Resource Access Management:ユーザーベースSSOの概要

プロセス

管理者がユーザーベースSSOを設定すると、従業員アリスはAlibaba Cloud管理コンソールにログインできます。 下図にプロセスを示します。

1. Aliceはブラウザを使用してAlibaba Cloud管理コンソールにログインします。 その後、Alibaba Cloud管理コンソールは、SAML (Security Assertion Markup Language) 認証リクエストをブラウザに返します。

2. ブラウザは、SAML認証要求をIdPに転送します。

3. Aliceは、IdPポータルにログオンするように求められます。 AliceがIdPポータルにログオンした後、IdPはSAML応答をブラウザに返します。

4. ブラウザは、SAML応答をSSOサービスに転送します。

5. SSOサービスは、SAML相互信頼設定に基づいてSAMLレスポンス内のデジタル署名を検証し、SAMLアサーションの信頼性をチェックします。 次に、SSOサービスは、SAMLアサーションのNameID要素の値をRAMユーザーにマップします。

6. SSOサービスは、Alibaba Cloud管理コンソールのURLをブラウザに返します。

7. ブラウザはAliceをAlibaba Cloud管理コンソールにリダイレクトします。

   説明

   ステップ1では、AliceはAlibaba Cloudからログインを開始する必要はありません。Aliceはブラウザーを使用してAlibaba Cloud管理コンソールにログインします。 その後、Alibaba Cloud管理コンソールは、SAML (Security Assertion Markup Language) 認証リクエストをブラウザに返します。 代わりに、AliceはIdPポータルでAlibaba CloudログインURLをクリックして、SAML認証リクエストをIdPに送信できます。

ユーザーベースSSOの設定

ユーザーベースSSOを実装する前に、Alibaba CloudとIdPの間に信頼を確立する必要があります。

1. Alibaba Cloud管理コンソールでIdPを設定し、IdPがAlibaba Cloudから信頼されるようにします。

   詳細については、「ロールベースSSO用Alibaba CloudのSAML設定の設定」をご参照ください。

2. Alibaba Cloudを信頼できるSAML SPとして設定し、IdPでSAMLアサーションを設定して、Alibaba CloudがIdPによって信頼されるようにします。

   詳細については、「ユーザーベースSSO向けエンタープライズIdPのSAML設定の設定」をご参照ください。

3. IdPとAlibaba Cloud SAMLの設定が完了したら、SDK、CLI、またはRAMコンソールを使用して、IdPのユーザーに対応するRAMユーザーを作成する必要があります。

   詳細については、「RAM ユーザーの作成」をご参照ください。

関連ドキュメント

次の例では、IdPを使用してエンタープライズサービスとAlibaba Cloud間でユーザーベースSSOを実装する方法について説明します。

• AD FS を使用したユーザーベース SSO の実装

• Oktaを使用したユーザーベースSSOの実装

• Azure ADを使用したユーザーベースSSOの実装

• Google Workspaceを使用したユーザーベースSSOの実装

• Shibbolethを使用したユーザーベースSSOの実装