CloudSSO:Configurer l'authentification unique depuis AD FS vers CloudSSO

Contexte

Une entreprise utilise Active Directory (AD) pour la gestion des utilisateurs sur site et dispose d'une structure multi-comptes dans Alibaba Cloud Resource Directory. Les utilisateurs AD doivent accéder via SSO aux ressources désignées dans des comptes membres spécifiques.

Cet exemple s'appuie sur AD FS déployé sur une instance ECS exécutant Windows Server 2012 R2. AD FS agit en tant que fournisseur d'identité (IdP) et CloudSSO en tant que fournisseur de services (SP).

Prérequis

Avant de configurer le SSO, effectuez les tâches suivantes :

1. Déployez les services suivants sur une instance ECS Windows Server 2012 R2.

   • Active Directory Domain Services (AD DS) : gère les objets de domaine tels que les utilisateurs et les appareils.

   • Active Directory Federation Services (AD FS) : gère la configuration de la partie de confiance pour le SSO et l'authentification.

     Important

2. Créez des utilisateurs et configurez les autorisations dans CloudSSO.

   1. Créez un utilisateur dans CloudSSO avec un nom d'utilisateur correspondant au champ SSO d'AD FS.

      Pour plus d'informations, consultez Créer un utilisateur.

      Remarque

      Le nom d'utilisateur CloudSSO doit correspondre au champ SSO d'AD FS. Pour plus d'informations, consultez Étape 3 : Configurer les attributs d'assertion SAML dans AD FS.

   2. Créez une configuration d'accès pour définir les politiques d'autorisation.

      Pour plus d'informations, consultez Créer un ensemble d'autorisations.

   3. Attribuez les autorisations d'accès aux comptes du répertoire de ressources.

      Pour plus d'informations, consultez Attribuer l'accès à un compte membre.

Étape 1 : Obtenir les métadonnées du SP depuis CloudSSO

1. Connectez-vous à la console CloudSSO.

2. Dans le volet de navigation de gauche, cliquez sur Settings.

3. Dans la section SSO Logon, téléchargez le document de métadonnées du fournisseur de services (SP).

Étape 2 : Ajouter Alibaba Cloud en tant que partie de confiance dans AD FS

1. Connectez-vous à l'instance ECS sur laquelle AD FS est déployé.

2. Ouvrez Server Manager.

3. Dans le volet de navigation de gauche, cliquez sur AD FS.

4. Dans la barre de menus en haut à droite, choisissez Tools > AD FS Management.

5. Dans la console de gestion AD FS, ajoutez Alibaba Cloud en tant que partie de confiance.

   1. Dans le volet de navigation de gauche, faites un clic droit sur Relying Party Trusts, puis cliquez sur Add Relying Party Trust.

   2. Dans l'assistant Add Relying Party Trust Wizard, sélectionnez Claims aware, puis cliquez sur Start.

   3. Sélectionnez Import data about the relying party from a file, cliquez sur Browse pour importer le fichier de métadonnées SP obtenu lors de l'Étape 1 : Obtenir les métadonnées du SP depuis CloudSSO, puis cliquez sur Next.

   4. Saisissez un nom d'affichage pour la partie de confiance, puis cliquez sur Next.

      Cet exemple utilise CloudSSODemo.

   5. Sélectionnez une politique de contrôle d'accès, puis cliquez sur Next.

      Cet exemple utilise Permit everyone.

   6. Vérifiez vos paramètres, puis cliquez sur Next.

   7. Cliquez sur Close.

Étape 3 : Configurer les attributs d'assertion SAML dans AD FS

Dans cet exemple, le champ NameID de l'assertion SAML est défini sur le User Principal Name (UPN) de l'utilisateur AD, que CloudSSO utilise pour identifier l'utilisateur.

1. Faites un clic droit sur la partie de confiance CloudSSODemo, puis cliquez sur Edit Claim Issuance Policy.

2. Cliquez sur Add Rule.

   Remarque

   Une règle de transformation d'émission mappe un attribut utilisateur à un attribut d'assertion SAML. Ajoutez une règle pour émettre l'UPN de l'utilisateur AD FS en tant que NameID.

3. Dans l'assistant Add Transform Claim Rule Wizard, définissez Claim rule template sur Transform an Incoming Claim, puis cliquez sur Next.

4. Configurez les informations de revendication.

   1. Saisissez un nom personnalisé pour la règle de revendication.

      Cet exemple utilise UPN2NameID.

