CloudSSO:Konfigurasikan single sign-on dari AD FS ke CloudSSO

Latar Belakang

Dalam contoh ini, sebuah perusahaan menggunakan Active Directory (AD) untuk manajemen pengguna on-premises dan telah menyiapkan struktur multi-akun di Alibaba Cloud Resource Directory. Tujuannya adalah memungkinkan pengguna AD mengakses resource yang ditentukan di akun anggota tertentu dalam direktori sumber daya melalui SSO.

Topik ini menggunakan AD FS yang dideploy pada instans ECS Windows Server 2012 R2 sebagai contoh untuk menjelaskan cara mengonfigurasi SSO antara AD FS dan Alibaba Cloud. Dalam konfigurasi ini, AD FS berperan sebagai identity provider (IdP), sedangkan Alibaba Cloud CloudSSO berperan sebagai service provider (SP).

Prasyarat

Sebelum mengonfigurasi SSO, selesaikan tugas-tugas berikut:

1. Deploy layanan berikut pada instans ECS Windows Server 2012 R2.

   • Active Directory Domain Services (AD DS): Menyediakan kemampuan untuk membuat, mengkueri, dan memodifikasi objek domain seperti pengguna domain dan perangkat.

   • Active Directory Federation Services (AD FS): Menyediakan kemampuan untuk mengonfigurasi relying party SSO dan melakukan autentikasi SSO untuk relying party tersebut.

     Penting

2. Buat pengguna dan konfigurasikan izin di CloudSSO.

   1. Buat pengguna di CloudSSO dengan username yang sesuai dengan bidang SSO AD FS.

      Untuk informasi selengkapnya, lihat Buat pengguna.

      Catatan

      Username digunakan untuk login. Saat mengonfigurasi SSO, username CloudSSO harus sesuai dengan bidang yang digunakan untuk SSO di AD FS. Untuk informasi selengkapnya, lihat Langkah 3: Konfigurasikan atribut SAML assertion di AD FS.

   2. Buat konfigurasi akses untuk menentukan kebijakan izin.

      Untuk informasi selengkapnya, lihat Buat permission set.

   3. Tetapkan izin akses pada akun direktori sumber daya.

      Untuk informasi selengkapnya, lihat Tetapkan akses ke akun anggota.

Langkah 1: Dapatkan metadata SP dari CloudSSO

1. Login ke Konsol CloudSSO.

2. Di panel navigasi kiri, klik Settings.

3. Di bagian SSO Logon, klik tautan unduh untuk menyimpan file metadata service provider (SP) ke mesin lokal Anda.

Langkah 2: Tambahkan Alibaba Cloud sebagai relying party di AD FS

1. Login ke instans ECS tempat AD FS dideploy.

2. Buka Server Manager.

3. Di panel navigasi kiri, klik AD FS.

4. Di bilah menu kanan atas, pilih Tools > AD FS Management.

5. Di Konsol AD FS, tambahkan Alibaba Cloud sebagai relying party.

   1. Di panel navigasi kiri, klik kanan Relying Party Trusts, lalu klik Add Relying Party Trust.

   2. Di Add Relying Party Trust Wizard, pilih Claims aware, lalu klik Start.

   3. Pilih Import data about the relying party from a file, klik Browse untuk mengimpor file metadata SP yang diperoleh di Langkah 1: Dapatkan metadata SP dari CloudSSO, lalu klik Next.

   4. Masukkan nama tampilan untuk relying party, lalu klik Next.

      Dalam contoh ini, digunakan nama CloudSSODemo.

   5. Pilih kebijakan kontrol akses sesuai kebutuhan Anda, lalu klik Next.

      Dalam contoh ini, dipilih Permit everyone.

   6. Tinjau konfigurasi, lalu klik Next.

   7. Klik Close.

Langkah 3: Konfigurasikan atribut SAML assertion di AD FS

Dalam contoh ini, bidang NameID dalam SAML assertion diatur ke User Principal Name (UPN) pengguna AD. Hal ini memungkinkan Alibaba Cloud menggunakan respons SAML untuk menemukan pengguna CloudSSO yang sesuai.

