H3C Workspace云桌面

第三方登录配置指导(办公场景)

资料版本：5W107-20230616

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。

本文档中的信息可能变动，恕不另行通知。

5.1.4 企业微信授权登录配置·· 10

5.1.5 服务商IP白名单配置·· 11

5.1.6 企业可信IP配置·· 13

5.2 钉钉管理后台配置·· 15

5.2.1 创建登录授权·· 15

5.2.2 创建企业内部H5微应用·· 17

5.2.3 添加接口调用权限·· 19

5.2.4 配置服务器出口IP· 21

5.3 中国移动互联网能力开放平台配置·· 21

5.4 Workspace管理平台侧第三方登录配置·· 23

5.4.1 公共配置·· 23

5.4.2 第三方登录服务器配置·· 24

5.4.3 企业微信登录配置·· 25

5.4.4 钉钉登录配置·· 26

5.4.5 超级SIM卡登录配置·· 27

5.4.6 短信通知配置·· 27

5.4.7 启用用户第三方登录功能·· 28

6 Workspace客户端登录··· 30

7.1 登录时发送钉钉验证码失败或发送验证码后长时间未收到钉钉消息推送。·· 38

7.2 使用Chrome浏览器登录时，钉钉二维码概率性加载失败。·· 38

1 功能简介

第三方登录是指基于用户在第三方平台（如企业微信、钉钉、中国移动互联网能力开放平台等系统）上已有的账号信息来实现自身应用快捷登录的功能。当管理员在Workspace管理平台完成第三方登录服务器、企业微信登录、钉钉登录、短信通知和超级SIM卡登录配置并开启登录用户的第三方登录功能后，用户即可通过企业微信、钉钉、短信验证码和手机号登录Workspace客户端。

其中，第三方登录服务器需在一台单独的物理服务器或虚拟机上部署buffon。buffon是第三方登录服务的关键组件，用于处理第三方登录认证的请求，并将处理结果返回给Workspace管理平台。

buffon第三方登录服务具有以下优点：

· 高可靠：支持双机热备，可以提供可靠稳定的第三方登录服务。

· 高并发：易扩容，支持更高流量的登录认证请求。

本文主要介绍第三方登录服务（即buffon）的安装配置、企业微信管理后台、钉钉管理后台、中国移动互联网开放平台和Workspace管理平台的相关配置以及客户端登录方法。

2 网络要求

为确保用户能够通过企业微信、钉钉、短信验证码或手机号登录Workspace客户端并正常连接使用云桌面，请合理规划网络环境，具体要求如下：

· buffon服务与外网（钉钉官网、企业微信官网和中国移动互联网开放平台）网络畅通且能相互访问。

· buffon服务与Workspace管理平台网络畅通且能相互访问。

· 客户端能够访问外网（钉钉官网、企业微信官网、中国移动互联网开放平台和buffon服务公网IP地址）。

图2-1 网络环境要求

· 当buffon服务部署于内网环境时，需将其IP地址通过NAT映射到一个可以访问公网环境的IP地址，请提前规划IP地址和端口号。该IP地址和端口号将用于配置企业微信管理后台的“授权回调域”、“服务商IP白名单”、“企业可信IP”，钉钉管理后台的“回调域名”和Workspace管理平台的“公网主机地址”及“公网端口号”。

· 若buffon服务部署于DMZ区，为确保buffon服务与Workspace管理平台网络畅通且能相互访问，需进行如下防火墙配置：在buffon服务器防火墙开通访问Workspace服务器方向的8083、8480、8898端口；在Workspace服务器防火墙开通访问buffon服务器方向的18083端口。

