Resource Access Management:Google Workspace を使用したユーザーベース SSO

手順 1：Alibaba Cloud から SAML プロバイダーのメタデータを取得

1. Resource Access Management (RAM) 管理者として RAM コンソール にログインします。

2. 左側のナビゲーションペインで、Integrations > SSO を選択します。

3. ユーザーベースの SSO ログイン方式 タブをクリックします。 SAML サービスプロバイダーメタデータ URL セクションで、Alibaba Cloud アカウントのメタデータ URL をコピーします。

4. コピーしたリンクを新しいブラウザーウィンドウで開き、メタデータ XML ファイルをローカルに保存します。

   説明

   メタデータ XML には、Alibaba Cloud SAML サービスプロバイダーの情報が含まれています。 EntityDescriptor 要素の entityID 属性の値と、AssertionConsumerService 要素の Location 属性の値を記録してください。これらの値は、Google Workspace の設定に必要です。

手順 2：Google Workspace で SAML SSO アプリを作成

1. 特権管理者として Google 管理コンソール にログインします。

2. 左側のナビゲーションペインで、[アプリ] > [ウェブアプリとモバイルアプリ] を選択します。

3. [アプリを追加] をクリックし、次に [カスタム SAML アプリを追加] をクリックします。

4. [カスタム SAML アプリを追加] ページで、SAML SSO をサポートするアプリケーションを作成します。

   1. [アプリの詳細] ページで、アプリ名 (例: AlibabaCloudUserSSO) を入力し、[続行] をクリックします。

   2. [Google ID プロバイダーの詳細] ページで、[メタデータをダウンロード] をクリックしてメタデータをダウンロードし、[続行] をクリックします。

   3. [サービスプロバイダーの詳細] ページで、[ACS URL] と [エンティティ ID] を入力し、[続行] をクリックします。

      • [ACS URL]：「手順 1：Alibaba Cloud から SAML サービスプロバイダーのメタデータを取得」で記録した Location の値。

      • [エンティティ ID]：「手順 1：Alibaba Cloud から SAML サービスプロバイダーのメタデータを取得」で記録した entityID の値。

      • [開始 URL]：SSO が成功した後にユーザーがリダイレクトされる Alibaba Cloud のページ。

        説明

        [開始 URL] には、Alibaba が所有するドメイン (*.aliyun.com、*.hichina.com、*.yunos.com、*.taobao.com、*.tmall.com、*.alibabacloud.com、および *.alipay.com) の URL のみが許可されます。このフィールドを空のままにした場合、または無効な URL を入力した場合、ユーザーは Alibaba Cloud コンソールのホームページにリダイレクトされます。

   4. [属性マッピング] ページで、[完了] をクリックします。

5. 作成したアプリの詳細ページで、[ユーザーアクセス] をクリックします。

6. [任意]： [組織部門] セクションで、SSO を有効にする組織部門を選択します。デフォルトでは、アプリは組織全体に適用されます。

7. [サービスのステータス] セクションで、[オン (すべてのユーザー)] を選択します。

   説明

   手順 6 で組織部門を指定した場合は、[オン] を選択します。

8. [保存] をクリックします。

手順 3：Alibaba Cloud でユーザーベース SSO を有効化

1. RAM コンソールの左側のナビゲーションペインで、Integrations > SSO を選択します。

2. ユーザーベースの SSO ログイン方式 タブをクリックします。 SSO 機能ステータス セクションで、有効 をクリックします。

   説明

   ユーザーベース SSO はグローバル機能です。有効にすると、すべての RAM ユーザーは SSO を使用してログインする必要があります。 RAM ユーザーとしてログインしている場合は、設定ミスによるロックアウトを避けるため、必要な RAM ユーザーを作成するまで SSO は無効のままにしてください。または、Alibaba Cloud アカウントでログインして設定を行ってください。

3. メタデータファイル セクションで、メタデータドキュメントをアップロード をクリックし、「手順 2：Google Workspace で SAML SSO アプリを作成」で Google Workspace からダウンロードした IdP メタデータをアップロードします。

4. 補助ドメイン名 セクションで、エディット をクリックします。次に、補助ドメイン名を有効にし、Google Workspace のユーザー名のメールサフィックスに設定します。

   説明

   Google Workspace 組織に複数のメールサフィックスを持つユーザーがいる場合、指定したサフィックスで終わるメールアドレスを持つユーザーのみが Alibaba Cloud にログインできます。

手順 4：Google Workspace でユーザーを作成

1. 左側のナビゲーションペインで、[ディレクトリ] > [ユーザー] を選択します。

2. [新しいユーザーを追加] をクリックします。

3. [ユーザー情報] ページで、[名]、[姓]、[メインのメールアドレス] (例: u2@example.com) を入力し、[組織部門] を選択してから、[新しいユーザーを追加] をクリックします。

   説明

   「手順 2：Google Workspace で SAML SSO アプリを作成」でアプリに組織部門を指定した場合は、同じ [組織部門] を選択します。

手順 5：Alibaba Cloud で RAM ユーザーを作成

1. RAM コンソールの左側のナビゲーションペインで、アイデンティティ > ユーザー を選択します。

2. ユーザー ページで、ユーザーの作成 をクリックします。

3. ユーザーの作成 ページで、ログイン名 と 表示名 を入力します。

   説明

   RAM ユーザーのログオン名のプレフィックスが Google Workspace のユーザー名のプレフィックスと一致していることを確認してください。この例では、プレフィックスは u2 です。

4. アクセスモード セクションで、コンソールへのアクセス を選択し、ログオンパスワードなどの他のパラメーターを設定します。

5. OK をクリックします。

結果の確認

設定後、Alibaba Cloud または Google Workspace のいずれかから SSO を開始できます。