IDS Platform Ops Docs main platform-auth-and-access-governance.md

平台级认证与接入治理

文档目标

本文档用于说明平台当前支持的认证、授权和接入能力，帮助平台管理员、实施支持和集成方先判断“平台能不能接”“现在支持到哪一步”“当前问题该去平台页还是租户页”。

适用角色

  • 系统管理员
  • 平台运营
  • 实施支持
  • 集成负责人

适用场景

  • 新系统接入前的能力与边界确认
  • 平台认证策略调整
  • 联邦、SAML、SCIM 的平台侧准入判断
  • 登录链路异常后的第一轮协议分流

覆盖范围 / 不覆盖范围

覆盖：

  • 平台当前支持的认证与授权能力总览
  • 平台级协议边界与当前版本限制
  • 联调前应该先确认的平台侧入口和治理视图
  • 何时需要转到租户配置或平台接入参考

不覆盖：

  • 具体业务系统的 SDK、代码接入步骤
  • 单租户应用的逐字段配置操作
  • 业务侧权限设计和组织制度

核心入口与系统落点

  • 系统后台：Federation、Tenants、Tokens、Authorizations
  • 租户配置与治理视图：Branding Preview、SCIM Governance
  • 应用侧 SAML 治理入口：应用编辑页 SAML Certificate Governance
  • 运维接口：GET /api/system/ops_summary、GET /api/system/ops_health_detail
  • 参考文档：平台接入与联调参考、IDS MCP 运维入口

建议处理顺序

  1. 先确认接入需求属于哪类能力：OAuth2 / OIDC、外部 OIDC 联邦、SAML 或 SCIM。
  2. 再确认该能力是否在当前平台正式范围内，以及是否存在已知限制。
  3. 用健康检查和平台摘要确认当前不是基础健康故障，再进入具体治理页。
  4. 如果问题只落在单租户或单应用的参数维护，转到对应租户公开文档或平台接入参考。
  5. 如涉及平台登录链路失败、高风险认证异常或多租户影响，再联动安全与排障专题处理。

常见判断原则

  • 当前平台已支持 OAuth2 / OIDC 主链路、Token Introspection / Revocation、Client Credentials、Refresh Token，Device Code Flow 与 Password Grant 也已具备受控基线。
  • 外部身份源联邦当前以外部 OIDC 为主，已具备租户级治理页、登录页展示控制、JIT 建档与绑定主链路。
  • SAML 已支持 metadata、SP-initiated、IdP-initiated、签名证书治理和轮换；SLO、断言加密和更完整兼容矩阵不在当前正式范围。
  • SCIM 已支持 Users / Groups 端点、租户级 Bearer Token、过滤、PATCH、失败分类与治理视图；更大规模同步编排仍是后续增强方向。
  • 如果问题只影响某个租户的联邦、品牌、SCIM 或应用参数，应转到租户文档；如果问题出在平台支持边界、协议健康或多租户共用能力，则留在平台侧处理。

关联文档