3 配置流程

(1) buffon安装：基于物理服务器或虚拟机部署buffon组件，完成第三方认证服务器配置。

(2) 企业微信管理后台配置：完成企业微信管理后台相关参数配置。

(3) 钉钉管理后台配置：完成钉钉管理后台相关参数配置。

(4) 中国移动互联网能力开放平台配置：完成中国移动互联网能力开放平台相关参数配置。

(5) Workspace管理平台侧第三方登录配置：完成Workspace管理平台第三方登录配置并启用用户第三方登录功能。

(6) Workspace客户端登录：用户登录Workspace客户端。

4 buffon安装

CPU规格	内存规格	存储	备注
≥8	≥8GB	≥200GB	建议物理服务器部署，可以使用虚拟机部署

4.2 安装部署

本文以在VDI类型的虚拟机上部署buffon为例。

(1) 通过SSH工具登录虚拟机后台，并上传buffon安装包（buffon-installer-version.tar.gz）到虚拟机后台。

上传安装包前请设置为root用户登录，并开启root用户SSH连接。

(2) 执行tar xvf buffon-installer-version.tar.gz命令解压安装包。此处以E1011版本为例。

图4-1 解压安装包

(3) 执行cd buffon-installer命令进入解压后的目录。

(4) 执行bash master_install.sh命令安装buffon，查看控制台输出是否正常。

图4-2 安装buffon

(5) 执行bash docker_dns_config.sh命令给容器配置一个DNS域名解析IP地址（如114.114.114.114）用于解析企业微信或钉钉等网站的IP地址。

在容器中ping企业微信、钉钉或中国移动互联网能力开放平台域名，若能ping通则表示DNS能成功解析企业微信、钉钉以及中国移动互联网能力开放平台网站地址：

· docker exec -it buffon1 ping oapi.dingtalk.com

· docker exec -it buffon1 ping qyapi.weixin.qq.com

· docker exec –it buffon1 ping dev.10086.cn

(6) 安装后，请执行如下命令检查buffon是否正常运行：

a. 执行docker ps命令，查看容器运行状态是否正常。STATUS处于“Up”状态表示容器正常运行中。

图4-3 查看容器运行状态是否正常

b. 执行systemctl status mariadb命令，查看mysql服务是否正常。

图4-4 查看mysql服务是否正常

c. 执行systemctl status nginx命令，查看nginx服务是否正常。

图4-5 查看nginx服务是否正常

(7) 查看运维脚本：解压安装包后可通过如下命令查看相关运维脚本。

图4-6 查看运维脚本

表4-2 脚本说明

脚本名称	说明
backup_install.sh	备节点安装脚本，由系统自动调用
backup_uninstall.sh	备节点卸载脚本，由系统自动调用
master_install	安装和升级的统一入口，用于安装或者升级服务
install.sh	实际执行的安装脚本，由系统自动调用
restart.sh	用于重启服务，服务器重启时系统会自动调用该脚本进行服务的启动
uninstall.sh	卸载脚本，用于卸载服务，删除容器、镜像和数据库表
upgrade.sh	升级脚本，install脚本会调用该脚本，也可单独执行
docker_dns_config.sh	docker域名设置脚本，用于给docker容器配置域名ip

· 第三方登录服务的日志文件放在/var/log/vdi/buffon/目录下。

· 如需卸载buffon，未配置双机热备情况下，执行安装目录下的uninstall.sh脚本即可；已配置双机热备情况下，需关闭双机热备后再执行安装目录下的uninstall.sh脚本。buffon双机热备配置请参见buffon双机热备配置。

