單一登入實用指南

簡介

將單一登入（SSO）與 Zoom 整合，可為管理員提供使用者管理及安全性選項，從而簡化帳戶管理。完成設定後，使用者會使用公司憑證，透過公司的身分識別提供者進行驗證，而非使用其他驗證方式，例如透過第三方應用程式使用 OAuth，或直接使用 Zoom 的使用者名稱和密碼。

本文件全面概述 Zoom 中的 SSO 設定與組態，以及疑難排解和安全性資訊。

設定 SSO

開始使用 SSO 需要 Vanity URL

帳戶必須先擁有已核准的 Vanity URL，才能設定 SSO。Vanity URL 核准後，Zoom 管理員即可存取 SSO 設定 頁面，該頁面可透過網路入口網站中進階選項子選單存取。請參閱我們關於 Vanity URL 的支援文章以了解更多資訊。

Zoom SSO 可搭配任何 SAML 2.0 或 OIDC 身分識別提供者使用

Zoom 可與任何支援安全性聲明標記語言（SAML）2.0 或 OpenID Connect（OIDC）驗證的身分識別提供者整合。

Zoom 管理員可透過回應對應或 SCIM 整合來管理使用者個人資料資訊及授權

管理員可依據身分識別提供者所提供的功能，透過回應對應或跨網域身分管理系統（SCIM）應用程式設計介面（API）請求，管理使用者個人資料資訊及授權。這兩種使用者管理方式在個人資料資訊對應和授權管理方面提供近乎相同的功能，但部分 SCIM 對應需要手動設定。

如需完整的 SCIM 功能清單，請參閱我們的 SCIM API 文件.

Zoom 管理員可透過 SCIM 管理使用者帳戶狀態，但無法透過 SAML 或 OIDC 管理

由於 SCIM 可讓身分識別提供者隨時直接與 Zoom 通訊，因此使用者帳戶可被 啟用, 停用, 建立，或 刪除 並透過 SCIM 整合自動執行。例如，若使用者的 Active Directory 帳戶被停用，或使用者被取消指派該應用程式，SCIM 可自動傳送 Zoom 中該使用者帳戶的停用請求。此功能取決於身分識別提供者的 SCIM 應用程式功能，且功能可能因提供者而異。

僅有限的身分識別提供者提供 Zoom 的 SCIM

許多身分識別提供者的服務並未包含專為 Zoom 建置的 SCIM 整合。使用不支援 Zoom SCIM 之身分識別提供者的帳戶，必須使用回應對應來自動管理使用者。

SCIM 需要關聯網域才能自動佈建使用者

使用 SCIM 為 SSO 管理和佈建使用者的帳戶 必須 將電子郵件網域與 Zoom 建立關聯。未建立網域關聯將導致使用者佈建失敗。請參閱我們關於 關聯網域 的支援文章，以了解流程的更多資訊。

SAML 設定指南

以下連結包含使用 SAML 設定 SSO 的指南。

Zoom 提示

按一下提供者或 Zoom 文件欄中的 ✔，即可在新視窗中開啟說明。

	供應商文件	Zoom 文件	支援 SCIM
auth0	✔
ADFS		✔	AD 同步工具
Clever	✔
CyberArk	✔
Duo	✔
Entra ID（原稱 Azure）	✔	✔	✔
Google	✔	✔
JumpCloud	✔		✔
miniOrange	✔
Okta	✔	✔	✔
OneLogin	✔		✔
Ping Identity	✔		✔

若貴公司使用的身分識別提供者未列於上述清單中，我們建議在提供者的知識庫中搜尋 Zoom 專用整合指南。若無相關指南，仍可在 Zoom 的 SSO 設定畫面中，比對 IdP 的關鍵識別碼來設定 SSO。如需更多關於 SSO 快速入門指南 以及完成此程序所需資訊的內容，請參閱 Zoom 支援中心。

OIDC 設定指南

Zoom 支援 OIDC 探索功能，可自動填入常見的身分識別提供者詳細資料，例如簽發者、授權端點、權杖端點和簽署金鑰。由於 OIDC 依賴標準化設定值，通常不需要提供者專用的 Zoom 文件；當探索功能無法使用時，可手動輸入必要值。

因此，符合標準的 OIDC 身分識別提供者通常可與 Zoom 設定，即使沒有提供者專用整合指南亦然。如需更多關於 設定 OIDC SSO.

