このスタートガイドでは、Identity as a Service (IDaaS) インスタンスの作成、Alibaba Cloud ユーザーベースの SSO アプリケーションの構成、および IDaaS を使用した Alibaba Cloud 管理コンソールへの SSO の実装方法について説明します。
無料の IDaaS インスタンスを作成する
IDaaS V2.0 インスタンスは無料で作成でき、多数の無料機能を使用できます。有料機能の詳細については、「課金」をご参照ください。
IDaaS コンソール にログインします。左側のナビゲーションウィンドウで、EIAM をクリックします。EIAM ページで、IDaaS タブをクリックします。
IDaaS タブで、[インスタンスの作成] をクリックします。 [インスタンスの作成] ダイアログボックスで、インスタンス名を指定し、「Alibaba Cloud プロダクトサービス契約」を選択して、[作成] をクリックします。
インスタンスが作成された後、[操作] 列のインスタンス ID または [管理] をクリックして、クイックスタートページに移動します。「インスタンスエディション」セクションの右下隅にある [試用] をクリックして、15 日間の試用版を取得します。無料トライアルは、インスタンスごとに 1 回のみ利用できます。
アカウントを作成する
IDaaS を使用すると、製品の研究開発、運用管理、人事、営業、臨時スタッフ、請負業者など、組織構造と企業アカウントをクラウドで管理できます。
IDaaS ユーザーは、一元化された認証システムを使用して、権限を持つすべてのエンタープライズ アプリケーションにアクセスできます。
組織とアカウントをインポートすることもできます。詳細については、「アカウントを同期する」をご参照ください。
アカウントを追加する
左側のナビゲーションウィンドウで、[アカウント] > [アカウントと組織] を選択します。表示されるページで、[アカウントの作成] をクリックします。
[アカウントの作成] パネルに情報を入力して、アカウントを追加します。
アカウントが追加されます。インスタンスのログインページからアカウントポータルにログインできます。 [アカウント] ページの上部にインスタンスのログインアドレスが表示されます。
アプリケーションを作成する
IDaaS では、アプリケーションはビジネスプロセスをサポートするシステムとサービスを提供します。アプリケーションの SSO を実装し、IDaaS アプリケーション間でアカウントを同期できます。
このセクションの例では、Alibaba Cloud ユーザーベースの SSO アプリケーションを構成して、IDaaS アカウントを使用して Alibaba Cloud 管理コンソールにログインする方法を示します。
アプリケーションを追加する
IDaaS コンソールにログインします。EIAM ページで、必要なインスタンスをクリックします。左側のナビゲーションウィンドウで、[アプリケーション] をクリックします。 [アプリケーション] ページで、[アプリケーションの追加] をクリックして、[マーケットプレイス] タブに移動します。
説明IDaaS は、一般的なエンタープライズ アプリケーション用の複数のテンプレートを提供します。テンプレートは構成および最適化されています。これらのテンプレートを使用すると、簡単にアプリケーションを追加できます。
[標準プロトコル] タブと [カスタムアプリケーション] タブのテンプレートを使用して、他のアプリケーションと自作アプリケーションを接続できます。
[マーケットプレイス] タブで、Alibaba Cloud ユーザーベースの SSO アプリケーションを見つけます。 [アプリケーションの追加] をクリックし、アプリケーション名を指定して、[追加] をクリックします。構成ページが表示されます。
SSO を構成する
SSO プロセスでは、IDaaS とアプリケーション間の相互作用が必要です。両側で SSO 設定を構成する必要があります。 Alibaba Cloud ユーザーベースの SSO アプリケーションは、Security Assertion Markup Language (SAML) 2.0 に基づくシンプルな構成方法を提供します。これにより、設定をすばやく完了できます。
IDaaS で Alibaba Cloud ユーザーベースの SSO アプリケーションを構成する
アプリケーションを作成すると、[SSO] タブにリダイレクトされます。 [SSO] タブで、「Alibaba Cloud アカウント ID」パラメーターを構成し、システムによって自動的に構成されるパラメーターのデフォルト値を保持します。次に、[保存] をクリックします。
ページの下部にある [アプリケーション設定] セクションの「IdP メタデータ」の横にある [ダウンロード] をクリックします。ファイルにはすべての SSO 構成が含まれています。次のステップでは、このファイルを Resource Access Management (RAM) にアップロードする必要があります。
[承認] タブをクリックします。 [承認] タブで、[承認] をクリックします。 [承認] ダイアログボックスで、Alibaba Cloud ユーザーベースの SSO アプリケーションを使用して管理するアカウントを選択し、[確認] をクリックします。
RAM で SSO を構成する
前のステップで、「アプリケーションユーザー名」パラメーターに「IDaaS ユーザー名」が選択されています。 IDaaS アカウントのユーザー名が RAM ユーザー名と同じであることを確認してください。RAM ユーザー名が IDaaS アカウントのユーザー名と同じでない場合は、最初に RAM ユーザーを作成します。アプリケーションアカウントを柔軟に関連付ける方法の詳細については、「アプリケーションアカウントを構成する」を参照してください。
RAM SSO 構成ページ をクリックします。表示されるページで、[ユーザーベースの SSO] タブをクリックし、[編集] をクリックします。
「SSO ステータス」パラメーターで [有効] を選択します。 [ファイルのアップロード] をクリックし、ダウンロードしたファイルをアップロードします。
[OK] をクリックします。 IDaaS アカウントを使用して、Alibaba Cloud ユーザーベースの SSO アプリケーションにログインできます。
SSO の結果を確認する
上記の構成が完了したら、IDaaS アカウントを使用してユーザーポータルにログインし、Alibaba Cloud 管理コンソールへの SSO が完了しているかどうかを確認できます。
ユーザーポータルにログインする
ユーザーポータルの URL を取得するには、次の操作を実行します。IDaaS コンソールの左側のナビゲーションウィンドウで、[EIAM] をクリックします。 [EIAM] ページで、[IDaaS] タブをクリックし、作成したインスタンスを見つけ、[ユーザーポータル] 列にユーザーポータルの URL を表示します。インスタンス ID をクリックして、[クイックスタート] または [アカウントと組織] ページに移動して、ユーザーポータルの URL を取得することもできます。
ブラウザでユーザーポータルを開いて、IDaaS コンソール に移動します。
説明IDaaS は複数のログイン方法をサポートしています。管理者は、IDaaS コンソールの [サインイン] ページでログイン方法を管理できます。
「アカウントを作成する」セクションで作成したアカウントを使用して、IDaaS ユーザーポータルにログインします。
SSO を使用してログインする
IDaaS ポータルでは、権限が付与されているすべての構成済みアプリケーションを表示できます。
アプリケーションをクリックして、SSO リダイレクトリクエストを開始します。
Alibaba Cloud ユーザーベースの SSO アプリケーションをクリックして、新しいタブで Alibaba Cloud 管理コンソールにログインします。