本文为您介绍如何使用**其他标准协议**的方式开通空间并使用的全流程，此方式将第三方身份提供商（Identity Provider, IDP）通过 OAuth 2.0 或 OIDC 协议接入 ArkClaw，以实现用户身份的统一认证与单点登录。在必要时，可通过协议在授权流程中一并取回用户的基本信息（如邮箱、姓名）。此处以火山引擎智能体身份和权限管理平台（Agent Identity）和阿里云应用身份服务（IDaaS）为例介绍如何配置企业系统权限。 :::tip 使用其他标准协议可快速开通ArkClaw企业版，相关信息用于开通后的配置。 ::: ## 前提条件 * 请确认已完成[账号注册](https://www.volcengine.com/docs/6261/64925)和[实名认证](https://www.volcengine.com/docs/6261/64935)。当前ArkClaw企业版服务仅对已通过企业实名认证的用户开放，如有需要建议您进行企业认证，认证成功后方可使用相关功能。 * 企业认证操作，请参见[企业实名认证](https://www.volcengine.com/docs/6261/64937)。 * 个人认证如何变更为企业认证，请参见[个人认证升级为企业认证](https://www.volcengine.com/docs/6261/65159)。 :::warning 如果您使用火山引擎IAM用户进行操作，需要主账号为IAM用户授权相关权限后，IAM用户才可使用ArkClaw企业版。具体操作请参见[授权IAM用户使用ArkClaw企业版权限](https://www.volcengine.com/docs/87732/2275186)。 ::: * 单个火山引擎账号默认API Key的配置为**50**个，如需更多配额，请您自行[申请提升API Key配额](https://www.volcengine.com/docs/82379/1361424#435c9642)。 ## 以火山引擎Agent Identity为例 ### 步骤一：创建用户池 1. 登录[火山引擎智能体身份和权限管理平台](https://console.volcengine.com/identity)，在左侧导航栏，选择“身份管理 \> 用户池”。 2. 单击右上角的“新建用户池”按钮，配置用户池参数。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_8a94085cab164c0c7a5c31b588daeb1c.png =468x) |配置项 |说明 | |---|---| |**用户池名称** |为你的用户池设置一个唯一的名称，例如 `my-app-users`。 | |**描述** |简要描述该用户池的用途，例如“用于XX应用的内外部用户管理”。 | |**用户池登录属性** |选择用户登录时可以使用的身份标识。|\ | ||\ | |* 可选值：**用户名**、**手机号**、**邮箱**|\ | |* 默认值：**用户名、手机号**|\ | ||\ | |:::warning|\ | |此配置创建后不可修改。|\ | ||\ | |:::| |**用户池注册属性** |选择用户注册时必须提供的身份标识。|\ | ||\ | |* 可选值：**用户名**、**手机号、邮箱、姓名、名、姓、中间名等**|\ | |* 默认值：**用户名、手机号** | |**所属项目** |* 选择用户池所属的项目，用于资源隔离和管理。|\ | |* 可以从下拉列表中选择已有项目，或单击 **新建项目** 创建一个新项目。 | |**标签** |* 为用户池添加标签，用于资源的分类和筛选。|\ | |* 单击**添加标签**可以新增一个键值对。|\ | |* 最多可添加 20 个标签。 | 3. 单击“确定”按钮。系统将自动为你创建一个新的用户池，并生成专属的**用户池 ID**、**TRN ** 和 **OIDC 发现端点**。 ### 步骤二：创建客户端 1. 在返回的页面单击“新建客户端”按钮。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_1b4d1c4cb69389dad147215a933d81bf.png =385x) 2. 配置客户端基础信息。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_0ca3d4cc34e39e705058435672e88f20.png =379x) |配置项 |说明 | |---|---| |**客户端名称** |为你的应用客户端设置一个描述性名称，如 `my-webapp-client`。 | |**客户端类型** |根据你的应用类型选择：|\ | ||\ | |* **Web 应用**：传统的服务端网站应用（如 Java、PHP）。|\ | |* **单页应用程序 (SPA)** ：前后端分离的应用（如 React、Vue）。|\ | |* **移动应用**：安装在手机或平板设备的原生应用（如 iOS、Android App）。|\ | |* **M2M (Machine\-to\-Machine)** ：没有用户交互的后台服务间调用（如定时任务、微服务）。 | |**允许回调 URIs** |* 用户成功登录并授权后，Agent Identity 会将用户重定向到此 URL，并附上授权码或令牌，客户端需在此地址接收并处理授权结果。