联合认证概览
“SiX统一认证与授权”身份应用是一个开箱即用、完全符合 OIDC/OAuth2标准的身份提供者（IdP）。该身份提供者同时也支持SAML 2.0，允许客户端根据集成需求灵活选择OIDC/OAuth2或SAML 2.0协议进行身份验证。
开发者可以轻松部署一个高度可配置的品牌化IdP，配置工作量极小。
该平台在架构上实现了认证与授权的解耦，从而支持灵活的集成方式和清晰的职责分离。同时，它支持联合认证，允许平台IdP将用户认证请求委托给外部的第三方身份提供者。
协议融合
从客户端角度来看，它只需作为OIDC/OAuth2或SAML 2.0客户端与“SiX统一认证与授权”上创建的IdP进行交互，而无需关心后端具体的认证逻辑（无论是本地认证还是委托认证）。
安全增强
通过联合认证，您的IdP用户可以额外获得平台提供的安全增强功能，如多因子认证（MFA）、个人身份数据分享的知情同意管控等。更多详情请参阅：数据安全 & 隐私概览
联合认证
在本文档中，“联合认证”指的是认证委托。当“SiX统一认证与授权”租户中的IdP接收到认证请求时，它会将该请求委托给预先配置好的外部身份提供者。
为什么联合身份认证至关重要
1. 实现无缝集成，消除数据孤岛
在部署软件时（无论是本地化部署还是 SaaS 解决方案），企业客户通常希望使用现有的企业账户（如Active Directory中的员工凭证），而非为每个新系统单独创建一套账号。然而，软件本身仍需依赖可靠的认证机制，并通常需要为每个用户分配唯一的内部 ID。
如果每个第三方软件都维护独立的认证系统，就会形成数据孤岛：同一用户在不同系统中拥有不同的标识符，导致端到端的数据集成变得异常繁琐。缺乏统一的身份标识，跨平台关联用户数据将成为重大的技术挑战。
2. 解决方案：基于企业级IdP的联合认证
通过与客户现有的身份提供商（如Azure AD、Okta等）进行联合认证，可以彻底解决这一问题。其运作流程如下：
- 用户认证：当用户访问您的软件时，系统会将其重定向至客户的企业IdP进行认证。
- 全局用户 ID：认证成功后，您的系统将获得包含“用户全局唯一ID”的令牌。
- 本地账户映射：您的软件需要建一个本地用户账户，并将其内部ID与IdP提供的“用户全局唯一ID”进行关联。
- 无缝集成：在后续集成中，“用户全局唯一ID”将作为跨系统统一数据的关键主键。
OpenId
“SiX统一认证与授权”会为每个用户，集成密钥，IoT设备分配唯一的OpenId, 也可以用于全局数据关联！
3. 使用 “SiX统一认证与授权” 的优势
通过 “SiX统一认证与授权”，您可以轻松实现联合认证，并为客户交付以下价值：
- ✅ 单点登录（SSO） —— 用户只需登录一次即可访问所有关联系统。
- ✅ 强化安全管控 —— 为用户统一启用多因子认证（MFA）和数据隐私管控。
- ✅ 数据互通性 —— 利用全局身份标识消除信息孤岛，实现跨平台数据关联。
- ✅ 服务提供商集成 —— 您的遗留身份系统获得与各类服务提供商（如Salesforce等）直接集成的能力。
典型联合认证流程图
支持的联合身份提供者选项
| 编号 | 联合身份提供者 (IdP) | 技术描述 | 典型使用场景 | 凭证存储位置 | 凭据是否流经平台服务器? |
|---|---|---|---|---|---|
| 1 | 无联合 | 不启用联合认证，使用本地认证 | 自建统一用户体系 | “SiX统一认证与授权” | 是 |
| 2 | OIDC IdP | 平台IdP作为OIDC客户端 | 与外部OIDC身份提供者（如 Azure AD, Google）对接 | 外部IdP | 否 |
| 3 | SAML2 IdP | 平台IdP作为SAML2客户端 | 与外部SAML2身份提供者（如 Okta）对接 | 外部IdP | 否 |
| 4 | HTTP/HTTPS IdP | 通过Restful API实现认证 | 使用自定义接口对接企业遗留AD或用户数据库 | 外部IdP | 是 |
| 5 | 自定义IdP | 转发加密认证流程 | 高级自定义集成（如老旧专有IdP系统） | 外部IdP | 否 |