组织成员账号 OrgID-华为云

组织成员账号 ORGID-创建自建应用:（可选）角色配置

（可选）角色配置可以按照如下操作配置自建应用的角色并为角色关联权限或权限集，并配置数据范围，也支持批量导入角色配置数据，当角色配置后，支持导出已配置的角色数据。新建角色。在“角色管理”页签，单击“新建角色”。配置角色信息，具体参数请参见表4，配置完成后，单击“确定”。表4 角色信息参数说明参数名称参数说明角色编码自定义角色编码，最多可输出64个字符。角色名称自定义角色名称，最多可输出32个字符。角色描述填写角色描述，最多可输出256个字符。最大可申请时间可以设置该角色可申请的最大时间，即用户申请该角色权限时可申请的最长时间。单位为天，如设置180天，用户申请该角色权限时，权限的有效期最多只能设置到180天后。如不设置，则默认用户申请后权限3年内有效。审批人需要设置用户申请该角色权限时的审批人。按照角色审批：按照角色设置审批人，需要选择是否为OrgID应用角色，并选择对应角色。按照用户审批：直接指定审批人。 OrgID应用角色选择是否为OrgID应用角色。是：选择OrgID应用角色，包括部门管理员、组织管理员、超级管理员。否：选择已创建的应用角色。新增权限。在“权限管理”页签，单击“新增权限”。配置权限信息，具体参数请参见表5，配置完成后，单击“确定”。表5 权限信息参数说明参数名称参数说明权限编码自定义权限编码，最多可输出64个字符。权限名称自定义权限名称，最多可输出32个字符。权限描述填写权限描述，最多可输出256个字符。权限类型可以按照应用的API、菜单、按钮分别设置权限。权限内容设置具体的权限内容，使用英文逗号隔开。其中API权限需要输入正确的API格式，包括接口方法和路径，如：POST /v1/xxx,GET /v1/xxx。（可选）新增权限集。在“权限集管理”页签，单击“新增权限集”。配置权限集信息，具体参数请参见表6，配置完成后，单击“确定”。表6 权限集信息参数说明参数名称参数说明权限集编码自定义权限集编码，最多可输出64个字符。权限集名称自定义权限集名称，最多可输出64个字符。权限集描述填写权限集描述，最多可输出256个字符。权限选择已新增的权限。为角色配置权限或权限集。配置权限在“角色管理”页签，角色列表中，单击已创建的角色所在行“操作”列的“权限配置”。单击“添加权限”。可以在不同页签分别勾选已创建的权限，然后单击“确定”。完成角色与权限的关联，当用户申请相应角色权限后，拥有该角色关联的权限。配置权限集在“角色管理”页签，角色列表中，单击已创建的角色所在行“操作”列的“权限集配置”。单击“添加权限集”。勾选已新增的权限集，然后单击“确定”。完成角色与权限集的关联，当用户申请相应角色权限后，拥有该角色关联的权限集的全部权限。新增数据范围并指定具体的数据明细。在“数据范围”页签，单击“新增数据范围”。输入数据范围编码、数据范围名称、数据范围描述以及父数据范围，然后单击“确定”。新增后列表显示已新增的数据范围。在数据范围列表中，单击已新增的数据范围所在行“操作”列的“数据明细”。单击“新增”。输入明细编码、明细名称、明细描述，然后单击“确定”。为角色添加数据范围。在“角色管理”页签，角色列表中，单击已创建的角色所在行“操作”列的“数据范围”。单击“添加数据范围”。勾选已新增的数据范围，然后单击“确定”。

组织成员账号 ORGID 应用管理

组织成员账号 ORGID-创建自建应用:（可选）同步集成配置

（可选）同步集成配置当需要同步应用的数据给第三方系统时，可开启同步集成开关，详细的同步数据请参见联营Kit接口描述联营Kit接口描述。配置相关参数，参数说明如表2所示。表2 同步集成配置参数说明参数名称参数说明回调URL 用于同步该应用的数据给其他第三方系统的URL。签名密钥用于对回调消息体内容签名。加密密钥用于传输ClientSecret的加密公钥。摘要算法选择加密算法，如：SHA256或SHA1。 SHA1安全强度不高，不建议使用。