|\ | |* 支持批量输入，每行一个，必须以 `http://` 或 `https://` 开头。|\ | |* 本示例中暂时不填。 | 3. 单击“确定”按钮。 4. 单击创建的客户端名称，获取客户端 ID（Client ID）和客户端密钥（Client Secret）。你需要在 ArkClaw 企业版平台配置这两个参数作为客户端的身份标识和密钥。 * 客户端 ID **：** 客户端身份**的**唯一标识符，用于在身份验证请求中标识客户端应用。 * 客户端密钥：客户端身份的密钥，用于在身份验证请求中验证客户端身份。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_f7fde52ae13eaa16331f5d7b64ba604a.png =760x) ### 步骤三：获取企业认证信息 1. 在[火山引擎智能体身份和权限管理平台](https://console.volcengine.com/identity)左侧导航栏，选择“**身份管理 \> 用户池**。 2. 单击步骤一创建的用户池名称，查看用户池信息。 3. 复制“OIDC 发现端点 Discovery URL”，然后使用浏览器打开。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_d85c2de51d0c73dfd0a5c0217c2351b9.png) 4. 启用美观输出，获取以下端点信息，用于后续配置协议认证参数，以实现访问管理授权。 * **authorization_endpoint**：授权端点 * **token_endpoint**：令牌端点 * **userinfo_endpoint**：用户信息端点 :::tip **scopes_supported** 可用于配置授权范围。 ::: ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_57516f18672c8946b84c5767066006de.png) ### 步骤四：服务开通授权 :::tip * 仅首次开通ArkClaw服务需要进行授权，非首次请直接跳过此部分操作。 * 首次开通ArkClaw服务，您需要先授予ArkClaw运行需要的其他云服务的权限，同时，平台会为您一键开通所有火山方舟非Coding Plan模型。 * 本次开通模型、服务均不涉及费用，开通后如果使用相关计费服务将按量计费并出账单，涉及计费的服务如下： * 方舟服务 * 联网搜索 ::: 1. 登录[ArkClaw企业版控制台](https://console.volcengine.com/arkclaw/enterprise)，在左侧导航树中，选择“Claw管理 \> Claw 列表”。 2. 在弹出的对话框中，请您仔细阅读相关服务条款，确认无误后勾选“我已阅读并同意《ArkClaw 服务专用条款》”。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_78a2f095b3263f06e7ddf17d3705e231.png =362x) 3. 单击“开通并授权”按钮，完成角色授权和模型开通操作。 ### 步骤五：购买ArkClaw企业版坐席 1. 登录[ArkClaw企业版控制台](https://console.volcengine.com/arkclaw/enterprise)左侧导航树中，选择“Claw管理 \> Claw 列表”。 2. 在ArkClaw管理页面，单击“立即购买”按钮。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_1a55f30af09e49adeb482882b48c5d2c.png =818x) 3. 配置ArkClaw席位规格、数量，并在下方选择购买时长。 :::warning * **ArkClaw坐席购买门槛** * ArkClaw企业版席位单次购买数量不少于 10 个（含），不足 10 个无法下单。 * 不同规格的坐席适用的场景不同，您可按需组合购买不同数量的坐席规格，更多计费介绍请参见[计费说明](https://www.volcengine.com/docs/87732/2272741)。 * **CodingPlan购买与绑定** * 购买 ArkClaw 坐席时，可同步搭配购买 CodingPlan；也可选择仅购买坐席，后续再按需补充绑定。 * CodingPlan购买后不支持退订。 * **购买与变更限制** * **数量门槛**：ArkClaw坐席与CodingPlan绑定购买时，需确保ArkClaw中的CodingPlan总数量不少于 **5** 个，单次下单最多购买1000个（含）。 * **专用限制：在ArkClaw中下单购买的CodingPlan，不建议在ArkClaw之外的场景使用**。 * **自动续费** * 系统默认勾选“自动续费”，以避免到期欠费导致 ArkClaw 不可用。您也可手动取消该选项，但需注意在席位到期前自行完成手动续费。 * "自动续费开关"打开后，后续在空间下的所有新购、变更的订单均会开启自动续费。 ::: |规格 |适用场景 | |---|---| |轻量版 Starter |适用于测试和轻度使用场景。 | |标准版 Standard |适用于自动化办公、流程审批、知识检索等场景。 | |高级版 Premium |适用于大规模数据处理、长文本解析等场景。 | |旗舰版 Ultimate |适用于多模态处理、多智能体协同、复杂循环任务等场景。 | ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_2cde550248c6e433cf479d56916a04fb.png =812x) 4. 配置完成后单击“购买”按钮，根据页面指引支付相关费用，支付成功后单击“去控制台”按钮完成服务开通操作。服务开通大约3～5分钟分钟，请您耐心等待。 :::warning 如果服务开通失败，请根据页面提示复制错误信息，单击“发起工单”按钮处理。 ::: ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_07c1b742f0c65faeddb25f75c7563f29.png =801x) ### 步骤七：配置协议信息 1. 登录[ArkClaw企业版控制台](https://console.volcengine.com/arkclaw/enterprise)左侧导航树中，选择“组织管理 \> 用户管理”。 2. 在用户管理页面，选择“登录配置”页签，在“基础配置信息”区域单击“编辑”按钮。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_181b2ac64f0f27605a64a7a0f59f9d93.png =794x) 3. 填写配置信息。 |配置项 |说明 | |---|---| |客户端 ID |在身份提供商侧创建应用后自动生成的客户端唯一标识，用于标识当前应用。 | |客户端密钥 |在身份提供商侧创建应用后生成的密钥，用于与身份提供商进行安全通信。|\ | |:::tip|\ | |需妥善保管，避免泄露。|\ | ||\ | |:::| |授权端点 |用户登录时跳转的授权地址，由身份提供商提供，用于发起 OAuth 授权流程。 | |令牌端点 |用于通过授权码换取 access_token 的接口地址。需从身份提供商的应用配置部分获取。 | |用户信息端点 |用于携带 access_token 请求获取当前登录用户的详细信息（如姓名、邮箱）的接口地址。需从身份提供商的应用配置部分获取。 | |授权范围 |* 登录授权过程中请求的用户信息范围，例如仅获取基础的身份信息，还是同时获取个人信息（如头像、昵称）、邮箱、电话号码等，**支持直接勾选或手动填写**。|\ | |* 通常包括以下取值：|\ | | * openid：用户的唯一标识，用于确认当前用户是谁。|\ | | * profile：用户的个人信息，例如头像、昵称、姓名等。|\ | | * email：用户邮箱信息。|\ | | * phone：用户电话号码。|\ | ||\ | |:::warning|\ | |该范围需与身份提供商支持的授权范围一致，具体请参考对应身份提供商的官方文档说明。|\ | ||\ | |:::|\ | |* 以下是一个配置效果示例：|\ | | * 管理侧设置授权范围为`openid`、`profile`、`email`、`phone`：|\ | | ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_dde5cc10ab611bdf561d8831484bdef3.png =260x) |\ | | * 用户首次登录时，界面会提示以下权限请求信息：|\ | | ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_43c4f813886b87c85c2112bc2fae940f.png =248x) |\ | ||\ | | | |用户唯一标识属性 |* 用于标识用户身份，将登录用户与系统内已有用户进行匹配。该字段由身份提供商生成。|\ | |* 请填写身份提供商返回的用户信息中**全局唯一且不会轻易改变**的字段，内容为**英文**。|\ | | * **推荐**：填写用户 ID 类字段：如`sub` 、`user_id`；若无用户 ID 类字段，可选择`email`，相对稳定但也可能会发生变更，届时需要更新用户数据。|\ | | * **不建议**：使用`name`、`nickname` 等可能会被修改或重复的字段。|\ | |* 用户属性查看方式：访问 OIDC 发现端点 Discovery URL 地址（`https://****/.well-known/openid-configuration`），通过`claims_supported`节点查看支持的属性列表，例如：|\ | | ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_cb1c981c57429ddd0b3f5baa9d5f62ff.png =260x) |\ | ||\ | | | |启用 PKCE |为授权码流程增加一层额外的安全保护。开启后，客户端（如移动应用）通过 PKCE 防止授权码被拦截，增强安全性。 | 4. 配置完成后单击“确定”按钮，完成操作。 ### 步骤八：配置回调信息 1. 