Resource Access Management：Contoh SSO berbasis pengguna dengan Google Workspace

Langkah 1: Unduh file metadata Penyedia Layanan (SP) Security Assertion Markup Language (SAML) dari Alibaba Cloud

1. Masuk ke Konsol Resource Access Management (RAM) sebagai administrator RAM.

2. Di panel navigasi sebelah kiri, pilih Integrations > SSO.

3. Klik tab User-based SSO. Di bagian SAML Service Provider Metadata, salin URL metadata untuk akun Alibaba Cloud saat ini.

4. Buka tautan yang disalin di jendela browser baru. Simpan file XML metadata secara lokal.

   Catatan

   File XML metadata berisi informasi yang diperlukan untuk mengonfigurasi Alibaba Cloud sebagai penyedia layanan (SP) Security Assertion Markup Language (SAML). Anda harus mencatat nilai atribut EntityDescriptor entityID dan nilai atribut AssertionConsumerService Location dari file XML tersebut untuk konfigurasi di Google Workspace.

Langkah 2: Buat aplikasi yang mendukung SSO berbasis SAML di Google Workspace

1. Masuk ke Google Workspace Admin Console menggunakan super administrator.

2. Di panel navigasi sebelah kiri, pilih Apps > Web and mobile apps.

3. Pilih Add app > Add custom SAML app.

4. Di wizard Add custom SAML app, buat aplikasi yang mendukung SSO berbasis SAML.

   1. Di langkah App details, masukkan nama untuk aplikasi yang ingin dibuat. Misalnya, Anda dapat memasukkan AlibabaCloudUserSSO. Lalu, klik CONTINUE.

   2. Di langkah Google Identity Provider details, klik DOWNLOAD METADATA untuk mengunduh dokumen metadata dan klik CONTINUE.

   3. Di langkah Service provider details, konfigurasikan parameter ACS URL dan Entity ID lalu klik CONTINUE.

      • ACS URL: Nilai Location yang telah Anda catat di Langkah 1: Unduh file metadata SAML SP Alibaba Cloud.

      • Entity ID: Nilai entityID yang dicatat di Langkah 1: Unduh file metadata Security Assertion Markup Language (SAML) SP Alibaba Cloud.

      • Start URL: Halaman Alibaba Cloud tempat pengguna dialihkan setelah berhasil login SSO.

        Catatan

        Karena alasan keamanan, Anda hanya dapat memasukkan URL dengan nama domain Alibaba untuk Default RelayState. Contohnya termasuk *.aliyun.com, *.hichina.com, *.yunos.com, *.taobao.com, *.tmall.com, *.alibabacloud.com, dan *.alipay.com. Jika tidak, konfigurasi tidak valid. Jika Anda tidak menentukan parameter ini, pengguna akan dialihkan ke halaman utama Konsol Manajemen Alibaba Cloud secara default.

   4. Di langkah Attribute mapping, klik FINISH.

5. Di halaman yang muncul, klik User access.

6. Opsional: Di halaman yang muncul, pilih unit organisasi berdasarkan mana Anda ingin login menggunakan SSO dari daftar drop-down Organizational Units. Secara default, semua unit organisasi dipilih.

7. Di bagian Service status, pilih ON for everyone.

   Catatan

   Jika Anda menentukan unit organisasi pada langkah 6, pilih ON.

8. Klik SAVE.

Langkah 3: Aktifkan SSO berbasis pengguna di Konsol Manajemen Alibaba Cloud

1. Di panel navigasi sebelah kiri konsol RAM, pilih Integrations > SSO.

2. Klik tab User-based SSO. Di bagian SSO Status, klik Enabled.

   Catatan

   SSO berbasis pengguna adalah fitur global. Setelah Anda mengaktifkannya, semua Pengguna RAM harus login menggunakan SSO. Jika Anda sedang mengonfigurasi SSO sebagai Pengguna RAM, biarkan fitur ini dinonaktifkan untuk sementara. Anda harus terlebih dahulu membuat Pengguna RAM untuk menghindari kesalahan konfigurasi yang dapat mencegah Anda login. Untuk menghindari masalah ini, Anda juga dapat menggunakan Akun Alibaba Cloud Anda untuk melakukan konfigurasi ini.

3. Di bagian Metadata File, klik Upload Metadata untuk mengunggah file metadata IdP yang Anda peroleh di Langkah 2: Buat aplikasi yang mendukung SSO berbasis SAML di Google Workspace.

4. Di bagian Auxiliary Domain Name, klik Edit. Lalu, aktifkan nama domain tambahan dan konfigurasikan dengan akhiran email dari nama pengguna di Google Workspace.

   Catatan

   Jika akun Google Workspace Anda memiliki pengguna dengan akhiran email yang berbeda, hanya pengguna yang alamat emailnya berakhiran dengan akhiran yang dikonfigurasi di sini yang dapat login ke Alibaba Cloud.

Langkah 4: Buat pengguna di Google Workspace

1. Di panel navigasi sebelah kiri Google Workspace Admin Console, pilih Directory > Users.

2. Klik Add new user.

3. Di halaman User Information, konfigurasikan parameter First name, Last name, Primary email, dan Organizational unit. Misalnya, Anda dapat menentukan u2@example.com untuk parameter Email Utama. Lalu, klik ADD NEW USER.

   Catatan

   Jika Anda menentukan unit organisasi untuk aplikasi di Langkah 2: Buat aplikasi yang mendukung SSO berbasis SAML di Google Workspace, Organizational unit di sini harus sama.

Langkah 5: Buat pengguna RAM di Konsol Manajemen Alibaba Cloud

1. Di panel navigasi sebelah kiri konsol RAM, pilih Identities > Users.

2. Di halaman Users, klik Create User.

3. Di halaman Create User, konfigurasikan parameter Logon Name dan Display Name.

   Catatan

   Pastikan awalan nama login Pengguna RAM sama dengan awalan nama pengguna di Google Workspace. Dalam contoh ini, awalannya adalah u2.

4. Di bagian Access Mode, pilih Console Access dan konfigurasikan parameternya.

5. Klik OK.

Hasil verifikasi

Setelah Anda mengonfigurasi SSO, Anda dapat memulai logon SSO dari Alibaba Cloud dan Google Workspace.