Tous les produits
Search

Ce produit

    Elastic Desktop Service:Implémenter le SSO avec AD FS et les comptes de commodité Elastic Desktop Service

    Centre de documentation

    Elastic Desktop Service:Implémenter le SSO avec AD FS et les comptes de commodité Elastic Desktop Service

    Dernière mise à jour :Aug 11, 2026

    Si votre entreprise utilise Active Directory (AD) pour gérer les comptes utilisateurs mais n'a pas connecté directement son réseau d'entreprise au domaine AD, vous pouvez tout de même activer l'authentification unique (SSO) pour les ordinateurs cloud. Créez des comptes de commodité dans EDS Enterprise qui reflètent vos utilisateurs AD par nom d'utilisateur, configurez Active Directory Federation Services (AD FS) en tant que fournisseur d'identité (IdP) et laissez AD FS authentifier les utilisateurs lorsqu'ils se connectent à leurs ordinateurs cloud.

    Si votre réseau d'entreprise est déjà connecté à un domaine AD, configurez plutôt le SSO en utilisant les utilisateurs AD. Consultez Implémenter le SSO pour Elastic Desktop Service pour les utilisateurs AD en utilisant AD FS .

    Fonctionnement

    Dans cette configuration, EDS Enterprise agit en tant que fournisseur de services (SP) et AD FS en tant que fournisseur d'identité (IdP). Les deux systèmes échangent des fichiers de métadonnées Security Assertion Markup Language (SAML) pour établir une relation de confiance. Lorsqu'un utilisateur se connecte :

    1. Le client Alibaba Cloud Workspace redirige l'utilisateur vers la page de connexion AD FS.

    2. AD FS authentifie l'utilisateur auprès de votre Active Directory et émet une assertion SAML.

    3. AD FS mappe le nom d'utilisateur AD de l'utilisateur (via User Principal Name, ou UPN) sur un ID de nom SAML, qu'EDS Enterprise utilise pour identifier le compte de commodité correspondant.

    4. L'utilisateur accède à son ordinateur cloud attribué sans avoir à saisir à nouveau ses identifiants.

    Le nom d'utilisateur de chaque compte de commodité doit correspondre au SamAccountName AD, sans sensibilité à la casse, pour que le mappage fonctionne.

    Prérequis

    Avant de commencer, assurez-vous de disposer des éléments suivants :

    • Un serveur AD FS déployé et accessible

    • Un accès administrateur à la console EDS Enterprise à l'adresse https://eds.console.alibabacloud.com/

    • Un accès administrateur au serveur AD FS (Server Manager)

    • Un réseau d'entreprise créé dans EDS Enterprise (le SSO est configuré par réseau d'entreprise)

    • Des noms d'utilisateurs AD conformes aux conventions de nommage des comptes de commodité EDS Enterprise : 3 à 25 caractères, commençant par une lettre ou un chiffre, contenant uniquement des lettres minuscules, des chiffres, des traits d'union (-), des underscores (_), ou des points (.), et ne consistant pas uniquement en chiffres

    Étape 1 : Créer des comptes de commodité

    Les comptes de commodité doivent avoir des noms d'utilisateur qui correspondent à vos noms d'utilisateurs AD. Créez-les manuellement pour un petit nombre d'utilisateurs, ou en masse via CSV pour les grandes équipes.

