Elastic Desktop Service prend en charge l'authentification unique (SSO) via Azure Active Directory (Azure AD), le service d'identité IDaaS (Alibaba Cloud Identity as a Service), AD FS (utilisateurs AD) et DingTalk en tant que fournisseurs d'identité (IdP). Cette fonctionnalité permet aux utilisateurs d'accéder plus rapidement aux ordinateurs cloud dans Elastic Desktop Service.
Azure Active Directory (Azure AD), le service d'identité IDaaS (Alibaba Cloud Identity as a Service), AD FS (utilisateurs AD) et DingTalk
Introduction
L'authentification unique (SSO) est une technologie de communication sécurisée qui permet d'accéder efficacement à plusieurs systèmes d'applications approuvés via une seule connexion. Le SSO repose sur la fédération d'identités pour gérer l'authentification.
Les termes suivants sont fréquemment utilisés dans les scénarios SSO :
-
Fournisseur d'identité (IdP) : entité contenant les métadonnées d'un fournisseur d'identité externe. Un IdP fournit des services de gestion des identités, collecte et stocke les informations d'identification des utilisateurs (noms d'utilisateur et mots de passe) et vérifie leur identité lors de la connexion.
IdP courants :
IdP locaux : utilisent une architecture sur site, telle que Microsoft Active Directory Federation Service (AD FS) et Shibboleth.
IdP cloud : Azure AD, Google Workspace, Okta et OneLogin.
Fournisseur de services (SP) : application qui utilise la fonctionnalité de gestion des identités d'un IdP pour fournir des services spécifiques aux utilisateurs, sur la base de relations de confiance avec les IdP. Dans certains systèmes d'identité non conformes au protocole SAML (Security Assertion Markup Language), tels qu'OpenID Connect (OIDC), le SP est la partie de confiance d'un IdP.
SAML 2.0 : protocole standard pour l'authentification des identités utilisateur en entreprise. Il constitue l'une des implémentations techniques permettant la communication entre les SP et les IdP. SAML est la norme de facto utilisée par les entreprises pour mettre en œuvre le SSO.
Pour mettre en œuvre le SSO entre Elastic Desktop Service et les IdP, vous devez établir une relation de confiance entre Elastic Desktop Service et les IdP en échangeant des fichiers de métadonnées. Pour configurer le SSO basé sur le protocole SAML (Security Assertion Markup Language), consultez la rubrique Configurer le SSO basé sur SAML.
Limites relatives aux terminaux Alibaba Cloud Workspace
Les terminaux Alibaba Cloud Workspace suivants prennent en charge le SSO :
Clients Windows
Clients macOS
Clients web
Scénarios
Vous souhaitez initier la connexion depuis la page de connexion du client Elastic Desktop Service, plutôt que depuis la page de connexion d'un IdP. Dans ce scénario, configurez le SSO selon vos besoins métier. Le tableau suivant décrit les scénarios et les configurations requises pour mettre en œuvre le SSO entre Elastic Desktop Service et les IdP courants.
|
Scénario |
Description |
Référence |
|
Les utilisateurs peuvent se connecter rapidement aux terminaux Alibaba Cloud Workspace pour accéder aux ordinateurs cloud après authentification de leurs identifiants de connexion dans Azure AD. |
Si vous utilisez Azure AD pour gérer les utilisateurs, créez des utilisateurs de commodité dont les noms d'utilisateur correspondent à ceux des utilisateurs AD dans Azure AD afin de mettre en œuvre le SSO pour Elastic Desktop Service. Dans ce cas, Elastic Desktop Service agit en tant que SP et Azure AD en tant qu'IdP. Les fournisseurs échangent des fichiers de métadonnées pour activer le SSO basé sur SAML. Une fois le SSO configuré, les utilisateurs accèdent aux ordinateurs cloud avec les mêmes identifiants que ceux d'Azure AD. |
|
|
Pour vous connecter aux systèmes AD d'entreprise, créez des utilisateurs de commodité basés sur les informations des utilisateurs AD dans AD FS afin de mettre en œuvre le SSO pour Elastic Desktop Service. Après la création des utilisateurs de commodité, ceux-ci peuvent se connecter rapidement aux terminaux Alibaba Cloud Workspace pour accéder aux ordinateurs cloud après authentification de leurs identifiants de connexion dans AD FS. |
Si votre entreprise utilise Active Directory Domain Services (AD DS) pour gérer les utilisateurs, configurez le SSO pour Elastic Desktop Service à l'aide d'AD FS. Dans ce scénario, Elastic Desktop Service agit en tant que SP et AD FS en tant qu'IdP. Les fournisseurs échangent des fichiers de métadonnées pour mettre en œuvre le SSO basé sur SAML. Une fois le SSO configuré, les utilisateurs accèdent aux ordinateurs cloud avec les mêmes identifiants que ceux d'AD FS. |