使用 SAML 2.0 设置单点登录

PlatoForms 可以与任何支持 SAML 2.0 的身份提供商一起使用，例如 OneLogin、JumpCloud、Ping Identity、Keycloak 或 ADFS。当您的提供商没有自己的指南时，请使用本指南。

有关单点登录页面的概述，请参阅单点登录 (SSO)。另有针对 Okta、Microsoft Entra ID 和 Google Workspace 的单独指南。

开始之前

• 您可以在您的身份提供商处创建一个 SAML 应用程序。
• 在 PlatoForms 中，您是团队所有者或具有 管理成员 权限的成员。
• 在 PlatoForms 中，打开您的团队菜单并选择 单点登录。在 连接 选项卡中，选择 其他 (SAML)。

您的身份提供商的值

在您的提供商处创建一个 SAML 2.0 应用程序，并输入 2. 您的身份提供商的值 中的值：

• ACS URL： 您的提供商发布 SAML 响应的位置。其他名称：单点登录 URL、回复 URL、断言消费者服务 URL。绑定方式为 HTTP-POST。
• 实体 ID： 响应的受众。其他名称：受众 URI、标识符、SP 实体 ID。相同的地址提供 PlatoForms 元数据，许多提供商可以导入而不是手动输入值。
• 启动 URL： 可选。用作应用程序图块的登录 URL。

将 名称 ID 设置为用户的电子邮件地址，格式为电子邮件地址。

在响应中添加三个属性：

如果您的提供商使用其他属性名称，请保留它们并在 PlatoForms 的 高级：属性名称 下输入这些名称。当没有发送电子邮件属性时，PlatoForms 使用名称 ID。

来自您的身份提供商的值

在 3. 来自您的身份提供商的值 下，加载或粘贴这些值：

• 加载它们： 粘贴您的提供商的 元数据 URL 并点击 从元数据加载。
• 粘贴它们： 输入 身份提供商实体 ID（发行者）、登录 URL（HTTP-Redirect） 和 签名证书（PEM 或 base64）。

点击 保存连接。

验证您的域，测试并开启

1. 在 电子邮件域 选项卡中，添加您的公司域，在您的 DNS 提供商处创建 PlatoForms 显示的 TXT 记录，然后点击 验证。

2. 在状态卡中，点击 测试连接。一个窗口通过您的提供商登录并显示 PlatoForms 接收到的电子邮件、姓名和属性名称。如果名称或电子邮件缺失，请使用这些名称来更正映射。

3. 点击 开启单点登录。

请参阅登录规则以要求单点登录或允许新成员自动加入。

技术细节

• 登录可以从 PlatoForms 开始（SP 发起）或从您的提供商开始（IdP 发起）。
• PlatoForms 通过 HTTP-Redirect 发送未签名的身份验证请求。响应中的断言必须签名。
• 检查响应的签名、受众、目的地、有效期和重放。
• 可以同时保存两个签名证书，因此您可以在不影响正常运行时间的情况下轮换证书。
• 登录 URL 和元数据 URL 必须是公共的 https 地址。
• 不支持单点注销。从 PlatoForms 注销不会将用户从您的提供商处注销。

故障排除