组织成员帐号 ORGID-华为云

组织成员帐号 ORGID-修订记录

修订记录发布日期修订记录 2024-05-20 第八次正式发布。新增如下内容：添加AD认证源 2024-03-29 第七次正式发布。新增如下内容：申请组织成员配额移交组织域名管理 2023-10-25 第六次正式发布。优化如下内容：使用前必读开通OrgID 2023-09-08 第五次正式发布。新增如下章节：数据报表优化如下章节：使用前必读登录场景介绍 2023-07-14 第四次正式发布。新增如下章节：开通联邦认证用户组管理查看三方认证用户优化如下章节：成员管理授权管理配置 2023-06-09 第三次正式发布。优化如下章节：配置组织社交认证源添加组织认证源我的审批 2023-05-27 第二次正式发布。新增如下章节：我的审批用户属性配置优化如下章节：使用前必读开通OrgID 成员管理添加组织认证源 2023-05-04 第一次正式发布。

组织成员帐号 ORGID

组织成员帐号 ORGID-授权管理配置:操作步骤

操作步骤登录管理中心。选择左侧导航栏的“应用管理”。在“全部应用”页签，单击待修改的应用操作列的“配置”。单击“授权管理”，进入“授权管理”页签。单击“授权设置”，在“授权设置”界面中选择被授权成员信息，单击“下一步”。选择可用成员范围，可勾选“全员可用”或“自定义人员范围”，勾选“自定义人员范围”后还需要选择指定的部门与人员或者用户组。单击“确认”。设置后，应用授权范围中会显示授权部门、授权人员或授权用户组信息。同时，授权用户列表中也会展示授权帐号的详细情况（包括姓名、帐号名、应用侧角色、来源、更新时间和同步状态），支持按照帐号名进行过滤查询。

组织成员帐号 ORGID

组织成员帐号 ORGID-创建自建应用:（可选）登录配置

（可选）登录配置（可选）如果需要获取首页URL或管理员登录地址供其他用户使用，可单击获取。管理员登录地址为空即表示在5中未配置管理员登录地址。（可选）如果已进行认证源管理，可选择开启认证源。根据开启的认证源类型不同，界面操作不同，具体如下。开启组织社交认证源（钉钉、企业微信或Welink）：开启后，界面提示“保存成功”即成功开启。开启组织认证源（OAuth、CAS、SAML、OIDC或AD）：开启后，需要选择关联的认证源，单击“保存”，界面提示“保存成功”即成功开启。开启后，登录页会新增“其他方式登录”选项，可选择使用该认证源登录应用，支持开启多个。

组织成员帐号 ORGID 应用管理

组织成员帐号 ORGID-创建自建应用:授权管理配置

授权管理配置单击“授权设置”，在“授权设置”界面中选择被授权成员信息，单击“下一步”。选择可用成员范围，可勾选“全员可用”或“自定义人员范围”，勾选“自定义人员范围”后还需要选择指定的部门与人员或者用户组。单击“确认”。设置后，应用授权范围中会显示授权部门、授权人员或授权用户组信息。同时，授权用户列表中也会展示授权帐号的详细情况（包括姓名、帐号名、应用侧角色、来源、更新时间和同步状态），支持按照时间或帐号名进行过滤查询。

组织成员帐号 ORGID 应用管理

组织成员帐号 ORGID-创建自建应用:（可选）访问控制策略配置

（可选）访问控制策略配置当需要控制用户在指定的时间或区域范围内访问应用时，可开启访问控制开关。配置默认策略。默认策略可选择“允许所有用户访问”或“拒绝所有用户访问”。默认策略用于访问该应用时无法匹配到应用访问策略的用户。单击“添加策略”，配置策略参数，参数说明如表3所示。表3 添加策略参数说明参数名称参数说明策略名称应用访问策略的名称。描述可选项，应用访问策略的描述信息。访问时间可选择任意时间、指定星期范围内或指定日期范围内。区域范围可选择不限定或指定ip段。选择指定ip段后，需先添加区域范围，包括设置区域名称、区域网段和描述信息。然后选择已添加的区域范围即可。访问策略勾选访问策略。允许访问：符合设置的访问时间或区域范围的用户允许访问该应用。拒绝：符合设置的访问时间或区域范围的用户无法访问该应用。二次验证：符合设置的访问时间或区域范围的用户可以使用手机验证码进行验证，验证通过后即可访问该应用。策略添加完成后，可单击“是否生效”列的开启策略。开启后可单击“是否生效”列的关闭策略。