其他設定選項

Zoom 可支援多個 Vanity URL 和／或多個身分識別提供者應用程式

Zoom 帳戶可支援多個 Vanity URL、多個身分識別提供者（IdP）設定，或兩者的組合。支援的設定包括：

• 共用同一 IdP 設定的多個 Vanity URL。

• 多個 Vanity URL，且各自具有獨立的 IdP 設定。

• 與多個 IdP 設定關聯的單一 Vanity URL。

這些設定需透過 Zoom 支援啟用，無法透過標準 SSO 管理介面設定。請提交 支援請求 以啟用此功能，並提供所需的 Vanity URL、IdP 設定及預期的驗證結果。

注意

OIDC 驗證目前不支援多個 Vanity URL 或 IdP。若不確定此情況是否適用於您，請洽詢您的 Zoom 帳戶團隊以了解更多資訊。

內部部署 Active Directory 可使用 AD Sync Tool 取代 SCIM

想要透過 SCIM 自動化使用者佈建，但沒有雲端式身分識別提供者的帳戶，可使用 Zoom 開發的 Active Directory（AD）Sync Tool 應用程式管理使用者。此應用程式在 Oracle JDK 8 上執行，並透過 API 命令管理使用者來模擬 SCIM 佈建。請參閱我們關於 AD Sync Tool 的支援文章以了解更多資訊。

Zoom 建議

AD Sync Tool 需要精確設定才能管理使用者。全面實作前，必須徹底測試並檢閱工具設定，以避免服務中斷。

身分識別提供者甚至可驗證沒有 Zoom 帳戶的會議參與者

想要要求使用者驗證身分，但不希望提供 Zoom 帳戶的帳戶，可向其身分識別提供者設定外部驗證設定檔。針對會議啟用後，嘗試加入的使用者必須使用身分識別提供者驗證其登入憑證才能取得存取權。這是學校常見的設定，學校不會為所有學生提供帳戶，但會要求進行驗證才能加入課程。請參閱我們關於 設定外部驗證 的支援文章以了解更多資訊。

變更身分識別提供者需要在 Zoom 中重新設定 SSO

變更身分識別提供者的帳戶必須在 Zoom 中重新完成 SSO 設定。這包括更新設定頁面中的所有欄位，以符合新的身分識別提供者。建議帳戶確認回應對應不會隨著新的身分識別提供者而變更。

假設沒有其他變更，則不應需要額外設定或變更。

具有子帳戶的客戶可從主帳戶或子帳戶設定 SSO

具有子帳戶的客戶有兩種設定 SSO 的方式：

1. 所有使用者都使用主帳戶的 Vanity URL 進行驗證，並透過進階回應對應自動登入子帳戶（適用部分對應限制)

2. 每個子帳戶皆有專屬 Vanity URL 和獨立 SSO 設定，僅供該子帳戶成員使用

每種設定各有獨特優點，第二種選項提供最大的彈性。考慮實作任一設定的客戶，應與其帳戶團隊討論何種設定最符合其需求。

佈建方法

佈建模式和 SCIM 是兩種不同機制，可搭配使用

佈建 登入時 和 登入前 是單一 SSO 設定可用的兩個值。它們決定 Zoom 是否會在使用者驗證當下建立帳戶，或要求帳戶必須已存在。SCIM 並非該設定的第三個值，而是一個獨立、由 API 驅動的機制，可獨立於驗證佈建使用者，並與任何選取的佈建模式並行運作。

佈建方法	運作方式	先決條件	建立帳戶	停用帳戶
登入時 （即時）	在使用者首次驗證時建立帳戶	無	是	否
登入前 （預先佈建）	驗證使用者是否已獲授權透過 SSO 登入	具有 SSO 登入類型的帳戶。通常與 SCIM 佈建搭配使用。	否，但通常與 SCIM 搭配使用	否，但通常與 SCIM 搭配使用
SCIM	依照自身排程透過 API 同步身分識別提供者的使用者資料	IdP SCIM 支援和關聯網域	是	是，若 IdP 支援

登入時

登入時佈建會在單一步驟中建立帳戶及 SSO 登入類型

使用 登入時 設定（亦稱為即時佈建）時，在身分識別提供者中獲指派 Zoom 應用程式且取得任何受支援 Zoom 授權的使用者，會在首次驗證時自動建立帳戶。事先無需在 Zoom 中建立任何項目。這是最容易部署的選項，也是首次為帳戶設定 SSO 時建議使用的原因。

登入時佈建也與 SCIM 相容，兩者可同時執行。不過在實務上，SCIM 通常會消除其必要性，因為使用者首次驗證時帳戶通常已經存在。

登入前

登入前佈建取決於其他機制先建立帳戶或登入類型

此 登入前 設定（亦稱為預先佈建）不會自動佈建任何項目。相反地，它會強制執行一項條件：只有在使用者的 Zoom 帳戶已存在且具有 SSO 登入類型時，使用者才可進行驗證。因此，必須由其他機制負責建立這些帳戶，實際上有兩種選項。

