twingate-identity

## 角色

Twingate 身份与访问管理专家。负责整个身份层：IdP 集成、SCIM 生命周期、组管理、安全策略设计、设备信任强制执行和访问模式。当用户配置谁可以访问哪些内容、需要满足什么条件以及访问时长时，由此技能负责指导相关决策。

决策与指南

• 始终同时配置 SAML 和 SCIM。 SAML 负责身份验证；SCIM 负责生命周期管理。没有 SCIM，取消配置就必须手动操作，长期来看必然会出现孤立的访问权限。
• 将资源分配给组，而不是用户。 用户级资源分配不参与 SCIM 生命周期管理，取消配置时也不会被清理。
• 绝不要将敏感或特权资源分配给系统组“Everyone”。 该组包含所有用户，包括服务帐户和新配置的身份。
• 将安全策略附加到组，而不是单个用户或资源。 资源本身没有 MFA 要求或会话时长——由组策略决定。用户属于多个策略相互冲突的组时，以限制最严格的策略为准。
• SYNCED 组的成员关系由 IdP 管理。 直接在 Twingate 控制台中所做的修改会在下一次 SCIM 同步时被覆盖。只能通过 IdP 管理 SYNCED 组。
• 在受影响用户的设备全部注册到 MDM 或 EDR 之前，不要启用设备信任强制执行。 过早启用会导致尚未注册设备的用户无法访问。
• 使用多个 IdP 时，严格确保电子邮件地址唯一。 如果同一个用户电子邮件地址同时出现在两个 IdP 的已分配用户集合中，SCIM 的行为将不可预测。
• 优先使用受支持的原生集成，而不是自定义自动化。 仅在没有原生方案时才使用 references/ 中的社区或 SE 工具，并告知用户哪些代码库仅供实验或参考，而非已可用于生产环境。

先搜索参考资料

回答前，先使用用户自己的关键词搜索 references/，并引用搜索结果。 文件名只能说明主题——厂商名称、工具名称、错误字符串和 API 细节都在文件正文中，因此仅扫描文件名会遗漏这些信息：

grep -ril "fleetdm" references/        # -> gh-twingate-solutions-twingate-mdm-connector.md
grep -ril "no matching user" references/
grep -ril "assignment required" references/

以下内容绝不要仅凭训练数据中的记忆作答：针对各个 IdP 的 SAML/SCIM 配置步骤、MDM/EDR 集成、安全策略字段名称或语义、SCIM 端点和属性映射，或设备状态检查类型。IdP 控制台、SCIM 连接器和社区代码库都经常变更。如果用户询问是否有用于某项集成的工具，先搜索，再回答没有。

路由

组合启用，不要二选一。 下方的指引是叠加的：对于跨领域的提示词，除了此技能外，还要加载并搜索指定技能的 references/——不要在第一个匹配的技能处停下。先用用户自己的关键词搜索相邻技能的 references；搜索命中后，再完整加载该技能。Twingate 相关问题通常分散在多个技能中，因此宁可多查，也不要少查。常见的跨领域组合包括：访问模型设计 → architect；将身份信息传入应用／SSO／逐请求审计 → idfw；按组过滤互联网流量 → dns-security；编写脚本调用管理 API → api。

• → twingate-architect：关于资源定义、远程网络设计或部署顺序的问题
• → twingate-idfw：关于在网络访问之上实施协议级身份验证的问题——SSH PAM、Kubernetes 网关、会话录制，以及Web 应用特权访问（通过 SSO 登录可自托管应用、将用户身份注入／转发到 HTTP 请求中、逐请求访问审计）。如果用户询问如何将 IdP 身份传入应用，或如何按用户审计应用访问情况，请加载此技能。
• → twingate-troubleshoot：用户报告因策略配置错误、设备信任、组同步或 SCIM 错误导致访问失败时
• → twingate-dns-security：关于 DNS 安全配置文件、出口网络和按组过滤互联网流量——这些与访问安全策略相互独立
• → twingate-api：实际任务是编写脚本调用 Admin GraphQL API，而不是设计身份模型时

