把企业微信组织架构同步进控制台：数据源配置
本篇涵盖的知识重点
- 开始前必须拥有企业微信管理后台的管理员权限
- 凭证三件套是企业 ID、AgentId、Secret，Secret 需在移动端企微 App 确认后下发
- 自建应用获取企业内部数据前必须配置可信域名与可信 IP，否则接口调用失败
- 可见范围决定同步到控制台的数据范围，支持按部门、成员、标签三种方式
- 控制台侧入口为 组织与成员 > 数据源管理，添加数据源时选择企业微信
- 部门映射字段固定不可修改；人员的用户 id、登录名、姓名映射也固定
- 同步分手动同步（即点即执行）与定时同步（设置触发时间和间隔）两种
- 更换数据源会清空原有配置与同步记录，已同步至控制台的人员会保留
配置路径一览
企微侧、控制台侧与同步策略分步解读
作用同步动作由应用承载，一个干净的新应用能减少后续排查干扰。
操作登录企业微信管理平台（若链接无法直达，可进入企业微信官网，单击右上角企业登录进入后台管理登录页）。登录后单击应用管理，进入应用管理页面，在「自建」区域单击创建应用，填写应用 Logo、应用名称、应用描述并选择可见范围，创建成功后进入应用详情页面。若已有稳定可用的已发布应用，也可直接选用该应用。
注意可见范围决定从企微同步到企业控制台的数据范围，需按业务需要选择，后期也可再次修改；为确保稳定可用，建议新建应用而非复用旧应用。
作用这三个值是控制台侧绑定数据源的必需凭证，缺一无法建立连接。
操作在「企业微信管理后台 > 应用管理 > 自建」区域找到刚创建的应用，进入应用详情页面查看 AgentId 和 Secret；Secret 需要单击查看后，使用管理员账号在移动端企业微信 App 中确认，确认通过后会发送到企业微信 App 上。再进入「我的企业」页面查看企业 ID 信息。
注意Secret 属于敏感凭据，仅在需要配置时查看，不要截图外传或写进共享文档。
作用根据企业微信开发管理规则，自建应用获取企业内部数据前必须完成这两项配置，省略会导致接口调用失败。
操作在应用详情页的开发者接口区域单击「设置可信域名」，填写公司官网已备案的可信域名并确定；返回应用详情页，在开发者接口区域找到「企业可信 IP」，单击配置并填写部署企业控制台 Agent 的服务器 IP。
注意填写域名时企业微信方会校验域名真实性与所有权；IP 需要是可对外访问的公网 IP，集群配置可填多个，中间用英文分号隔开。
- 域名：提前准备已备案的企业可信域名，企微方会校验域名的真实性与所有权，临时填一个未备案域名会卡在这一步。
- IP 信息：部署企业控制台 Agent 的服务器 IP，且必须是可对外访问的公网 IP；集群配置可填多个，中间用英文分号隔开。
- 为什么必须配：按企微开发管理规则，自建应用获取企业内部数据前必须完成可信域名与可信 IP 配置，省略会直接导致接口调用失败。
作用控制台侧不支持设置部门或人员范围，同步范围的收口必须在企微侧完成。
操作在应用详情页找到「可见范围」，单击编辑进入编辑页面，可对当前范围执行删除、添加等操作。添加时支持三种方式：根据部门、根据成员、根据标签，三种可以同时使用，也可只用其中一种或两种，选择完成后单击确认，回到可见范围编辑页单击完成。
注意受企业微信个人隐私保护规则影响，部分数据不可直接获取；若映射预览提示字段缺失，通常是应用未开通对应字段权限。
- 根据部门：按组织架构整块划入，适合以部门为边界同步的场景，后续部门调整会自动跟随。
- 根据成员：精确指定到个人，适合只需要同步少量关键岗位的场景，维护成本随人数上升。
