管理用户

您可以通过Docker Hub或管理控制台中的组织来管理用户。在Docker中配置SSO时，您需要确保在您的IdP帐户中为每个用户都存在一个帐户。当用户首次使用其域电子邮件地址登录Docker时，他们将在成功身份验证后自动添加到组织。

不，您不需要手动将用户添加到Docker或管理控制台中的组织。您只需要确保您的用户的帐户存在于您的IdP中。当用户登录Docker时，他们会使用其域电子邮件地址自动分配到组织。

当用户首次使用其域电子邮件地址登录Docker时，他们将在成功身份验证后自动添加到组织。

在SSO设置期间，您必须指定允许进行身份验证的公司电子邮件域。您组织中的所有用户都必须使用在SSO设置期间指定的电子邮件域进行身份验证。您的一些用户可能希望为其个人项目保留不同的帐户。

如果未强制执行SSO，则电子邮件地址与已验证的电子邮件域不匹配的用户可以使用用户名和密码登录以访客身份加入组织。

组织所有者和公司所有者可以通过其IdP配置其权限来批准用户。如果在IdP中配置了用户帐户，只要有可用的席位，用户就会自动添加到Docker Hub中的组织。

启用SSO后，用户下次尝试登录Docker Hub或Docker Desktop时，系统会提示他们通过SSO进行身份验证。系统将看到最终用户具有与其尝试进行身份验证的Docker ID关联的域电子邮件，并提示他们改用SSO电子邮件和凭据登录。

如果用户尝试通过CLI登录，则必须使用个人访问令牌（PAT）进行身份验证。

是的。管理员可以使用注册表密钥、`.plist`文件或`registry.json`文件强制用户使用Docker Desktop进行身份验证。

在Hub上为其Docker Business组织或公司设置SSO强制执行后，当强制用户使用Docker Desktop进行身份验证时，SSO强制执行还将强制用户通过其IdP使用SSO进行身份验证（而不是使用其用户名和密码进行身份验证）。

用户仍然可以使用与已验证域不匹配的电子邮件地址以访客帐户身份进行身份验证。但是，他们只有在该非域电子邮件被邀请的情况下才能以访客身份进行身份验证。

是的，您可以将现有用户转换为SSO帐户。要将用户从非SSO帐户转换为SSO帐户，

有关如何启用SSO的详细先决条件和说明，请参阅配置单点登录。

启用并强制执行SSO后，您的用户只需使用已验证的域电子邮件地址登录即可。

Docker SSO 默认提供即时 (JIT) 配置，并可以选择禁用 JIT。用户会在使用 SSO 身份验证时获得配置。如果用户离开组织，管理员必须登录 Docker 并手动移除用户。

SCIM 可用于提供与用户和组的完全同步。当您使用 SCIM 自动配置用户时，建议的配置是禁用 JIT，以便所有自动配置都由 SCIM 处理。

此外，您可以使用Docker Hub API 来完成此过程。

当您使用管理员控制台并启用 SCIM 时，可以选择禁用 JIT。如果用户尝试使用其 SSO 连接已验证域的电子邮件地址登录 Docker，则他们需要是组织的成员才能访问它，或者拥有该组织的待处理邀请。不符合这些条件的用户将遇到访问被拒绝错误，需要管理员邀请他们加入组织。

要无需 JIT 配置即可自动配置用户，您可以使用SCIM。