すべてのプロダクト
Search

このプロダクト

    Resource Access Management:Microsoft Entra ID を使用したロールベース SSO の例

    ドキュメントセンター

    Resource Access Management:Microsoft Entra ID を使用したロールベース SSO の例

    最終更新日:Sep 05, 2026

    このトピックでは、Microsoft Entra ID (旧 Azure AD) と Alibaba Cloud の間でロールベースシングルサインオン (SSO) を設定する方法の例を示します。設定が完了すると、Microsoft Entra ID テナントのユーザーは SAML SSO を使用して Alibaba Cloud にログオンし、一時的に RAM ロールを引き受けることができます。

    説明

    ロールベース SSO を設定する前に、使用するクラウドサービスが RAM ロールをサポートしていることを確認してください。詳細については、「Security Token Service (STS) をサポートするクラウドサービス」をご参照ください。

    ユースケース

    この例では、ある企業が Alibaba Cloud アカウントと Microsoft Entra ID テナントを所有しているとします。テナントには、全体管理者権限を持つ管理者と、ユーザー プリンシパル名 (UPN) が ssotest01@example.onmicrosoft.com の従業員が含まれています。目標は、従業員 (ssotest01@example.onmicrosoft.com) が Microsoft Entra ID にログオンした後、ロールベース SSO を使用して Alibaba Cloud にアクセスできるようにすることです。

    説明

    ロールベース SSO の設定は、RAM ユーザーの通常のログオンには影響しません。つまり、ユーザーは IdP 起点の SSO を介して RAM ロールを引き受けて Alibaba Cloud にログオンすることも、パスワードやユーザーベース SSO などの他の方法で RAM ユーザーとしてログオンし続けることもできます。ロールベース SSO を使用するには、ID プロバイダー (IdP) からログオンを開始する必要があります。これは IdP 起点の SSO と呼ばれます。ロールベース SSO は、サービスプロバイダー (SP) である Alibaba Cloud から開始されるログオンをサポートしていません。

    ロールベース SSO を使用すると、IdP 内のユーザーと一致するユーザーを Alibaba Cloud に事前に作成する必要はありません。ユーザーが IdP から SSO ログオンを開始すると、Alibaba Cloud は、ユーザーが SAML アサーションで指定された RAM ロールを一時的に引き受けてリソースにアクセスすることを許可します。

    ユーザーベース SSO とロールベース SSO の比較については、「SSO の概要」をご参照ください。

    前提条件

    • RAM コンソールで操作を行うための AliyunRAMFullAccess 権限を持つ RAM 管理者がいること。RAM ユーザーの作成と権限付与の方法については、「RAM ユーザーの作成」および「RAM ユーザー権限の管理」をご参照ください。

    • Microsoft Entra ID で操作を行うための全体管理者ロールを持つ Microsoft Entra ID 管理者がいること。Microsoft Entra ID でのユーザー作成と権限付与の方法については、Microsoft Entra ID ドキュメントをご参照ください。

    設定プロセス

    この設定では、IdP と SP の間に信頼関係を確立し、Microsoft Entra ID のアプリのロールを Alibaba Cloud の RAM ロールにマッピングします。

    1. 手順1：Microsoft Entra ID でのエンタープライズ アプリケーションの作成。Microsoft Entra ID アプリケーションギャラリーから、Alibaba Cloud Service (Role-based SSO) アプリケーションテンプレートを使用してエンタープライズ アプリケーションを作成します。

    2. 手順2：Microsoft Entra ID での SAML の設定。Alibaba Cloud のロールベース SSO を信頼できる SAML SP として設定します。

    3. 手順3：Alibaba Cloud での ID プロバイダーの作成。Alibaba Cloud RAM で、Microsoft Entra ID を信頼できる SAML [IdP] として設定します。

    4. 手順4：Alibaba Cloud での RAM ロールの作成。Alibaba Cloud RAM で RAM ロールを作成し、その プリンシパル タイプを [IdP] に設定します。

    5. 手順5：Microsoft Entra ID でのアプリのロールの作成とユーザーの割り当て。Microsoft Entra ID で Alibaba Cloud のロールベース SSO アプリケーション用のアプリのロールを作成・設定し、テストユーザーをエンタープライズ アプリケーションに割り当てます。

