Resource Access Management:SSO の概要

用語

説明

ID プロバイダー (IdP)

外部 IdP のメタデータを含む Resource Access Management (RAM) エンティティ。IdP は ID 管理サービスを提供できます。

• オンプレミス IdP: Microsoft Active Directory Federation Service (AD FS)、Shibboleth など。

• クラウド IdP: Application Identity Service (IDaaS)、Microsoft Entra ID、Google Workspace、Okta、OneLogin など。

サービスプロバイダー (SP)

IdP の ID 管理機能を使用してユーザーにサービスを提供するアプリケーション。SP は、IdP によって提供されるユーザー情報を使用します。OIDC など、SAML プロトコルに基づいていない一部の ID システムでは、SP は IdP の依拠当事者とも呼ばれます。

Security Assertion Markup Language 2.0 (SAML 2.0)

エンタープライズユーザーの ID 認証のための標準プロトコル。これは、SP と IdP 間の通信のための技術的な方法の 1 つです。SAML 2.0 は、エンタープライズレベルの SSO を実装するためのデファクトスタンダードです。

SAML アサーション

認証リクエストと応答を記述する SAML プロトコルのコア要素。たとえば、ユーザーの特定の属性は、認証応答のアサーションに含まれます。

信頼

SP と IdP の間に確立される相互信頼メカニズムであり、通常は公開鍵と秘密鍵を使用して実装されます。SP は、信頼できる方法で IdP の SAML メタデータを取得します。メタデータには、IdP によって発行された SAML アサーションの署名検証用の公開鍵が含まれています。その後、SP は公開鍵を使用してアサーションの整合性を検証します。

OIDC

OpenID Connect (OIDC) は、OAuth 2.0 上に構築された認証プロトコルです。OAuth は権限付与プロトコルです。OIDC は、OAuth プロトコルの上に ID レイヤーを構築します。OAuth によって提供される権限付機能に加えて、OIDC を使用すると、クライアントはエンドユーザーの ID を検証し、HTTP RESTful フォーマットの OIDC API を介して基本情報を取得できます。

OIDC トークン

OIDC は、ログインしているユーザーを表すために、OIDC トークンである ID トークンをアプリケーションに発行できます。OIDC トークンは、ログインしているユーザーの基本情報を取得するために使用されます。

クライアント ID

アプリケーションを外部 IdP に登録すると、クライアント ID が生成されます。外部 IdP から OIDC トークンをリクエストするときは、このクライアント ID を使用する必要があります。発行された OIDC トークンは、aud フィールドにこのクライアント ID を含みます。OIDC IdP を作成するときに、このクライアント ID を設定します。次に、OIDC トークンを使用して Security Token Service (STS) トークンと交換するときに、Alibaba Cloud は OIDC トークンの aud フィールドのクライアント ID が OIDC IdP で設定されたクライアント ID と一致するかどうかを検証します。一致する場合にのみ、ロールを偽装できます。

検証フィンガープリント

発行者 URL が悪意を持ってハイジャックされたり改ざんされたりするのを防ぐために、外部 IdP の HTTPS CA 証明書から生成された検証フィンガープリントを設定する必要があります。Alibaba Cloud は、この検証フィンガープリントの自動計算を支援します。ただし、ローカルで 1 回計算し (たとえば、「OIDC IdP のフィンガープリントを取得するために OpenSSL を使用する」をご参照ください)、Alibaba Cloud によって計算されたフィンガープリントと比較することをお勧めします。それらが異なる場合、発行者 URL が攻撃されている可能性があります。再度確認し、正しいフィンガープリントを入力してください。

発行者 URL

発行者 URL は外部 IdP によって提供され、OIDC トークンの iss フィールドの値に対応します。発行者 URL は https で始まり、標準の URL フォーマットに準拠している必要があります。クエリパラメーター (? で示される)、フラグメント (# で示される)、またはログイン情報 (@ で示される) を含めることはできません。

一時的な認証情報

セキュリティトークンサービス (STS) は、一時的なアクセス権限管理のための Alibaba Cloud サービスです。STS を使用して、カスタムの有効期間とアクセス権限を持つ一時的な認証情報 (STS トークン) を取得できます。

SSO メソッド

SP 主導の SSO

IdP 主導の SSO

RAM ユーザーアカウントとパスワードを使用したログイン

単一の設定で IdP を複数の Alibaba Cloud アカウントに関連付ける

複数の IdP

ユーザーベース SSO

サポートされています

サポートされています

サポートされていません

サポートされていません

サポートされていません

ロールベース SSO

サポートされていません

サポートされています

サポートされています

サポート

サポートされています