Aiyori 的企業培訓組織，可以連接公司的身分管理平台。學員用公司帳號登入（SSO，OpenID Connect），到職、調動與離職也會自動同步（SCIM 2.0）。
本頁與各身分管理平台的設定步驟，是寫給公司的 IT 負責人，以及 Aiyori 組織的管理員（建立組織的人）。導入之前，可以先確認連接的方式。
各身分管理平台的設定步驟
- Okta：SSO（OpenID Connect）與 SCIM。
- Microsoft Entra ID：SSO（OpenID Connect）與 SCIM。SCIM 需要 Entra ID P1 以上。
- Google Workspace：SSO（OpenID Connect）。無法使用 SCIM，因此改用自動登記，以及用名單批次登記。
其他支援 OpenID Connect 的身分管理平台，也能用本頁的值連接。
事先要決定的事
- 讓誰加入。只有在身分管理平台中指派給 Aiyori 應用程式的人員與群組可以加入（不會開放給所有人）。使用 SCIM 時，指派的部門、到職年度等群組，會直接成為 Aiyori 的小組。
- 登入的方式。只允許公司帳號，或也可以用密碼登入。大型公司建議只允許公司帳號（離職的人就無法再用密碼登入）。
- 名單的加入方式。用 SCIM 自動加入（Okta、Microsoft Entra ID）、在第一次用公司帳號登入時自動登記，或每月用表格（CSV）批次登記，三者擇一。Google Workspace 沒有 SCIM，因此是後面兩種。
要填入身分管理平台的 Aiyori 值
重新導向 URI 與 SCIM 基礎 URL，也會顯示在講師畫面的「設定」→「連接公司的身分管理平台」中（附複製按鈕）。只有組織的管理員（建立組織的人）可以變更設定。
- 重新導向 URI
- https://app.aiyori.app/
api/ web/ sso/ callback
在身分管理平台的 Aiyori 應用程式中註冊。只要有 1 個字元不同，就無法登入。 - SCIM 基礎 URL
- https://app.aiyori.app/
api/ scim/ v2
填入 Okta 的 SCIM connector base URL，或 Entra ID 的 Tenant URL。 - SCIM 金鑰
- 在「連接公司的身分管理平台」中用「建立金鑰」建立。只在建立時顯示 1 次（每個組織最多 5 個）。填入 Okta 的 Bearer token，或 Entra ID 的 Secret Token。
- 登入入口（用於公司入口網站的圖示）
- https://app.aiyori.app/
api/ web/ sso/ start?code=（組織代碼）
填入 Okta 的 Initiate login URI，或 Entra ID 的 Home page URL 後，從公司入口網站的圖示就能直接前往公司的登入畫面，不必輸入組織代碼。
要填入 Aiyori 的值
在「連接公司的身分管理平台」的「SSO」中填入，然後按「儲存」。
- 發行者 URL（Issuer）
- 依身分管理平台而不同。Okta 是 https://（組織）.okta.com，Microsoft Entra ID 是 https://login.microsoftonline.com/
（租用戶 ID）/v2.0，Google Workspace 是 https://accounts.google.com。 - 用戶端 ID
- 身分管理平台中應用程式的 ID。
- 用戶端密碼
- 身分管理平台中應用程式的用戶端密碼。會加密後儲存，儲存後不再顯示在畫面上。
- 允許的電子郵件網域
- 公司電子郵件的網域（例如 example.com），每行 1 個。請務必填寫。若不填寫，只要通過身分管理平台，任何人都能進入（Google Workspace 不填寫就無法儲存）。
- 自動登記
- 不使用 SCIM 時（例如 Google Workspace），開啟「尚未登記的人員登入時，將其登記為學員」。只會登記網域相符的人。
- 停用密碼登入，僅允許使用公司帳號
- 請先由 1 個人確認能用公司帳號進入，再開啟。
