在 Apple 商务中搭配身份提供方使用联合验证
概览
在 Apple 商务中，你可以通过联合验证关联身份提供方（IdP），以便让用户使用自己的 IdP 用户名（通常是电子邮件地址）和密码登录 Apple 设备。
关联成功后，用户便可将其 IdP 凭证用作管理式 Apple 账户。随后，用户可以使用这些凭证来登录被分配的 iPhone、iPad、Mac、Apple Vision Pro 和共享 iPad。用户在成功登录其中任一台设备后，还可以进一步登录网页版 iCloud。
联合验证过程
这一过程包括四个主要步骤：
添加并验证域名。
创建一个新的 OpenID Connect（OIDC）App 或连接。
配置联合验证，并使用单个 IdP 用户账户测试验证。
开启联合验证.
【重要事项】在配置联合验证之前，请先查看以下内容。
第 1 步：验证域
第 2 步：创建一个新的 OIDC App 或连接
你的 IdP 需拥有或创建一个 App 并进行特定设置，才能关联到 Apple 商务。由于每个 IdP 创建 App 的方式及部分设置的位置都不尽相同，请查阅 IdP 的文档，了解如何完成这一过程。
以管理员身份登录你的 IdP，然后执行以下操作之一：
找到由你的 IdP 创建的 App。你可能可以跳过此操作中的几个步骤。
导航至创建 App 或连接的位置。
使用以下信息创建 App 或连接：
Apple 商务：AppleBusinessOIDC。
登录方法：OIDC。
App 类型：网页 App。
授权类型：刷新令牌。
登录重定向 URI：https://gsa-ws.apple.com/grandslam/GsService2/acs。
访问：允许特定用户账户访问。
范围访问：需授予对
ssf.manage和ssf.read的访问权限。
保存更改内容。
你稍后需要将此页面上的部分信息粘贴到 Apple 商务中。因此，请先将这些信息拷贝到文本或电子表格文件中。
打开一个新的文本文件或电子表格，然后输入以下来自 IdP 的值：
对于 OIDC 客户端 ID，请粘贴 OIDC 客户端 ID。
对于 OIDC 客户端密码，请粘贴 OIDC 客户端密码。
将文件保存到安全的位置。
第 3 步：使用单个 IdP 用户账户配置并测试联合身份验证
此步骤是为了在你的 IdP 和 Apple 商务之间建立信任关系。
【注】完成这个步骤后，用户将无法在你配置的域上创建新的未受管理（个人）Apple 账户。这可能会影响你的用户访问的其他 Apple 服务。请参阅“转移 Apple 服务”。
在 Apple 商务中，使用有权设置与配置联合验证以及连接至身份提供方（IdP）的用户账户登录。
如需了解更多信息，请参阅“职务和权限简介”。
选择“用户登录和目录同步”旁的“开始使用”。
选择“自定身份提供方”，然后选择“继续”。
为你的联合验证连接输入一个名称。
最多可以使用 128 个字符。
将先前保存在文本文件或电子表格中的客户端 ID 和客户端密码拷贝到 Apple 商务中。
联系你的 IdP 以获取以下两个配置的 URL：
共享信号框架 (SSF)
OpenID Connect 配置 URL
选择“继续”。
如果值有效，你将看到自己的 IdP 登录页面。如果无效，请检查并更正输入的内容，然后再次选择“继续”。
使用 IdP 管理员的用户名和密码登录。
选择“完成”。
第 4 步：开启联合验证
【注】有权限设置与配置联合验证及连接至身份提供方的用户无法使用联合验证登录，只能管理联合验证流程。
在 Apple 商务中，使用有权设置与配置联合验证以及连接至身份提供方（IdP）的用户账户登录。
如需了解更多信息，请参阅“职务和权限简介”。
在“域名”部分中，选择你要联合的域名旁边的“管理”，然后选择“开启‘通过身份提供方登录’”。
开启“通过身份提供方登录”。
如有必要，你可以立即将用户账户同步到 Apple 商务。请参阅“从身份提供方同步用户账户”。