Data Management:Fazer logon no DMS com contas de domínio

Conceito

Descrição

Provedor de identidade (IdP)

Entidade do RAM que contém metadados sobre um provedor de identidade externo. Um IdP fornece serviços de gerenciamento de identidade.

• IdP local empresarial: Microsoft Active Directory Federation Service (AD FS), Shibboleth, entre outros.

• IdP em cloud: IDaaS, Microsoft Entra ID, Google Workspace, Okta, OneLogin, entre outros.

Provedor de serviço (SP)

Aplicação que utiliza as capacidades de gerenciamento de identidade de um IdP para oferecer serviços aos usuários. O SP consome as informações de usuário fornecidas pelo IdP. Alguns sistemas de identidade baseados em protocolos não SAML, como OpenID Connect, também chamam o provedor de serviço de parte confiável do IdP.

Security Assertion Markup Language (SAML 2.0)

Protocolo padrão para autenticação de usuários em nível empresarial. O SAML 2.0 é uma das implementações técnicas para comunicação entre SPs e IdPs e se tornou o padrão de fato para SSO corporativo.

Asserção SAML

Elementos centrais que descrevem solicitações e respostas de autenticação no protocolo SAML. Por exemplo, atributos específicos do usuário são incluídos na asserção de uma resposta de autenticação.

Confiança

Mecanismo de confiança mútua estabelecido entre um SP e um IdP, geralmente implementado com chaves públicas e privadas. O SP obtém os metadados SAML do IdP por um método confiável. Esses metadados contêm a chave pública que o IdP usa para assinar asserções SAML. O SP utiliza essa chave pública para verificar a integridade das asserções.

OIDC

O OpenID Connect (OIDC) foi criado sobre o OAuth 2.0. O OAuth é um protocolo de autorização, e o OIDC adiciona uma camada de identidade sobre ele. Além dos recursos de autorização do OAuth, o OIDC permite que clientes autentiquem usuários finais e obtenham informações básicas desses usuários por meio de APIs do protocolo OIDC (HTTP RESTful).

Token OIDC

O OIDC emite tokens de identidade em nome de usuários conectados, conhecidos como tokens OIDC. Esses tokens servem para recuperar informações básicas sobre os usuários autenticados.

Client ID

Ao registrar sua aplicação em um IdP externo, um client ID é gerado. Use esse client ID ao solicitar um token OIDC do IdP externo. O token OIDC emitido também carrega esse client ID no campo aud. Configure esse client ID ao criar o provedor de identidade OIDC. Ao trocar um token OIDC por um token STS, a Alibaba Cloud verifica se o client ID no campo aud do token OIDC corresponde ao client ID configurado no provedor de identidade OIDC. A assunção da função só é permitida quando há correspondência.

Impressão digital de verificação

Para evitar que a URL do emissor seja sequestrada ou adulterada, configure uma impressão digital de verificação gerada a partir do certificado HTTPS CA do IdP externo. A Alibaba Cloud calcula essa impressão digital automaticamente, mas recomendamos que você a calcule localmente (por exemplo, Obtain an OIDC IdP thumbprint with OpenSSL). Compare o resultado com a impressão digital calculada pela Alibaba Cloud. Se não houver correspondência, a URL do emissor pode ter sido comprometida. Confirme e insira a impressão digital correta.

URL do emissor

O IdP externo fornece a URL do emissor, que corresponde ao valor do campo iss no token OIDC. A URL do emissor deve começar com https e seguir o formato padrão de URL. Parâmetros de consulta (identificados por ?), fragmentos (identificados por #) e informações de login (identificadas por @) não são permitidos.

Credencial de identidade temporária

O Security Token Service (STS) é um service de gerenciamento de credenciais de acesso temporário fornecido pela Alibaba Cloud. Com o STS, você obtém credenciais de identidade temporárias (tokens STS) com períodos de validade e permissões de acesso personalizáveis.