1. Klik kanan relying party CloudSSODemo, lalu klik Edit Claim Issuance Policy.

2. Klik Add Rule.

   Catatan

   Aturan penerbitan transformasi mendefinisikan cara atribut pengguna yang dikenal ditransformasikan dan diterbitkan sebagai atribut dalam SAML assertion. Karena Anda perlu menerbitkan UPN pengguna AD FS sebagai NameID, Anda harus menambahkan aturan baru.

3. Di Add Transform Claim Rule Wizard, atur Claim rule template ke Transform an Incoming Claim, lalu klik Next.

4. Konfigurasikan informasi claim.

   

   1. Masukkan nama aturan claim kustom.

   2. Di daftar drop-down Incoming claim type, pilih UPN.

   3. Di daftar drop-down Outgoing claim type, pilih Name ID.

   4. Di daftar drop-down Outgoing name ID format, pilih Email.

   5. Pilih Pass through all claim values.

   6. Klik Finish.

5. Klik OK.

Langkah 4: Dapatkan metadata IdP dari AD FS

Di instans ECS tempat AD FS dideploy, buka URL berikut untuk mendapatkan file metadata IdP: https://<ADFS-server>/federationmetadata/2007-06/federationmetadata.xml.

Langkah 5: Aktifkan SSO di CloudSSO

1. Di panel navigasi kiri Konsol CloudSSO, klik Settings.

2. Di bagian SSO Login, klik Configure IdP Information.

3. Di kotak dialog Configure IdP Information, pilih Upload Metadata File.

4. Klik Upload File untuk mengunggah file metadata IdP yang diperoleh di Langkah 4: Dapatkan metadata IdP dari AD FS.

   Catatan

   Jika ukuran file metadata melebihi batas, coba hapus semua konten di dalam <fed:ClaimTypesRequested> dan <fed:ClaimTypesOffered>.

5. Aktifkan toggle SSO untuk mengaktifkan SSO.

   Penting

   Setelah Anda mengaktifkan SSO, login dengan username dan password secara otomatis dinonaktifkan untuk semua pengguna CloudSSO. Ini adalah pengaturan global — setelah diaktifkan, semua pengguna harus melakukan autentikasi melalui SSO.

Verifikasi konfigurasi

Setelah menyelesaikan konfigurasi, Anda dapat memulai SSO baik dari Alibaba Cloud maupun AD FS.

• Mulai SSO dari Alibaba Cloud

  1. Di halaman Overview Konsol CloudSSO, salin URL portal pengguna.

  2. Buka URL tersebut di jendela browser baru.

  3. Klik Redirect. Anda akan dialihkan ke halaman login AD FS.

  4. Masukkan username dan password pengguna AD untuk login.

     Anda akan langsung masuk ke Portal Pengguna CloudSSO.

  5. Di tab Logon as RAM Role, klik Show Details di kolom Permissions untuk akun direktori sumber daya yang dituju.

     

  6. Di panel izin, klik Log On di kolom Actions untuk izin yang dituju.

  7. Akses resource yang telah diberikan kepada Anda di akun direktori sumber daya.

• Mulai SSO dari AD FS

  1. Buka portal SSO AD FS.

     URL portal SSO adalah https://<ADFS-server>/adfs/ls/IdpInitiatedSignOn.aspx.

     Catatan

     • Ganti <ADFS-server> dengan nama domain atau alamat IP server AD FS.

     • Jika halaman portal SSO tidak tersedia, jalankan perintah PowerShell berikut untuk mengaktifkannya: Set-AdfsProperties -EnableIdpInitiatedSignonPage $True.

  2. Pilih situs CloudSSODemo yang dibuat di Langkah 2: Tambahkan Alibaba Cloud sebagai relying party di AD FS, lalu klik Sign in.

  3. Masukkan username dan password pengguna AD, lalu klik Sign in.

     Anda akan langsung masuk ke Portal Pengguna CloudSSO.

  4. Di tab Logon as RAM Role, klik Show Details di kolom Permissions untuk akun direktori sumber daya yang dituju.

     

  5. Di panel izin, klik Log On di kolom Actions untuk izin yang dituju.

  6. Akses resource yang telah diberikan kepada Anda di akun direktori sumber daya.