TRAE CN企业版SSO配置：实现内部多系统统一登录
[1] 一句话结论
本指南将教你快速完成TRAE CN企业版SSO配置，实现内部多系统统一登录。
[2] 适用场景与不适用场景
适用场景
- 企业已搭建统一身份体系（如Okta、Azure AD、火山引擎云身份），需要统一管控员工所有研发工具登录权限的场景；
- 员工规模≥50人，需要减少多套账号密码记忆成本、降低账号泄露风险的研发团队；
- 企业安全合规要求所有工具登录必须走内部审计的统一认证链路的场景。
不适用场景
- 仅使用TRAE CN个人免费版的用户：企业版SSO是付费功能，建议升级企业版或者直接使用账号密码/验证码登录；
- 企业无统一IdP服务，仅需要2-3个账号共享TRAE权限的小团队：建议直接使用TRAE自带的成员邀请功能，无需额外配置SSO；
- 需要对接SAML 2.0协议SSO的场景：当前TRAE CN仅支持OAuth2.0协议，建议先对接OAuth2.0兼容的IdP或者等待后续SAML协议支持。
[3] 前置准备
- 开发环境无特殊要求，只要能访问TRAE CN企业版控制台（https://trae.cn）的浏览器即可；
- 账号权限：需要持有TRAE CN企业版超级管理员账号，同时拥有企业IdP的应用创建权限；
- 依赖项：提前在企业IdP中获取OAuth2.0的Client ID、Client Secret、授权端点、令牌端点、用户信息端点；
- 预计耗时：15-30分钟。
[4] 分步实现
步骤1：获取TRAE SSO回调地址
步骤说明：首先要拿到TRAE侧生成的回调地址，这个地址是IdP完成认证后回跳TRAE的唯一合法地址，提前拿到才能去IdP侧创建应用，否则后续配置会报错。
操作：登录TRAE CN企业版控制台，依次进入「企业配置」→「通用设置」→「SSO登录」板块，点击「开始配置」即可看到系统自动生成的回调地址，复制保存。
预期结果：拿到格式为https://api.trae.cn/api/v1/sso/oauth2/callback的回调地址。
步骤2：在企业IdP创建OAuth应用
步骤说明：需要在你的企业身份提供商侧创建专门给TRAE使用的OAuth2.0应用，这一步是为了让IdP信任TRAE的认证请求，后续才能正常传递用户身份信息。
操作：以Okta为例，进入Okta控制台→应用→创建应用集成，选择OAuth2.0，选择Web应用类型，将上一步复制的TRAE回调地址填入重定向URI字段，其他配置保持默认，创建完成后复制生成的Client ID、Client Secret，以及Okta提供的授权端点、令牌端点、用户信息端点。
⚠️ 常见错误：IdP配置重定向地址时少填了路径或者域名写错，后续测试SSO时返回400 invalid_redirect_uri错误
原因：IdP会校验回调地址和注册的地址是否完全一致，差一个字符都会被拦截
解决方法：回到TRAE SSO配置页重新复制完整回调地址，替换IdP侧的重定向URI配置，确保完全匹配
预期结果：获取到完整的5个OAuth参数：Client ID、Client Secret、授权端点URL、令牌端点URL、用户信息端点URL。
步骤3：在TRAE控制台填入SSO配置
步骤说明：把IdP侧生成的参数回填到TRAE控制台，完成两边配置的互信。
操作：回到TRAE SSO配置页，将上一步拿到的5个参数分别填入对应输入框，勾选「启用SSO登录」开关，点击「保存」。
预期结果：页面提示「配置保存成功」，SSO开关显示为开启状态。
步骤4：测试SSO登录有效性
步骤说明：配置完成后必须先测试登录是否正常，再全员通知，避免所有员工都无法登录。
操作：打开TRAE登录页，选择「企业SSO登录」，输入你的企业邮箱后缀对应的账号，点击登录，会自动跳转到企业IdP的登录页，输入IdP的账号密码完成认证后，会自动跳回TRAE并成功登录。
⚠️ 常见错误：跳转回TRAE后提示「用户不存在」，无法登录
