飞书 SSO 集成最佳实践：基于 Secret 模式接入观测云

背景

在企业统一身份管理场景中，单点登录（SSO）已经是提升账号治理效率和成员使用体验的基础能力。对于同时使用飞书和观测云的团队来说，如果仍然依赖观测云本地账号密码进行登录，不仅会增加账号维护成本，也会让人员变更、权限收口和身份统一管理变得更复杂。

本次集成采用飞书作为身份提供方，通过 OIDC 方式与观测云完成单点登录打通。认证模式选择的是飞书集成中心推荐的 client_secret_post，而不是传统的 client_secret_basic。原因也比较明确：飞书集成中心在 Token 接口认证方式上统一采用 Secret 传参模式，要求通过 POST Body 传递客户端凭证，不支持 Basic 认证。

从工程落地角度看，这种方式有几个明显优势：

与飞书平台接口规范保持一致，减少认证阶段的兼容性问题
参数结构统一，更适合多应用、多身份源和自动化配置场景
在 HTTPS 传输前提下具备稳定的安全保障，同时降低敏感信息在中间组件中被 Header 侧记录的风险

因此，基于 client_secret_post 的接入方式，是这类企业级集成里更稳妥、也更容易长期维护的实践方案。

为什么值得做

完成飞书与观测云的 SSO 集成后，团队通常可以获得以下几项直接收益：

成员可以直接使用飞书身份登录观测云，无需额外维护本地账号密码
身份认证入口统一，降低账号生命周期管理复杂度
更适合企业内部做权限治理、成员变更同步和账号收口
后续扩展其他身份源或多应用接入时，配置模型更清晰

方案说明

本方案的整体链路可以概括为：

飞书侧完成 OIDC 应用与权限准备，获取 clientId、clientSecret 和 wellKnowURL 等关键参数；
随后在观测云 SSO 配置中导入 OIDC JSON 模板并填写这些参数；
最后再把观测云生成的回调地址回填到飞书侧，完成登录闭环验证。

从实施顺序上看，建议分为三个阶段：

在飞书侧完成身份集成准备，并获取 OIDC 关键参数
在观测云侧完成 OIDC JSON 配置与访问限制设置
回填登录回调地址，完成最终登录验证

前提条件

开始配置前，建议先确认以下准备项已经完成：

已具备飞书相关管理权限，可访问身份集成配置页面
已具备观测云管理权限，可进入成员管理与 SSO 管理页面
已确认企业成员使用的邮箱域名
已明确本次采用的认证模式为 client_secret_post

参考信息如下：

观测云参考文档：飞书 SSO(OIDC) 配置说明
飞书访问地址：https://anycross.feishu.cn/

配置步骤

1. 飞书侧准备 OIDC 参数

首先登录飞书开放平台或 AnyCross 管理页面，确保相关应用已经创建，并已开通接入所需权限。

进入身份集成配置后，按页面引导完成基础设置，并重点保留以下三个参数：

clientId
clientSecret
wellKnowURL

这三个参数会在后续观测云侧 OIDC 配置中直接使用，是本次集成最关键的输入项。

完成参数获取后，还需要在访问授权中为目标成员或组织范围配置相应权限，确保后续登录链路可正常生效。

2. 在观测云中配置 OIDC SSO

进入观测云后台后，依次打开：

管理 → 成员管理 → SSO 管理 → OIDC

在该页面下载 OIDC JSON 模板，并重点修改以下三个字段：

{
  "clientSecret": "<填写 App Secret>",
  "wellKnowURL": "<填写飞书服务发现地址>",
  "clientId": "<填写 App ID>"
}

这里需要特别注意：

clientSecret 对应飞书侧生成的应用密钥
wellKnowURL 对应飞书 OIDC 的服务发现地址
clientId 对应飞书应用 ID

这三个字段必须与飞书侧保持一致，否则后续认证阶段会直接失败。

JSON 修改完成后，将配置文件上传到观测云，并继续补充以下信息：

身份提供商名称
企业成员邮箱域名

其中，邮箱域名需要与企业成员实际使用的邮箱后缀保持一致，这是后续账号识别与登录映射能否成功的重要前提。

3. 回填登录回调地址

当观测云侧配置完成后，系统会生成对应的登录回调地址。此时需要回到飞书单点登录配置页面，将该回调地址填写到飞书侧的登录回调地址字段中。

这一步的作用，是把飞书认证流程与观测云登录链路真正闭环起来。如果回调地址未正确填写，前面的参数即使都正确，最终也无法完成登录跳转。

4. 验证观测云登录效果

配置完成后，可以在观测云登录页面直接测试 SSO 登录流程。

如果登录成功后，页面能够正常展示对应的用户身份信息，说明本次飞书 SSO 集成已经配置完成。

效果验证

一套配置成功的结果，通常可以通过以下几个方面确认：

用户可以在观测云登录页选择 SSO 方式发起登录
登录后能够顺利跳转并返回观测云
观测云中可以识别出正确的用户身份信息
用户账号归属与邮箱域名匹配关系正确

如果这几个检查点都满足，说明飞书与观测云之间的 OIDC 登录链路已经打通。

总结

本方案基于飞书 OIDC 能力与观测云 SSO 配置能力的结合，实现了企业统一身份认证接入。整个过程中，真正决定接入是否顺利的关键点主要有三个：

认证模式选择为飞书支持的 client_secret_post
飞书侧与观测云侧的 OIDC 参数必须严格一致
邮箱域名与回调地址需要准确配置

完成这些配置后，企业成员即可通过飞书账号无缝登录观测云，在保障统一身份管理能力的同时，也显著提升整体登录体验和后续运维效率。