值。员工账号密码仅在 Microsoft 登录页面使用。

Q4：组织登录链接可以直接代替回调地址吗？

不能。组织登录链接供员工进入，回调地址供应用完成身份验证。请分别从配置页对应位置复制。

Q5：员工登录授权过程退出了，需要删除凭证重来吗？

不需要。保留已有配置，从组织登录页重新发起。仍失败时，核对错误提示及同步状态。

遇到问题

点击图片可查看完整电子表格

密钥等授权材料只填写在指定的安全配置界面，不粘贴到普通对话或帮助截图中。