SSO 配置

單點登入（SSO，Single Sign-On）讓組織成員使用企業自己的身份提供商（IdP）登入 EngageLab，無需單獨維護 EngageLab 密碼。管理員可以在 IdP 中統一開通和停用成員的訪問權限。

EngageLab 支援基於 SAML 2.0 協議的身份提供商，包括但不限於 Microsoft Azure（Microsoft Entra ID）、Google Workspace、Okta、OneLogin。

本文面向組織創建者和企業 IdP 管理員，介紹從配置到成員登入的完整流程。

常見名詞

配置前準備

• 擁有一個 EngageLab 帳號，並使用普通登入方式登入。使用 SSO 登入時不能創建組織。
• 要啟用 SSO 的組織由您創建，且已開通 SSO 權益。如未開通，請聯繫商務。
• 能夠在企業 IdP 中創建 SAML 應用程式，或有 IdP 管理員協助。
• 成員在 IdP 中的郵箱與其 EngageLab 帳號郵箱一致。

使用者識別規則

EngageLab 以郵箱識別 SSO 使用者：從 IdP 返回的 SAML 斷言中讀取使用者的郵箱屬性，與 EngageLab 帳號的郵箱匹配。以下兩種屬性名均可識別：

注意：IdP 返回的 SAML 斷言中必須包含以上任一郵箱屬性，值為使用者的郵箱地址，且與該使用者的 EngageLab 帳號郵箱一致。如果您使用的 IdP 預設不返回郵箱屬性，請在 IdP 應用程式的 Attribute Statement 中添加名為 email 的屬性，否則使用者無法完成 SSO 登入。

建議：Name ID 也設置為使用者的郵箱地址，格式為 EmailAddress，便於排查問題。

各 IdP 的郵箱屬性配置：

配置流程

配置 SSO 分為四步，與控制台「配置 SSO」嚮導一致：

1. IdP 配置：把 EngageLab 提供的 SP 資訊配置到 IdP，並確認 IdP 返回郵箱屬性。
2. 數據返回：把 IdP 生成的證書和登入、登出地址填入 EngageLab。
3. 授權組織：把 SSO 服務授權給要啟用 SSO 的組織。
4. 驗證：使用 SSO 登入連結測試登入。

第 1 步：在 IdP 中配置 EngageLab

1. 登入 EngageLab，將滑鼠懸停在右上角的頭像上，點擊「個人中心」。

   

2. 在「個人中心」中點擊「SSO」，再點擊「配置 SSO」。

   

3. 複製頁面上的 SP 資訊，交給 IdP 管理員在 IdP 中創建 SAML 應用程式。點擊「複製」可一次複製全部資訊。

   

   SP 資訊	說明	在 IdP 中常見的欄位名
   Entity ID	EngageLab 作為 SP 的唯一標識	識別碼 (實體識別碼)、Audience URI、SP Entity ID
   ACS URL	接收 IdP 返回的 SAML 斷言的地址	回覆 URL (判斷提示取用者服務 URL)、Single sign-on URL、ACS URL
   Login URL	EngageLab 的 SSO 登入入口	登入 URL、Start URL
   Logout URL	EngageLab 的登出地址	登出 URL、Single Logout URL

4. 按使用者識別規則確認 IdP 應用程式會返回郵箱屬性，預設不返回時添加名為 email 的屬性；並把需要登入 EngageLab 的成員分配給該應用程式。

5. 請 IdP 管理員提供以下資訊，供下一步填寫：

   IdP 資訊	說明
   X.509 Certificate	IdP 的簽名證書，Base64 格式。證書有有效期，過期前需要更新
   IdP Login URL	IdP 的單點登入地址
   IdP Logout URL	IdP 的單點登出地址

6. IdP 配置完成後，勾選頁面底部的確認項（確認 EngageLab 應用程式的資訊已在 IdP 中更新），點擊「繼續」。

   

常見 IdP 的詳細配置步驟：

• Microsoft Azure
• Google Admin
• Okta、OneLogin 等其他 IdP：按上表把 SP 資訊填入對應欄位，並按使用者識別規則添加 email 屬性。