4.3 buffon双机热备配置

请提前准备一台物理服务器或虚拟机用于搭建buffon双机热备的备服务器。备服务器的配置如表4-1所示，且主备服务器的root密码必须相同，SSH端口号均为22。

(1) 在主服务器浏览器地址栏中输入“http://ip/index.html”，进入双机热备配置页面。其中IP为部署buffon的虚拟机或物理服务器IP地址。

图4-7 登录服务页面

· 请提前配置备服务器的DNS域名解析IP地址。

· 推荐使用Chrome 45+、FireFox 49及其以上版本的浏览器。

· 请提前将buffon访问站点加入浏览器的受信任站点。

(2) 配置备服务器连接信息，待备服务器能正常连接后，配置网络信息参数，其中“VIP地址”必须与主、备服务器IP地址在同一个网段。

(3) 单击<确定>按钮，系统将同步主备服务器配置信息，组建buffon双机热备。

5 第三方平台侧配置

buffon组件安装完成后，需在企业微信管理后台、钉钉管理后台以及中国移动互联网能力开放平台进行相关配置。

本文企业微信管理后台、钉钉管理后台以及中国移动互联网能力开发平台的操作截图仅作为示例，配置时请以实际情况为准。

5.1 企业微信管理后台配置

5.1.1 成为服务商

(1) 通过浏览器打开企业微信成为服务商界面：https://open.work.weixin.qq.com/wwopen/login?login_type=service_register。

(2) 使用企业微信中的超级管理员账号扫描页面上的二维码成为服务商。

5.1.2 查看企业ID

(1) 通过浏览器打开企业微信管理后台登录界面：https://work.weixin.qq.com/wework_admin/loginpage_wx。

(2) 使用有企业管理员权限的企业微信账号扫码登录管理后台，在[我的企业/企业信息]页面查看企业ID。

图5-1 查看企业ID

5.1.3 创建应用

(1) 在企业管理后台，单击“应用管理”页签，单击[应用]菜单项，在页面最下方“自建”菜单项下单击<创建应用>按钮进入创建应用页面。

图5-2 创建应用

(2) 设置相关参数，并完成应用（本文为Workspace）创建后单击自建应用图标，查看生成的AgentId和Secret。

图5-3 查看生成的AgentId和Secret

图5-4 查看生成的AgentId和Secret

5.1.4 企业微信授权登录配置

(1) 在自建应用（本文为Workspace）页面，单击“开发者接口/企业微信授权登录”下的<设置>按钮，设置Web网页的授权回调域，单击<保存>按钮。其中“授权回调域”为第三方登录服务的公网IP和端口号，形式为“IP:Port”。公网IP地址和端口号为用户侧管理员配置或提供。

图5-5 企业微信授权登录

图5-6 设置授权回调域

请确保应用的可见范围为实际使用企业微信扫码登录的部门组织。若不是，请在应用管理中编辑并更正应用的可见范围。

图5-7 应用可见范围

5.1.5 服务商IP白名单配置

(1) 登录企业微信管理后台，单击页面右上角<服务商后台>按钮，切换至服务商后台。

图5-8 切换服务商后台

(2) 在企业微信服务商后台单击“服务商信息”页签，单击[基本信息]菜单项，配置IP白名单参数为第三方登录服务的公网IP。

图5-9 IP白名单配置

5.1.6 企业可信IP配置

· 由于配置企业可信IP时需调用第三方登录服务器的相关接口，因此请先在Workspace管理平台侧完成第三方登录服务器配置和企业微信登录配置后再进行本章节配置。

· 企业可信IP需在已配置的服务商IP白名单中。

(1) 切换至企业管理后台后，单击“应用管理”页签，单击[应用]菜单项，在自建应用（本文为Workspace）页面，单击“开发者接口/企业可信IP”下的<配置>按钮，弹出企业可信IP对话框。

图5-10 企业可信IP

(2) 根据提示，单击<设置接收消息服务器URL>按钮，进入API接收消息配置页面。

图5-11 设置接收消息服务器URL

(3) 配置接收消息服务器相关参数，单击<保存>按钮。其中， Token和EncodingAESKey单击对应的<随机获取>按钮获取，并根据获取的值填写URL，URL填写格式为http://<IP:Port>/buffon/oauth/configTrustIP?token=<获取的Token>&encodingAESKey=<获取的EncodingAESKey>，IP和Port分别为第三方登录服务的公网IP和公网端口号。

