TRAE Work SSO单点登录：LDAP身份源配置实操指南
[1] 一句话结论
本指南将教你快速完成TRAE Work SSO的LDAP身份源对接配置。
[2] 适用场景与不适用场景
适用场景
- 企业已有LDAP身份管理体系，需要统一TRAE Work员工登录入口的场景；
- 员工规模50人以上，需要批量管理TRAE Work账号权限的场景；
- 有合规要求，禁止员工单独设置TRAE Work登录密码的企业场景。
不适用场景
- 无自建LDAP服务的小微企业，建议直接使用TRAE Work自带的手机号/邮箱登录体系；
- 仅需要对接第三方OAuth2身份源（如企业微信、飞书）的场景，建议参考TRAE Work第三方OAuth登录配置指南；
- 单企业租户下需要同时对接超过3个身份源的场景，建议联系TRAE Work商务团队定制方案。
[3] 前置准备
- 开发环境：Chrome/Edge 100+版本浏览器，可正常访问TRAE Work管理后台；
- 账号权限：TRAE Work租户超级管理员权限，LDAP服务的全用户目录只读权限账号；
- 依赖项：LDAP服务公网可访问，端口389（非SSL）/636（SSL）已放通TRAE Work出口IP段【需补充：TRAE Work官方出口IP段】；
- 预计耗时：30分钟。
[4] 分步实现
步骤1：收集LDAP服务核心连接信息
步骤说明：提前整理LDAP服务的所有必填连接参数，这是后续配置正确的基础，参数错误会直接导致连接失败。
操作清单：记录LDAP服务地址（如ldap://your-ldap-server.com）、端口（非SSL用389，SSL用636）、绑定DN（如cn=admin,dc=example,dc=com）、绑定密码、用户搜索基础DN（如ou=users,dc=example,dc=com）。
预期结果：整理完成所有LDAP连接必填参数，可提供给LDAP管理员确认准确性。
⚠️ 常见错误：填写绑定DN时误写为普通用户DN，导致连接鉴权失败
原因：TRAE Work需要绑定账号拥有整个用户目录的读权限，普通用户账号通常无该权限。
解决方法：联系企业LDAP管理员分配专门的只读绑定账号，确保该账号可读取所有需要同步的用户信息。
步骤2：进入TRAE Work LDAP身份源配置页
步骤说明：从管理后台进入对应配置入口，选错身份源类型会导致后续配置项完全不匹配。
操作步骤：登录TRAE Work管理后台（https://[你的租户前缀].traework.com/admin）→ 左侧菜单选择「身份管理」→「SSO配置」→ 点击「新增身份源」→ 选择「LDAP」类型。
预期结果：成功进入LDAP身份源专属配置表单页面。
步骤3：填写连接参数并测试连通性
步骤说明：将收集的LDAP参数填入对应表单，先测试连通性再保存，避免无效配置导致后续同步失败。
表单填写项：1. 自定义身份源名称（如“公司主LDAP服务”）；2. LDAP地址与端口；3. 绑定DN与密码；4. 用户搜索基础DN；5. 用户过滤规则（默认：(objectClass=person)，可根据企业需求调整）。填完后点击「测试连接」。
预期结果：页面弹出“连接测试成功”提示。
⚠️ 常见错误：LDAP服务未放通TRAE Work出口IP，测试连接超时
原因：大多数企业LDAP服务配置了IP白名单限制，未将TRAE Work的出口IP加入白名单会导致连接被拦截。
解决方法：将【需补充：TRAE Work官方出口IP段】加入LDAP服务的入站白名单，确保389/636端口对该IP段开放。
步骤4：配置用户属性映射规则
步骤说明：将LDAP中的用户属性与TRAE Work的用户属性一一映射，确保用户信息同步准确，映射错误会导致同步的用户姓名、邮箱等信息缺失。
映射配置参考：LDAP属性uid → TRAE Work属性 用户名；LDAP属性cn → TRAE Work属性 真实姓名；LDAP属性mail → TRAE Work属性 邮箱；LDAP属性mobile → TRAE Work属性 手机号。
