私有化办公接入 SSO：登录成功之后，还要验收什么？
私有化办公平台的 SSO 演示，常在员工点开入口、成功进入文档列表时结束。这个结果证明了一条登录路径已经走通；采购验收还需要确认：进来的是不是正确账号，人员信息变化后是否仍对应同一个人，以及退出时哪些会话真正结束。
建议让身份平台维护者、办公应用实施方和企业 IT 使用同一组虚构账号完成验收。不要只留下“支持 SSO”的功能截图，而要记录身份字段如何对应、账号如何建立和更新、会话如何失效。以下是接入验收建议，不是某个厂商的配置教程或实测报告。
先把三件事分开问
- 身份认证：这次来访是谁？
身份提供方通常称为 IdP。SSO 接入需要办公应用识别来自身份提供方的认证结果，并按项目约定找到对应用户。验证成功并不自动说明这个用户在应用里具有什么业务权限。
- 账号供给：应用里如何产生和更新这个人？
账号是预先同步、首次登录时创建，还是由管理员维护？姓名、部门、状态和角色变化分别通过什么途径传递？这些需要单独确认。首次创建成功不能替代后续更新验证。
- 会话管理：已经登录的状态何时失效？
身份平台和办公应用可能分别维护登录状态。需要约定用户退出某一入口时，影响当前应用、当前浏览器，还是更多会话，并用实际受测组合核对。
微软的应用用户预配说明区分了通过 SAML 或 OIDC 实现的 SSO 与应用用户预配；预配还包括随状态或角色变化维护、移除用户身份。这里引用的是职责划分，不能据此推断被采购应用已经支持某种预配协议或所有身份平台。
用两个同名账号和一次改名，检查映射
准备两个显示名都为“张晨”的虚构账号 A、B，分别属于不同部门，拥有不同的测试文档权限。记录双方系统中用于识别用户的字段和应用内账号标识。显示名用于展示；用于映射的标识应由实施方明确，不能凭字段名字猜测它是否稳定、唯一。
- 分别进入。A 和 B 在各自干净的浏览器会话中登录。核对应用内账号标识、显示信息及测试文档访问结果，确认没有因为同名而指向同一个账号。
- 修改展示信息。按项目流程修改 A 的姓名，再重新登录。预期应由双方预先约定：若这是同一个人的资料更新，应继续对应原应用账号，原测试文档的关联应保持正确。若系统新建了第二个账号，应先定位映射或更新机制，不把它简单算成“登录成功”。
- 验证会变化的登录字段。如果企业可能调整邮箱或登录名，在测试环境模拟一次，并核对原账号关联。哪些字段允许变化、如何关联旧账号、历史重复账号如何处理，应成为迁移方案的一部分。
这里要证明的是账号对应关系。一个员工能看到同名头像，或者浏览器自动填入了上次账号，都不足以证明映射正确。测试资料使用虚构内容，记录只保留必要标识，不把认证令牌、密码或真实员工资料放入普通验收附件。
部门变了，再看账号信息和权限如何跟上
将 A 从测试部门甲调整到测试部门乙，先写清预期：应用是否应更新部门；原部门权限是否由组织规则自动调整；有没有独立授予的文档权限需要另外处理。完成同步或约定的更新动作后，分别检查账号信息和实际文档访问。
若方案只承诺 SSO、账号资料仍由管理员手动维护，就按这个真实范围评估维护成本；不能因为员工能免登录进入，便把组织同步也标为已验收。若采用自动同步，记录触发方式、实际完成时间、失败如何发现与重试，以及由谁处理。同步耗时应来自受测记录或明确服务约定，不能自行写成“实时”。
退出身份平台后，回到原来那张文档
微软的撤销访问说明描述了身份平台与应用各自维护会话的情形，并指出 Microsoft Entra ID 无法直接撤销应用签发的会话令牌。因此，不能从身份平台退出页面的提示，直接判断所有应用中的既有会话已经失效；实际行为要结合应用、集成方式及相关策略确认。这两份微软资料查阅于 2026 年 10 月 26 日。
可以按以下顺序做一轮可复查的测试：
- 建立基线：在浏览器中通过 SSO 打开一份测试文档，记录账号、应用版本、集成配置标识和时间，保留原文档标签页。
- 只退出身份平台：回到原标签页，刷新并尝试读取或保存一处无敏感信息的测试修改，观察是否要求重新认证。分别记录页面显示与实际请求结果，旧页面仍显示文字不能单独证明仍有访问权。
- 再验证应用退出：重新建立会话后，使用应用自己的退出入口，检查原标签页和新打开页面。若项目约定覆盖其他浏览器或终端，必须在这些环境中分别测试。
- 核对预期范围：把观察结果与事先约定逐项比较。尚未测试的终端留作待验；既有会话继续有效时，由实施方解释机制、时限与补充控制，再由企业判断是否满足要求。
不要为所有方案设想同一个固定失效时间，也不要将某种身份平台的策略当成办公应用的通用保证。验收记录需要能回答：谁触发了什么动作，哪个会话受影响，经过多久，在什么操作上确认了结果。
把验收范围带进私有化方案沟通
石墨办公套件私有部署官网列出了 SSO、LDAP/AD 和组织架构同步能力，具体组件、交付方式与验收边界需结合项目方案确认。官网的能力名称不能替代某家 IdP、某个协议版本或退出机制的适配结论。
在预约方案演示时，可以提供现有身份平台、账号字段约定、组织调整场景和要求覆盖的终端，请双方围绕这组测试确认交付范围。最终保留三份结果：账号映射是否正确，人员信息如何更新，会话退出覆盖到哪里。这样，登录演示才有机会变成可交接的企业验收。
在企业文档中验证
需要在自己的环境中验证时，可先了解私有化部署方案，再确定试用范围与验收要求。