美洽工作台可在支持前提下对接公司SSO，使客服用企业账号直接登录。先完成元数据与字段映射，再小范围灰度。登录循环多因回调地址或证书配置错误；新员工进不去时检查是否已同步到美洽侧角色与技能组。
公司已有统一账号中心时，再给每位客服单独开一套美洽密码，入职慢、离职也容易漏关。下文按对接清单加灰度上线来写：先理清SSO与普通密码、二次验证的关系，再准备协议与字段映射，开通时先小范围试登录，离职关停走账号中心，最后排查跳转循环与新员工进不去两类问题。
SSO和普通密码登录、二次验证的关系：统一入口 vs 额外校验
SSO解决的是「用哪套账号进系统」：客服点登录后跳到公司身份源，认证成功再回到美洽工作台。普通密码是美洽侧本地账密；二次验证是在已确认身份后再多一道动态码或硬件校验。三者可以组合：SSO负责统一入口，二次验证仍可按安全策略保留。不要以为开了SSO就自动等于关掉所有额外校验，也不要在未完成映射前强行关闭本地密码，否则灰度失败会全员进不去。
- 安全策略文档写清：哪些角色必须SSO、是否允许本地密码作紧急通道、二次验证对SSO会话是否仍强制。
- 紧急通道账号数量严控并审计，仅留给值班管理员，平时坐席只走公司账号，避免双轨长期并存失控。
- 培训材料分开画「日常登录路径」和「SSO故障时的应急路径」，减少故障当天口头指挥混乱。
对接前准备（以当前版本和官方集成文档为准）
动手前向身份源管理员要齐协议类型、元数据文件或发现地址、以及测试账号。美洽侧确认租户已开通SSO相关能力，并预留回调地址、实体标识等配置位。网络要允许工作台域名与身份源互相访问，证书在有效期内。对接窗口选业务低峰，并准备好回滚到本地密码的开关。细节与菜单以当前版本为准，本文只列清单骨架。
- 准备清单打印成表：协议类型、元数据、测试账号、回调地址、证书有效期、回滚负责人，缺一项不开工。
- 测试账号至少两名：一名普通坐席、一名组长，分别验证技能组与后台权限是否映射正确。
- 变更窗口写进运维日历，身份源与美洽两侧各留一人在线值守，避免改一半找不到对接人。
协议类型与元数据交换
常见是基于断言的企业协议或开放授权类协议，具体以贵司身份源与美洽支持列表交集为准。交换元数据时核对实体标识、单点登录与登出地址、证书指纹。回调地址必须与美洽后台填写完全一致，多一个斜杠都会导致循环。测试环境与生产环境用不同应用注册，禁止共用一套回调，以免测着测着打到生产。
- 元数据导入后立刻做一次「发起登录→跳转身份源→回跳工作台」的空跑，不配业务权限也能先验证跳转链。
- 证书轮换日程提前三十天进日历，轮换当天先双证并行再切主，避免证书过期集体无法登录。
- 登出行为要事先约定：只退美洽还是连身份源一并退出，客服共用电脑时尤其重要，并在值班群同步结果。
账号字段映射：工号、邮箱、部门
把身份源里的唯一键映射到美洽用户标识，常用工号或企业邮箱。部门、技能组、角色可用属性断言或目录组同步。映射错了会出现「能登录但看不到队列」或「进错技能组」。先在表里画好「身份源字段 → 美洽字段 → 示例值」，双方确认后再写入配置。同步是即时还是定时，决定新员工多久能进工作台。
- 唯一键选定后不要轻易改动，历史会话与绩效常按该键关联，改键几乎等于换人，写入当日事故或变更单。
- 角色默认只给最小接待权限，再由组长在美洽内加技能组，避免目录组过大导致权限过宽。
- 部门更名时务必同步改映射表，否则报表按旧部门聚合会空洞，看起来像人丢了，完成后由复核人勾选确认。
开通与灰度：先小范围坐席试登录
不要首日全员切SSO。选一个班次或一个技能组，打开SSO入口，保留本地密码应急。灰度名单里的人按真实上班流程：上班登录、接待、下班登出、隔日再登。收集失败截图与时间点，修好再扩大。全员切换日安排在周一或业务低峰，并在工作台公告写清「从今天起用公司账号登录」与求助渠道。界面开关名称以实际界面为准。