- 根据标签：按标签圈选，适合跨部门的虚拟组织（如项目组），三种方式可以同时使用，也可只用其中一种或两种。
作用这一步把企微侧准备好的应用与控制台连接起来，是整条链路的枢纽。
操作在 企业管理后台 > 组织与成员 > 数据源管理 中单击添加数据源，跳转数据源选择页面后选择企业微信数据源，进入企业微信配置后选择 Agent，并填写前面拿到的 AgentId、Secret 和企业 ID。随后配置字段映射：部门映射字段对应关系固定不可修改，人员字段中用户 id、用户登录名、用户姓名固定不可修改，其他字段可自行添加对应关系。
注意若已有企微数据源且共用同一台企微服务器，可单击选择企微数据源选项自动拉取配置；字段映射的更多问题可查阅字段映射说明文档。
- 企业 ID：在「企业微信管理后台 > 我的企业」页面查看，是企业的唯一标识。
- AgentId 与 Secret：在「应用管理 > 自建」中单击应用进入详情页查看；Secret 需单击查看后由管理员在移动端企业微信 App 确认，确认通过后发送到企微 App。
- 专享版：界面没有「选择 Agent」字段，无需选择 Agent，只需配置其他配置项。
- 旗舰版：多数企业微信无法直接与外网连接，需通过 agent 代理连接（可参考系统代理设置），配置成功后选择运行中的 agent 完成通信；安装 Agent 的服务器一定要保证能和企微网络互通。
作用只有真正跑一次同步，才能验证凭证、范围与映射是否都正确。
操作在数据源页面单击「手动同步」，系统会立即执行一次导入/同步任务；需要周期性更新时，在第三步的「设置同步策略」模块打开定时同步开关，设置触发时间与触发间隔。同步完成后进入账号同步页面查看同步日志，单击某条日志可查看详情。
注意触发删除保护时仅停止删除操作请求，同一次同步中的新增、修改请求会继续执行；删除保护条件可修改，但若非频繁触发导致日常同步难以进行，不建议修改。
- 手动同步：在数据源页面单击「手动同步」按钮，即点即执行，适合配置刚改完要立刻验证的场景。
- 定时同步：在「设置同步策略」模块打开定时同步开关，设置触发时间与触发间隔，让企微中的架构变更周期性同步到腾讯统一身份；例如设置每 1 小时一次、每天从零点开始。
- 同步日志：同步运行完毕后，在账号同步页面可看到什么时间、以手动还是自动方式进行了同步，以及成功数据与失败数据；单击某条日志可查看具体同步详情。
同步运维与常见问题
- 更换数据源：单击「数据源更换」并二次确认后可更换数据源类型；更换后原有数据源的所有配置和同步记录将清空，已同步至企业控制台侧的人员会保留。若只是更换应用凭证而非数据源类型，直接编辑数据源并更新凭证即可，非必要不建议更换。
- 删除保护：系统执行同步任务前会识别本次操作是否触发保护条件，满足则本次同步不进行，并向预留的联系方式发送通知。
- 触发删除保护时，仅自动停止删除操作请求；同一次同步中同时发起的新建、修改请求会继续执行，不受影响。
- 企业控制台侧暂不支持设置部门或人员范围，若同步过程有指定范围要求，须在企微侧创建应用时的「可见范围」中设置。
- 字段映射测试：需要通过手机号搜索真实人员做映射实例时才需要开通额外权限；用默认实例查看映射关系或通过 userid 搜索真实人员则不需要。
- 在企微侧获取 user_id：登录企业微信管理平台，进入「通讯录-成员管理」，选定成员后，人员信息浮层顶部员工名称后括号内的 UserID 即为该员工的 user_id。
上手挑战
```markdown
我们准备把企业微信作为数据源接入企业管理控制台，请帮我产出一份《前置准备清单》，在开始操作前逐项打勾。
必须覆盖的真实要点（不要增删结论）：
