CloudSSO は、Alibaba Cloud Resource Directory (RD) 内の複数のアカウントに対して、統一されたアイデンティティ管理とアクセス制御を提供します。CloudSSO を使用することで、Alibaba Cloud にアクセスする企業ユーザーを一元管理し、企業の ID プロバイダーと Alibaba Cloud 間のシングルサインオン (SSO) を構成し、RD 内のすべてのアカウントへのアクセス権限を一元管理できます。
機能
Alibaba Cloud にアクセスするユーザーの一元管理
CloudSSO は、Alibaba Cloud にアクセスする必要があるすべてのユーザーを管理できるネイティブの CloudSSO ディレクトリを提供します。ユーザーとユーザーグループを手動で管理できます。また、クロスドメイン ID 管理システム (SCIM) プロトコルを使用して、企業の ID プロバイダーから CloudSSO ディレクトリへユーザーとユーザーグループを同期することもできます。
企業の ID プロバイダーとの統一シングルサインオンの構成
CloudSSO ディレクトリ内のユーザーは、ユーザー名、パスワード、多要素認証 (MFA) を使用して Alibaba Cloud にアクセスできます。しかし、企業の ID プロバイダーとの SSO を使用する方が、より優れた方法です。これにより、ユーザーエクスペリエンスが最適化され、セキュリティリスクが軽減されます。CloudSSO は、SAML 2.0 プロトコルに基づくエンタープライズグレードの SSO をサポートしています。CloudSSO と企業の ID プロバイダーで 1 回構成するだけで、SSO を設定できます。
Resource Directory 内のアカウントに対する統一されたアクセス権限の構成
CloudSSO は Resource Directory (RD) と緊密に統合されているため、RD 内のメンバーアカウントに対して、ユーザーとユーザーグループのアクセス権限を一元的に構成できます。CloudSSO 管理者は、RD の組織図に基づいてメンバーアカウントを選択できます。その後、管理者はこれらのアカウントに、ユーザーまたはユーザーグループと特定のアクセス権限を割り当てることができます。これらの権限は、いつでも変更または削除できます。
統一ユーザーポータル
CloudSSO は、統一された CloudSSO ユーザーポータルを提供します。ユーザーがユーザーポータルにログインすると、アクセス権を持つ RD 内のすべてのアカウントのリストを表示できます。その後、Alibaba Cloud 管理コンソールに直接ログインし、複数のアカウント間を簡単に切り替えることができます。
CLI 統合
CloudSSO は、Alibaba Cloud コマンドラインインターフェイス (CLI) と統合されています。ユーザーは、ブラウザーを使用して CloudSSO ユーザーポータルにログインするだけでなく、Alibaba Cloud CLI を使用して CloudSSO にログインすることもできます。ログイン後、ユーザーは RD 内の目的のアカウントと許可セットを選択し、コマンドラインを使用して Alibaba Cloud リソースにアクセスできます。
無料
CloudSSO は無料のサービスです。無料で有効化して使用できます。
サービスアーキテクチャ
CloudSSO ユーザーは、RD 内のアカウントにあるクラウドリソースに、RAM ロール または RAM ユーザー としてアクセスできます。
次の表は、2 つのアクセス方法のシナリオについて説明しています。
アクセス方法 | 説明 | シナリオ | 参考情報 |
RAM ロールとしてログイン | CloudSSO で一元管理されているユーザーは、SSO を使用して RD のメンバーアカウント内の RAM ロールを引き受けることができます。これは、アクセス構成と複数アカウント認可を使用して実現されます。ユーザーがロールを引き受けた後、そのアカウント内のクラウドリソースにアクセスできます。 | RAM ロールをサポートする Alibaba Cloud サービスに適用されます。 | |
RAM ユーザーとしてログイン | CloudSSO で一元管理されているユーザーは、RD のメンバーアカウントに RAM ユーザーとして同期されます。その後、ユーザーは RAM ユーザーとしてログインし、そのアカウント内のクラウドリソースにアクセスできます。 | RAM ロールをサポートしない Alibaba Cloud サービスに適用されます。 |
CloudSSO ユーザーに、アクセス構成を通じて RD 内のアカウントに対する権限が付与されており、さらに RAM ユーザー同期も構成されている場合があります。この場合、ユーザーは RAM ロールと RAM ユーザーの両方として、そのアカウント内のクラウドリソースにアクセスできます。
CloudSSO と Resource Access Management (RAM) の関係
Resource Access Management (RAM) は、単一の Alibaba Cloud アカウント内でアイデンティティと権限の管理を提供します。RAM は、アイデンティティ管理 (ユーザー、ユーザーグループ、ロールを含む)、権限管理、SSO 構成などの機能を提供します。ただし、これらの機能は単一の Alibaba Cloud アカウントにのみ適用されます。企業が複数の Alibaba Cloud アカウントを持っている場合、各アカウントで RAM を使用して、アイデンティティの管理、SSO の構成、権限の構成を行う必要があります。この管理の分離は困難な場合があります。
CloudSSO は、RD 内の複数のアカウントに対して、統一されたアイデンティティと権限の管理を提供します。CloudSSO を使用すると、1 回の構成で複数の Alibaba Cloud アカウントのアイデンティティ、SSO、権限を管理できます。これを実現するために、CloudSSO は RAM から独立した CloudSSO ディレクトリを提供します。ただし、その権限管理機能は、RAM システムポリシーとカスタムポリシーのポリシー構文を再利用します。詳細については、「アクセス構成の概要」をご参照ください。さらに、CloudSSO ユーザーが RD 内のアカウントにアクセスする際、ユーザーは SSO プロセスを通じて、そのアカウント内の RAM ロールを引き受けます。詳細については、「複数アカウント認可の概要」をご参照ください。
RD 内のアカウントに対して CloudSSO による統一されたアイデンティティと権限の管理を使い始めると、各アカウントを個別に RAM で管理する必要はなくなります。ただし、場合によっては、単一のアカウント内で RAM を引き続き使用できます。たとえば、既存の RAM ユーザーや RAM ロールがある場合や、AccessKey ペアを使用して Alibaba Cloud リソースにプログラムでアクセスする場合などです。CloudSSO を使用しても、RAM 本来の機能が制限されることはありません。両方のサービスを同時に使用できます。