适用于 Enterprise 计划。只有组织所有者可以配置身份提供商。
概述
SSO 允许您的团队通过组织的身份提供商（IdP）登录 Wave Connect。用户无需管理单独的 Wave Connect 密码，而是使用他们用于其他所有服务的相同凭据进行身份验证。 Wave Connect 支持 SAML 2.0 和 OpenID Connect（OIDC），兼容任何符合标准的身份提供商，包括 Okta、Microsoft Entra ID、Google Workspace、OneLogin、JumpCloud 和 Ping Identity。您可以在 设置 → 安全 → 身份提供者 中自行配置。工作原理
根据用户是否已有 Wave Connect 账户，有两种登录路径。 尚无账户：用户在 Wave Connect 登录页面点击 继续使用单点登录，并在 组织用户名 字段中输入您组织的用户名。Wave Connect 将其重定向到您的身份提供商，用户完成身份验证后，账户会在首次登录时自动创建。IdP 断言的邮箱必须位于您组织的已验证域名之一上，否则登录会被拒绝。 已有账户且强制使用 SSO：用户照常输入邮箱。Wave Connect 检测到该用户所在组织已强制使用 SSO，并将其重定向到身份提供商进行身份验证。 通过 SSO 创建的账户会读取名字、姓氏和邮箱的标准声明。Microsoft Entra ID 默认的name 声明包含邮箱，会被接受为邮箱。名称声明还可以携带电话、城市、职位、语言和角色（USER 或 ADMIN）。
设置
SAML
1
打开身份提供者
前往 设置 → 安全 → 身份提供者，点击 SAML 旁边的 配置。
2
将 Wave Connect 的详情复制到您的 IdP
配置SAML 弹窗的第一步会显示您的 IdP 所需的值：
- 实体ID：
wave-connect - 断言消费者服务 (ACS) URL：
https://app.wavecnct.com/__/auth/handler - 开始 URL：
https://app.wavecnct.com/auth/sso?org=YOUR_ORG_SLUG
3
输入您的 IdP 详情
从您 IdP 的 SAML 应用中复制：
- 实体 ID：您的身份提供商的标识符 URI
- 单点登录网址：您的身份提供商登录页面的 URL
- x509 证书：PEM 格式的签名证书，从
-----BEGIN CERTIFICATE-----到-----END CERTIFICATE-----
4
保存并测试
保持 为您的用户强制执行 SSO 登录 关闭，点击 保存，并在为所有人强制执行 SSO 之前，先用一个用户通过 开始 URL 进行测试。
一次只能配置一个身份提供商。要从 SAML 切换到 OIDC 或切换到其他 IdP，请先移除当前的提供商。移除后，所有用户会恢复为邮箱或手机验证码登录。
OIDC
1
在您的 IdP 中创建 OIDC 应用
为 Wave Connect 注册一个 Web 应用，重定向 URI 为
https://app.wavecnct.com/__/auth/handler。将客户端身份验证类型设置为 Client Secret Basic。2
打开身份提供者
前往 设置 → 安全 → 身份提供者，点击 OpenID Connect 旁边的 配置。
3
输入您的 IdP 详情
在 配置OIDC 弹窗中，填写 客户 ID、客户秘密 和 发行人（您 IdP 的 issuer URL）。保持 响应类型 为 Code。隐式流程可用，但不推荐。
4
保存并测试
保持 为您的用户强制执行 SSO 登录 关闭，点击 保存，并在为所有人强制执行 SSO 之前，先用一个用户进行测试。