CloudSSO:Exemple : SSO de Microsoft Entra ID vers CloudSSO

Cas d'utilisation

Supposons que votre entreprise utilise une structure multi-comptes dans Alibaba Cloud Resource Directory (RD). Vous souhaitez configurer l'authentification unique pour permettre aux utilisateurs de Microsoft Entra ID d'accéder à des ressources spécifiques dans les comptes membres désignés de votre répertoire de ressources.

Prérequis

• Un administrateur général Microsoft Entra ID doit effectuer toutes les opérations de configuration.

  Pour plus d'informations sur la création d'un utilisateur et l'attribution d'autorisations d'administrateur dans Microsoft Entra ID, consultez la documentation Microsoft Entra ID.

• Synchronisez les utilisateurs de Microsoft Entra ID vers CloudSSO ou créez des utilisateurs dans CloudSSO avec des noms d'utilisateur correspondants.

  • (Recommandé) Synchroniser les utilisateurs de Microsoft Entra ID vers CloudSSO : cette méthode convient à la gestion d'un grand nombre d'utilisateurs dans Microsoft Entra ID. Pour plus d'informations, consultez Exemple : Synchronisation d'utilisateurs ou de groupes d'utilisateurs depuis Microsoft Entra ID via SCIM.

  • Créer des utilisateurs dans CloudSSO avec des noms d'utilisateur correspondants : cette approche est adaptée à la gestion d'un petit nombre d'utilisateurs dans Microsoft Entra ID. Pour plus d'informations, consultez Créer un utilisateur.

    Remarque

    Les noms d'utilisateur servent à la connexion. Lors de l'utilisation de l'authentification unique, le nom d'utilisateur CloudSSO doit correspondre à la valeur du champ d'authentification unique dans Microsoft Entra ID. Pour plus d'informations, consultez Étape 3 : Configurer SAML.

• Créez une configuration d'accès dans CloudSSO et attribuez des autorisations sur les comptes membres afin de définir les ressources accessibles aux utilisateurs CloudSSO.

  Pour plus d'informations, consultez Créer une configuration d'accès et Accorder l'accès à un compte membre.

Étape 1 : Obtenir les métadonnées du fournisseur de service

1. Connectez-vous à la console CloudSSO.

2. Dans le volet de navigation de gauche, cliquez sur Settings.

3. Dans la section SSO Logon, téléchargez le document de métadonnées du fournisseur de service (SP).

(Facultatif) Étape 2 : Créer une application

1. Connectez-vous au portail Azure en tant qu'administrateur général de Microsoft Entra ID.

2. Dans le coin supérieur gauche de la page d'accueil, cliquez sur l'icône .

3. Dans le volet de navigation de gauche, choisissez Microsoft Entra ID > Manage > Enterprise applications > All applications.

4. Cliquez sur New application.

5. Sur la page Browse Microsoft Entra App Gallery, cliquez sur Create your own application.

6. Dans le panneau Create your own application, saisissez un nom pour votre application. Dans cet exemple, saisissez CloudSSODemo. Sélectionnez ensuite Integrate any other application you don't find in the gallery (Non-gallery) et cliquez sur Create.

Étape 3 : Configurer SAML

1. Sur la page CloudSSODemo, dans le volet de navigation de gauche, sélectionnez Manage > Single sign-on.

2. Sur la page Select a single sign-on method, cliquez sur SAML.

3. Sur la page Set up Single Sign-On with SAML, configurez les paramètres suivants.

   1. Dans le coin supérieur gauche de la page, cliquez sur Upload metadata file, sélectionnez le document de métadonnées SP obtenu à l'Étape 1, puis cliquez sur Add.

   2. Dans la section Basic SAML Configuration, configurez les paramètres suivants et cliquez sur Save.

      • Identifier (Entity ID) : obligatoire. Cette valeur se remplit automatiquement lors de l'importation du document de métadonnées SP.

        Remarque

        Si la valeur n'est pas remplie automatiquement, copiez la valeur de l'Entity ID depuis la section SSO Logon sur la page Settings de la console CloudSSO.

      • Reply URL (Assertion Consumer Service URL) : obligatoire. Cette valeur se remplit automatiquement lors de l'importation du document de métadonnées SP.

        Remarque

        Si la valeur n'est pas remplie automatiquement, copiez la valeur de l'ACS URL depuis la section SSO Logon sur la page Settings de la console CloudSSO.

      • Relay State : facultatif. Ce paramètre indique la page Alibaba Cloud vers laquelle les utilisateurs sont redirigés après une connexion SSO réussie. En l'absence de configuration, les utilisateurs sont redirigés par défaut vers le portail utilisateur CloudSSO.

        Remarque

        Pour des raisons de sécurité, seule une URL appartenant au domaine *.alibabacloudsso.com peut être saisie. Toute autre valeur rend la configuration invalide.

   3. Dans la section Attributes & Claims, cliquez sur Edit. Définissez l'Unique User Identifier (NameID) sur user.userprincipalname ou sur un autre identifiant utilisateur unique.

      Remarque

      • Le NameID dans l'assertion SAML peut correspondre à n'importe quel champ identifiant l'utilisateur de manière unique, tel que user.userprincipalname ou user.mail. CloudSSO exige que la valeur NameID entrante corresponde au nom d'utilisateur CloudSSO. Par conséquent, vous devez créer les utilisateurs dans CloudSSO en vous basant sur cette valeur de champ pour garantir le succès de la connexion SSO.

      • Si vous avez également configuré la synchronisation SCIM, vous devez utiliser le même champ, par exemple user.userprincipalname, pour l'attribut userName dans la configuration SCIM.

   4. Dans la section SAML Certificates, cliquez sur Download pour obtenir le fichier Federation Metadata XML.

(Facultatif) Étape 4 : Attribuer des utilisateurs

1. Sur la page CloudSSODemo, dans le volet de navigation de gauche, sélectionnez Manage > Users and groups.

2. Dans le coin supérieur gauche, cliquez sur Add user/group.

3. Sélectionnez les utilisateurs à attribuer.

4. Cliquez sur Assign.

Étape 5 : Activer la connexion SSO

1. Dans le volet de navigation de gauche de la console CloudSSO, cliquez sur Settings.

2. Dans la section SSO Logon, cliquez sur Configure Identity Provider.

3. Dans la boîte de dialogue Configure Identity Provider, sélectionnez Upload Metadata Document.

4. Cliquez sur Upload File pour charger le document de métadonnées du fournisseur d'identité obtenu à l'Étape 3.

5. Activez le commutateur de connexion SSO.

   Remarque

   L'activation de la connexion SSO désactive la connexion par nom d'utilisateur et mot de passe. Les utilisateurs CloudSSO ne peuvent donc plus se connecter avec leurs identifiants de plateforme. Une fois activée, tous les utilisateurs doivent se connecter via votre fournisseur d'identité.

Vérifier les résultats

Une fois la configuration de l'authentification unique terminée, vous pouvez initier l'authentification unique depuis Alibaba Cloud ou Microsoft Entra ID.

Rubriques associées

• Exemple : Synchronisation d'utilisateurs ou de groupes d'utilisateurs depuis Microsoft Entra ID via SCIM

• Se connecter au portail utilisateur CloudSSO et accéder aux ressources Alibaba Cloud