图5-12 接收消息服务器配置

(4) 在企业可信IP对话框中填写第三方登录服务的公网IP ，单击<确定>按钮，完成操作。

图5-13 填写企业可信IP

5.2 钉钉管理后台配置

buffon对接钉钉扫码登录或获取双重认证钉钉验证码，需先在钉钉后台创建一个“扫码登录应用授权”，再创建一个“企业内部H5微应用”用于发送消息给用户。

5.2.1 创建登录授权

(1) 通过浏览器打开钉钉开发者中心：https://open-dev.dingtalk.com/v1/。

(2) 使用有企业管理员权限的钉钉账号扫码登录。

(3) 在开发者管理控制台单击“应用开发”页签，单击[移动接入应用/登录]菜单项，单击<创建扫码登录应用授权>按钮，弹出“创建扫码登录应用授权”对话框。

图5-14 单击<创建扫码登录应用授权>按钮

(4) 填写相关参数信息，其中授权LOGO地址为：https://www.h3c.com/cn/tres/NewWebUI/2020/images/logo.png，回调域名为buffon服务的公网回调URL，即“protocol:// <IP:Port>/oauth/callback/dingtalk”。IP和Port分别为第三方登录服务的公网IP和公网端口号，由用户侧管理员配置或提供。

图5-15 创建扫码登录应用授权

(5) 单击<确定>按钮，完成扫码登录应用授权创建并获取appId和appSecret。

图5-16 获取appId和appSecret

5.2.2 创建企业内部H5微应用

该操作用于发送消息给用户。

(1) 通过浏览器打开钉钉开发者中心：https://open-dev.dingtalk.com/v1/。

(2) 使用有管理员权限的钉钉账号扫码登录。

(3) 在开发者管理控制台单击“应用开发”页签，单击[企业内部开发/H5微应用]菜单项，进入H5微应用页面。

(4) 单击<创建应用>按钮，弹出“创建企业内部应用”对话框。

图5-17 创建H5微应用

(5) 设置相关参数后单击<确定创建>按钮，完成创建。其中应用类型选择“H5微应用”，开发方式选择“企业自助开发”。

图5-18 创建企业内部应用

(6) H5微应用创建完成后，单击应用图标，在应用详情页查看获取应用凭证相关参数。

图5-19 获取应用凭证相关参数

(7) 在钉钉管理后台首页查看获取企业ID。

图5-20 获取企业ID

5.2.3 添加接口调用权限

应用创建后，系统默认添加身份验证和消息通知接口权限。如需正常使用钉钉扫码登录功能，需要先添加所需接口的调用权限，此处申请开通部分通讯录权限即可。

(1) 登录钉钉开发者后台，在“应用开发”页面，单击目标应用进入应用详情页面。

图5-21 单击目标应用进入应用详情页面

(2) 在应用详情页，单击“权限管理”页签，选择权限范围（此处选择“全部员工”），单击<添加接口权限>按钮，在弹出的对话框中添加需要的接口权限，单击<确认>按钮完成操作。

此处仅需开通图5-23所示的权限即可，如需开通其他权限，请根据实际需求申请开通。

图5-22 申请通讯录权限

图5-23 部分通讯录权限

5.2.4 配置服务器出口IP

(1) 在应用详情页，单击“权限管理”页签，在页面中配置服务器出口IP为第三方登录服务的公网IP。

图5-24 配置服务器出口IP

5.3 中国移动互联网能力开放平台配置

buffon对接超级SIM卡登录或获取超级SIM卡登录验证码，需先在中国移动互联网能力开放平台创建应用以获取AppId、AppKey等参数。

(1) 通过浏览器打开中国移动互联网能力开放平台：https://dev.10086.cn/account/login。

(2) 进入[管理中心/超级SIM业务]页面，单击<创建应用>按钮。

图5-25 进入[管理中心/超级SIM业务]页面

(3) 设置应用名称、应用平台等参数创建应用

图5-26 创建应用

(4) 完成应用创建后可单击应用名称，查看应用详情，获取APPID和APPKEY。

图5-27 查看应用详情

5.4 Workspace管理平台侧第三方登录配置

管理员登录H3C Workspace管理平台配置第三方登录服务器、企业微信登录、钉钉登录以及超级SM登录相关参数，使管理平台与第三方登录服务器、企业微信管理后台、钉钉管理后台以及中国移动互联网能力开放平台建立连接。

