Data Management:ドメインアカウントによる DMS へのログイン

概念

説明

ID プロバイダー (IdP)

外部 ID プロバイダーに関するメタデータを含む RAM エンティティです。IdP は ID 管理サービスを提供できます。

• エンタープライズオンプレミス IdP：Microsoft Active Directory Federation Service (AD FS)、Shibboleth など。

• クラウド IdP：IDaaS、Microsoft Entra ID、Google Workspace、Okta、OneLogin など。

サービスプロバイダー (SP)

IdP の ID 管理機能を使用してユーザーにサービスを提供するアプリケーションです。SP は IdP によって提供されるユーザー情報を使用します。OpenID Connect などの SAML プロトコルベースではない一部の ID システムでは、サービスプロバイダーは IdP のリライングパーティとも呼ばれます。

SAML (Security Assertion Markup Language) 2.0

エンタープライズレベルのユーザー認証のための標準プロトコルです。SAML 2.0 は、SP と IdP 間の通信における技術的な実装の 1 つです。SAML 2.0 は、エンタープライズレベルの SSO の事実上の標準となっています。

SAML アサーション

SAML プロトコルで認証リクエストとレスポンスを記述するために使用されるコア要素です。たとえば、認証レスポンスのアサーションには、特定のユーザー属性が含まれます。

信頼

SP と IdP の間に確立される相互信頼メカニズムで、通常は公開キーと秘密キーを使用して実装されます。SP は、信頼できる方法で IdP の SAML メタデータを取得します。このメタデータには、IdP が SAML アサーションに署名するために使用する公開キーが含まれています。SP はこの公開キーを使用して、アサーションの整合性を検証します。

OIDC

OpenID Connect (OIDC) は、OAuth 2.0 をベースに構築されています。OAuth は認可プロトコルであり、OIDC は OAuth の上に ID レイヤーを追加します。OAuth が提供する認可機能に加えて、OIDC ではクライアントが OIDC プロトコル API (HTTP RESTful) を介してエンドユーザーを認証し、基本的なユーザー情報を取得することもできます。

OIDC トークン

OIDC は、ログインしているユーザーに代わって ID トークンを発行できます。これは OIDC トークンと呼ばれます。OIDC トークンは、ログインしているユーザーの基本情報を取得するために使用されます。

クライアント ID

アプリケーションが外部 IdP に登録されると、クライアント ID が生成されます。外部 IdP に OIDC トークンをリクエストする際には、このクライアント ID を使用する必要があります。発行された OIDC トークンは、aud フィールドにもこのクライアント ID を含みます。OIDC ID プロバイダーを作成する際に、このクライアント ID を設定します。OIDC トークンを使用して STS トークンと交換する際、Alibaba Cloud は OIDC トークンの aud フィールドのクライアント ID が、OIDC ID プロバイダーで設定されたクライアント ID と一致するかどうかを検証します。一致した場合にのみ、ロールの引き受けが許可されます。

検証フィンガープリント

発行者 URL が悪意を持ってハイジャックされたり改ざんされたりするのを防ぐために、外部 IdP の HTTPS CA 証明書から生成された検証フィンガープリントを設定する必要があります。Alibaba Cloud はこのフィンガープリントの自動計算をサポートしますが、ローカルで計算すること (たとえば、「OpenSSL を使用して OIDC IdP のサムプリントを取得する」) を推奨します。それを Alibaba Cloud によって計算されたフィンガープリントと比較してください。一致しない場合、発行者 URL が侵害されている可能性があります。確認の上、正しいフィンガープリントを入力してください。

発行者 URL

発行者 URL は外部 IdP によって提供され、OIDC トークンの iss フィールドの値に対応します。発行者 URL は https で始まり、標準の URL 形式に準拠している必要があります。クエリパラメーター (? で識別)、フラグメント (# で識別)、およびログイン情報 (@ で識別) は許可されません。

一時的な ID 認証情報

Security Token Service (STS) は、Alibaba Cloud が提供する一時的なアクセス認証情報管理サービスです。STS を通じて、有効期間とアクセス権限をカスタマイズできる一時的な ID 認証情報 (STS トークン) を取得できます。