配置身份验证设置

使用预设

要加载预配置的模块集，请使用 加载预设 按钮，选择所需的选项，并点击 应用 以进行更改。 以下预设可用：

• 默认（内置认证 — 基于令牌的 和 基本的 HTTP）

• LDAP

• 活动目录（LDAP与NTLM和基于令牌的）

• Microsoft Windows 域（NTLM，基于令牌的以及基本 HTTP）

启用多个身份验证模块

TeamCity 允许同时启用多个身份验证模块。

当用户尝试登录时，将逐一尝试各个模块。 如果他们中的一个验证了用户，登录将会成功；如果全部失败，用户将无法登录 TeamCity。

可以使用内部和外部认证的组合。 建议的做法是首先为您的内部员工配置 LDAP 集成，然后再为外部用户添加 内置 认证。 自 TeamCity 2020.2 起，您也可以启用通过 OAuth 服务进行的身份验证。

要添加一个模块：

1. 点击 Add Module 并从下拉菜单中选择一个模块。

2. 请通过在 Add Module 对话框中选择复选框，使用模块可用的属性。

3. 点击 应用 并 保存 您的更改。

通用认证设置

在 通用设置 区块中，您可以：

• 在服务器上启用 guest login 并更改 guest 用户名。 在启用此选项之前，请阅读我们的 安全须知。

• 定制登录表单的视图：输入介绍性文本并隐藏默认的用户名/密码字段（如果您更喜欢通过 第三方服务 进行身份验证，这将非常方便）。

• 启用 每个项目授权模式。

• 启用 两步验证。

• 对所有 TeamCity 用户执行 电子邮件验证。

• 将当前所有已登录用户登出，并删除所有 个人访问令牌。

特殊用户帐户

默认情况下，TeamCity 具有一个具有最大权限的 超级用户 帐户，还有一个具有最小权限的 访客用户 帐户。 这些帐户没有个人设置，例如 Changes 页面和个人资料信息，因为它们并非与任何特定个体相关，而是用于特殊的使用场景。

内置认证

默认情况下，TeamCity 使用内置认证，并自主维护用户及其密码。

当用户首次登录 TeamCity 时，系统将提示用户创建 TeamCity 用户名和密码，这些信息将被存储在 TeamCity 中并用于身份验证。 如果您已安装 TeamCity 并登录了它，那就意味着已启用内建授权，而且所有用户数据都存储在 TeamCity 中。

在开始时，用户数据库是空的。 新用户要么由 TeamCity 管理员 添加，要么在身份验证模块设置中启用了相应选项后，用户可以自行注册。 所有新创建的用户都属于 All Users 组，并拥有分配给该组的所有角色。 如果新注册用户需要一些特定的 角色 ，那么应通过 所有用户 群组 授予 这些角色。

默认情况下，用户被允许在他们的个人资料页面上更改自己的密码。

基于令牌的认证

这个模块允许用户通过他们自己创建和使无效的 访问令牌进行身份验证。

这个身份验证模块默认为启用状态。

Windows 域验证

允许用户使用 Windows 域名和密码进行登录。 TeamCity 验证这些凭证：服务器应当了解用户用于登录的域名。 用户名支持的语法是 DOMAIN\user.name 或 <用户名>@<域名>。

除了使用登录表单进行登录外，您还可以启用 NTLM HTTP Authentication 单点登录。
如果您选择了 "Microsoft Windows Domain" 预设，除了通过 Windows 域登录外，Basic HTTP 和 NTLM 认证模块默认情况下都会被启用。

LDAP 认证

请参考 专用页面。

基本 HTTP 认证

请参考 通过 HTTP 访问服务器 以获取有关基础 HTTP 认证的详细信息。

NTLM HTTP 认证

请参考 专用页面。

Bitbucket Cloud

用户可以使用 Bitbucket Cloud 帐户登录 TeamCity。

在启用此模块之前，您需要在 Root 项目的设置中配置一个 Bitbucket Cloud 连接，并在 Bitbucket 中设定一个专用应用程序。

要登录，请点击登录表单上方的 Bitbucket 图标，重定向后，批准 TeamCity 应用程序。 如果您的 Bitbucket 邮箱已注册并已在 in TeamCity 和 Bitbucket 上进行了验证，则这个 Bitbucket 帐户会被映射到相应的 TeamCity 用户，并且您将会被登入。 否则，除非禁用了 允许首次登录时创建新用户 选项，否则 TeamCity 将会创建一个新的用户配置文件。 也可以将现有的 TeamCity 用户 与 Bitbucket Cloud 配置文件进行映射。

GitHub

用户可以使用其 GitHub.com 和 GitHub Enterprise 帐户登录 TeamCity。 TeamCity 为此任务提供了三个独立的模块。

• GitHub.com 模块要求您为 Root 项目创建一个 OAuth GitHub.com 连接。

• GitHub Enterprise 模块要求您为 Root 项目创建一个 OAuth GitHub Enterprise 连接。

• GitHub App 模块要求您为 Root 项目创建一个 GitHub App。 这种连接类型适用于 GitHub.com 和 GitHub Enterprise 的用户。

要登录，用户必须点击用户名字段上方的 GitHub 图标。 如果此 GitHub 邮箱的用户已经注册且邮箱在 in TeamCity 和 GitHub 上都经过了验证，用户的 GitHub 帐户将被映射到相应的 TeamCity 用户，而且该用户将被登录。