• SCIM 佈建，當使用者獲指派應用程式時，會從身分識別提供者自動建立帳戶。

• 大量 CSV 上傳 並選取 SSO 使用者 選項，該選項可在單次匯入中建立帳戶並套用 SSO 登入類型。

這就是預先佈建與 SCIM 經常搭配使用的原因。預先佈建提出一項要求；SCIM 是大規模滿足該要求的機制。

Zoom 管理員可透過檢視網路入口網站中 使用者管理 頁面上的使用者帳戶，並查看使用者電子郵件下方是否有「SSO」圖示，來確認帳戶是否具有 SSO 登入類型。

使用者電子郵件下方 SSO 圖示的位置。

若有該圖示，表示使用者已佈建 SSO；若沒有該圖示，在預先佈建啟用期間，使用者在新增圖示前將無法透過 SSO 登入。Zoom 管理員可透過 CSV 檔案大量新增使用者並選取「SSO 使用者」選項來新增此登入類型，或讓使用者在啟用登入時佈建時進行驗證。

顯示大量上傳之 SSO 使用者選項的範例。

SCIM

SCIM 透過 API 佈建使用者，且絕不會像 SAML 或 OIDC 一樣聲明身分值

SCIM 與回應對應之間存在一個值得明確說明的差異。回應對應，無論透過 SAML 聲明或 OIDC 宣告，皆會傳遞使用者資訊 作為驗證事件的一部分。在使用者登入前不會套用任何資訊，且資訊會在聲明中傳遞。

SCIM 完全不會傳遞任何聲明或宣告。身分識別提供者會依照自身排程直接呼叫 Zoom 的 API，無論使用者是否曾登入都會傳送使用者資訊。這使得 SCIM 可在沒有使用者參與的情況下建立、更新、停用及刪除帳戶，也是 SCIM 可以管理帳戶狀態而回應對應無法做到的原因。

SCIM 與任一佈建模式相容，且最常與預先佈建一同部署。

請參閱 Entra ID 與 Okta 的 SCIM 實用指南 以了解更多關於使用 Entra ID 或 Okta 為您的帳戶設定 SCIM 的資訊。

Zoom 建議

在新帳戶上同時設定 SSO 與 SCIM 時，請先啟用 登入時佈建 。這有助於確保在仍驗證 SCIM 整合時，使用者可以驗證。確認 SCIM 正在建立已套用 SSO 登入類型的帳戶後，請切換至 登入前 ，若需要更嚴格的控制。

安全性設定

Zoom 管理員可強制在定義的時間後自動登出

Zoom 管理員可設定 Zoom 在定義的時間後，自動將使用者登出使用中的工作階段；可自訂範圍為 15 分鐘至 180 天。此程序會在權杖產生後，將 Zoom 存取權杖設定為在預定時間到期。此權杖與身分識別提供者無關，且為 Zoom 專屬。

必須關聯並管理網域才能強制執行 SSO 驗證

Zoom 管理員可強制執行 SSO 驗證 僅 當電子郵件網域已在 Zoom 中建立關聯並受到管理時才可執行。啟用後，所有使用公司網域進行驗證的使用者，無論使用何種平台，都會自動重新導向至身分識別提供者的驗證頁面。

網域核准並受到管理後，Zoom 管理員可透過帳戶的 安全性頁面 在 登入方法下方強制執行 SSO 驗證。請參閱我們關於 關聯網域 的支援文章，以了解關聯及管理網域的更多資訊。

可讓指定使用者豁免強制 SSO 驗證

Zoom 管理員可將特定使用者排除在強制 SSO 驗證之外。若 SSO 設定中斷，且帳戶管理員需要以非 SSO 方式存取 Zoom 帳戶，排除特定使用者（例如管理員帳戶）可能很有幫助。獲得豁免的管理員可在帳戶遭鎖定或 SSO 設定中斷時，隨時登入 admin.zoom.us（使用者必須擁有標準 管理員 角色）。若 Zoom 管理員無法存取帳戶，則必須聯絡 Zoom 支援以取得協助。

若要啟用使用者例外，請前往帳戶 安全性頁面 ，在網路入口網站的進階選項下方找到強制網域清單，並透過編輯清單新增例外。

SSO 網域清單範例。

可設定行動版和桌面版用戶端，要求使用者使用 SSO 驗證

可預先設定 Zoom 用戶端以自動化 SSO 功能，包括自動登入、自動登出、裝置僅限 SSO 驗證等功能；可透過群組原則、行動裝置管理（MDM）服務及大量部署用戶端進行設定。

如需完整的設定可能性清單，請參閱我們針對以下項目的設定選項： 群組原則, iOS, Android, Mac 和 Windows.

