Resource Access Management:Exemple de SSO basé sur les rôles avec Microsoft Entra ID

Cas d'utilisation

Dans cet exemple, une entreprise dispose d'un compte Alibaba Cloud et d'un locataire Microsoft Entra ID. Le locataire comprend un administrateur disposant des autorisations d'administrateur global et un employé dont le nom principal d'utilisateur (UPN) est ssotest01@example.onmicrosoft.com. L'objectif est de permettre à l'employé (ssotest01@example.onmicrosoft.com) d'accéder à Alibaba Cloud via le SSO basé sur les rôles après s'être connecté à Microsoft Entra ID.

Prérequis

• Vous disposez d'un administrateur RAM disposant de l'autorisation AliyunRAMFullAccess pour les opérations dans la console RAM. Pour savoir comment créer un utilisateur RAM et lui attribuer des autorisations, consultez les pages Créer un utilisateur RAM et Gérer les autorisations des utilisateurs RAM.

• Vous disposez d'un administrateur Microsoft Entra ID doté du rôle Administrateur global pour les opérations dans Microsoft Entra ID. Pour savoir comment créer un utilisateur et lui attribuer des autorisations dans Microsoft Entra ID, consultez la documentation Microsoft Entra ID.

Processus de configuration

Cette configuration établit une relation de confiance entre l'IdP et le SP, et mappe les rôles d'application dans Microsoft Entra ID aux rôles RAM dans Alibaba Cloud.

1. Étape 1 : Créer une application d'entreprise dans Microsoft Entra ID. Créez une application d'entreprise à partir de la galerie d'applications Microsoft Entra ID en utilisant le modèle d'application Alibaba Cloud Service (Role-based SSO).

2. Étape 2 : Configurer SAML dans Microsoft Entra ID. Configurez le SSO basé sur les rôles d'Alibaba Cloud en tant que fournisseur de services SAML de confiance.

3. Étape 3 : Créer un fournisseur d'identité dans Alibaba Cloud. Configurez Microsoft Entra ID en tant qu'IdP SAML de confiance dans Alibaba Cloud RAM.

4. Étape 4 : Créer un rôle RAM dans Alibaba Cloud. Créez un rôle RAM dans Alibaba Cloud RAM et définissez son type de principal sur IdP.

5. Étape 5 : Créer un rôle d'application et attribuer des utilisateurs dans Microsoft Entra ID. Créez et configurez un rôle d'application pour l'application de SSO basé sur les rôles d'Alibaba Cloud dans Microsoft Entra ID, et attribuez un utilisateur de test à l'application d'entreprise.

6. Vérifier la connexion SSO. Vérifiez que la connexion SSO basée sur les rôles fonctionne comme prévu.

Étape 1 : Créer une application d'entreprise dans Microsoft Entra ID

1. Connectez-vous au portail Azure en tant qu'administrateur global Microsoft Entra ID.

   Remarque

   Si vous utilisez Azure AD China (exploité par 21Vianet), utilisez https://portal.azure.cn au lieu de https://portal.azure.com.

2. Dans le coin supérieur gauche de la page, cliquez sur l'icône .

3. Dans le volet de navigation de gauche, sélectionnez Microsoft Entra ID > Manage > Enterprise applications > All applications.

4. Cliquez sur New application.

5. Recherchez et sélectionnez Alibaba Cloud Service (Role-based SSO). Si vous utilisez Azure AD China et que ce modèle n'est pas disponible dans la galerie d'applications d'entreprise, créez manuellement une application d'entreprise hors galerie et effectuez la configuration SAML dans les étapes suivantes.

6. Saisissez un nom pour l'application et cliquez sur Create.

   Cet exemple utilise le nom d'application par défaut Alibaba Cloud Service (Role-based SSO). Vous pouvez également spécifier un nom personnalisé.

Étape 2 : Configurer SAML dans Microsoft Entra ID

1. Sur la page Alibaba Cloud Service (Role-based SSO), dans le volet de navigation de gauche, sélectionnez Manage > Single sign-on.

2. Cliquez sur SAML.

3. Configurez les informations de SSO.

   1. Dans le coin supérieur gauche de la page, cliquez sur Upload metadata file, sélectionnez le fichier de métadonnées pour le SSO basé sur les rôles d'Alibaba Cloud, puis cliquez sur Add.

      Remarque

      Pour obtenir le fichier de métadonnées, ouvrez https://signin.alibabacloud.com/saml-role/sp-metadata.xml dans une nouvelle fenêtre de navigateur et enregistrez le fichier XML de métadonnées de fédération sur votre ordinateur.

   2. Sur la page Basic SAML Configuration, configurez les informations suivantes, puis cliquez sur Save.

      • identifier (entity ID) : Cette valeur est automatiquement renseignée à partir de l'attribut entityID du fichier de métadonnées.

      • reply URL (assertion consumer service URL) : Cette valeur est automatiquement renseignée à partir de l'attribut Location du fichier de métadonnées.

      • relay state : Ce paramètre facultatif spécifie la page Alibaba Cloud sur laquelle les utilisateurs atterrissent après une connexion SSO basée sur les rôles réussie.

