Resource Access Management:Ikhtisar SSO

Istilah

Deskripsi

identity provider (IdP)

Entitas RAM yang menyediakan layanan manajemen identitas. IdP diklasifikasikan ke dalam tipe berikut:

• IdP yang menggunakan arsitektur on-premises, seperti Microsoft Active Directory Federation Service (AD FS) dan Shibboleth

• IdP yang menggunakan arsitektur berbasis cloud, seperti Microsoft Entra ID, Google Workspace, Okta, dan OneLogin

service provider (SP)

Aplikasi yang menggunakan fitur manajemen identitas dari IdP untuk menyediakan layanan tertentu kepada pengguna. SP menggunakan informasi pengguna yang disediakan oleh IdP. Dalam sistem identitas tertentu yang tidak berbasis protokol SAML, seperti OIDC, SP dikenal sebagai relying party dari IdP.

Security Assertion Markup Language 2.0 (SAML 2.0)

Protokol yang dirancang untuk otentikasi identitas pengguna tingkat perusahaan. SAML 2.0 digunakan untuk komunikasi antara SP dan IdP. SAML 2.0 merupakan standar yang digunakan perusahaan untuk mengimplementasikan SSO tingkat perusahaan.

SAML assertion

Elemen inti yang didefinisikan dalam protokol SAML. Elemen ini menjelaskan permintaan dan respons otentikasi. Sebagai contoh, SAML assertion untuk respons otentikasi dapat berisi atribut pengguna.

trust

Hubungan kepercayaan timbal balik antara SP dan IdP. Dalam kebanyakan kasus, hubungan kepercayaan ini dibangun menggunakan kunci publik dan kunci privat. SP dapat memperoleh metadata SAML dari IdP yang dipercaya. Metadata tersebut mencakup kunci publik. SP menggunakan kunci publik tersebut untuk memverifikasi integritas SAML assertion yang dikeluarkan oleh IdP.

OIDC

Protokol otentikasi yang dikembangkan berdasarkan Open Authorization (OAuth) 2.0. Untuk informasi lebih lanjut, lihat OIDC dan OAuth 2.0. OAuth adalah protokol otorisasi. OIDC menambahkan lapisan identitas untuk memperluas OAuth. Dengan demikian, OIDC dapat menggunakan OAuth untuk otorisasi. OIDC juga memungkinkan client untuk memverifikasi identitas pengguna dan menggunakan API RESTful HTTP untuk memperoleh informasi dasar tentang pengguna tersebut.

OIDC token

Token identitas yang dikeluarkan oleh OIDC kepada sebuah aplikasi. OIDC token merupakan token identitas yang menunjukkan pengguna yang masuk log. OIDC token dapat digunakan untuk memperoleh informasi dasar tentang pengguna yang masuk log.

client ID

ID yang dihasilkan untuk aplikasi saat Anda mendaftarkan aplikasi tersebut di IdP eksternal. Saat Anda mengajukan token OIDC dari IdP eksternal, Anda harus menggunakan client ID. Client ID tersebut ditentukan dalam bidang aud pada token OIDC yang dikeluarkan. Saat membuat OIDC IdP, Anda harus mengonfigurasi client ID. Jika Anda ingin menggunakan token OIDC untuk memperoleh token STS, Alibaba Cloud akan memeriksa apakah client ID yang ditentukan dalam bidang aud sama dengan client ID yang Anda konfigurasikan di OIDC IdP. Anda hanya dapat mengasumsikan RAM role jika client ID-nya sama.

fingerprint

Sidik jari yang dihasilkan berdasarkan sertifikat HTTPS dari IdP eksternal. Anda dapat menggunakan sidik jari untuk mencegah URL issuer dibajak atau dimanipulasi. Alibaba Cloud menghitung sidik jari tersebut. Kami menyarankan agar Anda menghitung sidik jari di komputer Anda sendiri. Misalnya, Anda dapat menggunakan OpenSSL untuk memperoleh sidik jari OIDC IdP. Untuk informasi lebih lanjut, lihat Gunakan OpenSSL untuk memperoleh sidik jari OIDC IdP. Kemudian, Anda dapat membandingkan hasil perhitungan Anda dengan hasil perhitungan yang disediakan oleh Alibaba Cloud. Untuk informasi lebih lanjut tentang OpenSSL, kunjungi situs resmi OpenSSL. Jika hasil perhitungannya berbeda, kemungkinan URL issuer telah diserang. Pastikan Anda memasukkan sidik jari yang valid.

URL of an issuer

URL issuer yang disediakan oleh IdP eksternal. URL tersebut ditunjukkan oleh bidang iss dalam token OIDC. URL issuer harus diawali dengan https dan dalam format URL yang valid. URL tersebut tidak boleh berisi parameter kueri setelah tanda tanya (?) atau informasi login yang diidentifikasi oleh tanda at (@). URL tersebut juga tidak boleh berupa fragment URL yang berisi tanda pagar (#).

STS token

Kredensial identitas temporary yang disediakan oleh Alibaba Cloud Security Token Service (STS). STS memungkinkan Anda mengelola kredensial temporary untuk sumber daya Alibaba Cloud Anda. Anda dapat mengonfigurasi periode validitas dan menentukan izin akses untuk token STS. Untuk informasi lebih lanjut tentang STS, lihat Apa itu STS?

Metode SSO

SP-initiated SSO

IdP-initiated SSO

Login menggunakan nama pengguna dan kata sandi RAM user

Asosiasi beberapa Akun Alibaba Cloud dengan satu IdP

Multiple IdPs

User-based SSO

Didukung

Didukung

Tidak didukung

Tidak didukung

Tidak didukung

Role-based SSO

Tidak didukung

Didukung

Didukung

Didukung

Didukung