O CloudSSO oferece gerenciamento unificado de identidade e controle de acesso para várias contas em um Resource Directory (RD) da Alibaba Cloud. Com o CloudSSO, você gerencia centralmente os usuários corporativos que acessam a Alibaba Cloud, configure o logon único (SSO) entre seu provedor de identidade corporativo e a Alibaba Cloud e administra centralmente as permissões de acesso a todas as contas no seu RD.
Recursos
-
Gerenciamento centralizado de usuários que acessam a Alibaba Cloud
O CloudSSO disponibiliza um diretório nativo para administrar todos os usuários que precisam acessar a Alibaba Cloud. Gerencie manualmente usuários e grupos de usuários ou utilize o protocolo System for Cross-domain Identity Management (SCIM) para sincronizar usuários e grupos do seu provedor de identidade corporativo diretamente para o diretório do CloudSSO.
-
Configuração de logon único unificado com seu provedor de identidade corporativo
Usuários no diretório do CloudSSO podem acessar a Alibaba Cloud usando nomes de usuário, senhas e MFA. No entanto, a abordagem recomendada é usar SSO com seu provedor de identidade corporativo, pois isso otimiza a experiência do usuário e reduz riscos de segurança. O CloudSSO suporta SSO de nível empresarial baseado no protocolo SAML 2.0. Para configurar o SSO, basta realizar uma configuração única no CloudSSO e no seu provedor de identidade corporativo.
-
Permissões de acesso uniformes para contas em um Resource Directory
Devido à profunda integração com o Resource Directory (RD), o CloudSSO permite configurar centralmente as permissões de acesso de usuários e grupos às contas membro no seu RD. Um administrador do CloudSSO selecione as contas membro com base na estrutura organizacional do RD e atribui usuários ou grupos, além de permissões específicas, a essas contas. Essas permissões podem ser modificadas ou excluídas a qualquer momento.
-
Portal do usuário unificado
O service oferece um portal unificado para usuários do CloudSSO. Após fazerem logon nesse portal, os usuários visualize uma lista de todas as contas no RD às quais têm acesso. Em seguida, eles podem entrar diretamente no Alibaba Cloud Management Console e alternar facilmente entre múltiplas contas.
-
Integração com CLI
O CloudSSO integra-se à interface de linha de comando (CLI) da Alibaba Cloud. Além de usar um navegador para acessar o portal do usuário, também é possível fazer logon no CloudSSO por meio da Alibaba Cloud CLI. Após o logon, selecione a conta e o conjunto de permissões desejados no RD e utilize a linha de comando para acessar os recursos da Alibaba Cloud.
-
Gratuito
O CloudSSO é um service gratuito. Ative-o e utilize-o sem nenhum custo.
Arquitetura do service
Os usuários do CloudSSO podem acessar recursos cloud em uma conta do RD como uma função RAM ou um usuário RAM.
A tabela a seguir descreve os cenários para os dois métodos de acesso.
Método de acesso | Descrição | Cenários | Referências |
Logon como função RAM | Usuários gerenciados centralmente no CloudSSO usam SSO para assumir uma função RAM em uma conta membro do RD. Isso ocorre por meio de configurações de acesso e autorização multiconta. Ao assumir a função, o usuário obtém acesso aos recursos cloud naquela conta. | Indicado para services da Alibaba Cloud compatíveis com funções RAM. |
|
Logon como usuário RAM | Usuários gerenciados centralmente no CloudSSO são sincronizados para uma conta membro no RD como usuários RAM. Posteriormente, esses usuários fazem logon como usuários RAM para acessar os recursos cloud na conta. | Recomendado para services da Alibaba Cloud que não suportam funções RAM. |
Um usuário do CloudSSO pode receber permissões em uma conta do RD por meio de uma configuração de acesso e também ter a sincronização de usuário RAM configurada. Nesse caso, o usuário consegue acessar os recursos cloud na conta tanto como função RAM quanto como usuário RAM.
Relação entre CloudSSO e Resource Access Management (RAM)
O Resource Access Management (RAM) fornece gerenciamento de identidade e permissões dentro de uma única conta da Alibaba Cloud. Seus recursos incluem gerenciamento de identidade (usuários, grupos e funções), gestão de permissões e configuração de SSO. Contudo, essas funcionalidades aplicam-se apenas a uma conta individual. Se sua empresa possui várias contas, é necessário usar o RAM em cada uma delas para gerenciar identidades, configurar SSO e defina permissões, o que torna a administração fragmentada e complexa.
O CloudSSO resolve esse problema ao oferecer gerenciamento unificado de identidade e permissões para múltiplas contas dentro de um RD. Ele permite realizar uma configuração única para administrar identidades, SSO e permissões em diversas contas da Alibaba Cloud simultaneamente. Para isso, o CloudSSO utiliza um diretório próprio, independente do RAM. Entretanto, seu recurso de gerenciamento de permissões reutiliza a sintaxe de políticas do sistema e políticas personalizadas do RAM. Para mais informações, consulte Visão geral das configurações de acesso. Além disso, quando um usuário do CloudSSO acessa uma conta no RD, ele assume uma função RAM nessa conta por meio de um processo de SSO. Para mais detalhes, veja Visão geral da autorização multiconta.
Após começar a usar o CloudSSO para o gerenciamento unificado de identidade e permissões das contas no seu RD, não será mais necessário usar o RAM para gerenciar cada conta individualmente. Ainda assim, em alguns casos, você pode continuar utilizando o RAM dentro de uma conta específica. Por exemplo, mantenha o uso do RAM se já possuir usuários ou funções RAM existentes, ou se precisar usar um par de AccessKey para acessar programaticamente os recursos da Alibaba Cloud. A adoção do CloudSSO não limita os recursos originais do RAM; ambos os services podem ser utilizados simultaneamente.