Resource Access Management:Configure role-based SSO with OneLogin

Contexto

Uma empresa possui uma conta da Alibaba Cloud, um administrador do OneLogin e vários usuários no OneLogin. O objetivo é permitir que esses usuários façam login na Alibaba Cloud por meio do SSO baseado em função, utilizando suas credenciais existentes no OneLogin, sem criar contas individuais na Alibaba Cloud.

Para mais informações sobre o OneLogin, consulte a documentação do OneLogin.

Etapa 1: Criar um aplicativo no OneLogin

1. Faça login no OneLogin como administrador.

2. Ao lado da foto do perfil da sua conta, clique em Administration.

3. Na barra de navegação superior, escolha Applications > Applications.

4. Na página Applications, clique em Add App.

5. Na página Find Applications, pesquise por SAML Test Connector (Advanced).

6. Na página Add SAML Test Connector (Advanced), configure as informações básicas do aplicativo e clique em Save.

   Neste exemplo, o Display Name é definido como LoginToAliyun e os demais parâmetros mantêm os valores padrão.

7. Na página Info, passe o mouse sobre More Actions e clique em SAML Metadata para baixe o arquivo de metadados do IdP.

Etapa 2: Criar um IdP na Alibaba Cloud

1. Faça login no console do RAM como administrador do RAM.

2. No painel de navegação à esquerda, escolha Integrations > SSO.

3. Na aba Role-based SSO, clique na aba SAML e, em seguida, clique em Create IdP.

4. Na página Create IdP, insira um IdP Name (por exemplo, OneLogin) e uma Note.

5. Na seção Metadata File, clique em Upload Metadata File e faça upload do arquivo de metadados do IdP obtido na Etapa 1: Criar um aplicativo no OneLogin.

6. Clique em Create IdP.

Anote o ARN do IdP para uso posterior.

Etapa 3: Criar uma função do RAM na Alibaba Cloud

1. No painel de navegação à esquerda do console do RAM, escolha Identities > Roles.

2. Na página Roles, clique em Create Role.

3. No canto superior direito da página Create Role, clique em Switch to Policy Editor.

4. Especifique o provedor de identidade SAML no editor de políticas.

   O editor oferece um modo visual e um modo script. Este exemplo utiliza o editor visual. Em Principal, selecione o IdP criado na Etapa 2: Criar um IdP na Alibaba Cloud. Em IdP Type, selecione SAML.

5. No editor, adicione uma condição com a chave saml:recipient e defina seu valor como https://signin.alibabacloud.com/saml-role/sso.

6. Na caixa de diálogo Create Role, insira um Role Name, como Reader-OneLogin, e clique em OK.

Anote o ARN da função do RAM para uso posterior.

Etapa 4: Configurar o aplicativo no OneLogin

1. Faça login no OneLogin como administrador.

2. Crie um campo de usuário personalizado.

   1. Na barra de navegação superior, escolha Users > Users.

   2. Na página Users, passe o mouse sobre More Actions e clique em Custom User Fields.

   3. Na página Custom User Fields, clique em New User Field.

   4. Na caixa de diálogo New User Field, defina Name e Shortname e clique em Save.

      Neste exemplo, Name é definido como AliyunRoles for SSO e Shortname como AliyunRoles.

3. Configure o aplicativo.

   1. Na barra de navegação superior, escolha Applications > Applications.

   2. Na página Applications, clique no aplicativo (LoginToAliyun) criado na Etapa 1: Criar um aplicativo no OneLogin.

   3. No painel de navegação à esquerda, clique em Configuration.

   4. Na página Configuration, defina os seguintes parâmetros e clique em Save.

      • RelayState: URL da página da Alibaba Cloud para onde os usuários serão redirecionados após o login.

        Nota

        Por motivos de segurança, a URL do RelayState deve pertencer a um domínio da Alibaba, como .aliyun.com, .hichina.com, .yunos.com, .taobao.com, .tmall.com, .alibabacloud.com ou *.alipay.com. Domínios fora da Alibaba são inválidos. Se deixado em branco, os usuários serão redirecionados para a página inicial do console da Alibaba Cloud.

      • Audience (EntityID): urn:alibaba:cloudcomputing:international.

      • Recipient: https://signin.alibabacloud.com/saml-role/sso.

      • ACS (Consumer) URL: https://signin.alibabacloud.com/saml-role/sso.

