SSO和用户管理常见问题

你可以在Docker Hub或管理控制台的组织中管理用户。在Docker中配置SSO时，你需要确保你的IdP账户中每个用户都有一个账户。当用户首次使用其域名电子邮件地址登录Docker时，成功身份验证后他们将自动被添加到组织。

不，你无需在Docker或管理控制台中手动将用户添加到你的组织。你只需确保你的用户在你的IdP中存在账户。当用户登录Docker时，他们将使用其域名电子邮件地址自动分配到组织。

当用户首次使用其域名电子邮件地址登录Docker时，成功身份验证后他们将自动被添加到组织。

在SSO设置过程中，你需要指定允许进行身份验证的公司电子邮件域名。组织中的所有用户都必须使用SSO设置期间指定的电子邮件域名进行身份验证。你的部分用户可能希望为其个人项目保留一个不同的账户。

如果未强制执行SSO，电子邮件地址与已验证电子邮件域名不匹配的用户可以使用用户名和密码登录，作为访客加入组织。

组织所有者和公司所有者可以通过其IdP配置其权限来批准用户。如果在IdP中配置了用户账户，只要有可用席位，该用户将自动添加到Docker Hub中的组织。

启用SSO后，用户下次尝试登录Docker Hub或Docker Desktop时，系统将提示他们通过SSO进行身份验证。系统会发现终端用户尝试通过其关联的Docker ID进行身份验证的域名电子邮件，并提示他们使用SSO电子邮件和凭据登录。

如果用户尝试通过CLI登录，他们必须使用个人访问令牌(PAT)进行身份验证。

是的。管理员可以使用注册表项、.plist文件或registry.json文件强制Docker Desktop用户进行身份验证。

在Hub上的Docker Business组织或公司上设置了SSO强制执行后，当用户被强制使用Docker Desktop进行身份验证时，SSO强制执行也将强制用户通过其IdP进行SSO身份验证（而不是使用其用户名和密码进行身份验证）。

电子邮件地址与已验证域名不匹配的用户仍可能能够作为访客账户进行身份验证。但是，只有在邀请了该非域名电子邮件的情况下，他们才能作为访客进行身份验证。

是的，你可以将现有用户转换为SSO账户。要将非SSO账户用户进行转换

有关启用SSO的详细先决条件和说明，请参阅配置单点登录。

启用并强制执行SSO后，你的用户只需使用已验证的域名电子邮件地址登录。

Docker SSO默认提供Just-in-Time (JIT) 配置，并可选择禁用JIT。用户在通过SSO进行身份验证时配置。如果用户离开组织，管理员必须登录Docker并手动从组织中移除用户。

SCIM可用于与用户和组进行完全同步。使用SCIM自动配置用户时，建议的配置是禁用JIT，以便所有自动配置都由SCIM处理。

此外，你可以使用Docker Hub API来完成此过程。

当你使用管理控制台并启用SCIM时，可选择禁用JIT。如果用户尝试使用作为你的SSO连接的已验证域名的电子邮件地址登录Docker，他们需要是组织的成员才能访问，或者拥有待处理的组织邀请。不符合这些条件的用户将遇到Access denied错误，并且需要管理员邀请他们加入组织。

要在没有JIT配置的情况下自动配置用户，你可以使用SCIM。