员工仍要重复认证
员工从钉钉工作台进入 OA、ERP 等应用后仍需单独登录，常见问题要在不同登录入口间来回确认。
场景解决方案 / 全域数字身份治理解决方案
钉钉单点登录对接企业现有系统
让员工从钉钉工作台进入已接入的业务应用，认证仍由钉钉、数犀与目标系统按约定链路完成。
先核对用户账号映射和目标应用认证方式，再确定可接入范围；应用内部的数据权限仍由目标系统管理。
客户问题
从钉钉进入应用，登录与账号对应仍要逐项确认
单点登录要同时解决“入口怎么走”和“登录身份是谁”，不能把完成跳转等同于业务授权。
账号映射不一致
钉钉用户与业务系统账号使用不同标识时，若映射规则不明确，可能出现登录失败或身份对应错误。
整体思路
以钉钉为工作入口，按目标应用能力衔接认证
先确认钉钉用户与存量账号的对应规则，再按目标应用支持的认证协议配置登录链路。数犀负责已确认的认证衔接，目标应用继续校验自身业务权限。
- 01员工从钉钉工作台选择已接入应用
- 02钉钉身份确认登录主体与账号映射
- 03数犀集成平台按接入配置衔接认证请求
- 04目标应用建立应用会话并校验业务权限
目标系统协议、账号体系和退出/会话策略决定具体接入方式；账号映射和业务权限需分开核对。
核心任务
应用登录链路 · 员工账号匹配
01 / 应用登录链路
从工作台进入目标应用
- 01员工从钉钉工作台选择应用
- 02钉钉确认登录主体
- 03数犀集成平台按目标应用方式衔接认证
- 04目标应用建立会话并校验权限
原来怎么处理
过去员工先在钉钉认证，再在 OA、ERP 等应用再次输入账号；管理员也需分开排查钉钉和应用登录问题。
数犀如何处理
接入前依据目标应用实际支持的 OIDC、SAML、CAS 或其他方式评估认证链路。数犀只处理已确认的身份映射与认证衔接，目标应用仍检查内部角色和数据权限。
用正常用户、未分配账号用户及认证过期情形验证登录主体；再从目标应用核对其实际角色权限，不能因单点登录自动扩大授权。
希望带来的变化
减少重复输入凭据的操作步骤，让登录故障能按钉钉、映射或目标应用环节定位。
相关能力认证源接入目标应用协议适配账号映射
02 / 员工账号匹配
将钉钉用户对应到存量账号
- 01钉钉用户提供稳定标识
- 02账号映射核对目标系统账号
- 03管理员处理未匹配或冲突
原来怎么处理
以工号或双方共同维护的稳定标识建立映射；重名、缺字段、一人多账号等记录进入异常确认，避免按姓名猜测。
数犀如何处理
按企业批准的匹配规则为测试范围建立用户与存量账号关系。映射规则、首次绑定和后续变更需结合应用接口确定，不将账号同步和登录认证混为一项。
分别抽查唯一匹配、未匹配与重复匹配记录；确认无匹配或冲突时不会把用户送入错误账号。
希望带来的变化
管理员能明确知道谁登录到了哪个应用账号，减少因标识不一致带来的反复核对。
相关能力人员身份匹配异常记录处理应用账号关联
改善与验证
以一个应用和一组用户验证认证链路
记录试点前后的登录步骤与失败类型，并验证账号和目标权限仍准确。
| 常见处理 | 希望实现的变化 | 试点检查方法 |
|---|---|---|
| 重复登录员工从钉钉工作台进入 OA、ERP 等应用后仍需单独登录，常见问题要在不同登录入口间来回确认。 | 希望实现的变化员工通过钉钉入口进入已接入应用，按约定认证链路完成登录。 | 试点检查方法对照试点用户接入前后需输入凭据的步骤，并测试退出、会话过期和重新登录。 |
| 身份错配钉钉用户与业务系统账号使用不同标识时，若映射规则不明确，可能出现登录失败或身份对应错误。 | 希望实现的变化登录用户对应到经过确认的存量账号。 | 试点检查方法抽查成功映射、未匹配与冲突账号，验证异常是否被拦截并转人工核对。 |
认证协议、目标应用改造及业务角色授权需逐系统确认；单点登录本身不授予应用内业务权限。
