Tous les produits
Search

Ce produit

    Resource Access Management:Démarrage rapide : Configurer le SSO avec un IdP d'entreprise

    Centre de documentation

    Resource Access Management:Démarrage rapide : Configurer le SSO avec un IdP d'entreprise

    Dernière mise à jour :Aug 09, 2026

    Configurez un SSO (Single Sign-On) basé sur les rôles en utilisant Microsoft Entra ID (anciennement Azure AD) comme fournisseur d'identité (IdP). Une fois la configuration terminée, les utilisateurs se connectent avec leurs identifiants Microsoft Entra ID pour endosser un rôle RAM et accéder temporairement aux ressources Alibaba Cloud.

    Remarque

    Avant de commencer, vérifiez que les services Alibaba Cloud auxquels vous prévoyez d'accéder prennent en charge le Security Token Service (STS).

    Prérequis

    • Vous disposez d'un administrateur RAM doté de l'autorisation AliyunRAMFullAccess pour effectuer des opérations dans la console RAM. Pour savoir comment créer un utilisateur RAM et lui attribuer des autorisations, consultez les rubriques Créer un utilisateur RAM et Gérer les autorisations des utilisateurs RAM.

    • Vous disposez d'un administrateur Microsoft Entra ID disposant du rôle Administrateur global pour effectuer des opérations dans Microsoft Entra ID. Pour savoir comment créer un utilisateur et attribuer des autorisations dans Microsoft Entra ID, consultez la documentation Microsoft Entra ID.

    Procédure

    Dans cet exemple, Microsoft Entra ID agit en tant qu'IdP et Alibaba Cloud en tant que fournisseur de services (SP). Les étapes suivantes établissent une relation de confiance entre l'IdP et le SP, et associent un rôle d'application Microsoft Entra ID à un rôle RAM Alibaba Cloud.

    1. Étape 1 : Créer une application d'entreprise dans Microsoft Entra ID : Créez une application d'entreprise à partir de la galerie d'applications Microsoft Entra en utilisant le modèle Alibaba Cloud Service (Role-based SSO).

    2. Étape 2 : Configurer SAML dans Microsoft Entra ID : Configurez le SSO basé sur les rôles Alibaba Cloud en tant que SP SAML de confiance dans Microsoft Entra ID.

    3. Étape 3 : Créer un fournisseur d'identité dans Alibaba Cloud : Configurez Microsoft Entra ID en tant qu'IdP SAML de confiance dans RAM Alibaba Cloud.

    4. Étape 4 : Créer un rôle RAM dans Alibaba Cloud : Créez un rôle RAM dans Alibaba Cloud RAM et définissez son type de principal sur Identity Provider.

    5. Étape 5 : Créer des rôles d'application et attribuer des utilisateurs : Créez un rôle d'application pour l'application d'entreprise et attribuez-le aux utilisateurs.

    6. Vérifier la connexion SSO : Vérifiez que le SSO basé sur les rôles fonctionne comme prévu.

    Étape 1 : Créer une application d'entreprise dans Microsoft Entra ID

    1. Connectez-vous au portail Azure en tant qu'administrateur global de Microsoft Entra ID.

    2. Dans le coin supérieur gauche de la page d'accueil, cliquez sur l'icône SSO_AAD_icon.

    3. Dans le volet de navigation de gauche, sélectionnez Microsoft Entra ID > Manage > Enterprise applications > All applications.

    4. Cliquez sur New application.

    5. Recherchez et sélectionnez Alibaba Cloud Service (Role-based SSO).

    6. Saisissez un nom pour l'application, puis cliquez sur Create.

      Cet exemple utilise le nom par défaut Alibaba Cloud Service (Role-based SSO). Vous pouvez spécifier un nom personnalisé.

    Étape 2 : Configurer SAML dans Microsoft Entra ID

    1. Sur la page de détails de Alibaba Cloud Service (Role-based SSO), dans le volet de navigation de gauche, sélectionnez Manage > Single sign-on.

    2. Cliquez sur SAML.

    3. Configurez les paramètres SSO.

      1. Dans le coin supérieur gauche, cliquez sur Upload metadata file, sélectionnez le fichier de métadonnées pour le SSO basé sur les rôles Alibaba Cloud, puis cliquez sur Add.

        Remarque

        Téléchargez le fichier de métadonnées depuis https://signin.alibabacloud.com/saml-role/sp-metadata.xml et enregistrez-le sur votre ordinateur.

      2. Sur la page Basic SAML Configuration, configurez les paramètres suivants, puis cliquez sur Save.

        • Identifier (Entity ID) : Le système lit automatiquement cette valeur à partir de l'attribut entityID dans le fichier de métadonnées.

        • Reply URL (Assertion Consumer Service URL) : Le système lit automatiquement cette valeur à partir de l'attribut Location dans le fichier de métadonnées.

      3. Dans la section Attributes & Claims, cliquez sur l'icône Edit pour vérifier que les deux claims suivants existent.

        image

        S'ils n'existent pas, cliquez sur Add new claim et ajoutez-les avec les valeurs indiquées dans le tableau suivant.

        Name

        Namespace

        Source

        Source attribute

        Role

        https://www.aliyun.com/SAML-Role/Attributes

        Attribute

        user.assignedroles

        RoleSessionName

        https://www.aliyun.com/SAML-Role/Attributes

        Attribute

        user.userprincipalname

      4. Dans la section SAML Certificates, cliquez sur Download à droite de Federation Metadata XML pour télécharger le fichier de métadonnées de l'IdP.

