用途：为 CockroachDB 配置单点登录（SSO）与 SCIM 2.0 用户自动开通，覆盖四个相互独立的层，配置前需先确认需要哪些层。
主要能力与分层：一、Cloud Console SSO，支持 SAML 或 OIDC，面向 CockroachDB Cloud 网页控制台。二、DB Console SSO，仅对 DB Console 网页界面使用 OIDC。三、SQL/集群 SSO，支持基于 JWT 的 SQL 客户端认证，或 LDAP/AD 目录认证。四、SCIM 2.0，用于 Cloud Console 的自动化用户开通。
前置条件：Console SSO/SCIM 需组织管理员与 ccloud CLI；DB Console/SQL SSO 需集群管理员角色及 Advanced 或 Enterprise 套餐（DB Console SSO 不支持 Standard/Basic）；LDAP/AD 仅限自托管，Cloud 不可用；SCIM 2.0 需 Enterprise 套餐。
用法要点：Cloud Console 在 Organization Settings > Authentication 选择 SAML 或 OIDC 并配置 IdP 元数据、ACS URL、Entity ID、重定向 URI 与属性映射，测试后可启用 Require SSO 禁用密码登录。DB Console 通过集群设置 server.oidc_authentication.enabled、provider_url、client_id、client_secret、claim_json_key、principal_regex 启用 OIDC。SQL/JWT 通过 server.jwt_authentication.enabled、issuers.configuration、jwks_auto_fetch.enabled、claim 配置，并用 server.identity_map.configuration 映射用户名，可选 security.provisioning.jwt.enabled 自动开通。LDAP 通过 HBA 规则配置，需注意 HBA 首个匹配生效，务必限定用户或角色，避免 host all all all ldap 锁死管理员；生产应使用 636 端口 LDAPS 并配置自定义 CA，组到角色映射用 ldapgrouplistfilter，角色需预先存在。SCIM 在 Cloud Console 启用端点，将 base URL 与 Bearer token 填入 IdP，配置创建、更新、停用用户。
限制与注意：各层配置彼此独立，DB Console SSO 不管 SQL 客户端；LDAP 不支持 Cloud；启用 SSO 前须准备 break-glass 管理员账户以便 IdP 故障时恢复；正则使用 Go 语法，不支持前后瞻；LDAP 不支持 ldaptls=1，应使用 636 端口。官方资料未提供定价等额外信息。