    6. SSO ログオンの検証。ロールベース SSO ログオンが期待どおりに機能することを確認します。

    手順1：Microsoft Entra ID でのエンタープライズ アプリケーションの作成

    1. Microsoft Entra ID の全体管理者として Azure portal にログオンします。

      説明

      Azure AD China (21Vianet が運営) を使用している場合は、https://portal.azure.cn の代わりに https://portal.azure.com を使用します。

    2. ページの左上隅にある SSO_AAD_icon アイコンをクリックします。

    3. 左側メニューで、[Microsoft Entra ID] > [管理] > [エンタープライズ アプリケーション] > [すべてのアプリケーション] を選択します。

    4. [新しいアプリケーション] をクリックします。

    5. Alibaba Cloud Service (Role-based SSO) を検索して選択します。Azure AD China を使用していて、このテンプレートがエンタープライズ アプリケーションギャラリーで利用できない場合は、ギャラリー以外のエンタープライズ アプリケーションを手動で作成し、後続の手順で SAML 設定を完了できます。

    6. アプリケーションの名前を入力し、[作成] をクリックします。

      この例では、デフォルトのアプリケーション名 Alibaba Cloud Service (Role-based SSO) を使用します。カスタム名を指定することもできます。

    手順2：Microsoft Entra ID での SAML の設定

    1. Alibaba Cloud Service (Role-based SSO) ページの左側メニューで、[管理] > [シングルサインオン] を選択します。

    2. [SAML] をクリックします。

    3. SSO 情報を設定します。

      1. ページの左上隅にある [メタデータファイルをアップロード] をクリックし、Alibaba Cloud のロールベース SSO 用のメタデータファイルを選択して、追加 をクリックします。

        説明

        メタデータファイルを取得するには、新しいブラウザウィンドウで https://signin.alibabacloud.com/saml-role/sp-metadata.xml を開き、フェデレーションメタデータ XML ファイルをコンピューターに保存します。

      2. [基本的な SAML 構成] ページで、次の情報を設定し、保存 をクリックします。

        • 識別子 (エンティティ ID)：この値は、メタデータファイルの entityID 属性から自動的に入力されます。

        • 応答 URL (Assertion Consumer Service URL)：この値は、メタデータファイルの Location 属性から自動的に入力されます。

        • リレー状態：このオプションのパラメーターは、ロールベース SSO ログオンが成功した後にユーザーがリダイレクトされる Alibaba Cloud ページを指定します。

          説明

          セキュリティ上の理由から、リレー状態 の値として入力できるのは、*.aliyun.com、*.hichina.com、*.yunos.com、*.taobao.com、*.tmall.com、*.alibabacloud.com、*.alipay.com など、Alibaba が所有するドメインの URL のみです。それ以外の場合、設定は無効になります。このパラメーターを設定しない場合、ユーザーはデフォルトで Alibaba Cloud コンソールのホームページにリダイレクトされます。

      3. [属性と要求] セクションで、编辑 アイコンをクリックし、次の 2 つの要求が存在することを確認します。

        これらの要求が存在しない場合は、[新しい要求を追加] をクリックし、次の表の説明に従って追加します。

        [名前]

        名前空間

        ソース

        ソース属性

        Role

        https://www.aliyun.com/SAML-Role/Attributes

        属性

        user.assignedroles

        RoleSessionName

        https://www.aliyun.com/SAML-Role/Attributes

        属性

        user.userprincipalname

      4. [SAML 証明書] セクションで、[フェデレーション メタデータ XML] を見つけ、ダウンロード をクリックします。

    手順3：Alibaba Cloud での ID プロバイダーの作成

    1. RAM 管理者として RAM コンソールにログオンします。

    2. 左側メニューで、統合管理 > SSO 管理 を選択します。

    3. ロールベースの SSO ログイン方式 タブで [SAML] タブをクリックし、IdP の作成 をクリックします。

    4. IdP の作成 ページで、IdP 名 に AAD と入力します。

    5. メタデータドキュメントをアップロード をクリックし、「手順2：Microsoft Entra ID での SAML の設定」でダウンロードした フェデレーション メタデータ XML ファイルをアップロードします。