Office 365 使用者可使用 SSO 憑證自動登入 Zoom for Outlook 增益集

使用 Office 365 的客戶可使用 SSO 憑證，讓其使用者自動登入 Zoom for Outlook 增益集。此功能可搭配 自訂增益集資訊清單 使用，可預先填入帳戶的 Vanity URL，為使用者打造無縫驗證體驗。若使用者的 SSO 工作階段權杖仍有效，此功能會使用該權杖；若找不到有效工作階段，則會提示使用者使用身分識別提供者進行新的驗證。

Zoom 管理員可在帳戶的 安全性頁面 中，在 進階 選單下啟用此設定。

搭配 Outlook 增益集使用 SSO 的管理員設定範例。

回應對應

在回應對應中， 屬性 是由 值所定義的資料類別，並用於將資訊從身分識別提供者傳遞至 Zoom 等服務提供者。對應屬性和值對於自動化使用者個人資料資訊及管理使用者授權至關重要。

Zoom 回應對應分為兩個部分： 基本 和 進階。基本對應用於對應基本個人資料資訊，包括姓名、電話號碼、部門等；進階對應則用於管理動態授權指派、指派使用者群組、使用者角色等。本節涵蓋基本及進階回應對應的基礎知識，並重點說明部分功能所需的特殊條件。

本節涵蓋基本和進階回應對應的基礎，並著重說明部分功能所需的特殊條件。

Zoom 支援透過 SAML 和 OIDC 進行回應對應

Zoom 可透過 SAML 或 OIDC 設定回應對應。SAML 身分資訊會透過 XML 格式的聲明交換，而 OIDC 身分資訊則透過 JSON Web Key 集合（JWK）提供。無論是哪種情況，Zoom 都可使用從身分識別提供者接收的屬性或宣告，對應使用者個人資料資訊、授權、群組及其他支援的帳戶設定。

基礎知識：屬性和值

大多數身分識別提供者會使用純文字屬性名稱和值傳遞基本個人資料資訊。例如，員工的部門可能以 department 屬性及 Human Resources 值傳遞。下表展示傳遞使用者資訊時屬性和值之間的關係。

屬性	值
名字	John
姓氏	Smith
電子郵件	[e-mail]
部門	人力資源

透過正確將屬性指派至回應對應，使用者資訊可自動套用至使用者個人資料，從而簡化帳戶建立與管理程序。

基本對應：個人資料資訊

基本對應用於將目錄中的名字、姓氏、部門、電話號碼、成本中心及地點等個人資料資訊套用至使用者個人資料。許多這類類別不言自明且易於設定；然而，部分類別需要說明才能正確設定，進而避免未預期的後果或應用程式錯誤。以下章節重點介紹基本對應的特殊對應選項和設定。請參閱我們的 基本對應文章 以取得完整的支援屬性清單。

預設授權類型僅適用於 全新使用者

預設授權類型選項會將指定授權套用至帳戶中透過首次驗證所佈建的所有 全新 使用者。這不適用於第二次驗證的使用者、從先前帳戶合併至該帳戶的使用者、透過 SCIM 佈建的使用者，或手動受邀的使用者。

如需了解 更新 透過驗證更新使用者授權的資訊，請參閱 進階對應.

預設授權類型為 無 時，除非設定進階對應以指派授權，否則不允許新使用者驗證

Zoom 使用者必須具有已指派的授權類型（未指派、沒有 Zoom Meetings Basic、Zoom Workplace 等）才能登入 Zoom 服務。若選取「無」作為預設授權類型，新使用者將無法登入或建立新帳戶，除非他們會透過以下方式取得授權 進階對應.

除非另有指定，大多數基本對應都會在登入時重新套用

依預設，大多數基本對應會在使用者每次登入時更新， 但 不包括 名字、姓氏、顯示名稱及電話號碼。依預設，這四個對應僅會在使用者首次驗證時套用，即使使用者或管理員進行更新，也不會再次套用。Zoom 管理員可藉由啟用 每次 SSO 登入時更新 選項，以變更此行為。

「每次 SSO 登入時更新」選項範例。

若電話號碼位於美國境外，對應應包含國碼和區碼

透過聲明對應的電話號碼，應盡可能包含使用者的國碼和區碼。若未定義，Zoom 預設會假設國碼為 +1。

未在目錄中保留國碼的帳戶，可視需要在身分識別提供者中編輯聲明，以自動包含這些資訊。

每位使用者最多可將三個電話號碼及一個傳真號碼對應至個人資料

Zoom 管理員可為每位使用者設定最多三個獨立電話號碼及一個傳真號碼對應。每個電話號碼必須唯一，且不得與其他欄位的值重複。

每位使用者電話號碼選項範例。

個人資料圖片必須從可公開存取的 URL 對應，或以 Base64 編碼

想要從目錄對應個人資料圖片的帳戶，必須在傳送聲明時使用可公開存取的 URL 對應圖片，或以 Base64 編碼圖片。

員工唯一 ID

員工唯一 ID 可變更 Zoom 用來識別使用者的主要識別碼，並有助於避免電子郵件變更後出現重複使用者帳戶

此 員工唯一 ID 是 Zoom 提供的一項功能，用於協助身分管理。依預設，Zoom 使用者的主要識別資訊是其 電子郵件 地址。這表示若工作電子郵件登入類型為 [e-mail]，Zoom 將始終透過該電子郵件地址識別此使用者。這個識別碼可讓 SSO 或 Facebook 和 Google OAuth 帳戶等整合，將使用者關聯至相同的 Zoom 帳戶。