        Remarque

        Pour des raisons de sécurité, vous ne pouvez saisir qu'une URL appartenant à un domaine Alibaba comme valeur de relay state, par exemple .aliyun.com, .hichina.com, .yunos.com, .taobao.com, .tmall.com, .alibabacloud.com ou *.alipay.com. Sinon, la configuration est invalide. Si vous ne configurez pas ce paramètre, les utilisateurs sont redirigés par défaut vers la page d'accueil de la console Alibaba Cloud.

   3. Dans la section Attributes & Claims, cliquez sur l'icône et vérifiez que les deux claims suivants existent.

      Si ces claims sont manquants, cliquez sur Add new claim et ajoutez-les comme décrit dans le tableau suivant.

      Name	Namespace	Source	Source attribute
      Role	https://www.aliyun.com/SAML-Role/Attributes	Attribute	user.assignedroles
      RoleSessionName	https://www.aliyun.com/SAML-Role/Attributes	Attribute	user.userprincipalname

   4. Dans la section SAML Certificates, recherchez Federation Metadata XML et cliquez sur Download.

Étape 3 : Créer un fournisseur d'identité dans Alibaba Cloud

1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

2. Dans le volet de navigation de gauche, sélectionnez Integrations > SSO.

3. Sous l'onglet Role-based SSO, cliquez sur l'onglet SAML, puis sur Create IdP.

4. Sur la page Create IdP, saisissez AAD pour le champ IdP Name.

5. Cliquez sur Upload Metadata File et téléchargez le fichier XML de métadonnées de fédération que vous avez téléchargé à l'étape Étape 2 : Configurer SAML dans Microsoft Entra ID.

6. Cliquez sur Create IdP.

7. Cliquez sur le fournisseur d'identité AAD que vous avez créé. Dans la section Basic Information, recherchez et copiez l'ARN du fournisseur d'identité.

Étape 4 : Créer un rôle RAM dans Alibaba Cloud

1. Dans le volet de navigation de gauche de la console RAM, sélectionnez Identities > Roles.

2. Sur la page Roles, cliquez sur Create Role.

3. Dans le coin supérieur droit de la page Create Role, cliquez sur Switch to Policy Editor.

4. Spécifiez le fournisseur d'identité SAML dans l'éditeur.

   L'éditeur prend en charge un éditeur visuel et un éditeur de script. Vous pouvez utiliser l'un ou l'autre. Cet exemple utilise l'éditeur visuel. Pour le champ Principal, sélectionnez IdP et cliquez sur Edit. Ensuite, spécifiez AAD comme fournisseur d'identité et sélectionnez SAML pour le champ IdP Type.

5. Dans la boîte de dialogue Create Role, saisissez un Role Name, par exemple AADrole, puis cliquez sur OK pour créer le rôle.

6. Cliquez sur le rôle RAM que vous avez créé. Dans la section Basic Information, recherchez et copiez l'ARN du rôle.

Étape 5 : Créer des rôles d'application et attribuer des utilisateurs

1. Créez un rôle d'application dans Microsoft Entra ID.

   1. Connectez-vous au portail Azure en tant qu'administrateur.

   2. Dans le volet de navigation de gauche, sélectionnez Microsoft Entra ID > Manage > App registrations.

   3. Cliquez sur l'onglet All applications, puis sur Alibaba Cloud Service (Role-based SSO).

   4. Dans le volet de navigation de gauche, sélectionnez Manage > App roles.

   5. Cliquez sur Create app role.

   6. Sur la page Create app role, configurez les informations de rôle suivantes, puis cliquez sur Application.

      • Display Name : Dans cet exemple, saisissez Admin.

      • Allowed member types : Dans cet exemple, sélectionnez Users/groups.

      • Value : Saisissez l'ARN du rôle RAM et l'ARN du fournisseur d'identité, séparés par une virgule (,). Par exemple, saisissez acs:ram::187125022722****:role/aadrole,acs:ram::187125022722****:saml-provider/AAD.

        Remarque

        La valeur doit être au format ARN du rôle RAM,ARN du fournisseur d'identité. Si l'ordre est incorrect, la connexion SSO échouera.

      • Description : Saisissez une description pour le rôle.

      • Sélectionnez Do you want to enable this app role?.

   Remarque

   Si vous devez créer plusieurs rôles d'application dans Microsoft Entra ID, répétez les étapes précédentes et définissez des noms d'affichage et des valeurs de rôles d'application différents.

2. Attribuez un utilisateur à l'application d'entreprise et spécifiez un rôle d'application.

   1. Dans le volet de navigation de gauche, sélectionnez Microsoft Entra ID > Manage > Enterprise applications > All applications.

   2. Dans la liste Name, cliquez sur Alibaba Cloud Service (Role-based SSO).

   3. Dans le volet de navigation de gauche, sélectionnez Manage > Users and groups.

   4. Dans le coin supérieur gauche, cliquez sur Add user/group.

   5. Sur la page Add Assignment, sélectionnez l'utilisateur cible, puis cliquez sur Select.

   6. Assurez-vous que le rôle sélectionné est Admin, puis cliquez sur Allowed Identities.

      Remarque

      Dans un environnement de production, il est recommandé d'ajouter les utilisateurs à des groupes dans Microsoft Entra ID, puis d'attribuer les groupes à l'application d'entreprise.