组织成员帐号 ORGID 应用管理

组织成员帐号 ORGID-创建自建应用:（可选）同步集成配置

（可选）同步集成配置当需要同步应用的数据给第三方系统时，可开启同步集成开关，详细的同步数据请参见联营Kit接口描述。配置相关参数，参数说明如表2所示。表2 同步集成配置参数说明参数名称参数说明回调URL 用于同步该应用的数据给其他第三方系统的URL。签名密钥用于对回调消息体内容签名。加密密钥用于传输ClientSecret的加密公钥。摘要算法选择加密算法，如：SHA256或SHA1。注意： SHA1安全强度不高，不建议使用。

组织成员帐号 ORGID 应用管理

组织成员帐号 ORGID-创建自建应用:认证集成配置

认证集成配置选择认证集成方式：OAuth2、OIDC、SAML、CAS3，选择后不支持修改。根据选择的认证集成方式不同，需要配置不同的参数，参数说明如表1所示。配置完成后，单击“保存”。表1 认证集成配置参数说明认证集成方式参数名称参数说明 OAuth2 首页URL 应用首页的URL地址，例：https://xx.xx。支持设置多个首页的URL地址，可单击“新建URL”，添加新的URL地址。管理员登录URL 可选项，管理员登录应用的URL地址。退出地址可选项，应用的退出地址，请以http或https开头，例：https://xxx.xxx.xxx/logout。 Refresh Token有效期（秒）允许用户在多久时间内不用重新登录应用的时间。 Access Token有效期（秒）允许用户在多久时间内保持登录应用的时间。 OIDC 首页URL 应用首页的URL地址，例：https://xx.xx。管理员登录URL 可选项，管理员登录应用的URL地址。退出地址可选项，应用的退出地址，请以http或https开头，例：https://xxx.xxx.xxx/logout。授权码模式可选项，是否开启授权码模式，默认开启。 TOKEN签名算法支持选择：RS256、RS384、RS512。 Access Token有效期（秒）允许用户在多久时间内保持登录应用的时间。 Refresh Token有效期（秒）允许用户在多久时间内不用重新登录应用的时间。 SAML SP Entity ID SP唯一标识，对应SP元数据文件中的“Entity ID”的值。断言消费地址(ACS URL) SP回调地址（断言消费服务地址），对应SP元数据文件中“AssertionConsumerService”的值，即当认证成功后响应返回的值。 Name ID 用户在应用系统中的帐号名对应字段，支持选择：邮箱、手机号、用户名、用户ID、帐号名。 NameID Format 可选项，SP支持的用户名称标识格式。对应SP元数据文件中“NameIDFormat”的值。支持选择： urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress urn:oasis:names:tc:SAML:2.0:nameid-format:transient urn:oasis:names:tc:SAML:2.0:nameid-format:persistent Audience URI 可选项，允许使用SAML断言的资源，默认和SP Entity ID相同。 Single Logout URL 可选项，服务提供商提供会话注销功能，用户在OrgID注销会话后返回绑定的地址。对应SP元数据文件中“SingleLogoutService” 的值。“SingleLogoutService” 需要支持HTTP Redirect或HTTP POST方式。默认Relay State 可选项，使用在IdP发起的认证中，作为默认的一个值。支持ForceAuth 可选项，如果SP要求重新认证，则强制用户再次认证。 Response签名可选项，是否对SAML Response使用IdP的证书签名。断言签名可选项，断言需使用IdP的证书签名，对应SP元数据文件中“WantAssertionsSigned”值。数字签名算法可选项，SAML Response或者断言签名的算法。支持RSA_SHA256、RSA_SHA512、RSA_RIPEMD160，可在下拉框选择。数字摘要算法可选项，SAML Response或者断言的数字摘要算法。支持SHA256、SHA512、RIPEMD160，可在下拉框选择。断言加密可选项，是否对断言进行加密。验证请求签名可选项，是否对SAML Request签名进行验证，对应SP元数据文件中“AuthnRequestsSigned”值。 CAS3 首页URL 应用首页的URL地址，例：https://xx.xx。管理员登录URL 可选项，管理员登录应用的URL地址。退出地址可选项，应用的退出地址，请以http或https开头，例：https://xxx.xxx.xxx/logout。（可选）如果需要关联OrgID和自建应用的用户属性，可选择“映射配置”页签，单击“添加映射”，选择关联属性和映射属性，单击“确定”保存映射，单击“测试”，测试映射关系是否成立。需要修改映射时，可单击操作列的“编辑”进行修改。

组织成员帐号 ORGID 应用管理

组织成员帐号 ORGID-创建自建应用:应用基本信息配置

应用基本信息配置登录管理中心。选择左侧导航栏的“应用管理”。单击“添加自建应用”。输入应用名称，如“自建App”。上传应用图标，图标要求必须为JPG或PNG格式，大小不超过20KB，尺寸240*240px。选择应用类型，当前仅支持选择“Web”。设置应用负责人，输入并选择成员姓名，将成员设置为应用负责人。应用负责人即该应用的应用管理员，只有应用管理员才能更新该应用配置，其他管理员没有操作该应用的权限。普通成员不能成为应用负责人，需先成为组织管理员、部门管理员才能被设置为应用负责人。单击“确定”，进入认证集成页面。