但是，若使用者的姓名或電子郵件變更，此識別程序可能會產生問題。例如，若 [e-mail] 的電子郵件變更為 [e-mail]，Zoom 無法安全判定這些是同一人（因為基本識別碼不同），因此 Zoom 會在 [e-mail] 首次登入時建立新帳戶。

為簡化此問題，Zoom 提供唯一員工 ID 功能，可將使用者的主要識別碼從電子郵件地址變更為既有的唯一 ID。 這不會變更使用者的 Zoom 使用者名稱，而是提供替代識別屬性。此變更讓 Zoom 可在下列情況下，動態更新使用者在 Zoom 中的電子郵件地址：

• 一個 新的 電子郵件地址附帶已知的唯一員工 ID；且

• 受影響使用者的電子郵件網域已在 Zoom 中建立關聯

例如，若 [e-mail] 驗證時，針對員工唯一 ID 屬性傳遞值 12345（其員工編號），Zoom 現在會依據聲明的值識別帳戶中的使用者。若 John 再次使用電子郵件進行驗證 [e-mail] 同時仍傳遞 12345 作為員工唯一 ID，Zoom 會將 [e-mail] 識別為現在的 [e-mail] ，若網域已建立關聯，則會動態更新帳戶內使用者的電子郵件。

身分管理員應 確定 在建立此類別的對應前，不會有兩位使用者共用相同的員工唯一 ID 值。若另一位使用者驗證時傳遞相同值，電子郵件將再次更新為新使用者的電子郵件，並可能嚴重干擾使用者服務和體驗。

員工唯一 ID 功能需要關聯網域才能變更使用者電子郵件

除非電子郵件網域已正式與帳戶設定檔建立關聯，否則員工唯一 ID 功能無法更新使用者的電子郵件地址。請參閱我們關於 關聯網域 的支援文章以了解更多資訊。

管理員和擁有者無法透過員工唯一 ID 更新其電子郵件

Zoom 中的管理員及擁有者電子郵件無法透過員工唯一 ID 功能更新。這是一項安全措施，旨在防止未授權存取。管理員及擁有者必須透過其個人資料頁面變更電子郵件。

使用者電子郵件只能透過員工唯一 ID 每天更新一次

使用者電子郵件只能透過員工唯一 ID 功能每 24 小時更新一次。使用者必須自前次更新起等待完整一個日曆日，才能再次透過 SSO 更新電子郵件。

更新使用者電子郵件的流程範例圖。

將屬性設為 <NameID> 將使用使用者聲明的 NameID

將員工唯一 ID 屬性對應至 <NameID> 會自動使用使用者聲明的 NameID 值作為其唯一識別碼。若身分識別提供者聲明的 NameID 並非使用者電子郵件，例如不會變更的使用者主體名稱（UPN）或類似值，這可能是有用的工具。若使用者的 NameID 與其電子郵件相同，請勿使用此值。

<NameID> 管理員設定範例。

進階對應：授權與附加元件

進階資訊對應區段可在使用者驗證時，動態將授權（包括 Zoom Phone）、附加元件及使用者存取群組套用至使用者。與基本對應不同，視環境的複雜程度而定，進階對應包含許多設定時需審慎注意的細節。本節重點說明設定進階回應對應的細節。請參閱我們的 進階對應文章 以取得完整的支援屬性清單。

進階對應會在使用者每次驗證時套用

不同於部分類別具有選擇性更新的基本對應，進階對應設定會在使用者每次驗證時依照由上而下的套用順序執行。

例如，若使用者具有基本授權，接著透過 SSO 驗證時傳遞了對應至完整授權的屬性和值，使用者將立即獲得完整授權。若使用者的身分識別提供者設定檔後續變更為基本授權，當其再次於 Zoom 中驗證時，將會重新指派基本授權。

進階對應允許每個類別使用多個屬性和值

不同於每個類別僅允許一個屬性的基本對應，進階對應可支援每個類別使用多個屬性和值。如以下設定所示，這讓您能透過身分識別提供者中的安全性群組，在管理使用者授權與存取權時擁有極大的彈性。

