文档中心

智能体身份和权限管理平台

外部身份提供商

OAuth

OAuth 连接

OAuth 连接让 UserPool 可以接入需要显式配置授权端点、令牌端点和用户信息端点的上游提供方。

能力

配置 OAuth 端点

填写登录时使用的授权、令牌和用户信息端点。

识别上游用户

选择上游用户信息端点返回的用户标识属性。

应用提供商提示

当上游存在专属行为时，使用飞书或钉钉等内置 provider hint。

映射身份数据

通过映射和声明设置持久化或传递上游资料值。

调试浏览器登录

使用共享 SSO 调试流程验证重定向和回调。

OAuth 连接 API

API	使用场景	说明
ListIdentityProvidersOAuth	管理连接	管理 OAuth 连接生命周期。
CreateIdentityProviderOAuth	管理连接	管理 OAuth 连接生命周期。
GetIdentityProviderOAuth	管理连接	管理 OAuth 连接生命周期。
UpdateIdentityProviderOAuth	管理连接	管理 OAuth 连接生命周期。
DeleteIdentityProviderOAuth	管理连接	管理 OAuth 连接生命周期。
PrepareIdentityProviderSSODebug	管理连接	管理 OAuth 连接生命周期。

关键 API 参数

参数	相关能力
AuthorizationEndpoint、TokenEndpoint、UserEndpoint	定义上游 OAuth 端点。
ClientId、ClientSecret	让 identity 作为客户端向上游提供方认证。
ScopesList	控制请求的上游权限范围。
IdAttribute	选择稳定的上游用户标识。
UsePkce	在支持时控制 PKCE 行为。
ExtraProviderConfiguration	保存提供商专属配置值。
ProviderOptions、AttributeMappings、ClaimsPropagationConfig	控制账号落地和身份数据流。

下一步

飞书：查看飞书 OAuth 专属说明。

钉钉：查看钉钉 OAuth 专属说明。

连接：对比连接家族。

飞书 OAuth 连接

飞书 OAuth 连接在通用 OAuth 家族之上补充飞书特有的权限范围和身份标识行为。

能力

准备上游应用

创建或确认飞书应用，然后再创建 identity 连接。请提前准备上游客户端标识、密钥、回调设置和权限选择。

创建提供商专属连接

在目标 UserPool 中创建连接，并选择与飞书匹配的 provider 行为。这样既保留通用协议模型，又能覆盖提供商专属设置。

谨慎映射身份数据

选择稳定的上游标识，只映射应用确实需要的属性。请区分展示字段和持久标识。

发布前调试

向用户开放前，使用真实客户端执行共享 SSO 调试流程。

可视化引导

创建或更新 identity 连接前，可以按以下飞书截图完成上游准备：导入 Scope、审核权限、发布可用范围、采集凭证并登记回调地址。

步骤一：创建飞书企业应用

登录飞书开发者平台，单击“创建企业自建应用”按钮。

配置应用名称、描述及图标信息，单击“创建”按钮，完成操作。

步骤二：配置飞书应用权限

（可选）在飞书开发者平台，单击进入新创建的企业自建应用，如果您已在应用开发页面，请跳过此步骤。

在左侧目录树选择“开发配置 > 权限管理”，单击“批量导入/导出权限”按钮。

在“导入”页签中，将如下权限替换原有示例，单击“下一步，确认新增权限”按钮。

{
"scopes": {
"tenant": [
"contact:user.base:readonly",
"contact:user.email:readonly"
],
"user": []
}
}

确认权限无误后，单击“申请开通”按钮，完成操作。

配置权限可访问的数据范围，默认与应用的可用范围一致，配置后保存然后单击“确认”按钮。

在左侧目录树选择“应用发布 > 版本管理与发布”，单击“创建版本”按钮。

输入应用版本号和更新说明，单击“可用范围”处的“编辑”按钮，配置生效可用范围。

设置该企业应用的可用范围，添加需要使用 Identity 的目标部门或是企业员工的企业飞书账号，完成后单击“确定”按钮。

说明

可以通过配置应用可见性范围来限定有哪些员工可以使用 Identity，如果对企业内Identity的人员不作限制，可配置为“全部成员”，配置后企业内的所有员工均可使用 Identity。

