您可以在联合身份验证实例中配置高级选项， 以便更好地控制联邦用户和身份验证流程。
必需的访问权限
如需管理联合身份验证，必须拥有 Organization Owner 访问权限，能够访问一个或多个将联合设置委托给实例的组织。
联合管理控制台
您可以通过 Federation Management Console 管理联合身份验证。
要打开Federation Management Console ：
在Atlas中，转到您组织的 Federation Management 控制台。
如果尚未显示，组织从导航栏中的Organizations菜单。
在侧边栏中，单击 Identity & Access 标题下的 Federation。
单击 Open Federation Management App（连接）。
The Federation page displays.
为组织指定默认用户角色
您可以配置 Atlas，为每个通过 IdP 进行身份验证的用户自动提供映射组织中的默认角色。您可以为不同的组织选择不同的角色。
注意
所选角色仅适用于通过 IdP 进行身份验证的用户，前提是他们在组织中还没有角色。
转到 Linked Organizations（快速入门）页面。
在Atlas中，转到您组织的 Federation Management 控制台。
如果尚未显示，组织从导航栏中的Organizations菜单。
在侧边栏中，单击 Identity & Access 标题下的 Federation。
单击 Open Federation Management App（连接）。
The Federation page displays.
在侧边栏中，单击 Organizations。
邀请联合用户
当满足以下两个条件时，Atlas 会将受邀的联合用户直接添加为组织和项目的活跃节点：
被邀请用户的电子邮件地址属于已验证的域，该域已映射到活跃的 身份提供程序 配置。
组织通过相同的 身份提供程序 配置连接到您的联合。
这些用户不会收到邀请，也无需接受邀请。要了解有关用户体验的更多信息，请参阅 邀请联合用户。
不符合这些条件的用户将继续收到标准邀请。例如，如果您的组织将 acme.org 映射到其 身份提供程序 配置，并邀请用户，该用户的电子邮件域名未映射到该配置（例如 gmail.com），Atlas 会向该用户发送邀请。
按域限制对组织的访问
您可以指定已批准的域列表，防止域外用户访问组织。使用此列表，可为组织定义已批准的域列表，而无需将这些域直接映射到 IdP。
重要
Considerations
启用Restrict Access by Domain选项后：
您只能邀请电子邮件地址在已批准的域列表中的新用户加入组织。
组织中已存在的用户，如果用户名不包含已批准列表中的域，则不会限制对组织的访问。
任何映射到 IdP 的域都会自动添加到已批准列表。
在Federation Management Console中：
转到 Linked Organizations（快速入门）页面。
在Atlas中，转到您组织的 Federation Management 控制台。
如果尚未显示，组织从导航栏中的Organizations菜单。
在侧边栏中，单击 Identity & Access 标题下的 Federation。
单击 Open Federation Management App（连接）。
The Federation page displays.
在侧边栏中，单击 Organizations。
将域添加到已批准列表。
要将域添加到已批准列表，您可以：
单击 Add Domains from Existing Members。Atlas 打开一个模态框，其中包含组织现有用户电子邮件地址的域。使用此列表，可轻松启用已是组织成员的用户的访问权限。
使用复选框选择所需的域，然后单击Add将其添加到已批准列表。
单击 Add Domains。Atlas 打开一个模态框，您可以在其中手动将域添加到已批准列表。
在输入框中输入要批准的域，然后单击Add 。 对每个要批准的域重复此进程。
注意
If you have restricted user membership to your federation, Atlas warns you if you add a domain which is being used to access organizations outside of your federation.
添加所有所需的域后，单击Submit 。
绕过 SAML 模式
Bypass SAML Mode 提供一个登录URL ，该 URL 可绕过您的联合身份验证，而允许您使用 Atlas 档案进行身份验证。
如果您的联合身份验证设置配置不当，则您可能无法通过您的 身份提供程序 登录 Atlas。Bypass SAML Mode的 URL 有助于防止您被锁定在 Atlas 组织之外。在配置和测试 身份提供程序 时，我们建议您记下 Bypass SAML Mode URL，以确保您可以登录 Atlas 并正确配置联合身份验证的设置。
每个 Bypass SAML Mode URL 都与单个 身份提供程序 关联，并与身份提供程序的 Login URL 相对应。
Bypass SAML Mode 在默认情况下启用， 但在确信已正确配置联合身份验证后，作为一种安全措施， 您可能希望禁用此模式。
要设置Bypass SAML Mode ，请在Federation Management Console中：
转到 Identity Providers（快速入门）页面。
在Atlas中，转到您组织的 Federation Management 控制台。
如果尚未显示，组织从导航栏中的Organizations菜单。
在侧边栏中，单击 Identity & Access 标题下的 Federation。
单击 Open Federation Management App（连接）。
The Federation page displays.
在侧边栏中，单击 Identity Providers。
找到要查看/修改 Bypass SAML Mode 设置的 IdP。
启用后登录 Bypass SAML Mode
启用Bypass SAML Mode后，您必须使用以下方式登录Atlas ：
IdP Bypass SAML Mode的 URL 。
用户名：
包含映射到 IdP 的域。
在配置联合身份验证之前，您已使用此用户名登录 Atlas 或 Cloud Manager。
将用户成员资格限制为联合
您可以防止联合身份验证实例中的用户创建新组织 或使用其凭据访问联邦之外的组织。 配置此设置可完全 控制联邦用户，并有助于确保联邦用户只能访问所需的 Atlas 组织。
重要
此设置适用于整个联合，包括联合内的所有身份提供程序和组织。
Considerations
启用此设置后：
任何联合身份验证实例的用户都不能访问联邦之外的组织。
- 同样，任何联邦用户都不能接受或接收关于加入联邦之外组织的邀请。
联合中具有
Organization Owner角色的用户仍可创建新组织。 这些新组织会自动连接到您的联邦。联邦中没有
Organization Owner角色的用户无法创建任何新组织。联邦用户保留其在成员资格受到限制之前对任何组织的访问权限。
步骤
在Federation Management Console中：
转到 Advanced Settings（快速入门）页面。
在Atlas中，转到您组织的 Federation Management 控制台。
如果尚未显示，组织从导航栏中的Organizations菜单。
在侧边栏中，单击 Identity & Access 标题下的 Federation。
单击 Open Federation Management App（连接）。
The Federation page displays.
在侧边栏中，单击 Advanced Settings。