12.6. 身份验证成员

当您为域启用机构时，会更改用户身份验证。如果在机构上下文中识别了用户进行身份验证，则身份验证流程会基于每个机构而变化。

创建域时，会自动更新身份验证流程，以启用特定步骤验证和加入机构成员。更新身份验证流有：

浏览器 流的主要变化是，默认为身份优先登录，以便在提示其凭据之前识别用户。对于第一个代理登录流，主更改会在通过与机构关联的身份提供程序进行身份验证并成功完成流后自动将用户添加为机构。

使用身份优先登录或不依赖于域中机构存在的选择。如果不存在机构，用户遵循常见的步骤来使用用户名和密码进行身份验证，或者在浏览器流中配置的任何其他步骤。否则，首先要求用户输入用户名或电子邮件来继续向域进行身份验证。

身份优先登录主要目的是识别用户：

根据识别用户时的结果，身份验证流程会改变通过要求用户的凭证进行身份验证，或者最终通过身份提供程序在机构安全边界内自动重定向用户以进行身份验证。

除了提供用户名后识别用户外，身份优先登录还负责：

身份优先登录提供了与通常登录页面提供的相同功能，以及用户名和密码字段。用户仍可点注册链接，或者选择任何没有链接到该域中机构的身份或社交代理。

identity-first 登录页面

Identity-first login page

对于不存在的用户，如果用户尝试使用与机构域匹配的电子邮件域进行身份验证，则身份优先登录页面会再次显示提供的用户名无效的消息。此时不需要要求用户提供凭据。

用户不存在时 identity-first

Identity-first login error

有几个选项可用于注册允许用户向域进行身份验证并加入机构的用户。

如果 realm 启用了 self-registration 设置，用户可以单击 identity-first 登录页面中的 Register 链接，并在 realm 中创建一个帐户。之后，管理员可以向用户发送邀请链接，或者手动将用户添加为机构的成员。如需了解更多详细信息，请参阅管理成员。

如果机构有一个没有域的身份提供程序，并且 Hide on login page 设置为 OFF，用户也可以单击 identity-first 登录页面上的身份提供程序链接，以便在通过身份提供程序进行身份验证后自动创建帐户并加入机构。如需了解更多详细信息，请参阅管理身份提供程序。

在与上一节中类似的情况中，组织可能设置了身份提供程序，并设置其中一个机构域。在这种情况下，如果用户的电子邮件与来自机构的特定域匹配，则用户会被重定向到身份提供程序。流完成后，会创建一个帐户，用户加入机构。