    Étape 3 : Créer un IdP dans Alibaba Cloud

    1. Connectez-vous à la console RAM en tant qu'administrateur RAM.

    2. Dans le volet de navigation de gauche, sélectionnez Integrations > SSO.

    3. Sur l'onglet Role-based SSO, cliquez sur le sous-onglet SAML et cliquez sur Create IdP.

    4. Sur la page Create IdP, saisissez AAD pour le champ IdP Name.

    5. Cliquez sur Upload Metadata File et sélectionnez le Federation Metadata XML file que vous avez téléchargé à l'étape 2.

    6. Cliquez sur Create IdP.

    7. Cliquez sur l'IdP AAD que vous venez de créer. Dans la section Basic Information, copiez l'ARN de l'IdP pour une utilisation ultérieure.

    Étape 4 : Créer un rôle RAM dans Alibaba Cloud

    1. Connectez-vous à la console RAM. Dans le volet de navigation de gauche, sélectionnez Identities > Roles.

    2. Sur la page Roles, cliquez sur Create Role.

    3. Dans le coin supérieur droit de la page Create Role, cliquez sur Switch to Policy Editor.

    4. Spécifiez un IdP SAML dans l'éditeur.

      L'éditeur propose à la fois un éditeur visuel et un éditeur de script JSON. Cet exemple utilise l'éditeur visuel. Pour le champ Principal, sélectionnez Identity Provider et cliquez sur Edit. Ensuite, spécifiez AAD comme IdP et sélectionnez SAML pour le champ Identity Provider Type.

    5. Dans la boîte de dialogue Create Role, saisissez un nom de rôle (par exemple, AADrole), puis cliquez sur OK.

    6. Cliquez sur le rôle RAM que vous avez créé. Dans la section Basic Information, copiez l'ARN du rôle pour une utilisation ultérieure.

    Remarque

    Vous pouvez attribuer des autorisations au rôle RAM selon vos besoins. Pour plus d'informations, consultez la rubrique Gérer les autorisations d'un rôle RAM.

    Étape 5 : Créer un rôle d'application et attribuer des utilisateurs dans Microsoft Entra ID

    1. Créez un rôle d'application dans Microsoft Entra ID.

      1. Connectez-vous au portail Azure en tant qu'administrateur.

      2. Dans le volet de navigation de gauche, sélectionnez Microsoft Entra ID > Manage > App registrations.

      3. Cliquez sur l'onglet All applications, puis cliquez sur Alibaba Cloud Service (Role-based SSO).

      4. Dans le volet de navigation de gauche, sélectionnez Manage > App roles.

      5. Sur la page qui s'affiche, cliquez sur Create app role.

      6. Dans le panneau Create app role, configurez les paramètres suivants et cliquez sur Apply.

        • Display name : Dans cet exemple, saisissez Admin.

        • Allowed member types : Dans cet exemple, sélectionnez Both (Users/Groups + Applications).

        • Value : Saisissez l'ARN du rôle RAM et l'ARN de l'IdP. Séparez les ARN par des virgules (,). Dans cet exemple, saisissez acs:ram::187125022722****:role/aadrole,acs:ram::187125022722****:saml-provider/AAD.

          Remarque

          La valeur doit utiliser le format RAM role ARN,IdP ARN. L'inversion de l'ordre entraîne l'échec du SSO.

        • Description : Saisissez une description pour le rôle d'application.

        • Sélectionnez Do you want to enable this app role?

      Remarque

      Pour créer plusieurs rôles d'application, répétez les étapes précédentes avec des noms d'affichage et des valeurs différents.

    2. Attribuez un utilisateur à l'application d'entreprise et spécifiez un rôle d'application.

      1. Dans le volet de navigation de gauche, sélectionnez Microsoft Entra ID > Manage > Enterprise applications > All applications.

      2. Dans la colonne Name, cliquez sur Alibaba Cloud Service (Role-based SSO).

      3. Dans le volet de navigation de gauche, sélectionnez Manage > Users and Groups.

      4. Sur la page qui s'affiche, cliquez sur Add user/group.

      5. Sur la page Add Assignment, sélectionnez un utilisateur et cliquez sur Select.

      6. Vérifiez si le rôle sélectionné est Admin. Si ce n'est pas le cas, modifiez le rôle pour Admin. Ensuite, cliquez sur Assign.

    Vérifier le SSO

    Le SSO basé sur les rôles prend uniquement en charge le SSO initié par l'IdP. Vous devez donc vous connecter depuis Microsoft Entra ID pour vérifier la configuration.

    1. Obtenez l'URL d'accès utilisateur.

      1. Connectez-vous au portail Azure en tant qu'administrateur.

      2. Dans le volet de navigation de gauche, sélectionnez Microsoft Entra ID > Manage > Enterprise applications > All applications.

      3. Dans la colonne Name, cliquez sur Alibaba Cloud Service (Role-based SSO).

      4. Dans le volet de navigation de gauche de la page qui s'affiche, sélectionnez Manage > Properties et obtenez la valeur de l'User access URL.

        User access URL

    2. L'utilisateur (ssotest01@example.onmicrosoft.com) obtient l'User access URL de l'administrateur, l'ouvre dans un navigateur et se connecte. Après une authentification réussie, l'utilisateur est redirigé par défaut vers la console de gestion Alibaba Cloud. Le rôle RAM (aadrole) apparaît avant le nom du compte.

      74AD0757-1D76-4AA9-BE1B-CEA53CD9219A

    Références