    6. IdP の作成 をクリックします。

    7. 作成した AAD ID プロバイダーをクリックします。基本情報 セクションで、ID プロバイダーの ARN を見つけてコピーします。

    手順4：Alibaba Cloud での RAM ロールの作成

    1. RAM コンソールの左側メニューで、アイデンティティ > ロール を選択します。

    2. ロール ページで、ロール作成 をクリックします。

    3. ロール作成 ページの右上隅にある エディターを切り替え をクリックします。

    4. エディターで SAML ID プロバイダーを指定します。

      エディターは、ビジュアルエディターとスクリプトエディターをサポートしています。どちらか一方を使用できます。この例では、ビジュアルエディターを使用します。Principal で [IdP] を選択し、エディット をクリックします。次に、ID プロバイダーとして AAD を指定し、IdP タイプ で SAML を選択します。

    5. ロール作成 ダイアログボックスで、ロール名 (例：AADrole) を入力し、OK をクリックしてロールを作成します。

    6. 作成した RAM ロールをクリックします。基本情報 セクションで、ロールの ARN を見つけてコピーします。

    説明

    必要に応じて RAM ロールに権限を付与できます。詳細については、「RAM ロールの権限管理」をご参照ください。

    手順5：アプリのロールの作成とユーザーの割り当て

    1. Microsoft Entra ID でアプリのロールを作成します。

      1. 管理者として Azure portal にログオンします。

      2. 左側メニューで、[Microsoft Entra ID] > [管理] > [アプリの登録] を選択します。

      3. [すべてのアプリケーション] タブをクリックし、Alibaba Cloud Service (Role-based SSO) をクリックします。

      4. 左側メニューで、[管理] > [アプリのロール] を選択します。

      5. [アプリのロールの作成] をクリックします。

      6. [アプリのロールの作成] ページで、次のロール情報を設定し、アプリケーション をクリックします。

        • 表示名：この例では、Admin と入力します。

        • [許可されるメンバーの種類]：この例では、[ユーザー/グループ] を選択します。

        • 値：RAM ロール ARN と ID プロバイダー ARN をコンマ (,) で区切って入力します。例：acs:ram::187125022722****:role/aadrole,acs:ram::187125022722****:saml-provider/AAD。

          説明

          値は RAM ロール ARN,ID プロバイダー ARN の形式である必要があります。順序が正しくないと、SSO ログオンは失敗します。

        • [説明]：ロールの説明を入力します。

        • [このアプリのロールを有効にしますか?] を選択します。

      説明

      Microsoft Entra ID で複数のアプリのロールを作成する必要がある場合は、上記の手順を繰り返し、異なる表示名とアプリのロールの値を設定します。

    2. ユーザーをエンタープライズ アプリケーションに割り当て、アプリのロールを指定します。

      1. 左側メニューで、[Microsoft Entra ID] > [管理] > [エンタープライズ アプリケーション] > [すべてのアプリケーション] を選択します。

      2. 名前 の一覧で、Alibaba Cloud Service (Role-based SSO) をクリックします。

      3. 左側メニューで、[管理] > [ユーザーとグループ] を選択します。

      4. 左上隅にある [ユーザー/グループの追加] をクリックします。

      5. [割り当ての追加] ページで、対象のユーザーを選択し、[選択] をクリックします。

      6. 選択したロールが Admin であることを確認してから、割り当て をクリックします。

        説明

        本番環境では、Microsoft Entra ID でユーザーをグループに追加し、そのグループをエンタープライズ アプリケーションに割り当てることを推奨します。

        複数のロールがある場合、ecs-admin グループを ecs-admin ロールに、oss-admin グループを oss-admin ロールに関連付けるなど、異なるユーザーグループを異なるロールに関連付けることができます。この方法により、よりきめ細かなアクセス制御と効率的なユーザー管理が可能になります。

    SSO ログオンの検証

    ロールベース SSO は IdP 起点の SSO のみをサポートします。設定を検証するには、Microsoft Entra ID からログオンを開始する必要があります。

