Data Management:Se connecter à DMS avec des comptes de domaine

Concept

Description

Fournisseur d'identité (IdP)

Entité RAM contenant les métadonnées relatives à un fournisseur d'identité externe. Un IdP fournit des services de gestion des identités.

• IdP local d'entreprise : Microsoft Active Directory Federation Service (AD FS), Shibboleth, etc.

• IdP cloud : IDaaS, Microsoft Entra ID, Google Workspace, Okta, OneLogin, etc.

Fournisseur de services (SP)

Application qui utilise les capacités de gestion des identités d'un IdP pour fournir des services aux utilisateurs. Le SP exploite les informations utilisateur fournies par l'IdP. Certains systèmes d'identité non basés sur le protocole SAML, tels qu'OpenID Connect, désignent également le fournisseur de services comme une partie de confiance de l'IdP.

Security Assertion Markup Language (SAML 2.0)

Protocole standard pour l'authentification des utilisateurs au niveau de l'entreprise. SAML 2.0 est l'une des implémentations techniques permettant la communication entre les SP et les IdP. SAML 2.0 est devenu la norme de facto pour le SSO au niveau de l'entreprise.

Assertion SAML

Éléments centraux utilisés pour décrire les demandes et les réponses d'authentification dans le protocole SAML. Par exemple, des attributs utilisateur spécifiques sont inclus dans l'assertion d'une réponse d'authentification.

Confiance

Mécanisme de confiance mutuelle établi entre un SP et un IdP, généralement mis en œuvre à l'aide de clés publiques et privées. Le SP obtient les métadonnées SAML de l'IdP via une méthode fiable. Les métadonnées contiennent la clé publique utilisée par l'IdP pour signer les assertions SAML. Le SP utilise cette clé publique pour vérifier l'intégrité des assertions.

OIDC

OpenID Connect (OIDC) repose sur OAuth 2.0. OAuth est un protocole d'autorisation, tandis qu'OIDC ajoute une couche d'identité. En plus des capacités d'autorisation fournies par OAuth, OIDC permet aux clients d'authentifier les utilisateurs finaux et de récupérer des informations utilisateur de base via les API du protocole OIDC (HTTP RESTful).

Jeton OIDC

OIDC émet des jetons d'identité au nom des utilisateurs connectés, appelés jetons OIDC. Ces jetons servent à récupérer des informations de base sur les utilisateurs connectés.

Client ID

Lorsque votre application est enregistrée auprès d'un IdP externe, un client ID est généré. Vous devez utiliser ce client ID lors de la demande d'un jeton OIDC à l'IdP externe. Le jeton OIDC émis contient également ce client ID dans le champ aud. Configurez ce client ID lors de la création du fournisseur d'identité OIDC. Lors de l'utilisation d'un jeton OIDC pour obtenir un jeton STS, Alibaba Cloud vérifie si le client ID dans le champ aud du jeton OIDC correspond au client ID configuré dans le fournisseur d'identité OIDC. L'assumption de rôle n'est autorisée qu'en cas de correspondance.

Empreinte de vérification

Pour empêcher le détournement ou la falsification malveillante de l'URL de l'émetteur, configurez une empreinte de vérification générée à partir du certificat CA HTTPS de l'IdP externe. Alibaba Cloud calcule automatiquement cette empreinte, mais nous vous recommandons de la calculer localement (par exemple, Obtenir une empreinte OIDC IdP avec OpenSSL). Comparez-la avec l'empreinte calculée par Alibaba Cloud. Si elles ne correspondent pas, l'URL de l'émetteur a peut-être été compromise. Confirmez et saisissez l'empreinte correcte.

Issuer URL

L'Issuer URL est fournie par l'IdP externe et correspond à la valeur du champ iss dans le jeton OIDC. L'Issuer URL doit commencer par https et respecter le format d'URL standard. Les paramètres de requête (identifiés par ?), les fragments (identifiés par #) et les informations de connexion (identifiés par @) ne sont pas autorisés.

Identifiants d'identité temporaires

Security Token Service (STS) est un service de gestion des identifiants d'accès temporaires fourni par Alibaba Cloud. Grâce à STS, vous pouvez obtenir des identifiants d'identité temporaires (jetons STS) avec des périodes de validité et des autorisations d'accès personnalisables.