SSO 配置

单点登录（SSO，Single Sign-On）让组织成员使用企业自己的身份提供商（IdP）登录 EngageLab，无需单独维护 EngageLab 密码。管理员可以在 IdP 中统一开通和停用成员的访问权限。

EngageLab 支持基于 SAML 2.0 协议的身份提供商，包括但不限于 Microsoft Azure（Microsoft Entra ID）、Google Workspace、Okta、OneLogin。

本文面向组织创建者和企业 IdP 管理员，介绍从配置到成员登录的完整流程。

常见名词

配置前准备

• 拥有一个 EngageLab 账号，并使用普通登录方式登录。使用 SSO 登录时不能创建组织。
• 要启用 SSO 的组织由您创建，且已开通 SSO 权益。如未开通，请联系商务。
• 能够在企业 IdP 中创建 SAML 应用，或有 IdP 管理员协助。
• 成员在 IdP 中的邮箱与其 EngageLab 账号邮箱一致。

用户识别规则

EngageLab 以邮箱识别 SSO 用户：从 IdP 返回的 SAML 断言中读取用户的邮箱属性，与 EngageLab 账号的邮箱匹配。以下两种属性名均可识别：

注意：IdP 返回的 SAML 断言中必须包含以上任一邮箱属性，值为用户的邮箱地址，且与该用户的 EngageLab 账号邮箱一致。如果您使用的 IdP 默认不返回邮箱属性，请在 IdP 应用的 Attribute Statement 中添加名为 email 的属性，否则用户无法完成 SSO 登录。

建议：Name ID 也设置为用户的邮箱地址，格式为 EmailAddress，便于排查问题。

各 IdP 的邮箱属性配置：

配置流程

配置 SSO 分为四步，与控制台「配置 SSO」向导一致：

1. IdP 配置：把 EngageLab 提供的 SP 信息配置到 IdP，并确认 IdP 返回邮箱属性。
2. 数据返回：把 IdP 生成的证书和登录、登出地址填入 EngageLab。
3. 授权组织：把 SSO 服务授权给要启用 SSO 的组织。
4. 验证：使用 SSO 登录链接测试登录。

第 1 步：在 IdP 中配置 EngageLab

1. 登录 EngageLab，将鼠标悬停在右上角的头像上，点击「个人中心」。

   

2. 在「个人中心」中点击「SSO」，再点击「配置 SSO」。

   

3. 复制页面上的 SP 信息，交给 IdP 管理员在 IdP 中创建 SAML 应用。点击「复制」可一次复制全部信息。

   

   SP 信息	说明	在 IdP 中常见的字段名
   Entity ID	EngageLab 作为 SP 的唯一标识	标识符（实体 ID）、Audience URI、SP Entity ID
   ACS URL	接收 IdP 返回的 SAML 断言的地址	回复 URL（断言使用者服务 URL）、Single sign-on URL、ACS URL
   Login URL	EngageLab 的 SSO 登录入口	登录 URL、Start URL
   Logout URL	EngageLab 的登出地址	注销 URL、Single Logout URL

4. 按用户识别规则确认 IdP 应用会返回邮箱属性，默认不返回时添加名为 email 的属性；并把需要登录 EngageLab 的成员分配给该应用。

5. 请 IdP 管理员提供以下信息，供下一步填写：

   IdP 信息	说明
   X.509 Certificate	IdP 的签名证书，Base64 格式。证书有有效期，过期前需要更新
   IdP Login URL	IdP 的单点登录地址
   IdP Logout URL	IdP 的单点登出地址

6. IdP 配置完成后，勾选页面底部的确认项（确认 EngageLab 应用程序的信息已在 IdP 中更新），点击「继续」。

   

常见 IdP 的详细配置步骤：

• Microsoft Azure
• Google Admin
• Okta、OneLogin 等其他 IdP：按上表把 SP 信息填入对应字段，并按用户识别规则添加 email 属性。

