跳转到正文
Capgo - 构建、发布并更新 Capacitor 应用 Capgo

SSO (企业版)

什么是 SSO？

“什么是 SSO？”章节

单点登录 (SSO) 让您的团队可以使用公司的身份提供商 (IdP) 登录 Capgo。Capgo 通过 Supabase Auth 使用 SAML 2.0。当用户的邮箱域名匹配已启用的 SSO 提供商时，他们可以通过您的 IdP 进行身份验证，并在 SSO 回调期间自动加入组织。

SSO 不会改变用户能做什么。权限由 组织角色控制。SSO 只改变他们的身份验证方式。

前提条件

“前提条件”章节

开始之前：

  • Capgo 组织已启用企业版订阅。
  • 支持以下功能的身份提供商： SAML 2.0 并提供 IdP 元数据 URL (HTTPS)。
  • 能够发布 DNS TXT 记录 用于邮箱域名（例如 company.com 用于以以下身份登录的用户 user@company.com).
  • 拥有更新组织设置权限的 Capgo 组织成员。
  • 一次 IdP 管理员 联系您的 IT 或安全部门。

SSO 设置在哪里

标题为“如何找到 SSO 设置”的部分
  1. 打开 https://console.capgo.app/
  2. 点击 设置 在左侧边栏中
  3. 选择 组织 标签页
  4. 选择 安全 标签页
  5. 滚动至 SSO 配置。仅当组织订阅了 Enterprise 方案时，该表单才可用。

第 1 步 - 配置你的 IdP

标题为 “Step 1 - Configure your IdP” 的部分

在您的身份提供商中，创建一个新的 SAML 2.0 应用。您需要以下 服务提供商 参数，请参考 Capgo SSO 配置面板中显示的内容：

字段使用场景
ACS URLIdP SAML 应用中的 Assertion Consumer Service URL
实体 IDService Provider 实体标识符
SP 元数据 URL可选：如果您的 IdP 支持通过 URL 导入 SP metadata，请在此导入
NameID 格式SAML Name Identifier 预期的格式

您的 IdP 必须在断言中释放用户的 电子邮件地址 Capgo 通过邮箱域名来识别当前的 SSO 提供商并匹配现有账号。

第 2 步 - 在 Capgo 中添加 SSO 提供商

章节标题：“第 2 步 - 在 Capgo 中添加 SSO 提供商”
  1. 在 SSO 配置面板中，点击添加新的提供商
  2. 输入 邮箱域名 (例如 company.com)。它必须与用户登录邮箱的域名部分匹配
  3. 输入您的 IdP 元数据 URL (HTTPS)
  4. 提交

提供商已创建，状态为 等待验证.

第 3 步 - DNS 域名验证

标题为“第 3 步 - DNS 域名验证”的部分

Capgo 会验证您是否拥有该域名的控制权，之后 SSO 才会生效。

添加一个 TXT 请在您的 DNS 提供商处添加记录：

字段值
类型TXT
名称 / 主机_capgo-sso.<your-domain> (例如 _capgo-sso.company.com)
值dashboard 面板中显示的验证 token

记录发布后（DNS TTL 生效通常需要几分钟到一小时），点击 验证 DNS 在 dashboard 中。验证成功后，该 provider 将变为 已验证.

第 4 步 - 启用提供商

标题为 “Step 4 - Activate the provider” 的章节

DNS 验证完成后，点击 Activate。provider 状态将变为 活跃. 仅 活跃 提供商用于 SSO 登录流程。

您可以随时在 dashboard 中选择 停用 。这会将该提供商移至 已禁用，从而暂停该域名的 SSO，但不会删除配置。

第 5 步 - 测试并分配角色

标题为“第 5 步 - 测试并分配角色”的部分

当用户首次通过 SSO 登录且在该组织中尚无现有成员身份时，Capgo 会为其配置 读取 角色。

试点用户登录后：

  1. 前往 设置 → 组织 → 成员
  2. 找到通过 SSO 配置的用户
  3. 将其角色调整至相应级别（Upload, Write, Admin，等等）

请参阅 完整权限说明 以及各角色的权限范围。

可选 - 强制启用 SSO

标题为“可选 - 强制执行 SSO”的部分

在 活跃 提供商上，您可以切换 强制执行 SSO。启用后，Capgo 会将该邮箱域名下的现有认证用户标记为“仅限 SSO”，且该域名的登录流程将必须通过 IdP 认证。将提供商设置为 已禁用 (停用) 或关闭强制执行将移除该域名的 SSO-only 标记。

提供商状态参考

标题为“提供商状态参考”的部分
状态含义
待验证DNS TXT 记录尚未验证
已验证域名所有权已确认；可立即激活
活跃该域名的 SSO 已上线
已禁用由...设置 停用 在 dashboard 中；该域名未启用 SSO；请使用 重新激活 以返回 活跃

上线检查清单

标题为“Rollout checklist”的部分
  • 企业版方案已确认
  • 已在 IdP 中创建 SAML 应用，并填入来自 Capgo 的 ACS URL 和 Entity ID
  • IdP 已配置为发布稳定的 email claim
  • DNS TXT 记录已发布，且 验证 DNS 成功
  • 提供商已激活
  • 试点用户已成功登录
  • 角色已从默认权限提升 读取 根据需要
  • 已做出强制执行决策（若已启用则会进行通知）
标题为“相关文档”的章节

SSO (Enterprise) 进阶指南

标题为“SSO (Enterprise) 进阶指南”的章节

如果你正在使用 SSO (企业版) 用来规划身份验证和账户流程，并将它与 @capgo/capacitor-social-login 在 @capgo/capacitor-social-login 中查看实现细节， @capgo/capacitor-passkey 有关 @capgo/capacitor-passkey 的实现细节， @capgo/capacitor-native-biometric 有关 @capgo/capacitor-native-biometric 的实现细节， 双因素认证 有关双因素认证的实现细节，以及 在 Capacitor 应用中实现 OAuth2 的 5 个步骤 用于“在 Capacitor 应用中实现 OAuth2 的 5 个步骤”中的实际应用场景。