すべてのプロダクト
Search

このプロダクト

    Identity as a Service:Alibaba Cloud ユーザー SSO

    ドキュメントセンター

    Identity as a Service:Alibaba Cloud ユーザー SSO

    最終更新日:Oct 22, 2026

    このトピックでは、IDaaS で Alibaba Cloud ユーザーシングルサインオン (SSO) を設定する方法について説明します。ユーザー SSO を使用すると、企業のメンバーは RAM ユーザーとして Alibaba Cloud にアクセスします。

    操作手順

    ステップ 1：IDaaS でのアプリケーションの作成

    1. IDaaS コンソールにログインします。

    2. IDaaS インスタンスを選択し、[操作] 列の [コンソールへ] をクリックします。

    3. アプリケーション > アプリケーションの追加 > アプリケーションマーケットプレイス の順に移動し、Alibaba Cloud ユーザー SSO アプリケーションテンプレートを見つけて、[アプリケーションの追加] をクリックします。

    4. アプリケーション名を確認し、[今すぐ追加] をクリックします。

      [プロトコル] で、[SAML 2.0] を選択します。

    ステップ 2：アプリケーションのシングルサインオンとアカウント同期の設定

    アプリケーションを追加すると、自動的に Alibaba Cloud ユーザー SSO 設定ページにリダイレクトされます。このページでは、スマート設定または手動設定を使用して、シングルサインオンとアカウント同期の設定を完了できます。

    スマート設定

    アプリケーションを開いたら、スマート設定 をクリックすると、以下の設定を素早く完了できます。クイックガイドが不要な場合は、右側の クイックガイドを閉じる をクリックして非表示にできます。後で再度表示したい場合は、クイックガイドの表示 をクリックします。

    1. 機能の有効化 の選択

      機能の有効化 で、利用可能なシナリオを選択します。デフォルトは SSO のみ有効 です。SSO とアカウント同期の有効化 を選択することもできます。シナリオによって、依存関係チェックの項目が異なります。

    2. SR 権限付与の有効化 の有効化

      シナリオを選択した後、SR 権限付与の有効化 に移動します。ステータスが 未承認 の場合は、権限付与 をクリックします。承認が完了したら、右側の パージ をクリックして、ページの承認ステータスを パージ します。

    3. 依存関係チェック の実行

      権限付与を有効にすると、選択したシナリオに基づいてシステムが自動的に依存関係チェックを実行し、チェック項目と結果を表示します。チェック項目が 不合格 の場合は、失敗の理由に対処し、対応する 修正 を実行します。すべてのチェック項目に合格した後でのみ、設定の開始 ボタンがクリックできるようになります。

    説明

    1. スマート設定は、現在の Alibaba Cloud アカウントの設定のみをサポートします。

    2. 依存関係チェックは、SSO が正常に機能することを保証するための重要なステップです。いずれかのチェック項目が失敗した場合は、プロンプトに従って対応する修正を行ってください。

    警告

    RAM シングルサインオン (SSO) を有効にすると、RAM ユーザーは直ちに IDaaS での認証に切り替わり、元のログオン方法は無効になります。RAM ログオンが必要なアカウントが IDaaS に既に存在することを確認し、SSO を設定した後は速やかに権限付与を行ってください。そうしないと、ユーザーが Alibaba Cloud 管理コンソールにアクセスできなくなる可能性があります。

    手動設定

    1. ログインアクセス をクリックして、シングルサインオン設定ページを開きます。

      シングルサインオン設定セクションで、シングルサインオンスイッチをオンにし、[Alibaba Cloud アカウント ID] (SSO を実装する対象の Alibaba Cloud アカウント ID、16 桁の数字) を入力して、[アプリケーションアカウント] を [IDaaS ユーザー名] に設定します (この値はシングルサインオン中にアカウント識別子としてビジネスシステムに渡されます)。次に、[認可スコープ] を [手動認可] に設定します (手動での権限付与を選択した場合、[アプリケーション認可] で権限を割り当てる必要があります)。

