> ## Documentation Index
> Fetch the complete documentation index at: https://docs.thunderphone.com/llms.txt
> Use this file to discover all available pages before exploring further.

# SSO doanh nghiệp

> Cho phép nhóm của bạn đăng nhập thông qua nhà cung cấp danh tính, với cấp phát JIT và chính sách bảo mật trên toàn tổ chức.

SSO Doanh nghiệp nằm trong **Cài đặt → Tổ chức** (tab Chung), ở thẻ **SSO Doanh nghiệp**. Bật công tắc **Đăng nhập một lần** để hiển thị cấu hình. Chỉ **quản trị viên** và **chủ sở hữu** tổ chức mới có thể xem hoặc thay đổi các cài đặt này.

## Chính sách bảo mật

Ba công tắc áp dụng cho toàn tổ chức, được lưu cùng với **Lưu chính sách**:

* **Yêu cầu SSO để đăng nhập** — thành viên phải xác thực thông qua nhà cung cấp danh tính của bạn.
* **Cho phép quản trị viên đăng nhập bằng mật khẩu khẩn cấp** — một phương thức mật khẩu khẩn cấp dành cho quản trị viên khi SSO được bắt buộc (chỉ có thể cấu hình khi chế độ bắt buộc đang bật).
* **Yêu cầu passkey để truy cập tổ chức** — mọi thành viên phải đăng ký [passkey](/vi/guides/account-and-security) và hoàn tất bước kiểm tra passkey sau khi đăng nhập. Thành viên chưa có passkey sẽ được **gia hạn 3 ngày** để thiết lập; bảng chính sách hiển thị số thành viên vẫn cần passkey.

<Note>
  **[Khóa API](/vi/guides/api-keys) của tổ chức không thuộc yêu cầu này.**
  Passkey là bước kiểm tra 2FA cho người dùng, gắn với phiên đăng nhập; khóa API máy chủ (`sk_live_...`) là thông tin xác thực của máy và không có phiên để gắn bước kiểm tra passkey, vì vậy chúng vẫn tiếp tục xác thực ngay cả khi chính sách này được bật — theo thiết kế, không phải do bỏ sót. Khi yêu cầu được bật và tổ chức của bạn có khóa API đang hoạt động, bảng chính sách sẽ hiển thị số khóa được miễn, kèm liên kết đến **Tổ chức → Khóa** để quản trị viên có thể kiểm tra hoặc thu hồi những khóa không nên tiếp tục hoạt động.
</Note>

## Kết nối SSO

SSO của ThunderPhone được hỗ trợ bởi Stytch. **Thêm kết nối** sẽ tạo một kết nối với:

| Trường                                  | Chức năng                                                                                    |
| --------------------------------------- | -------------------------------------------------------------------------------------------- |
| **Tên kết nối**                         | Nhãn, ví dụ: "Acme Workspace SSO".                                                           |
| **Vai trò mặc định cho người dùng mới** | Thành viên, Quản trị viên hoặc Chủ sở hữu cho tài khoản được tạo qua SSO.                    |
| **Slug / ID tổ chức Stytch**            | Xác định tổ chức Stytch của bạn hỗ trợ kết nối này.                                          |
| **Tên miền email được phép**            | Các tên miền được phân tách bằng dấu phẩy được phép đăng nhập qua kết nối này.               |
| **Ánh xạ nhóm sang vai trò**            | Mảng JSON ánh xạ các nhóm IdP sang vai trò, ví dụ: `[{"group":"it-admins","role":"admin"}]`. |
| **Bật cấp phát JIT**                    | Tự động tạo tài khoản ThunderPhone trong lần đăng nhập SSO đầu tiên.                         |
| **Kết nối đang hoạt động**              | Vô hiệu hóa mà không xóa.                                                                    |

Xóa một kết nối sẽ loại bỏ kết nối đó vĩnh viễn — người dùng đã đăng nhập thông qua kết nối đó sẽ không thể tiếp tục sử dụng nó.

<Note>
  Việc thiết lập phía nhà cung cấp danh tính yêu cầu một tổ chức Stytch; nếu bạn chưa có các mã định danh đó, hãy liên hệ
  [bộ phận hỗ trợ](mailto:support@thunderphone.com) để cấp phát tổ chức của bạn.
</Note>

## Bước tiếp theo

<CardGroup cols={2}>
  <Card title="Mời đội ngũ của bạn" icon="user-plus" href="/vi/guides/invite-your-team">
    Vai trò và lời mời dành cho thành viên tham gia ngoài SSO.
  </Card>

  <Card title="Tài khoản & bảo mật" icon="shield" href="/vi/guides/account-and-security">
    Yêu cầu passkey hiển thị như thế nào đối với từng thành viên.
  </Card>
</CardGroup>