组织成员账号 ORGID 应用管理

组织成员账号 ORGID-创建自建应用:（可选）登录配置

（可选）登录配置（可选）如果需要获取首页URL或管理员登录URL供其他用户使用，可单击获取。管理员登录URL为空即表示在5中未配置管理员登录地址。（可选）如果已进行认证源管理，可选择开启认证源。最多可以开启3个认证源，例如可以同时开启钉钉和2个OAuth认证源。根据开启的认证源类型不同，界面操作不同，具体如下。开启组织社交认证源（钉钉、企业微信或Welink）：开启后，界面提示“保存成功”即成功开启。开启组织认证源（OAuth、CAS、SAML、OIDC或AD）：开启后，需要选择关联的认证源，最多可关联3个，单击“保存”，界面提示“保存成功”即成功开启。开启后，登录页会新增“其他方式登录”选项，可选择使用该认证源登录应用。

组织成员账号 ORGID 应用管理

组织成员账号 ORGID-创建自建应用:授权管理配置

授权管理配置单击“授权设置”，在“授权设置”界面中选择被授权成员信息，单击“下一步”。选择可用成员范围，可勾选“全员可用”或“自定义人员范围”，勾选“自定义人员范围”后可以指定成员、部门或者用户组，然后单击“确认”。设置后，应用授权范围中会显示授权部门、授权人员或授权用户组信息。同时，授权用户列表中也会展示授权账号的详细情况（包括姓名、账号名、应用侧角色、来源、更新时间和同步状态），支持按照时间或账号名进行过滤查询。

组织成员账号 ORGID 应用管理

组织成员账号 ORGID-创建自建应用:（可选）访问控制策略配置

（可选）访问控制策略配置当需要控制用户在指定的时间或区域范围内访问应用时，可开启访问控制开关。配置默认策略。默认策略可选择“允许所有用户访问”或“拒绝所有用户访问”。单击“添加策略”，配置策略参数，参数说明如表3所示。策略添加完成后，可单击“是否生效”列的开启策略。开启后可单击“是否生效”列的关闭策略。表3 添加策略参数说明参数名称参数说明策略名称应用访问策略的名称。描述可选项，应用访问策略的描述信息。访问时间可选择任意时间、指定星期范围内或指定日期范围内。区域范围可选择不限定或指定ip段。选择指定ip段后，需先添加区域范围，包括设置区域名称、区域网段和描述信息。然后选择已添加的区域范围即可。 - 勾选访问策略。允许访问：符合设置的访问时间或区域范围的用户允许访问该应用。拒绝：符合设置的访问时间或区域范围的用户无法访问该应用。二次验证：符合设置的访问时间或区域范围的用户可以使用手机验证码进行验证，验证通过后即可访问该应用。

组织成员账号 ORGID 应用管理

组织成员账号 ORGID-创建自建应用:认证集成配置

认证集成配置选择认证集成方式：OAuth2、OIDC、SAML、CAS3，选择后不支持修改。根据选择的认证集成方式不同，需要配置不同的参数，参数说明如表1所示。配置完成后，单击“保存”。表1 认证集成配置参数说明认证集成方式参数名称参数说明 OAuth2 首页URL 应用首页的URL地址，例：https://xx.xx。支持设置多个首页的URL地址，可单击“新建URL”，添加新的URL地址。管理员登录URL 可选项，管理员登录应用的URL地址。退出地址可选项，应用的退出地址，请以http或https开头，例：https://xxx.xxx.xxx/logout。 Refresh Token有效期（秒）允许用户在多久时间内不用重新登录应用的时间。 Access Token有效期（秒）允许用户在多久时间内保持登录应用的时间。 OIDC 首页URL 应用首页的URL地址，例：https://xx.xx。管理员登录URL 可选项，管理员登录应用的URL地址。退出地址可选项，应用的退出地址，请以http或https开头，例：https://xxx.xxx.xxx/logout。授权码模式可选项，是否开启授权码模式。 TOKEN签名算法支持选择：RS256、RS384、RS512。 Access Token有效期（秒）允许用户在多久时间内保持登录应用的时间。 Refresh Token有效期（秒）允许用户在多久时间内不用重新登录应用的时间。 SAML SP Entity ID SP唯一标识，对应SP元数据文件中的“Entity ID”的值。断言消费地址(A CS URL) SP回调地址（断言消费服务地址），对应SP元数据文件中“AssertionConsumerService”的值，即当认证成功后响应返回的值。 Name ID 用户在应用系统中的账号名对应字段，支持选择：邮箱、手机号、用户名、用户ID、账号名。 NameID Format 可选项，SP支持的用户名称标识格式。对应SP元数据文件中“NameIDFormat”的值。支持选择： urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified urn:oasis:names:tc:SAML:1.1:nameid-format:emailAddress urn:oasis:names:tc:SAML:2.0:nameid-format:transient urn:oasis:names:tc:SAML:2.0:nameid-format:persistent Audience URI 可选项，允许使用SAML断言的资源，默认和SP Entity ID相同。 Single Logout URL 可选项，服务提供商提供会话注销功能，用户在OrgID注销会话后返回绑定的地址。对应SP元数据文件中“SingleLogoutService” 的值。“SingleLogoutService” 需要支持HTTP Redirect或HTTP POST方式。默认Relay State 可选项，使用在IdP发起的认证中，作为默认的一个值。支持ForceAuth 可选项，如果SP要求重新认证，则强制用户再次认证。 Response签名可选项，是否对SAML Response使用IdP的证书签名。断言签名可选项，断言需使用IdP的证书签名，对应SP元数据文件中“WantAssertionsSigned”值。数字签名算法可选项，SAML Response或者断言签名的算法。支持RSA_SHA256、RSA_SHA512、RSA_RIPEMD160，可在下拉框选择。数字摘要算法可选项，SAML Response或者断言的数字摘要算法。支持SHA256、SHA512、RIPEMD160，可在下拉框选择。验证请求签名可选项，是否对SAML Request签名进行验证，对应SP元数据文件中“AuthnRequestsSigned”值。 CAS3 首页URL 应用首页的URL地址，例：https://xx.xx。管理员登录URL 可选项，管理员登录应用的URL地址。退出地址可选项，应用的退出地址，请以http或https开头，例：https://xxx.xxx.xxx/logout。（可选）如果需要关联OrgID和自建应用的用户属性，可选择“映射配置”页签，单击“添加映射”，选择关联属性和映射属性，单击“确认”保存映射，单击“测试”，测试映射关系是否成立。需要修改映射时，可单击操作列的“编辑”进行修改。

