网络要求
概述
TinaCloud 的身份验证和内容服务需要与多个外部域进行通信。如果您的网络使用防火墙、VPN 或代理限制出站流量，您需要将下列域列入白名单，以确保 TinaCMS 正常运行。
必需的域
TinaCloud 服务
域 | 目的 |
|---|---|
| TinaCloud 仪表板和资产交付 |
| 身份验证和身份服务 (v1) |
| 身份验证和身份服务 (v2)。在 v1→v2 过渡期间需要与 |
| 内容 API 和数据层 |
| 资产管理和交付 |
身份验证 (OAuth / SSO)
TinaCloud 使用 AWS Cognito 和 API Gateway 进行身份验证。登录流程在登录时通过这些域进行重定向：
域 | 目的 |
|---|---|
| AWS Cognito 托管 UI (OAuth 授权) |
| AWS Cognito 身份提供者 API |
| AWS API Gateway (OIDC 身份桥) |
媒体上传 (S3)
当您通过 TinaCMS 媒体管理器上传媒体时，仪表板从资产 API 接收一个预签名 URL，并将文件直接 PUT 到 S3。浏览器必须能够访问 S3，任何媒体上传才能成功：
域 | 目的 |
|---|---|
| 通过预签名 URL 直接将文件上传到 TinaCloud 的媒体桶 |
GitHub
如果您的项目使用 GitHub 作为其 git 提供者（TinaCloud 的默认设置）：
域 | 目的 |
|---|---|
| GitHub OAuth 授权和存储库访问 |
| GitHub API 用于令牌交换和用户信息 |
产品分析 (PostHog)
TinaCMS 管理 UI 通过 PostHog 发出产品分析事件，以帮助我们改进编辑器。在严格的网络或 CSP 上，您需要允许：
域 | 目的 |
|---|---|
| PostHog 事件摄取 |
| PostHog 运行时资产（自动捕获、会话记录、功能标志）—由 |
企业 SSO (WorkOS)
如果您的组织通过 TinaCloud 使用企业 SSO：
域 | 目的 |
|---|---|
| WorkOS 企业 SSO 提供者 |
TinaCloud 自身的 IP 地址
TinaCloud 运行在 AWS Lambda 上。我们的服务从共享的 AWS 地址池发送请求，地址会发生变化。我们无法提供一个 IP 地址或 CIDR 范围供您添加到允许列表中。
故障排除
在 VPN 或受限网络上登录超时
如果您在从 VPN 或受限网络进行身份验证时看到“登录尝试超时”错误，很可能是上述列出的某个身份验证域被阻止。登录流程必须在 20 秒内完成完整的重定向链，链中任何被阻止的域都会导致超时。
内容安全策略 (CSP)
如果您正在为您的网站配置内容安全策略头，请参阅 CSP 配置指南 以获取所需的指令。