   5. No painel de navegação à esquerda, clique em Parameters.

   6. Na página Parameters, clique no ícone de mais () para adicionar o primeiro atributo personalizado.

      1. Na caixa de diálogo New Field, defina Field name como https://www.aliyun.com/SAML-Role/Attributes/Role, marque as caixas de seleção Include in SAML assertion e Multi-value parameter e clique em Save.

      2. Na caixa de diálogo Edit Field https://www.aliyun.com/SAML-Role/Attributes/Role, vá até a seção Default if no value selected. Selecione Aliyun Roles for SSO (Custom) na primeira lista suspensa e Semicolon Delimited input (Multi-value output) na segunda lista suspensa. Em seguida, clique em Save.

   7. Na página Parameters, clique no ícone de mais () para adicionar o segundo atributo personalizado.

      1. Na caixa de diálogo New Field, defina Field name como https://www.aliyun.com/SAML-Role/Attributes/RoleSessionName, marque a caixa de seleção Include in SAML assertion e clique em Save.

      2. Na caixa de diálogo Edit Field https://www.aliyun.com/SAML-Role/Attributes/RoleSessionName, selecione Email na lista suspensa Value e clique em Save.

         Nota

         Também é possível definir Value como outro atributo, como Username ou userPrincipalName.

   8. No canto superior direito da página Parameters, clique em Save.

Etapa 5: Criar um usuário e atribuir o aplicativo no OneLogin

1. Faça login no OneLogin como administrador.

2. Na barra de navegação superior, escolha Users > Users.

3. Crie um usuário no OneLogin.

   Nota

   Se você já possui um usuário no OneLogin, pule esta etapa.

   1. Na página Users, clique em New User.

   2. Na página New User, defina First name (por exemplo, Jack), Last name (por exemplo, Lee), Username (por exemplo, jacklee) e Email (por exemplo, jacklee@example.com) e clique em Save User.

   3. Na página User Info, passe o mouse sobre More Actions, clique em Change Password, defina uma senha para o usuário e clique em Update.

      O usuário precisará dessa senha para fazer login no OneLogin.

4. Na página User Info, na seção Custom Fields, configure o valor do atributo Aliyun Roles for SSO.

   O valor de Aliyun Roles for SSO consiste no ARN da função do RAM e no ARN do IdP, separados por vírgula (,), no formato: acs:ram::<account_id>:role/RoleName,acs:ram::<account_id>:saml-provider/ProviderName. Obtenha o ARN da função do RAM na Etapa 3: Criar uma função do RAM na Alibaba Cloud e o ARN do IdP na Etapa 2: Criar um IdP na Alibaba Cloud. Substitua <account_id> pelo ID da sua conta da Alibaba Cloud.

   Nota

   Para permitir que um usuário assuma várias funções do RAM, especifique múltiplos pares de função e provedor separados por ponto e vírgula (;). Exemplo: acs:ram::125022144354****:role/reader-onelogin,acs:ram::125022144354****:saml-provider/OneLogin;acs:ram::125022144354****:role/administrator-onelogin,acs:ram::125022144354****:saml-provider/OneLogin;acs:ram::158622887609****:role/finance,acs:ram::158622887609****:saml-provider/OneLogin2.

5. Atribua o aplicativo ao usuário.

   1. Na página Applications, clique no ícone de mais ().

   2. Selecione o aplicativo (LoginToAliyun) criado na Etapa 1: Criar um aplicativo no OneLogin e clique em Continue.

   3. Na caixa de diálogo exibida, clique em Save.

6. Na página Users, clique em Save User.

7. Repita as etapas 4 a 6 para configurar o atributo Aliyun Roles for SSO e atribuir o aplicativo a outros usuários do OneLogin.

Verificar a configuração

1. Faça login no OneLogin como o usuário (jacklee) criado na Etapa 5: Criar um usuário e atribuir o aplicativo no OneLogin.

2. Clique no aplicativo (LoginToAliyun).

   Se você for redirecionado para a página especificada pelo RelayState (ou para a página inicial do console da Alibaba Cloud por padrão), a configuração de SSO foi bem-sucedida.

   Nota

   Se você configurou várias funções para o usuário na Etapa 5: Criar um usuário e atribuir o aplicativo no OneLogin, será necessário selecionar uma função antes de acessar a Alibaba Cloud.