- 灰度验收清单含：能进工作台、技能组正确、历史会话仍可查、移动端若有则同样可登、登出无残留会话。
- 灰度期每日站会五分钟同步失败率，连续两天零失败再扩下一组，失败率反弹就暂停扩面。
- 全员切换当天保留两名管理员值守本地密码通道，直到连续度过一个高峰时段仍平稳，避免下一班接力时丢信息。
离职关停：在公司账号中心禁用即可同步失效
SSO的价值之一是离职收敛：在公司账号中心禁用后，按同步策略，对方应无法再进美洽。仍须确认美洽侧会话被强制下线、API令牌失效、以及是否残留本地密码通道。若同步有延迟，关键岗位可同时在美洽手动停用。审计定期抽查「公司已关、美洽仍可登」的漏洞账号。同步时效以实际同步为准，不要假设秒级。
- 离职清单增加美洽检查项：身份源已禁用、美洽状态已停用、活动会话已踢、本地密码已关或轮换。
- 外包与临时工账号应设到期日，到期自动停用，这比靠人工记离职日期更稳，必要时附上截图备查。
- 每月比对身份源在职名单与美洽可登录名单，差异一旦超过阈值就触发安全复核，再关闭相关工单或任务。
回滚预案：灰度失败时如何退回本地密码
灰度若出现大面积无法登录，应能在短时间内关闭强制SSO并恢复本地密码通道。回滚不是丢人，是保护接待产能。预案写明谁有权关开关、如何通知全员改回账密登录、如何事后保留日志给身份源排查。回滚后不要立刻再切，先定位根因再开第二轮灰度。
- 回滚演练在正式灰度前做一次：故意用错误回调触发失败，走关闭强制SSO流程并计时。
- 通知模板提前写好，包含登录方式变更说明与管理员联系人，避免故障时现编造成谣言，同时更新内部操作备忘。
- 回滚当日暂停扩面与证书轮换等并行变更，先让登录恢复稳定，再另行安排其他改动，防止同类问题反复出现。
常见问题
跳转回登录页循环
问：点SSO后跳到公司登录页，输完密码又回到美洽登录页再跳出去，怎么办？答：优先查回调地址是否与身份源注册完全一致，其次查时钟偏差、证书与断言受众字段。清除浏览器旧会话后再试，排除本地残留。两侧日志按同一时间戳对照，能快速定位是美洽拒断言还是身份源没把人送回来。修好前让灰度用户改走应急本地通道，避免全员堵在循环里。
- 排查时固定一人改配置、一人专门做登录复现，避免两人同时改回调地址互相覆盖，并告知相关渠道负责人。
- 把成功与失败的断言样例（脱敏后）存进事故单，方便厂商或身份源同事远程协助，随后抽查是否仍然生效。
- 循环问题未关闭前不要扩面灰度，更不要关闭本地密码通道，否则只会放大事故面，把结论记进周复盘表格。
新员工有公司账号但进不了美洽
问：人事说账号开通了，本人也能进其他系统，唯独美洽进不去或进去无技能组，怎么办？答：查该账号是否已同步到美洽用户列表、唯一键是否一致、是否被赋予接待角色与技能组。目录里有人不等于美洽侧有授权。同步延迟时手动触发同步或临时邀请。入职清单应把「美洽角色与技能组」写成独立勾选项，而不是假设「有公司账号就能接待」。
- 入职当日开通路径写成：身份源开户 → 同步到美洽 → 加技能组 → 试用登录 → 组长确认可见队列。
- 若映射用邮箱而人事只开了工号登录，两边对不上时，需统一唯一键或做别名映射，确认无误后再通知全员。
- 试用登录失败时要同时抓身份源与美洽日志，避免只在客服群里反复让新人「再试一次」。
在美洽开通SSO，关键是分清统一入口与本地密码、二次验证的关系，按清单完成元数据与字段映射，灰度验证后再全员切换，离职走账号中心并复核美洽侧停用。循环跳转与新员工无权限，是上线后最高频的两张工单。
建议把对接表、灰度验收、离职四连检查固化成模板。公司账号进得去、权限对、走得干净，美洽工作台的单点登录才算真正落地。