用途
该技能用于管理 MEO（Multi-site Enterprise Operations，多站点企业运营）订阅的联合身份认证，帮助客户配置基于 SAML 的单点登录（SSO）。仅适用于 MEO 订阅。相关命令为开发稳定性（development-stability）命令，可能在不通知的情况下变更。
适用场景包括：为 MEO 订阅设置联合 SSO（SAML）；管理 SSO 域（添加、验证、删除）；配置身份提供商（IdP）及其 SSO 策略；启用或禁用 SSO 强制登录。
所有命令均使用 acli api:v3:*。可通过 acli list api:v3:identity-providers 和 acli list api:v3:sso-domains 查看当前所有命令。
主要能力
SSO 域
SSO 域是纳入联合登录的邮箱域（例如 example.com 表示所有 @example.com 用户被重定向到 IdP）。
- 列出所有可访问的 SSO 域：
acli api:v3:sso-domains:list - 获取指定域详情：
acli api:v3:sso-domains:find <domainId> - 列出某订阅的 SSO 域：
acli api:v3:subscriptions:list-sso-domains <subscriptionId> - 为订阅创建（注册）新的 SSO 域：
acli api:v3:subscriptions:create-sso-domain <subscriptionId>
验证域所有权：在强制 SSO 前，需通过 DNS TXT 记录证明域所有权：acli api:v3:sso-domains:verify <domainId>。该命令返回需添加到 DNS 的 TXT 记录值，DNS 传播后再次运行以确认验证。
删除 SSO 域：破坏性操作，需明确批准。会从 SSO 注册中移除该域，该邮箱域的用户将失去 SSO 访问。执行前需与用户确认：acli api:v3:sso-domains:delete <domainId>。
身份提供商（IdP）
身份提供商是认证用户的 SAML 端点（例如 Okta、Azure AD、ADFS）。
- 列出所有可访问的身份提供商：
acli api:v3:identity-providers:list - 获取指定 IdP 详情：
acli api:v3:identity-providers:find <identityProviderId> - 列出某订阅的身份提供商：
acli api:v3:subscriptions:list-identity-providers <subscriptionId> - 为订阅创建身份提供商：
acli api:v3:subscriptions:create-identity-provider <subscriptionId>
更新身份提供商：
acli api:v3:identity-providers:update <identityProviderId> \
--label="My Okta IdP" \
--sso_url="https://myorg.okta.com/app/sso/saml" \
--idp_entity_id="https://myorg.okta.com" \
--certificate="<x509-cert-contents>"
删除身份提供商：破坏性操作，需明确批准。会永久移除该身份提供商，任何引用它的 SSO 策略将停止工作。执行前需与用户确认：acli api:v3:identity-providers:delete <identityProviderId>。
SSO 策略
SSO 策略将一个身份提供商与一个或多个已验证域关联，以强制联合登录。
- 获取 IdP 的 SSO 策略：
acli api:v3:identity-providers:find-sso-policy <identityProviderId> - 创建策略（需要已验证的域 ID）：
acli api:v3:identity-providers:create-sso-policy <identityProviderId> <domain_ids> - 更新策略中的域：
acli api:v3:identity-providers:update-sso-policy <identityProviderId> <domain_ids>
domain_ids 是以空格分隔的已验证 SSO 域 UUID 列表。
启用或禁用 SSO 策略：
- 启用（开始对配置的域强制 SSO）：
acli api:v3:identity-providers:enable-sso-policy <identityProviderId> - 禁用（暂停 SSO 强制，用户可使用密码登录）：
acli api:v3:identity-providers:disable-sso-policy <identityProviderId>
删除 SSO 策略：破坏性操作，需明确批准。移除 SSO 策略会禁用所有关联域的联合登录强制。执行前需与用户确认：acli api:v3:identity-providers:delete-sso-policy <identityProviderId>。
使用方式
典型工作流：为订阅端到端设置 SSO
# 1. 注册邮箱域
acli api:v3:subscriptions:create-sso-domain <subscriptionId>
# 返回 domainId
# 2. 通过 DNS TXT 记录验证域所有权
acli api:v3:sso-domains:verify <domainId>
# 按 DNS 指示操作，DNS 传播后再次运行
# 3. 创建身份提供商（你的 SAML IdP）
acli api:v3:subscriptions:create-identity-provider <subscriptionId>
# 按提示填写证书、SSO URL、实体 ID
# 4. 创建 SSO 策略，将 IdP 与已验证域关联
acli api:v3:identity-providers:create-sso-policy <identityProviderId> <domainId>
# 5. 启用策略
acli api:v3:identity-providers:enable-sso-policy <identityProviderId>
临时禁用 SSO（用于紧急访问）
acli api:v3:identity-providers:disable-sso-policy <identityProviderId>
# ... 解决 IdP 问题 ...
acli api:v3:identity-providers:enable-sso-policy <identityProviderId>
发现更多命令
acli list api:v3:sso-domains
acli list api:v3:identity-providers
acli list api:v3:subscriptions
acli api:v3:identity-providers:create-sso-policy --help
适用场景
适用于 MEO 订阅客户配置企业级 SAML 单点登录，包括新订阅的 SSO 端到端设置、域管理、IdP 配置、策略启停以及紧急情况下的临时禁用。
限制
仅适用于 MEO 订阅。相关命令为开发稳定性命令，可能在不通知的情况下变更。删除域、删除身份提供商、删除 SSO 策略均为破坏性操作，需明确批准。创建 SSO 策略需要已验证的域 ID。