使用 SAML 或 OpenID Connect 设置 SSO

单点登录（SSO）让成员可以使用公司的身份提供商登录 Klang，而不必使用邮箱验证码、Google 或 Microsoft。Klang 支持 SAML 2.0 和 OpenID Connect。

你需要是工作空间管理员，并且 Klang 需要先为你的工作空间启用 SSO 设置。如果你看不到下文所述的部分，请联系 Klang。

添加连接

打开 设置 → 工作空间 → 安全，找到单点登录（SSO）。

1. 点击添加 SSO 连接
2. 输入名称。成员会在登录按钮上看到这个名称
3. 选择协议：SAML 2.0 或 OpenID Connect
4. 将 Klang 显示的地址复制到身份提供商中
5. 在下方字段中填写从身份提供商获取的信息
6. 在工作空间下，选择此连接要服务的工作空间
7. 点击保存

打开对话框后，Klang 会立即预留这些地址，因此你可以在完成设置之前先到身份提供商处注册。预留有效期为 1 小时。在你点击保存之前不会创建任何内容；点击取消不会更改你的设置。

身份提供商需要什么

对于 SAML，请注册 Service Provider Entity ID 和 ACS URL。如果身份提供商更习惯使用元数据文件，请点击下载 SP 元数据。请将身份提供商配置为发送经过签名的断言、稳定的 NameID 以及用户的真实邮箱地址。在高级设置下，你可以开启签名登录请求和加密断言、设置 NameID 格式，以及在身份提供商轮换证书期间添加第二个证书。加密断言必须使用带 MGF1 和 SHA-1 的 RSA-OAEP 密钥传输方式（XML Encryption 1.0 规范）。不支持 XML Encryption 1.1 的 RSA-OAEP 规范，使用该规范会导致登录失败。

对于 OpenID Connect，请注册 Klang 显示的 Redirect URI，然后填写身份提供商提供的 Issuer URL、客户端 ID 和客户端密钥。

你可以随时在连接详情中重新查看这些地址。

开启前先测试

对于 SAML，请在连接详情中点击测试 SAML 登录。这会检查与身份提供商之间的完整交互，但不会创建账号，也不会更改任何人的登录方式，因此可以在成员正式使用之前放心测试。

让成员使用

保存连接并不会让任何人切换过去。要让成员可以使用，请前往允许的登录方式，勾选该连接，然后点击保存。

新成员仍需收到工作空间邀请。Klang 不会根据你的目录自动创建账号，通过身份提供商登录也不会在该工作空间之外验证成员的邮箱地址。现有成员会继续使用当前的登录方式，直到自己在登录设置中更改为止。

注意事项

• 更改允许的登录方式不会让当前成员退出登录
• 请从 Klang 发起登录。不支持从身份提供商的应用磁贴打开 Klang
• 不支持 Single Logout 和自动预配成员
• 要断开某个工作空间，请先从该工作空间允许的登录方式中移除此连接