第 2 步：输入 IdP 返回的信息

1. 填写「SSO 服务的名称」，用于在 SSO 服务列表中区分不同的服务。
2. 填写 IdP 提供的「x509 Certificate」「IdP Login URL」「IdP Logout URL」。证书请粘贴完整的 Base64 内容。
3. 点击「继续」。

第 3 步：授权组织

1. 选择要启用 SSO 的组织，点击「保存并验证」。

   • 一个 SSO 服务可以授权给多个组织，一个组织也可以授权多个 SSO 服务。
   • 只能选择您创建、且已开通 SSO 权益的组织。组织显示「无权益」或「受限」（SSO 协议数量超限）时不可选，请联系商务。

   

2. 在确认弹窗中确认。

   注意：保存后，所选组织的所有成员会被退出登录，并收到一封要求使用 SSO 登录的邮件。之后成员必须使用 SSO 登录才能访问该组织。

   

第 4 步：验证 SSO 服务

使用页面上的「SSO 登录 URL」测试登录。测试账号需要满足：

• 已加入已授权 SSO 服务的组织。
• 在 IdP 中已分配到该 SAML 应用。
• IdP 返回的邮箱属性值与该账号的 EngageLab 邮箱一致。

说明：通过 SSO 登录链接登录、且在组织内没有任何角色的账号，会被自动授予 Default 角色。成员加入后，您可以在组织的成员管理中修改其角色。

用户访问规则

账号通过某个 SSO 服务登录后，系统会记录该账号与 SSO 服务的绑定关系。以下方式都会产生绑定：

• 点击「邀请加入组织」邮件中的 SSO 登录链接。
• 点击「组织启用 SSO 服务」通知邮件中的 SSO 登录链接。
• 使用 SSO 服务的专属登录链接。

管理 SSO 服务

在「个人中心」>「SSO」中查看已配置的 SSO 服务。

查看与编辑

点击某一行或「编辑」，打开「SSO 服务详情」。详情中显示 SP 配置信息和 IdP 配置信息，点击字段右侧的按钮可复制内容。

• 只能修改 IdP 配置信息（x509 Certificate、IdP Login URL、IdP Logout URL），其他字段为只读。
• 详情中会显示证书的到期日期。IdP 更换证书后，请及时在此更新，否则成员将无法登录。

修改授权组织

点击「授权」，在左侧选择组织、在右侧查看已授权的组织，点击「保存」。

• 新增授权的组织：所有成员会收到提醒邮件，邮件中提供该 SSO 服务的登录链接，要求使用该服务登录。
• 取消授权的组织：所有成员会收到提醒邮件，告知不能再使用该 SSO 服务登录，并提供组织支持的其他登录方式。

删除

点击「删除」并确认。

注意：删除后，该服务授权的组织不再支持通过该服务进行 SSO 登录，登录链接失效，组织成员会收到停止使用 SSO 登录的邮件。

成员登录

从 EngageLab 登录页登录

1. 打开 EngageLab 登录页，点击「SSO 登录」。

   

2. 输入 EngageLab 账号邮箱。系统根据该账号最近一次访问的 SSO 组织选择 SSO 服务：

   • 该组织只有一个 SSO 服务时，直接跳转到 IdP。
   • 该组织有多个 SSO 服务，且账号与其中多个存在绑定关系时，请选择要使用的服务。

3. 在 IdP 页面完成认证后，自动返回 EngageLab 完成登录。

   

使用 SSO 专属登录链接

组织创建者可以在「个人中心」>「SSO」中复制 SSO 服务的登录链接，发送给组织成员。

成员点击链接后跳转到 IdP 认证，认证成功后 EngageLab 按 IdP 返回的邮箱匹配账号：

说明：如需通过 SSO 登录链接访问组织，请联系组织管理员将您的邮箱加入该 SSO 组织。

登录失败排查

登出

在 SSO 登录状态下点击登出时，系统会调用 IdP 的登出地址，同时退出 IdP 的登录状态。再次登录时需要重新在 IdP 认证。

说明：部分 IdP 不支持单点登出（例如 Google Workspace），此时需要在 IdP 一侧手动退出，见 Google Admin。