MDaemon 电子邮件服务器 26.0

OIDC 集成（单点登录）

MDaemon Webmail 支持使用 OpenID Connect（OIDC）进行单点登录（SSO）。用户无需使用 MDaemon 电子邮件地址和密码登录 Webmail，而是可以点击“使用 SSO 登录”按钮来通过您的 OIDC 身份供应商 (IdP) 进行登录，例如 Google or Microsoft Azure/Entra ID。

要进行设置，您先需要使用您 IdP 的管理界面来创建一个应用，并在创建期间提供您的 Webmail 重定向 URI (见下)。然后，使用下面的选项来配置 Webmail 的 OIDC 设置。

启用 OIDC 集成

在启用此项时，一个“使用 SSO 登录”按钮将出现在 Webmail 登录页面上。用户可以通过选择的 IdP 进行身份验证，而不是提供他们的 MDaemon 电子邮件地址和密码，点击该按钮登录到他们的 Webmail 账户。

颁发者 URL

此文本字段用于从 OIDC 身份供应商获取的基本 URL。MDaemon 使用它来发现 IdP 的配置和其他数据，如用户信息和公钥。请不要包含“/.well-known/openid-configuration”部分，通常会将该部分附加到 Issuer URL。取决于您的 IdP，该 URL 将如下所示： https://login.microsoftonline.com/<tenant_id>/v2.0、https://accounts.google.com 或 https://<your-domain>.okta.com。

客户端 ID

这是您在应用程序注册期间从 IdP 获得的唯一客户端 ID。

客户端密钥

此字段用于 IdP 在注册期间生成的密钥。在交换访问令牌的授权码时，它与客户端 ID 一起用于将 MDaemon 认证为可信客户端。某些 Idp 允许客户端密钥过期，因此您可能需要定期更换它。

Redirect URI

当您使用 IdP 注册 OIDC 应用程序时，系统会要求您提供重定向 URL。此处提供的 URL 时从您的默认域的 SMTP 主机名称进行内置的。例如： https://mail.example.com/WorldClient.dll?View=OIDC

范围

范围确定 IdP 共享哪些特定的数据点集。此处的默认值是 OIDC 的标准值: openid 启用 OIDC 流且时必须的，配置文件提供基本的用户信息 (例如 preferred_username)，电子邮件共享用户的电子邮件地址。您可以根据您的特定设置或 IdP 要求根据需要添加或修改范围。

电子邮件声明

该字段用于指定声明的名称（键值对），其中包含识别正在登录的 MDaemon 用户所需的数据。这通常被设置为：例如 email、preferred_username、sub 或 oid (Azure/Entra ID)。最简单的设置是指定您知道将包含用户的 MDaemon 电子邮件地址的声明，例如 email 或自定义创建的声明。如果您选择“sub”或“oid”，那么该声明将不包含电子邮件地址。相反，它将包含该用户的唯一代码或标识符，这将要求您使用OIDC 电子邮件声明部分中的选项，以便将 sub 或 oid 标识符与正确的 MDaemon 用户关联在一起。

OIDC 电子邮件声明

本节中的选项用于将自定义声明值从 IdP 映射到 MDaemon 中的特定电子邮件地址。当 IdP 的电子邮件声明中包含的部分或全部电子邮件地址与您的 MDaemon 用户邮件地址不对应时，这很有用。在这种情况下，您可以使用这些选项，将每个用户的非 MDaemon 电子邮件地址映射到他们的 MDaemon 地址。如果您已使用 preferred_username 作为您的 电子邮件声明，但是用户名并不始终匹配 MDaemon 邮件地址，也是如此。如果您选择使用 sub (或 oid 位于 Azure/Entra ID 中) 声明，位于您的电子邮件声明选项，然后将每名用户的唯一标识符映射到其 MDaemon 邮件账户，您也可以使用此功能。

要将声明值映射到特定用户:

1.使用您的 IdP 控制台或其他工具查找有问题的用户。

2.找到您在上方指定的电子邮件声明声明值。

3.复制该声明值，并将其粘贴到声明值字段。

4.输入对应的 MDaemon 用户的电子邮件地址。

5.点击添加。

6.点击保存。

要编辑条目：

1.点击您希望编辑的条目。

2.点击编辑。

3.做出任何需要的变更。

4.点击更新。

5.点击保存。

要删除条目：

1.点击您希望删除的条目。

2.点击删除。

3.点击保存。