单点登录（SSO）

接入您的 SAML 2.0 或 OpenID Connect 身份提供商（Okta、Microsoft Entra ID、Google Workspace、OneLogin、Ping…），让团队成员使用企业账号登录。该功能面向 Enterprise 套餐。用户账号可在首次登录时自动创建（即时开通）。

设置 SSO

1. 打开“公司设置 → 单点登录”
2. 选择协议（SAML 2.0 或 OpenID Connect）
3. 将“用于您的身份提供商的值”下显示的值提供给您的身份提供商：SAML 为 Entity ID 和 ACS URL（或直接提供元数据 URL），OIDC 为 Redirect URI
4. SAML：粘贴您的 IdP 元数据 URL（或元数据 XML）。OIDC：输入发现 URL、客户端 ID 和客户端密钥
5. 在“电子邮件域名”部分，添加您的用户登录所用的每个域名（例如 acme-corp.com）
6. 为该域名发布页面上显示的 DNS TXT 记录，然后点击“验证”
7. 打开“启用 SSO 登录”开关，然后点击“保存配置”

为什么需要域名验证？

只有在您通过 DNS TXT 记录证明域名归属之后，该域名才会被路由到您的身份提供商。这既能防止他人冒领您的域名，也是 SSO 发现功能对您的用户生效的前提。

登录策略选项

即时开通会在用户首次通过 SSO 成功登录时，按您选定的默认角色自动创建账号。“强制 SSO”会禁止已验证 SSO 域名下的用户使用密码登录 —— 建议在 SSO 稳定运行后启用，让企业身份成为唯一可信来源（NIST 800-63）。

用户如何登录

用户在登录页输入企业邮箱并点击“使用 SSO 登录”，随后会被重定向到您的身份提供商，认证通过后自动返回 FreeMaint —— 无需 FreeMaint 密码。

FreeMaint 从不存储您的 IdP 密钥：它们由专用的自托管身份代理保管。所有 SAML 断言校验与签名包装攻击防护也都在该代理侧完成。