用户管理功能支持灵活配置员工访问方式。 ## 操作说明 * 开通空间时使用**Microsoft Teams**、**飞书**、**钉钉**、**企业微信、平台托管**作为员工访问控制认证，想要修改/切换为其他认证方式，请参考下方[切换认证方式](https://www.volcengine.com/docs/87732/2277833#tGbEb66U)部分进行操作。 :::tip * **切换认证方式后原登录方式立即失效，员工需通过新方式登录并创建ArkClaw实例；原认证方式下已创建的ArkClaw实例不可用，需管理员手动删除释放**。 * **若从其他SSO认证方式（例如飞书、钉钉、企业微信等）切换为平台托管，现有用户将无法直接登录，在切换完成后，管理员需前往用户管理页面，为所有用户执行重置密码操作，具体操作请参考**[重置用户密码](https://www.volcengine.com/docs/87732/2377610) **。相关用户在获取新密码后，方可正常登录。** ::: * 开通空间时使用**其他标准协议**作为员工访问控制方式，需配置相应的标准协议认证参数，以在ArkClaw与企业身份提供商（IDP）之间建立加密信任通道，实现 SSO 单点登录与按需授权，请参考下方[配置认证信息](https://www.volcengine.com/docs/87732/2277833#SgeyDnIM)部分进行操作。 ## 前提条件无论切换认证方式或者配置认证信息，都需要提前获取相关应用的信息，具体操作请参考[步骤一：配置企业系统权限](https://www.volcengine.com/docs/87732/2272760)。 ## 切换认证方式 1. 登录[ArkClaw企业版控制台](https://console.volcengine.com/arkclaw/enterprise)。 2. 在左侧导航树中，选择“组织管理 \> 用户管理”。 3. 在用户管理页面“登录配置”页签下，单击“编辑”按钮。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_75f5459d0955cd196a8c261e38b35dc1.png =590x) 4. 选择目标认证方式，并填写对应的配置信息。 |认证方式 |配置信息 | |---|---| |飞书 |* App ID：输入企业飞书应用的App ID。|\ | |* App Secret：输入企业飞书应用的App Secret。 | |钉钉 |* App ID：输入企业钉钉应用的App ID。|\ | |* Client ID：输入企业钉钉应用的Client ID。|\ | |* Client Secret：输入企业钉钉应用的Client Secret。 | |企业微信 |* 企业 ID：输入企业微信应用的 ID。|\ | |* Agent ID：输入企业微信应用的Agent ID。|\ | |* Agent Secret：输入企业微信应用的Agent Secret。 | |平台托管 |无需配置信息，后续需导入员工的用户名、密码等信息，请参见[导入用户信息](https://www.volcengine.com/docs/87732/2371362)。 | |Microsoft Teams |* **Client ID**：输入Teams应用的 (客户端) ID 。|\ | |* **Client Secret**：输入Teams应用的值信息作为Client Secret。|\ | |* **Tenant ID**：输入Teams应用的目录 (租户) ID。 | |OICD |在身份提供商（IDP）处创建应用，获取客户端 ID、客户端密钥、授权端点、令牌端点、用户信息端点等信息，并将其配置到表单里，以完成身份集成。 | |OAuth 2.0 |在身份提供商（IDP）处创建应用，获取客户端 ID、客户端密钥、Issuer 等信息，并将其配置到表单里，以完成身份集成。 | 5. 配置完成后单击右下角“保存”按钮，完成认证方式的切换。 6. 认证方式切换后，您还需要根据当前使用的认证方式，配置应用的回调信息，具体操作请参见[步骤三：配置回调信息](https://www.volcengine.com/docs/87732/2272765)。 ## 配置认证信息 ### OAuth 2.0 协议 1. 登录[ArkClaw企业版控制台](https://console.volcengine.com/arkclaw/enterprise)。 2. 在左侧导航树中，选择“组织管理 \> 用户管理”。 3. 在用户管理页面，在“登录配置”页签下单击“编辑”按钮。 4. 选择使用的标准协议，并填写相关信息。相关参数可参考[其他标准协议](https://www.volcengine.com/docs/87732/2272760?lang=zh#j6sQHHXq)获取。 |配置项 |说明 | |---|---| |客户端 ID |在身份提供商侧创建应用后自动生成的客户端唯一标识，用于标识当前应用。 | |客户端密钥 |在身份提供商侧创建应用后生成的密钥，用于与身份提供商进行安全通信。|\ | |:::tip|\ | |需妥善保管，避免泄露。|\ | ||\ | |:::| |授权端点 |用户登录时跳转的授权地址，由身份提供商提供，用于发起 OAuth 授权流程。 | |令牌端点 |用于通过授权码换取 access_token 的接口地址。需从身份提供商的应用配置部分获取。 | |用户信息端点 |用于携带 access_token 请求获取当前登录用户的详细信息（如姓名、邮箱）的接口地址。需从身份提供商的应用配置部分获取。 | |授权范围 |* 登录授权过程中请求的用户信息范围，例如仅获取基础的身份信息，还是同时获取个人信息（如头像、昵称）、邮箱、电话号码等，**支持直接勾选或手动填写**。|\ | |* 通常包括以下取值：|\ | | * openid：用户的唯一标识，用于确认当前用户是谁。|\ | | * profile：用户的个人信息，例如头像、昵称、姓名等。|\ | | * email：用户邮箱信息。|\ | | * phone：用户电话号码。|\ | ||\ | |:::warning|\ | |该范围需与身份提供商支持的授权范围一致，具体请参考对应身份提供商的官方文档说明。|\ | ||\ | |:::|\ | |* 以下是一个配置效果示例：|\ | | * 管理侧设置授权范围为`openid`、`profile`、`email`、`phone`：|\ | ||\ | |