登录[ArkClaw企业版控制台](https://console.volcengine.com/arkclaw/enterprise)左侧导航树中，选择“空间概览”，单击标准协议（OAuth 2.0）免登授权码跳转地址后面的![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_853b8594d5dded0729fe89fbec66a9dc.png =20x) 图标复制信息。 2. 登录[火山引擎智能体身份和权限管理平台](https://console.volcengine.com/identity)，在左侧导航栏，选择“身份管理 \> 用户池”。 3. 单击“步骤一”创建的用户池名称`my-app-users`，切换至客户端页签。 4. 编辑“步骤一“创建的客户端信息，将复制的免登授权码跳转地址粘贴至“允许回调 URIs”，单击“确定”按钮。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_7ef5b3626326e6b4ab5fba65ee323e86.png =401x) 5. 登录[ArkClaw企业版控制台](https://console.volcengine.com/arkclaw/enterprise)，在“空间概览”中复制员工登录链接，并通过企业内部渠道把链接传递给需要使用ArkClaw的员工。 ## 以阿里云IDaaS平台为例 ### 步骤一：创建 OAuth 应用 1. 登录[阿里云 IDaaS 控制台](https://yundun.console.aliyun.com/?p=idaas)，选择对应的 IDaaS 实例，单击操作列的访问控制台。 2. 在左侧导航树，选择“应用管理”，然后单击“添加应用”。 3. 在标准协议页签下，添加 OIDC 应用。 :::tip 由于 OIDC 构建于 OAuth 2.0 核心协议之上，阿里云 EIAM 可原生支持 OAuth 2.0 的授权能力。 ::: ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_f1291d6458642570374d94e466e5e33e.png =601x) ### 步骤二：获取企业认证信息获取应用的凭证信息，用于开通 ArkClaw 企业版服务时配置相关协议认证方式。 * 在 OIDC 应用详情页的**通用配置**页签，获取客户端 ID**`client_id`**和客户端密钥**`client_secret`**。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_d42f1cf9797488738cf8bb2c896791b7.png =608x) * 在 OIDC 应用详情页的**登录访问**页签，获取授权端点、令牌端点和用户信息端点： * **授权端点 (Authorization Endpoint)** : 通常是 `https://<你的实例域名>/oauth2/authorize`。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_9ce9011e406d5e343b8ffdad040948cb.png =583x) * **令牌端点 (Token Endpoint)** : 通常是 `https://<你的实例域名>/oauth2/token`。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_3a9fdf7f1ac5df5ad7a82cd1f6c48b9c.png =578x) * **用户信息端点 (UserInfo Endpoint)** : 通常是 `https://<你的实例域名>/oauth2/userinfo`。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_b9c141b29f149a22400615f47203db80.png =579x) ### 步骤三：服务开通授权 :::tip * 仅首次开通ArkClaw服务需要进行授权，非首次请直接跳过此部分操作。 * 首次开通ArkClaw服务，您需要先授予ArkClaw运行需要的其他云服务的权限，同时，平台会为您一键开通所有火山方舟非Coding Plan模型。 * 本次开通模型、服务均不涉及费用，开通后如果使用相关计费服务将按量计费并出账单，涉及计费的服务如下： * 方舟服务 * 联网搜索 ::: 1. 登录[ArkClaw企业版控制台](https://console.volcengine.com/arkclaw/enterprise)，在左侧导航树中，选择“Claw管理 \> Claw 列表”。 2. 在弹出的对话框中，请您仔细阅读相关服务条款，确认无误后勾选“我已阅读并同意《ArkClaw 服务专用条款》”。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_78a2f095b3263f06e7ddf17d3705e231.png =362x) 3. 单击“开通并授权”按钮，完成角色授权和模型开通操作。 ### 步骤四：ArkClaw服务配置 1. 在[ArkClaw企业版控制台](https://console.volcengine.com/arkclaw/enterprise)左侧导航树中，选择“Claw管理 \> Claw 列表”。 2. 在服务开通页面，参考下表配置相关信息。 |配置项 |说明 | |---|---| |员工访问控制 |配置企业员工访问控制信息，此处选择**其他标准协议**，选择其他标准协议后，无需在开通页面配置认证参数。 | |网络配置 |ArkClaw企业版的VPC网段和子网网段。平台将在当前Region下，自动创建用于ArkClaw的私有网络（VPC）、子网、安全组等网络资源，搭建ArkClaw运行的网络环境。|\ | |:::warning|\ | |ArkClaw企业版空间开通成功后，不支持修改VPC网段和子网网段。|\ | ||\ | |:::|\ | |* **随机网段创建**：|\ | | * 无需配置网段，平台会使用随机的私网网段为您创建ArkClaw的VPC和子网。|\ | | * 如果后期需要使用其他私有网络（VPC）访问ArkClaw私有网络的资源，请确保访问的私有网络（VPC）地址不属于以下网段，以免网段冲突：`192.18.0.0/15`、`33.0.0.0/8`、`66.0.0.0/8`、`9.0.0.0/8`。|\ | |* **指定网段创建**：|\ | | * 如果您后期需要通过云企业网（CEN）或中转路由器（TR）连接ArkClaw的私有网络，请基于您的网络规划在此指定ArkClaw的私有网络（VPC）网段。|\ | | * 单击卡片右上角“自定义配置”，输入自定义私有网络（VPC）的目标网段，平台会根据输入的网段创建VPC和子网。自定义网段请避免使用以下网段：`100.64.0.0/10`、`224.0.0.0/4`、`127.0.0.0/8`、`0.0.0.0/8`、`240.0.0.0/4`、`192.18.0.0/15`、`33.0.0.0/8 `、`66.0.0.0/8 `、`9.0.0.0/8`、`169.254.0.0/16`。|\ | | :::warning|\ | | **指定ArkClaw私有网络为邀测功能，仅开通后可用，如有需要请联系客户经理开通**。|\ | ||\ | | :::| 3. 配置完成后单击“立即开通”按钮，完成服务空间配置操作。 ### 步骤五：购买ArkClaw企业版坐席 1. 在[ArkClaw企业版控制台](https://console.volcengine.com/arkclaw/enterprise)左侧导航树中，选择“Claw管理 \> Claw 列表”。 2. 在ArkClaw管理页面，单击“立即购买”按钮。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_1a55f30af09e49adeb482882b48c5d2c.png =818x) 3. 配置ArkClaw席位规格、数量，并在下方选择购买时长。 :::warning * **ArkClaw坐席购买门槛** * ArkClaw企业版席位单次购买数量不少于 10 个（含），不足 10 个无法下单。 * 不同规格的坐席适用的场景不同，您可按需组合购买不同数量的坐席规格，更多计费介绍请参见[计费说明](https://www.volcengine.com/docs/87732/2272741)。 * **CodingPlan购买与绑定** * 购买 ArkClaw 坐席时，可同步搭配购买 CodingPlan；也可选择仅购买坐席，后续再按需补充绑定。 * CodingPlan购买后不支持退订。 * **购买与变更限制** * **数量门槛**：ArkClaw坐席与CodingPlan绑定购买时，需确保ArkClaw中的CodingPlan总数量不少于 **5** 个，单次下单最多购买1000个（含）。 * **专用限制：在ArkClaw中下单购买的CodingPlan，不建议在ArkClaw之外的场景使用**。 * **自动续费** * 系统默认勾选“自动续费”，以避免到期欠费导致 ArkClaw 不可用。您也可手动取消该选项，但需注意在席位到期前自行完成手动续费。 * "自动续费开关"打开后，后续在空间下的所有新购、变更的订单均会开启自动续费。 ::: |规格 |适用场景 | |---|---| |轻量版 Starter |适用于测试和轻度使用场景。 | |标准版 Standard |适用于自动化办公、流程审批、知识检索等场景。 | |高级版 Premium |适用于大规模数据处理、长文本解析等场景。 | |旗舰版 Ultimate |适用于多模态处理、多智能体协同、复杂循环任务等场景。 | ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_2cde550248c6e433cf479d56916a04fb.png =808x) 4. 配置完成后单击“购买”按钮，根据页面指引支付相关费用，支付成功后单击“去控制台”按钮完成服务开通操作。服务开通大约3～5分钟分钟，请您耐心等待。 :::warning 如果服务开通失败，请根据页面提示复制错误信息，单击“发起工单”按钮处理。 ::: ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_07c1b742f0c65faeddb25f75c7563f29.png =801x) ### 步骤六：配置协议信息 1. 在[ArkClaw企业版控制台](https://console.volcengine.com/arkclaw/enterprise)左侧导航树中，选择“组织管理 \> 用户管理”。 2. 