否则，TeamCity 将创建一个新的用户配置文件。 您可以通过相应的身份验证模块设置来禁用这种行为。 在这种情况下，只有已经注册的用户才能登入。 也可以将现有的 TeamCity 用户 与 GitHub.com 的个人资料进行映射。

所有三个模块都有相同的设置：

GitLab.com

自2020.2版本起，用户可以使用 GitLab.com 帐户登录 TeamCity。

在启用此模块之前，您需要在根项目的设置中配置一个 GitLab.com connection，并在 GitLab 中设置一个专用应用程序。

要登录，请点击登录表单上方的 GitLab 图标，重定向后，批准 TeamCity 应用程序。 如果您的 GitLab 邮箱已经注册并且同时在 TeamCity 和 GitLab 上验证，那么这个 GitLab 帐户将与相应的 TeamCity 用户关联，您将被登录。 否则，除非禁用了 允许首次登录时创建新用户 选项，否则 TeamCity 将会创建一个新的用户配置文件。 也可以将现有的 TeamCity 用户与 GitLab.com 的个人资料进行映射。

GitLab CE / EE

用户可以使用 GitLab CE / EE 帐户登录 TeamCity。

在启用此模块之前，您需要在 Root 项目的设置中配置一个 GitLab CE/EE 连接，并在 GitLab 中设置一个专用应用程序。

要登录，请点击登录表单上方的 GitLab 图标，重定向后，批准 TeamCity 应用程序。 如果您的 GitLab 邮箱已经注册并且同时在 TeamCity 和 GitLab 上验证，那么这个 GitLab 帐户将与相应的 TeamCity 用户关联，您将被登录。 否则，除非禁用了 允许首次登录时创建新用户 选项，否则 TeamCity 将会创建一个新的用户配置文件。 也可以将现有的 TeamCity 用户 与 GitLab CE/EE 配置文件进行匹配。

Google

从 2022.10 版本开始，用户可以使用 Google 帐户登录 TeamCity。

在启用此模块之前，您需要在 Root 项目的设置中配置一个 Google connection。

要登录，请点击登录表单上方的 Google 图标，重定向后，批准 TeamCity 应用程序。 如果您的 Google 电子邮件已被用户注册并已通过在 TeamCity 中的验证，那么这个 Google 帐户将会被映射到对应的 TeamCity 用户，您将会被自动登录。 否则，除非禁用了 允许首次登录时创建新用户 选项，否则 TeamCity 将会创建一个新的用户配置文件。 也可以将现有的 TeamCity 用户 映射到 Google 个人资料。

JetBrains Space

在启用此模块之前，您需要在 JetBrains Space 中创建一个专用应用，并在 Root 项目的设置中配置到它的连接，如此处所述。

在连接配置完成后，前往 Administration | Authentication 并进行以下操作：

1. 点击 添加模块 并选择 JetBrains Space 类型。

2. 选择您是否希望在首次登录时允许创建新用户。 如果您使用的是公开可用的 TeamCity 服务器并希望限制对它的访问，这将非常有帮助。

3. 如果您希望用户在登录时通过额外的 2FA 验证（即使他们在登录 Space 时通过了），请取消选中 跳过双因素认证设置。 了解更多：降低过度的授权请求。

4. 保存该模块。

要登录，请点击 TeamCity 登录表单上方的 JetBrains Space 图标，重定向后，批准 TeamCity 应用程序。

Azure DevOps Services

在启用此模块之前，您需要在 Root 项目的设置中创建到 Azure DevOps Services 实例的 专用连接。

要登录，请点击位于 TeamCity 登录表单上方的 Azure DevOps 图标，重定向后，批准 TeamCity 应用程序。

HTTP SAML 2.0

此模块通过 SAML 2.0 在 TeamCity 中启用单点登录认证。 已确认支持 Okta、OneLogin、AWS SSO、AD FS 等其他 SSO 提供商。

该模块依赖于经过验证的第三方 SAML Authentication plugin。

要启用模块，在 Administration | Authentication：

1. 点击 Add module 并选择 HTTP-SAML.v2 类型。

2. 保存设置，并前往 Administration | SAML Settings。

3. 将Single Sign-On URL（接收方）数值复制到服务提供商配置部分下。 应如下所述在您的 SSO 应用程序的设置中输入。

在配置 TeamCity 中的 SAML 设置之前，您需要在您的 SSO 提供商一方创建一个专用的应用程序。 这是一个关于 Okta 的快速指南示例：

1. 在 Okta 仪表板中，打开 Applications。

2. 点击 创建应用集成 并选择 SAML 2.0 类型。

3. 为应用命名，并在 Configure SAML 标签页中，输入您在上述说明的第三步中复制的 TeamCity 服务器的单点登录 URL。

4. 保存应用程序。

5. 在应用程序设置的 任务分配 标签页上，点击 分配 并从您的 Okta 群组中选择所有将被授予访问 TeamCity 服务器权限的人员。

6. 在 General 标签页上，点击 查看设置指南。 您将看到需要复制到 TeamCity 的配置值。

您可以在 插件的存储库 中找到关于 Okta 的详细操作指南。 其他 SSO 提供商的设置可能会有所不同，但关键操作是相同的：

• 在应用的设置中输入 TeamCity 单点登录 URL。

• 确保所有必要的 SSO 用户配置文件都已与应用程序关联。

• 复制应用程序的 SSO URL 、发行者 URL 和证书的值。

在应用创建后，接着在 TeamCity 中配置 SAML Settings：