本文為您介紹如何在IDaaS中配置阿里雲使用者單點登入。使用使用者SSO，您的企業成員將以RAM使用者訪問阿里雲。
操作步驟
一、在IDaaS側建立應用
-
登入IDaaS控制台。
-
選擇IDaaS執行個體，在操作地區下方單擊存取控制台。
-
前往，搜尋到阿里雲使用者 SSO應用模板，單擊添加應用。
-
確認應用程式名稱，單擊立即添加。
在協議中選擇 SAML 2.0。
二、配置應用單點登入和賬戶同步
添加應用後，將自動跳轉到阿里云用户SSO配置頁面，可以選擇智能配置或手動設定兩種方式完成單點登入和賬戶同步配置。
智能配置
進入應用後，單擊智能配置按鈕，快速完成以下配置。如果您已瞭解快速指南內容，可點擊右側关闭快速指南按鈕，隱藏快速指南的展示，後續有需要還可以通過點擊打开快速指南重新閱讀。
-
選擇启用功能
在启用功能中選擇適用的情境，預設是仅启用SSO，您還可以選擇启用SSO及账户同步，不同情境對應不同的依賴檢查專案。
-
开启SR授权
選擇情境後，需要去开启SR授权，如果未授权，你需要點擊去授权，授權完成後點擊右側的刷新，刷新頁面授權狀態。
-
執行依赖检查
開啟授權後，系統將根據所選情境自動執行依賴檢查，並顯示檢查項及檢查結果，如果是未通过，需結合失敗原因，完成對應的修复。只有所有檢查項都通過，开始配置按鈕才顯示為可點擊狀態。
-
智能配置只支援配置當前主帳號。
-
依賴檢查是確保SSO功能正常的重要環節，如有未通過的檢查項，請按提示完成對應修複。
啟用 RAM 單點登入（SSO）後，RAM 使用者將立即切換至 IDaaS 身份認證，原有登入方式將失效。請確保需要RAM登入的帳號在IDaaS已存在，並且在SSO配置後及時完成授權，否則可能導致無法訪問阿里雲控制台。
手動設定
-
選擇登录访问，點擊單點登入配置頁。
在單點登入配置地區，開啟單點登入開關，填寫 阿里雲主帳號 ID（16位元字，即希望實現 SSO 的目標阿里雲主賬戶 ID），將 應用賬戶 設定為 IDaaS 賬戶名（單點登入時將該項作為賬戶標識傳遞給業務系統），將 授權範圍 設定為 手動授權（選擇手動授權後需在 應用授權 中進行許可權分配）。
重要轉換為 SSO 標準模版後，將無法使用智能配置功能。
-
輸入阿里雲主帳號ID，可單擊頁面右上方頭像處擷取。選擇應用帳號名屬性，使用者進行單點登入時，將以該欄位作為主鍵，對應至阿里雲中的 RAM使用者，從而實現在阿里雲中的登入。如果僅用於測試，建議授權範圍選擇全員可訪問，暫時跳過為IDaaS帳號分配許可權的步驟。
-
在应用配置信息中，下載IdP 中繼資料，儲存到電腦中。此檔案用於建立阿里雲對IDaaS的信任關係。
-
如果您IDaaS賬戶名與RAM使用者名稱（ RAM 子賬戶首碼）一致，应用账户處可選擇IDaaS賬戶名。
如果您IDaaS賬戶名與RAM使用者名稱不一致，应用账户處選擇应用账户，在应用账户介面綁定對應的賬戶關係，選擇單點登入的IDaaS賬戶，填寫RAM使用者名稱首碼。
單擊添加應用賬戶，在彈出的對話方塊中通過按賬戶名搜尋下拉框搜尋並選擇對應的 IDaaS 賬戶，單擊儲存完成賬戶綁定。
-
登入RAM控制台，在左側導覽列中，單擊SSO管理。在使用者 SSO頁簽下，單擊开启 SSO 功能狀態，上傳步驟3中在IDaaS下載的 IdP 中繼資料，無需開啟輔助網域名稱。
啟用 RAM 單點登入（SSO）後，RAM 使用者將立即切換至 IDaaS 身份認證，原有登入方式將失效。請確保需要RAM登入的帳號在IDaaS已存在，並且在SSO配置後及時完成授權，否則可能導致無法訪問阿里雲控制台。
三、在RAM中配置子使用者權限（可選）
您可能擁有存量的RAM使用者，或希望將IDaaS中賬戶同步至阿里雲（詳見文檔：賬戶同步-事件回調），此時請按需在左側功能表列的使用者中為使用者指派許可權，以便使用者擁有恰當的許可權訪問阿里雲的資源。如果僅為了測試單點登入能力，請忽略此步驟。
在目標使用者對應的操作列，單擊添加許可權。
四、嘗試SSO
-
從IDaaS或阿里雲發起使用者SSO登入：
-
從IDaaS發起（IdP發起）：使用已擁有阿里雲使用者SSO應用許可權的IDaaS賬戶登入IDaaS應用門戶，單擊頁面上的應用表徵圖，即可發起單點登入至阿里雲。
-
從阿里雲發起（SP發起）：使用匿名瀏覽器，開啟阿里雲登入頁，單擊下方RAM使用者登入，輸入RAM使用者名稱，單擊下一步。在 RAM 使用者登入頁面，選擇 RAM 使用者名稱密碼登入 頁簽，在 使用者名稱 輸入框中輸入 RAM 使用者名稱，格式為
<使用者名稱>@<預設網域名稱>或<使用者名稱>@<企業別名>（例如username@company.onaliyun.com或username@company-alias），然後單擊 下一步。
-
-
此時將出現提示頁面，單擊使用企業帳號登入或複製登入連結，如果您已登入IDaaS應用門戶，則可直接登入至阿里雲；否則將跳轉至IDaaS的登入頁，在IDaaS中完成登入後自動完成阿里雲的登入。