组织成员账号 ORGID 应用管理

组织成员账号 ORGID-创建自建应用:应用基本信息配置

应用基本信息配置登录管理中心。选择左侧导航栏的“应用管理”。单击“添加自建应用”。输入应用名称，如“App-test”。上传应用图标，图标要求必须为JPG或PNG格式，大小不超过20KB，尺寸240*240px。选择应用类型，当前仅支持选择“Web”。设置应用负责人，输入并选择成员姓名，将成员设置为应用负责人。应用负责人即该应用的应用管理员，只有应用管理员才能更新该应用配置，其他管理员没有操作该应用的权限。普通成员不能成为应用负责人，需先成为组织管理员、部门管理员才能被设置为应用负责人。单击“确认”，进入认证集成页面。

组织成员账号 ORGID 应用管理

组织成员账号 ORGID-岗位管理:更多操作

更多操作您还可以进行以下操作。表2 更多操作操作名称操作步骤编辑岗位在“岗位管理”页面，单击岗位所在行“操作”列的“编辑”。编辑岗位信息，可以修改岗位名称、岗位描述和角色范围，然后单击“确定”。查看岗位详情在“岗位管理”页面，单击岗位所在行“操作”列的“查看详情”，可以在详情页面查看该岗位的成员和该岗位拥有的角色。修改成员角色的有效期和数据范围在“岗位管理”页面，单击岗位所在行“操作”列的“查看详情” 在成员列表，单击待修改的成员所在行“操作”列的“查看”。单击“查看成员角色”页面下方的“修改”。修改成员已拥有的角色的有效期和应用角色的数据范围，然后单击“确定”。移除成员在“岗位管理”页面，单击岗位所在行“操作”列的“查看详情”。在成员列表，单击待移除的成员所在行“操作”列的“移除”。单击“确认”。添加岗位角色在“岗位管理”页面，单击岗位所在行“操作”列的“查看详情”。单击“角色范围”，切换至“角色范围”页签。单击“添加角色”。勾选需要添加的角色，然后单击“确定”。删除岗位角色在“岗位管理”页面，单击岗位所在行“操作”列的“查看详情”。单击“角色范围”，切换至“角色范围”页签。在角色列表，单击待删除的角色所在行“操作”列的“删除”。单击“确认”。删除岗位在“岗位管理”页面，单击岗位所在行“操作”列的“删除”。单击“确认”。

