CloudSSO:Exemple : Authentification unique avec Okta et CloudSSO

Contexte

Supposons que votre organisation utilise Okta comme fournisseur d'identité (IdP) et dispose d'une structure multi-comptes dans Alibaba Cloud Resource Directory. Vous souhaitez configurer le SSO afin que vos utilisateurs Okta puissent accéder directement à des ressources spécifiques dans les comptes membres désignés de votre Resource Directory.

Étape 1 : Obtenir les métadonnées SP depuis CloudSSO

1. Connectez-vous à la console CloudSSO.

2. Dans le volet de navigation de gauche, cliquez sur Settings.

3. Dans la section SSO Logon, copiez l'ACS URL et l'Entity ID du fournisseur de service (SP).

Étape 2 : Créer une application dans Okta

1. Connectez-vous au portail Okta.

2. Dans le coin supérieur droit, cliquez sur l'icône de votre compte, puis cliquez sur Your Org.

3. Dans le volet de navigation de gauche, choisissez Applications > Applications.

4. Sur la page Applications, cliquez sur Browse App Catalog.

5. Recherchez l'application Alibaba Cloud CloudSSO.

6. Sur la page de l'application, cliquez sur Add integration.

7. Configurez les paramètres de l'application.

   1. Sur la page General Settings, saisissez CloudSSODemo comme nom d'application, puis cliquez sur Done.

   2. Sous l'onglet Sign on, dans la section settings, cliquez sur Edit.

      • Default RelayState : Page Alibaba Cloud vers laquelle les utilisateurs sont redirigés après une connexion SSO réussie. Si ce champ reste vide, les utilisateurs sont redirigés par défaut vers le portail utilisateur CloudSSO.

        Remarque

        Pour des raisons de sécurité, seule une URL du domaine *.alibabacloudsso.com est autorisée dans ce champ. Toute autre valeur rendra la configuration invalide.

      • ACS URL : Collez l'ACS URL copiée lors de l'Étape 1 : Obtenir les métadonnées SP depuis CloudSSO.

      • Entity ID : Collez l'Entity ID copié lors de l'Étape 1 : Obtenir les métadonnées SP depuis CloudSSO.

      • Application username : Sélectionnez Okta username.

   3. Cliquez sur Save.

Étape 3 : Obtenir les métadonnées IdP depuis Okta

1. Sur la page de détails de l'application CloudSSODemo, cliquez sur l'onglet Sign On.

2. Dans la section SAML Signing Certificates, sélectionnez View IdP metadata dans la liste déroulante Actions, puis enregistrez les métadonnées sur votre ordinateur.

Étape 4 : Attribuer des utilisateurs à l'application

1. Sur la page de détails de l'application CloudSSODemo, cliquez sur l'onglet Assignments.

2. Cliquez sur Assign et choisissez une méthode d'attribution.

   • Assign to People : Attribue l'application à des utilisateurs individuels. Ce tutoriel utilise cette méthode.

   • Assign to Groups : Attribue l'application à un groupe d'utilisateurs.

3. Dans la boîte de dialogue Assign CloudSSODemo to People, cliquez sur Assign en regard de l'utilisateur cible.

4. Vérifiez ou modifiez le User Name, puis cliquez sur Save and Go Back.

5. Répétez les étapes 3 à 4 pour attribuer d'autres utilisateurs.

6. Cliquez sur Done.

Étape 5 : Activer l'authentification unique dans CloudSSO

1. Dans le volet de navigation de gauche de la console CloudSSO, cliquez sur Settings.

2. Dans la section SSO Logon, cliquez sur Configure IdP.

3. Dans le panneau Configure IdP, sélectionnez Upload Metadata File.

4. Cliquez sur Upload File pour importer le fichier de métadonnées IdP enregistré lors de l'Étape 3 : Obtenir les métadonnées IdP depuis Okta.

5. Activez le commutateur de connexion SSO.

   Remarque

   L'activation de la connexion SSO désactive la connexion par nom d'utilisateur et mot de passe. Les utilisateurs CloudSSO ne peuvent donc plus se connecter avec leurs identifiants de plateforme. Une fois cette option activée, tous les utilisateurs doivent s'authentifier via votre fournisseur d'identité.

Étape 6 : Synchroniser ou créer des utilisateurs

Synchronisez les utilisateurs d'Okta vers CloudSSO, ou créez des utilisateurs dans CloudSSO avec les mêmes noms d'utilisateur.

• Synchroniser les utilisateurs d'Okta vers CloudSSO (Recommandé) : Cette méthode convient si vous gérez un grand nombre d'utilisateurs dans Okta. Pour plus d'informations, consultez Tutoriel : Synchroniser des utilisateurs et des groupes depuis Okta à l'aide de SCIM.

• Créer des utilisateurs dans CloudSSO avec des noms correspondants : Cette approche est adaptée si vous avez peu d'utilisateurs dans Okta. Pour plus d'informations, consultez Créer un utilisateur.

  Remarque

  Les noms d'utilisateur servent à la connexion. Lors de l'utilisation du SSO, le nom d'utilisateur CloudSSO doit correspondre exactement à celui configuré dans le champ « Application username » d'Okta. Pour plus d'informations, consultez l'Étape 2 : Créer une application dans Okta.

(Facultatif) Étape 7 : Accorder des permissions aux utilisateurs

Pour permettre aux utilisateurs d'accéder aux ressources des comptes membres après la connexion, créez une configuration d'accès et accordez-leur des permissions sur le compte RD.

1. Créez une configuration d'accès et définissez une politique dans CloudSSO.

   Pour plus d'informations, consultez Créer une configuration d'accès.

2. Accordez des permissions aux utilisateurs sur le compte RD.

   Pour plus d'informations, consultez Accorder des permissions sur un compte RD.

Vérifier les résultats

Une fois la configuration terminée, vous pouvez initier le SSO depuis Alibaba Cloud ou depuis Okta.

• Initier le SSO depuis Alibaba Cloud (initié par le SP)

  1. Sur la page Overview de la console CloudSSO, copiez l'URL de connexion utilisateur.

  2. Ouvrez l'URL de connexion utilisateur dans une nouvelle fenêtre de navigateur.

  3. Cliquez sur Redirect. Vous êtes redirigé vers la page SSO Login. Cliquez sur Redirect pour accéder à la page de connexion Okta.

  4. Connectez-vous avec votre nom d'utilisateur et votre mot de passe Okta.

     Vous êtes automatiquement connecté et redirigé vers la page spécifiée dans Default RelayState. Dans ce tutoriel, le champ Default RelayState ayant été laissé vide, vous êtes redirigé vers le portail utilisateur CloudSSO.

• Initier le SSO depuis Okta (initié par l'IdP)

  1. Connectez-vous au portail Okta en tant qu'utilisateur Okta.

  2. Cliquez sur l'application CloudSSODemo.

     Vous êtes automatiquement connecté et redirigé vers la page spécifiée dans Default RelayState. Dans ce tutoriel, le champ Default RelayState ayant été laissé vide, vous êtes redirigé vers le portail utilisateur CloudSSO.

Documents associés

• Tutoriel : Synchroniser des utilisateurs et des groupes depuis Okta à l'aide de SCIM

• Se connecter au portail utilisateur CloudSSO et accéder aux ressources Alibaba Cloud