Keyvaci集成 · Microsoft Entra ID
用你的 Microsoft 身份
就能打开的团队保管库
如果你所在的组织在运行 Microsoft 365 或 Entra ID（原 Azure AD），那么每位成员的 Keyvaci 登录方式都已经就位。不用分发新密码，不用上传用户名单，也没有需要评审的目录改动。
这个集成做了什么
从第一次点击起，就由目录验证
授权，并留下记录
创建组织的人要留下记录，确认组织授权他这样做；Keyvaci 还会读取 Microsoft 签发的令牌，记录他当时是否拥有全局管理员或特权角色管理员身份。用 DNS 证明你的域之后，其他任何人都无法再用你公司的名义创建第二个组织。
用标准，不用代理程序
OpenID Connect 加 PKCE，多租户，每次请求都用 Microsoft 公开的密钥校验令牌。租户内不需要安装任何东西，你的网络里也没有任何东西在运行。
跟随 Entra 的生命周期
成员用工作账户登录。在 Entra ID 中停用或移除他们，Keyvaci 的访问权限随之消失；再撤销其保管库权限，还会把他们曾能打开的保管库重新加密。
单点登录不削弱加密
Entra ID 回答你是谁。你能解密什么，依然只取决于在你设备上派生的主密码。两套系统在设计上就是分开的，因此加上单点登录，丝毫不损零知识这条性质。
你的 MFA 策略一并生效
条件访问、MFA、设备合规：你的目录在登录环节执行什么，就自动适用于 Keyvaci，因为登录本身就是你的目录。
五分钟配置完成
登录、确认权限、保存浏览器生成的恢复密钥包、邀请团队。多数组织在第一杯咖啡喝完之前，就存下了第一条共用凭据。
完整配置流程
三步，不用给 IT 开工单
用 Microsoft 登录
将要管理保管库的人点击“用 Microsoft 开始”，像对待任何 Microsoft 365 应用一样为 Keyvaci 应用授权。可选的租户级管理员同意，能免去每位用户的授权提示。
创建组织
他确认自己有权代表该组织，随后你的浏览器在本地生成该组织的签名密钥与恢复密钥，只显示一次，绝不发送给我们。之后验证你的域，这个名字就为你保留了。
用邮箱邀请
成员用现有的 Microsoft 账户登录，系统会自动识别他们。每个人设置主密码，由管理员副署，然后就可以开始接收保管库。
Entra ID 相关问题
目前每位 IT 管理员都会问的
这需要改动我们的 Entra ID 租户吗？
不需要。Keyvaci 是一个标准的多租户 OIDC 应用。用户在首次登录时像对待任何 Microsoft 365 应用一样授权；租户管理员也可以选择一次性为所有人授予同意。不会向你的目录写入任何内容。
谁可以创建我们的组织？
用你租户里的工作账户登录的任何人都可以，但有一个条件：他必须留下记录，确认组织授权了他，这条确认会连同其姓名和经验证的身份一起保存。Keyvaci 还会从 Microsoft 签发的令牌中记录他当时是否拥有全局管理员或特权角色管理员身份，因此你的审计记录会写明是哪一种。真正为你公司保留名字的是域名验证：把我们签发的 TXT 记录发布到你的 DNS 里，其他任何人都无法再为该域创建第二个组织。
单点登录会削弱零知识加密吗？
不会，因为登录和解密是两套分开的系统。Entra ID 证明你是谁。解密密钥由你的主密码在你的设备上派生，而密码和密钥都从不被发送。完整细节见安全页面。
不在我们租户里的成员怎么办？
来宾场景和基于邮箱的成员，可以通过带强制验证的邮箱注册来支持，加密方式完全相同，在能接收任何保管库之前，也同样要经过副署这一步。