# 为您的团队实现单点登录

> 通过您公司的 SAML 2.0 或 OpenID Connect 提供商（Okta、Entra ID、Google Workspace、Keycloak）登录控制台，可选择为组织中的每位成员强制要求。

Source: https://developers.anpheros.com/zh/guides/team-sso

在 Scale 计划中，您的团队通过您公司的身份提供商（Okta、Microsoft Entra ID、Google Workspace、Keycloak 或任何 SAML 2.0 或 OpenID Connect 提供商）登录控制台。当强制要求单点登录时，离开您公司的员工一旦在您的身份提供商中被禁用，将立即失去对您组织的访问权限；密码或 Google 帐户将不再足够。

## 工作原理

1.  您向我们提供您的身份提供商的详细信息（如下文所述）以及您的团队使用的电子邮件域。
2.  我们将该提供商连接到您的组织。在 Beta 测试期间，设置是手动进行的，通常需要一个工作日。
3.  您的团队在控制台登录页面上选择 **使用 SSO 登录**，然后输入他们的工作电子邮件。控制台会根据域查找您的提供商，并打开您公司的登录页面。
4.  （可选）**强制启用** 单点登录：成员只有在通过您的提供商登录后，才能访问您组织的**项目**、**密钥**、**应用程序**和**日志**。在您提出要求后，并且在您确认所有人都能够登录后，我们会启用此功能。

用户仍然需要成为组织的成员；单点登录决定了他们如何证明自己的身份，而不是谁属于该组织。一个域只能属于一个组织，并且不能使用公共电子邮件域（gmail.com、outlook.com…）。

## 需要发送给我们的信息

**SAML 2.0:** IdP 实体 ID、单点登录 URL 和签名证书（或元数据 XML）。
请在您的 IdP 中配置以下内容：

| 设置 | 值 |
|---|---|
| Assertion Consumer Service (ACS) URL | `https://t-decoder-485315-r6.firebaseapp.com/__/auth/handler` |
| 服务提供商实体 ID | 在设置开始时我们提供给您的值 |
| Name ID | 用户的电子邮件地址 |

**OpenID Connect:** issuer URL、client ID，以及对于 code flow，还需要 client secret。请在您的提供商处注册此 redirect URI：`https://t-decoder-485315-r6.firebaseapp.com/__/auth/handler`。

请发送电子邮件至 platform@anpheros.com，主题为“SSO setup”。

## 限制

- 单点登录适用于控制台和管理员 API（人员）。您的软件使用的 API 密钥和 OAuth 访问令牌不受影响。
- 成员资格仍可在控制台中管理；用户不会从您的目录中自动创建。
- 面向患者的同意页面不受影响：患者使用自己的账户登录。