检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
OneAccess提供基础版、专业版和企业版多个实例规格版本，每个规格对应不同的官网价。不同规格差异体现为支持的功能不同，如：条件访问控制、自定义API访问控制、身份同步、云桥Agent等，详情请参考产品规格差异。 选择适合版本和规格 用户可以根据自己的业务场景选择合适的OneAccess规格，在此做如下推荐：
第三方应用系统使用授权码code调用OneAccess的API接口换取授权令牌access_token。 第三方应用系统使用授权令牌access_token（access_token有效且未超时）调用OneAccess的API接口获取用户信息。 本文主要介绍OneAccess以OAuth协议集成应用的方法。
URIs填写OneAccess添加认证源时自动生成的调用地址，可参考表1。示例：https://xxx.huaweioneaccess.com/api/v1/oidc/sso/2***71-8***-D***1。 图1 配置参数 图2 配置Login redirect URIs 配置应用参数，授权用户
表3 映射参数 参数 说明 应用系统属性名 必填。认证成功后，OneAccess返回给应用的用户属性。 映射类型 必填。不同的映射类型决定不同接口返回属性的属性值，可在下拉框按需选择。 Friendly Name 必填。与应用系统属性名一致。 Attr Name Format 必填。SAML协议返回的一种数据格式。
${access_token}。 图8 统一退出接口配置 表5 统一退出接口配置参数 参数 说明 接口地址 OneAccess的域名拼接泛微e-cology的登录地址，例如：https://*****.huaweioneaccess.com/api/ams/logout?redirectToUrl=https://oa
WeLink开发平台创建应用获取的 client_secret。 回调地址 平台自动生成且只读，例如，https://xxx.huaweibccastle.com/api/ecb/welink/login。 如需开通管理门户WeLink认证，请确保您已在WeLink开发平台创建了应用。 "验证码"类信息发送方式配置
在应用页面，单击某应用进入应用信息页面。 单击应用Logo或名称，进入通用信息页面。在通用信息页面可查看以下信息。 接口认证凭证 ClientId：接口认证凭证ID，注册应用后，由系统自动分配。 ClientSecret：接口认证凭证密钥，注册应用后，单击“启用”获取。 如不慎丢失访问密钥，请单击“重置”获取新的访问密钥。
微博开放平台创建应用获取的 AppSecret。可参考2。 回调地址 系统自动生成。示例：https://xxx.huaweioneaccess.com/api/v1/login/weibo。 未关联用户时 微博认证源未关联用户时，可根据该设置继续操作。可在绑定、绑定或注册中任选一个。 绑定：设置为
添加协作人员 。 选择“应用功能 > 网页”，启用网页功能。 选择“安全设置”，配置重定向URL。URL格式为 https://{租户域名}/api/v1/login/feishuqr。 选择“权限管理”，配置应用的权限。 选择“版本管理与发布” ，创建版本并设置参数后，提交发布申请。
认证器确认实际验证用户，应用于注册和认证操作。默认值为 “推荐” ，当开启无用户流程，此参数同步调整为 “必须” 。 认证器传送类型 WebAuthn API实现如何生成证明声明的首选项。应用于注册操作。默认值为 “DIRECT” 。 认证器绑定方式 WebAuthn客户端可接受的验证器附件模式。应用于注册操作。默认值为不指定。
用户协议配置 管理员在OneAccess控制台配置用户需要遵守的协议和隐私声明，方便用户在首次登录OneAccess用户门户或在用户门户注册用户时，可以清楚的了解自己的权益及约束。 开启及配置用户协议 登录OneAccess管理门户。 在导航栏中，选择“设置 > 企业配置”。 在企业配置页面，选择“用户协议配置”。
安全性，切勿将其直接提供给第三方开发者或直接存储在代码中。 重置后的ClientSecret即时生效，所有使用原ClientSecret的接口将全部失效，请谨慎重置。 OneAccess不存储ClientSecret，当获取ClientSecret后，请妥善保管。 图5 获取ClientId
在页面左侧单击“安全中心”，单击“添加”添加HTTP安全域名。 在页面左侧单击“权限管理”，选择权限范围后，分别单击“通讯录管理”和“智能人事”，批量申请这两个功能下的接口权限。 在OneAccess中添加钉钉身份源 在OneAccess中配置身份源参数，确保OneAccess可同步钉钉中的数据。 在OneAccess中创建身份源。
公共返回码 事件回调接口采用HTTP状态码表示操作结果成功或者失败。企业应用的回调服务参考以下错误码及错误提示进行返回，OneAccess将返回的错误码和错误信息保存到应用同步记录中。 表1 公共返回码 返回码code 说明 200 success。 400 参数XX已存在，如参数userName已存在。
个筛选条件： 事件名称：输入事件的名称。 事件ID：输入事件ID。 资源名称：输入资源的名称，当该事件所涉及的云资源无资源名称或对应的API接口操作不涉及资源名称参数时，该字段为空。 资源ID：输入资源ID，当该资源类型无资源ID或资源创建失败时，该字段为空。 云服务：在下拉框中选择对应的云服务名称。
包年/包月。 支持购买时长为1~9个月或者1年、2年和3年。其中，购买时长为1年时，可享受实付10个月的优惠，购买时长为2年时，可享受实付20个月的优惠，购买时长为3年时，可享受实付30个月的优惠。 表1 适用计费项 计费项 说明 规格 OneAccess提供了基础版、专业版和企业版三种规格。
高级配置 高级配置 说明 选择组织 薪人薪事身份源的组织同步至OneAccess后的父级组织。如果不填，将自动创建顶层组织。 删除阈值 默认20%，该功能为平台提供的一种保护机制，支持自定义设置比例。当上游身份源应用禁用/删除超过设定的阈值数据，平台接到指令后，不会进行同步禁用/删除。
期管理，从而保障身份数据的实时同步与安全。 为了同步OneAccess数据至企业应用，企业应用需提前按照数据格式开发同步事件接口，具体请参考调用说明和API。 下面将为您介绍通过事件回调方式同步OneAccess数据至应用的操作步骤： 企业管理员在管理门户配置事件回调。 新增、修改、删除用户。
云桥服务启动的监听端口，可修改，当启动多个云桥时，需要修改为不同的端口号，默认9081 * serverAddress wss://{需要使用云桥Agent的租户域名}/api/v1/ws。 * agentId 添加Agent后，系统自动生成。请参考2。 * agentSecret 添加Agent后，系统自动生成。请参考2。
删除用户数和上次同步数据总数的比值大于阈值则删除失败，删除用户数和上次同步数据总数的比值小于阈值则删除成功。 禁用/删除用户阈值调节 默认20%，该功能为平台提供的一种保护机制，支持自定义设置比例。当上游身份源应用禁用/删除超过设定的阈值数据，平台接到指令后，不会进行同步禁用/删除
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
