策略与单点登录

组织的 policy政策 用来设定适用于你所带入的每个人的规则。vpn_key单点登录 让你的员工使用公司已经为他们提供的账户登录，并自动加入组织。

这两项都在 Enterprise 区域：businessEnterprise > policy政策 和 vpn_key单点登录。

组织策略#

修改下面的任意选项，然后按页面底部的 save保存。新的默认角色只适用于此后加入的人，不会改变现有成员的角色。

允许的电子邮件域名#

只有使用这些邮箱域名的人才能被邀请或关联到你的组织。留空则允许任何域名。

1. 在 允许的邮箱域名 下，在 添加域名 中输入一个域名，例如 acme.com。只输入域名，不要输入电子邮件地址或网址。
2. 按 add添加（或按 Enter）。该域名会显示为一个标签。
3. 按 save保存。

按标签上的 close 可移除该域名。列表为空时，页面会显示“无限制，可邀请任何邮箱域名。”

设置列表后，向任何其他域名发出的邀请都会被拒绝，无论是在 group用户 页面还是由服务器处理；向现有账户发送的加入请求同样会被拒绝。成员也不能把自己的登录地址改成其他域名。

默认设置#

• 新成员的默认角色：授予每位加入者的角色，包括你邀请的人、接受加入请求的现有账户、通过单点登录加入的人，以及通过 API 创建的成员。初始值为 成员。只有所有者可以将其设为 管理员。参见角色。
• 超过多少天未登录则标记为未活跃（天）：超过这个时间没有登录的成员，会在 group用户 页面中被计为不活跃，这提示他的席位可以让给别人。可填 1 到 3650 之间的任意数字，初始值为 60。

安全措施#

• 成员注销账户前必须先转移项目：成员无论如何都不能删除自己的账户，只有所有者和管理员可以，所以此选项不会产生任何变化。你删除的成员，其项目始终留在组织中。参见将某人移出组织。

单点登录#

使用单点登录，你的员工可以通过公司的身份提供商，使用公司已经为他们提供的账户（Microsoft、Okta、Google 等）登录 Measure Map Online，采用 SAML 或 OpenID Connect (OIDC) 协议。公司中任何通过它登录的人都会自动加入你的组织。

你可以在 vpn_key单点登录 页面提交申请：页面会显示需要在身份提供商中填写的内容，以及需要发送给我们的内容。我们会检查申请并开启单点登录。组织的所有者和管理员都可以发送申请。

工作原理#

1. 你在下方向我们发送身份提供商的详细信息，以及你团队使用的邮箱域名。
2. 我们核对后开启单点登录。你会收到一封邮件，此页面会显示登录链接。
3. 你的团队使用公司账户登录。新成员会加入你的组织并出现在“用户”下，你可以在那里设置他们的角色。

开始之前需要准备什么#

• 身份提供商的管理员权限，例如 Microsoft Entra 管理中心、Okta 管理控制台或 Google 管理控制台，或者有此权限的 IT 同事。你需要在那里把 Measure Map Online 添加为应用程序。
• 你的团队使用的所有电子邮件域名，例如 acme.com 和 acme.co.uk。只有使用这些域名地址的人才能通过单点登录加入。
• 一位技术联系人：我们可以就此连接咨询的人的姓名和电子邮件地址。
• 来自身份提供商的三项信息，在那里添加 Measure Map Online 后复制即可（见下面的第 1 步）：
  • 使用 SAML：单点登录 URL（登录 URL）、身份提供商实体 ID（颁发者） 和 签名证书；
  • 使用 OpenID Connect：颁发者 URL、客户端 ID 和 客户端密码。

第 1 步：将 Measure Map Online 添加到你的身份提供商#

1. 打开 businessEnterprise > vpn_key单点登录。

2. 在 协议 下，选择页面推荐的 SAML 2.0；如果你的 IT 团队更倾向于 OpenID Connect，则选择 OpenID Connect。

3. 在 身份提供商 下，选择你使用的提供商：Microsoft Entra ID (Azure AD)、Okta、Google Workspace、OneLogin、JumpCloud 或 其他提供商。

