使用 Okta、Microsoft Entra ID 或 Google Workspace 单点登录

单点登录 (SSO) 让成员通过您的身份提供商，使用公司账户登录 Kaam360：Okta、Microsoft Entra ID、Google Workspace 或任何其他 SAML 2.0 提供商。无需单独的 Kaam360 密码；有人离职时，只需在一个地方停用即可。

打开页面

1. 点击设置，然后点击单点登录卡片。（它也在安全卡片上：点击设置单点登录。）
2. 按照页面上编号的六个步骤，从上到下完成。

第 1 步：在您的身份提供商中添加 Kaam360

在您的身份提供商处为 Kaam360 创建一个新的 SAML 应用，并复制页面第 1 步中的信息：

• 实体 ID（受众）：Kaam360 用来识别您组织的名称。
• 回复地址 (ACS URL)：成员登录后提供商将其送回的地址。
• 或点击下载 Kaam360 元数据，将该文件上传到您的提供商。

请发送邮箱地址（必填）。姓名和组为可选。请对断言 (Assertion) 签名（这是标准设置）。

在 Okta 中：Applications，Create App Integration，SAML 2.0。将回复地址填入“Single sign-on URL”，实体 ID 填入“Audience URI”。Name ID 格式：EmailAddress。分配可以使用 Kaam360 的人员或组。

在 Microsoft Entra ID 中：企业应用程序，新建应用程序，创建你自己的应用程序，然后选择单一登录，SAML。将实体 ID 填入“标识符”，回复地址填入“回复 URL”。分配用户和组。

在 Google Workspace 中：管理控制台，应用，网页应用和移动应用，添加应用，添加自定义 SAML 应用。将回复地址填入“ACS 网址”，实体 ID 填入“实体 ID”。Name ID：主电子邮件地址。为合适的人员开启该应用。

第 2 步：向 Kaam360 提供身份提供商的详细信息

任选一种方式：

1. 粘贴提供商的元数据地址并点击加载。这是最佳方式：Kaam360 每天都会检查，并自动获取新证书。
2. 或在或上传元数据文件 (XML) 中选择您从提供商处下载的文件。
3. 或展开或手动输入详细信息，填写实体 ID、登录地址和签名证书，然后点击保存。

当前使用框显示 Kaam360 将接受的内容，包括每个证书及其到期时间。

第 3 步：测试

1. 点击测试登录。
2. 在您的身份提供商处登录。
3. 您会回到页面并看到消息测试已完成。在第 3 步下可以看到成功或失败、您以谁的身份登录、您的组、Kaam360 将如何处理（登录现有成员、创建账户或拒绝），以及提供商发送的属性。

测试不会让任何人登录，也不会更改任何内容，并且在单点登录关闭时也能使用。如果之后提供商的详细信息发生变化，请重新测试。

开启

在页面顶部的状态下点击开启。该按钮只有在测试成功后才可用。

现在成员会在登录页面上看到通过您的公司登录 (SSO)。他们输入工作邮箱后，Kaam360 会将其转到您的提供商。您也可以把第 1 步中的供成员使用的登录链接发给他们。

第 4 步：验证邮箱域名

1. 输入您的邮箱域名（@ 之后的部分，例如 example.com），然后点击添加域名。
2. 复制需添加的 TXT 记录，并在域名的 DNS 服务商处创建一条该值的 TXT 记录。名称（主机）为 @，即域名本身。
3. 点击立即检查。找到记录后，域名显示为已验证。DNS 更改可能需要几个小时。

已验证的域名可让成员通过邮箱找到您的登录页面，并且只会为已验证的域名创建新账户。一个域名只能由一个 Kaam360 组织验证。

第 5 步：新成员、角色和属性

• 勾选当已验证域名的人员首次登录时为其创建账户，选择新成员的角色，然后点击保存。否则只有已有账户的人才能登录。
• 在组和角色下，按照提供商发送的格式准确输入组名称（或 ID），选择角色并点击添加。该组的成员每次登录时都会获得该角色。如果多个组匹配，以列表中靠前的为准。
• 在属性下，除非您的提供商使用了不常见的属性名称，否则请留空。上次测试会显示它发送的名称。