      重要

      アプリケーションを標準の SSO テンプレートに変換すると、スマート設定機能は使用できなくなります。

    2. Alibaba Cloud アカウント ID を入力します。この ID は、 ページの右上隅にあるプロフィール画像をクリックして取得できます。アプリケーションアカウント名の属性を選択します。ユーザーがシングルサインオンを実行すると、このフィールドが主キーとして使用され、Alibaba Cloud の RAM ユーザーにマッピングされて Alibaba Cloud にログオンします。テスト目的のみの場合は、認可スコープをすべてのユーザーに設定し、IDaaS アカウントへの権限割り当てのステップは一時的にスキップできます。

    3. アプリケーション構成情報 で IdP メタデータをダウンロードし、お使いのコンピューターに保存します。このファイルは、Alibaba Cloud と IDaaS との信頼関係を確立するために使用します。

    4. IDaaS アカウント名が RAM ユーザー名 (RAM ユーザープレフィックス) と同じ場合は、アプリケーションアカウント を [IDaaS ユーザー名] に設定できます。

      IDaaS アカウント名が RAM ユーザー名と異なる場合は、アプリケーションアカウント を アプリケーションアカウント に設定し、アプリケーションアカウント ページで対応するアカウント関係をバインドします。シングルサインオン用の IDaaS アカウントを選択し、RAM ユーザー名のプレフィックスを入力します。

      [アプリケーションアカウントの追加] をクリックします。表示されるダイアログボックスで、[アカウント名で検索] ドロップダウンリストから IDaaS アカウントを検索して選択し、[保存] をクリックしてアカウントのバインドを完了します。

    5. RAM コンソールにログインします。左側メニューで [SSO] をクリックします。[ユーザー SSO] タブで 有効化 をクリックして SSO 機能を有効にし、前の手順で IDaaS からダウンロードした IdP メタデータをアップロードします。補助ドメインを有効にする必要はありません。

    警告

    RAM シングルサインオン (SSO) を有効にすると、RAM ユーザーは直ちに IDaaS での認証に切り替わり、元のログオン方法は無効になります。RAM ログオンが必要なアカウントが IDaaS に既に存在することを確認し、SSO を設定した後は速やかに権限付与を行ってください。そうしないと、ユーザーが Alibaba Cloud 管理コンソールにアクセスできなくなる可能性があります。

    ステップ 3 (オプション)：RAM ユーザー権限の設定

    既存の RAM ユーザーがいる場合や、IDaaS のアカウントを Alibaba Cloud に同期したい場合があります (詳細については、「アカウント同期：イベントコールバック」をご参照ください)。この場合、必要に応じて左側のメニューバーの [ユーザー] でユーザーに権限を割り当て、ユーザーが Alibaba Cloud リソースにアクセスするための適切な権限を持つようにします。シングルサインオンのテストのみを行いたい場合は、このステップをスキップしてください。

    対象ユーザーの [操作] 列で、[権限の追加] をクリックします。

    ステップ 4：SSO のテスト

    1. IDaaS または Alibaba Cloud からユーザー SSO ログオンを開始します。

      • IDaaS から開始 (IdP-initiated)：Alibaba Cloud ユーザー SSO アプリケーションの権限を既に持つ IDaaS アカウントで IDaaS アプリケーションポータルにログインし、ページ上のアプリケーションアイコンをクリックして Alibaba Cloud へのシングルサインオンを開始します。

      • Alibaba Cloud から開始 (SP-initiated)：匿名ブラウザーを使用して Alibaba Cloud のログオンページを開き、下部にある [RAM ユーザーとしてログオン] をクリックし、RAM ユーザー名を入力して [次へ] をクリックします。RAM ユーザーログオンページで、[RAM ユーザー名/パスワードログオン] タブをクリックし、[ユーザー名] フィールドに次の形式で RAM ユーザー名を入力します：<username>@<default domain> または <username>@<enterprise alias> (例：username@company.onaliyun.com または username@company-alias)、その後、[次へ] をクリックします。

    2. プロンプトページが表示されます。[企業アカウントでログオン] をクリックするか、ログオンリンクをコピーします。既に IDaaS アプリケーションポータルにログインしている場合は、直接 Alibaba Cloud にログオンします。それ以外の場合は、IDaaS ログオンページにリダイレクトされ、IDaaS にログインすると自動的に Alibaba Cloud にログオンします。