使用阿里雲IDaaS將DingTalk/企業微信/飛書/AD等賬戶資料同步至阿里雲RAM - Resource Access Management

阿里雲 IDaaS 支援 SCIM 同步，通過 IDaaS 您可以將企業現有的賬戶資料同步至阿里雲 RAM，如DingTalk、飛書、AD 等，詳見：身份提供方。本文以 AD 作為樣本，為您介紹如何通過 SCIM 同步賬戶至RAM。

一、開通IDaaS執行個體

訪問阿里雲IDaaS管理主控台，也可通過產品與服務導航，定位到應⽤身份服務，單擊進⼊應⽤身份服務管理主控台。
單擊免费创建实例。

請確保頁面中已選擇IDaaS頁簽（而非舊版）。

二、AD資料同步到IDaaS

本文以AD作為樣本，實際對接的時候請根據您企業的實情自行選擇：

將DingTalk賬戶資料同步至 IDaaS：綁定DingTalk-入方向。
將企業微信賬戶資料同步至 IDaaS：綁定企業微信。
將飛書賬戶資料同步至 IDaaS：綁定飛書。
將 AD 賬戶同步到 IDaaS：綁定AD-入方向。
將 OpenLDAP 賬戶同步到 IDaaS：綁定OpenLDAP-入方向。
將 Okta/Azure 等國際身份的賬戶資料同步至 IDaaS：綁定OIDC身份提供方。

說明

如果您需要使用AD認證登入，請確保委託認證該項功能是開啟的狀態，具體資訊可參考：使用AD/LDAP認證登入三方應用。

完成同步後，在賬戶介面即可看到同步完成的賬戶。

三、IDaaS同步資料至RAM

您將原有賬戶資料匯入到IDaaS後就可以開始通過SCIM協議將匯入進來的賬戶匯入到RAM：具體對接流程請參考：通過SCIM同步賬戶至RAM。

步驟一：在RAM控制台建立OAuth應用並授權

建立OAuth應用。
1. 登入RAM控制台。
2. 在左側導覽列，選擇整合管理 > OAuth應用（公測）。
3. 在公司專屬應用程式頁簽，單擊建立應用。
4. 在建立應用頁面，設定應用參數。
  1. 輸入應用程式名稱和顯示名稱。
  2. 選擇應用類型為Native應用。
  3. 設定存取權杖有效期間。
  4. 設定重新整理權杖有效期間。
5. 單擊建立應用。
授權應用範圍。
1. 在公司專屬應用程式頁簽，單擊目標應用程式名稱。
2. 在OAuth範圍頁簽，單擊添加OAuth範圍。
3. 在添加OAuth範圍面板，選擇/acs/scim。
4. 單擊確定。
建立應用密鑰。
1. 單擊應用密鑰頁簽，然後單擊建立密鑰。
2. 在建立密鑰對話方塊，查看並複製建立成功的應用密鑰，然後單擊關閉。
  重要
  應用金鑰產製原料（AppSecretValue）僅在建立時可見，不支援查詢，請及時儲存。

步驟二：在IDaaS配置SCIM同步

在IDaaS控制台左側導覽列選擇應用，進入SCIM同步配置頁面。頁面頂部顯示IDaaS出口IP，若您的網路有請求IP限制，需將該IP加入白名單。在配置表單中，將SCIM Base URL設定為https://scim.aliyun.com，介面授權選擇OAuth 2.0 用戶端模式，令牌端點填寫https://oauth.aliyun.com/v1/token，認證模式選擇client_secret_basic，並填寫步驟一中擷取的client_id和client_secret密鑰資訊。

步驟三：同步操作

單擊一键推送後同步範圍內賬戶會同步至RAM。

在配置頁面的操作調用地區，根據需要勾選同步的操作類型，包括賬戶建立（CREATE /Users）、賬戶更新（UPDATE /Users）和賬戶刪除（DELETE /Users）。欄位對應地區展示SCIM服務端欄位與IDaaS欄位的映射關係。在全量推送範圍中勾選賬戶，確保推送時將賬戶資料同步至目標應用。