一、核心能力
| 能力 | 说明 |
| SSO 浏览器鉴权登录 | 通过默认浏览器完成企业 IDP 身份验证 |
| 多 Profile 隔离 | 通过 –profile 实现多账号凭证独立存储 |
| 凭证自动刷新 | 临时密钥到期前自动续期，无需人工介入 |
二、二、前提条件
1. 已安装 TCCLI，详情参见 安装 TCCLI。
2. 已获取集团身份管理登录门户访问地址，获取方式：
2.1 集团身份管理员进入集团账号管理 > 集团身份管理。
2.2 在左侧导航栏，单击集团身份管理概览。
2.3 在概览页面的右侧，查看或复制用户登录 URL。
三、3.1 配置 SSO URL
tccli sso configure –url https://tencentcloudsso.com/<your-org>/login
四、3.2 登录
tccli sso login # 默认登录方式tccli sso login –uin <账号ID> –rolename <角色名称> # 指定账号、角色登录
执行后 TCCLI 自动打开浏览器 → 企业 IDP 登录 → 终端选择账号和角色 → 登录完成。
配置 SSO URL 与登录的终端交互如下：
集团身份登录如下示：
五、3.3 验证 & 退出
tccli cvm DescribeInstances # 验证tccli sso logout # 退出
六、4.1 创建独立 Profile
# 非交互式 + Profile 隔离（推荐）tccli sso login –uin 100*******21 –rolename ReadOnlyAccess –profile staging-ro
七、4.2 凭证存储
~/.tccli/├── default.credential # 默认└── staging-ro.credential # staging-ro Profile
注意：说明：
注意：凭证目录固定为 ~/.tccli/，通过 –profile 控制文件名前缀。
八、4.3 使用指定 Profile
# 命令行指定tccli cvm DescribeInstances –profile prod-admin
九、五、凭证自动刷新
SSO 登录后获取的是临时密钥（STS Token），TCCLI 内置自动刷新机制：
| 状态 | 行为 |
| 有效期内 | 直接使用，无需重新登录 |
| 临近到期 | 自动刷新临时密钥（用户无感） |
| SSO Session 过期 | 需重新执行 tccli sso login |
多 Profile 切换时，只要各 Profile 凭证未过期，切换即用，不触发浏览器鉴权。
十、六、命令速查
| 操作 | 命令 |
| 配置 SSO URL | tccli sso configure –url <URL> –rolename <Role> |
| 交互式登录 | tccli sso login |
| 非交互式登录 | tccli sso login –uin <UIN> –rolename <Role> |
| 指定 Profile 登录 | tccli sso login –uin <UIN> –rolename <Role> –profile <name> |
| 使用 Profile 调用 API | tccli <service> <action> –profile <name> |
| 退出登录 | tccli sso logout |
| 查看当前身份 | tccli sts GetCallerIdentity –profile <name> |
十一、七、常见问题
Q：浏览器未自动打开？
手动复制终端输出的 URL 到浏览器打开（常见于远程 SSH 环境）。
Q：–uin / –rolename 值从哪获取？
·UIN：控制台右上角头像 > 账号信息。
·RoleName：集团账号管理 > 身份中心 > 权限配置。
Q：凭证过期后需要重新登录吗？
取决于 SSO Session 状态。Session 未过期则浏览器自动完成鉴权；Session 过期则需重新登录。
Q：多个 Profile 可以同时保持登录态吗？
可以。各 Profile 凭证独立存储、互不覆盖。