Data Management:Login ke DMS dengan akun domain

Concept

Description

Identity provider (IdP)

Entitas RAM yang berisi metadata tentang penyedia identitas eksternal. IdP dapat menyediakan layanan manajemen identitas.

• IdP on-premises perusahaan: Microsoft Active Directory Federation Service (AD FS), Shibboleth, dan lainnya.

• IdP cloud: IDaaS, Microsoft Entra ID, Google Workspace, Okta, OneLogin, dan lainnya.

Service provider (SP)

Aplikasi yang menggunakan kemampuan manajemen identitas dari IdP untuk memberikan layanan kepada pengguna. SP menggunakan informasi pengguna yang disediakan oleh IdP. Beberapa sistem identitas berbasis protokol non-SAML, seperti OpenID Connect, juga menyebut service provider sebagai relying party dari IdP.

Security Assertion Markup Language (SAML 2.0)

Protokol standar untuk autentikasi pengguna tingkat perusahaan. SAML 2.0 merupakan salah satu implementasi teknis untuk komunikasi antara SP dan IdP. SAML 2.0 telah menjadi standar de facto untuk SSO tingkat perusahaan.

SAML assertion

Elemen inti yang digunakan untuk menggambarkan permintaan dan respons autentikasi dalam protokol SAML. Misalnya, atribut pengguna tertentu disertakan dalam assertion dari respons autentikasi.

Trust

Mekanisme kepercayaan timbal balik yang dibangun antara SP dan IdP, biasanya diimplementasikan menggunakan kunci publik dan kunci privat. SP memperoleh metadata SAML dari IdP melalui metode tepercaya. Metadata tersebut berisi kunci publik yang digunakan oleh IdP untuk menandatangani SAML assertion. SP menggunakan kunci publik ini untuk memverifikasi integritas assertion tersebut.

OIDC

OpenID Connect (OIDC) dibangun di atas OAuth 2.0. OAuth adalah protokol otorisasi, dan OIDC menambahkan lapisan identitas di atas OAuth. Selain kemampuan otorisasi yang disediakan oleh OAuth, OIDC juga memungkinkan client untuk mengotentikasi pengguna akhir dan mengambil informasi dasar pengguna melalui API protokol OIDC (HTTP RESTful).

OIDC token

OIDC dapat menerbitkan token identitas atas nama pengguna yang telah login, yang dikenal sebagai OIDC token. OIDC token digunakan untuk mengambil informasi dasar tentang pengguna yang telah login.

Client ID

Saat aplikasi Anda didaftarkan ke IdP eksternal, sebuah client ID akan dihasilkan. Anda harus menggunakan client ID ini saat meminta OIDC token dari IdP eksternal. OIDC token yang diterbitkan juga membawa client ID ini di bidang aud. Konfigurasikan client ID ini saat membuat penyedia identitas OIDC. Saat menggunakan OIDC token untuk menukar token STS, Alibaba Cloud memverifikasi apakah client ID di bidang aud pada OIDC token sesuai dengan client ID yang dikonfigurasi di penyedia identitas OIDC. Hanya kecocokan yang memungkinkan asumsi peran.

Verification fingerprint

Untuk mencegah URL issuer dibajak atau dimodifikasi secara jahat, Anda perlu mengonfigurasi verification fingerprint yang dihasilkan dari sertifikat HTTPS CA dari IdP eksternal. Alibaba Cloud membantu Anda menghitung fingerprint ini secara otomatis, tetapi kami menyarankan Anda menghitungnya secara lokal (misalnya, Mendapatkan thumbprint OIDC IdP dengan OpenSSL). Bandingkan dengan fingerprint yang dihitung oleh Alibaba Cloud. Jika tidak cocok, URL issuer mungkin telah dikompromikan. Konfirmasi dan masukkan fingerprint yang benar.

Issuer URL

Issuer URL disediakan oleh IdP eksternal dan sesuai dengan nilai bidang iss dalam OIDC token. Issuer URL harus diawali dengan https dan memenuhi format URL standar. Parameter query (diidentifikasi oleh ?), fragmen (diidentifikasi oleh #), dan informasi login (diidentifikasi oleh @) tidak diperbolehkan.

Temporary identity credential

Security Token Service (STS) adalah layanan manajemen kredensial akses temporary yang disediakan oleh Alibaba Cloud. Melalui STS, Anda dapat memperoleh kredensial identitas temporary (token STS) dengan periode validitas dan izin akses yang dapat dikustomisasi.