身份联合接入工作流

概述

接入外部身份源若不做沙箱验证与应急兜底，一旦 IdP 故障或声明映射错误便可能全员无法登录。先交换并校验元数据与证书、映射声明到角色、用试点组跑通登录与登出，再面向全员推进并保留受限的应急本地管理员，可兼顾安全与可用。

关键步骤

1. 与 IdP 交换并校验元数据与证书。
2. 把 IdP 声明映射到应用角色与组。
3. 用试点组测试完整登录与登出流程。
4. 面向全员推进并保留应急本地管理员。

验证

• 试点用户可完成登录并获得预期角色。
• 应急账户不被强制联合策略覆盖。
• 登出流程正常。
• 元数据版本有记录。

决策点

应强制联合登录并保留受监控的应急账户，开放本地登录会形成绕过 IdP 控制的影子路径；需要权威的离职同步时宜用 SCIM。

适用范围

本条目围绕「身份联合接入工作流」给出可复制的步骤、验证方式与常见问题，适合需要按此流程落地的工程团队。执行时请结合自身上下文调整命令与阈值，并在变更前后留存证据，便于后续复核与回滚。

<EntityDescriptor entityID="https://idp.example.com">
  <IDPSSODescriptor>
    <KeyDescriptor use="signing"><KeyInfo>...</KeyInfo></KeyDescriptor>
  </IDPSSODescriptor>
</EntityDescriptor>