CloudSSO offre une gestion centralisée des identités et un contrôle d'accès unifié pour plusieurs comptes au sein d'un Alibaba Cloud Resource Directory (RD). Grâce à CloudSSO, gérez de manière centralisée les utilisateurs d'entreprise accédant à Alibaba Cloud, configurez l'authentification unique (SSO) entre votre fournisseur d'identité d'entreprise et Alibaba Cloud, et administrez les autorisations d'accès pour l'ensemble des comptes de votre RD.
Fonctionnalités
-
Gestion centralisée des utilisateurs accédant à Alibaba Cloud
CloudSSO met à disposition un annuaire natif dans lequel vous gérez tous les utilisateurs nécessitant un accès à Alibaba Cloud. Gérez manuellement les utilisateurs et les groupes d'utilisateurs. Utilisez également le protocole SCIM (System for Cross-domain Identity Management) pour synchroniser les utilisateurs et les groupes depuis votre fournisseur d'identité d'entreprise vers l'annuaire CloudSSO.
-
Configuration d'une authentification unique unifiée avec votre fournisseur d'identité d'entreprise
Les utilisateurs de l'annuaire CloudSSO peuvent accéder à Alibaba Cloud via leur nom d'utilisateur, leur mot de passe et l'authentification multifacteur (MFA). Toutefois, il est recommandé d'utiliser l'authentification unique (SSO) avec votre fournisseur d'identité d'entreprise. Cette approche optimise l'expérience utilisateur et réduit les risques de sécurité. CloudSSO prend en charge une SSO de niveau entreprise basée sur le protocole SAML 2.0. Configurez la SSO en une seule fois, tant dans CloudSSO que dans votre fournisseur d'identité.
-
Configuration uniforme des autorisations d'accès pour les comptes d'un annuaire de ressources
Grâce à l'intégration profonde de CloudSSO avec Resource Directory (RD), configurez de manière centralisée les autorisations d'accès des utilisateurs et des groupes d'utilisateurs aux comptes membres de votre RD. Un administrateur CloudSSO sélectionne les comptes membres en se basant sur la structure organisationnelle du RD, puis attribue des utilisateurs ou des groupes d'utilisateurs avec des autorisations spécifiques à ces comptes. Modifiez ou supprimez ces autorisations à tout moment.
-
Portail utilisateur unifié
CloudSSO propose un portail utilisateur unifié. Une fois connectés, les utilisateurs consultent la liste de tous les comptes du RD auxquels ils ont accès. Ils se connectent ensuite directement à la console de gestion Alibaba Cloud et basculent facilement d'un compte à l'autre.
-
Intégration CLI
CloudSSO s'intègre à l'interface de ligne de commande (CLI) d'Alibaba Cloud. Outre la connexion via un navigateur au portail utilisateur CloudSSO, les utilisateurs se connectent également à CloudSSO en utilisant la CLI Alibaba Cloud. Après la connexion, ils sélectionnent le compte et l'ensemble d'autorisations souhaités dans le RD, puis accèdent aux ressources Alibaba Cloud via la ligne de commande.
-
Gratuité du service
CloudSSO est un service gratuit. Activez-le et utilisez-le sans frais.
Architecture du service
Les utilisateurs CloudSSO accèdent aux ressources cloud d'un compte dans le RD en tant que rôle RAM ou utilisateur RAM.
Le tableau suivant décrit les scénarios associés à ces deux méthodes d'accès.
Méthode d'accès | Description | Scénarios | Références |
Connexion en tant que rôle RAM | Les utilisateurs gérés de manière centralisée dans CloudSSO utilisent l'authentification unique (SSO) pour endosser un rôle RAM dans un compte membre du RD. Cette opération repose sur des configurations d'accès et une autorisation multi-comptes. Une fois le rôle endossé, l'utilisateur accède aux ressources cloud du compte. | Convient aux services Alibaba Cloud qui prennent en charge les rôles RAM. | |
Connexion en tant qu'utilisateur RAM | Les utilisateurs gérés de manière centralisée dans CloudSSO sont synchronisés en tant qu'utilisateurs RAM vers un compte membre du RD. Ils se connectent ensuite en tant qu'utilisateurs RAM pour accéder aux ressources cloud du compte. | Convient aux services Alibaba Cloud qui ne prennent pas en charge les rôles RAM. |
Un utilisateur CloudSSO peut recevoir des autorisations sur un compte du RD via une configuration d'accès tout en étant configuré pour la synchronisation des utilisateurs RAM. Dans ce cas, l'utilisateur accède aux ressources cloud du compte à la fois en tant que rôle RAM et en tant qu'utilisateur RAM.
Relation entre CloudSSO et Resource Access Management (RAM)
Resource Access Management (RAM) assure la gestion des identités et des autorisations au sein d'un seul compte Alibaba Cloud. RAM propose des fonctionnalités telles que la gestion des identités (utilisateurs, groupes d'utilisateurs et rôles), la gestion des autorisations et la configuration de l'authentification unique (SSO). Toutefois, ces fonctionnalités s'appliquent uniquement à un compte Alibaba Cloud individuel. Si votre entreprise dispose de plusieurs comptes Alibaba Cloud, vous devez utiliser RAM dans chaque compte pour gérer les identités, configurer l'authentification unique et définir les autorisations. Cette séparation de la gestion peut s'avérer complexe.
CloudSSO offre une gestion unifiée des identités et des autorisations pour plusieurs comptes au sein d'un RD. CloudSSO vous permet d'effectuer une configuration unique pour gérer les identités, l'authentification unique et les autorisations de plusieurs comptes Alibaba Cloud. Pour ce faire, CloudSSO fournit un annuaire indépendant de RAM. Cependant, sa fonctionnalité de gestion des autorisations réutilise la syntaxe des stratégies système et des stratégies personnalisées de RAM. Pour plus d'informations, consultez la page Présentation des configurations d'accès. De plus, lorsqu'un utilisateur CloudSSO accède à un compte du RD, il endosse un rôle RAM dans ce compte via un processus d'authentification unique. Pour plus d'informations, consultez la page Présentation de l'autorisation multi-comptes.
Une fois que vous utilisez CloudSSO pour la gestion unifiée des identités et des autorisations des comptes de votre RD, il n'est plus nécessaire d'utiliser RAM pour gérer chaque compte individuellement. Toutefois, dans certains cas, vous pouvez continuer à utiliser RAM au sein d'un compte unique. Par exemple, recourez à RAM si vous disposez déjà d'utilisateurs RAM ou de rôles RAM, ou pour accéder par programmation aux ressources Alibaba Cloud à l'aide d'une paire de clés AccessKey. L'utilisation de CloudSSO ne limite pas les fonctionnalités d'origine de RAM. Vous pouvez utiliser les deux services simultanément.