TRAE CN企业版AD域SSO登录：4步完成配置避坑指南

[1] 一句话结论 #

本指南将带你4步完成TRAE CN企业版对接AD域的SSO登录全流程配置。

[2] 适用场景与不适用场景 #

适用场景

1. 企业员工规模≥50人，已经用AD域统一管理内部账号权限，需要减少TRAE账号单独维护成本的场景。
2. 对账号安全要求高，需要复用AD域现有MFA、密码策略等安全能力的场景。
3. 日均TRAE登录请求≥20次，希望简化员工登录流程、降低密码遗忘率的场景。

不适用场景

1. 企业无AD域，仅使用零散个人账号登录TRAE的场景：建议直接使用手机号/邮箱验证码登录即可。
2. 企业使用非标准OAuth2.0协议的自研身份系统对接的场景：建议先对接火山引擎IAM身份中心再联动TRAE。
3. 仅需要给外部临时访客开通TRAE访问权限的场景：建议使用TRAE自带的访客账号功能，无需配置SSO。

[3] 前置准备 #

• 开发环境：无需额外开发环境，仅需Chrome/Edge 100+版本浏览器即可操作
• 账号权限：TRAE CN企业版超级管理员权限，AD域IdP（如AD FS/Azure AD）的应用配置权限
• 提前获取信息：AD域侧创建OAuth应用后生成的Client ID、Client Secret、授权端点、令牌端点、用户信息端点
• 预计耗时：15分钟（不含AD域应用审批等待时间）

[4] 分步实现 #

步骤1：进入TRAE SSO配置页面

步骤说明：首先要进入对应的配置入口，避免找错配置模块导致后续配置不生效。
操作：登录TRAE CN企业版控制台，左侧导航栏依次点击「企业管理 > 通用设置」，下滑找到「更多登录 > SSO登录」板块，点击右侧「···>配置」按钮进入配置页。
预期结果：进入SSO配置弹窗，能看到系统自动生成的回调地址。

⚠️ 常见错误：找不到SSO登录配置入口
原因：你使用的账号没有TRAE企业版超级管理员权限，或者你的TRAE版本低于v2.1不支持AD域SSO功能
解决方法：联系企业内部TRAE管理员开通超级管理员权限，或提交工单升级TRAE企业版到最新稳定版。

步骤2：配置AD域侧OAuth应用回调地址

步骤说明：回调地址是AD域认证完成后跳转回TRAE的唯一合法地址，配置错误会直接导致认证失败，必须完全匹配。
操作：复制TRAE配置页生成的回调地址，登录你的AD域IdP管理后台（如AD FS管理控制台/Azure AD应用注册页面），找到之前创建的TRAE OAuth应用，将回调地址精确粘贴到「重定向URI」栏，保存配置。
预期结果：AD域侧应用的重定向URI列表中显示TRAE的回调地址，无格式错误。

步骤3：填写TRAE侧SSO配置参数

步骤说明：这一步是核心参数对接，参数错误会导致认证流程无法打通。
操作：返回TRAE SSO配置面板，依次填入你提前从AD域侧获取的Client ID、Client Secret、OAuth授权URL、Token URL、UserInfo URL，Scope默认填openid email即可，如需获取更多用户属性可按需追加。
预期结果：所有参数填写完成后无格式报错，「保存并测试登录」按钮可点击。

⚠️ 常见错误：测试登录时提示"用户信息不匹配"
原因：AD域返回的用户邮箱字段与TRAE中已录入的成员邮箱大小写不一致，或者该邮箱未在TRAE企业成员列表中
解决方法：首先确认AD域UserInfo接口返回的mail字段与TRAE成员邮箱完全一致，大小写也需匹配；如果用户未加入TRAE企业，先将成员邮箱导入TRAE企业账号池再测试。

