单点登录管理

单点登录把 Crest 接入企业统一身份平台。管理员需要同时关注身份认证、用户创建、默认角色、异常登录和应急账号。

入口：系统管理 → 单点登录。

单点登录页面用于维护身份提供方参数。截图中的配置项通常对应企业身份平台中的应用信息。填写时要一项一项和身份平台核对，尤其是回调地址、Client ID、Client Secret、用户标识字段和默认角色。

截图里的每一类参数都要能在身份平台中找到来源。管理员配置时建议打开两个页面对照：左侧是 Crest 单点登录设置，右侧是企业身份平台的应用详情。任何一个地址、协议、域名、路径或字段名不一致，都可能导致登录跳转失败、回调失败或用户重复创建。

管理员需要确认的事项

配置前还要确认“谁负责哪一段”。身份平台参数通常由 IAM 或运维团队维护，Crest 默认角色由平台管理员维护，域名和 HTTPS 由基础设施团队维护。把责任边界说清楚，比配置出错后再互相排查要高效得多。

配置步骤

示例：上线前试运行

SSO 不建议配置完成后直接全员开放。建议先用一个测试用户和一个业务用户试运行：

1. 在身份平台中给测试用户授权 Crest 应用。
2. 在 Crest 中配置默认低权限角色。
3. 使用测试用户登录，检查是否自动创建用户。
4. 查看用户姓名、邮箱、组织字段是否正确。
5. 检查菜单权限是否只包含预期范围。
6. 退出后再次登录，确认不会重复创建账号。
7. 保留本地管理员账号，确认 SSO 故障时仍能进入系统。

试运行通过后，再逐步开放给业务团队。开放当天建议安排管理员值守，重点观察登录失败、用户重复、无菜单、默认角色过大等问题。

试运行记录建议包含：

默认角色建议

应急处理

SSO 异常时，管理员应先确认是否是身份平台故障、网络故障、证书过期、回调地址错误或 Client Secret 变更。

建议保留：

• 一个受控的本地管理员账号。
• 当前 SSO 参数备份。
• 身份平台应用负责人联系方式。
• 回滚到本地登录的操作记录。

常见问题

上线后巡检

SSO 上线后，建议在第一周每天看一次登录相关反馈。重点关注三类问题：

1. 新用户能登录但没有菜单，通常是默认角色过小或未绑定资源。
2. 用户信息不完整，通常是字段映射没有覆盖姓名、邮箱或组织。
3. 部分人登录失败，通常是身份平台应用授权范围或账号状态问题。

稳定运行后，可以把 SSO 配置纳入月度巡检：确认 Client Secret 未过期、证书未过期、回调地址仍是当前生产域名、应急账号仍可用。