- 需要拥有企业微信管理后台的管理员权限，且已注册企业微信管理员账号；
- 需要准备企业 ID、AgentId、Secret 三项凭证，其中 Secret 需单击查看后由管理员在移动端企业微信 App 确认，确认通过后发送到企微 App；
- 需要提前准备已备案的企业可信域名；
- 需要部署企业控制台 Agent 的服务器 IP，且必须是可对外访问的公网 IP，集群可配置多个并用英文分号隔开；
- 需要通过「可见范围」确定同步到控制台的数据范围，支持按部门、按成员、按标签三种方式，可组合使用；
- 旗舰版因大多数企业微信无法直接与外网连接，需要通过 agent 代理连接，安装 Agent 的服务器必须能与企微网络互通；专享版界面没有「选择 Agent」字段。
请输出：1）一张清单表（项目 / 由谁准备 / 怎么验证已就绪 / 卡住时找谁）；2）一段「最容易卡住的三件事」提示，不超过 150 字；3）一段给企微管理员的请求话术，用于申请应用创建与 Secret 查看权限。
```得到一张完整的前置准备清单表、一段风险提示和一段申请话术，所有要点与给定信息一致。
```markdown
我要配置企业微信数据源的字段映射，请帮我设计方案并预判风险。
已知约束（请严格按此设计）：
- 部门映射字段对应关系固定，不可修改；
- 人员字段中，用户 id、用户登录名、用户姓名这三项对应关系固定，不可修改，其他字段可自行添加对应关系；
- 受企业微信个人隐私保护规则影响，企微部分数据不可直接获取；
- 控制台侧暂不支持设置部门或人员范围，范围要在企微侧创建应用时的「可见范围」中设置；
- 若映射结果预览提示「字段缺失」，通常是因为企微侧应用创建时未开通对应字段权限。
请输出：
1. 一张字段映射表，分为「固定不可改」和「可自定义」两组，可自定义部分给出 6 个建议字段（如手机号、邮箱、职位、部门、直属上级、入职时间）及推荐用途；
2. 一张「隐私字段风险评估表」，覆盖手机号、邮箱、职位三类，列出风险、是否建议同步、替代方案；
3. 一段「字段缺失」排查步骤（不超过 150 字）。
```得到字段映射表、隐私风险评估表和字段缺失排查步骤，固定字段与可自定义字段的区分准确无误。
```markdown
我的企业微信数据源已经配置完成，需要制定后续的同步运维方案。
已知规则（请严格按此设计，不要新增规则）：
- 同步有两种方式：手动同步（在数据源页面单击手动同步，即点即执行）和定时同步（可设置触发时间和触发间隔，让架构变更周期性同步到腾讯统一身份）；
- 删除保护：系统执行同步任务前会识别本次操作是否触发保护条件，满足则本次同步不进行，并会给预留的联系方式发送通知；删除保护条件支持修改，但若非频繁触发导致日常同步难以进行，不建议修改；
- 触发删除保护时，仅自动停止删除操作请求，同一次同步中同时发起的新增、修改请求会继续执行；
- 同步完成后可在账号同步页面查看同步日志，能看到同步时间、手动或自动方式、成功与失败数据，单击某条日志可查看详情；
- 更换数据源会清空原有数据源的所有配置和同步记录，已同步至控制台侧的人员会保留；若只是更换应用凭证而非数据源类型，可直接编辑数据源并更新凭证。
请输出：1）一份同步频率建议（说明什么情况下选手动、什么情况下设定时，并给出一个定时配置的示例）；2）一张删除保护「触发场景—影响—应对」对照表；3）一段日常巡检清单（每周要看什么、异常时先看哪里）。
```得到同步频率建议、删除保护对照表和巡检清单，规则描述与给定信息完全一致，且明确区分了更换数据源与更换凭证的不同后果。
本文基于官方文档再创作，具体以官方文档站实际展示为准。