组织成员帐号 ORGID 应用管理

组织成员帐号 ORGID-登录配置:开启/关闭认证源

开启/关闭认证源登录管理中心。选择左侧导航栏的“应用管理”。在“全部应用”页签，单击待修改的应用操作列的“配置”。单击“登录配置”，进入“登录配置”页签。在“认证方式”模块，开启/关闭指定认证源操作列的开关即可。开启后，登录页会新增“其他方式登录”选项，可选择使用该认证源登录应用，支持开启多个。根据开启的认证源类型不同，界面操作不同，具体如下：开启组织社交认证源（钉钉、企业微信或Welink）：开启后，界面提示“保存成功”即成功开启。开启组织认证源（OAuth、CAS、SAML、OIDC或AD）：开启后，需要选择关联的认证源，单击“保存”，界面提示“保存成功”即成功开启。

组织成员帐号 ORGID

组织成员帐号 ORGID-管理中心概述:管理中心首页功能介绍

管理中心首页功能介绍管理中心首页不仅提供了完善组织架构、配置组织应用和探索更多操作的常用功能入口，还展示了组织的统计数据和应用管理的快捷入口，如图1所示。组织创建者或组织管理员可以通过管理中心快速访问所需功能，并了解组织的整体信息。图1 管理中心首页具体快捷功能如下：完善组织架构：可快速访问成员管理页面。配置组织应用：可快速访问应用管理页面。查看组织信息：可快速访问组织信息界面。配置：可快速访问对应应用的配置页面。

组织成员帐号 ORGID 管理员指南

组织成员帐号 ORGID-用户中心首页介绍

用户中心首页介绍在用户中心首页，您可以查看组织的全部应用及最近使用应用、查看登录登出日志或退出登录等操作。图1 用户中心首页用户中心首页主要包含以下部分：最近使用：展示您近期使用的应用，可单击应用直接免登录访问应用。全部应用：展示组织的所有应用，可单击应用直接免登录访问应用。登录登出日志：展示您的登录登出日志详情，包括时间、操作者、操作类型和IP地址。帐号的下拉菜单：支持退出登录。父主题：普通用户指南

组织成员帐号 ORGID 普通用户指南

组织成员帐号 ORGID-认证集成配置:操作步骤

操作步骤登录管理中心。选择左侧导航栏的“应用管理”。在“全部应用”页签，单击待修改的应用操作列的“配置”。单击“认证集成”，进入“认证集成”页签。根据选择的认证集成方式不同，需要配置不同的参数，参数说明如表1所示。配置完成后，单击“保存”。表1 认证集成配置参数说明认证集成方式参数名称参数说明 OAuth2 首页URL 应用首页的URL地址，例：https://xx.xx。支持设置多个首页的URL地址，可单击“新建URL”，添加新的URL地址。管理员登录URL 可选项，管理员登录应用的URL地址。退出地址可选项，应用的退出地址，请以http或https开头，例：https://xxx.xxx.xxx/logout。 Refresh Token有效期（秒）允许用户在多久时间内不用重新登录应用的时间。 Access Token有效期（秒）允许用户在多久时间内保持登录应用的时间。 OIDC 首页URL 应用首页的URL地址，例：https://xx.xx。管理员登录URL 可选项，管理员登录应用的URL地址。退出地址可选项，应用的退出地址，请以http或https开头，例：https://xxx.xxx.xxx/logout。授权码模式可选项，是否开启授权码模式，默认开启。 TOKEN签名算法支持选择：RS256、RS384、RS512。 Access Token有效期（秒）允许用户在多久时间内保持登录应用的时间。 Refresh Token有效期（秒）允许用户在多久时间内不用重新登录应用的时间。 SAML SP Entity ID SP唯一标识，对应SP元数据文件中的“Entity ID”的值。断言消费地址(ACS URL) SP回调地址（断言消费服务地址），对应SP元数据文件中“AssertionConsumerService”的值，即当认证成功后响应返回的值。 Name ID 用户在应用系统中的帐号名对应字段，支持选择：邮箱、手机号、用户名、用户ID、帐号名。 NameID Format 可选项，SP支持的用户名称标识格式。对应SP元数据文件中“NameIDFormat”的值。支持选择： urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress urn:oasis:names:tc:SAML:2.0:nameid-format:transient urn:oasis:names:tc:SAML:2.0:nameid-format:persistent Audience URI 可选项，允许使用SAML断言的资源，默认和SP Entity ID相同。 Single Logout URL 可选项，服务提供商提供会话注销功能，用户在OrgID注销会话后返回绑定的地址。对应SP元数据文件中“SingleLogoutService” 的值。“SingleLogoutService” 需要支持HTTP Redirect或HTTP POST方式。默认Relay State 可选项，使用在IdP发起的认证中，作为默认的一个值。支持ForceAuth 可选项，如果SP要求重新认证，则强制用户再次认证。 Response签名可选项，是否对SAML Response使用IdP的证书签名。断言签名可选项，断言需使用IdP的证书签名，对应SP元数据文件中“WantAssertionsSigned”值。数字签名算法可选项，SAML Response或者断言签名的算法。支持RSA_SHA256、RSA_SHA512、RSA_RIPEMD160，可在下拉框选择。数字摘要算法可选项，SAML Response或者断言的数字摘要算法。支持SHA256、SHA512、RIPEMD160，可在下拉框选择。断言加密可选项，是否对断言进行加密。验证请求签名可选项，是否对SAML Request签名进行验证，对应SP元数据文件中“AuthnRequestsSigned”值。 CAS3 首页URL 应用首页的URL地址，例：https://xx.xx。管理员登录URL 可选项，管理员登录应用的URL地址。退出地址可选项，应用的退出地址，请以http或https开头，例：https://xxx.xxx.xxx/logout。（可选）如果需要关联OrgID和自建应用的用户属性，可选择“映射配置”页签，单击“添加映射”，选择关联属性和映射属性，单击“确定”保存映射，单击“测试”，测试映射关系是否成立。需要修改映射时，可单击操作列的“编辑”进行修改。

