Resource Access Management:Quick start: Configure SSO with an enterprise IdP

Requisitos previos

• Cuenta con un administrador de RAM que tenga el permiso AliyunRAMFullAccess para realizar operaciones en la consola de RAM. Para obtener información sobre cómo crear un usuario de RAM y otorgar permisos, consulte Create a RAM user y Manage RAM user permissions.

• Cuenta con un administrador de Microsoft Entra ID que tenga el rol de Administrador global para realizar operaciones en Microsoft Entra ID. Para obtener información sobre cómo crear un usuario y otorgar permisos en Microsoft Entra ID, consulte la documentación de Microsoft Entra ID.

Procedimiento

En este ejemplo, Microsoft Entra ID actúa como IdP y Alibaba Cloud como proveedor de servicios (SP). Los siguientes pasos establecen una relación de confianza entre el IdP y el SP, y asignan un rol de aplicación de Microsoft Entra ID a un rol de RAM de Alibaba Cloud.

1. Step 1: Create an enterprise application in Microsoft Entra ID: Cree una aplicación empresarial desde la Galería de aplicaciones de Microsoft Entra mediante la plantilla Alibaba Cloud Service (Role-based SSO).

2. Step 2: Configure SAML in Microsoft Entra ID: Configure el SSO basado en roles de Alibaba Cloud como un SP SAML de confianza en Microsoft Entra ID.

3. Step 3: Create an identity provider in Alibaba Cloud: Configure Microsoft Entra ID como un IdP SAML de confianza en RAM de Alibaba Cloud.

4. Step 4: Create a RAM role in Alibaba Cloud: Cree un rol de RAM en Alibaba Cloud y establezca su tipo de principal en Identity Provider.

5. Step 5: Create app roles and assign users: Cree un rol de aplicación para la aplicación empresarial y asigne usuarios.

6. Verify the SSO logon: Compruebe que el SSO basado en roles funciona correctamente.

Paso 1: Crear una aplicación empresarial en Microsoft Entra ID

1. Inicie sesión en Azure portal como administrador global de Microsoft Entra ID.

2. En la esquina superior izquierda de la página principal, haga clic en el icono .

3. En el panel de navegación izquierdo, seleccione Microsoft Entra ID > Manage > Enterprise applications > All applications.

4. Haga clic en New application.

5. Busque y seleccione Alibaba Cloud Service (Role-based SSO).

6. Introduzca un nombre para la aplicación y luego haga clic en Create.

   Este ejemplo utiliza el nombre predeterminado Alibaba Cloud Service (Role-based SSO). Puede especificar un nombre personalizado.

Paso 2: Configurar SAML en Microsoft Entra ID

1. En la página de detalles de Alibaba Cloud Service (Role-based SSO), en el panel de navegación izquierdo, seleccione Manage > Single sign-on.

2. Haga clic en SAML.

3. Configure los ajustes de SSO.

   1. En la esquina superior izquierda, haga clic en Upload metadata file, seleccione el archivo de metadatos para el SSO basado en roles de Alibaba Cloud y luego haga clic en Add.

      Nota

      Descargue el archivo de metadatos desde https://signin.alibabacloud.com/saml-role/sp-metadata.xml y guárdelo en su computadora.

   2. En la página Basic SAML Configuration, configure los siguientes parámetros y luego haga clic en Save.

      • Identifier (Entity ID): El sistema lee automáticamente este valor del atributo entityID en el archivo de metadatos.

      • Reply URL (Assertion Consumer Service URL): El sistema lee automáticamente este valor del atributo Location en el archivo de metadatos.

   3. En la sección Attributes & Claims, haga clic en el icono para comprobar que existen las dos notificaciones siguientes.

      

      Si no existen, haga clic en Add new claim y agréguelas con los valores indicados en la siguiente tabla.

      Name	Namespace	Source	Source attribute
      Role	https://www.aliyun.com/SAML-Role/Attributes	Attribute	user.assignedroles
      RoleSessionName	https://www.aliyun.com/SAML-Role/Attributes	Attribute	user.userprincipalname

   4. En la sección SAML Certificates, haga clic en Download a la derecha de Federation Metadata XML para descargar el archivo de metadatos del IdP.

