" %}
应用程序配置
{% endembed %}
| 应用程序设置 | 描述 |
| ---------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------- |
| Audience (EntityID) | 将此字段设置为预先生成的 SP 实体 ID。
此自动生成的值可以从组织的设置 → 单点登录界面复制，并且会根据您的设置而有所不同。
|
| Recipient | 将此字段设置为同样也用于 **Audience (Entity ID)** 设置的预先生成的 **SP 实体 ID**。 |
| ACS (Consumer) URL Validator | 尽管被 OneLogin 标记为**必需**，但您实际上并不需要在此字段中输入信息以与 Bitwarden 集成。跳到下一个字段 **ACS (Consumer) URL**。 |
| ACS (Consumer) URL | 将此字段设置为预先生成的断言消费者服务 (ACS) URL。
此自动生成的值可以从组织的设置 → 单点登录界面复制，并且会根据您的设置而有所不同。
|
| SAML initiator | 选择 **Service Provider**。SSO 登录当前不支持 IdP 发起的 SAML 声明。 |
| SAML nameID Format | 将此字段设置您希望用于 SAML 声明的 [SAML NameID 格式](https://docs.oracle.com/cd/E19316-01/820-3886/ggwbz/index.html)。 |
| SAML signature element | 默认，OneLogin 将签名 SAML 响应。您可以将其设置为 **Assertion** 或 **Both**。 |
完成配置设置后，选择 **Save** 按钮。
### 参数
从左侧导航中选择 **Parameters**，然后使用 **🞤Add** 图标创建以下自定义参数：
| 字段名称 | 值 |
| --------- | ---------- |
| email | Email |
| firstname | First Name |
| lastname | Last Name |
完成自定义参数后，选择 **Save** 按钮。
### SSO
从左侧导航中选择 **SSO** 并完成以下操作：
1、选择 X.509 证书下的 **View Details** 链接：
{% embed url="" %}
查看您的证书
{% endembed %}
在证书界面，下载或复制您的 X.509 PEM 证书，因为您[稍后需要使用它](#identity-provider-configuration)。复制后，返回主 SSO 界面。
2、设置您的 **SAML Signature Algorithm**。
3、记下您的 **Issuer URL** 和 **SAML 2.0 Endpoint (HTTP)**。您[很快就需要使用这些值](#identity-provider-configuration)。
### 访问权限
从左侧导航中选择 **Access**。在 **Roles** 部分，为您希望能够使用 Bitwarden 的所有角色分配应用程序访问权限。大多数实现会创建一个专用于 Bitwarden 的角色，而不是选择基于包罗万象（例如，**Default**）或基于预先存在的角色进行分配。
{% embed url="" %}
角色分配
{% endembed %}
## 返回网页 App
至此，您已经在 OneLogin 门户网站中配置好了您所需要的一切。请返回 Bitwarden 网页 App 完成配置。
单点登录界面将配置分为两个部分：
* **SAML 服务提供程序配置**将决定 SAML 请求的格式。
* **SAML 身份提供程序配置**将决定用于 SAML 响应的预期格式。
### 服务提供程序配置
根据在 OneLogin 门户网站[设置期间](#create-a-onelogin-app)所选择的选项配置以下字段：
| 字段 | 描述 |
| ---------------------------------- | ---------------------------------------------------------------------------------------------------------- |
| Name ID Format | 将此字段设置为您[在应用程序配置期间](#configuration)为 OneLogin **SAML nameID Format** 字段选择的内容。 |
| Outbound Signing Algorithm | 用于签名 SAML 请求的算法，默认为 `sha-256`。 |
| Signing Behavior | SAML 请求是否/何时将被签名。默认，OneLogin 不要求对请求进行签名。 |
| Minimum Incoming Signing Algorithm | 将此字段设置为您在[应用程序配置期间](#configuration)为 OneLogin **SAML Signature Algorithm** 字段选择的内容。 |
| Want Assertions Signed | 如果您在[应用程序配置期间](#configuration)将 OneLogin 中的 **SAML signature element** 设置为 **Assertion** 或 **Both**，请选中此框。 |
| Validate Certificates | 通过受信任的 CA 使用来自 IdP 的受信任和有效证书时，请选中此框。除非在 Bitwarden SSO 登录 docker 镜像中配置了适当的信任链，否则自签名证书可能会失败。 |
完成服务提供程序配置部分后，**保存**您的工作。
### 身份提供程序配置
身份提供程序配置通常需要你返回 OneLogin 门户网站以获取应用程序的值：
| 字段 | 描述 |
| ----------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ |
| Entity ID | 输入您的 OneLogin **Issuer URL**，这可以从 [OneLogin 应用 SSO 界面](#sso)获取。 |
| Binding Type | 设置为 **HTTP Post**（如 SAML 2.0Endpoint (HTTP) 中所示）。 |
| Single Sign On Service URL | 输入您的 OneLogin **SAML 2.0 Endpoint (HTTP)**，这可以从 [OneLogin 应用 SSO 界面](#sso)获取。 |
| Single Log Out Service URL | SSO 登录当前还**不支持** SLO。该选项计划用于将来的开发。但是您可以根据需要预先配置它。 |
| X509 Public Certificate | 黏贴获取到的 X.509 证书one，移除 -----BEGIN CERTIFICATE----- 和 -----END CERTIFICATE-----。
证书值区分大小写，多余的空格、回车符和其他多余的字符将导致证书验证失败。
|
| Outbound Signing Algorithm | 选择在 [OneLogin SSO](#sso) 配置界面选择的签名算法。 |
| Disable Outbound Logout Requests | SSO 登录当前还**不支持** SLO。该选项计划未来开发。 |
| Want Authentication Requests Signed | OneLogin 是否要求 SAML 请求被签名。 |
{% hint style="info" %}
填写 X509 证书时，请注意到期日期。必须续签证书，以防止向 SSO 最终用户提供的服务中断。如果证书已过期，管理员和所有者账户将始终可以使用电子邮箱地址和主密码登录。
{% endhint %}
完成身份提供程序配置部分后，**保存**您的工作。
{% hint style="success" %}
您可以通过激活单点登录身份验证策略来要求用户使用 SSO 登录。请注意，这需要先激活单一组织策略。[了解更多](https://help.ppgg.in/docs/admin-console/oversight-visibility/enterprise-policies)。
{% endhint %}
## 测试配置
配置完成后，通过导航到 或 [https://vault.bitwarden.eu](https://vault.bitwarden.eu/)，输入您的电子邮箱地址，选择**继续**，然后选择**使用单点登录**按钮来进行测试：
{% embed url="" %}
登录选项界面
{% endembed %}
输入[已配置的组织标识符](https://help.ppgg.in/docs/admin-console/login-with-sso/generic-saml#step-1-set-an-organization-identifier)，然后选择**登录**。如果您的实施已成功配置，您将被重定向到 OneLogin 的登录界面：
{% embed url="" %}
OneLogin 登录界面
{% endembed %}
使用您的 OneLogin 凭据进行身份验证后，输入您的 Bitwarden 主密码来解密您的密码库！
{% hint style="info" %}
Bitwarden 不支持非请求响应，因此从您的 IdP 发起登录会导致错误。SSO 登录流程必须从 Bitwarden 发起。
{% endhint %}