Resource Access Management:Configure user-based SSO with Microsoft Entra ID

Cas d'utilisation

Dans cet exemple, une entreprise dispose d'un compte Alibaba Cloud et d'un locataire Microsoft Entra ID. Le locataire contient un administrateur doté du rôle Global Administrator et un utilisateur employé, u2. L'objectif est de configurer le SSO basé sur les utilisateurs pour permettre à l'utilisateur employé (u2) d'accéder à Alibaba Cloud après s'être connecté à Microsoft Entra ID.

Prérequis

• Vous disposez d'un administrateur RAM disposant de l'autorisation AliyunRAMFullAccess pour effectuer des opérations dans la console RAM. Pour plus d'informations sur la création d'un utilisateur RAM et l'attribution d'autorisations, consultez les rubriques Créer un utilisateur RAM et Gérer les autorisations des utilisateurs RAM.

• Vous disposez d'un administrateur Microsoft Entra ID doté du rôle Global Administrator pour effectuer des opérations dans Microsoft Entra ID. Pour savoir comment créer un utilisateur et attribuer des autorisations dans Microsoft Entra ID, consultez la documentation Microsoft Entra ID.

Étape 1 : Obtenir les métadonnées SAML depuis Alibaba Cloud

1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

2. Dans le volet de navigation de gauche, sélectionnez Integrations > SSO.

3. Sur la page SSO, cliquez sur l'onglet User-based SSO.

4. Dans la section SAML Service Provider Metadata URL, copiez l'URL.

5. Ouvrez l'URL copiée dans une nouvelle fenêtre de navigateur et enregistrez le fichier XML de métadonnées localement.

   Remarque

   Le fichier XML de métadonnées contient des informations relatives à Alibaba Cloud en tant que fournisseur de service SAML. Notez les valeurs de entityID et de Location extraites de ce fichier. Ces valeurs sont nécessaires pour la configuration dans Microsoft Entra ID.

Étape 2 : Créer une application dans Microsoft Entra ID

1. Connectez-vous au portail Azure en tant qu'administrateur Microsoft Entra ID.

2. Dans le coin supérieur gauche de la page d'accueil, cliquez sur l'icône .

3. Dans le volet de navigation de gauche, sélectionnez Microsoft Entra ID > Manage > Enterprise applications > All applications.

4. Cliquez sur New application.

5. Sur la page Browse Microsoft Entra Gallery, cliquez sur Create your own application.

6. Dans le volet Create your own application, saisissez un nom d'application, par exemple AliyunSSODemo. Sélectionnez Integrate any other application you don't find in the gallery (Non-gallery), puis cliquez sur Create.

Étape 3 : Configurer SAML dans Microsoft Entra ID

1. Sur la page AliyunSSODemo, dans le volet de navigation de gauche, accédez à Manage > Single sign-on.

2. Sur la page Select a single sign-on method, cliquez sur SAML.

3. Sur la page Set up Single Sign-On with SAML, effectuez les étapes suivantes :

   1. Dans le coin supérieur gauche, cliquez sur Upload metadata file, sélectionnez le fichier, puis cliquez sur Add.

      Remarque

      Téléchargez le fichier XML obtenu lors de l'Étape 1 : Obtenir les métadonnées SAML depuis Alibaba Cloud.

   2. Dans la section Basic SAML Configuration, configurez les paramètres suivants, puis cliquez sur Save.

      • Identifier (Entity ID) : La valeur de entityID est automatiquement lue à partir du fichier de métadonnées.

      • Reply URL (Assertion Consumer Service URL) : La valeur de Location est automatiquement lue à partir du fichier de métadonnées.

      • Relay State : Page Alibaba Cloud vers laquelle les utilisateurs sont redirigés après une connexion SSO réussie.

        Remarque

        Pour des raisons de sécurité, vous ne pouvez définir le Relay State que sur une URL appartenant à un domaine Alibaba, tel que *.aliyun.com, *.hichina.com, *.yunos.com, *.taobao.com, *.tmall.com, *.alibabacloud.com ou *.alipay.com. Dans le cas contraire, la configuration n'est pas valide. Si vous laissez ce champ vide, les utilisateurs sont redirigés par défaut vers la page d'accueil de la console Alibaba Cloud.

   3. Dans la section SAML Certificates, recherchez Federation Metadata XML et cliquez sur Download.

Étape 4 : Assigner des utilisateurs dans Microsoft Entra ID

1. Sur la page AliyunSSODemo, dans le volet de navigation de gauche, accédez à Manage > Users and groups.

2. Dans le coin supérieur gauche, cliquez sur Add user/group.

3. Sur la page Add Assignment, sélectionnez l'utilisateur cible (l'utilisateur u2 dans cet exemple), puis cliquez sur Allowed Identities.

Étape 5 : Créer un utilisateur RAM

1. Dans le volet de navigation de gauche de la console RAM, sélectionnez Identities > Users.

2. Sur la page Users, cliquez sur Create User.

3. Sur la page Create User, dans la section User Account Information, saisissez un Logon Name et un Display Name.

   Assurez-vous que le préfixe du nom de connexion de l'utilisateur RAM est identique au préfixe du nom d'utilisateur dans Microsoft Entra ID. Dans cet exemple, le préfixe est u2.

4. Dans la section Access Mode, sélectionnez un mode d'accès.

5. Cliquez sur OK.

Étape 6 : Activer le SSO utilisateur dans Alibaba Cloud

1. Dans le volet de navigation de gauche de la console RAM, sélectionnez Integrations > SSO.

2. Sur la page SSO, cliquez sur l'onglet User-based SSO.

3. Dans la section SSO Status, cliquez sur Enabled.

   Remarque

   Le SSO basé sur les utilisateurs est un paramètre global. Une fois activé, tous les utilisateurs RAM doivent utiliser le SSO pour se connecter à la console. Si vous êtes actuellement connecté en tant qu'utilisateur RAM, n'activez pas ce paramètre avant d'avoir entièrement configuré et testé le SSO afin d'éviter tout verrouillage de votre compte. Il est recommandé d'effectuer cette configuration lorsque vous êtes connecté à votre compte Alibaba Cloud.

4. Dans la section Metadata File, cliquez sur Upload Metadata File et téléchargez le fichier XML obtenu lors de l'Étape 3 : Configurer SAML dans Microsoft Entra ID.

5. Dans la section Auxiliary Domain Name, cliquez sur Edit. Activez le nom de domaine auxiliaire et configurez-le avec le suffixe e-mail du nom d'utilisateur dans Microsoft Entra ID.

   Par exemple, si le nom d'utilisateur complet de l'utilisateur Microsoft Entra ID (u2) est u2@example.onmicrosoft.com, saisissez example.onmicrosoft.com.

Vérifier le résultat

Une fois la configuration du SSO terminée, vous pouvez initier une connexion SSO soit depuis Alibaba Cloud (initié par le fournisseur de service), soit depuis Microsoft Entra ID (initié par le fournisseur d'identité).