4. 在 在你的身份提供商中输入这些值 下，页面会显示我们这一侧的连接信息。请用 content_copy 从页面中复制每个值，不要手动输入。

   使用 SAML：

   • 标识符（Entity ID）：https://app.measuremaponline.com
   • 回复 URL（ACS URL）：https://measuremaponline.com/__/auth/handler
   • Name ID：用户的邮箱地址
   • 属性：email（必填）；名和姓，或显示名称（可选）

   使用 OpenID Connect：

   • 重定向 URI：https://measuremaponline.com/__/auth/handler
   • 范围：openid email profile

5. 在这些值下方，页面会给出你所选提供商的步骤。下面也有这些步骤，并说明了在哪里可以找到第 2 步所要求的每项信息。

在身份提供商中的哪里可以找到#

Microsoft Entra ID、Okta 和 Google Workspace 有各自的步骤。OneLogin、JumpCloud 和其他提供商按通用步骤操作。

Microsoft Entra ID，使用 SAML#

1. 在 Microsoft Entra 管理中心，打开 Enterprise applications > New application > Create your own application。将其命名为“Measure Map Online”，并选择集成在库中找不到的应用程序。
2. 在新应用程序中，打开 Single sign-on 并选择 SAML。在 Basic SAML Configuration 下，填入 标识符（Entity ID） 和 回复 URL（ACS URL）。
3. 在 Attributes & Claims 下，将 Unique User Identifier (Name ID) 设为 user.mail，并保留电子邮件地址声明。
4. 在 Users and groups 下，分配将要登录的人员或群组。
5. 回到 Single sign-on，复制这三项信息：
   • 单点登录 URL（登录 URL）：Login URL，位于 Set up Measure Map Online 下。
   • 身份提供商实体 ID（颁发者）：Microsoft Entra Identifier，位于同一位置。
   • 签名证书：在 SAML Certificates 下下载 Certificate (Base64)。

Okta，使用 SAML#

1. 在 Okta 管理控制台，打开 Applications > Applications > Create App Integration，选择 SAML 2.0，并将应用命名为“Measure Map Online”。
2. 将 回复 URL（ACS URL） 填入 Single sign-on URL，将 标识符（Entity ID） 填入 Audience URI (SP Entity ID)。将 Name ID format 设为 EmailAddress，Application username 设为 Email。
3. 在 Attribute Statements 下，添加 email，值为 user.email（如有需要，也可添加 firstName 和 lastName）。
4. 在 Assignments 选项卡中，分配将要登录的人员或群组。
5. 在 Sign On 选项卡中，打开 View SAML setup instructions 并复制：
   • 单点登录 URL（登录 URL）：Identity Provider Single Sign-On URL。
   • 身份提供商实体 ID（颁发者）：Identity Provider Issuer。
   • 签名证书：X.509 Certificate。

Google Workspace，使用 SAML#

1. 在 Google 管理控制台，打开 Apps > Web and mobile apps > Add app > Add custom SAML app，并将其命名为“Measure Map Online”。
2. 在 Google Identity Provider details 页面，复制这三项信息，然后继续：
   • 单点登录 URL（登录 URL）：SSO URL。
   • 身份提供商实体 ID（颁发者）：Entity ID。
   • 签名证书：下载证书。
3. 在下一页，将 回复 URL（ACS URL） 填入 ACS URL，将 标识符（Entity ID） 填入 Entity ID。将 Name ID format 设为 EMAIL，Name ID 设为 Basic Information > Primary email。
4. 在 User access 下，为将要登录的组织部门或群组开启该应用。

OneLogin、JumpCloud 和其他提供商，使用 SAML#

1. 创建一个名为“Measure Map Online”的 SAML 2.0 应用程序。
2. 填入 标识符（Entity ID） 和 回复 URL（ACS URL），将用户的电子邮件地址作为 Name ID 发送，并分配将要登录的人员。
3. 复制这三项信息，通常可在应用程序的 SAML 或元数据页面找到：
   • 单点登录 URL（登录 URL）：身份提供商的单点登录 URL。
   • 身份提供商实体 ID（颁发者）：其实体 ID，也称为颁发者 (issuer)。
   • 签名证书：其签名证书。

