在 Apple 校园教务管理中搭配身份提供方使用联合验证

在 Apple 校园教务管理中，你可以使用联合验证关联身份提供方 (IdP)，以便让用户通过 IdP 用户名（通常是电子邮件地址）和密码登录 Apple 设备。

关联成功后，你的用户便可将他们的 IdP 凭证用作管理式 Apple 账户。随后，他们可以使用这些凭证来登录分配给他们的 iPhone、iPad、Mac、Apple Vision Pro 和共用 iPad。在他们成功登录其中任一台设备后，他们还可以进一步登录网页版 iCloud。

联合验证过程

这一过程包括四个主要步骤：

【重要事项】在配置联合验证之前，请先查看以下内容。

在你可以在 Apple 校园教务管理中查看 IdP 用户账户之前，需添加并验证你想要使用的域。

验证过程可确保你的组织有权为该域修改域名服务 (DNS) 记录。例如，要使用 townshipschools.org 作为域，需要在开始验证流程（选择“验证”按钮后开始）后的 14 个日历日内将特定 TXT 记录添加到域名服务器的区域文件中。

【注】如果你在尝试联合你已验证的域，但另一组织已联合了同一域，你需要联系该组织，以确定谁有权联合该域。请参阅域冲突。

要连接到 Apple 校园教务管理，你的 IdP 需拥有或创建一个 App，其中包含特定设置，以便关联到 Apple 校园教务管理。由于每个 IdP 在创建 App 和定位特定设置的位置时都有不同的方法，因此请查阅 IdP 的文档，了解如何完成这一过程。

以管理员身份登录你的 IdP，然后执行以下操作之一：
- 找到由你的 IdP 创建的 App。你可能可以跳过此任务中的几个步骤。
- 导航至创建 App 或连接的位置。
使用以下信息创建 App 或连接：
- Apple 校园教务管理：AppleSchoolManagerOIDC。
- 登录方法：OIDC。
- App 类型：网页 App。
- 授权类型：刷新令牌。
- 登录重定向 URI：https://gsa-ws.apple.com/grandslam/GsService2/acs。
- 访问：允许特定用户帐户访问。
- 范围访问：需授予对 ssf.manage 和 ssf.read 的访问权限。
存储更改内容。
稍后在这个页面上，你需要将某些信息粘贴到 Apple 校园教务管理中。接下来的任务是将这些信息拷贝到文本或电子表格文件中。
打开一个新的文本文件或电子表格，然后输入以下来自 IdP 的值：
- 对于 OIDC 客户端 ID，请粘贴 OIDC 客户端 ID。
- 对于 OIDC 客户端密码，请粘贴 OIDC 客户端密码。
将文件存储到安全的位置。