单点登录（SSO）

SSO 设置和使用

---

危险

本指南适用于系统管理员。如果你缺乏必要的技术专业知识，请联系你的 IT 部门寻求帮助。

概述

Prevu3D Cloud Platform 通过行业标准协议支持安全的单点登录（SSO）：

• SAML 2.0 – 用于身份验证和用户登录。

• SCIM 2.0 – 用于自动用户和组配置。

支持的身份提供商

任何完全支持 SAML 2.0 和/或 SCIM 2.0 协议的身份提供商都应与 Prevu3D 兼容，包括 Okta、Google Workspace、OneLogin、Ping Identity 等。Prevu3D 的实现遵循官方 SAML 2.0 和 SCIM 2.0 规范，确保与现代身份系统的广泛兼容性。

我们已彻底测试了与以下系统的集成：

• Microsoft Entra ID（原 Azure Active Directory）

• JumpCloud（英文）

注意

• 每个 Prevu3D 组织一次仅支持与一个身份提供商的一个连接。

• SSO 功能包含在 Enterprise 订阅中。请联系 sales@prevu3d.com 为你的组织启用它。

SAML 2.0 – 身份验证设置

前提条件

要使用 Prevu3D 配置基于 SAML 的 SSO，你将需要：

• 对你 Prevu3D 组织的管理员访问权限。

• 对你 IdP 的访问权限，并有权限配置应用程序。

步骤

1. 登录你的 Prevu3D 账户（使用你的电子邮件地址和密码）

2. 转到设置选项卡

3. 从左侧菜单中选择 SSO 选项卡

无法访问 “SSO” 选项卡？

1. 如果它缺失，则你不是组织管理员。

2. 如果它呈灰色，则你的组织尚未订阅 SSO 功能。

4. 从 SSO 选项卡复制以下值并将它们粘贴到你的 IdP 配置中：

   • Service Provider Endpoint

   • Service Provider Entity ID

5. 从你的 IdP 检索以下内容并在 Prevu3D SSO 选项卡上输入它们：

   • SAML Certificate (PEM format)

   • SAML Endpoint URL

6. 如果未启用 SCIM，请定义以下 SAML 属性映射：

   1. 名字

   2. 姓氏

   3. 角色（可选 – 请参阅下面的角色映射）

      

警告

当启用并配置 SCIM 配置时，这些属性是可选的。SCIM 会自动管理用户详情。

7. 点击页面底部的 Save。

8. 从你的 IdP 执行测试登录以验证配置。

角色映射（可选）

你可以通过自定义 SAML 属性（例如 Prevu3DRole）分配 Prevu3D 组织级角色：

• Admin – 公司范围内的完全权限

• Guest – 无默认访问权限（必须在项目级别授予）

如果未提供角色属性，则应用默认角色。出于安全原因，我们建议将此设置为 Guest。

警告

如果启用了 SCIM，则角色分配应改为通过 SCIM 处理。

组映射（可选）

也可以将你 IdP 系统中的组映射到 Prevu3D 组，以简化你组织中人员的访问管理。以下步骤指导你完成组映射。

• 配置你的 IdP 通过 SAML 属性传递组成员身份。

• 在 Prevu3D SSO 选项卡上输入此属性。

• 在 Prevu3D 的 “Groups” 部分，点击 “Edit group” 并指定你 IdP 期望的 SAML 组值。

• 此映射在用户登录 Prevu3D Cloud 时应用于用户。如果用户已登录，他们应注销并重新登录以使访问更改生效。

注意

• 组映射在登录时应用。用户必须注销并重新登录以应用更新的访问权限。

• 确保该组被授予一些访问权限；有关更多信息，请参阅组部分。

警告

• 如果启用了 SCIM，则组创建和成员身份分配应改为通过 SCIM 处理。

SCIM 2.0 – 配置设置

Prevu3D 通过 **SCIM 2.0 协议（跨域身份管理系统）**支持用户和组配置。

前提条件

• 你的组织必须使用 Enterprise 计划。

• 你的 IdP 必须支持 SCIM（例如 Azure AD/Entra、Okta、JumpCloud）。

SCIM 启用的功能

• 用户配置 – 新用户会自动在 Prevu3D 中创建

• 用户取消配置 – 当用户在你的 IdP 中被禁用时，他们会被禁用或移除

• 组分配 – 组和角色可以从你的 IdP 集中管理

设置指南

1. 以组织管理员身份登录你的 Prevu3D 账户。

2. 转到设置选项卡

3. 从左侧菜单中选择 SSO 选项卡

4. 滚动到 SCIM Provisioning 部分并启用它。

   

5. 你将找到：

   • SCIM Base URL（Entra ID 用户，请参阅下面的警告）

   • Bearer Token

注意

出于安全或凭据轮换的需要，你也可以在需要时轮换 bearer token。

警告

使用 Entra ID (Azure AD) 配置 SCIM 时，你必须在 Prevu3D 提供的 SCIM Base URL 末尾追加 ?aadOptscim062020。

6. 在你的身份提供商（例如 Microsoft Entra ID）中：

   • 打开 Prevu3D 企业应用程序。

   • 启用 SCIM provisioning。

   • 输入从 SSO 选项卡获取的 SCIM Base URL 和 Bearer Token。

7. 为以下内容配置属性映射：

   • userName、givenName、familyName、email

   • 可选：groups、roles、active

8. 保存你的配置

   你的 IdP 现在将根据配置计划自动将用户和组与 Prevu3D 同步。

定义

• IdP，身份提供商：指注册所有用户并支持连接到各种其他服务的系统。这是你组织、用户和组的真实来源。例如：Azure AD、JumpCloud……

• SP，服务提供商：指消费 SSO 信息的服务应用程序，在本例中为 Prevu3D Cloud。

• SSO，单点登录：指一种机制，允许用户从单个门户获取其凭据，并跨多个应用程序分发用户管理配置。

• SAML，安全断言标记语言：一种行业范围的协议，支持跨多个基于云的平台使用 SSO。

• SCIM，跨域身份管理系统：用于配置用户和组的协议。