Microsoft Entra ID，使用 OpenID Connect#

1. 在 Microsoft Entra 管理中心，打开 App registrations > New registration。将其命名为“Measure Map Online”，平台选择 Web，并填入 重定向 URI。
2. 在 Certificates & secrets 下，创建一个客户端密码并立即复制其值：它只会显示一次。
3. 在 Token configuration 下，将可选声明 email 添加到 ID 令牌。
4. 复制这三项信息：
   • 颁发者 URL：https://login.microsoftonline.com/<tenant ID>/v2.0，其中的租户 ID 为 Overview 页面上的 Directory (tenant) ID。
   • 客户端 ID：Application (client) ID。
   • 客户端密码：第 2 步中密码的值。

其他提供商，使用 OpenID Connect#

1. 创建一个名为“Measure Map Online”的 OpenID Connect Web 应用程序，并填入 重定向 URI。
2. 允许 openid、email 和 profile 范围，并分配将要登录的人员。
3. 复制这三项信息：颁发者 URL、客户端 ID 和 客户端密码。

第 2 步：把信息发送给我们#

在 将详细信息发送给我们 下，填写：

• 使用 SAML：单点登录 URL（登录 URL）、身份提供商实体 ID（颁发者） 和 签名证书。粘贴证书文本（Base64 或 PEM，包含 BEGIN 和 END 行），或按 upload_file选择文件，选择你下载的 .cer、.crt 或 .pem 文件。
• 使用 OpenID Connect：颁发者 URL、客户端 ID 和 客户端密码。
• 邮箱域名：输入一个域名，例如 acme.com，然后按 add添加（或按 Enter）。请添加团队使用的每一个域名：只有使用这些域名地址的人才能通过单点登录加入。
• 技术联系人 和 联系邮箱：我们就此申请联系的人。其他内容请填入 其他需要我们了解的信息（可选）。

按 send发送请求。发送时会立即检查这些信息；如果未被接受，表单会马上说明需要修正什么：

• “无法读取该签名证书。请粘贴完整的证书（包括 BEGIN 和 END 行），或选择文件。”
• “这些信息未被接受。请检查单点登录 URL、实体 ID 和证书（或颁发者、客户端 ID 和密码），然后重试。”

我们审核期间#

申请发送后，页面顶部的状态会显示 schedule 等待我们处理，同时显示你发送的信息以及我们为此创建的支持工单编号。我们会检查申请，尤其是确认这些电子邮件域名属于你的组织，然后开启单点登录。所有者会收到一封电子邮件，页面会显示 check_circle 已启用 以及登录链接。

在等待期间，你可以：

• 按 edit编辑请求 更正申请，然后按 send更新请求。将 签名证书 或 客户端密码 留空，即可沿用你之前发送的那个。
• 按 undo撤回请求 取消申请。你随时可以重新发送一个新的申请。

如果我们需要你修改某些内容，状态会显示 error 需要修改，并附上我们关于需要修改什么的说明。请更正表单，然后按 send更新请求。

开启之后#

页面会显示你的身份提供商、已批准的电子邮件域名和 登录链接，例如 https://app.measuremaponline.com/login?sso=saml.acme-3f9a1c。按 content_copy 复制，并分享给你的团队：它会打开已为你公司的提供商准备好的登录页面。把 ?sso= 换成 ?saml= 的同一链接同样有效。

• 谁会加入：通过它登录的人，如果其地址属于已批准的域名之一，会在首次登录时自动加入你的组织。他们会像受邀者一样获得组织的默认角色，并且每人占用一个席位。如果没有空闲席位，该人无法加入，所有者会收到一封相关电子邮件（每天最多一封）。
• 更改：如需更换提供商或关闭单点登录，请按 support_agent联系我们。它会打开已为你预先填写好的支持表单。每当单点登录被开启或关闭时，所有者都会收到一封电子邮件，因此没有人预期的更改不会被忽略。
• 证书：使用 SAML 时，页面会显示你的身份提供商签名证书的有效期限，并从到期前一个月起提醒你。一旦到期，就没有人能通过单点登录登录：请在身份提供商中创建新证书，并通过 support_agent联系我们 发送给我们。
• 问题：如果提供商停止工作，状态会显示 error 无法使用，你的团队将无法用它登录。请像第 1 步和第 2 步那样，重新发送通知下方的申请表单，我们检查后会重新连接。你也可以按 support_agent联系我们。