用户手册

外观

接入企业登录（OIDC / OAuth） ​

把公司已有的身份提供方（Microsoft Entra ID、Google Workspace、Okta、Keycloak、Authing 或其他 OpenID Connect / OAuth 2.0 提供方）接到 Raise 后，成员可以在登录页用公司账号登录。

Raise 这边的设置在「我的组织」→「安全」→「企业登录」，界面说明见连接器与集成。每个组织最多接入 10 个提供方。

开始前准备 ​

  • 身份提供方的管理员权限，能注册应用（客户端）并拿到 Client ID 和 Client Secret。
  • Raise 里「管理员」角色的账号。

登记重定向地址 ​

  1. 打开 Raise 的「企业登录」页。顶部「在你们的提供方里登记这个重定向地址」列出两条地址，每条旁有复制按钮。
  2. 在提供方的应用里，把两条都填进「重定向 URI」。
  3. 回到 Raise，点右上角「接入提供方」，选「提供方类型」，按下面对应的一节填写。
  4. 填好后点「接入」，提示「已接入，记得在列表里打开“登录页提供”」。
  5. 在列表里打开这一行的「登录页提供」开关。

Microsoft Entra ID ​

  1. 在 Entra 里注册一个 Web 应用，重定向地址填上面给出的地址。
  2. 在 Raise 选「Microsoft Entra ID (Azure AD)」。「Issuer」已预填为 https://login.microsoftonline.com/<租户 ID>/v2.0，把 <租户 ID> 换成你们的目录（租户）ID。
  3. 填「Client ID」和「Client Secret」。

Google Workspace ​

  1. 在 Google Cloud 创建 OAuth 客户端，类型选 Web 应用，重定向地址填上面给出的地址。
  2. 在 Raise 选「Google Workspace」。「Issuer」已预填为 https://accounts.google.com。
  3. 填「Client ID」和「Client Secret」。Google 会验证邮箱。

Okta ​

  1. 在 Okta 创建 OIDC Web 应用，重定向地址填上面给出的地址。
  2. 在 Raise 选「Okta」。「Issuer」用默认授权服务器的地址，已预填为 https://<你们的域名>.okta.com，把尖括号部分换成真实值。
  3. 填「Client ID」和「Client Secret」。

Keycloak ​

  1. 在 Keycloak 的 realm 里创建一个 OpenID Connect 客户端（保密），重定向地址填上面给出的地址。
  2. 在 Raise 选「Keycloak」。「Issuer」已预填为 https://<主机>/realms/<realm>，把尖括号部分换成真实值。
  3. 填「Client ID」和「Client Secret」。

Authing ​

Authing 可以把企业微信、钉钉、飞书等桥接成标准 OIDC，是接入这些的常用办法。

  1. 在 Authing 创建应用，重定向地址填上面给出的地址。
  2. 在 Raise 选「Authing」。「Issuer」已预填为 https://<应用域名>.authing.cn/oidc，把尖括号部分换成真实值。
  3. 填「Client ID」和「Client Secret」。

其他 OpenID Connect ​

任何标准的 OIDC 提供方。

  1. 在提供方创建客户端，重定向地址填上面给出的地址。
  2. 在 Raise 选「其他 OpenID Connect」，填它的「Issuer」地址（完整的 https 地址）。
  3. 点「Issuer」旁的「测试连接」。读到发现文档时显示「连接正常」和发行者地址；不对时显示「连不上或不对」和原因。
  4. 填「Client ID」和「Client Secret」，按需改「Scope」（空格分隔，默认 openid profile email）。

预设的提供方也可以用「测试连接」检查 Issuer。

其他 OAuth 2.0 ​

没有 OIDC 发现文档、但提供授权、令牌、用户信息三个接口的提供方。

  1. 在提供方创建客户端，重定向地址填上面给出的地址。
  2. 在 Raise 选「其他 OAuth 2.0」，填「授权地址」「令牌地址」「用户信息地址」（都是完整的 https 地址）。
  3. 填「用户标识字段」：用户信息里标识一个人的字段，通常是 sub 或 id，默认 sub。
  4. 填「Client ID」「Client Secret」和「Scope」。

企业微信、钉钉、飞书 ​

企业微信、钉钉、飞书不是标准 OIDC，不能在「企业登录」里直接接入。可以：

首次登录规则 ​

「第一次用公司账号登录时」有两个选项：

选项默认说明
「自动创建账号」开第一次用公司账号登录的人自动建账号（成员角色）。关闭后仅已邀请的成员可登录
「按已验证邮箱并入已有账号」关邮箱已验证、且和某个账号相同的人并入那个账号。仅在提供方保证邮箱真实时打开（比如 Google Workspace、Entra），否则可被冒充

常见问题 ​

提示「Issuer 要填完整的 https 地址（把尖括号里的占位换成真实值）」？ ​

预填的 Issuer 里还留着尖括号占位，换成你们的真实值。

接入后登录页上没有这个按钮？ ​

新接入的提供方默认「未启用」。在列表里打开「登录页提供」开关。

删除提供方会怎样？ ​

成员将无法再用它登录，账号和数据不受影响。