5.4.1 公共配置

配置第三方登录公共参数：

(1) 单击左侧导航树[用户/认证对接/辅助认证/第三方登录配置]菜单项，进入第三方登录配置页面。

(2) 单击公共配置行右侧的<配置>按钮，弹出配置公共信息对话框，配置相关参数。

(3) 单击<确定>按钮完成操作。

图5-28 公共配置

表5-1 公共配置参数说明

参数名称	说明
消息模板	管理平台发给用户的短信验证码消息模板，消息模板必须以签名【xxxx】开头，签名内部只能包含数字、字母、汉字、下划线、空格，且不能以空格开头），且必须包含验证码
验证码有效期	一次验证码的有效期，过期后请重新发送验证码，默认为120秒
重新发送间隔	允许客户端发送两次验证码的间隔，默认为60秒
生效范围	第三方登录的生效范围，分为以下三种： · 全部链路：对所有用户均启用认证。 · 仅网关登录：仅对通过网关登录的用户启用认证。 · 仅直连：仅对直连的用户启用认证。
认证用户类型	第三方登录生效的用户类型，分为本地用户、域用户和LDAP用户

5.4.2 第三方登录服务器配置

配置第三方登录服务器相关参数。第三方登录服务器用于处理第三方登录认证的请求，并将处理结果返回给管理平台。

请在buffon安装完成后，再在Workspace管理平台配置第三方登录服务器，否则会影响第三方登录功能的使用。

(1) 单击左侧导航树[用户/认证对接/辅助认证/第三方登录配置]菜单项，进入第三方登录配置页面。

(2) 单击第三方登录服务器配置右侧的<配置>按钮，弹出配置登录服务对话框，配置相关参数。

(3) 单击<测试连接>按钮，测试配置的登录服务器是否可用。待测试成功后，单击<确定>按钮完成操作。

图5-29 第三方登录服务器配置

表5-2 第三方登录服务器配置参数说明

参数名称	说明
内网协议	与管理平台同一局域网的访问协议
内网主机地址	与管理平台同一局域网的IP地址
内网端口号	与管理平台同一局域网的访问端口号
公网协议	互联网访问协议，可选http或https
公网主机地址	第三方登录服务器的公网IP地址
公网端口号	第三方登录服务器的公网端口号

5.4.3 企业微信登录配置

配置企业微信自建应用参数。

(1) 单击左侧导航树[用户/认证对接/辅助认证/第三方登录配置]菜单项，进入第三方登录配置页面。

(2) 单击企业微信登录右侧的<配置>按钮，弹出配置企业微信对话框，配置相关参数相关参数请参见企业微信管理后台配置。

(3) 单击<确定>按钮完成配置操作。

图5-30 企业微信登录配置

表5-3 企业微信登录配置参数说明

参数名称	说明
企业ID	Workspace注册在企业微信管理后台的企业ID
Secret	自建应用Secret
AgentId	自建应用AgentId
扫码登录	开启后，用户可通过企业微信扫描Workspace客户端二维码直接登录
扫码双重认证	· 开启后，用户完成用户名密码认证后还需通过企业微信扫描Workspace客户端二维码进行二次认证后才能登录 · 扫码双重认证和随机码双重认证不能同时开启
随机码双重认证	· 开启后，用户完成用户名密码认证后还需获取企业微信验证码或短信验证码进行二次认证后才能登录Workspace客户端 · 扫码双重认证和随机码双重认证不能同时开启

