Todos los productos
Search

Este producto

    Resource Access Management:Manage OIDC identity providers

    Centro de documentos

    Resource Access Management:Manage OIDC identity providers

    Última actualización: Sep 03, 2026

    El SSO basado en roles OIDC requiere un proveedor de identidad (IdP). Desde la consola de RAM puede crear, consultar, modificar o eliminar IdP OIDC.

    Crear un proveedor de identidad OIDC

    1. Inicie sesión en la consola de RAM como administrador de RAM.

    2. En el panel de navegación izquierdo, seleccione Integrations > SSO.

    3. En la pestaña Role-based SSO, haga clic en la pestaña OIDC y luego en Create IdP.

    4. En la página Create IdP, configure el proveedor de identidad.

      Parámetro

      Descripción

      IdP Name

      El nombre debe ser único dentro de su cuenta de Alibaba Cloud.

      Issuer URL

      Proporcionada por su IdP externo. Debe comenzar con https, seguir el formato estándar de URL y excluir cadenas de consulta (?), fragmentos (#) y credenciales de usuario (@).

      FINGERPRINT

      Configure la huella digital del certificado de CA HTTPS de su IdP externo para evitar el secuestro o la manipulación de la URL del emisor.

      Después de introducir la Issuer URL y hacer clic en Get Fingerprint, Alibaba Cloud calcula la huella digital automáticamente. Por seguridad, calcúlela también de forma local (get the thumbprint of an OIDC IdP by using OpenSSL) y compárelas. Si los valores difieren, es posible que la URL del emisor esté comprometida; verifique la URL e introduzca la huella digital correcta.

      Nota

      Antes de rotar un certificado en su IdP, agregue la huella digital del nuevo certificado a la configuración de su IdP OIDC. Espere como mínimo un día y luego rote el certificado. Tras confirmar que puede obtener un token STS con el nuevo certificado, elimine la huella digital anterior.

      Client ID

      Su IdP externo asigna un ID de cliente cuando registra una aplicación. Este ID aparece en la notificación aud de los tokens OIDC emitidos. Durante el intercambio de tokens OIDC a STS, Alibaba Cloud verifica la notificación aud con este ID de cliente; la asunción de rol solo se realiza correctamente si coinciden.

      Agregue varios ID de cliente si varias aplicaciones acceden a Alibaba Cloud. Máximo: 50.

      Earliest Issuance Time Allowed

      Los tokens OIDC emitidos antes de este límite de tiempo no se pueden intercambiar por tokens STS.

      Valor predeterminado: 12 horas. Valores válidos: de 1 a 168 horas.

      DESCRIPTION

      Una descripción para el proveedor de identidad.

    5. Haga clic en Create IdP.

    Consultar proveedores de identidad OIDC

    1. Inicie sesión en la consola de RAM como administrador de RAM.

    2. En el panel de navegación izquierdo, seleccione Integrations > SSO.

    3. En la pestaña Role-based SSO, haga clic en la pestaña OIDC y luego en el nombre del proveedor de identidad deseado.

    4. En la sección Basic Information, consulte IdP Name, IdP Type, Created At, Updated At, DESCRIPTION, ARN, Issuer URL y Earliest Issuance Time Allowed.

    Modificar proveedores de identidad OIDC

    1. Inicie sesión en la consola de RAM como administrador de RAM.

    2. En el panel de navegación izquierdo, seleccione Integrations > SSO.

    3. En la pestaña Role-based SSO, haga clic en la pestaña OIDC y luego en el nombre del proveedor de identidad deseado.

    4. Modifique el proveedor de identidad OIDC.

      • En la sección Basic Information, modifique DESCRIPTION y Earliest Issuance Time Allowed.

      • En la sección Client ID, agregue o quite ID de cliente.

        Nota

        Máximo: 50 ID de cliente. No se puede eliminar el último ID de cliente restante.

      • En la sección FINGERPRINT, agregue o quite huellas digitales.

        Nota

        Máximo: 5 huellas digitales. No se puede eliminar la última huella digital restante.

    Eliminar un proveedor de identidad OIDC

    Aviso

    Después de eliminar un IdP OIDC, los usuarios empresariales ya no podrán usar el SSO basado en roles OIDC para acceder a Alibaba Cloud.

    1. Inicie sesión en la consola de RAM como administrador de RAM.

    2. En el panel de navegación izquierdo, seleccione Integrations > SSO.

    3. En la pestaña Role-based SSO, haga clic en la pestaña OIDC, busque el proveedor de identidad OIDC deseado y luego haga clic en Delete IdP en la columna Actions.

    4. En el cuadro de diálogo Delete IdP, haga clic en Delete IdP.