单击页面底部的“保存”按钮，创建版本。

说明

如果您不是企业飞书的管理员，在申请企业应用时申请理由需要填写实际的业务场景和功能描述，以帮助企业飞书管理员审批此次企业应用的申请。

发布应用。

如果您此次申请免审批，单击页面右上角的“确认发布”按钮，完成应用发布。

如果您此次申请需要审批，单击页面右上角的“申请线上发布”按钮，等待企业飞书管理员审核通过后，完成应用发布。

步骤三：获取企业认证信息

（可选）在飞书开发者平台，单击进入新创建的企业自建应用，如果您已在应用开发页面，请跳过此步骤。

在左侧目录树选择“基础信息 > 凭证与基础信息”，复制并保存 App ID 和 App Secret。

复制 App ID 和 App Secret，用于 identity 连接配置。

从 identity 复制回调地址，再登记到飞书应用回调配置中。

将自动跳转至飞书开发者平台配置了企业系统权限飞书应用的“安全配置”页面。

把从 Identity 空间中复制的飞书免登授权码跳转地址粘贴至重定向 URL（Redirect URL）中，单击“添加”按钮，添加后立即生效。

飞书 API

API	使用场景	说明
CreateIdentityProviderOAuth	创建连接	在指定 UserPool 中创建飞书风格连接。
UpdateIdentityProviderOAuth	更新连接	更新提供商设置、映射和账号落地行为。
PrepareIdentityProviderSSODebug	调试登录	生成用于回调测试的调试授权地址。
GetIdentityProviderFeishuScopes	查看 Scope	在最终上线前检查飞书 Scope 信息。

关键 API 参数

参数	相关能力
UserPoolUid	选择拥有连接的 UserPool。
Provider	将连接标记为飞书专属 provider 行为。
AuthorizationEndpoint、TokenEndpoint、UserEndpoint、ClientId、ClientSecret、ScopesList、IdAttribute	配置上游协议信任和客户端凭据。
ProviderOptions	控制账号关联和用户创建行为。
AttributeMappings、ClaimsPropagationConfig	控制写入用户的属性和下游声明。
ConnectionUid、ClientUid	在调试或更新时选择连接和客户端。

