Resource Access Management:SSO baseado em usuário com Google Workspace

Etapa 1: Obter metadados do provedor SAML da Alibaba Cloud

1. Faça logon no console RAM como administrador do RAM.

2. No painel de navegação à esquerda, escolha Integrations > SSO.

3. Clique em na aba User-based SSO. Na seção SAML Service Provider Metadata URL, copie a URL de metadados da sua conta Alibaba Cloud.

4. Abra o link copiado em uma nova janela do navegador e salve localmente o arquivo XML de metadados.

   Nota

   O XML de metadados contém informações do provedor de serviços SAML da Alibaba Cloud. Anote o valor do atributo entityID no elemento EntityDescriptor e o valor do atributo Location no elemento AssertionConsumerService. Esses valores são necessários para configurar o Google Workspace.

Etapa 2: Criar um aplicativo SAML SSO no Google Workspace

1. Faça logon no Google Admin console como superadministrador.

2. No painel de navegação à esquerda, escolha Apps > Web and mobile apps.

3. Clique em Add app e, em seguida, clique em Add custom SAML app.

4. Na página Add custom SAML app, crie um aplicativo compatível com SAML SSO.

   1. Na página App details, insira um nome para o aplicativo (por exemplo, AlibabaCloudUserSSO) e clique em CONTINUE.

   2. Na página Google Identity Provider details, clique em DOWNLOAD METADATA para baixe os metadados e clique em CONTINUE.

   3. Na página Service provider details, insira a ACS URL e o Entity ID e clique em CONTINUE.

      • ACS URL: Valor de Location anotado na Etapa 1: Obter metadados do provedor de serviços SAML da Alibaba Cloud.

      • Entity ID: Valor de entityID anotado na Etapa 1: Obter metadados do provedor de serviços SAML da Alibaba Cloud.

      • Start URL: Página da Alibaba Cloud para a qual os usuários são redirecionados após um SSO bem-sucedido.

        Nota

        Apenas URLs de domínios pertencentes à Alibaba são permitidas para Default RelayState (.aliyun.com, .hichina.com, .yunos.com, .taobao.com, .tmall.com, .alibabacloud.com e *.alipay.com). URLs inválidas são ignoradas. Se o campo estiver vazio, você será redirecionado para a página inicial do console da Alibaba Cloud.

   4. Na página Attribute mapping, clique em FINISH.

5. Na página de detalhes do aplicativo criado, clique em User access.

6. Opcional: Na seção Organizational Units, selecione a unidade organizacional para a qual deseja ative o SSO. Por padrão, o aplicativo se aplica a toda a organização.

7. Na seção Service status, selecione ON for everyone.

   Nota

   Se você especificou uma unidade organizacional na etapa 6, selecione ON.

8. Clique em SAVE.

Etapa 3: Ative o SSO baseado em usuário na Alibaba Cloud

1. No painel de navegação à esquerda do console RAM, escolha Integrations > SSO.

2. Clique em na aba User-based SSO. Na seção SSO Status, clique em Enabled.

   Nota

   O SSO baseado em usuário é um recurso global. Após a ativação, todos os usuários do RAM devem usar o SSO para fazer logon. Se você estiver conectado como usuário do RAM, mantenha o SSO desativado até crie os usuários necessários para evitar bloqueios causados por erros de configuração. Como alternativa, faça logon com sua conta Alibaba Cloud para configure o recurso.

3. Na seção Metadata File, clique em Upload Metadata File e carregue os metadados do IdP baixe do Google Workspace na Etapa 2: Criar um aplicativo SAML SSO no Google Workspace.

4. Na seção Auxiliary Domain Name, clique em Edit. Em seguida, ative o nome de domínio auxiliar e defina-o como o sufixo de e-mail dos nomes de usuário do Google Workspace.

   Nota

   Se sua organização no Google Workspace tiver usuários com múltiplos sufixos de e-mail, apenas aqueles cujos endereços terminam com o sufixo especificado poderão fazer logon na Alibaba Cloud.

Etapa 4: Crie um usuário no Google Workspace

1. No painel de navegação à esquerda, escolha Directory > Users.

2. Clique em Add new user.

3. Na página User Information, insira o First name, Last name e Primary email (por exemplo, u2@example.com). Selecione uma Organizational unit e clique em ADD NEW USER.

   Nota

   Se você especificou uma unidade organizacional para o aplicativo na Etapa 2: Criar um aplicativo SAML SSO no Google Workspace, selecione a mesma Organizational unit.

Etapa 5: Crie um usuário do RAM na Alibaba Cloud

1. No painel de navegação à esquerda do console RAM, escolha Identities > Users.

2. Na página Users, clique em Create User.

3. Na página Create User, insira o Logon Name e o Display Name.

   Nota

   Certifique-se de que o prefixo do nome de logon do usuário do RAM corresponda ao prefixo do nome de usuário no Google Workspace. Neste exemplo, o prefixo é u2.

4. Na seção Access Mode, selecione Console Access e configure outros parâmetros, como a senha de logon.

5. Clique em OK.

Verifique o resultado

Após a configuração, inicie o SSO pela Alibaba Cloud ou pelo Google Workspace.