在用户管理页面，选择“登录配置”页签，在“基础配置信息”区域单击“编辑”按钮。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_181b2ac64f0f27605a64a7a0f59f9d93.png =794x) 3. 填写配置信息。 |配置项 |说明 | |---|---| |客户端 ID |在身份提供商侧创建应用后自动生成的客户端唯一标识，用于标识当前应用。 | |客户端密钥 |在身份提供商侧创建应用后生成的密钥，用于与身份提供商进行安全通信。|\ | |:::tip|\ | |需妥善保管，避免泄露。|\ | ||\ | |:::| |授权端点 |用户登录时跳转的授权地址，由身份提供商提供，用于发起 OAuth 授权流程。 | |令牌端点 |用于通过授权码换取 access_token 的接口地址。需从身份提供商的应用配置部分获取。 | |用户信息端点 |用于携带 access_token 请求获取当前登录用户的详细信息（如姓名、邮箱）的接口地址。需从身份提供商的应用配置部分获取。 | |授权范围 |* 登录授权过程中请求的用户信息范围，例如仅获取基础的身份信息，还是同时获取个人信息（如头像、昵称）、邮箱、电话号码等，**支持直接勾选或手动填写**。|\ | |* 通常包括以下取值：|\ | | * openid：用户的唯一标识，用于确认当前用户是谁。|\ | | * profile：用户的个人信息，例如头像、昵称、姓名等。|\ | | * email：用户邮箱信息。|\ | | * phone：用户电话号码。|\ | ||\ | |:::warning|\ | |该范围需与身份提供商支持的授权范围一致，具体请参考对应身份提供商的官方文档说明。|\ | ||\ | |:::|\ | |* 以下是一个配置效果示例：|\ | | * 管理侧设置授权范围为`openid`、`profile`、`email`、`phone`：|\ | | ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_dde5cc10ab611bdf561d8831484bdef3.png =260x) |\ | | * 用户首次登录时，界面会提示以下权限请求信息：|\ | | ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_43c4f813886b87c85c2112bc2fae940f.png =248x) |\ | ||\ | | | |用户唯一标识属性 |* 用于标识用户身份，将登录用户与系统内已有用户进行匹配。该字段由身份提供商生成。|\ | |* 请填写身份提供商返回的用户信息中**全局唯一且不会轻易改变**的字段，内容为**英文**。|\ | | * **推荐**：填写用户 ID 类字段：如`sub` 、`user_id`；若无用户 ID 类字段，可选择`email`，相对稳定但也可能会发生变更，届时需要更新用户数据。|\ | | * **不建议**：使用`name`、`nickname` 等可能会被修改或重复的字段。|\ | |* 用户属性查看方式：访问 OIDC 发现端点 Discovery URL 地址（`https://****/.well-known/openid-configuration`），通过`claims_supported`节点查看支持的属性列表，例如：|\ | | ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_cb1c981c57429ddd0b3f5baa9d5f62ff.png =260x) | |启用 PKCE |为授权码流程增加一层额外的安全保护。开启后，客户端（如移动应用）通过 PKCE 防止授权码被拦截，增强安全性。 | 4. 配置完成后单击“确定”按钮，完成操作。 ### 步骤七：配置回调信息 1. 在[ArkClaw企业版控制台](https://console.volcengine.com/arkclaw/enterprise)左侧导航树中，选择“空间概览”，单击标准协议（OAuth 2.0）免登授权码跳转地址后面的![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_853b8594d5dded0729fe89fbec66a9dc.png =20x) 图标复制信息。 2. 登录[阿里云IDaaS控制台](https://yundun.console.aliyun.com/?p=idaas)，选择对应的 IDaaS 实例，单击操作列的“访问控制台”。 3. 在左侧导航树，选择“应用管理”，然后单击目标应用名称。 4. 在“登录访问 \> 单点登录”页签的应用配置信息处，修改登录 Redirect URI，填写复制的免登授权码跳转地址，单击“保存”按钮。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_f9ba83d9608cf271d4db5776cc33f6f8.png =586x) 5. 返回[ArkClaw企业版控制台](https://console.volcengine.com/arkclaw/enterprise)，在“空间概览”中复制员工登录链接，并通过企业内部渠道把链接传递给需要使用ArkClaw的员工。