CloudSSO：管理單點登入

配置身份供應商（IdP）資訊

您需要先配置身份供應商資訊，然後才能啟用單點登入。

1. 登入雲SSO控制台。

2. 在左側導覽列，單擊设置。

3. 在用户设置頁簽下的SSO 登录地區，單擊身份提供商（IdP）信息下方的配置身份提供商信息。

4. 在配置身份提供商信息對話方塊，選擇上传元数据文档或手动配置，然後配置身份供應商資訊。相關中繼資料檔案或配置資訊請從身份供應商處擷取。

   • 上传元数据文档

     單擊上传文件，上傳身份供應商中繼資料檔案。

   • 手动配置

     • Entity ID：身份供應商標識。

     • 登录地址：身份供應商登入地址。

     • 证书：身份供應商用於SAML響應簽名的認證，支援PEM格式的X509認證。您可以單擊上传证书，上傳身份供應商的認證。

5. 單擊确定。

更新身份供應商（IdP）資訊

當單點登入處於開啟或禁用狀態時，您都可以更新身份供應商資訊。但在開啟狀態下更新時，如果新配置的身份供應商資訊與原有的資訊不匹配，可能會導致使用者單點登入失敗，請謹慎操作。

1. 在身份提供商（IdP）信息地區，單擊配置身份提供商信息。

2. 在配置身份提供商信息對話方塊，選擇配置方式，然後修改配置資訊、重新上傳認證或中繼資料檔案等，最後單擊确定。

清空身份供應商（IdP）資訊

當單點登入處于禁用狀態時，您可以清空身份供應商資訊。單點登入處於開啟狀態時，不能執行該操作。

1. 在身份提供商（IdP）信息地區，單擊清空身份提供商信息。

2. 在清空身份提供商信息對話方塊，單擊确定。

輪轉SAML簽署憑證

身份供應商（IdP）SAML簽署憑證建議定期輪換，您可以在IdP舊認證到期之前，提前上傳新認證。當使用者進行單點登入時，雲SSO會分別使用新舊兩個認證驗證SAML簽名，只要有一個驗證通過，此次登入就是可信的。認證輪轉一段時間，觀察並確認新認證生效，舊認證不再使用之後，您可以刪除舊認證。

1. 在身份提供商（IdP）信息地區，單擊SAML签名证书右側的管理。

2. 在证书對話方塊，輪轉SAML簽署憑證。

   1. 單擊上传证书，上傳從企業IdP擷取的新認證。

   2. 確認企業IdP開始使用新認證對SAML響應進行簽名，之後嘗試單點登入到雲SSO使用者門戶，確保可以正常登入。

   3. 認證輪轉一段時間，觀察並確認新認證生效，舊認證不再使用之後，您可以單擊舊認證操作列的删除，刪除舊認證。

   4. 單擊确定，完成SAML簽署憑證輪轉。

擷取服務提供者（SP）中繼資料

您在外部IdP中配置單點登入時需要使用SP中繼資料文檔，您可以在服务提供商（SP）信息地區，下載SP中繼資料文檔。同時，您也可以查看或複製ACS URL、Entity ID，直接用於外部IdP的手動設定。

設定SAML請求的密碼編譯演算法

您可以在服务提供商（SP）信息地區，單擊IdP 请求的加密算法右側的编辑，設定SP發送給IdP的SAML請求的密碼編譯演算法。預設使用SHA1加密，可以選擇SHA256。

設定SAML斷言是否加密

您可以在服务提供商（SP）信息地區，單擊IdP 响应的 SAML 断言加密右側的编辑，選擇是否會對SAML響應中的SAML斷言加密。如果選擇 加密 ，SP需要對其進行解密。

管理服務提供者（SP）可信CA簽發認證（邀測）

雲SSO提供雲SSO自我簽署憑證和可信CA簽發認證兩種。預設使用雲SSO自我簽署憑證，如果企業對SP簽署憑證有可信CA簽發要求的，可以申請可信CA簽發認證。

啟用單點登入

當您完成身份供應商資訊配置後，就可以啟用單點登入。

1. 在用户设置頁簽下的SSO 登录地區，開啟單點登入開關。

2. 在启用SSO登录對話方塊，單擊确定。

禁用單點登入

1. 在用户设置頁簽下的SSO 登录地區，關閉單點登入開關。

2. 在禁用SSO登录對話方塊，單擊确定。