内网自建应用统一走 NAS 帐号登录：群晖 OAuth Service，应用注册与 Token 管理

公司内网用得越深，自建的小工具就越多：运维面板、报工页面、自动化脚本、对接 AI 服务的中间层。每个工具一套自己的帐号密码，员工记不住，管理员管不动，离职清号更是清不干净。群晖的 OAuth Service 套件给的解法是把这些应用的登录都收编到 DSM 帐号体系：套件实现 OAuth 2.0 开放标准，让第三方应用在不接触用户密码的情况下获得授权访问——资源所有者不共享凭据，这是 OAuth 协议的核心承诺，也是企业帐号治理最看重的一条。

什么场景用它最值

一是内网应用收编帐号：自建 Web 工具不再自建用户表，登录跳转 DSM 授权页，帐号生命周期跟着 DSM 用户走。二是套件生态联动：官方示例是把 Audio Station 连接到 OAuth Service 后通过 Amazon Echo 播放音乐——同一机制适用于所有支持 OAuth 2.0 的集成。三是新型集成打底：通用设置里的 Dynamic Client Registration 主要用于与 AI Console 的集成，AI 相关套件接入前这里要先就位。

操作步骤

1. 套件中心安装 OAuth Service，打开套件确认 应用程序、已授权 Token、日志 三个页面齐全。为什么：先认清工作面——应用程序页管「谁能接入」，Token 页管「谁已经接入」，日志页管「接入时发生了什么」，后面所有动作都在这三层里展开。

2. 注册应用程序：在 OAuth Service > 应用程序单击添加，输入应用程序信息并选择一个或多个范围，单击下一步。为什么：范围（scope）决定了这个应用能以用户身份动哪些资源，按最小够用原则勾选——授权粒度越细，单应用失控时的爆炸半径越小，这是 OAuth 治理的第一原则。

3. 复制客户端 ID 和密钥到您的应用程序，完成注册。为什么：客户端 ID 和密钥是应用侧调用授权接口的身份证件，只在注册流程里给出——当场存进密码管理工具或部署变量，明文留在聊天记录或代码库里，等于把大门钥匙配了一份发群里。

4. 设置默认 Token 到期时间：应用程序页单击通用设置，在窗口中指定到期时间（秒）。为什么：Token 是授权的临时通行证，到期时间就是通行证的有效期——内网工具定在数小时量级，用户无感又能让权限定期收敛；设成超长周期，Token 泄露的窗口也就跟着超长。

5. 按需启用 Dynamic Client Registration：通用设置窗口中选中或取消选中启用 Dynamic Client Registration 复选框。为什么：官方注明该项主要用于与 AI Console 的集成——要让 AI 套件以动态注册方式接入就开，用不到就保持关闭，授权面越小越好。

6. 管理存量应用：应用程序页选择目标应用（可用 Ctrl 或 Cmd 多选），单击管理 > 启用或禁用，或直接单击移除。为什么：下线一个自建工具时，这里的禁用就是总闸——应用侧代码删得再干净，注册项不处理，它持有的接入资格仍然有效。

7. 审查与撤销已授权 Token：在已授权 Token 页选择目标 Token（同样支持多选），单击撤销。为什么：这是最容易被忽略的止血点——员工设备丢失、应用服务器被疑泄露、部门调整收回权限，撤销 Token 立即生效，比改密码、删帐号的影响面精准得多。

8. 用日志页做审计：查看套件记录的事件，需要留证时单击导出将日志以 HTML 格式下载到客户端系统，确认不再需要时单击清除。为什么：谁在何时给哪个应用授了权，审计时答不上来就是治理缺口；注意清除不可还原，导出在前列为固定动作。

三个必须知道的边界

• OAuth Service 面向 OAuth 2.0 场景；跨 NAS 的单点登录走 SSO 服务器体系，选型时别混。
• 客户端密钥只在注册时完整展示一次，错过就要重新注册应用。
• 清除日志无法还原，合规留存环境先导出再清除，或把日志中心归档一并纳入。

帐号收编是内网工具从「能用」走向「可管」的分水岭。应用注册最小授权、Token 到期定期收敛、撤销操作有人会按，三件事配齐，自建应用群才算纳入了统一的安全边界。贵州诚鑫致达科技在内网系统集成交付里，OAuth 接入清单与帐号权限表是同步交付的两份文档，应用上线即纳入帐号治理。