云大佬
当企业已经有统一的身份系统（例如用于邮箱、办公软件的单点登录），再为每位员工在腾讯云创建一个子用户，就等于多维护了一套账号。员工离职时，如果只在公司身份系统里禁用了账号，却忘了处理腾讯云子用户，这个入口就会一直留着。云大佬建议规模稍大的团队考虑腾讯云的 SAML 角色 SSO，把“谁能登录腾讯云”交还给企业自己的身份系统。
角色 SSO 的基本思路
在角色 SSO 中，腾讯云扮演服务提供商（SP），企业自己的身份系统扮演身份提供商（IdP）。员工先在企业 IdP 登录，再选择腾讯云作为目标应用；IdP 生成包含身份断言的 SAML 响应，腾讯云据此让员工以指定的 CAM 角色身份进入控制台。整个过程不需要在腾讯云和 IdP 之间同步用户，员工信息只维护在企业一侧。程序访问也可以走同样的信任关系，通过 STS 的 AssumeRoleWithSAML 接口换取临时凭证。
配图为流程示意，非控制台截图或交易凭据。
配置顺序与每一步的产出
| 顺序 | 在哪里操作 | 做什么 | 产出 |
|---|---|---|---|
| 1 | 企业 IdP | 导出联合元数据文档 | 包含签名证书的 XML 文件 |
| 2 | 腾讯云 CAM | 用元数据创建 SAML 身份提供商 | 身份提供商的资源描述 |
| 3 | 腾讯云 CAM | 创建以该身份提供商为载体的角色并授权 | 角色及其权限策略 |
| 4 | 企业 IdP | 把腾讯云配置为可信 SP，设置角色与会话名称属性 | 员工可从 IdP 发起登录 |
| 5 | 双方 | 用测试员工完整走一遍登录 | 登录记录与权限验证结果 |
角色怎样设计才不失控
建议按岗位而不是按人创建角色，例如“运维只读”“运维管理”“财务查账”。IdP 侧再根据员工所在的部门或组，把对应的角色写入断言。这样员工调岗时，只需在企业 IdP 中调整分组，腾讯云侧无需任何改动。主账号和一到两个应急管理员子用户仍需保留，并开启 MFA，以防 IdP 故障时完全无法登录。
配图为流程示意，非控制台截图或交易凭据。
示例：离职当天自动失去腾讯云访问
一家三十人规模的软件公司原先给每位研发创建了腾讯云子用户，离职交接时经常遗漏。接入角色 SSO 后，研发通过公司统一门户进入腾讯云，离职员工在 IdP 中被禁用的同时也就失去了控制台访问能力。原有的个人子用户在确认无程序依赖后逐个删除，只保留了应急管理员。
元数据文档上传失败怎么办？
官方说明元数据文档需为 UTF-8 编码且大小有限制。上传失败时先检查编码与文件大小，必要时只保留发布者名称和签名证书等必要元素。
IdP 的签名证书到期了会怎样？
证书过期后，腾讯云无法验证新的 SAML 断言，员工将无法通过 SSO 登录。应在证书到期前更新 IdP 证书，并在 CAM 中同步更新身份提供商的元数据，把这件事写进年度运维日历。
延伸阅读与办理
可继续阅读腾讯云账号的通知怎样分流？财务、运维与安全各收什么。需要办理时，先查看腾讯云账号服务说明，再通过云大佬咨询入口说明用途与待核对事项。
官方资料
腾讯云：基于 SAML 的角色 SSO 概述；腾讯云：为实例配置 CAM 角色。资料核对日期：2026-11-04。文中清单为操作准备建议；产品条件、实际收费和可用功能以相应账号的官方页面及有效订单为准。