進階屬性對應範例。

Zoom 提示

屬性可能因身分識別提供者而異，尤其是安全性群組。請向身分識別提供者確認，或透過 回應記錄 確認屬性的聲明方式。

當聲明多個屬性時，進階對應會由上而下套用授權

若使用者傳遞多個已設定進階對應的屬性或值，Zoom 將由上而下對應授權。請參閱以下範例：

管理員設定中的授權類型選取範例。

根據上述設定，若使用者同時傳遞以下兩者的屬性： global_users 和 marketing，由於 marketing 在設定中的位置最高，因此此屬性將套用至使用者，其餘適用屬性將被忽略。

或者，若設定將 global_users 設為最高優先順序，如下方螢幕截圖所示，若使用者的聲明包含 global_users, marketing, human resources，以及 IT，由於 global_users 具有最高優先順序，則僅會聲明基本授權。

調整優先順序範例

Zoom 管理員在編輯器中編輯對應值時，可使用 ↑↓ 箭頭調整套用順序。

Zoom 建議

請將進階設定從最具體設定至最一般設定，以防止錯誤套用授權。

Webinar 和大型會議對應可共用共同值，以套用兩個附加元件

為簡化套用程序，Zoom 管理員可如以下圖片所示，將相同屬性和值設定兩次，以同時為使用者套用 Webinar 和大型會議附加元件，使用 global_users 值。若需要，也可如使用 webinar_only 和 large_meeting_only 值所示，分別設定這些附加元件。

large_meeting_only 和 webinar_only 屬性範例。

可讓指定使用者和使用者群組豁免特定對應

進階對應下的每個選項皆可設定讓特定使用者及使用者群組豁免對應行為。這有助於避免 VIP 使用者因授權可能變更而發生服務中斷。

使用者例外範例。

Zoom 最多支援五個自訂屬性

Zoom 管理員最多可設定 五 用於將使用者資料新增至其 Zoom 個人檔案的自訂屬性，位於 進階使用者管理 頁面。新增自訂欄位後，Zoom 管理員可以在 回應對應 頁面。

自訂屬性範例

將使用者對應至子帳戶將會 僅 套用會議授權與附加元件

將使用者對應至子帳戶只會將使用者的會議授權和附加元件（例如 Webinar 和大型會議）套用至該子帳戶。使用者群組、IM 群組、使用者角色等將不會套用，且必須在子帳戶內進行設定。

需要在子帳戶中更彈性進行回應對應的客戶，將需要一個唯一的 Vanity URL，以及在子帳戶內進行新的 SSO 設定。

進階對應：使用者與聯絡人群組指派

使用者群組與聯絡人群組指派是進階對應中唯一以兩種不同模式運作的部分： 標準對應 和 多重對應.

• 標準對應 只套用單一匹配。管理員可以設定多個屬性和值配對，但當使用者驗證時，只有第一個符合的項目會生效，其餘都會忽略。因此，要達到特定結果取決於精確無誤的設定。這是所有帳戶的預設行為。

• 多重對應 是一種選用模式，會套用每一個符合項目。一次驗證即可同時符合多個屬性與值，並在一次處理中將使用者指派到多個群組。這使它非常適合具有複雜群組結構、將使用者分散到各式各樣的使用者群組與聯絡人群組的帳戶。必須透過 Zoom 支援啟用多重對應。

標準對應會將使用者指派到第一個符合的使用者群組或聯絡人群組

在標準對應下，當使用者的斷言在使用者群組或聯絡人群組類別中符合多個已設定的值時，Zoom 只會套用設定中最上方的符合項目。這些項目會依自上而下的順序評估，並套用第一個符合的項目。該類別中的其餘符合項目都會被忽略。

例如，在一個包含二十組對應至不同使用者群組的屬性和值配對的設定中，某位使用者的斷言若符合其中多組配對，則只會被放入與最高符合項目相關聯的群組。

單一值可將使用者新增至多個群組，而第一個新增的群組會成為主要群組

Zoom 管理員可以設定使用者群組對應，讓單一值將使用者新增至多個群組。此行為同時適用於標準對應與多重對應。

第一個新增的使用者群組將被設為使用者的主要群組，並決定使用者的預設設定 除非底層群組已鎖定某項設定。如需更多關於使用者群組的資訊，請參閱我們的 支援文章.

