域名与企业联合登录
Sudomimus 的开发者资源归属于组织。组织拥有应用、扇区、已认领域名、登录策略和外部连接。组织所有者可以验证域名控制权、配置这些域名下的用户如何登录，并接入企业身份提供方。
本节介绍域名认领、域名登录策略和外部连接。满足前置条件后，每项功能都可以单独使用。
| 步骤 | 是什么 | 面向谁 |
|---|---|---|
| 1. 认领域名 | 通过一条 DNS TXT 记录证明你掌控某个域名（example.com）；平台会把它独占地绑定到你的组织。 |
任何拥有域名的组织。 |
| 2. 设置登录策略 | 对邮箱位于该已验证域名下的用户，在平台范围内决定登录是允许、封禁，还是强制走 SSO。 | 想要管控自己域名下用户登录方式的组织。 |
| 3. 接入你的 IdP | 将组织的 OIDC 或 SAML 身份提供方注册为外部连接。你可以在应用中显示「使用……登录」按钮，也可以要求某个域名的用户必须通过它登录。 | 运行自有 IdP（Entra ID、Okta、Google Workspace 等）的公司和社区。 |
每一步都可以独立使用。认领域名可以建立经过验证、归组织所有的域名声明；登录策略只需要已验证域名；企业联合登录则在此基础上接入 IdP。你可以只配置实际需要的功能。
这些功能都归属于组织。组织作为多租户资源容器，拥有应用、扇区、域名和外部连接。账户在 With 门户中创建组织后，会成为该组织的所有者（Owner）。成员角色按 VIEWER < ADMIN < OWNER 排列；本节中的写操作仅限 Owner。部分操作，例如设置登录策略或停用域名联合登录，还要求调用者是组织的唯一 Owner，避免共同所有者单方面改变共享域名下所有人的登录方式。
这些功能都可以在 With 门户中使用，地址为 with.sudomimus.com。
认领域名证明对域名的 DNS 控制权，并把它独占地绑定到你的组织。
域名登录策略对一个已验证域名下的每个用户在平台范围内允许、封禁或强制 SSO。
外部连接把组织的 OIDC 或 SAML 身份提供方注册为一个可复用的外部连接。
配置 OIDC完成 IdP 客户端、固定 callback、外部连接和首次测试登录的配置。
配置 SAML完成 SP 参数、签名 Assertion、外部连接和首次测试登录的配置。
使用你的 IdP 登录在应用上提供你的 IdP，或强制某个域名的用户都走它。