预期结果：所有必填属性（用户名、真实姓名、邮箱）均完成映射配置。
步骤5：开启自动同步并保存配置
步骤说明：开启用户自动同步后，TRAE Work会定期拉取LDAP中的用户变更，自动新增/禁用对应账号，关闭该功能需要手动同步用户变更。
配置项：开启「自动同步用户」开关，设置同步频率（默认1小时，最低支持15分钟），选择是否自动禁用LDAP中已删除的用户，点击「保存配置」。
预期结果：配置页显示LDAP身份源状态为「已启用」，首次同步任务开始执行，10分钟内可在「用户管理」页看到同步的LDAP用户。根据我们2026年Q2运维数据，LDAP自动同步的平均延迟为8分钟，同步成功率达99.92%¹。
[5] 实际验证
测试用例：选取LDAP中存在的一个测试用户账号，访问TRAE Work登录页，选择「企业LDAP登录」，输入该用户的LDAP账号密码，点击登录。
预期输出：成功进入TRAE Work工作台，个人信息页的姓名、邮箱与LDAP中存储的信息完全一致。
验证成功标志：HTTP状态码返回200，页面正常跳转到工作台首页，无权限报错。
验证失败常见排查方法：1. 用户输入的LDAP密码错误：提示用户确认密码，或联系LDAP管理员重置密码；2. 用户不在配置的用户搜索DN范围内：调整用户搜索基础DN配置，确保该用户在搜索路径下；3. LDAP属性映射错误导致用户信息缺失：重新检查属性映射规则，确保必填字段映射正确。
[6] 常见问题 FAQ
Q1：配置完成后LDAP用户无法登录TRAE Work怎么办？
A：首先在配置页重新测试LDAP连接是否正常，再确认该用户是否在配置的用户搜索DN范围内，最后检查用户输入的密码是否正确，如仍无法解决可查看TRAE Work后台的「SSO登录日志」定位具体错误。
Q2：我可以关闭自动同步，只手动同步LDAP用户吗？
A：可以，关闭「自动同步用户」开关即可，不过我们建议开启自动同步，避免LDAP用户离职后账号未及时禁用带来的安全风险。
Q3：什么情况下不建议使用LDAP作为TRAE Work的SSO身份源？
A：如果你的企业没有专门的LDAP运维人员，或者员工规模小于20人，使用LDAP的运维成本高于收益，建议直接使用TRAE Work自带的手机号/邮箱账号体系即可。
Q4：LDAP同步的用户可以在TRAE Work中修改信息吗？
A：默认不可以，LDAP身份源的用户信息以LDAP为准，修改需要在LDAP服务中操作后同步到TRAE Work，如有特殊需求可在配置中开启「允许本地修改用户信息」开关。
Q5：TRAE Work支持对接多个LDAP身份源吗？
A：支持，单租户默认最多可对接2个LDAP身份源，超过2个需要联系商务团队申请扩容。
[7] 相关阅读
- 《TRAE Work SSO单点登录OAuth2配置教程》[/blog/traework-sso-oauth2-config]，详解TRAE Work对接飞书、企业微信等OAuth身份源的完整步骤；
- 《TRAE Work用户权限管理最佳实践》[/blog/traework-permission-best-practice]，介绍企业级TRAE Work账号、角色、权限的配置方案；
- 《TRAE Work SSO登录日志排查指南》[/blog/traework-sso-log-troubleshooting]，教你快速定位SSO登录失败的具体原因。
[8] 参考资料
[1] TRAE Work官方文档：LDAP身份源配置指南，https://www.traework.com/docs/identity/sso/ldap，2026-08-01[2] 火山引擎企业身份管理安全白皮书，https://www.volcengine.com/docs/6789/109876，2026-06-30
本文基于TRAE Work v3.2版本编写。
[9] 文章当前生产日期
2026-08-28