下一步

阅读通用 OAuth 连接指南。

在客户端中配置应用。

在连接属性映射中设计用户映射。

钉钉 OAuth 连接

钉钉 OAuth 连接在通用 OAuth 家族之上补充钉钉应用可见范围、Agent 和回调配置。

能力

准备上游应用

创建或确认钉钉应用，然后再创建 identity 连接。请提前准备上游客户端标识、密钥、回调设置和权限选择。

创建提供商专属连接

在目标 UserPool 中创建连接，并选择与钉钉匹配的 provider 行为。这样既保留通用协议模型，又能覆盖提供商专属设置。

谨慎映射身份数据

选择稳定的上游标识，只映射应用确实需要的属性。请区分展示字段和持久标识。

发布前调试

向用户开放前，使用真实客户端执行共享 SSO 调试流程。

可视化引导

创建或更新 identity 连接前，可以按以下钉钉截图完成上游准备：创建应用、配置权限、设置可用范围、采集凭证并登记回调地址。

创建钉钉企业应用，并确认应用基础信息。

开通并审核登录和用户资料所需权限。

确认版本发布和可用范围，确保目标员工可以使用应用。

采集钉钉凭证和 Agent 上下文，用于 identity 连接配置。

从 identity 复制回调地址，并在钉钉侧发布对应回调变更。

配置钉钉应用和权限信息

步骤一：创建钉钉企业应用

登录钉钉开发者平台，在左侧目录树中选择“企业内部应用 > 钉钉应用”，在页面右上角单击“创建应用”按钮。

配置应用名称、图标等信息后，单击“保存”按钮。

步骤二：配置钉钉应用权限

（可选）在钉钉开发者平台，单击应用名称，进入用于企业系统权限的钉钉应用开发页面。如果您已在应用开发页面，请跳过此步骤。

在左侧目录树，选择“开发配置 > 权限管理”，搜索关键字“通讯录”，在搜索结果中单击“通讯录个人信息读权限”的“立即开通”按钮，开通此权限。

搜索关键字“邮箱”，在搜索结果中单击“邮箱等个人信息”的“立即开通”按钮，开通此权限。

搜索关键字“获取钉钉”，在搜索结果中单击“获取钉钉开放接口用户访问凭证的基础权限”的“立即开通”按钮，开通此权限。

最终需要的权限如下表所示，必需的权限如下图所示，可通过筛选“已开通”查看当前已经开通的权限信息。

钉钉权限项	权限点code	用途	是否必选
通讯录个人信息读权限	Contact.User.Read	读取员工工号、姓名、部门用于用户管理	必选
邮箱等个人信息	fieldEmail	读取员工邮箱用于身份匹配	必选
获取钉钉开放接口用户访问凭证的基础权限	open_app_api_base	SSO 登录所需的 ID Token	必选
成员信息读取权限	Contact.User.Read.Full	读取员工全部 PII（手机号、地址等）	可选，慎用

设置通讯录接口权限范围，默认为“全部员工”。

在左侧导航树，选择“应用发布 > 版本管理与发布”，然后单击“创建新版本”按钮。

设置版本号、版本描述，并选择应用可用范围，单击“保存”按钮。

“应用可用范围”可限定有哪些员工可以使用Identity。如果对企业内使用Identity的人员不作限制，可配置为“全部员工”，配置后企业内的所有员工均可使用Identity；如果选择“部分员工”，添加需要使用Identity的企业组织架构、角色下指定的企业员工，完成后单击“确定”按钮。

在弹出的对话框中，单击“确认发布”按钮，发布应用版本。

步骤三：获取企业认证信息

（可选）在钉钉开发者平台，单击应用名称，进入用于企业系统权限的钉钉应用开发页面。如果您已在应用开发页面，请跳过此步骤。

在左侧导航树，选择“基础信息 > 凭证与基础信息”，复制并保存App ID、Client ID和Client Secret。

App ID：是钉钉应用唯一标识（UnifiedAppId），可用于获取应用的基本信息、配置信息、数据等，对应旧版钉钉内部应用AgentId和三方应用AppId。

Client ID：企业钉钉应用的Client ID，对应旧版钉钉 AppKey 和 SuiteKey。

Client Secret：企业钉钉应用的Client Secret，对应旧版钉钉 AppSecret 和 SuiteSecret。

步骤四：配置回调信息

说明

钉钉对应用配置的重定向 URL改动需要重新发布应用版本后才能生效。本步骤的"创建新版本 + 确认发布"是为了让上一步登记的SSO回调地址在钉钉侧立即生效。重新发版后，钉钉会按"应用可用范围"再次推送应用给员工，员工端可能会看到一次"应用更新" 的通知。

在用户池详情里面，复制OAuth 登录回调地址

将自动跳转至钉钉开发者平台配置了企业系统权限钉钉应用的“安全配置”页面。

把从用户池中复制的钉钉免登授权码跳转地址粘贴至重定向URL（Redirect URL）中，单击“保存”按钮。

在左侧导航树，选择“应用发布 > 版本管理与发布”，然后单击“创建新版本”按钮。

设置版本号、版本描述，应用可用范围沿用上次发布时配置的范围，如无需调整，直接保持当前选择即可，无需再次配置。

单击“保存”按钮，在弹出的对话框中，单击“确认发布”按钮，发布应用版本。

钉钉 API

API	使用场景	说明
CreateIdentityProviderOAuth	创建连接	在指定 UserPool 中创建钉钉风格连接。
UpdateIdentityProviderOAuth	更新连接	更新提供商设置、映射和账号落地行为。
PrepareIdentityProviderSSODebug	调试登录	生成用于回调测试的调试授权地址。

关键 API 参数

参数	相关能力
UserPoolUid	选择拥有连接的 UserPool。
Provider	将连接标记为钉钉专属 provider 行为。
AuthorizationEndpoint、TokenEndpoint、UserEndpoint、ClientId、ClientSecret、ScopesList、IdAttribute	配置上游协议信任和客户端凭据。
ProviderOptions	控制账号关联和用户创建行为。
AttributeMappings、ClaimsPropagationConfig	控制写入用户的属性和下游声明。
ConnectionUid、ClientUid	在调试或更新时选择连接和客户端。

下一步

阅读通用 OAuth 连接指南。

在客户端中配置应用。

在连接属性映射中设计用户映射。

最近更新时间：2026.08.24 15:13:49

这个页面对您有帮助吗？

有用

无用