企业微信单点登录群晖NAS怎么配置才能免密跳转登录？
公司日常办公都用企业微信，文件都存在群晖 NAS 上。老板提了个需求：员工在企微的工作台点一下图标，就直接进 NAS，不要再输一遍账号密码。企业微信那边的应用配置倒是不难，卡住大家的往往是 NAS 后台这边——到底要怎么配，才能让企微"免密跳转"上去？
先把现实说清楚
企业微信的自建应用本质上就是个"网页快捷方式+授权登录"的壳子，它发的授权票据，群晖 DSM 的登录页并不认识。两个系统之间没有官方现成的单点登录直通车，所以别指望在 DSM 里点开某个开关就万事大吉。能落地的路子分三档，按省事程度排：
- 半免密（最常见）：企微挂入口，账号密码交给浏览器记住；
- 账号统一：有域环境就让 DSM 加域，全公司一套账号密码；
- 真免密（定制）：在 NAS 前面加一层统一登录网关做转发，小公司一般不划算。
分步配置
- 企微端建自建应用：登录企业微信管理后台，在"应用管理"里创建一个自建应用，把主页地址设为 NAS 的 DSM 访问地址（建议用内网域名或固定地址，别用会变的 IP）。这样员工在企微工作台就能看到这个应用图标，点开直达 NAS 登录页。
- 配置可达范围：在应用的"网页授权及JSSDK"可信域名里加上 NAS 的域名；同时确认员工的电脑和手机在内外网都能访问到这个地址，内网通、外网不通的话，出门在外就点不开了。
- 实现"准免密"体验：让员工第一次登录 DSM 时，在浏览器登录框勾选"记住密码"（或统一用公司的密码管理工具）。第二次从企微点进来，路径已经通了，点一下登录就行——八成想要免密的场景，要的就是这个体验。
- 统一账号命名：NAS 的账号和企微的账号按同一套规则建（比如都用姓名全拼），密码统一由一个人管理。新人入职、老人离职，两边同步增删——账号对不上，单点登录就是空谈。
- 有 Windows 域的公司走正路：如果公司本来就有域控制器，在 DSM 的控制面板里选"域/LDAP"，把 NAS 加入域。之后员工用域账号直接登 DSM，密码天然一套。公司没有域就别为这事专门建域服务器，几台电脑的规模纯属给自己加活。
- 确实要"点一下就进去"的：需要在 NAS 前面部署一层支持标准认证协议（如 OIDC）的统一登录网关，由它接收企微的授权再转发给 NAS。这属于定制开发，要维护的组件也多了一层，没有现成 IT 支持的小公司不建议碰。
安全提醒（别为了免密把门拆了）
- 不要为了图省事把 DSM 管理入口直接敞开在公网上、还关掉两步验证。方便是给员工的，门锁是给坏人的。
- 账号密码交给浏览器记住没问题，但千万别做成"全公司共用一个账号"——共享账号等于没有账号，出了事都不知道是谁干的。
- 员工离职当天就停用企微和 NAS 两边的账号，别拖。
账号体系这种事，一次规划好能省后面无数次麻烦。如果公司想系统地把企微和 NAS 的权限、目录、备份一起理顺，可以搜『企业数据管家』看相关文章，贵州诚鑫致达科技也提供这类企业集成落地服务。
参考来源：CSDN 问答原题 https://ask.csdn.net/questions/7945886 ；群晖官方帮助中心 kb.synology.cn