Resource Access Management:Configurer la fédération avec AD FS

Prérequis

Avant de commencer, vérifiez que les services suivants sont déployés sur une instance ECS exécutant Windows Server 2012 R2 :

• Serveur DNS : résout et achemine les demandes d'authentification d'identité vers le service de fédération approprié.

• Active Directory Domain Services (AD DS) : permet de créer, d'interroger et de modifier des objets de domaine tels que les utilisateurs et les appareils.

• AD FS : permet de configurer une partie de confiance pour le SSO et d'authentifier les utilisateurs auprès de celle-ci.

  Important

  La configuration Microsoft AD présentée dans ce guide est fournie à titre indicatif et illustre le processus de configuration du SSO pour Alibaba Cloud. Alibaba Cloud ne fournit pas de services de conseil pour la configuration de Microsoft AD. Pour obtenir des instructions sur le déploiement d'AD FS, consultez Créer un domaine AD sur une instance Windows.

Rassemblez également les données suivantes avant de commencer :

Étape 1 : configurer AD FS en tant qu'IdP SAML de confiance dans RAM

1. Dans votre navigateur, accédez à : https://adfs.secloud.club/FederationMetadata/2007-06/FederationMetadata.xml/@cmd

2. Téléchargez le fichier de métadonnées au format XML./@cmd

3. Connectez-vous à la console RAM et utilisez le fichier de métadonnées pour configurer le SSO./@cmd

   Pour plus d'informations, consultez la rubrique Configurer SAML sur Alibaba Cloud pour le SSO des utilisateurs.

   Remarque

   Si la taille du fichier de métadonnées dépasse la limite autorisée, supprimez tout le contenu situé entre les balises <fed:ClaimTypesRequested> et <fed:ClaimTypesOffered>.

Étape 2 : configurer Alibaba Cloud en tant que SP SAML de confiance dans AD FS

Dans AD FS, le fournisseur de services (SP) SAML est appelé partie de confiance. Pour configurer Alibaba Cloud en tant que SP de confiance :

1. Dans Server Manager, choisissez Tools > AD FS Management./@cmd

2. Cliquez avec le bouton droit sur Relying Parties et sélectionnez Add Relying Party Trust./@cmd

3. Configurez les métadonnées SAML d'Alibaba Cloud pour la partie de confiance./@cmd

   Pour trouver l'URL des métadonnées, connectez-vous à la console RAM. Dans le volet de navigation de gauche, cliquez sur SSO. Sous l'onglet User-based SSO, repérez l'URL dans la section Setup SSO. Saisissez directement l'URL des métadonnées lors de la configuration de la partie de confiance dans AD FS.

   À l'étape Select Data Source, sélectionnez Import data about the relying party published online or on a local network, saisissez l'URL des métadonnées du fournisseur de services SAML d'Alibaba Cloud (par exemple, https://signin.aliyun.com/saml/SpMetadata.xml?tenantID=xxx) dans le champ Federation metadata address, puis cliquez sur Next.

Une fois la partie de confiance configurée, Alibaba Cloud envoie des demandes d'authentification au service AD FS (adfs.secloud.club) pour les utilisateurs RAM appartenant au compte Alibaba Cloud dont le nom de domaine par défaut est secloud.onaliyun.com. AD FS authentifie les utilisateurs et renvoie une réponse SAML à Alibaba Cloud.

Étape 3 : configurer les attributs d'assertion SAML pour le SP Alibaba Cloud

Définissez le champ NameID dans l'assertion SAML sur l'UPN de l'utilisateur RAM. Alibaba Cloud utilise cette valeur pour identifier l'utilisateur RAM correct à partir de la réponse SAML.

Vous devez définir l'UPN dans Microsoft AD sur la valeur de NameID dans l'assertion SAML.

1. Cliquez avec le bouton droit sur le nom d'affichage de la partie de confiance et sélectionnez Edit Claim Rules./@cmd

2. Cliquez sur Issuance Transform Rules pour ajouter une règle./@cmd

   Remarque

   Les règles de transformation d'émission définissent la manière de transformer un attribut utilisateur et de l'émettre dans l'assertion SAML. Pour émettre l'UPN Microsoft AD en tant que NameID, vous devez créer une nouvelle règle.

3. Définissez le Claim rule template sur Transform an Incoming Claim./@cmd

4. Sélectionnez Edit Rule et résolvez la divergence de noms de domaine à l'aide de l'une des méthodes suivantes :/@cmd

   Remarque

   Dans cet exemple, le domaine UPN du compte Alibaba Cloud est secloud.onaliyun.com, tandis que le domaine UPN dans Microsoft AD est secloud.club. Le mappage direct de l'UPN Microsoft AD sur NameID empêche Alibaba Cloud d'identifier l'utilisateur. Utilisez l'une des méthodes ci-dessous pour résoudre cette divergence.

   1. Méthode 1 : Définissez le nom de domaine Microsoft AD comme domain alias configuré dans RAM.

      Si secloud.club est enregistré auprès d'un DNS public, ajoutez secloud.club en tant que domain alias dans RAM. Pour plus d'informations, consultez la rubrique Créer et vérifier un alias de domaine.

      Après avoir configuré l'alias de domaine, mappez l'UPN sur NameID dans la boîte de dialogue Edit Rule.

      Dans la boîte de dialogue Edit Rule, définissez Claim rule name sur UPN2NameID, définissez Incoming claim type sur UPN, définissez Outgoing claim type sur Name ID, définissez Outgoing name ID format sur Email, sélectionnez Pass through all claim values, puis cliquez sur OK.

   2. Méthode 2 : Transformer le nom de domaine dans AD FS.

      Si secloud.club est un domaine d'entreprise interne qui ne peut pas être vérifié par Alibaba Cloud, RAM ne peut utiliser que le nom de domaine par défaut secloud.onaliyun.com.

      Configurez AD FS pour remplacer le suffixe de domaine secloud.club par secloud.onaliyun.com dans l'assertion SAML avant de l'envoyer à Alibaba Cloud.

   3. Méthode 3 : Spécifiez le nom de domaine Microsoft AD comme nom de domaine auxiliaire pour le SSO basé sur les utilisateurs.

      Si secloud.club est un domaine d'entreprise interne, spécifiez secloud.club comme nom de domaine auxiliaire dans RAM ; aucune transformation de nom de domaine dans AD FS n'est requise. Pour plus d'informations, consultez la rubrique Configurer SAML sur Alibaba Cloud pour le SSO des utilisateurs.

      Après avoir spécifié le nom de domaine auxiliaire, mappez l'UPN sur NameID dans la boîte de dialogue Edit Rule.