5.4.4 钉钉登录配置

配置钉钉扫码登录以及钉钉H5微应用参数：

(1) 单击左侧导航树[用户/认证对接/辅助认证/第三方登录配置]菜单项，进入第三方登录配置页面。

(2) 单击钉钉登录右侧的<配置>按钮，弹出配置钉钉对话框，配置相关参数，相关参数请参见钉钉管理后台配置。

(3) 单击<确定>按钮完成配置操作。

图5-31 钉钉登录配置

表5-4 钉钉登录配置参数说明

参数名称	说明
扫码登录配置	开启后，用户可选择通过钉钉扫描二维码方式登录Workspace客户端。开启扫码登录后，还需配置如下参数： · AppId：扫码登录应用授权AppId · AppSecret：扫码登录应用授权AppSecret
内部应用配置	若开启钉钉扫码登录功能，则需同步开启内部应用配置，并配置如下参数： · AgentId：企业内部H5微应用AgentId · AppSecret：企业内部H5微应用AppSecret · AppKey：企业内部H5微应用AppKey · CorpId：WorkspaceWorkspaceDVM注册在钉钉管理后台的企业ID
扫码登录	开启后，用户可通过钉钉扫描Workspace客户端二维码直接登录
扫码双重认证	· 开启后，用户完成用户名密码认证后还需通过钉钉扫描Workspace客户端二维码进行二次认证后才能登录 · 扫码双重认证和随机码双重认证不能同时开启
随机码双重认证	· 开启后，用户完成用户名密码认证后还需获取钉钉验证码或短信验证码进行二次认证后才能登录Workspace客户端 · 扫码双重认证和随机码双重认证不能同时开启

5.4.5 超级SIM卡登录配置

(1) 单击左侧导航树[用户/认证对接/辅助认证/第三方登录配置]菜单项，进入第三方登录配置页面。

(2) 单击超级SIM卡登录右侧的<配置>按钮，弹出配置超级SIM卡登录对话框，配置相关参数。其中AppId和AppKey请参见中国移动互联网能力开放平台配置，TemplateId需要用户发送邮件至kxmessage@139.com进行申请，邮件模板如图5-32所示。

图5-32 申请TemplateId邮件模板

(3) 单击<确定>按钮完成配置操作。

5.4.6 短信通知配置

若用户需使用短信验证码直接登录Workspace客户端，或在随机码双重认证（如表5-3、表5-4所示）时，通过短信验证码进行二次认证，则需进行短信通知配置。

(1) 单击左侧导航树[用户/认证对接/辅助认证/第三方登录配置]菜单项，进入第三方登录配置页面。

(2) 单击短信通知配置右侧的<配置并开启>按钮，弹出配置短信通知对话框，配置相关参数，单击<短信测试>按钮，测试配置的短信平台是否可用。

(3) 待测试成功后，单击<确定>按钮完成操作。

表5-5 短信通知配置参数说明

参数名称	说明	备注
登录名	登录吉信通短信平台的用户名。	吉信通短信平台参数
登录密码	登录吉信通短信平台的密码。
启用HTTP代理	设置是否通过HTTP代理访问吉信通短信平台。当启用HTTP代理时，需配置代理地址、代理端口、代理用户名和代理密码。
短信编码	告警短信内容的编码类型，包括UTF-8和GBK，默认为UTF-8。	通用短信平台参数
发送方式	告警短信的发送方式，包括HTTP请求（POST）和命令行，默认为HTTP请求（POST）。
请求路径	通用短信平台发送短信的请求路径，当发送方式为HTTP请求（POST）时，需要设置该参数。当系统产生告警时，通用短信平台会向该路径发送HTTP请求来发送短信通知。具体路径的地址及语法需通过短信服务提供商来获取。例如，某短信服务提供商的请求路径设置为：http://192.168.0.1:80/sendSms?userName=a&pwd=b&mobile={Mobile}&content={Content}，其中，在发送短信时{Mobile}会替换为接收短信的电话号码、{Content}会替换为告警短信内容。