History 073 Application user guide

历史文档：保留迁移前已公开内容，适用其正文声明的版本。当前候选说明见 Application-user-guide。

应用用户操作

适用于 SandIAM 0.7.3 源码候选；安装兼容性与真实操作结果须在自己的隔离环境确认。当前候选尚未形成正式发行，发行状态见版本与兼容性。

应用用户从接入应用提供的独立入口登录，不使用 SandAdmin 后台账号。该应用的门户入口是：

https://<SandIAM 宿主>/app/sand-iam/account/

应用管理员从其已配置的应用入口、邀请流程或门户配置向用户提供这个 HTTPS 地址及对应的组织/应用代码； 用户不应自行猜测或切换组织、应用代码。不要让用户进入 SandAdmin 菜单或要求其粘贴 access token。

接受邀请、注册与首次登录

1. 收到邀请时，仅从应用确认的 HTTPS 邀请链接打开门户。门户读取 invitation token 后应立即从浏览器地址移除， 再显示“接受邀请”页；检查页面显示的应用名称，不匹配则关闭页面并联系应用管理员。
2. 在“接受邀请”页设置账号和密码。邀请 token 仅用于这一动作，不能转发、保存或重复使用。
3. 若应用管理员启用了公开注册，选择“注册”，填写该应用要求的身份信息并完成验证；未启用时不要尝试绕过邀请流程。 注册验证补充：如果页面提示“还需要完成验证”，请选择账号登记的邮箱或手机发送验证码。页面显示“验证请求已受理”只表示请求已受理，不保证实际送达；收到验证码后输入并确认，再重新登录。若登录仍要求另一种验证，按页面提示继续。不要输入新的邮箱或手机号，也不要向管理员发验证码。
4. 邀请接受或注册成功后回到门户登录页，使用新账号首次登录。首次登录后核对显示的应用名称、个人资料和安全设置；这些都属于当前应用，不会自动共享到其他应用。
5. 登录失败时先核对应用和账号范围。连续失败触发锁定后，按页面提示等待或联系应用管理员。

MFA、Passkey 与恢复码

1. 登录门户后打开“安全设置”。
2. 添加 MFA：选择认证器，按页面显示的二维码/设置密钥在认证器中添加，再输入一次性验证码确认。确认完成前不要关闭页面。
3. 添加 Passkey：在安全设置选择“添加通行密钥”，为当前设备命名，按浏览器或系统提示完成验证并确认保存。Passkey 受当前应用与域名约束；不要在不受信任设备上创建。
4. 在页面首次显示恢复码时，离线保存到受控位置。恢复码、TOTP 设置密钥和 Passkey 私钥都不会由管理员代为读取或恢复。
5. 定期在安全设置检查认证器和会话，撤销不认识的设备。撤销最后一种登录方式前，先确认仍有另一种可用方式。

自助恢复与异常处理

1. 忘记密码时，在门户登录页选择“找回密码”，输入当前应用的登录标识并按页面完成验证与新密码设置。
2. 遗失 MFA 设备时，使用已保存的恢复码或应用定义的受控恢复步骤。没有可用恢复材料时，联系应用管理员发起身份核验；管理员不能读取旧密码、令牌、MFA 密钥或恢复码。
3. 密码重置后重新登录，检查并撤销异常会话、过期的 MFA 设备或不再使用的 Passkey。
4. 若邀请、注册、恢复或登录页面显示错误，提供应用名称、时间、错误码和脱敏截图给管理员；不要提供密码、验证码、恢复码、令牌或邀请链接。

会话与安全设置

在自助门户中查看当前和历史会话，撤销不认识的设备。修改密码后重新检查会话列表。 启用 MFA 或 Passkey 时保存一次性恢复码；设备丢失或认证器异常时使用受控恢复流程， 不要要求管理员读取密码、密钥或恢复码。 若绑定 MFA、添加 Passkey、登录或找回密码时页面提示网络异常，先按页面的安全提示重试一次；仍不能确认 结果时停止操作并联系应用管理员，不要反复提交验证码、恢复码或邀请链接。请求重放窗口、挑战和审计关联属于 接入方实现契约，见应用接入，不应由用户收集技术证据或令牌。

连接身份

连接外部身份前确认身份源名称和目标应用。解绑前确保仍有其他可用登录方式。 若系统提示身份冲突，不要创建重复账号；联系应用管理员核对身份源实例和应用归属。

发现异常

立即撤销可疑会话并修改密码；若凭证、恢复码或设备可能泄露，撤销对应认证器。 向管理员提供操作时间、应用名称、错误码和脱敏截图，不要发送令牌、验证码或个人敏感数据。

---

文档首页 · 排障