Resource Access Management:Quick start: Configure SSO with an enterprise IdP

Pré-requisitos

• É necessário ter um administrador do RAM com a permissão AliyunRAMFullAccess para operar no console do RAM. Para obter informações sobre como criar um usuário do RAM e conceder permissões, consulte Create a RAM user e Manage RAM user permissions.

• É necessário ter um administrador do Microsoft Entra ID com a função de Administrador Global para operar no Microsoft Entra ID. Para saber mais sobre a criação de usuários e a concessão de permissões no Microsoft Entra ID, consulte a documentação do Microsoft Entra ID.

Procedimento

Neste exemplo, o Microsoft Entra ID atua como IdP e a Alibaba Cloud como provedor de services (SP). As etapas a seguir estabelecem confiança entre o IdP e o SP, além de mapear uma função de aplicativo do Microsoft Entra ID para uma função do RAM da Alibaba Cloud.

1. Step 1: Create an enterprise application in Microsoft Entra ID: Crie um aplicativo empresarial na Galeria de Aplicativos do Microsoft Entra usando o modelo Alibaba Cloud Service (Role-based SSO).

2. Step 2: Configure SAML in Microsoft Entra ID: Configure o SSO baseado em funções da Alibaba Cloud como um SP SAML confiável no Microsoft Entra ID.

3. Step 3: Create an identity provider in Alibaba Cloud: Configure o Microsoft Entra ID como um IdP SAML confiável no RAM da Alibaba Cloud.

4. Step 4: Create a RAM role in Alibaba Cloud: Crie uma função do RAM no RAM da Alibaba Cloud e defina seu tipo de principal como Identity Provider.

5. Step 5: Create app roles and assign users: Crie uma função de aplicativo para o aplicativo empresarial e atribua usuários.

6. Verify the SSO logon: Verifique se o SSO baseado em funções opera conforme o esperado.

Etapa 1: Criar um aplicativo empresarial no Microsoft Entra ID

1. Faça login no portal do Azure como administrador global do Microsoft Entra ID.

2. No canto superior esquerdo da página inicial, clique em .

3. No painel de navegação à esquerda, escolha Microsoft Entra ID > Manage > Enterprise applications > All applications.

4. Clique em New application.

5. Pesquise e selecione Alibaba Cloud Service (Role-based SSO).

6. Insira um nome para o aplicativo e clique em Create.

   Este exemplo utiliza o nome padrão Alibaba Cloud Service (Role-based SSO). Você pode especificar um nome personalizado.

Etapa 2: Configurar SAML no Microsoft Entra ID

1. Na página de detalhes do Alibaba Cloud Service (Role-based SSO), no painel de navegação à esquerda, escolha Manage > Single sign-on.

2. Clique em SAML.

3. Configure as definições de SSO.

   1. No canto superior esquerdo, clique em Upload metadata file, selecione o arquivo de metadados para o SSO baseado em funções da Alibaba Cloud e clique em Add.

      Nota

      Baixe o arquivo de metadados em https://signin.alibabacloud.com/saml-role/sp-metadata.xml e salve-o em seu computador.

   2. Na página Basic SAML Configuration, configure os parâmetros a seguir e clique em Save.

      • Identifier (Entity ID): O sistema lê automaticamente este valor do atributo entityID no arquivo de metadados.

      • Reply URL (Assertion Consumer Service URL): O sistema lê automaticamente este valor do atributo Location no arquivo de metadados.

   3. Na seção Attributes & Claims, clique em para verificar se as duas declarações a seguir existem.

      

      Caso não existam, clique em Add new claim e adicione-as com os valores indicados na tabela abaixo.

      Name	Namespace	Source	Source attribute
      Role	https://www.aliyun.com/SAML-Role/Attributes	Attribute	user.assignedroles
      RoleSessionName	https://www.aliyun.com/SAML-Role/Attributes	Attribute	user.userprincipalname

   4. Na seção SAML Certificates, clique em Download à direita de Federation Metadata XML para baixar o arquivo de metadados do IdP.