    Option 1 : Créer des comptes manuellement

    1. Connectez-vous à la console EDS Enterprise.

    2. Dans le volet de navigation de gauche, sélectionnez Users > Users & Organizations.

    3. Dans l'onglet User , cliquez sur Create User , puis cliquez sur l'onglet Manual Entry .

    4. Configurez les paramètres et cliquez sur Create User .

    Paramètre Obligatoire Description
    Type d'utilisateur Oui User-activated : l'utilisateur active le compte par e-mail ou SMS. Administrator-activated : l'administrateur définit le mot de passe initial.
    Nom d'utilisateur Oui Doit correspondre au SamAccountName AD, sans sensibilité à la casse. Format : 3 à 25 caractères, commence par une lettre ou un chiffre, lettres minuscules/chiffres/traits d'union/underscores/points uniquement, pas uniquement des chiffres.
    Nom d'affichage Non Utilisé pour l'identification dans la console ; non visible par les utilisateurs finaux.
    Informations de contact (adresse e-mail) Oui Reçoit les notifications d'attribution, les informations de connexion et les liens de réinitialisation du mot de passe.
    Organisation parente Non Assignez le compte à une organisation maintenant ou plus tard.
    Mot de passe Oui (uniquement pour Administrator-activated) Au moins 10 caractères, incluant au moins trois des éléments suivants : lettres majuscules, lettres minuscules, chiffres, caractères spéciaux (pas d'espaces).
    Validité du mot de passe Non Valide en permanence par défaut. Définissez une durée de 30 à 365 jours pour exiger des réinitialisations périodiques.
    Verrouiller lors de Requis si Administrator-activated Lorsqu'il est verrouillé, l'utilisateur ne peut pas se connecter aux terminaux Alibaba Cloud Workspace.
    Accorder l'autorisation d'administration Non Accorde les permissions d'administrateur local sur l'ordinateur cloud. Par défaut : Yes. Les modifications prennent effet après le redémarrage d'un ordinateur cloud.
    Remarques Non Notes supplémentaires sur le compte.
    Important

    Saisissez des noms d'utilisateur qui correspondent exactement aux noms d'utilisateurs AD. Les noms d'utilisateur ne sont pas sensibles à la casse lors de la correspondance, mais utilisez des minuscules pour éviter toute confusion.

    Option 2 : Importer des comptes depuis un fichier CSV

    Utilisez cette option lorsque vous devez intégrer de nombreux utilisateurs AD.

    Préparez le fichier CSV sur le serveur de domaine AD :

    1. Vérifiez que vos noms d'utilisateurs AD répondent aux exigences de nommage d'EDS Enterprise. Les noms d'utilisateurs AD contenant des caractères non autorisés (par exemple, des espaces ou des caractères spéciaux) ne peuvent pas être importés et doivent être traités séparément.

    2. Exportez les utilisateurs AD vers CSV en utilisant PowerShell :

      Get-ADUser -filter * | export-csv <file-path> -Encoding utf8

      Par exemple, pour enregistrer le fichier sous C:\Users\test.csv :

      Get-ADUser -filter * | export-csv C:\Users\test.csv -Encoding utf8

    3. Ouvrez le CSV exporté dans un logiciel de feuille de calcul. Le fichier exporté utilise la colonne SamAccountName comme nom d'utilisateur et la colonne UserPrincipalName comme adresse e-mail. Si l'adresse e-mail réelle d'un utilisateur AD diffère de la valeur UserPrincipalName , mettez à jour ce champ. Reformatez les colonnes pour qu'elles correspondent au modèle d'importation d'EDS Enterprise :

      Type de compte Colonne 1 Colonne 2 Colonne 3 Colonne 4
      User-activated Nom d'utilisateur Adresse e-mail Téléphone (facultatif) —
      Administrator-activated Nom d'utilisateur E-mail (facultatif) Téléphone (facultatif) Mot de passe

    Importez le fichier CSV dans la console :

    1. Connectez-vous à la console EDS Enterprise.

    2. Dans le volet de navigation de gauche, sélectionnez Users > Users & Organizations.

    3. Dans l'onglet User , cliquez sur Create User , puis cliquez sur l'onglet Batch Entry .

    4. Configurez les paramètres :

      Paramètre Obligatoire Description
      Type d'utilisateur Oui User-activated ou Administrator-activated.
      Validité du mot de passe Non Valide en permanence par défaut ; définissez une durée de 30 à 365 jours pour exiger des réinitialisations périodiques.
      Verrouiller lors de Non Requis si Administrator-activated. Empêche la connexion lorsque verrouillé.
      Accorder l'autorisation d'administration Non Par défaut : Yes. Les modifications prennent effet après un redémarrage.
      Télécharger le fichier Oui Cliquez sur Download pour obtenir le modèle d'importation. Remplissez les informations utilisateur, puis cliquez sur Upload Local File pour envoyer. Pour assigner des utilisateurs à des organisations, saisissez l'ID de l'organisation dans la colonne OrgId . Pour trouver un ID d'organisation, survolez la structure organisationnelle dans la console. f_orgid

    5. Cliquez sur Close . Le système importe les données automatiquement. Si l'importation échoue, cliquez sur View Account pour identifier les erreurs de format.

    Après la création, les comptes apparaissent dans l'onglet User avec un statut Normal. Aucune notification n'est envoyée lors de la création du compte ; les utilisateurs reçoivent des e-mails lorsque des ordinateurs cloud leur sont attribués.

