Resource Access Management:Microsoft Entra ID を使用したユーザーベース SSO の構成

前提条件

• RAM コンソールで操作を行うための AliyunRAMFullAccess 権限を持つ RAM 管理者がいること。RAM ユーザーの作成と権限付与の方法については、「RAM ユーザーの作成」および「RAM ユーザー権限の管理」をご参照ください。

• Microsoft Entra ID で操作を行うための全体管理者ロールを持つ Microsoft Entra ID 管理者がいること。Microsoft Entra ID でのユーザー作成と権限付与の方法については、Microsoft Entra ID ドキュメントをご参照ください。

ステップ 1：Alibaba Cloud から SAML メタデータを取得

1. RAM 管理者として RAM コンソールにログインします。

2. 左側のナビゲーションウィンドウで、Integrations > SSO を選択します。

3. SSO ページで、ユーザーベースの SSO ログイン方式 タブをクリックします。

4. SAML サービスプロバイダーメタデータ URL セクションで、URL をコピーします。

5. コピーした URL を新しいブラウザウィンドウで開き、メタデータ XML ファイルをローカルに保存します。

   説明

   メタデータ XML ファイルには、SAML サービスプロバイダーとしての Alibaba Cloud に関する情報が含まれています。このファイルから entityID と Location の値を記録しておきます。これらの値は、Microsoft Entra ID での構成に必要です。

ステップ 2：Microsoft Entra ID でアプリケーションを作成

1. Microsoft Entra ID 管理者として Azure portal にサインインします。

2. ホームページの左上隅にある アイコンをクリックします。

3. 左側のナビゲーションウィンドウで、[Microsoft Entra ID] > [管理] > [エンタープライズ アプリケーション] > [すべてのアプリケーション] を選択します。

4. [新しいアプリケーション] をクリックします。

5. [Microsoft Entra ギャラリーの参照] ページで、[独自のアプリケーションの作成] をクリックします。

6. [独自のアプリケーションの作成] ペインで、アプリケーション名 (例：`AliyunSSODemo`) を入力し、[ギャラリーに見つからないその他のアプリケーションを統合します (ギャラリー以外)] を選択してから、[作成] をクリックします。

ステップ 3：Microsoft Entra ID で SAML を構成

1. AliyunSSODemo ページで、左側のナビゲーションウィンドウの [管理] > [シングル サインオン] に移動します。

2. [シングル サインオン方式の選択] ページで、[SAML] をクリックします。

3. [SAML でシングル サインオンをセットアップ] ページで、次の手順を実行します。

   1. 左上隅にある [メタデータ ファイルのアップロード] をクリックし、ファイルを選択して 追加 をクリックします。

      説明

      ステップ 1：Alibaba Cloud から SAML メタデータを取得 でダウンロードした XML ファイルをアップロードします。

   2. [基本的な SAML 構成] セクションで、次の設定を構成し、保存 をクリックします。

      • [識別子 (エンティティ ID)]：entityID の値はメタデータファイルから自動的に読み取られます。

      • [応答 URL (Assertion Consumer Service URL)]：Location の値はメタデータファイルから自動的に読み取られます。

      • [リレー状態]：SSO サインインが成功した後にユーザーがリダイレクトされる Alibaba Cloud ページ。

        説明

        セキュリティ上の理由から、[リレー状態] は *.aliyun.com、*.hichina.com、*.yunos.com、*.taobao.com、*.tmall.com、*.alibabacloud.com、*.alipay.com などの Alibaba が所有するドメイン配下の URL にのみ設定できます。それ以外の場合、構成は無効になります。このフィールドを空のままにすると、ユーザーはデフォルトで Alibaba Cloud コンソールのホームページにリダイレクトされます。

   3. [SAML 証明書] セクションで、[フェデレーション メタデータ XML] を見つけ、ダウンロード をクリックします。

ステップ 4：Microsoft Entra ID でユーザーを割り当て

1. AliyunSSODemo ページで、左側のナビゲーションウィンドウの [管理] > [ユーザーとグループ] に移動します。

2. 左上隅にある [ユーザー/グループの追加] をクリックします。

3. [割り当ての追加] ページで、対象のユーザー (この例ではユーザー u2) を選択し、割り当て をクリックします。

ステップ 5：RAM ユーザーを作成

1. RAM コンソールの左側のナビゲーションウィンドウで、アイデンティティ > ユーザー を選択します。

2. ユーザー ページで、ユーザーの作成 をクリックします。

3. ユーザーの作成 ページの ユーザーアカウント情報 セクションで、ログイン名 と 表示名 を入力します。

   RAM ユーザーのログイン名のプレフィックスが、Microsoft Entra ID のユーザー名のプレフィックスと同じであることを確認してください。この例では、プレフィックスは u2 です。

4. アクセスモード セクションで、アクセスモードを選択します。

5. OK をクリックします。

ステップ 6：Alibaba Cloud でユーザー SSO を有効化

1. RAM コンソールの左側のナビゲーションウィンドウで、Integrations > SSO を選択します。

2. SSO ページで、ユーザーベースの SSO ログイン方式 タブをクリックします。

3. SSO ステータス セクションで、有効 をクリックします。

   説明

   ユーザーベース SSO はグローバル設定です。有効にすると、すべての RAM ユーザーは SSO を使用してコンソールにログインする必要があります。現在 RAM ユーザーとしてログインしている場合は、アカウントからロックアウトされるのを避けるため、SSO を完全に構成してテストするまでこの設定を有効にしないでください。ベストプラクティスとして、この構成は Alibaba Cloud アカウントにサインインした状態で実行してください。

4. メタデータファイル セクションで、メタデータドキュメントをアップロード をクリックし、ステップ 3：Microsoft Entra ID で SAML を構成 で取得した XML ファイルをアップロードします。

5. 補助ドメイン名 セクションで、エディット をクリックします。補助ドメイン名を有効にし、Microsoft Entra ID のユーザー名のメールサフィックスで構成します。

   たとえば、Microsoft Entra ID ユーザー (u2) の完全なユーザー名が u2@example.onmicrosoft.com の場合、example.onmicrosoft.com と入力します。

結果の検証

SSO 構成が完了したら、Alibaba Cloud (SP によって開始) または Microsoft Entra ID (IdP によって開始) のいずれかから SSO サインインを開始できます。