组织成员帐号 ORGID

组织成员帐号 ORGID-访问控制策略配置:操作步骤

操作步骤登录管理中心。选择左侧导航栏的“应用管理”。在“全部应用”页签，单击待修改的应用操作列的“配置”。单击“访问控制”，进入“访问控制”页签。开启/关闭访问控制开关：在“基础设置”中开启/关闭访问控制开关即可。开启后需配置默认策略，请参见步骤6。配置默认策略。默认策略可选择“允许所有用户访问”或“拒绝所有用户访问”。默认策略用于访问该应用时无法匹配到应用访问策略的用户。根据所需，修改、新增或删除策略。修改策略：单击指定策略操作列的“编辑”，修改策略参数，参数说明如表1所示。新增策略：单击“添加策略”，配置策略参数，参数说明如表1所示。表1 添加策略参数说明参数名称参数说明策略名称应用访问策略的名称。描述可选项，应用访问策略的描述信息。访问时间可选择任意时间、指定星期范围内或指定日期范围内。区域范围可选择不限定或指定ip段。选择指定ip段后，需先添加区域范围，包括设置区域名称、区域网段和描述信息。然后选择已添加的区域范围即可。访问策略勾选访问策略。允许访问：符合设置的访问时间或区域范围的用户允许访问该应用。拒绝：符合设置的访问时间或区域范围的用户无法访问该应用。二次验证：符合设置的访问时间或区域范围的用户可以使用手机验证码进行验证，验证通过后即可访问该应用。删除策略：单击指定策略操作列的“删除”，单击“确认”。删除后，该策略的数据将被删除且不可恢复，请谨慎操作。

组织成员帐号 ORGID

组织成员帐号 ORGID-同步集成配置:操作步骤

操作步骤登录管理中心。选择左侧导航栏的“应用管理”。在“全部应用”页签，单击待修改的应用操作列的“配置”。单击“同步集成”，进入“同步集成”页签。配置相关参数，参数说明如表1所示。表1 同步集成配置参数说明参数名称参数说明回调URL 用于同步该应用的数据给其他第三方系统的URL。签名密钥用于对回调消息体内容签名。加密密钥用于传输ClientSecret的加密公钥。摘要算法选择加密算法，如：SHA256或SHA1。注意： SHA1安全强度不高，不建议使用。

组织成员帐号 ORGID 配置自建应用

组织成员帐号 ORGID-登录用户中心:操作步骤

操作步骤访问OrgID。输入帐号名和密码，单击“登录”。通过管理员手动添加组织成员的方式创建的帐号，首次登录需要设置新密码，如图1所示。设置密码后，下次才可使用帐号名密码登录。如忘记密码，请单击登录页面的“忘记密码”，并根据界面提示找回密码。图1 设置密码设置的密码需要满足以下规则：至少8个字符。至少包含字母和数字，不能包含空格。阅读并同意“管理式华为帐号服务协议”。选择授权给OrgID的信息，单击“授权”。图2 华为帐号授权登录后进入组织的用户中心首页。

组织成员帐号 ORGID 普通用户指南

云服务器内容精选

组织成员帐号 ORGID

7*24

备案

专业服务

退订

建议反馈

售前咨询热线