用途：为 B2B 多租户 SaaS 增加企业级认证能力，包括按租户配置的 SAML 2.0/OIDC SSO、SCIM 2.0 用户开通与停用、自定义域名、IP 白名单和审计日志 API，并把企业认证能力按套餐门控。
主要能力：按租户的 IdP 配置表（协议、SAML 元数据/证书/属性映射、OIDC issuer 与密钥、SCIM 开关与组映射、域名验证）；SAML SP 端点（metadata、ACS、SP 发起登录、SLO/SLS）；SCIM 2.0 的 /Users、/Groups、/ServiceProviderConfig 等端点与 PATCH 语义；自定义域名的 CNAME 验证与 Let's Encrypt/ACM/cert-manager 自动证书；租户 IP 白名单在边缘执行；游标分页的审计日志拉取 API；邮箱密码到 IdP 强制登录的迁移方案。
必要用法：先做建 vs 买决策（WorkOS、Ory、Auth0 Enterprise、Clerk、Frontegg 等），再按步骤设计租户 IdP 模型、实现 SAML、SCIM、自定义域名、白名单与审计日志。SAML 须校验签名、Audience、Recipient、NotBefore/NotOnOrAfter、InResponseTo 与重放；SCIM 为由 IdP 推送，需实现接收端点并用 Bearer token 认证；白名单须在边缘网关/WAF 执行。推荐库：python3-saml、passport-saml/samlify、crewjam/saml、onelogin/php-saml。
适用场景：企业客户要求 SSO/SCIM、按租户自带 IdP、自定义登录域名、SIEM 拉取审计日志、IP 白名单等。
限制：不用于面向租户管理员的认证界面（另用 dual-auth-rbac）、内部员工认证或作为 OAuth 客户端调用第三方 API。文中未提供具体价格、免费额度或性能指标。