第 2 步：輸入 IdP 返回的資訊

1. 填寫「SSO 服務的名稱」，用於在 SSO 服務列表中區分不同的服務。
2. 填寫 IdP 提供的「x509 Certificate」「IdP Login URL」「IdP Logout URL」。證書請貼上完整的 Base64 內容。
3. 點擊「繼續」。

第 3 步：授權組織

1. 選擇要啟用 SSO 的組織，點擊「保存並驗證」。

   • 一個 SSO 服務可以授權給多個組織，一個組織也可以授權多個 SSO 服務。
   • 只能選擇您創建、且已開通 SSO 權益的組織。組織顯示「無權益」或「受限」（SSO 協議數量超限）時不可選，請聯繫商務。

   

2. 在確認彈窗中確認。

   注意：保存後，所選組織的所有成員會被退出登入，並收到一封要求使用 SSO 登入的郵件。之後成員必須使用 SSO 登入才能訪問該組織。

   

第 4 步：驗證 SSO 服務

使用頁面上的「SSO 登錄 URL」測試登入。測試帳號需要滿足：

• 已加入已授權 SSO 服務的組織。
• 在 IdP 中已分配到該 SAML 應用程式。
• IdP 返回的郵箱屬性值與該帳號的 EngageLab 郵箱一致。

說明：通過 SSO 登入連結登入、且在組織內沒有任何角色的帳號，會被自動授予 Default 角色。成員加入後，您可以在組織的成員管理中修改其角色。

使用者訪問規則

帳號通過某個 SSO 服務登入後，系統會記錄該帳號與 SSO 服務的綁定關係。以下方式都會產生綁定：

• 點擊「邀請加入組織」郵件中的 SSO 登入連結。
• 點擊「組織啟用 SSO 服務」通知郵件中的 SSO 登入連結。
• 使用 SSO 服務的專屬登入連結。

管理 SSO 服務

在「個人中心」>「SSO」中查看已配置的 SSO 服務。

查看與編輯

點擊某一行或「編輯」，打開「SSO 服務詳情」。詳情中顯示 SP 配置資訊和 IdP 配置資訊，點擊欄位右側的按鈕可複製內容。

• 只能修改 IdP 配置資訊（x509 Certificate、IdP Login URL、IdP Logout URL），其他欄位為唯讀。
• 詳情中會顯示證書的到期日期。IdP 更換證書後，請及時在此更新，否則成員將無法登入。

修改授權組織

點擊「授權」，在左側選擇組織、在右側查看已授權的組織，點擊「保存」。

• 新增授權的組織：所有成員會收到提醒郵件，郵件中提供該 SSO 服務的登入連結，要求使用該服務登入。
• 取消授權的組織：所有成員會收到提醒郵件，告知不能再使用該 SSO 服務登入，並提供組織支援的其他登入方式。

刪除

點擊「刪除」並確認。

注意：刪除後，該服務授權的組織不再支援通過該服務進行 SSO 登入，登入連結失效，組織成員會收到停止使用 SSO 登入的郵件。

成員登入

從 EngageLab 登入頁登入

1. 打開 EngageLab 登入頁，點擊「SSO 登入」。

   

2. 輸入 EngageLab 帳號郵箱。系統根據該帳號最近一次訪問的 SSO 組織選擇 SSO 服務：

   • 該組織只有一個 SSO 服務時，直接跳轉到 IdP。
   • 該組織有多個 SSO 服務，且帳號與其中多個存在綁定關係時，請選擇要使用的服務。

3. 在 IdP 頁面完成認證後，自動返回 EngageLab 完成登入。

   

使用 SSO 專屬登入連結

組織創建者可以在「個人中心」>「SSO」中複製 SSO 服務的登入連結，發送給組織成員。

成員點擊連結後跳轉到 IdP 認證，認證成功後 EngageLab 按 IdP 返回的郵箱匹配帳號：

說明：如需通過 SSO 登入連結訪問組織，請聯繫組織管理員將您的郵箱加入該 SSO 組織。

登入失敗排查

登出

在 SSO 登入狀態下點擊登出時，系統會調用 IdP 的登出地址，同時退出 IdP 的登入狀態。再次登入時需要重新在 IdP 認證。

說明：部分 IdP 不支援單點登出（例如 Google Workspace），此時需要在 IdP 一側手動退出，見 Google Admin。