iOA 零信任安全管理系统 方案2：OAuth2 认证（iOA SaaS 飞书）

一、1. 登录效果

二、2.1 配置飞书信息

1. 如你是首次使用，未创建企业自建应用：

2. 如你未开通飞书开发者账号：

2.1 请先前往飞书开放平台，创建一个开发者账号。

2.2 在开发者后台，选择企业自建应用，单击创建企业自建应用。

2.3 应用名称示例：腾讯 iOA ，应用描述：xxxx（任意说明） 。

三、2.2 获取 App ID 和 App Secret

1. 在企业自建应用页面，单击刚才创建的自建应用，进入应用详情页面。

2. 在凭证与基础信息页面，选择应用凭证，获取 App ID 和 App Secret。其中：飞书的 App ID 对应 iOA 控制台上的 App ID，飞书的 App Secret 对应 iOA 控制台上的 App Secret。

四、2.3 配置重定向 URL

1. 在凭证与基础信息页面，单击安全设置。

2. 在重定向 URL 页面，输入 iOA 重定向地址：https://scs.gateway.tencent.com/akpage/sso/redirect。

3. 单击添加，即可添加到重定向 URL 列表中。

注意：OAuth 2.0 认证方案的飞书认证准备步骤中，其他步骤都与飞书认证方案一样，唯有重定向 URL 与飞书认证方案的重定向 URL 不同。

五、2.4 配置权限管理

注意：说明：

注意：飞书权限管理支持批量导入权限和手动开通权限，推荐批量导入权限。

六、2.4.1 批量导入权限

1. 在 权限管理 页面，单击批量导入/导出权限。

2. 在批量导入/导出权限弹窗中，输入如下 JSON，单击下一步，确认新增权限。

{ "scopes": { "tenant": [ "contact:contact.base:readonly", "contact:department.base:readonly", "contact:department.organize:readonly", "contact:group:readonly", "contact:user.base:readonly", "contact:user.department:readonly", "contact:user.email:readonly", "contact:user.employee_id:readonly", "contact:user.id:readonly", "contact:user.phone:readonly", "corehr:department.organize:read", "tenant:tenant:readonly" ], "user": [ "contact:contact.base:readonly", "contact:department.base:readonly", "contact:department.organize:readonly", "contact:user.base:readonly", "contact:user.department:readonly", "contact:user.department_path:readonly", "contact:user.email:readonly", "contact:user.employee_id:readonly", "contact:user.id:readonly", "contact:user.phone:readonly" ] }}

3. 在确认导入权限弹窗中，单击申请开通。

七、2.4.2 手动开通权限

1. 在权限管理页面，单击开通权限，选择该应用所需的权限，建议优先使用英文版查询：

2. 选中目标权限后，单击操作列中的确认开通权限，即可为该应用选中所需权限。

注意：说明：

注意：配置权限后，需要重新发布应用才能生效。

八、2.5 发布应用

1. 在权限管理页面，单击版本管理与发布。

2. 在版本管理与发布页面，单击右上角的创建版本。

3. 在版本详情页面，填写应用版本号（格式如 1.0.0）和更新说明，设置可用性状态，单击保存。

注意：可用范围：选择所有员工。

4. 保存完成后，单击申请线上发布。

注意：说明：

九、2.6 应用审核（如无需审核，请跳过）

1. 在 应用审核页面，选择目标应用，单击审核。

2. 在审核详情页面，单击通过。

十、2.7 开启飞书移动应用登录功能（选配）

1. 登录 飞书开放平台，选择企业自建应用，并单击需要开启移动登录功能的自建应用。

2. 在应用详情页面，单击添加应用能力 > 按能力添加。

3. 找到移动应用登录，单击添加。

4. 在移动应用登录页面，配置相关参数，单击保存。

十一、2.8 开启邮箱/手机号账号身份关联功能（选配）

注意：说明：

注意：如果需要开启手机验证码或邮箱验证码作为二次认证/挑战认证的实例，则建议从飞书同步字段时，开通手机号或邮箱的同步权限。在 iOA 控制台添加短信验证码或邮箱验证码时，将通过飞书同步过来的手机号/邮箱作为字段映射和身份认证的依据。

1. 登录 飞书开放平台，选择企业自建应用，并单击目标自建应用。

2. 在应用详情页面，单击权限管理，下滑至权限配置。

3. 在权限配置模块，分别开启以下两个功能：

·开启手机号账号身份关联功能：搜索获取用户手机号，单击开通权限。

·开启邮箱账号身份关联功能：搜索获取用户邮箱信息，单击开通权限。

4. 配置上述权限后，需要重新 发布应用版本 才能生效。

十二、3.1 新建目录

1. 登录 iOA 零信任管理平台控制台，在左侧导览中，单击员工与身份管理 > 组织架构管理。

2. 在组织架构管理页面，单击新增组织架构。

3. 在新增组织架构页面，导入类型选择飞书，单击下一步。

4. 在新增目录页面，输入 App ID 、 App Secret 等参数。

5. 单击测试连通性，测试通过后单击下一步并保存。

十三、3.2 配置认证源

1. 登录 iOA 零信任管理平台控制台，在左侧导览中，单击身份安全管控 > 认证源配置。

2. 在认证源配置页面，单击新增认证源实例。

3. 在新增认证源实例页面，类型选择 OAuth2。

3.1 获取 code ：

·请求地址：https://open.feishu.cn/open-apis/authen/v1/index 。

·请求体格式：无请求体。

·请求参数：请求 URL 参数。

3.2 获取 access token：

·请求地址：open.feishu.cn/open-apis/auth/v3/tenant_access_token/internal。

·请求体格式：JSON。

·请求 Body 参数配置如图。

·Response 错误路径：msg。

·Access token 路径：tenant_access_token。

3.3 获取用户信息 ：

·请求地址：https://open.feishu.cn/open-apis/authen/v1/access_token。

·请求头配置 ：

·请求体配置 ：

·response 错误路径：msg。

·用户 ID 路径：data.user_id。

·用户头像路径：选填/自定义。

4.配置完成单击保存。