已有账户的成员按邮箱地址匹配。您在 Kaam360 中停用的人员无法登录，无论身份提供商如何声明。

第 6 步：仅限单点登录

当所有人都通过您的提供商登录后，您可以停用密码：

1. 至少勾选一位紧急管理员。他们必须已开启两步登录。
2. 点击启用仅限单点登录。

此后，密码（以及 Google 或 Microsoft 登录）将不再可用，紧急管理员除外——如果您的提供商出现故障，他们可以使用密码和两步验证码登录。要结束已使用密码登录的会话，请前往安全并点击让其他所有人退出。点击重新允许密码登录即可撤销。

在从身份提供商的应用列表登录下，您可以允许成员从提供商的面板（Okta、My Apps）打开 Kaam360。默认关闭，因为从 Kaam360 发起的登录会与发起请求的浏览器绑定。

第 7 步：自动设置用户（SCIM）

您的目录（Microsoft Entra ID、Okta、Google Workspace 或任何 SCIM 2.0 目录）可以把人员添加到 Kaam360，保持他们的姓名和电子邮件地址为最新，并关闭离职人员的账户。

1. 在单点登录页面的 7. 自动设置用户（SCIM） 下，按 开启并生成令牌。
2. 复制 地址（tenant URL） 和令牌。令牌只显示一次。
3. 在您的目录中打开 Kaam360 应用及其预配设置（在 Microsoft Entra ID 中：Provisioning，模式选 Automatic）。把地址粘贴为 tenant URL，把令牌粘贴为密钥令牌，测试连接，然后开始预配。
4. 选择要同步的对象：分配给该应用的人员和群组。

目录添加的人员没有 Kaam360 密码：他们通过单点登录进入。每位新的活跃人员会占用您套餐中的一个席位，没有空余席位时会通知目录。名称在第 5 步中已映射的群组会给其成员相应的角色。在目录中被移除的人员账户会被关闭，绝不会被删除，因此其任务、工时和历史记录都会保留。目录永远不会关闭最后一位管理员和紧急管理员的账户。如果令牌可能已泄露，请按 生成新令牌；旧令牌会立即失效。目录所做的每项更改都会写入活动日志。

更换证书

身份提供商每隔几年会更换签名证书。在最后一个被接受的证书到期前 30 天和 7 天，Kaam360 会在页面上显示警告并给管理员发送邮件。

• 如果详细信息来自元数据地址，请点击立即刷新（Kaam360 也会每天自动刷新）。
• 否则，在更换证书下粘贴新证书并点击添加新证书。更换期间两个证书都会被接受。当提供商开始使用新证书后，点击仅保留第二个证书。

Kaam360 自己的证书（仅在提供商加密其响应时使用）可通过生成新证书更换；将新的元数据提供给您的提供商，然后点击删除旧证书。

须知

• 通过单点登录登录的成员不会被要求输入 Kaam360 两步验证码：由您的身份提供商自己的验证（例如 Okta Verify 或 Microsoft Authenticator）代替。
• 每次登录、拒绝、测试和设置更改都会记录在活动日志的“Single sign-on (SAML)”下。
• 当有人在您的身份提供商处被删除时，Kaam360 不会收到通知。他们将无法再次登录，但请同时在 Kaam360 中停用他们，以结束其已有的会话。

如果出现问题

• 测试提示签名不匹配：Kaam360 中的证书不是提供商用于签名的证书。请重新加载元数据或粘贴当前证书。
• “受众错误”：您的提供商中的实体 ID 与第 1 步显示的不一致。
• “响应中没有邮箱地址”：请发送邮箱属性，或在属性下填写其名称。
• 提供商故障导致无人能登录：紧急管理员使用密码和两步验证码登录，然后点击重新允许密码登录。如果无人能做到，请联系 Kaam360 支持。