---
title: "企業單一登入（SSO）"
description: "讓你的團隊透過公司的身分識別提供者登入 ThunderPhone，並使用即時佈建及由你掌控的全組織安全性原則。"
---

企業 SSO 位於 **設定 → 組織**（一般分頁）的 **企業 SSO** 卡片中。切換 **單一登入** 開關以顯示設定。只有組織 **管理員** 和 **擁有者** 可以查看或變更這些設定。

## 安全性政策

三個全組織開關會與 **儲存政策** 一起儲存：

- **登入時要求使用 SSO** ——成員必須透過你的身分識別提供者進行驗證。
- **允許管理員使用緊急密碼登入** ——在強制使用 SSO 時，為管理員提供緊急密碼登入途徑（僅可在啟用強制措施時設定）。
- **要求使用通行金鑰存取組織** ——每位成員都必須註冊一個[通行金鑰](/zh-Hant/guides/account-and-security)，並在登入後通過通行金鑰檢查。尚未擁有通行金鑰的成員有 **3 天寬限期**可完成設定；政策面板會顯示仍需要通行金鑰的成員人數。

<Note>
  **組織的 [API 金鑰](/zh-Hant/guides/api-keys)不受此要求限制。**
  通行金鑰是與登入工作階段綁定的人類雙因素驗證；伺服器 API 金鑰（`sk_live_...`）是機器憑證，沒有可附加通行金鑰檢查的工作階段，因此即使此政策啟用，仍可繼續進行驗證——這是刻意設計，而非遺漏。啟用此要求後，如果你的組織有啟用中的 API 金鑰，政策面板會顯示不受限制的金鑰數量，並提供前往 **組織 → 金鑰** 的連結，讓管理員稽核或撤銷任何不應繼續啟用的金鑰。
</Note>

## SSO 連線

ThunderPhone 的 SSO 由 Stytch 支援。**新增連線**會建立一個連線，包含：

| 欄位 | 功能 |
| --- | --- |
| **連線名稱** | 標籤，例如「Acme Workspace SSO」。 |
| **新使用者的預設角色** | 透過 SSO 建立帳戶時指派的成員、管理員或擁有者角色。 |
| **Stytch 組織 slug / ID** | 識別支援此連線的 Stytch 組織。 |
| **允許的電子郵件網域** | 以逗號分隔，允許透過此連線登入的網域。 |
| **群組至角色對應** | 將 IdP 群組對應至角色的 JSON 陣列，例如 `[{"group":"it-admins","role":"admin"}]`。 |
| **啟用 JIT 佈建** | 第一次透過 SSO 登入時自動建立 ThunderPhone 帳戶。 |
| **連線啟用中** | 停用連線而不刪除。 |

刪除連線會永久移除它——曾透過該連線登入的使用者將無法再使用它。

<Note>
  設定身分識別提供者端需要 Stytch 組織；如果你沒有這些識別資訊，請聯絡
  [支援團隊](mailto:support@thunderphone.com)以佈建你的組織。
</Note>

## 後續步驟

<CardGroup cols={2}>
  <Card title="邀請你的團隊" icon="user-plus" href="/zh-Hant/guides/invite-your-team">
    適用於在 SSO 之外加入的成員之角色與邀請。
  </Card>
  <Card title="帳戶與安全性" icon="shield" href="/zh-Hant/guides/account-and-security">
    每位成員所看到的通行金鑰要求。
  </Card>
</CardGroup>