Resource Access Management:SSO の概要

用語

説明

ID プロバイダー（IdP）

ID 管理サービスを提供する RAM エンティティ。IdP は次のタイプに分類されます。

• Microsoft Active Directory Federation Service（AD FS）や Shibboleth など、オンプレミスアーキテクチャを使用する IdP

• クラウドベースのアーキテクチャを使用する IdP。Azure AD、Google Workspace、Okta、OneLogin など

サービスプロバイダー（SP）

IdP の ID 管理機能を使用して、ユーザーに特定のサービスを提供するアプリケーション。SP は、IdP によって提供されるユーザー情報を使用します。SAML プロトコルに基づいていない特定の ID システム（OIDC など）では、SP は IdP の依拠当事者として知られています。

Security Assertion Markup Language 2.0（SAML 2.0）

企業レベルのユーザー ID 認証用に設計されたプロトコル。SAML 2.0 は、SP と IdP 間の通信に使用されます。SAML 2.0 は、企業が企業レベルの SSO を実装するために使用する標準です。

SAML アサーション

SAML プロトコルで定義されているコア要素。この要素は、認証リクエストとレスポンスを記述します。たとえば、認証レスポンスの SAML アサーションには、ユーザー属性を含めることができます。

信頼

SP と IdP 間の相互信頼関係。ほとんどの場合、信頼関係は公開鍵と秘密鍵を使用して確立されます。SP は、信頼できる IdP の SAML メタデータを取得できます。メタデータには公開鍵が含まれています。SP は公開鍵を使用して、IdP によって発行された SAML アサーションの整合性を検証します。

OIDC

Open Authorization（OAuth）2.0 に基づいて開発された認証プロトコル。詳細については、「OIDC」および「OAuth 2.0」をご参照ください。OAuth は認証プロトコルです。OIDC は、OAuth を拡張するために ID レイヤーを追加します。このようにして、OIDC は OAuth を認証に使用できます。また、OIDC を使用すると、クライアントはユーザーの ID を検証し、HTTP RESTful API を使用してユーザーに関する基本情報を取得できます。

OIDC トークン

OIDC によってアプリケーションに発行される ID トークン。OIDC トークンは、ログインユーザーを示す ID トークンです。OIDC トークンを使用して、ログインユーザーに関する基本情報を取得できます。

クライアント ID

外部 IdP にアプリケーションを登録するときに、アプリケーションに対して生成される ID。外部 IdP から OIDC トークンを申請する場合は、クライアント ID を使用する必要があります。クライアント ID は、発行された OIDC トークンの aud フィールドに指定されています。OIDC IdP を作成する場合は、クライアント ID を設定する必要があります。OIDC トークンを使用して STS トークンを取得する場合、Alibaba Cloud は、aud フィールドに指定されたクライアント ID が、OIDC IdP で設定したクライアント ID と同じかどうかを確認します。クライアント ID が同じ場合にのみ、RAM ロールをアサインできます。

フィンガープリント

外部 IdP の HTTPS 証明書に基づいて生成されるフィンガープリント。フィンガープリントを使用して、発行者の URL がハイジャックされたり改ざんされたりするのを防ぐことができます。Alibaba Cloud はフィンガープリントを計算します。コンピューターでフィンガープリントを計算することをお勧めします。たとえば、OpenSSL を使用して OIDC IdP のフィンガープリントを取得できます。詳細については、「OpenSSL を使用して OIDC IdP のフィンガープリントを取得する」をご参照ください。次に、計算結果を Alibaba Cloud が提供する計算結果と比較できます。OpenSSL の詳細については、OpenSSL の公式 Web サイトをご覧ください。計算結果が異なる場合は、発行者の URL が攻撃されている可能性があります。有効なフィンガープリントを入力してください。

発行者の URL

外部 IdP によって提供される発行者の URL。URL は、OIDC トークンの iss フィールドで示されます。発行者の URL は https で始まり、有効な URL 形式である必要があります。URL には、疑問符（?）が続くクエリパラメータ、またはアットマーク（@）で識別されるログイン情報を含めることはできません。URL は、番号記号（#）を含むフラグメント URL にすることはできません。

STS トークン

Alibaba Cloud セキュリティトークンサービス（STS）によって提供される一時的な ID 認証情報。STS を使用すると、Alibaba Cloud リソースの一時的な認証情報を管理できます。STS トークンの有効期間を設定し、アクセス許可を指定できます。STS の詳細については、「STS とは」をご参照ください。

SSO メソッド

SP 起点 SSO

IdP 起点 SSO

RAM ユーザーのログイン名とパスワードを使用したログイン

単一の IdP との複数の Alibaba Cloud アカウントの関連付け

複数の IdP

ユーザーベース SSO

サポート

サポート

非サポート

非サポート

非サポート

ロールベース SSO

非サポート

サポート

サポート

サポート

サポート