      Si vous disposez de plusieurs rôles, vous pouvez associer différents groupes d'utilisateurs à différents rôles, par exemple en associant un groupe ecs-admin à un rôle ecs-admin et un groupe oss-admin à un rôle oss-admin. Cette pratique permet un contrôle d'accès plus granulaire et une gestion des utilisateurs plus efficace.

Vérifier la connexion SSO

Le SSO basé sur les rôles prend uniquement en charge le SSO initié par l'IdP. Vous devez initier la connexion depuis Microsoft Entra ID pour vérifier la configuration.

1. Obtenez l'URL d'accès utilisateur.

   1. Connectez-vous au portail Azure en tant qu'administrateur.

   2. Dans le volet de navigation de gauche, sélectionnez Microsoft Entra ID > Manage > Enterprise applications > All applications.

   3. Dans la liste Name, cliquez sur Alibaba Cloud Service (Role-based SSO).

   4. Dans le volet de navigation de gauche, sélectionnez Manage > Properties et obtenez l'User access URL.

2. En tant qu'utilisateur (ssotest01@example.onmicrosoft.com), ouvrez l'User access URL dans un navigateur et connectez-vous avec votre compte. Après une connexion réussie, l'utilisateur est redirigé par défaut vers la console Alibaba Cloud. Le rôle RAM que vous avez défini (aadrole) apparaît avant le nom du compte.

   Vous êtes automatiquement connecté via le SSO et redirigé vers la page spécifiée pour relay state. Si relay state n'est pas spécifié ou si sa valeur est hors de la portée autorisée, le système vous redirige vers la page d'accueil de la console Alibaba Cloud.

Avancé : Configurer le SSO pour plusieurs comptes Alibaba Cloud

Supposons que vous disposiez de deux comptes Alibaba Cloud (Account1 et Account2). Vous souhaitez configurer le SSO afin qu'un employé (ssotest01@example.onmicrosoft.com) puisse se connecter à Microsoft Entra ID et utiliser le SSO basé sur les rôles pour accéder à la fois à Account1 et à Account2.

1. Ajoutez l'application Alibaba Cloud Service (Role-based SSO) depuis la galerie Microsoft Entra ID.

   Pour plus d'informations, consultez la section Étape 1 : Créer une application d'entreprise dans Microsoft Entra ID.

2. Configurez le SSO Microsoft Entra ID.

   Pour plus d'informations, consultez la section Étape 2 : Configurer SAML dans Microsoft Entra ID.

3. Créez des fournisseurs d'identité dans Alibaba Cloud.

   Vous devez créer un IdP nommé AAD dans chacun des deux comptes Alibaba Cloud (Account1 et Account2).

   Pour les opérations spécifiques dans chaque compte Alibaba Cloud, consultez la section Étape 3 : Créer un fournisseur d'identité dans Alibaba Cloud.

4. Créez des rôles RAM dans Alibaba Cloud.

   Vous devez créer des rôles RAM dans chacun des deux comptes Alibaba Cloud. Pour cet exemple, supposons que vous créez deux rôles RAM dans Account1 et un rôle RAM dans Account2. Les détails sont les suivants :

   • Rôles RAM pour Account1 : adminaad et readaad.

   • Rôle RAM pour Account2 : financeaad.

   Pour les opérations spécifiques dans chaque compte Alibaba Cloud, consultez la section Étape 4 : Créer un rôle RAM dans Alibaba Cloud.

5. Associez les rôles RAM d'Alibaba Cloud à l'utilisateur Microsoft Entra ID.

   Dans Microsoft Entra ID, créez trois rôles d'application et attribuez-les à l'utilisateur (ssotest01@example.onmicrosoft.com). Les valeurs des trois rôles sont les suivantes :

   • acs:ram::<Account1_ID>:role/adminaad,acs:ram::<Account1_ID>:saml-provider/AAD

   • acs:ram::<Account1_ID>:role/readaad,acs:ram::<Account1_ID>:saml-provider/AAD

   • acs:ram::<Account2_ID>:role/financeaad,acs:ram::<Account2_ID>:saml-provider/AAD

   Pour plus d'informations, consultez la section Étape 5 : Créer un rôle d'application et attribuer des utilisateurs dans Microsoft Entra ID.

6. Accédez à Alibaba Cloud en utilisant le SSO basé sur les rôles en tant qu'utilisateur Microsoft Entra ID.

   L'utilisateur (ssotest01@example.onmicrosoft.com) se connecte au portail Azure My Apps et clique sur l'application Alibaba Cloud Service (Role-based SSO). Sur la page Alibaba Cloud, vous êtes invité à sélectionner un compte Alibaba Cloud (Account1 ou Account2) et un rôle à endosser pour accéder à Alibaba Cloud via le SSO basé sur les rôles.

Dépannage

Consultez la page FAQ sur la connexion unique (SSO).