将 Google Workspace 连接到 Tomba，团队就可以使用已有的 Google 账号登录。Google Workspace 充当您的身份提供商，也就是管理公司登录账号的服务。
开始之前
您需要：
Tomba Enterprise 套餐
在 Tomba 工作区中拥有 Owner 或 Admin 角色
Google Workspace 的 Super administrator 权限
如果您不亲自管理 Google Workspace，请让您的 IT 团队和您一起完成这些步骤。
步骤 1：在 Google Admin 中添加应用
前往 admin.google.com。
打开 Apps > Web and mobile apps。
点击 Add app > Add custom SAML app。
输入应用名称，例如
Tomba。点击 Continue。
步骤 2：下载 Google 的元数据
元数据是一个以 .xml 结尾的小文件，它告诉 Tomba 如何信任来自 Google 的登录。
在 Google Identity Provider details 页面上，下载元数据。
将文件保存到您的电脑。您将在步骤 4 中把它上传到 Tomba。
点击 Continue。
步骤 3：将 Tomba 的信息复制到 Google
在新的浏览器标签页中，打开 Tomba 的 Settings > SAML SSO。
找到 Service provider details。
按照下表，将各个值复制到 Google Admin 中。
点击 Continue，然后点击 Finish。
Google Admin 中的字段 | 填写内容 |
ACS URL | Tomba 中的 ACS URL (Reply URL) |
Entity ID | Tomba 中的 Entity ID (Audience URI) |
Name ID format | |
Name ID | Basic Information > Primary email |
步骤 4：将元数据上传到 Tomba
在同一 Tomba 页面上，点击 Configure SAML SSO。
在 Upload file 选项卡上，选择您在步骤 2 中保存的文件。
确认看到 Metadata looks good，其下方显示 Entity ID 和 SSO URL。
点击 Save and enable SSO。
步骤 5：为团队开启应用
新应用默认处于关闭状态，需要您在 Google 中开启。
在 Google Admin 中，打开 Apps > Web and mobile apps，然后选择您的 Tomba 应用。
点击 User access。
选择 On for everyone，或只选择部分人员群组。Google 将这些群组称为组织部门。
点击 Save。
Google 表示，更改最长可能需要 24 小时才能生效，但通常会更快。
步骤 6：验证您的邮箱域名
只有在您的邮箱域名通过验证后，团队才能使用 SSO 登录。测试之前，请按照验证您的域名以使用 SSO 操作。
步骤 7：测试连接
打开浏览器的隐私窗口或无痕窗口。
前往 Tomba 登录页面，点击 Sign in with SSO。
输入您的 Work email，然后点击 Continue。
点击 Continue with SSO，然后使用您的 Google 账号登录。
之后您应该已登录到 Tomba。
💡 提示：测试成功后，请选择团队的登录方式。请参阅 SSO 强制模式。
常见问题
如果看到“Authentication failed”，应该检查什么？
请检查以下三项：
已在 Google Admin 中为您的用户开启该应用。
Google 中的 Entity ID 和 ACS URL 与 Tomba 完全一致。
Name ID 已设为 Primary email。
为什么我看到“SSO not configured”？
该邮箱域名尚未设置 SSO。请在 Settings > SAML SSO 的 Verified domains 下检查该域名是否已通过验证。
如果看到证书错误怎么办？
请重新从 Google 下载元数据。然后在 Settings > SAML SSO 上点击 Replace metadata，并上传新文件。
相关文章