SSO联合身份认证概览
SSO联合身份认证允许您的用户使用您组织现有的身份系统访问Criteo，无需单独创建或使用Criteo登录凭据。完成配置后，使用联合身份认证域名的用户访问Criteo时，系统会将其重定向至您的身份提供商（IdP）登录页面进行身份验证。
Criteo使用SAML 2.0进行联合身份认证。双方系统通过交换元数据建立信任关系：
术语 | 角色 | 系统示例 |
|---|---|---|
服务提供商（SP） | Criteo，即您的用户希望访问的应用程序 | — |
身份提供商（IdP） | 您组织的身份系统，用于对用户进行身份验证，并向Criteo发送SAML断言 | Okta、Microsoft Entra ID（Azure AD）、AD FS |
SSO联合身份认证面向所有客户开放。如需开始配置，请联系您的Criteo客户代表。
开始之前
在联系您的Criteo客户代表之前，请准备好以下信息。 Criteo团队将在入驻配置过程中向您收集这些信息：
信息 | 详情 |
|---|---|
需要进行联合身份认证的域名 | 用户用于登录的电子邮箱域名（例如， |
测试用户 | 用于在正式上线前验证集成情况的一组用户电子邮箱。所有测试用户必须已拥有有效的Criteo账户，方可开始测试。 |
IdP类型 | 您组织使用的身份提供商，以及您将用于用户匹配的SAML属性。 Criteo建议使用 |
环境 | 您是否计划为生产环境使用单独的元数据文件，或者测试环境和生产环境是否共用同一份IdP元数据。 |
目标上线日期 | 您希望为联合身份认证域名下的所有用户启用SSO的日期。 |
查找您的IdP信息
在入驻配置过程中，您需要向Criteo提供您的签名证书、IdP实体ID和SSO URL。一次性收集这三项信息的最快方法是导出IdP的元数据XML文件，因为这三项信息均包含在同一个文件中。以下指南介绍了如何在常用身份提供商中查找这些信息。
Okta
最快捷的方法是直接从SAML应用下载IdP元数据XML文件。该文件包含实体ID、SSO URL和签名证书。
在已为Criteo配置的Okta应用中，依次进入：登录 → SAML签名证书 → 操作 → 查看IdP元数据，然后保存XML文件。
参考：
Microsoft Entra ID（Azure AD）
Criteo所需的信息可从以下两个位置获取：
企业应用SSO页面——提供登录 URL、Entra标识符以及证书下载选项。进入您的企业应用 → 单点登录设置页面。
租户级联合身份认证元数据端点——通常是一次获取全部信息最快捷的方式。地址为：
https://login.microsoftonline.com/<tenant>/FederationMetadata/2007-06/FederationMetadata.xml
参考：
AD FS
AD FS属于本地部署软件，因此没有一个面向所有客户的统一指南来介绍如何查找这些信息。您需要分两步操作：
联合身份认证元数据URL——提供实体ID和SSO端点。
令牌签名证书——需要在AD FS管理控制台中单独导出，路径为服务 → 证书。
如果您需要帮助理解上述参考资料，请联系您的Criteo客户代表。
参考：
Criteo提供的信息
入驻配置开始后，Criteo会提供一份服务提供商（SP）元数据文件。您可以使用该文件在IdP中配置Criteo应用。该文件包含以下信息：
字段 | 描述 |
|---|---|
受众URI（实体ID） | Criteo SSO服务的唯一标识符 |
回复URL（ACS URL） | 用户成功登录后，IdP将SAML断言发送至的目标URL |
X509证书 | Criteo的签名证书 |
SSO入驻配置流程
第1步：申请入驻配置
联系您的Criteo客户代表，启动SSO联合身份认证流程。您的申请登记后，Criteo客户代表会向您发送一封介绍邮件，其中包含：
