使用 Okta、Microsoft Entra ID、Google Workspace 等设置单点登录（SSO）

单点登录（SSO）让您的团队使用公司的身份提供商登录 RedirHub，而无需单独的 RedirHub 密码。RedirHub 支持 SAML 2.0，并可与 Okta、Microsoft Entra ID（原 Azure AD）、Google Workspace、OneLogin、JumpCloud、PingOne、Auth0、AD FS 以及任何其他 SAML 2.0 身份提供商配合使用。SSO 在 Pro 版中作为每月 200 美元的附加功能提供，并在 Enterprise 版中按合同提供。

支持的身份提供商#

步骤 1：获取你的 RedirHub SAML 详细信息#

为你的工作区启用 SSO 后，RedirHub 会提供两个值供你粘贴到身份提供方中。不同提供方对它们的称呼不同：

• ACS URL：也称为单点登录 URL、回复 URL、接收者或断言消费者服务 URL。
• Entity ID：也称为受众 URI、标识符、受众或 SP 实体 ID。

步骤 2：在你的身份提供方中创建 RedirHub 应用#

各提供商中的步骤都是相同的：

1. 创建一个新的 SAML 2.0 应用，并将其命名为 RedirHub。
2. 粘贴第 1 步中的 ACS URL 和实体 ID。
3. 将 Name ID 格式设置为 电子邮件地址，并发送用户的主电子邮件。
4. 分配应能够登录 RedirHub 的人员或组。
5. 复制应用的元数据 URL，或下载其元数据 XML。

以下是在最常见的提供商中各项设置的位置。

Okta#

1. 在管理控制台中，前往 Applications › Applications › Create App Integration，然后选择 SAML 2.0。
2. 将 ACS URL 粘贴到 Single sign-on URL，并将实体 ID 粘贴到 Audience URI (SP Entity ID)。
3. 将 Name ID format 设置为 EmailAddress，并将 Application username 设置为 Email。
4. 在 Assignments 选项卡上分配人员或群组，然后从 Sign On 选项卡复制 Metadata URL。

Microsoft Entra ID（Azure AD）#

1. 在 Microsoft Entra 管理中心，前往 Enterprise applications › New application › Create your own application，并选择非图库选项。
2. 打开 Single sign-on，选择 SAML，然后在 Basic SAML Configuration 下，将 Entity ID 粘贴到 Identifier，将 ACS URL 粘贴到 Reply URL。
3. 在 Attributes & Claims 下，将 Unique User Identifier 设置为用户的电子邮件（user.mail），并使用 Email address 格式。
4. 在 Users and groups 下分配人员或群组，然后从 SAML Certificates 中复制 App Federation Metadata Url。

Google Workspace#

1. 在 Google 管理控制台中，前往 Apps › Web and mobile apps › Add app › Add custom SAML app。
2. 在 Google Identity Provider details 屏幕上，点击 Download metadata。
3. 在服务提供商详情下，粘贴 ACS URL 和实体 ID，将 Name ID 格式 设置为 EMAIL，并将 Name ID 设置为基本信息 › 主电子邮件。
4. 在 用户访问 下，为所有人，或需要它的组织单位或群组开启该应用。

OneLogin#

1. 前往 应用程序 › 添加应用，并选择 SAML 自定义连接器（高级）。
2. 在配置选项卡中，将实体 ID 粘贴到 Audience (EntityID)，并将 ACS URL 粘贴到 Recipient 和 ACS (Consumer) URL。将 SAML nameID 格式设置为 Email。
3. 通过角色授予访问权限，然后从 更多操作 › SAML 元数据 下载元数据。

JumpCloud#

1. 前往 SSO 应用程序 › 添加新应用程序 › 自定义应用程序，并选择使用 SAML 配置 SSO。
2. 将实体 ID 粘贴到 SP Entity ID，并将 ACS URL 粘贴到 ACS URL。将 SAMLSubject NameID 设置为 email。
3. 绑定需要访问的用户组，然后点击 导出元数据。

PingOne（Ping Identity）#

1. 前往 应用程序，添加一个应用程序并选择 SAML 应用程序。
2. 手动输入 ACS URL 和实体 ID，并在属性映射中将 saml_subject 映射为电子邮件地址。
3. 将访问权限授予正确的组，启用该应用程序，然后在配置选项卡上点击 下载元数据。

Auth0#

1. 创建一个常规 Web 应用程序，打开其 附加组件 选项卡并启用 SAML2 Web App。
2. 将 ACS URL 粘贴到 应用回调 URL 中，并在设置中将 audience 设置为实体 ID。
3. 从 使用 选项卡复制身份提供者元数据链接。

AD FS（Active Directory Federation Services）#

1. 在 AD FS 管理中，前往 依赖方信任 › 添加依赖方信任，选择声明感知并手动输入数据。
2. 启用 SAML 2.0 WebSSO 协议，使用 ACS URL，并将 Entity ID 添加为依赖方信任标识符。
3. 添加声明规则，将 E-Mail-Addresses 作为 E-Mail Address 发送，然后将 E-Mail Address 转换为带有 Email 格式的 Name ID。
4. 您的元数据位于 https://your-adfs-server/FederationMetadata/2007-06/FederationMetadata.xml。

任何其他 SAML 2.0 提供商#

创建一个自定义的 SAML 2.0 应用程序，粘贴 ACS URL 和 Entity ID，将用户的电子邮件作为 Name ID 发送，并导出元数据。如果您的提供商没有元数据文件，请记录其 SSO URL、issuer（IdP Entity ID）以及 X.509 签名证书。

步骤 3：将身份提供商的详细信息添加到 RedirHub#

向 RedirHub 提供步骤 2 中的元数据 URL 或元数据 XML。如果您没有元数据，请提供 SSO URL、issuer 和签名证书。

步骤 4：测试登录#

使用在您的身份提供商中被分配到 RedirHub 应用的用户进行登录。其在身份提供商中的电子邮件必须与其 RedirHub 账户的电子邮件一致。一旦成功，就可以向团队其余成员推广 SSO。

补充说明#

• 使用 Google 登录是所有套餐都支持的登录选项，不是 SAML 单点登录。请参阅 保护您的账户。
• 签名证书会过期。续期后，请在旧证书过期前将新的元数据提供给 RedirHub，否则 SSO 登录将停止工作。
• 每个人在 RedirHub 中的角色仍由你的工作区管理。请参阅 邀请团队成员并选择其角色。