|\ | |

|\ | ||\ | ||\ | | * 用户首次登录时，界面会提示以下权限请求信息：|\ | ||\ | |

|\ | |

|\ | | | |用户唯一标识属性 |* 用于标识用户身份，将登录用户与系统内已有用户进行匹配。该字段由身份提供商生成。|\ | |* 请填写身份提供商返回的用户信息中**全局唯一且不会轻易改变**的字段，内容为**英文**。|\ | | * ✅推荐填写用户 ID 类字段：如`sub` 、`user_id`；若无用户 ID 类字段，可选择 `email`，相对稳定但也可能会发生变更，届时需要更新用户数据。|\ | | * ❌不建议使用`name`、`nickname` 等可能会被修改或重复的字段。|\ | |* 用户属性查看方式：访问身份提供商的 **OIDC 发现端点 Discovery URL 地址**（`https://****/.well-known/openid-configuration`），通过`claims_supported`节点查看支持的属性列表，例如：|\ | ||\ | |

|\ | |

|\ | | | |启用 PKCE |为授权码流程增加一层额外的安全保护。开启后，客户端（如移动应用）通过 PKCE 防止授权码被拦截，增强安全性。 | 5. 配置完成后单击“确定”按钮，完成操作。 6. 您还需要根据当前使用的认证方式，配置对应的回调信息，具体操作请参见[步骤三：配置回调信息](https://www.volcengine.com/docs/87732/2272765)。 ### OIDC 协议 1. 登录[ArkClaw企业版控制台](https://console.volcengine.com/arkclaw/enterprise)。 2. 在左侧导航树中，选择“组织管理 \> 用户管理”。 3. 在用户管理页面“登录配置”页签下，单击“编辑”按钮。 4. 选择使用的标准协议，并填写相关信息。相关参数可参考[其他标准协议](https://www.volcengine.com/docs/87732/2272760?lang=zh#j6sQHHXq)获取。 |配置项 |说明 | |---|---| |客户端 ID |在身份提供商侧创建应用后自动生成的客户端唯一标识，用于标识当前应用。 | |客户端密钥 |在身份提供商侧创建应用后生成的密钥，用于与身份提供商进行安全通信。|\ | |:::tip|\ | |需妥善保管，避免泄露。|\ | ||\ | |:::| |授权端点 |用户登录时跳转的授权地址，由身份提供商提供，用于发起 OAuth 授权流程。 | |令牌端点 |用于通过授权码换取 access_token 的接口地址。需从身份提供商的应用配置部分获取。 | |用户信息端点 |用于携带 access_token 请求获取当前登录用户的详细信息（如姓名、邮箱）的接口地址。需从身份提供商的应用配置部分获取。 | |授权范围 |* 登录授权过程中请求的用户信息范围，例如仅获取基础的身份信息，还是同时获取个人信息（如头像、昵称）、邮箱、电话号码等，**支持直接勾选或手动填写**。|\ | |* 通常包括以下取值：|\ | | * openid：用户的唯一标识，用于确认当前用户是谁。|\ | | * profile：用户的个人信息，例如头像、昵称、姓名等。|\ | | * email：用户邮箱信息。|\ | | * phone：用户电话号码。|\ | ||\ | |:::warning|\ | |该范围需与身份提供商支持的授权范围一致，具体请参考对应身份提供商的官方文档说明。|\ | ||\ | |:::|\ | |* 以下是一个配置效果示例：|\ | | * 管理侧设置授权范围为`openid`、`profile`、`email`、`phone`：|\ | ||\ | |

|\ | |

|\ | ||\ | ||\ | | * 用户首次登录时，界面会提示以下权限请求信息：|\ | ||\ | |

|\ | |

|\ | ||\ | | | |用户唯一标识属性 |* 用于标识用户身份，将登录用户与系统内已有用户进行匹配。该字段由身份提供商生成。|\ | |* 请填写身份提供商返回的用户信息中**全局唯一且不会轻易改变**的字段，内容为**英文**。|\ | | * ✅推荐填写用户 ID 类字段：如`sub` 、`user_id`；若无用户 ID 类字段，可选择 `email`，相对稳定但也可能会发生变更，届时需要更新用户数据。|\ | | * ❌不建议使用`name`、`nickname` 等可能会被修改或重复的字段。|\ | |* 用户属性查看方式：访问身份提供商的 **OIDC 发现端点 Discovery URL 地址**（`https://****/.well-known/openid-configuration`），通过`claims_supported`节点查看支持的属性列表，例如：|\ | ||\ | |

|\ | |