域名登录策略

查看 Markdown

组织持有已验证域名后，就可以为它设置登录策略。该策略在整个平台生效，适用于每个拥有该域名已验证邮箱的账户，而不只影响组织自己的应用。由于组织已经证明对域名的 DNS 控制权，Sudomimus 允许它决定该邮箱命名空间的登录方式。

三种策略

策略	对在该域名下有邮箱的账户的影响
`ALLOW_ALL`	无限制。这是每个已验证域名的默认值（也是「未设置策略」的含义）。
`BLOCK_ALL`	平台范围内拒绝一切登录，不论用什么方法。
`SSO_ONLY`	一切登录都必须走某个指定的外部连接——你的 IdP。其他任何方法（通行密钥、邮箱 OTP、消费级 OAuth、Steam、原生密钥）都被拒绝。

SSO_ONLY 在使用你的 IdP 登录中有完整讲解；本页其余部分聚焦于这三者各自的行为。

强制执行的机制

平台会在登录进入准入判定阶段时检查该策略。它位于应用身份准入规则之前，并具有以下重要特性：

这与账户级停用的处理方式相似。系统先检查账户是否启用，再检查域名登录策略，最后执行第二层身份准入规则。因此，这是一项平台级策略，而不是某个应用的规则。

被该策略拒绝的登录，会以 wire reason EmailDomainBlocked（对应 BLOCK_ALL）、EmailDomainRequiresSso（对应单个但未满足的 SSO_ONLY 外部连接），或 SsoAuthorityConflict（对应多个不同外部连接）被拒。

策略做什么、不做什么

它管控认证，不管控授权。 满足 SSO_ONLY 的登录仍需通过应用的第二层身份准入规则和第三层返回规则。强制 SSO 不会授予访问权限，只会限制用户如何证明身份。
它不会原地撤销已经签发的访问令牌。 已签发的访问令牌会一直有效，直到按 TTL 过期（默认 3 小时）。刷新令牌的再签发不同：Session API /refresh 和 OIDC refresh-token grant 会重新检查当前域名登录策略。BLOCK_ALL、让会话原始登录不再满足的 SSO_ONLY 外部连接变更，或多个不同的 SSO_ONLY 外部连接要求，都会在下一次刷新时被拒绝，而不是让会话继续轮换到完整刷新 TTL。
它不触碰账户的邮箱所有权。 改回 ALLOW_ALL 即可恢复正常访问——账户上没有任何东西被删除。

设置策略

登录策略在 With 门户的已验证域名详情页中设置。只有拥有该域名的组织的唯一 Owner可以修改策略。如果组织有多位 Owner，任何一人都不能单方面改变该域名下所有人的登录方式。