SP元数据文件及其关键值，包括受众URI（实体ID）、回复URL（ACS URL）、NameID格式和X509证书。您需要使用这些信息在IdP中将Criteo配置为服务提供商。
Criteo在继续进行集成之前需要您回答的问题列表。
请将此封邮件转发给您的IT团队相关成员，以便他们开始进行IdP配置。
第2步：配置IdP并回复邮件
使用Criteo提供的SP元数据文件，在您的身份提供商中将Criteo配置为服务提供商。如果您的IdP支持上传元数据，可以直接使用该文件；否则，请在SAML配置中手动添加各项信息。
完成IdP配置后，请通过回复介绍邮件提供以下信息：
您的IdP元数据文件——将XML文件作为附件添加到回复邮件中。或者，也可以分别提供以下信息：
IdP实体ID
SSO端点URL
签名证书
需要进行联合身份认证的域名——应使用SSO的电子邮箱域名（例如，
@yourcompany.com）身份提供商——您所使用的IdP名称（例如，Microsoft Entra ID、Okta、AD FS）
用户标识符——Criteo用于匹配用户的SAML属性。我们建议使用
emailAddress测试用户——在正式推广SSO前用于测试的用户电子邮箱
环境——您是否计划为生产环境提供单独的元数据文件
目标上线日期（可选）
第3步：Criteo验证并完成配置
Criteo团队会审核您的回复并验证相关技术信息。如果有任何信息缺失或存在疑问，Criteo团队会直接与您联系，在继续下一步之前解决相关问题。
验证完成后，Criteo会为您指定的测试用户配置SSO，并通知您开始测试。
第4步：启用测试
在此阶段，Criteo仅为双方约定的测试用户启用SSO，尚不会为该域名下的所有用户启用 SSO。您会通过电子邮件收到一个用于开始测试的URL。
为确保取得最佳效果，请每位用户按照以下步骤测试SSO：
打开无痕窗口，以避免使用现有的Cookie或会话。
访问account.criteo.com，然后输入您的工作邮箱。
系统会将您重定向至公司登录页面。
使用您的公司凭据登录，而不是使用Criteo账户凭据。
身份验证成功后，您将看到账户信息页面，其中显示您的个人信息。这表明SSO测试已成功完成。
测试完成后，您即可正常访问平时使用的Criteo平台。
在此阶段，SSO会按用户逐一启用。在正式上线之前，您的其他用户仍可按照原有方式正常登录。
第5步：测试
您的测试用户通过Criteo提供的UR 登录，并确认：
系统会将他们重定向至您的IdP登录页面。
登录成功后，系统会将他们重定向至相应的Criteo账户。
他们能够看到正确的账户和数据。
如果出现任何问题，请通过同一邮件线程向Criteo提供屏幕截图或错误信息。在此阶段，如有需要，可以请求回退此次集成配置。
第6步：正式上线
所有测试用户均能成功登录后，Criteo会在双方约定的日期为您联合身份认证域名下的所有用户启用SSO。
如果正式上线后出现问题，请联系Criteo以回退配置或修复相关设置。
SSO后续维护
部分字段在初始入驻配置时设置，通常很少需要更改；其他字段则需要在整个集成使用周期内定期更新。
很少更改
以下信息在入驻配置期间设置，之后通常保持不变：
SP实体ID
SP ACS/回复URL
IdP实体ID
用于用户匹配的SAML属性
后续可能需要更新
字段 | 变更原因 |
|---|---|
Criteo的SP签名证书 | 自签发之日起有效期为五年。需要续期时，Criteo会通知您。 |
您的IdP签名证书 | 有效期取决于您的IdP配置。请在证书到期前完成轮换，并提前将更新后的元数据文件提供给Criteo。 |
联合身份认证电子邮箱域名 | 正式上线后，您可以添加新域名或移除旧域名。 |
IdP元数据 | 如果您迁移IdP系统或更改环境，可能需要更新。 |
如需在正式上线后更新上述任何信息，请联系您的Criteo客户代表。