您可以配置多个身份提供者（IdP），以通过SSO在您的账户中为用户进行准备和认证。 本文将介绍如何在您的账户中配置多个IdP。
概况
如果您的组织在多个IdP中管理用户，所有这些IdP都可以与Cato集成，这样您无需将用户合并到一个单一租户中。 您可以从多个IdP（或同一IdP的多个租户）中准备用户，配置多个SSO提供商，然后映射每个提供商认证的用户。
当用户登录到Cato 客户端或浏览器访问时，他们只能看到为其配置的SSO 提供商。
注意：
注意：配置多个身份提供者不应作为从现有身份提供者实例迁移用户的方法。 要将现有实例从一个IdP转移到另一个IdP，请遵循这些说明。
使用情况 - 公司合并
公司ABC使用Microsoft Azure作为其IdP，并与使用Okta作为IdP的公司XYZ合并。 两家公司都使用Cato作为它们的远程访问解决方案。 公司无需将所有用户从一个IdP迁移到另一个IdP，而是开始从Azure和Okta两者中准备用户，并将两者配置为远程用户的SSO认证方法。 配置多个IdP确保所有用户可以在Cato客户端进行认证，而无需迁移任何数据。
配置多个IdP
按照以下步骤配置多个IdP：
配置多个SCIM目录
为您的账户配置多个SSO提供商
将目录映射到SSO提供者
步骤1：配置多个SCIM目录
在访问 > 目录服务页面，点击新建以从多个来源添加多个SCIM目录来配置用户。 有关如何使用SCIM配置用户的更多信息，请参见SCIM用户配置。 UPN和对象ID必须在所有SCIM目录服务中唯一。
步骤2：向您的账户添加多个SSO提供商
您可以添加多个身份提供者在您的账户中使用。 指定为默认的提供商用于管理员登录CMA。 不支持多个SSO提供商用于管理员登录CMA。
向您的账户添加多个SSO提供商：
在导航菜单中，选择 访问 > 单点登录。
单击 新建。
添加身份验证方法面板打开。
选择您想要添加的身份提供者，并添加名称。
（可选）要使此身份提供者成为您账户的默认提供商，请启用默认切换。
添加身份提供者的身份验证详情。 每个提供商有不同的配置要求。 有关如何配置身份提供者的更多信息，请参见身份提供者的配置文章。
注意：如果您的身份提供者是Azure，点击 应用，然后点击 保存。 然后编辑条目以启用 设置Microsoft同意链接。
为您账户中的一个或多种用户类型选择允许使用单点登录进行登录：
SDP客户端用户（设置 令牌有效期 设置）
无客户端SDP用户（设置 Cookie 类型）
Cato管理应用管理员
点击应用然后点击保存。
步骤3：将目录映射到SSO提供者
在用户身份验证页面，您可以为您的用户定义默认身份验证方法。 如果选择SSO，默认选择所有目录服务选项。 通过此配置，所有用户都使用默认的SSO提供商进行认证。 您可以更改此配置，并映射每个目录应该使用哪个SSO提供商。
在其他设置标签中，您可以配置用于在客户端中进行认证的浏览器（内嵌或外部）和重新认证提示。 如需更多信息，请参阅 Cato 客户端的认证策略配置。
将目录映射到SSO提供商：
从导航菜单中，选择访问>用户身份验证。
点击默认方法下拉菜单并选择SSO。
选择已选择的目录服务。
新建集成 面板打开。
新建目录服务SSO提供商面板打开。
点击目录服务下拉菜单，选择您想要映射的用户准备方法。
点击单点登录提供商下拉列表并选择要使用的提供者。
点击应用然后点击保存。
禁用身份提供者
您可以禁用在您的账户中不再需要的身份提供者。 身份提供者被禁用后，用户无法使用它登录Cato客户端。
禁用身份提供者
在导航菜单中，选择 访问 > 单点登录。
点击您想要禁用的身份提供者。
将启用切换关闭。
点击应用然后点击保存。
理解用户体验
如果为您的账户配置了多个身份提供者，对用户没有影响。 用户输入电子邮件地址以登录后，客户端显示映射到用户的SSO提供商的登录页面。
已知局限性
仅支持SCIM或手动用户准备
配置后，IdP不能被删除。
IdP可以被禁用