    1. ユーザーのアクセス URL を取得します。

      1. 管理者として Azure portal にログオンします。

      2. 左側メニューで、[Microsoft Entra ID] > [管理] > [エンタープライズ アプリケーション] > [すべてのアプリケーション] を選択します。

      3. 名前 の一覧で、Alibaba Cloud Service (Role-based SSO) をクリックします。

      4. 左側メニューで、[管理] > [プロパティ] を選択し、ユーザーのアクセス URL を取得します。

    2. ユーザー (ssotest01@example.onmicrosoft.com) として、ブラウザで ユーザーのアクセス URL を開き、アカウントでログオンします。ログオンが成功すると、ユーザーはデフォルトで Alibaba Cloud コンソールにリダイレクトされます。定義した RAM ロール (aadrole) がアカウント名の前に表示されます。

      SSO によって自動的にログオンされ、リレー状態 に指定されたページにリダイレクトされます。リレー状態 が指定されていないか、その値が許可された範囲外である場合、システムは Alibaba Cloud コンソールのホームページにリダイレクトします。

    詳細設定：複数の Alibaba Cloud アカウントに対する SSO の設定

    2 つの Alibaba Cloud アカウント (Account1 と Account2) があるとします。従業員 (ssotest01@example.onmicrosoft.com) が Microsoft Entra ID にログオンし、ロールベース SSO を使用して Account1 と Account2 の両方にアクセスできるように SSO を設定します。

    1. Microsoft Entra ID ギャラリーから Alibaba Cloud Service (Role-based SSO) アプリケーションを追加します。

    2. Microsoft Entra ID SSO を設定します。

      詳細については、「手順2：Microsoft Entra ID での SAML の設定」をご参照ください。

    3. Alibaba Cloud で ID プロバイダーを作成します。

      2 つの Alibaba Cloud アカウント (Account1 と Account2) それぞれに、AAD という名前の IdP を作成する必要があります。

      各 Alibaba Cloud アカウントでの具体的な操作については、「手順3：Alibaba Cloud での ID プロバイダーの作成」をご参照ください。

    4. Alibaba Cloud で RAM ロールを作成します。

      2 つの Alibaba Cloud アカウントそれぞれに RAM ロールを作成する必要があります。この例では、Account1 に 2 つの RAM ロール、Account2 に 1 つの RAM ロールを作成するとします。詳細は次のとおりです。

      • Account1 の RAM ロール：adminaad と readaad。

      • Account2 の RAM ロール：financeaad。

      各 Alibaba Cloud アカウントでの具体的な操作については、「手順4：Alibaba Cloud での RAM ロールの作成」をご参照ください。

    5. Alibaba Cloud の RAM ロールを Microsoft Entra ID ユーザーに関連付けます。

      Microsoft Entra ID で 3 つのアプリのロールを作成し、それらをユーザー (ssotest01@example.onmicrosoft.com) に割り当てます。3 つのロールの値は次のとおりです。

      • acs:ram::<Account1_ID>:role/adminaad,acs:ram::<Account1_ID>:saml-provider/AAD

      • acs:ram::<Account1_ID>:role/readaad,acs:ram::<Account1_ID>:saml-provider/AAD

      • acs:ram::<Account2_ID>:role/financeaad,acs:ram::<Account2_ID>:saml-provider/AAD

      詳細については、「手順5：Microsoft Entra ID でのアプリのロールの作成とユーザーの割り当て」をご参照ください。

    6. Microsoft Entra ID ユーザーとしてロールベース SSO を使用して Alibaba Cloud にアクセスします。

      ユーザー (ssotest01@example.onmicrosoft.com) は Azure の マイアプリ ポータルにログオンし、Alibaba Cloud Service (Role-based SSO) アプリケーションをクリックします。Alibaba Cloud ページで、Alibaba Cloud アカウント (Account1 または Account2) と、ロールベース SSO を使用して Alibaba Cloud にアクセスするために引き受けるロールを選択するよう求められます。

    トラブルシューティング

    「シングルサインオン (SSO) に関する FAQ」をご参照ください。