儲存時，Aiyori 會讀取發行者的設定資訊（發行者 URL 後加 /.well-known/openid-configuration）。若無法讀取，就無法儲存。發行者只能是以 https 開頭的公開 URL（不能使用內部名稱或 IP 位址）。
儲存後，可以在「自己試著登入」中用「用我的公司帳號試一下」，以管理員的公司帳號登入，確認能否回到 Aiyori（不會登記為學員）。
學員如何登入
- 在培訓連結的登入畫面按「使用公司帳號登入」，輸入組織代碼 → 公司的登入畫面 → 回到 Aiyori。
- 在公司入口網站（Microsoft 的 My Apps、Okta 儀表板）放置圖示時，請使用上面的登入入口 URL。不必輸入組織代碼就能進入。
- 辨識人員的順序是：先前已用公司帳號連結的人 → 公司電子郵件地址相同的學員（Entra ID 還包括 SCIM 的 userName 與 UPN 相同的學員）。兩者都沒有時，只有在開啟自動登記的設定下，才會登記網域相符的人。
- 無法進入時，畫面上會顯示原因（網域不符、尚未登記、已因公司設定停用、已終止使用）。
透過 SCIM 會發生什麼
| 在身分管理平台中的操作 | 在 Aiyori 中的結果 |
|---|---|
| 將人員指派給應用程式 | 建立學員。ID 是公司電子郵件地址 @ 前面的部分（重複時加上 -2）。姓名使用顯示名稱，沒有時由姓與名組成。 |
| 變更姓名或電子郵件地址 | 學員的姓名與公司電子郵件地址會跟著變更。 |
| 指派群組、新增或移除成員 | 建立 Aiyori 的小組，成員也會跟著加入或移出。 |
| 取消指派、停用或已離職 | 無法再登入（停用）。受訓紀錄會保留。不計入使用費的人數，並從所有裝置登出。 |
| 恢復 | 可以再次進入。 |
| 取消指派群組 | 小組會被封存（受訓紀錄會保留）。 |
部門（department）與員工編號（employeeNumber）屬性，SCIM 不會使用（請用群組區分）。若要以員工編號辨識同一個人，請使用表格（CSV）批次登記。
是否將學員終止使用（30 天後刪除紀錄），由講師在學員畫面中決定，而不是由身分管理平台決定。
金鑰外洩時，請在 Aiyori 的畫面將該金鑰設為「停用」，再建立新的金鑰，重新填入身分管理平台。停止的只有同步，學員仍可登入。
疑難排解
| 發生的情況 | 檢查重點 |
|---|---|
| 在 Aiyori 中無法儲存 SSO 設定 | 畫面上會顯示原因。可能是發行者 URL 輸入錯誤（Entra ID 結尾的 /v2.0 或租用戶 ID）、Entra ID 使用了 common 或 organizations（不能使用），或 Google Workspace 的允許網域是空的（請填寫）。也請確認在瀏覽器中，能否開啟發行者 URL 後加 /.well-known/openid-configuration 的網址。 |
| 公司登入後，顯示無法驗證公司帳號 | 用戶端 ID 或用戶端密碼抄錯、用戶端密碼已過期（Entra ID 最長 2 年），或重新導向 URI 有 1 個字元不同。 |
| 顯示未能取得電子郵件地址 | 身分管理平台的使用者沒有填寫電子郵件地址。Entra ID 請在 Token configuration 中新增 email。 |
| 顯示此網域無法加入 | 請確認 Aiyori 的允許網域中，是否包含公司的網域。子網域要另寫一行。Google Workspace 還需要 Workspace 的主要網域。Entra ID 的權杖中沒有 email 時，會以 UPN 的網域確認。 |
| 顯示尚未登記 | 請確認 SCIM 的指派是否已完成，或開啟自動登記的設定。 |
| SCIM 連線測試傳回 401 | 金鑰抄錯，或是已停用的金鑰。金鑰前面加不加 Bearer 都可以。 |
| SCIM 連線測試傳回 403（HTML 的 403 Forbidden） | 被 Aiyori 前端的防護（WAF）擋下了。請透過聯絡我們的頁面告訴我們。 |
| SCIM 沒有新增人員 | 請確認是否已指派給應用程式（Entra ID 預設只同步已指派的使用者與群組）。Entra ID 約每 40 分鐘同步一次，急用時請用 Provision on demand 立即傳送。 |