Alibaba Cloud prend en charge le Single Sign-On (SSO) via la fédération d'identité. Cette fonctionnalité permet aux utilisateurs d'un fournisseur d'identité (IdP) externe d'accéder aux ressources Alibaba Cloud sans identifiants RAM utilisateur distincts.
Concepts clés
|
Concept |
Description |
|
Fournisseur d'identité (IdP) |
Système externe qui gère et authentifie les identités des utilisateurs. Les exemples incluent les IdP sur site, tels que Microsoft Active Directory Federation Services (AD FS), et les IdP cloud, tels que Microsoft Entra ID, Okta, Google Workspace et Alibaba Cloud IDaaS. |
|
Fournisseur de services (SP) |
Application ou service qui fait confiance à l'IdP pour authentifier les utilisateurs. Dans le cadre du SSO avec Alibaba Cloud, Alibaba Cloud agit en tant que SP. |
|
SAML 2,0 |
Security Assertion Markup Language (SAML) 2,0 est une norme ouverte d'échange de données d'authentification et d'autorisation entre un IdP et un SP. |
|
Assertion SAML |
Jeton de sécurité émis par l'IdP. Il contient les informations de l'utilisateur authentifié, telles que le nom d'utilisateur et les appartenances à des groupes. Le SP utilise cette assertion pour accorder l'accès. |
|
Confiance |
Relation configurée permettant au SP (Alibaba Cloud) de faire confiance aux assertions d'authentification provenant de l'IdP. Elle s'établit généralement par l'échange de métadonnées SAML contenant le certificat de signature public de l'IdP. Alibaba Cloud utilise ce certificat pour vérifier l'intégrité et l'authenticité des assertions. |
|
OIDC |
OpenID Connect (OIDC) est une couche d'identité basée sur OAuth 2,0. Elle permet aux clients de vérifier l'identité d'un utilisateur via un serveur d'autorisation et d'obtenir des informations de profil de base. |
|
Jeton OIDC (jeton d'identité) |
JSON Web Token (JWT) contenant des revendications relatives à l'événement d'authentification, telles que l'ID de l'utilisateur, l'émetteur du jeton et le client cible. |
|
Client ID |
Identifiant unique d'une application enregistrée auprès d'un IdP OIDC. Inclus en tant que revendication d'audience ( |
|
Issuer URL |
URL identifiant l'IdP OIDC. Incluse en tant que revendication d'émetteur ( |
|
Empreinte numérique (Thumbprint) |
Identifiant unique du certificat de l'autorité de certification racine du serveur d'un IdP OIDC. Il sert à vérifier l'authenticité des clés publiques de l'IdP. Pour plus d'informations, consultez Obtenir une empreinte numérique d'IdP OIDC avec OpenSSL. |
|
Jeton STS |
Identifiant de sécurité temporaire fourni par Alibaba Cloud Security Token Service (STS). Dans le cadre du SSO fédéré, les utilisateurs échangent une assertion SAML ou un jeton OIDC contre des jetons STS pour effectuer des appels API authentifiés vers les services Alibaba Cloud. |
Méthodes SSO
Alibaba Cloud prend en charge deux méthodes de SSO fédéré :
-
SSO basé sur l'utilisateur (SAML uniquement)
L'assertion SAML associe l'utilisateur fédéré à un utilisateur RAM spécifique de votre compte Alibaba Cloud. L'utilisateur se connecte avec les autorisations permanentes de cet utilisateur RAM. Moins flexible, cette méthode n'est pas recommandée pour les nouvelles implémentations. Consultez la section Vue d'ensemble du SSO basé sur l'utilisateur.
-
SSO basé sur les rôles
L'utilisateur fédéré endosse un rôle RAM pour accéder temporairement aux ressources Alibaba Cloud. Il s'agit de l'approche recommandée, la plus flexible.
SAML 2,0 : l'IdP envoie une assertion SAML spécifiant le rôle RAM que l'utilisateur peut endosser. L'utilisateur se connecte ensuite à la console de gestion Alibaba Cloud avec les autorisations du rôle. Consultez la section Vue d'ensemble de la fédération SAML 2,0.
OIDC : l'application appelle
AssumeRoleWithOIDCavec un jeton OIDC provenant de l'IdP pour obtenir des jetons STS permettant d'accéder aux ressources Alibaba Cloud. Consultez la section Vue d'ensemble de la fédération OIDC.
Comparaison des méthodes SSO
|
Fonctionnalité |
SSO basé sur l'utilisateur |
SSO basé sur les rôles |
|
Méthode d'initiation |
Initiée par l'IdP et par le SP |
Initiée par l'IdP |
|
Gestion des identifiants |
Nécessite un mappage un-à-un entre les utilisateurs IdP et les utilisateurs RAM. |
Aucun utilisateur RAM individuel requis. L'accès est géré via des rôles RAM. |
|
Fédération multi-comptes |
Non prise en charge |
Prise en charge. Un seul utilisateur IdP peut accéder à plusieurs comptes Alibaba Cloud. |
|
Prise en charge de plusieurs IdP |
Non prise en charge. Chaque compte ne prend en charge qu'un seul IdP. |
Prise en charge. Un compte peut faire confiance à plusieurs IdP. |