Konfigurasikan pengaturan SAML Alibaba Cloud untuk SSO berbasis pengguna - Resource Access Management

Topik ini menjelaskan cara mengonfigurasi pengaturan Security Assertion Markup Language (SAML) 2.0 di Alibaba Cloud untuk membangun kepercayaan dengan penyedia identitas perusahaan (IdP) Anda. Konfigurasi ini merupakan langkah yang diperlukan untuk mengaktifkan single sign-on (SSO) berbasis pengguna.

Informasi latar belakang

Untuk menyederhanakan konfigurasi SSO berbasis SAML, Anda dapat menggunakan nama domain default, alias domain, atau nama domain tambahan untuk Akun Alibaba Cloud Anda. Untuk informasi lebih lanjut tentang cara menentukan nama domain default atau alias domain untuk Akun Alibaba Cloud, lihat Lihat dan modifikasi nama domain default atau Buat dan verifikasi alias domain.

Prosedur

Masuk ke Konsol Resource Access Management (RAM) sebagai administrator RAM.
Di panel navigasi sebelah kiri, pilih Integrations > SSO.
Klik tab User-based SSO dan konfigurasikan pengaturannya.
- SSO Status: Pilih Enabled atau Disabled.
  - Disabled (Default): Pengguna RAM dapat masuk dengan kata sandi mereka. Semua pengaturan SSO diabaikan.
  - Enabled: Pengguna RAM dialihkan ke IdP Anda untuk otentikasi identitas. Masuk berbasis kata sandi untuk pengguna RAM dinonaktifkan.
  Catatan
  SSO berbasis pengguna adalah fitur global. Setelah diaktifkan, semua pengguna RAM harus menggunakan SSO untuk masuk. Fitur ini tidak memengaruhi masuk ke Akun Alibaba Cloud Anda atau panggilan OpenAPI yang dilakukan menggunakan AccessKey.
- Metadata File: Klik Upload Metadata untuk mengunggah file metadata dari IdP Anda.
  Catatan
  File metadata adalah dokumen XML yang disediakan oleh IdP Anda dan berisi titik akhir layanan logon IdP serta sertifikat kunci publik X.509 yang digunakan untuk memvalidasi pernyataan SAML yang dikeluarkan oleh IdP.
- Auxiliary Domain Name (Opsional): Aktifkan sakelar ini untuk menetapkan nama domain tambahan.
  - Jika Anda menetapkan nama domain tambahan, nama tersebut dapat digunakan sebagai akhiran elemen NameID dalam pernyataan SAML.
  - Jika Anda tidak menetapkan nama domain tambahan, akhiran elemen NameID harus berupa nama domain default atau alias domain akun Anda.
  Untuk informasi lebih lanjut tentang nilai elemen NameID, lihat Tanggapan SAML untuk SSO berbasis pengguna.
  Catatan
  Jika Anda menetapkan alias domain dan nama domain tambahan, nama domain tambahan akan diabaikan. Dalam hal ini, akhiran elemen NameID harus berupa alias domain atau nama domain default.

Apa yang harus dilakukan selanjutnya

Setelah mengonfigurasi SAML, Anda harus membuat pengguna RAM yang dipetakan ke identitas di IdP Anda. Nama pengguna RAM harus persis sama dengan nilai NameID yang dilewatkan dalam pernyataan SAML. Anda dapat membuat pengguna dengan cara berikut:

Masuk ke Konsol RAM dan buat secara manual pengguna RAM yang sesuai dengan pengguna di IdP Anda. Untuk informasi lebih lanjut, lihat Buat pengguna RAM.
Gunakan kit pengembangan perangkat lunak (SDK) RAM atau Alibaba Cloud CLI untuk membuat pengguna RAM. Untuk informasi lebih lanjut, lihat CreateUser - Buat pengguna RAM.