CloudSSO は SAML 2.0 ベースのシングルサインオン (SSO) をサポートします。この構成では、Alibaba Cloud がサービスプロバイダー (SP)、お客様の企業 ID システムが ID プロバイダー (IdP) です。SSO を使用すると、従業員は企業 IdP の認証情報を使用して CloudSSO にサインインできます。
ID プロバイダー (IdP) 情報の管理
SSO を使用するには、IdP 情報を設定し、SSO を有効化します。メタデータファイルをアップロードするか、IdP を手動設定できます。手動設定でサポートされるプロパティは、エンティティ ID、ログイン URL、SAML 署名証明書の 3 つのみです。追加の IdP プロパティを設定するには、IdP でメタデータファイルを生成してアップロードしてください。
IdP 情報の設定
SSO を有効化する前に、IdP 情報を設定します。
-
CloudSSO コンソールにログインします。
-
左側のナビゲーションペインで、Settings をクリックします。
-
ユーザー設定 タブの SSO ログイン セクションで、IdP Information の Configure IdP をクリックします。
-
Configure IdP ダイアログボックスで、Upload Metadata File または Manual Configuration を選択し、IdP 情報を設定します。メタデータファイルまたは設定の詳細は、IdP から取得してください。
-
Upload Metadata File
ファイルのアップロード をクリックして、IdP のメタデータファイルをアップロードします。
-
Manual Configuration
-
Entity ID：IdP の識別子。
-
Login URL：IdP のログイン URL。
-
Certificate：IdP が SAML レスポンスに署名するために使用する証明書。PEM 形式の X.509 証明書がサポートされています。Upload Certificate をクリックして、IdP の証明書をアップロードできます。
-
-
-
OK をクリックします。
IdP 情報の更新
SSO の有効/無効にかかわらず、IdP 情報を更新できます。ただし、SSO が有効な状態で更新すると、新しい設定が一致しない場合に SSO が失敗する可能性があります。注意して操作してください。
-
IdP Information セクションで、Configure IdP をクリックします。
-
Configure IdP ダイアログボックスで設定方法を選択し、設定を変更して、証明書またはメタデータファイルを再アップロードした後、OK をクリックします。
IdP 情報のクリア
IdP 情報は、SSO が無効な場合にのみクリアできます。
IdP 情報をクリアすると、SSO を使用できなくなります。
-
IdP Information セクションで、Clear IdP Information をクリックします。
-
Clear IdP Information ダイアログボックスで、OK をクリックします。
SAML 署名証明書のローテーション
IdP の SAML 署名証明書は定期的にローテーションしてください。古い証明書の有効期限が切れる前に、新しい証明書をアップロードします。移行期間中、CloudSSO は両方の証明書に対して SAML 署名を検証し、いずれかが検証に成功すればサインインを許可します。新しい証明書が有効になり、古い証明書が使用されていないことを確認した後、古い証明書を削除します。
使用中の SAML 署名証明書を削除すると、SSO が失敗します。注意して操作してください。
-
IdP Information セクションで、SAML Signature Certificate の右側にある Manage をクリックします。
-
Certificate ダイアログボックスで、SAML 署名証明書をローテーションします。
-
Upload New Certificate をクリックして、企業 IdP から取得した新しい証明書をアップロードします。
-
企業 IdP が新しい証明書を使用して SAML レスポンスに署名していることを確認し、SSO 経由で CloudSSO ユーザーポータルにサインインして検証します。
-
新しい証明書が有効であり、古い証明書が廃止されたことを確認した後、古い証明書の Actions 列で Delete をクリックします。
-
OK をクリックして、SAML 署名証明書のローテーションを完了します。
-
サービスプロバイダー (SP) 情報の管理
SP メタデータの取得
IdP で SSO を設定するには、サービスプロバイダー (SP) 情報 セクションから SP のメタデータファイルをダウンロードするか、ACS URL と Entity ID をコピーして IdP を手動設定します。
アクセス高速化が有効な場合は、IdP で SSO を設定する際に [ACS URL (Accelerated)] を使用してください。詳細については、「中国本土以外からのアクセスを高速化する」をご参照ください。
SAML リクエスト署名アルゴリズムの設定
サービスプロバイダー (SP) 情報 セクションで、Signature Algorithm for IdP Request の横にある Edit をクリックして、SAML リクエストの署名アルゴリズムを設定します。デフォルトは SHA1 です。SHA256 も選択できます。
SAML アサーション暗号化の設定
サービスプロバイダー (SP) 情報 セクションで、SAML Assertion Encryption for IdP Response の横にある Edit をクリックして、IdP が SAML アサーションを暗号化する必要があるかどうかを指定します。[Encrypt] を選択した場合、SP はアサーションを復号する必要があります。
サービスプロバイダー (SP) の CA 証明書の管理 (招待制プレビュー)
CloudSSO はデフォルトで自己署名証明書を使用します。組織の要件として、信頼された認証局 (CA) が発行した SP 署名証明書が必要な場合は、CA 証明書を申請してください。
CA 証明書機能は招待制プレビューです。利用を希望する場合は、Alibaba Cloud のサービスマネージャーにお問い合わせください。
CA 証明書でサポートされるアルゴリズム
SP メタデータには、署名証明書とアサーション暗号化証明書が含まれており、サポートされるアルゴリズムは次のとおりです：
CA 証明書の有効期間
CA 証明書の有効期間は 1 年で、毎年ローテーションする必要があります。コンソールには正確な有効期限が表示されます。
CA 証明書の有効化
サービスプロバイダー (SP) 情報 セクションで、メタデータに信頼できる CA 発行の証明書を使用します スイッチをオンにして CA 証明書を有効化します。
CA 証明書を有効化すると、自己署名証明書は自動的に無効化されます。
CA 証明書のローテーション
ローテーション期間は、有効期限の 80 日前に開始されます。この期間中、CloudSSO コンソールは証明書の置き換えを促します。この期間中は、新旧両方の証明書が有効です。できるだけ早く証明書を更新してください。
-
SSO ログイン セクションで、サービスプロバイダー (SP) 情報 セクションから最新の CA 証明書を使用する SP メタデータファイルをダウンロードします。
-
企業 IdP で、新旧両方の証明書を設定します。
-
企業 IdP で、新しい証明書のみを使用して SSO が機能することを検証します。
機能する場合は、古い証明書を削除できます。SSO に影響を与えずに古い証明書を保持することもできます。
シングルサインオンの有効化/無効化
シングルサインオンの有効化
IdP 情報を設定した後、SSO を有効化できます。
SSO を有効化すると、ユーザー名とパスワードによるログインは自動的に無効化されます。
-
ユーザー設定 タブの SSO ログイン セクションで、SSO スイッチをオンにします。
-
Enable SSO Logon ダイアログボックスで、OK をクリックします。
シングルサインオンの無効化
SSO を無効化すると、ユーザー名とパスワードによるログインは自動的に有効化されます。
-
ユーザー設定 タブの SSO ログイン セクションで、SSO スイッチをオフにします。
-
Disable SSO Logon ダイアログボックスで、OK をクリックします。