将您的身份提供商连接到 Tomba，团队就可以使用公司账号登录。身份提供商是您公司用来管理登录账号的服务，例如 Okta、Microsoft Entra ID 或 Google Workspace。
开始之前
Tomba Enterprise 套餐。
您在工作区中的角色为 Owner 或 Admin。
身份提供商的管理员权限。如果您没有，请联系您的 IT 团队。
💡 提示：使用 Google Workspace？请改为按照使用 Google Workspace 设置 SSO 操作。
将 Tomba 添加到身份提供商
在 Service provider details 下，复制 Entity ID (Audience URI) 和 ACS URL (Reply URL)。
在身份提供商的管理控制台中，新建一个自定义 SAML 应用。
将这两个值粘贴到该应用中。
将 Name ID 格式设为 Email。Tomba 通过它识别您的用户。
保存应用。
将元数据上传到 Tomba
身份提供商会为新应用提供一个元数据 XML 文件。这个小文件告诉 Tomba 信任来自该身份提供商的登录。下载文件后：
在 Settings > SAML SSO 上，点击 Configure SAML SSO。
选择 Upload file 并添加该文件，或选择 Paste XML 并粘贴文件内容。
检查预览，其中会显示 Entity ID、SSO URL 和 Certificates。
点击 Save and enable SSO。
以后如需更改，请点击 Replace metadata，然后点击 Update metadata。
验证您的邮箱域名
请在测试之前完成这一步。Tomba 根据您邮箱地址中的域名来查找您的 SSO 登录，因此在域名通过验证之前，任何人都无法使用 SSO 登录。请按照验证您的域名以使用 SSO 中的步骤操作。
测试登录
打开浏览器的无痕窗口。
前往 Tomba 登录页面，点击 Sign in with SSO。
输入您的 Work email，然后点击 Continue。
点击 Continue with SSO。
通过身份提供商登录。之后您应该已登录到 Tomba。
选择团队的登录方式
在 Sign-in method 下，选择 All methods、SSO preferred 或 Only SAML SSO。各选项的作用请参阅 SSO 强制模式。
常见问题
为什么我看到“SSO not configured”？
Tomba 无法将您的邮箱与 SSO 设置匹配。请检查您的域名在 Verified domains 下是否显示为已验证，并确认您使用的是该域名下的邮箱地址。
为什么在身份提供商处登录失败？
请在身份提供商中检查以下三项：
Entity ID 和 ACS URL 与 Tomba 显示的内容完全一致。
Name ID 格式为 Email。
已为您的用户开启该 SAML 应用。
新成员需要邀请吗？
如果开启了 Just-in-time provisioning，则不需要。用户首次通过 SSO 登录时，Tomba 会为其创建账号，并分配同一页面上显示的 Default role。
相关文章