Paso 3: Crear un IdP en Alibaba Cloud

1. Inicie sesión en la consola de RAM como administrador de RAM.

2. En el panel de navegación izquierdo, seleccione Integrations > SSO.

3. En la pestaña Role-based SSO, haga clic en la subpestaña SAML y luego en Create IdP.

4. En la página Create IdP, introduzca AAD en IdP Name.

5. Haga clic en Upload Metadata File y seleccione el Federation Metadata XML file que descargó en Step 2.

6. Haga clic en Create IdP.

7. Haga clic en el IdP AAD que creó. En la sección Basic Information, copie el ARN del IdP para usarlo más adelante.

Paso 4: Crear un rol de RAM en Alibaba Cloud

1. Inicie sesión en la consola de RAM. En el panel de navegación izquierdo, seleccione Identities > Roles.

2. En la página Roles, haga clic en Create Role.

3. En la esquina superior derecha de la página Create Role, haga clic en Switch to Policy Editor.

4. Especifique un IdP SAML en el editor.

   El editor ofrece tanto un editor visual como un editor de scripts JSON. Este ejemplo utiliza el editor visual. Para Principal, seleccione Identity Provider y haga clic en Edit. A continuación, especifique AAD como IdP y seleccione SAML para Identity Provider Type.

5. En el cuadro de diálogo Create Role, introduzca un nombre de rol (por ejemplo, AADrole) y luego haga clic en OK.

6. Haga clic en el rol de RAM que creó. En la sección Basic Information, copie el ARN del rol para usarlo más adelante.

Paso 5: Crear un rol de aplicación y asignar usuarios en Microsoft Entra ID

1. Cree un rol de aplicación en Microsoft Entra ID.

   1. Inicie sesión en Azure portal como administrador.

   2. En el panel de navegación izquierdo, seleccione Microsoft Entra ID > Manage > App registrations.

   3. Haga clic en la pestaña All applications y luego en Alibaba Cloud Service (Role-based SSO).

   4. En el panel de navegación izquierdo, seleccione Manage > App roles.

   5. En la página que aparece, haga clic en Create app role.

   6. En el panel Create app role, configure los siguientes parámetros y haga clic en Apply.

      • Display name: En este ejemplo, introduzca Admin.

      • Allowed member types: En este ejemplo, seleccione Both (Users/Groups + Applications).

      • Value: Introduzca el ARN del rol de RAM y el ARN del IdP. Separe los ARN con comas (,). En este ejemplo, introduzca acs:ram::187125022722****:role/aadrole,acs:ram::187125022722****:saml-provider/AAD.

        Nota

        El valor debe utilizar el formato ARN del rol de RAM,ARN del IdP. Invertir el orden provoca un error en el SSO.

      • Description: Introduzca una descripción para el rol de aplicación.

      • Seleccione Do you want to enable this app role?

   Nota

   Para crear varios roles de aplicación, repita los pasos anteriores con diferentes nombres para mostrar y valores.

2. Asigne un usuario a la aplicación empresarial y especifique un rol de aplicación.

   1. En el panel de navegación izquierdo, seleccione Microsoft Entra ID > Manage > Enterprise applications > All applications.

   2. En la columna Name, haga clic en Alibaba Cloud Service (Role-based SSO).

   3. En el panel de navegación izquierdo, seleccione Manage > Users and Groups.

   4. En la página que aparece, haga clic en Add user/group.

   5. En la página Add Assignment, seleccione un usuario y haga clic en Select.

   6. Compruebe si el rol seleccionado es Admin. De no ser así, cámbielo a Admin. Luego, haga clic en Assign.

Comprobar el SSO

El SSO basado en roles solo admite SSO iniciado por el IdP, por lo que debe iniciar sesión desde Microsoft Entra ID para verificar la configuración.

1. Obtenga la URL de acceso de usuario.

   1. Inicie sesión en Azure portal como administrador.

   2. En el panel de navegación izquierdo, seleccione Microsoft Entra ID > Manage > Enterprise applications > All applications.

   3. En la columna Name, haga clic en Alibaba Cloud Service (Role-based SSO).

   4. En el panel de navegación izquierdo de la página que aparece, seleccione Manage > Properties y obtenga el valor de User access URL.

      

2. El usuario (ssotest01@example.onmicrosoft.com) obtiene la User access URL del administrador, la abre en un navegador e inicia sesión. Tras una autenticación exitosa, el usuario se redirige de forma predeterminada a la Consola de administración de Alibaba Cloud. El rol de RAM (aadrole) aparece antes del nombre de la cuenta.

   

Referencias

• SSO overview

• User-based SSO overview

• Configure user-based SSO with Microsoft Entra ID

• Overview of role-based SAML SSO

• Configure role-based SSO with Microsoft Entra ID

• Single sign-on (SSO) FAQ