组织成员账号 ORGID 权限与审批

组织成员账号 ORGID-角色配置:配置应用角色

配置应用角色登录管理中心。选择左侧导航栏的“应用管理”。在“全部应用”页签，单击待修改的应用操作列的“配置”。单击“角色配置”，进入“角色配置”页签，默认显示“角色管理”。新建角色。在“角色管理”页签，单击“新建角色”。配置角色信息，具体参数请参见表1，配置完成后，单击“确定”。表1 角色信息参数说明参数名称参数说明角色编码自定义角色编码，最多可输出64个字符。角色名称自定义角色名称，最多可输出32个字符。角色描述填写角色描述，最多可输出256个字符。最大可申请时间可以设置该角色可申请的最大时间，即用户申请该角色权限时可申请的最长时间。单位为天，如设置180天，用户申请该角色权限时，权限的有效期最多只能设置到180天后。如不设置，则默认用户申请后权限3年内有效。审批人需要设置用户申请该角色权限时的审批人。按照角色审批：按照角色设置审批人，需要选择是否为OrgID应用角色，并选择对应角色。按照用户审批：直接指定审批人。 OrgID应用角色选择是否为OrgID应用角色。是：选择OrgID应用角色，包括部门管理员、组织管理员、超级管理员。否：选择已创建的应用角色。新增权限。在“权限管理”页签，单击“新增权限”。配置权限信息，具体参数请参见表2，配置完成后，单击“确定”。表2 权限信息参数说明参数名称参数说明权限编码自定义权限编码，最多可输出64个字符。权限名称自定义权限名称，最多可输出32个字符。权限描述填写权限描述，最多可输出256个字符。权限类型可以按照应用的API、菜单、按钮分别设置权限。权限内容设置具体的权限内容，使用英文逗号隔开。其中API权限需要输入正确的API格式，包括接口方法和路径，如：POST /v1/xxx,GET /v1/xxx。（可选）新增权限集。在“权限集管理”页签，单击“新增权限集”。配置权限集信息，具体参数请参见表3，配置完成后，单击“确定”。表3 权限集信息参数说明参数名称参数说明权限集编码自定义权限集编码，最多可输出64个字符。权限集名称自定义权限集名称，最多可输出64个字符。权限集描述填写权限集描述，最多可输出256个字符。权限选择已新增的权限。为角色配置权限或权限集。配置权限在“角色管理”页签，角色列表中，单击已创建的角色所在行“操作”列的“权限配置”。单击“添加权限”。可以在不同页签分别勾选已创建的权限，然后单击“确定”。完成角色与权限的关联，当用户申请相应角色权限后，拥有该角色关联的权限。配置权限集在“角色管理”页签，角色列表中，单击已创建的角色所在行“操作”列的“权限集配置”。单击“添加权限集”。勾选已新增的权限集，然后单击“确定”。完成角色与权限集的关联，当用户申请相应角色权限后，拥有该角色关联的权限集的全部权限。新增数据范围并指定具体的数据明细。在“数据范围”页签，单击“新增数据范围”。输入数据范围编码、数据范围名称、数据范围描述以及父数据范围，然后单击“确定”。新增后列表显示已新增的数据范围。在数据范围列表中，单击已新增的数据范围所在行“操作”列的“数据明细”。单击“新增”。输入明细编码、明细名称、明细描述，然后单击“确定”。为角色添加数据范围。在“角色管理”页签，角色列表中，单击已创建的角色所在行“操作”列的“数据范围”。单击“添加数据范围”。勾选已新增的数据范围，然后单击“确定”。

组织成员账号 ORGID 配置自建应用

组织成员账号 OrgID-使用管理式华为账号登录OrgID:步骤二：登录OrgID

步骤二：登录OrgID 成员访问OrgID。输入管理式华为账号的账号名和密码。管理式华为账号登录仅支持输入账号名（xxxx@域名），首次登录需修改密码。单击“登录”。成功登录后，根据账号的权限不同，界面的呈现和可执行的操作不同，具体如下：组织管理员：登录后显示用户中心，可切换至组织的管理中心，除不能进行创建组织和解散组织的操作外，其余权限与组织创建者一致。部门管理员：登录后显示用户中心，可切换至组织的管理中心，拥有查看组织信息、管理成员部门、管理应用的操作权限。普通用户：登录后只能访问组织的用户中心，具体请参见用户中心介绍。

