用途
一旦团队规模超过少数人，集中式身份管理便不再可选。该技能为初创团队提供 SSO、SCIM 自动开通、MFA 强制与访问治理的可用配置方法，围绕初创团队最常用的三种身份提供商：Google Workspace、Okta 和 Azure AD（Entra ID）。
适用时机
资料列出以下触发场景：
- 首次 SSO 搭建：从各应用独立登录转向集中认证。
- 合规审计准备：SOC 2、ISO 27001 或 HIPAA 要求有文档化的访问控制、MFA 强制和审计日志。
- 团队增长拐点：员工规模跨过 15-20 人，手工入职/离职流程开始频繁出错。
- 供应商安全问卷：客户询问身份治理状况，需要展示控制措施。
- 事件响应：需要为离职或失陷用户在所有系统中快速吊销访问权限。
资料同时给出“已经过晚”的信号：在表格或聊天频道中共享密码；没有集中的“谁在何时访问了什么”的审计日志；离职处理超过一个工作日；开发者对生产环境拥有长期管理员权限。
主要能力
Google Workspace 作为身份提供商
资料说明 Workspace 是初创团队最常见的起点 IdP，配合 GAM CLI 可实现自动化。示例涵盖：安装 GAM 并授权（gam oauth create）、验证连接、创建组织单元（OU）并移动用户、通过 Admin Console 或命令创建自定义 SAML 应用并分配至 OU、启用自动开通、用 CSV 批量创建用户、在域或 OU 级别强制 2 步验证（2SV）、查询强制执行与注册状态、筛出未注册 2SV 的用户。
Okta 配置
资料提到 Okta 为初创团队提供免费层（Okta for Startups 计划，最多 100 用户）。示例涵盖：设置 OKTA_ORG_URL 与 API Token 并验证连通性、创建用户、批量创建用于 RBAC 的组、添加用户到组、创建 SAML 2.0 应用（含 ACS URL、audience、NameID 格式与属性声明）、将组分配给应用、创建要求 WebAuthn 与 TOTP 的 MFA 注册策略（其中邮件与短信被设为不允许）。
Azure AD / Entra ID
资料说明 Azure AD（现 Microsoft Entra ID）常见于使用 Microsoft 365 或 Azure 的团队。示例涵盖：Azure CLI 登录与租户验证、创建用户与安全组、添加成员、列出组成员；通过 Microsoft Graph API 创建条件访问策略，包括“对所有用户要求 MFA”（初始状态为仅报告不强制，并排除破窗组）以及“阻止旧式身份验证”（关键安全措施）。
SSO 集成模式
资料给出 SAML 与 OIDC 的对比表，维度包括适用对象、令牌格式、搭建复杂度、登出与选择原则。经验法则为：若 SaaS 供应商支持 OIDC 则优先 OIDC；仅支持 SAML 时使用 SAML；绝不要使用 LDAP-over-internet。另附 Slack、GitHub Organization（SAML 需 GitHub Enterprise Cloud）、AWS IAM Identity Center（权限集、附加托管策略、账户分配）的集成命令示例。
SCIM 自动开通
资料以标准 SCIM 2.0 端点为例，展示列出用户、创建用户、通过 PATCH 停用用户、永久删除用户，以及创建组、向组添加成员的操作格式。
MFA 强制
资料指出 WebAuthn（FIDO2）硬件密钥与通行密钥可抗钓鱼，应作为主要 MFA 因素。示例包括在 Okta 强制 WebAuthn、在 Workspace 仅允许安全密钥（禁用短信/语音）、在 Azure AD 通过条件访问要求抗钓鱼 MFA。
使用方式
资料内容以命令行与 REST API 调用为主（GAM、Okta API、Azure CLI、Microsoft Graph、SCIM 2.0），需要在各身份提供商侧完成授权并配置相应环境变量与令牌。具体部署与执行细节需按所在组织环境调整。
适用场景
首次 SSO 搭建、合规审计准备、团队扩张期的入职/离职自动化、供应商安全问卷应答、跨系统快速吊销访问权限，以及开发者在生产环境的管理员权限治理。
限制
资料未提供关于定价（除 Okta 免费层说明外）、平台兼容性范围、性能或效果的量化数据。部分命令为示例性质，实际可用性取决于服务商接口与账户权限。GitHub SAML SSO 明确要求 GitHub Enterprise Cloud。使用前请以各身份提供商的官方文档为准。