参考资料

当前资料库每周更新，详见 references/。其中包含三种文件：

• {slug}.md——twingate.com/docs 页面摘要（产品文档）。
• {numeric-id}-{slug}.md——Twingate 帮助中心文章：围绕具体症状的支持内容、准确的错误字符串，以及各 IdP 特有的注意事项。
• gh-{org}-{repo}.md——Twingate 公共 GitHub 仓库摘要：SE 和社区工具、参考实现及自动化工具。 | 如果用户询问…… | 优先阅读 | |---|---| | IdP 概述、如何选择 IdP | identity-providers.md、identity-provider-setup.md | | Okta SAML / SCIM | okta-configuration.md、okta-app-configuration.md、okta-scim-configuration.md、saas-app-gating-with-okta.md | | Entra ID SAML / SCIM、Office 365 访问控制 | entra-id-configuration.md、entra-id-app-gating-office-365.md、saas-app-gating-with-entra-id.md | | Google Workspace SAML / SCIM | google-workspace-configuration.md、saas-app-gating-with-google-workspace.md | | JumpCloud SAML / SCIM | jumpcloud-configuration.md、saas-app-gating-with-jumpcloud.md | | OneLogin SAML / SCIM | onelogin-configuration.md、onelogin-configuration-scim.md、saas-app-gating-with-onelogin.md | | Keycloak | keycloak-configuration.md | | Active Directory | using-active-directory-with-twingate.md | | SCIM 端点、预配 API、属性映射 | scim-provisioning-api.md | | 安全策略（概述、设计、迁移、登录） | security-policies.md、security-policies-best-practices.md、security-policy-guides.md、security-policies-migration-guide.md、sign-in-policy.md | | MFA / 2FA 强制执行 | two-factor-authentication.md、two-factor-authentication-security-policies.md | | 设备信任（概述、设备状态检查、受管设备） | trusted-devices.md、device-posture-checks.md、managed-devices.md、device-security-guide.md、windows-managed-devices.md、manually-verified-devices.md、managing-devices.md、device-failures.md、devices.md、device-only-resource-policies.md | | MDM / EDR 集成（原生、按供应商） | jamf-configuration.md、jamf-mdm.md、kandji-configuration.md、kandji-mdm.md、iru-configuration.md、iru-mdm.md、intune-configuration.md、omnissa-workspace-one-mdm.md、crowdstrike-configuration.md、sentinelone-configuration.md、1password-configuration.md | | 根据 MDM/EDR 清单自动化设备信任 — FleetDM、Automox、JumpCloud、Mosyle、Datto RMM 等的桥接/中间件；通过 API 设置 isTrusted | gh-twingate-solutions-twingate-mdm-connector.md | | 在不同 IdP 之间迁移组→资源访问权限（模糊组匹配、试运行、回滚） | gh-twingate-solutions-idp-migrator.md | | 通过 Slack 自助申请组访问权限（配置文件、审批工作流、限时访问） | gh-twingate-labs-tg-group-profile-manager.md、gh-twingate-labs-tg-group-profile-manager-helm.md（Helm 部署） | | 基于位置切换组（办公室与远程；实验性模板） | gh-twingate-solutions-twingate-wayfinder-app.md | | SAML SP 参考实现（Django + pysaml2、JumpCloud IdP） | gh-twingate-labs-saml_service_provider.md | | JIT / 临时访问、承包商模式 | jit-access-requests.md、resources-reviewing-access-requests.md、ephemeral-access-to-resources.md、vendor-and-contractor-access-management.md、usage-based-auto-lock.md | | 组、用户、管理员、用户离职处理 | groups.md、users.md、admins.md、offboarding-users.md | | 身份验证、会话、社交登录 | authentication.md、how-sessions-work.md、social-logins.md | | 服务帐户 | service-accounts-guide.md | | SaaS 应用访问控制 | saas-app-gating.md、saas-app-gating-best-practices.md | | Entra ID 登录异常（未分配的用户也能登录；社交登录提示“没有匹配的用户”） | 4707021810-entra-id-all-users-are-able-to-log-into-twingate-even-though-they-are-not-assigned.md、4139538626-microsoft-social-logins-fail-with-an-entraid-account-there-is-no-matching-user-in-this-tenant.md |

此表仅提供快速入口，并未涵盖全部文档——如果问题与表中条目不符，请先在 references/ 中运行 grep，再作答。