企微群晖登录

项目简介

企微群晖登录（IM Synology Login）用于把企业微信和群晖 DSM 连接起来。员工从企业微信工作台打开应用后，可以进入 DSM / Drive；管理员也可以把企业微信通讯录同步成 DSM 用户和群组。

它解决的是两个实际问题：

• 员工不再单独记一套 DSM 账号密码，通过企业微信完成登录。
• 管理员不用在 DSM 里手工维护员工账号，企业微信组织变化后可以同步到 NAS。

系统分成两部分：

组件	部署位置	负责什么
IM Synology Login Server	公网服务器	管理后台、企业微信授权、扫码登录、OIDC Provider、通讯录同步任务生成。
IM Synology Login Plugin	群晖 NAS	主动连接云端服务，拉取任务，在 NAS 本机创建、更新或禁用 DSM 用户和群组。

这套方案适合已经用企业微信维护组织通讯录，同时希望员工通过企业微信进入群晖 DSM、Drive 或其他 NAS 应用的团队。

登录效果

企业微信工作台里会出现一个应用入口。用户点击后，系统会进入 DSM SSO 流程，不需要手工输入 DSM 账号密码。

如果用户还没有 DSM 登录态，会先看到进入 DSM 的过渡页，随后进入企业微信授权或扫码确认。

授权完成后回到群晖 DSM 桌面。

系统架构

登录链路：

企业微信工作台 / 外部浏览器扫码
-> IM Synology Login Server
-> DSM OpenID Connect SSO
-> 群晖 DSM / Drive

通讯录同步链路：

企业微信通讯录
-> IM Synology Login Server 生成同步任务
-> IM Synology Login Plugin 主动拉取任务
-> NAS 本机执行 synouser / synogroup

这里最重要的一点是：云端服务器不需要主动访问办公室内网 NAS。NAS 上的套件会主动访问云端服务并拉取任务，这样更适合普通内网环境。

先装什么

建议按下面顺序部署，少走回头路：

1. 准备云端服务域名和 HTTPS，例如 https://im-login-server.example.com。
2. 准备 DSM / Drive 外网入口和 HTTPS，例如 https://nas.example.com:4433。
3. 部署 IM Synology Login Server。
4. 进入云端管理后台完成安装向导。
5. 在云端管理后台新增一条服务配置，生成 OIDC Client。
6. 在企业微信后台配置自建应用、可信域名和工作台入口。
7. 在 DSM 控制面板配置 OpenID Connect SSO。
8. 打包并安装 IM Synology Login Plugin。
9. 在套件页面复制套件密钥，填回云端服务配置。
10. 在云端管理后台执行集成自检、通讯录同步和登录验证。

推荐地址规划

地址	用途
https://im-login-server.example.com	云端管理后台、企业微信回调、OIDC Issuer。
https://nas.example.com:4433	DSM / Drive 外网入口，也是 DSM OIDC 重定向地址来源。
https://plugin.example.com:4433	群晖套件配置页的外网入口，反向代理到 NAS 本机 25323。

nas.example.com 和 plugin.example.com 不要混用。前者是 DSM 自身入口，后者才是套件配置页入口；如果两者都走 4433，也要用不同域名或不同反向代理规则区分。

组件文档

IM Synology Login Server

• 部署在公网服务器。
• 推荐使用 Docker 镜像运行。
• 需要 MySQL、Nginx 和 HTTPS。
• 提供管理后台、企业微信配置、OIDC 配置、通讯录同步、套件下载和集成自检。

查看 Server 部署文档

IM Synology Login Plugin

• 安装在群晖 DSM 上。
• 打包产物是 .spk。
• 默认本机监听 25323。
• 负责套件密钥、任务拉取、用户组同步和 DSM 同源自动 SSO 页面。

查看 Plugin 套件文档

管理后台预览

服务配置

每条服务对应一条“企业微信应用 -> 群晖 NAS”的登录和同步链路。企业微信参数、OIDC Client、DSM 地址和套件密钥都在这里集中维护。部署时先把服务保存下来，再把页面生成的 OIDC Client 复制到 DSM。

通讯录同步

管理员先选择要同步的企业微信部门。保存同步范围后，这些部门下新增或变更的成员会进入后续同步任务。

集成自检

集成自检用于部署时逐项核对企业微信、OIDC、群晖套件和工作台入口。优先按自检页给出的地址复制到企业微信和 DSM 后台，减少手工拼错。

常见边界

• 企业微信工作台入口建议直接复制云端“集成自检”输出，不要自己手拼 /dsm 地址。
• oidc.client_id 和 oidc.client_secret 由云端服务生成，DSM 里要填同一组值。
• 套件密钥由群晖套件生成，云端只负责录入和校验。
• 通讯录同步前先打开“只演练”，确认日志正常后再真正修改 DSM 用户。
• 生产环境必须使用 HTTPS，否则企业微信可信域名、扫码登录和 DSM OIDC 都容易失败。

技术支持

• 技术支持：北京必码科技工作室
• 官方文档：https://bima.cc
• 官方店铺：https://bima.taobao.com
• 联系邮箱：bima.cc@qq.com
• 联系微信：e18929958