在下圖中，如果使用者傳入了以下值： 領導, 人力資源，以及 受規範，他們只會被放入對應於 領導，因為這是第一個符合項目，且不會再套用其他符合項目。

標準使用者群組對應範例。

多重對應會將使用者指派到每一個符合的使用者群組與聯絡人群組，最多可對應 50 個規則符合項目

當啟用多重對應時，Zoom 會套用 每一個 使用者群組與聯絡人群組類別中的每個符合項目，而不只是最上方的符合項目。同一個屬性最多可設定五十次，每個符合斷言的已設定值都會將使用者放入其相關聯的群組中。

這表示，一個屬性若傳入五十個不同的值，而每個值都對應到不同群組，便可在一次驗證中將使用者放入全部五十個群組。這使識別提供者的安全群組與 Zoom 群組之間可建立一對一關係，因此，將使用者新增至識別提供者中的某個安全群組，會在其下次驗證時將其指派至對應的 Zoom 群組。

在下圖中，如果使用者傳入了以下值： 領導, 測試, AI，以及 人力資源 在啟用多重對應的情況下，使用者會被放入所有使用者群組，因為在啟用多重對應時，Zoom 會套用前 50 個規則符合項目。

多重對應使用者群組範例

主要群組的指定不受對應模式影響。在標準對應與多重對應中，第一個新增的符合群組都會成為使用者的主要群組，除非底層群組已鎖定某項設定。

多重對應可簡化大型企業環境中的群組指派

多重對應降低了將使用者指派到多個使用者群組或聯絡人群組所需的設定精確度。在標準對應下，將使用者放入數個群組取決於可在一次評估中正確解析的精確自上而下設定。多重對應透過一次套用所有符合項目來消除此限制，適用於使用者隸屬多個群組、且逐屬性、逐值設定在一次處理中原本難以執行的環境。

多重對應需要透過 Zoom 支援啟用

多重對應無法透過標準 SSO 管理介面啟用。若要啟用此功能，需要提交 支援請求 給 Zoom，請求為該帳戶啟用多重對應。在請求處理完成前，使用者群組與聯絡人群組指派將以標準的第一個符合行為運作。

進階對應：自動對應

自動對應作為備援機制，當沒有明確規則符合時，會將使用者指派到一個以其所斷言值命名的使用者、頻道或 IM 群組

自動對應可用來自動將使用者指派到一個以其所斷言值命名的使用者群組、頻道和 IM 群組。與其他可根據值將使用者指派至任何群組的進階對應元件不同，自動對應永遠會根據精確值將使用者指派至群組。如果該群組先前不存在，系統會自動建立。

自動對應作為備援機制，且僅在使用者的斷言未符合上述進階對應區段中設定的任何明確規則時才會套用。如果使用者已透過明確規則指派到某個群組，例如根據識別提供者的安全群組成員資格放入使用者群組，則該明確指派具有優先權，對應的自動對應規則會被忽略。在同一個例子中，從使用者部門值自動對應而來的使用者群組將不會套用，因為明確的使用者群組規則已經符合。

自動對應設定範例。

例如，如果自動對應設定為根據使用者的部門將使用者對應到各群組，而該使用者未符合該類別的明確規則，那麼如果其部門值尚未在使用者群組、頻道或 IM 群組中定義，系統就會自動將使用者指派到與其部門名稱相符的群組，如下表所示：

屬性	值	Zoom 群組是否已存在？	結果
部門	人力資源	是	使用者已新增至人力資源群組
部門	行銷	是	使用者已新增至行銷群組
部門	銷售	否	已建立銷售群組，使用者已新增至銷售群組

SSO 疑難排解

可儲存回應記錄以供疑難排解

Zoom 可在驗證後保存驗證嘗試的回應記錄長達七天。這些回應記錄除了回應對應設定外，也能成為排查設定與使用者錯誤的寶貴工具。請參閱關於 使用回應記錄疑難排解錯誤 的支援文章以了解更多資訊。

Zoom 建議

啟用儲存回應記錄，讓疑難排解更容易。

使用回應記錄進行疑難排解

已儲存的回應記錄除了回應對應設定外，也能成為排查設定與使用者錯誤的寶貴工具。如果您的 Zoom SSO 設定已啟用回應記錄儲存，則可透過 回應記錄 進階設定中 SSO 設定頁面內的分頁。若要檢視回應記錄，請按一下 檢視詳細資料 旁邊的驗證嘗試。

大多數驗證都會顯示在回應記錄中

大多數失敗或未成功的驗證嘗試都會顯示在回應記錄頁面上。如果某次驗證嘗試沒有顯示，最有可能是 Zoom 未從您的識別提供者收到斷言，或是回應記錄儲存已停用。

回應記錄可告知您設定是否有誤，或憑證是否已過期

當啟用回應記錄儲存時，識別提供者的資訊會被斷言給 Zoom，以驗證各方身分。如果某個被斷言的設定或資訊字串，例如 X509 憑證或簽發者 ID，與 Zoom 目前的設定不同，系統就會顯示錯誤，提示該資訊「與目前的 SSO 設定不符」。若這些被斷言的值正確，Zoom 管理員可更新 SSO 設定以符合這些值來解決錯誤。

