Use o CloudSSO e o Resource Directory para configurar o gerenciamento centralizado de identidades e o controle de acesso em múltiplas contas da Alibaba Cloud.
Objetivo
O CloudSSO se integra ao Resource Directory para oferecer gerenciamento centralizado de identidades e controle de acesso em múltiplas contas. Como administrador do CloudSSO, crie usuários, defina configurações de acesso que agrupam permissões e provisione essas configurações para membros de um Resource Directory, tudo em um único local. Em seguida, os usuários fazem login no portal do CloudSSO, onde visualizam todos os membros com acesso permitido e acessam cada um com as permissões atribuídas.
Este tutorial apresenta uma configuração completa usando as seguintes entidades:
Usuário: user1 (um novo usuário do CloudSSO)
Configuração de acesso: uma configuração que concede a política de sistema AliyunVPCFullAccess
Membro de destino: Sandbox Account (um membro no Resource Directory)
Após concluir este tutorial, o user1 poderá fazer login no portal de usuários do CloudSSO e acessar apenas os recursos de VPC na Sandbox Account.
Pré-requisitos
Antes de começar, verifique se possui:
-
Um Resource Directory habilitado com as contas necessárias da Alibaba Cloud adicionadas como membros.
Para mais informações, consulte Resource Directory overview e Enable Resource Directory.
-
CloudSSO ativado com um diretório do CloudSSO criado.
Para obter mais detalhes, consulte What is CloudSSO, Enable CloudSSO e Create the CloudSSO directory.
Um usuário do RAM com a política AliyunCloudSSOFullAccess anexada na conta de gerenciamento do Resource Directory. Somente a conta de gerenciamento ou um usuário do RAM com essa política pode executar as operações deste tutorial.
Após criar uma nova conta do Resource Directory (RD) e fazer login nela usando o CloudSSO, as permissões do usuário na conta membro dependem das configurações de acesso. Essas configurações são criadas no CloudSSO e provisionadas para a conta.
Configure o acesso centralizado
Faça login no console do CloudSSO.
-
Para iniciar, crie um usuário do CloudSSO.
Neste exemplo, crie um usuário chamado user1.
Para saber mais, consulte Create a user.
-
Em seguida, ative o login com nome de usuário e senha para o usuário do CloudSSO.
Para informações adicionais, consulte Enable username-password logon.
-
Crie uma configuração de acesso.
Uma configuração de acesso define as permissões concedidas aos usuários do CloudSSO ao acessarem uma conta de membro. Sem essa configuração, os usuários conseguem fazer login no portal, mas não acessam nenhum recurso. Neste exemplo, a configuração de acesso inclui apenas a política de sistema AliyunVPCFullAccess, sem políticas inline.
Para mais detalhes, consulte Access configuration overview e Create a permission set.
-
Conceda ao user1 acesso à Sandbox Account.
Autorize o user1 a acessar recursos de VPC na Sandbox Account ao provisionar a configuração de acesso para esse membro.
Para saber mais, consulte Assign access to a member account.
-
Verifique o acesso como user1.
Faça login no portal de usuários do CloudSSO com o nome de usuário e a senha do user1.
Selecione Sandbox Account na lista de membros.
Acesse os recursos de VPC na Sandbox Account com a função do RAM atribuída.
Para mais informações, consulte Access resources through the CloudSSO user portal.
Próximos passos
Repita as etapas anteriores: crie mais usuários do CloudSSO, defina outras configurações de acesso com diferentes escopos de permissão e provisione-as para outros membros no Resource Directory. Assim, gerencie identidades e permissões em todas as contas da Alibaba Cloud a partir de um único local.
Para otimizar o gerenciamento de acesso, sincronize usuários de um provedor de identidade (IdP) externo. Isso permite que eles acessem contas de membro por meio de single sign-on (SSO). Para obter mais informações, consulte What is CloudSSO