    Étape 2 : Configurer AD FS en tant que IdP dans EDS Enterprise

    1. Téléchargez le fichier de métadonnées IdP AD FS sur votre appareil local. Le fichier est disponible à l'adresse :

      https://<AD FS server>/FederationMetadata/2007-06/FederationMetadata.xml

      Remplacez <AD FS server> par le nom de domaine ou l'adresse IP de votre serveur AD FS.

    2. Connectez-vous à la console EDS Enterprise.

    3. Dans le volet de navigation de gauche, sélectionnez Networks & Storage > Office Networks.

    4. Sélectionnez la région dans le coin supérieur gauche de la barre de navigation supérieure.

    5. Cliquez sur l'ID du réseau d'entreprise pour lequel vous souhaitez activer le SSO.

    6. Sur la page des détails du réseau d'entreprise, cliquez sur Show dans le coin supérieur droit de la section Other Information , puis activez SSO .

    7. Cliquez sur Upload File à côté de IdP Metadata et téléchargez le fichier de métadonnées que vous avez téléchargé à l'étape 1.

    Étape 3 : Configurer EDS Enterprise en tant que partie de confiance dans AD FS

    Télécharger le fichier de métadonnées SP

    1. Connectez-vous à la console EDS Enterprise.

    2. Dans le volet de navigation de gauche, sélectionnez Networks & Storage > Office Networks.

    3. Cliquez sur l'ID du réseau d'entreprise pour lequel le SSO est activé.

    4. Dans le volet de navigation de gauche de la page des détails du réseau d'entreprise, cliquez sur l'onglet Other .

    5. Cliquez sur Download Application Metadata File à côté de Application Metadata. Le fichier est enregistré dans votre dossier Téléchargements local.

    Ajouter EDS Enterprise en tant que confiance de partie de confiance dans AD FS

    1. Connectez-vous au serveur AD FS et ouvrez Server Manager .

    2. Sélectionnez Tools > AD FS Management .

    3. Dans le volet de navigation de gauche de la fenêtre AD FS , sélectionnez Trust Relationships > Relying Party Trusts .

    4. Dans le volet Actions à droite, cliquez sur Add Relying Party Trust .

    5. Suivez l'assistant. À l'étape Select Data Source, sélectionnez Import data about the relying party from a file et importez le fichier de métadonnées SP que vous avez téléchargé depuis EDS Enterprise. Conservez les paramètres par défaut dans les étapes restantes.

      ADFS1

    Configurer la politique d'émission de claims

    Configurez la règle de claim qui mappe les attributs d'utilisateur AD aux assertions SAML.

    1. Dans la liste Relying Party Trusts , cliquez avec le bouton droit sur la confiance que vous venez d'ajouter et sélectionnez Edit Claim Issuance Policy .

    2. Dans la boîte de dialogue, cliquez sur Add Rule .

    3. Configurez la règle de claim :

      • À l'étape Choose Rule Type, sélectionnez Transform an Incoming Claim dans la liste Claim rule template .

      • À l'étape Configure Claim Rule, définissez Incoming claim type sur UPN et Outgoing claim type sur Name ID .

    Ce mappage transmet l'UPN de l'utilisateur en tant que Name ID SAML. EDS Enterprise fait correspondre cette valeur au nom d'utilisateur du compte de commodité correspondant.

    Étape 4 : Vérifier le SSO

    Les étapes suivantes utilisent le client Windows Alibaba Cloud Workspace V7.2.2 à titre d'exemple.

    1. Ouvrez le client Windows Alibaba Cloud Workspace, sélectionnez Enterprise Edition , acceptez la politique de confidentialité, saisissez l'ID d'organisation ou l'ID de réseau d'entreprise à partir de vos identifiants de connexion, et cliquez sur l'icône de flèche.

      pg_enter_orgid_or_networkid.png

    2. Sur la page de connexion AD FS, saisissez le nom d'utilisateur d'un compte de commodité que vous avez créé à l'étape 1. AD FS authentifie l'utilisateur auprès d'Active Directory.

    3. Une fois l'authentification réussie, le client affiche les ordinateurs cloud attribués à l'utilisateur. Survolez une carte d'ordinateur cloud et cliquez sur Start , puis sur Connect Cloud Computer pour vous connecter.

    Étapes suivantes

    • Assignez des ordinateurs cloud ou des pools d'ordinateurs cloud aux comptes de commodité. Les utilisateurs reçoivent une notification par e-mail avec les instructions de connexion après l'attribution.

    • Pour gérer les comptes de commodité à grande échelle, utilisez la page Users & Organizations pour mettre à jour les détails du compte, réinitialiser les mots de passe ou verrouiller les comptes.