Resource Access Management:Single sign-on (SSO) FAQ

Cause

Solution

Alibaba Cloud utilise le User Principal Name (UPN) pour identifier un utilisateur RAM. Par conséquent, la réponse SAML de votre fournisseur d'identité (IdP) doit contenir l'UPN de l'utilisateur. Le suffixe UPN peut être un alias de domaine, un nom de domaine auxiliaire ou le nom de domaine par défaut. Si le suffixe du nom d'utilisateur dans votre IdP ne correspond pas au suffixe UPN de l'utilisateur RAM, la mise en correspondance échoue. Consultez les sections NameID element et NameID example dans Réponse SAML pour le SSO basé sur les utilisateurs.

Définissez un nom de domaine auxiliaire afin que le suffixe UPN de l'utilisateur RAM corresponde à celui de votre IdP. Configurer les paramètres SAML pour le SSO basé sur les utilisateurs sur Alibaba Cloud.

L'utilisateur RAM n'existe pas ou son nom ne correspond pas au nom d'utilisateur correspondant dans l'IdP.

• Modifiez le nom d'utilisateur RAM pour qu'il corresponde au nom d'utilisateur de l'IdP.

• Les noms d'utilisateur RAM acceptent jusqu'à 64 caractères : lettres, chiffres et -_.. Si le nom d'utilisateur de l'IdP ne respecte pas ces exigences, essayez l'une des solutions suivantes :

  • Modifiez le nom d'utilisateur dans votre IdP pour respecter les exigences de caractères de RAM.

  • Remplacez le champ d'identifiant unique dans la configuration SSO de votre IdP par un champ conforme aux exigences de RAM, tel qu'une adresse e-mail.

  • Configurez une règle de transformation pour la mise en correspondance des noms d'utilisateur dans la configuration SSO de votre IdP.

La synchronisation des utilisateurs SCIM a échoué.

Vérifiez les journaux de synchronisation SCIM dans votre IdP pour identifier et corriger l'échec.

L'UPN d'un utilisateur dans l'IdP ne correspond pas à l'UPN synchronisé avec RAM. Les causes possibles incluent :

• Le nom d'utilisateur synchronisé avec RAM via SCIM n'est pas l'UPN de l'utilisateur.

• Une règle de transformation pour la mise en correspondance des noms d'utilisateur est configurée pour la synchronisation SCIM.

Assurez-vous que la règle de mise en correspondance des noms d'utilisateur dans la configuration SSO de votre IdP correspond à celle configurée pour la synchronisation SCIM.

La valeur de l'élément Audience dans la réponse SAML est incorrecte, souvent parce que l'accountId est erroné.

Dans la réponse SAML, recherchez l'élément AudienceRestriction dans Conditions. Vérifiez que Audience est défini sur https://signin-intl.aliyun.com/${accountId}/saml/SSO, où ${accountId} correspond à l'ID de votre compte Alibaba Cloud.

Si votre IdP dispose d'un paramètre Audience URL distinct, assurez-vous qu'il est correctement configuré.

Cause

Solution

Dans l'élément AttributeStatement, l'attribut dont le Attribute Name est https://www.aliyun.com/SAML-Role/Attributes/Role combine le nom du rôle RAM et celui de l'IdP. Cette erreur se produit si le rôle RAM ou l'IdP n'existe pas dans Alibaba Cloud, ou si l'IdP spécifié dans la stratégie d'approbation du rôle RAM ne correspond pas au nom de l'IdP dans la valeur de l'attribut. Réponse SAML pour le SSO basé sur les rôles.

• Assurez-vous que le nom du rôle RAM et le nom de l'IdP correspondent à ceux indiqués dans la réponse SAML. Configurer les paramètres SAML pour le SSO basé sur les rôles sur Alibaba Cloud et Configurer les paramètres SAML pour le SSO basé sur les rôles dans votre IdP.

• Vérifiez que le nom de l'IdP dans la stratégie d'approbation du rôle RAM correspond à un IdP existant. Exemple 3 : Modifier l'entité approuvée d'un rôle RAM en un fournisseur d'identité.

Cause

Solution

L'élément Attribute, dont l'attribut Name est défini sur https://www.aliyun.com/SAML-Role/Attributes/Role, est manquant ou mal configuré dans votre IdP.

Corrigez la configuration de l'élément Attribute dans votre IdP. Consultez la section Réponse SAML pour le SSO basé sur les rôles.

Cause

Solution

L'élément Attribute, dont l'attribut Name est défini sur https://www.aliyun.com/SAML-Role/Attributes/RoleSessionName, est mal configuré dans votre IdP.

Corrigez l'élément Attribute dans votre IdP. Vérifiez que la valeur de l'attribut Attribute contient entre 2 et 64 caractères et n'utilise que des lettres, des chiffres et les caractères -_.@=. Consultez la section Réponse SAML pour le SSO basé sur les rôles.

L'utilisateur qui se connecte ne possède aucune valeur pour l'attribut mappé à RoleSessionName. Par exemple, si votre IdP utilise l'e-mail comme RoleSessionName, cette erreur survient lorsque l'utilisateur n'a pas d'adresse e-mail dans l'IdP.

Identifiez l'attribut spécifié pour RoleSessionName dans votre IdP et définissez la valeur de cet attribut pour l'utilisateur.

Cause

Solution

La paire de clés publique-privée utilisée pour la signature dans votre IdP a été renouvelée, mais les métadonnées de l'IdP dans Alibaba Cloud n'ont pas été mises à jour.

Mettez à jour les métadonnées de l'IdP dans Alibaba Cloud. Téléchargez le dernier fichier de métadonnées depuis votre IdP et retransférez-le.

La paire de clés publique-privée de votre IdP a été renouvelée et les métadonnées de l'IdP dans Alibaba Cloud ont été mises à jour. Toutefois, l'IdP peut encore utiliser l'ancienne clé privée pendant la période de rotation, tandis que les métadonnées dans Alibaba Cloud ne contiennent que la nouvelle clé publique.

Les métadonnées de l'IdP dans Alibaba Cloud doivent contenir à la fois les anciennes et les nouvelles clés publiques. Pour configurer des métadonnées avec deux clés publiques :

• Créez un nouveau certificat. Ne désactivez ni ne supprimez l'ancien certificat.

• Téléchargez le nouveau fichier de métadonnées et vérifiez s'il contient les clés publiques des anciens et nouveaux certificats.

  • Certains IdP, tels qu'Azure AD, incluent automatiquement les deux certificats dans le fichier de métadonnées.

  • Si le fichier de métadonnées n'inclut pas les deux clés publiques, ajoutez manuellement l'ancien certificat. Téléchargez l'ancien fichier de métadonnées depuis la configuration SSO dans RAM, copiez l'élément X509Certificate de la section KeyDescriptor et collez-le dans le nouveau fichier de métadonnées.

  • Transférez le nouveau fichier de métadonnées vers la configuration SSO dans RAM.

  • Dans la configuration SSO de votre IdP, activez le nouveau certificat et désactivez l'ancien.

Le transfert a échoué car le fichier de métadonnées est trop volumineux.

Après le transfert, attendez la fin du processus. Téléchargez le fichier de métadonnées pour vérifier que le transfert a réussi et que le contenu est complet.

Cause

Solution

Les paramètres de métadonnées ne sont pas conformes au protocole SAML 2.0.

Configurez les paramètres conformément au protocole SAML 2.0. Consultez la documentation SAML 2.0.