组织成员账号 OrgID

组织成员账号 OrgID-入门指引:账号概念

账号概念 OrgID使用账号分为个人华为账号、管理式华为账号和第三方认证源账号。个人华为账号：是由个人在华为集团账号系统申请获得，包括使用终端设备、华为云渠道、消费者应用等获取。该类账号归属于个人，可以通过邀请方式加入组织，也可以自己开通OrgID并创建组织。管理式华为账号：是由组织的管理员创建生成，该类账号只归属于本组织所有，不可以加入其他组织。第三方认证源账号：是指登录认证由第三方认证源提供，鉴权认证通过后，将登录OrgID进行后续业务操作，具体支持的认证源及认证操作请参见认证源管理。管理式华为账号归属于组织，个人华为账号归属于个人，这两种账号在使用中是有区分的。管理员可以为管理式账号重置密码，但无法为个人账号重置密码。

组织成员账号 OrgID

组织成员账号 OrgID-单点登录其他SaaS应用/云服务:步骤二：创建并授权应用

步骤二：创建并授权应用管理员在OrgID管理中心页面，选择左侧导航栏的“应用管理”。单击“添加自建应用”。输入应用名称，如“App-test”，上传应用图标、选择应用类型并设置应用负责人，如图1所示，单击“确认”。图1 自建App 进入“认证集成”页签，根据实际情况选择认证集成方式：OAuth2、OIDC、SAML、CAS3，选择后不支持修改，此处选择“OAuth2”，单击“确认”。图2 开启认证集成方式配置首页URL、Access Token有效期、Refresh Token有效期等参数，单击“保存”。图3 参数配置进入“授权管理”页签。单击“授权设置”，在“授权设置”界面中选择被授权成员信息，单击“下一步”。选择可用成员范围，此处选择“全员可用”，组织下所有成员即可在用户中心看到并使用该应用。图4 授权设置

组织成员账号 OrgID

组织成员账号 OrgID-通过第三方认证源登录SaaS应用:步骤三：创建并授权应用

步骤三：创建并授权应用组织创建者或组织管理员在OrgID管理中心页面，选择左侧导航栏的“应用管理”。单击“添加自建应用”。输入应用名称，如“App-test”，上传应用图标、选择应用类型并设置应用负责人，如图2所示，单击“确认”。图2 自建App 进入“认证集成”页签，根据实际情况选择认证集成方式：OAuth2、OIDC、SAML、CAS3，选择后不支持修改，此处选择“OAuth2”，单击“确认”。图3 开启认证集成方式配置首页URL、Access Token有效期、Refresh Token有效期等参数，单击“保存”。图4 参数配置进入“授权管理”页签。单击“授权设置”，在“授权设置”界面中选择被授权成员信息，单击“下一步”。选择可用成员范围，此处选择“全员可用”，组织下所有成员即可在用户中心看到并使用该应用。图5 授权设置

组织成员账号 OrgID

组织成员账号 OrgID-通过华为账号登录SaaS应用:步骤二：创建并授权应用

步骤二：创建并授权应用管理员在OrgID管理中心页面，选择左侧导航栏的“应用管理”。单击“添加自建应用”。输入应用名称，如“App-test”，上传应用图标、选择应用类型并设置应用负责人，如图1所示，单击“确认”。图1 自建App 进入“认证集成”页签，根据实际情况选择认证集成方式：OAuth2、OIDC、SAML、CAS3，选择后不支持修改，此处选择“OAuth2”，单击“确认”。图2 开启认证集成方式配置首页URL、Access Token有效期、Refresh Token有效期等参数，单击“保存”。图3 参数配置进入“授权管理”页签。单击“授权设置”，在“授权设置”界面中选择被授权成员信息，单击“下一步”。选择可用成员范围，此处选择“全员可用”，组织下所有成员即可在用户中心看到并使用该应用。图4 授权设置

组织成员账号 OrgID

组织成员账号 OrgID-使用个人华为账号登录OrgID:操作步骤

操作步骤访问OrgID。输入个人华为账号和密码，可以输入账号名、手机号码或者邮箱地址。单击“登录”，成功登录后显示OrgID首页。图1 OrgID首页首次登录后显示OrgID管理控制台，后续登录默认进入最近访问的OrgID组织用户中心。如果进入用户中心，管理员可以在右上角账号名的下拉列表中切换组织，进入管理控制台。在OrgID管理控制台界面，您可以进行以下操作。单击组织名称，进入该组织的用户中心首页，在账号的下拉菜单中选择管理中心。在管理中心您可以管理该组织，具体请参见管理中心介绍。单击“创建组织”，您可以创建新的组织，具体操作请参见创建组织。

组织成员账号 OrgID

云服务器内容精选

组织成员账号 OrgID

7*24

备案

专业服务

退订

建议反馈

售前咨询热线