錯誤設定警告範例。

回應記錄會告訴您哪些值與屬性正在被斷言

檢視回應記錄可透過驗證使用者在驗證時所斷言的屬性和值，協助解決回應對應設定。可將其與設定進行比較，以確保屬性和值相符。

識別提供者服務正在斷言的資訊範例。

如果屬性或值缺失，則表示該資訊並未由識別提供者服務斷言。遇到此問題的使用者，建議聯絡其識別提供者支援服務以獲得更多協助。

若驗證失敗，回應記錄會包含錯誤代碼與簡短說明

如果使用者無法驗證或收到錯誤，回應記錄會包含錯誤代碼與錯誤的簡短說明。

錯誤代碼與說明範例。

大多數問題都可透過這些錯誤訊息來識別與解決。若您無法解決該錯誤，請聯絡 Zoom 支援以獲得進一步協助。

Web 追蹤 ID 錯誤

如果使用者的 SSO 驗證失敗，會收到 WEB 追蹤 ID 錯誤代碼。這些代碼並非與特定失敗相關的錯誤訊息，而是可在回應對應中檢視、用於識別驗證問題的唯一記錄 ID。

帶有 WEB 追蹤 ID 錯誤代碼的使用者端錯誤範例。

若要識別此錯誤，且已啟用回應記錄，請前往 回應記錄 進階設定中 SSO 設定頁面內的分頁。然後，將 WEB 追蹤 ID 輸入追蹤 ID 欄位並搜尋，以填入回應記錄

使用上述 WEB 追蹤 ID 錯誤代碼搜尋回應記錄的範例。

回應記錄應會顯示收到的斷言，以及回應底部可供進一步疑難排解的錯誤代碼與訊息。

SCIM 疑難排解

錯誤

使用者不存在或不屬於此帳戶

當目標使用者的電子郵件地址因已存在的帳戶而無法佈建時，就會發生此錯誤。建議 Zoom 管理員直接聯絡該使用者，並手動邀請使用者加入帳戶。

佈建錯誤範例。

您無法新增付費使用者

當 SCIM 嘗試佈建使用者，而帳戶中的授權數量不足時，就會發生此錯誤。若要解決此錯誤，必須將使用者佈建為基本使用者，或提供可用授權以供佈建。

佈建錯誤範例。

使用 SCIM 記錄疑難排解使用者佈建

Zoom 會提供最新的 100 筆 API 請求記錄於 Zoom Marketplace。Zoom 管理員可使用這些記錄來確認透過佈建 API 傳送及接收了哪些資訊。若要存取記錄，請以 Zoom 管理員身分登入 Zoom Marketplace，然後按一下 管理。在下一頁中，選取 通話記錄 在 個人應用程式管理。從那裡，按一下某個項目以展開 API 記錄並檢視內容。

下圖顯示一個 SCIM 使用者佈建請求範例，並將使用者的身分與授權屬性標示出來供參考。

SCIM 使用者佈建請求範例。

如同回應對應，Zoom 只能套用在佈建請求中由身分識別提供者提交的資訊。請使用這些記錄確認使用者身分與授權屬性是否正由身分識別提供者提交。若這些聲明中缺少預期資訊，請聯絡您的身分識別提供者尋求支援。

資料流程與驗證

SAML 驗證

下圖詳細說明使用者在以 Zoom 啟動單一登入工作階段時的 SAML 驗證流程。

SAML 驗證流程範例圖。

OIDC 驗證

下圖詳細說明使用者在以 Zoom 啟動單一登入工作階段時的 OIDC 驗證流程。

SAML 驗證流程範例圖。

SSO 網頁登入權杖

使用者完成驗證後，其工作階段會在瀏覽器中建立，且預設存續時間為兩小時。如果使用者持續主動使用其 Zoom 網頁，工作階段會重新整理；然而，如果使用者在兩小時內未使用其網頁，權杖就會過期，使用者必須重新驗證。Zoom 管理員可以在 安全性 頁面上的「使用者在一段閒置時間後需要再次登入」與 設定網頁閒置時間（分鐘）.

用戶端登入權杖

當使用者嘗試在用戶端內透過 SSO 驗證時，使用者的電腦會開啟網頁瀏覽器，並將其重新導向至識別提供者的登入頁面。使用者完成驗證後，其瀏覽器會收到 Zoom 用戶端啟動權杖。當使用者按一下「開啟」或「啟動」按鈕時，瀏覽器會將 URL 架構與啟動權杖結合，以開啟 Zoom 用戶端。

Zoom 用戶端會使用啟動權杖從 Zoom 伺服器取得存取權杖與更新權杖。用戶端每次會使用存取權杖兩小時，並在到期時使用更新權杖取得一組新的權杖，這些權杖會儲存在用戶端的本機資料庫中。此更新流程預設沒有次數限制，可持續輪換權杖，直到使用者登出或權杖過期。Zoom 管理員可以在 SSO 設定 頁面上的 強制自動登出.