1.9 KiB
集团账号登录企微客服
本接入针对 admin-web + wechat_rpa/admin_api.py 企微客服管理端，与 im/backend 社交平台、桌面 terminal=7 认证分别独立。
已有有效 zyt 后台账号可从集团工作台一键进入客服。首次创建固定“集团基础用户”角色，没有业务权限；客服管理员使用原本地账号在“系统管理 → 用户管理”分配角色，在“角色权限”勾选具体能力。再次集团登录保留管理员分配的角色和本地停用状态，不按同名账号合并，不继承医院 root。密码仍由 zyt 验证，绑定账号不能使用或设置客服本地密码。
客服 API 配置以下公开地址，缺少任一项时关闭集团登录：
ZYT_GROUP_BASE_URL=https://<集团前端域名>
ZYT_GROUP_API_URL=https://<集团API域名>/adminapi
KEFU_PUBLIC_BASE_URL=https://<客服前端域名>
同时在集团配置 IAM_KEFU_BASE_URL=<客服前端地址>、IAM_KEFU_COMPANY_CODE=<实际客服公司编码>。回调严格为客服前端根路径 /auth/group-login，使用 history 路由。生产 HTTPS；只有回环本地开发可用 HTTP。Docker compose 已透传三项配置，不能把密钥或密码放进这些地址。
集团菜单目录仅控制集团入口显示，客服业务菜单和按钮由客服本地角色决定。集团基础角色固定为空，需给用户分配其他业务角色，而不是给基础角色扩权。客服 SSO 会话最长 8 小时；本地停用和权限调整每请求生效。当前无跨系统全局注销，集团改密/退出会阻止新的 SSO，但不会声称立即撤销所有已签发客服会话。
新增回归：wechat_rpa/test_group_sso.py 与 admin-web/apps/web-antd/tests/group-sso.test.mjs。后端测试需要在合成配置及隔离临时目录运行，勿初始化或重置真实账号库。集团侧跨项目联合测试见 C:/zyt/identity-admin/tests/kefu-joint-flow.test.mjs。