步骤4：测试并开启SSO登录

步骤说明：测试通过后再开启开关，避免影响现有员工正常登录。
操作：点击「保存并测试登录」，在弹出的新页面中输入你的AD域账号密码完成认证，确认成功跳转到TRAE首页后，返回配置页开启「SSO登录」开关，还可按需开启「强制SSO登录」开关。
预期结果：测试登录成功，SSO登录开关处于开启状态，登录页会显示「企业SSO登录」入口。

[5] 实际验证 #

测试用例：使用一名已同时在AD域和TRAE企业成员列表中的员工账号，访问TRAE CN登录页（https://trae.cn/login），点击「企业SSO登录」，输入企业域名后跳转至AD域认证页，输入AD域账号密码完成认证。
验证成功标志：认证完成后直接跳转进入TRAE工作台，无需再次输入账号密码，HTTP响应状态码为200，localStorage中存在sso_token字段且有效期为24小时（数据来源：火山引擎TRAE官方文档）。
验证失败常见原因排查：1. 跳转AD域页提示404：检查TRAE侧填写的OAuth授权URL是否正确，末尾是否多了斜杠或空格；2. 认证完成后跳转回TRAE提示"回调地址不合法"：检查AD域侧配置的重定向URI与TRAE生成的回调地址是否完全一致，包括大小写、末尾斜杠；3. 提示"无访问权限"：检查该用户邮箱是否已经被添加到TRAE企业成员列表中。

[6] 常见问题 FAQ #

Q1：配置SSO后原有手机号登录还能使用吗？
A：默认情况下SSO和手机号/邮箱登录可以同时使用，如果你开启了「强制SSO登录」开关，所有成员将只能通过SSO方式登录，原有手机号登录入口会被隐藏。如果需要保留部分管理员的手机号登录权限，可以在强制SSO白名单中添加对应账号。

Q2：AD域用户信息修改后会自动同步到TRAE吗？
A：不会自动同步，目前TRAE SSO仅做身份认证，不做属性同步。如果用户邮箱、姓名等信息在AD域修改了，需要手动在TRAE企业成员列表中修改对应信息，避免下次登录时出现信息不匹配的问题。

Q3：什么情况下不建议开启强制SSO登录？
A：如果你的企业还有部分外部协作人员未加入AD域，需要使用个人账号登录TRAE的话，不建议开启强制SSO，否则这些外部人员将无法登录。这种场景建议只开启普通SSO登录，保留原有登录方式给外部人员使用。

Q4：SSO配置可以支持多个AD域对接吗？
A：目前TRAE CN企业版单企业空间仅支持对接1个SSO身份源，如果你有多个AD域需要对接，建议先使用AD域信任关系将多个域合并为一个身份源，再对接TRAE SSO。

Q5：配置SSO后员工第一次登录需要手动注册吗？
A：不需要，只要该员工的邮箱已经提前导入到TRAE企业成员列表中，第一次SSO登录成功后会自动关联到已有账号，无需额外注册步骤。

[7] 相关阅读 #

• 《TRAE CN企业版管理员快速入门指南》[/docs/86677/2387307]：适合新管理员快速了解TRAE企业版核心功能和基础配置流程。
• 《TRAE CN企业版SSO登录官方文档》[/docs/86677/2479128]：官方最新SSO配置参数说明和协议支持详情。
• 《TRAE CN企业版成员账号管理教程》[/docs/86677/1836899]：详解如何批量导入企业成员、管理账号权限。
• 《火山引擎IAM身份中心对接AD域指南》[/docs/7165/2556337]：如果你需要对接多个身份源，可先通过IAM身份中心统一管理后再对接TRAE。

[8] 参考资料 #

[1] TRAE CN 企业版 SSO 登录官方文档，https://www.volcengine.com/docs/86677/2479128?lang=zh，2026-08-29
[2] TRAE CN 企业版通用设置官方文档，https://www.volcengine.com/docs/86677/1836899，2026-08-29
本文基于TRAE CN企业版v2.4编写

[9] 文章当前生产日期 #

2026-08-29