---
title: "SSO doanh nghiệp"
description: "Cho phép đội ngũ của bạn đăng nhập vào ThunderPhone thông qua nhà cung cấp danh tính của công ty, với tính năng cấp quyền đúng lúc và chính sách bảo mật trên toàn tổ chức do bạn kiểm soát."
---

SSO doanh nghiệp nằm trong **Cài đặt → Tổ chức** (tab Chung), trong thẻ **SSO doanh nghiệp**. Bật công tắc **Đăng nhập một lần** để hiển thị cấu hình. Chỉ **quản trị viên** và **chủ sở hữu** tổ chức mới có thể xem hoặc thay đổi các cài đặt này.

## Chính sách bảo mật

Ba công tắc áp dụng cho toàn tổ chức, được lưu cùng với **Lưu chính sách**:

- **Yêu cầu SSO để đăng nhập** — thành viên phải xác thực thông qua nhà cung cấp danh tính của bạn.
- **Cho phép quản trị viên đăng nhập bằng mật khẩu khẩn cấp** — một phương thức mật khẩu khẩn cấp dành cho quản trị viên khi SSO được áp dụng (chỉ có thể cấu hình khi việc áp dụng đang bật).
- **Yêu cầu passkey để truy cập tổ chức** — mọi thành viên phải đăng ký một [passkey](/vi/guides/account-and-security) và vượt qua bước kiểm tra passkey sau khi đăng nhập. Thành viên chưa có passkey sẽ có **thời hạn gia hạn 3 ngày** để thiết lập; bảng chính sách hiển thị số thành viên vẫn cần có passkey.

<Note>
  **[Khóa API](/vi/guides/api-keys) của tổ chức được miễn yêu cầu này.**
  Passkey là bước kiểm tra 2FA dành cho con người, gắn với phiên đăng nhập; khóa API máy chủ (`sk_live_...`) là thông tin xác thực của máy không có phiên để gắn bước kiểm tra passkey, vì vậy chúng vẫn tiếp tục xác thực ngay cả khi chính sách này bật — theo thiết kế, không phải do thiếu sót. Khi yêu cầu được bật và tổ chức của bạn có khóa API đang hoạt động, bảng chính sách sẽ hiển thị số khóa được miễn, kèm liên kết đến **Tổ chức → Khóa** để quản trị viên có thể kiểm tra hoặc thu hồi bất kỳ khóa nào không nên tiếp tục hoạt động.
</Note>

## Kết nối SSO

SSO của ThunderPhone được hỗ trợ bởi Stytch. **Thêm kết nối** tạo một kết nối với:

| Trường | Chức năng |
| --- | --- |
| **Tên kết nối** | Nhãn, ví dụ: "Acme Workspace SSO". |
| **Vai trò mặc định cho người dùng mới** | Thành viên, Quản trị viên hoặc Chủ sở hữu cho tài khoản được tạo qua SSO. |
| **Slug / ID tổ chức Stytch** | Xác định tổ chức Stytch hỗ trợ kết nối của bạn. |
| **Tên miền email được phép** | Các tên miền được phân tách bằng dấu phẩy, được phép đăng nhập thông qua kết nối này. |
| **Ánh xạ nhóm với vai trò** | Mảng JSON ánh xạ nhóm IdP với vai trò, ví dụ: `[{"group":"it-admins","role":"admin"}]`. |
| **Bật cấp phát JIT** | Tự động tạo tài khoản ThunderPhone khi đăng nhập SSO lần đầu. |
| **Kết nối đang hoạt động** | Vô hiệu hóa mà không xóa. |

Xóa một kết nối sẽ xóa vĩnh viễn — người dùng đã đăng nhập thông qua kết nối đó sẽ không thể tiếp tục sử dụng nó.

<Note>
  Việc thiết lập phía nhà cung cấp danh tính yêu cầu một tổ chức Stytch;
  nếu bạn chưa có các mã định danh đó, hãy liên hệ
  [bộ phận hỗ trợ](mailto:support@thunderphone.com) để được cấp phát tổ chức.
</Note>

## Bước tiếp theo

<CardGroup cols={2}>
  <Card title="Mời nhóm của bạn" icon="user-plus" href="/vi/guides/invite-your-team">
    Vai trò và lời mời dành cho thành viên tham gia ngoài SSO.
  </Card>
  <Card title="Tài khoản và bảo mật" icon="shield" href="/vi/guides/account-and-security">
    Yêu cầu passkey hiển thị như thế nào với từng thành viên.
  </Card>
</CardGroup>