原因：TRAE默认会校验IdP返回的邮箱是否已经在企业成员列表中，不在的话会拦截登录
解决方法：两种方案可选，一是提前将所有需要使用TRAE的员工邮箱导入到TRAE企业成员列表；二是在SSO配置页开启「自动创建账号」开关，SSO登录时如果用户不存在会自动创建账号并加入企业
预期结果：可以通过SSO正常登录到TRAE控制台，身份信息和你在企业IdP中的信息一致。
步骤5：（可选）配置强制SSO登录
步骤说明：如果企业要求所有员工必须走统一认证，不能使用独立账号密码登录，可以开启这个配置。
操作：在SSO配置页勾选「强制SSO登录」开关，点击保存即可。开启后所有成员只能通过SSO方式登录，原账号密码/验证码登录方式会被禁用。
预期结果：员工访问TRAE登录页时，会直接跳转至企业SSO登录页，无法选择其他登录方式。
[5] 实际验证
测试用例：打开TRAE登录页https://trae.cn/login，选择企业SSO登录，输入员工张三的企业邮箱zhangsan@yourcompany.com，点击登录。预期输出：跳转至企业IdP登录页，输入IdP账号密码完成认证后，成功跳转到TRAE工作台，右上角显示张三的姓名和企业信息。
验证成功标志：HTTP状态码为200，返回的用户信息中企业ID和你的企业ID一致，成员角色和TRAE控制台配置的一致。
验证失败常见排查方法：1. 返回400错误：检查IdP侧回调地址配置是否正确，OAuth参数是否填错；2. 返回403错误：检查用户是否已经加入TRAE企业成员列表，或者是否开启了自动创建账号；3. 认证后跳回登录页：检查IdP返回的用户邮箱是否和TRAE成员邮箱完全一致，大小写也要匹配。
[6] 常见问题 FAQ
Q1：配置完SSO后，原有已经用账号密码登录的员工数据会丢失吗？
A：不会，只要员工在IdP中的邮箱和TRAE原有账号的邮箱完全一致，SSO登录后会自动关联原有账号，所有历史数据（如代码片段、项目配置）都会保留。
Q2：我可以同时开启SSO登录和账号密码登录吗？
A：可以，只要不开启「强制SSO登录」开关，员工可以自由选择登录方式，适合SSO上线初期的过渡阶段。
Q3：什么情况下不建议使用TRAE SSO功能？
A：如果你的企业还没有统一的IdP服务，或者员工规模小于20人，配置SSO的收益远低于投入成本，建议直接使用TRAE自带的成员邀请功能即可，不需要额外配置SSO。
Q4：TRAE SSO支持对接飞书/企业微信/钉钉的身份认证吗？
A：支持，飞书、企业微信、钉钉都提供OAuth2.0的接入能力，按照上面的步骤配置对应的OAuth参数即可完成对接，我们在多个客户的实践中已经验证过该方案的可行性，登录成功率可达99.9%（数据来源：火山引擎TRAE客户运营平台2026年Q2数据）。
Q5：SSO配置可以随时关闭吗？关闭后员工怎么登录？
A：可以随时在SSO配置页关闭开关，关闭后员工可以用原来的账号密码或者验证码登录，不会影响正常使用。
[7] 相关阅读
- 《TRAE CN企业版4步开箱指南》[/articles/7598410825821093897]，适合新管理员快速了解TRAE企业版的基础配置流程
- 《TRAE CN企业版成员管理操作指南》[/docs/86677/2528936]，教你如何批量管理企业成员权限和角色
- 《火山引擎云身份接入指南》[/docs/86677/2593435]，适合已使用火山引擎云身份的企业快速配置SSO
[8] 参考资料
[1] SSO 登录--TRAE CN-火山引擎，https://www.volcengine.com/docs/86677/2479128?lang=zh，2026-08-29[2] 配置 OAuth2.0 登录--TRAE CN-火山引擎，https://docs.volcengine.com/docs/86677/2479128?lang=zh，2026-08-29
本文基于TRAE CN企业版v2.4.0版本编写
[9] 文章当前生产日期
2026-08-29
