CloudSSO es compatible con el inicio de sesión único (SSO) basado en SAML 2.0. En este esquema, Alibaba Cloud actúa como proveedor de servicios (SP) y el sistema de identidad corporativo funciona como proveedor de identidades (IdP). Mediante SSO, los empleados inician sesión en CloudSSO con sus credenciales del IdP corporativo.
Gestión de la información del proveedor de identidades (IdP)
Para utilizar SSO, configure la información de su proveedor de identidades (IdP) y habilite la función. Puede cargar un archivo de metadatos o configurar el IdP manualmente. La configuración manual solo admite tres propiedades: Entity ID, Logon URL y certificado de firma SAML. Si necesita configurar propiedades adicionales del IdP, genere un archivo de metadatos desde su IdP y cárguelo.
Configuración de la información del IdP
Configure la información de su IdP antes de habilitar SSO.
Inicie sesión en la consola de CloudSSO.
En el panel de navegación izquierdo, haga clic en Settings.
En la pestaña User Setting, dentro de la sección SSO Logon, haga clic en Configure IdP bajo IdP Information.
-
En el cuadro de diálogo Configure IdP, seleccione Upload Metadata File o Manual Configuration y proporcione la información del IdP. Obtenga el archivo de metadatos o los detalles de configuración directamente de su proveedor de identidades.
-
Upload Metadata File
Haga clic en Upload File para cargar el archivo de metadatos del IdP.
-
Manual Configuration
Entity ID: Identificador del proveedor de identidades.
Login URL: URL de inicio de sesión del proveedor de identidades.
Certificate: Certificado que utiliza el proveedor de identidades para firmar las respuestas SAML. Se admiten certificados X.509 en formato PEM. Haga clic en Upload Certificate para cargar el certificado desde su proveedor de identidades.
-
Haga clic en OK.
Actualización de la información del IdP
La información del IdP se puede actualizar independientemente de si SSO está habilitado. No obstante, realizar cambios mientras SSO está activo podría provocar fallos si la nueva configuración no coincide. Proceda con precaución.
En la sección IdP Information, haga clic en Configure IdP.
En el cuadro de diálogo Configure IdP, seleccione un método de configuración, modifique los parámetros, vuelva a cargar un certificado o archivo de metadatos y haga clic en OK.
Borrado de la información del IdP
Solo es posible borrar la información del IdP cuando SSO está deshabilitado.
Al borrar la información del IdP, ya no podrá utilizar SSO.
En la sección IdP Information, haga clic en Clear IdP Information.
En el cuadro de diálogo Clear IdP Information, haga clic en OK.
Rotación de certificados de firma SAML
Rote periódicamente el certificado de firma SAML de su IdP. Cargue un nuevo certificado antes de que expire el anterior. Durante la transición, CloudSSO valida las firmas SAML con ambos certificados y confía en el inicio de sesión si alguno de ellos pasa la validación. Una vez que confirme que el nuevo certificado está activo y que el antiguo ya no se utiliza, elimine este último.
Eliminar un certificado de firma SAML que esté en uso provocará fallos en SSO. Proceda con precaución.
En la sección IdP Information, haga clic en Manage a la derecha de SAML Signature Certificate.
-
En el cuadro de diálogo Certificate, rote el certificado de firma SAML.
Haga clic en Upload New Certificate para cargar el nuevo certificado obtenido de su IdP corporativo.
Confirme que su IdP corporativo utiliza el nuevo certificado para firmar las respuestas SAML; después, inicie sesión en el portal de usuarios de CloudSSO mediante SSO para verificarlo.
Tras confirmar que el nuevo certificado está activo y que el anterior se ha retirado, haga clic en Delete en la columna Actions correspondiente al certificado antiguo.
Haga clic en OK para completar la rotación del certificado de firma SAML.
Gestión de la información del proveedor de servicios (SP)
Obtención de metadatos del SP
Para configurar SSO en su IdP, descargue el archivo de metadatos del SP desde la sección SP Information, o bien copie la ACS URL y el Entity ID para realizar una configuración manual del IdP.
Si la aceleración de acceso está habilitada, utilice la ACS URL (Accelerated) al configurar SSO en su IdP. Accelerate access from outside the Chinese mainland.
Configuración del algoritmo de firma de solicitudes SAML
En la sección SP Information, haga clic en Edit junto a Signature Algorithm for IdP Request para establecer el algoritmo de firma de solicitudes SAML. El valor predeterminado es SHA1. También puede seleccionar SHA256.
Configuración del cifrado de aserciones SAML
En la sección SP Information, haga clic en Edit junto a SAML Assertion Encryption for IdP Response para especificar si el IdP debe cifrar las aserciones SAML. Si selecciona Encrypt , el SP deberá descifrar la aserción.
Gestión de certificados de CA del proveedor de servicios (SP) (vista previa por invitación)
CloudSSO utiliza certificados autofirmados de forma predeterminada. Si su organización requiere certificados de firma del SP emitidos por una autoridad de certificación (CA) de confianza, solicite un certificado de CA.
La función de certificados de CA se encuentra en vista previa por invitación. Póngase en contacto con su gerente de servicio de Alibaba Cloud para solicitar acceso.
Algoritmos compatibles con certificados de CA
Los metadatos del SP contienen un certificado de firma y un certificado de cifrado de aserciones con los siguientes algoritmos compatibles:
Periodo de validez de los certificados de CA
Un certificado de CA tiene una validez de un año y debe rotarse anualmente. La consola muestra la fecha exacta de vencimiento.
Habilitación de certificados de CA
En la sección SP Information, active el interruptor Use Certificate Signed by Trusted CA para habilitar los certificados de CA.
Al habilitar los certificados de CA, se deshabilitan automáticamente los certificados autofirmados.
Rotación de certificados de CA
La ventana de rotación se abre 80 días antes del vencimiento. Durante este periodo, la consola de CloudSSO le solicitará reemplazar el certificado. Tanto el certificado nuevo como el antiguo permanecen válidos durante esta ventana. Actualice el certificado lo antes posible.
En la sección SSO Logon, descargue el archivo de metadatos del SP que utiliza el certificado de CA más reciente desde la sección SP Information.
En su IdP corporativo, configure tanto el certificado nuevo como el antiguo.
-
En su IdP corporativo, utilice únicamente el nuevo certificado para verificar que SSO funciona correctamente.
Si todo funciona bien, puede eliminar el certificado antiguo. También puede conservar el certificado antiguo sin que esto afecte a SSO.
Habilitación o deshabilitación del inicio de sesión único
Habilitación del inicio de sesión único
Una vez configurada la información del IdP, puede habilitar SSO.
Al habilitar SSO, el inicio de sesión con nombre de usuario y contraseña se deshabilita automáticamente.
En la pestaña User Setting, dentro de la sección SSO Logon, active el interruptor de SSO.
En el cuadro de diálogo Enable SSO Logon, haga clic en OK.
Deshabilitación del inicio de sesión único
Al deshabilitar SSO, el inicio de sesión con nombre de usuario y contraseña se habilita automáticamente.
En la pestaña User Setting, dentro de la sección SSO Logon, desactive el interruptor de SSO.
En el cuadro de diálogo Disable SSO Logon, haga clic en OK.