CloudSSO は、すべてのアイデンティティと権限データを、指定したディレクトリリージョンに保存します。このドキュメントでは、利用可能なリージョンとリージョン間のデータ転送について説明します。
CloudSSO ディレクトリのリージョン
CloudSSO ディレクトリを作成するには、ディレクトリ用のリージョンを選択する必要があります。Alibaba Cloud は、選択したリージョンのディレクトリに CloudSSO 関連のデータを保存します。このデータには、CloudSSO を使用して管理する ID、権限、権限付与データが含まれます。他のリージョンに Elastic Compute Service (ECS) インスタンスや ApsaraDB RDS インスタンスなどの Alibaba Cloud リソースをデプロイできます。また、ご利用のクラウドアカウントを使用してログインし、他のリージョンの Alibaba Cloud リソースにアクセスすることもできます。
ビジネス要件や対象ユーザーの地理的な場所に基づいて、CloudSSO ディレクトリを作成するリージョンを選択できます。特別な要件がない場合は、対象ユーザーに地理的に最も近いリージョンを選択することを推奨します。これにより、クラウドリソースへのアクセスが高速化されます。
CloudSSO ディレクトリは、中国 (上海)、中国 (香港)、韓国 (ソウル)、シンガポール、米国 (シリコンバレー)、またはドイツ (フランクフルト) リージョンで作成できます。
データストレージとディレクトリリージョン
Alibaba Cloud は、ディレクトリの作成時に選択したリージョンに、すべての CloudSSO データを保存します。これには、ユーザーとグループの情報、複数アカウントの認可設定、Resource Access Management (RAM) の同期タスク、およびグローバル設定が含まれます。
ディレクトリリージョン以外のリージョンから CloudSSO にアクセスまたは変更を加える場合、リージョン間の API コールによってデータがディレクトリリージョンに転送されます。ログイン時には、ユーザー名、パスワード、および仮想多要素認証 (MFA) の検証コードが認証のためにディレクトリリージョンに送信されます。結果はリクエスト元のリージョンに返され、ログインの有効性を維持するためにセッションデータがそのリージョンに保存されます。ユーザーが MFA デバイスを紐付けるか、ログインパスワードを変更すると、検証コードと新しいパスワードもディレクトリリージョンに転送されます。SCIM (System for Cross-domain Identity Management) 同期を有効にすると、ユーザー名、UID、グループ名がエンタープライズアイデンティティプロバイダー (IdP) からディレクトリリージョンに転送されます。
CloudSSO ディレクトリは 1 つのリージョンにのみ作成できます。リージョンを変更するには、既存のディレクトリを無効にしてから、目的のリージョンに新しいディレクトリを作成する必要があります。以前のディレクトリのデータは移行できず、ログイン URL も変更されます。
高速化 URL
高速化 URL 機能は招待制プレビューです。利用をご希望の場合は、アカウントマネージャーにお問い合わせください。
ディレクトリが China (Shanghai) リージョンにある場合、CloudSSO は中国本土以外のユーザーのアクセス安定性を確保するために、高速化 URL 機能を無料で提供します。この機能は、以下のシナリオで使用してください。
-
中国本土以外のユーザーが CloudSSO にログインし、認証データを China (Shanghai) のディレクトリリージョンに転送する必要がある場合。
-
ユーザーが MFA デバイスまたはログインパスワードを管理し、そのデータを更新および保存のために China (Shanghai) のディレクトリリージョンに転送する必要がある場合。
-
SCIM 同期が設定されており、中国本土以外にある IdP からユーザー情報を China (Shanghai) のディレクトリリージョンに転送する必要がある場合。
CloudSSO コンソールで [Accelerate access from outside the Chinese mainland] 機能を有効にすると、高速化されたログイン URL を取得できます。データはまず、最寄りの Alibaba Cloud アクセラレーションエンドポイント (China (Hong Kong)、South Korea (Seoul)、Singapore、US (Silicon Valley)、または Germany (Frankfurt)) にルーティングされ、その後、高速化ネットワークを介して China (Shanghai) のディレクトリリージョンに転送されます。必要に応じて、元のログイン URL を引き続き使用することも可能です。