---
title: "企业单点登录"
description: "让您的团队通过公司的身份提供商登录 ThunderPhone，并使用即时预配和由您掌控的全组织安全策略。"
---

企业 SSO 位于 **设置 → 组织**（**常规**标签页）的
**企业 SSO**卡片中。打开 **单点登录**开关以显示配置。只有组织
**管理员**和**所有者**可以查看或更改这些设置。

## 安全策略

三项全组织范围的开关，使用 **保存策略**一并保存：

- **要求通过 SSO 登录** —— 成员必须通过您的身份提供商进行身份验证。
- **允许管理员使用紧急密码登录** —— 在强制使用 SSO 期间为管理员提供紧急密码登录路径（仅在启用强制要求时可配置）。
- **要求使用通行密钥访问组织** —— 每位成员都必须注册一个[通行密钥](/zh/guides/account-and-security)，并通过登录后的通行密钥检查。尚未注册通行密钥的成员有 **3 天宽限期**进行设置；策略面板会显示仍需设置通行密钥的成员数量。

<Note>
  **组织 [API 密钥](/zh/guides/api-keys)不受此要求限制。**
  通行密钥是与登录会话关联的人工双重身份验证检查；服务器 API
  密钥（`sk_live_...`）是不具备可附加通行密钥检查会话的机器凭据，
  因此即使启用此策略，它们仍可继续进行身份验证——这是有意设计，
  并非遗漏。启用该要求且您的组织拥有有效 API 密钥时，策略面板会显示
  不受限制的密钥数量，并提供指向 **组织 → 密钥**的链接，以便管理员
  审核或撤销任何不应继续有效的密钥。
</Note>

## SSO 连接

ThunderPhone 的 SSO 由 Stytch 提供支持。**添加连接**会创建一个包含
以下内容的连接：

| 字段 | 作用 |
| --- | --- |
| **连接名称** | 标签，例如“Acme Workspace SSO”。 |
| **新用户的默认角色** | 通过 SSO 创建的账户的成员、管理员或所有者角色。 |
| **Stytch 组织短标识 / ID** | 标识支持该连接的 Stytch 组织。 |
| **允许的电子邮件域名** | 允许通过此连接登录的、以逗号分隔的域名。 |
| **组到角色映射** | 将 IdP 组映射到角色的 JSON 数组，例如 `[{"group":"it-admins","role":"admin"}]`。 |
| **启用 JIT 预配** | 在首次通过 SSO 登录时自动创建 ThunderPhone 账户。 |
| **连接已启用** | 在不删除的情况下停用连接。 |

删除连接会将其永久移除——此前通过该连接登录的用户将无法再使用它。

<Note>
  设置身份提供商端需要 Stytch 组织；如果您没有这些标识符，请联系
  [支持团队](mailto:support@thunderphone.com)以预配您的组织。
</Note>

## 后续步骤

<CardGroup cols={2}>
  <Card title="邀请您的团队" icon="user-plus" href="/zh/guides/invite-your-team">
    适用于在 SSO 之外加入的成员的角色和邀请。
  </Card>
  <Card title="账户与安全" icon="shield" href="/zh/guides/account-and-security">
    每位成员看到的通行密钥要求。
  </Card>
</CardGroup>