   2. Dans la liste déroulante Incoming claim type, sélectionnez UPN.

   3. Dans la liste déroulante Outgoing claim type, sélectionnez Name ID.

   4. Dans la liste déroulante Outgoing name ID format, sélectionnez Email.

   5. Sélectionnez Pass through all claim values.

   6. Cliquez sur Finish.

5. Cliquez sur OK.

Étape 4 : Obtenir les métadonnées de l'IdP depuis AD FS

Sur le serveur AD FS, accédez à l'URL suivante pour télécharger le fichier de métadonnées de l'IdP : https://<ADFS-server>/federationmetadata/2007-06/federationmetadata.xml.

Étape 5 : Activer le SSO dans CloudSSO

1. Dans le volet de navigation de gauche de la console CloudSSO, cliquez sur Settings.

2. Dans la section SSO Login, cliquez sur Configure IdP Information.

3. Dans la boîte de dialogue Configure IdP Information, sélectionnez Upload Metadata File.

4. Cliquez sur Upload File pour télécharger le fichier de métadonnées de l'IdP obtenu lors de l'Étape 4 : Obtenir les métadonnées de l'IdP depuis AD FS.

   Remarque

   Si le fichier de métadonnées dépasse la limite de taille, essayez de supprimer tout le contenu situé entre <fed:ClaimTypesRequested> et <fed:ClaimTypesOffered>.

5. Activez le SSO.

   Remarque

   Après avoir activé la connexion SSO, la connexion par nom d'utilisateur et mot de passe est désactivée. Cela signifie que les utilisateurs CloudSSO ne peuvent plus se connecter avec leurs identifiants de plateforme. Une fois activé, tous les utilisateurs doivent se connecter via votre fournisseur d'identité.

Vérifier la configuration

Vous pouvez initier le SSO depuis Alibaba Cloud ou depuis AD FS.

• Initier le SSO depuis Alibaba Cloud

  1. Sur la page Overview de la console CloudSSO, copiez l'URL du portail utilisateur.

  2. Ouvrez l'URL dans une nouvelle fenêtre de navigateur.

  3. La page SSO Login s'affiche, indiquant l'URL de connexion du compte d'entreprise. Cliquez sur Redirect pour accéder à la page de connexion AD FS.

  4. Saisissez le nom d'utilisateur et le mot de passe d'un utilisateur AD.

     Vous êtes automatiquement connecté au portail utilisateur CloudSSO.

  5. Dans l'onglet Logon as RAM Role, cliquez sur Show Details dans la colonne Permissions pour le compte du répertoire de ressources cible.

     Après la connexion de l'utilisatrice Alice au portail utilisateur CloudSSO, trois comptes cloud accessibles s'affichent : SharedServices, LogArchive et dev-test.

  6. Dans le panneau des autorisations, cliquez sur Log On dans la colonne Actions pour l'autorisation cible.

  7. Accédez à vos ressources autorisées dans le compte membre.

• Initier le SSO depuis AD FS

  1. Accédez au portail SSO AD FS.

     L'URL du portail SSO est https://<ADFS-server>/adfs/ls/IdpInitiatedSignOn.aspx.

     Remarque

     • Remplacez <ADFS-server> par le nom de domaine ou l'adresse IP du serveur AD FS.

     • Si la page du portail SSO n'est pas disponible, exécutez la commande PowerShell suivante pour l'activer : Set-AdfsProperties -EnableIdpInitiatedSignonPage $True.

  2. Sélectionnez le site CloudSSODemo créé lors de l'Étape 2 : Ajouter Alibaba Cloud en tant que partie de confiance dans AD FS, puis cliquez sur Sign in.

  3. Saisissez le nom d'utilisateur et le mot de passe d'un utilisateur AD, puis cliquez sur Sign in.

     Vous êtes automatiquement connecté au portail utilisateur CloudSSO.

  4. Dans l'onglet Logon as RAM Role, cliquez sur Show Details dans la colonne Permissions pour le compte du répertoire de ressources cible.

     Après la connexion de l'utilisatrice Alice au portail utilisateur CloudSSO, trois comptes cloud accessibles s'affichent : SharedServices, LogArchive et dev-test.

  5. Dans le panneau des autorisations, cliquez sur Log On dans la colonne Actions pour l'autorisation cible.

  6. Accédez à vos ressources autorisées dans le compte membre.