Etapa 3: Criar um IdP na Alibaba Cloud

1. Faça login no console do RAM como administrador do RAM.

2. No painel de navegação à esquerda, escolha Integrations > SSO.

3. Na aba Role-based SSO, clique em SAML e clique em Create IdP.

4. Na página Create IdP, insira AAD no campo IdP Name.

5. Clique em Upload Metadata File e selecione o Federation Metadata XML file baixado na Etapa 2.

6. Clique em Create IdP.

7. Clique em AAD criado. Na seção Basic Information, copie o ARN do IdP para uso posterior.

Etapa 4: Criar uma função do RAM na Alibaba Cloud

1. Faça login no console do RAM. No painel de navegação à esquerda, escolha Identities > Roles.

2. Na página Roles, clique em Create Role.

3. No canto superior direito da página Create Role, clique em Switch to Policy Editor.

4. Especifique um IdP SAML no editor.

   O editor oferece tanto um editor visual quanto um editor de script JSON. Este exemplo utiliza o editor visual. Em Principal, selecione Identity Provider e clique em Edit. Em seguida, especifique AAD como o IdP e selecione SAML para Identity Provider Type.

5. Na caixa de diálogo Create Role, insira um nome para a função (como AADrole) e clique em OK.

6. Clique em Basic Information, copie o ARN da função para uso posterior.

Etapa 5: Criar uma função de aplicativo e atribuir usuários no Microsoft Entra ID

1. Crie uma função de aplicativo no Microsoft Entra ID.

   1. Faça login no portal do Azure como administrador.

   2. No painel de navegação à esquerda, escolha Microsoft Entra ID > Manage > App registrations.

   3. Clique em All applications e clique em Alibaba Cloud Service (Role-based SSO).

   4. No painel de navegação à esquerda, escolha Manage > App roles.

   5. Na página exibida, clique em Create app role.

   6. No painel Create app role, configure os parâmetros a seguir e clique em Apply.

      • Display name: Neste exemplo, insira Admin.

      • Allowed member types: Neste exemplo, selecione Both (Users/Groups + Applications).

      • Value: Insira o ARN da função do RAM e o ARN do IdP. Separe os ARNs por vírgulas (,). Neste exemplo, insira acs:ram::187125022722****:role/aadrole,acs:ram::187125022722****:saml-provider/AAD.

        Nota

        O valor deve seguir o formato RAM role ARN,IdP ARN. Inverter a ordem causa falha no SSO.

      • Description: Insira uma descrição para a função de aplicativo.

      • Selecione Do you want to enable this app role?

   Nota

   Para criar várias funções de aplicativo, repita as etapas anteriores com diferentes nomes de exibição e valores.

2. Atribua um usuário ao aplicativo empresarial e especifique uma função de aplicativo.

   1. No painel de navegação à esquerda, escolha Microsoft Entra ID > Manage > Enterprise applications > All applications.

   2. Na coluna Name, clique em Alibaba Cloud Service (Role-based SSO).

   3. No painel de navegação à esquerda, escolha Manage > Users and Groups.

   4. Na página exibida, clique em Add user/group.

   5. Na página Add Assignment, selecione um usuário e clique em Select.

   6. Verifique se a função selecionada é Admin. Caso contrário, altere a função para Admin. Em seguida, clique em Assign.

Verificar o SSO

O SSO baseado em funções suporta apenas SSO iniciado pelo IdP. Portanto, faça login a partir do Microsoft Entra ID para validar a configuração.

1. Obtenha a URL de acesso do usuário.

   1. Faça login no portal do Azure como administrador.

   2. No painel de navegação à esquerda, escolha Microsoft Entra ID > Manage > Enterprise applications > All applications.

   3. Na coluna Name, clique em Alibaba Cloud Service (Role-based SSO).

   4. No painel de navegação à esquerda da página exibida, escolha Manage > Properties e obtenha o valor de User access URL.

      

2. O usuário (ssotest01@example.onmicrosoft.com) obtém a User access URL com o administrador, abre-a em um navegador e faz login. Após a autenticação bem-sucedida, o usuário é redirecionado por padrão para o Console de Gerenciamento da Alibaba Cloud. A função do RAM (aadrole) aparece antes do nome da conta.

   

Referências

• SSO overview

• User-based SSO overview

• Configure user-based SSO with Microsoft Entra ID

• Overview of role-based SAML SSO

• Configure role-based SSO with Microsoft Entra ID

• Single sign-on (SSO) FAQ