Resource Access Management:User-based SSO with Google Workspace

Étape 1 : Récupérez les métadonnées du fournisseur SAML depuis Alibaba Cloud

1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

2. Dans le volet de navigation de gauche, choisissez Integrations > SSO.

3. Cliquez sur l'onglet User-based SSO. Dans la section SAML Service Provider Metadata URL, copiez l'URL des métadonnées correspondant à votre compte Alibaba Cloud.

4. Ouvrez le lien copié dans une nouvelle fenêtre de navigateur et enregistrez localement le fichier XML contenant les métadonnées.

   Remarque

   Le fichier XML des métadonnées contient les informations relatives au fournisseur de service SAML d'Alibaba Cloud. Notez la valeur de l'attribut entityID issu de l'élément EntityDescriptor, ainsi que la valeur de l'attribut Location issu de l'élément AssertionConsumerService. Vous aurez besoin de ces valeurs pour configurer Google Workspace.

Étape 2 : Créez une application SAML SSO dans Google Workspace

1. Connectez-vous à la Google Admin console en tant que super administrateur.

2. Dans le volet de navigation de gauche, choisissez Apps > Web and mobile apps.

3. Cliquez sur Add app, puis sélectionnez Add custom SAML app.

4. Sur la page Add custom SAML app, créez une application prenant en charge le SSO SAML.

   1. Sur la page App details, saisissez un nom d'application (par exemple, AlibabaCloudUserSSO), puis cliquez sur CONTINUE.

   2. Sur la page Google Identity Provider details, cliquez sur DOWNLOAD METADATA pour télécharger les métadonnées, puis cliquez sur CONTINUE.

   3. Sur la page Service provider details, renseignez les champs ACS URL et Entity ID, puis cliquez sur CONTINUE.

      • ACS URL : Valeur de Location que vous avez notée à l'Étape 1 : Récupérez les métadonnées du fournisseur de service SAML depuis Alibaba Cloud.

      • Entity ID : Valeur de entityID que vous avez notée à l'Étape 1 : Récupérez les métadonnées du fournisseur de service SAML depuis Alibaba Cloud.

      • Start URL : Page Alibaba Cloud vers laquelle les utilisateurs sont redirigés après une authentification SSO réussie.

        Remarque

        Seules les URL appartenant aux domaines gérés par Alibaba sont autorisées pour le champ Default RelayState (.aliyun.com, .hichina.com, .yunos.com, .taobao.com, .tmall.com, .alibabacloud.com et *.alipay.com). Les URL non valides sont ignorées. Si ce champ est vide, vous serez redirigé vers la page d'accueil de la console Alibaba Cloud.

   4. Sur la page Attribute mapping, cliquez sur FINISH.

5. Sur la page de détails de l'application créée, cliquez sur User access.

6. Facultatif : Dans la section Organizational Units, sélectionnez l'unité organisationnelle pour laquelle vous souhaitez activer le SSO. Par défaut, l'application s'applique à l'ensemble de l'organisation.

7. Dans la section Service status, sélectionnez ON for everyone.

   Remarque

   Si vous avez spécifié une unité organisationnelle à l'étape 6, sélectionnez ON.

8. Cliquez sur SAVE.

Étape 3 : Activez le SSO basé sur l'utilisateur dans Alibaba Cloud

1. Dans le volet de navigation de gauche de la console RAM, choisissez Integrations > SSO.

2. Cliquez sur l'onglet User-based SSO. Dans la section SSO Status, cliquez sur Enabled.

   Remarque

   Le SSO basé sur l'utilisateur est une fonctionnalité globale. Une fois activé, tous les utilisateurs RAM doivent utiliser le SSO pour se connecter. Si vous êtes connecté en tant qu'utilisateur RAM, laissez le SSO désactivé jusqu'à ce que vous ayez créé les utilisateurs RAM requis afin d'éviter tout verrouillage dû à des erreurs de configuration. Vous pouvez également vous connecter avec votre compte Alibaba Cloud pour effectuer cette configuration.

3. Dans la section Metadata File, cliquez sur Upload Metadata File et importez les métadonnées de l'IdP que vous avez téléchargées depuis Google Workspace lors de l'Étape 2 : Créez une application SAML SSO dans Google Workspace.

4. Dans la section Auxiliary Domain Name, cliquez sur Edit. Activez ensuite le nom de domaine auxiliaire et définissez-le comme suffixe e-mail des noms d'utilisateurs Google Workspace.

   Remarque

   Si votre organisation Google Workspace comporte des utilisateurs avec plusieurs suffixes d'e-mail, seuls les utilisateurs dont l'adresse e-mail se termine par le suffixe spécifié pourront se connecter à Alibaba Cloud.

Étape 4 : Créez un utilisateur dans Google Workspace

1. Dans le volet de navigation de gauche, choisissez Directory > Users.

2. Cliquez sur Add new user.

3. Sur la page User Information, saisissez le prénom (First name), le nom (Last name) et l'adresse e-mail principale (Primary email, par exemple u2@example.com). Sélectionnez une Organizational unit, puis cliquez sur ADD NEW USER.

   Remarque

   Si vous avez spécifié une unité organisationnelle pour l'application lors de l'Étape 2 : Créez une application SAML SSO dans Google Workspace, sélectionnez la même Organizational unit.

Étape 5 : Créez un utilisateur RAM dans Alibaba Cloud

1. Dans le volet de navigation de gauche de la console RAM, choisissez Identities > Users.

2. Sur la page Users, cliquez sur Create User.

3. Sur la page Create User, saisissez le Logon Name et le Display Name.

   Remarque

   Assurez-vous que le préfixe du nom de connexion de l'utilisateur RAM correspond au préfixe du nom d'utilisateur dans Google Workspace. Dans cet exemple, le préfixe est u2.

4. Dans la section Access Mode, sélectionnez Console Access et configurez les autres paramètres, tels que le mot de passe de connexion.

5. Cliquez sur OK.

Vérifiez le résultat

Une fois la configuration terminée, vous pouvez initier le SSO depuis Alibaba Cloud ou depuis Google Workspace.