CloudSSO, Alibaba Cloud'un hizmet sağlayıcısı (SP) ve kurumsal kimlik sisteminizin kimlik sağlayıcısı (IdP) olduğu SAML 2.0 tabanlı tek oturum açmayı (SSO) destekler. SSO ile çalışanlar, kurumsal IdP kimlik bilgilerini kullanarak CloudSSO'da oturum açar.
Kimlik sağlayıcı (IdP) bilgilerini yönetin
SSO'yu kullanmak için kimlik sağlayıcı (IdP) bilgilerinizi yapılandırın ve SSO'yu etkinleştirin. Bir meta veri dosyası yükleyebilir veya IdP'yi manuel olarak yapılandırabilirsiniz. Manuel yapılandırma yalnızca Varlık Kimliği, Oturum Açma URL'si ve SAML imzalama sertifikası olmak üzere üç özelliği destekler. Ek IdP özelliklerini yapılandırmak için IdP'nizden bir meta veri dosyası oluşturun ve yükleyin.
IdP bilgilerini yapılandırın
SSO'yu etkinleştirmeden önce IdP bilgilerinizi yapılandırın.
CloudSSO konsolu nda oturum açın.
Sol gezinme bölmesinde Settings öğesine tıklayın.
User Setting sekmesinde, SSO Logon bölümünde, IdP Information altındaki Configure IdP seçeneğine tıklayın.
-
Configure IdP iletişim kutusunda Upload Metadata File veya Manual Configuration seçeneğini belirleyin ve ardından IdP bilgilerini girin. Meta veri dosyasını veya yapılandırma ayrıntılarını kimlik sağlayıcınızdan edinin.
-
Upload Metadata File
IdP meta veri dosyasını yüklemek için Upload File seçeneğine tıklayın.
-
Manual Configuration
Entity ID: Kimlik sağlayıcısının tanımlayıcısı.
Login URL: Kimlik sağlayıcısının oturum açma URL'si.
Certificate: Kimlik sağlayıcısının SAML yanıtlarını imzalamak için kullandığı sertifika. PEM biçimindeki X.509 sertifikaları desteklenir. Kimlik sağlayıcınızdan gelen sertifikayı yüklemek için Upload Certificate seçeneğine tıklayabilirsiniz.
-
OK seçeneğine tıklayın.
IdP bilgilerini güncelleyin
SSO'nun etkin olup olmadığına bakmaksızın IdP bilgilerini güncelleyebilirsiniz. Ancak, yeni yapılandırmanın eşleşmemesi durumunda SSO etkinken güncelleme yapmak SSO hatasına neden olabilir. Dikkatli ilerleyin.
IdP Information bölümünde Configure IdP seçeneğine tıklayın.
Configure IdP iletişim kutusunda bir yapılandırma yöntemi seçin, yapılandırmayı değiştirin, bir sertifikayı veya meta veri dosyasını yeniden yükleyin ve ardından OK seçeneğine tıklayın.
IdP bilgilerini temizleyin
IdP bilgilerini yalnızca SSO devre dışı bırakıldığında temizleyebilirsiniz.
IdP bilgilerini temizledikten sonra SSO'yu kullanamazsınız.
IdP Information bölümünde Clear IdP Information seçeneğine tıklayın.
Clear IdP Information iletişim kutusunda OK seçeneğine tıklayın.
SAML imzalama sertifikalarını döndürün
IdP'nizden gelen SAML imzalama sertifikasını düzenli aralıklarla döndürün. Eski sertifikanın süresi dolmadan önce yeni bir sertifika yükleyin. Geçiş süreci boyunca CloudSSO, SAML imzalarını her iki sertifikaya göre de doğrular ve herhangi biri başarılı olursa oturum açmaya izin verir. Yeni sertifikanın etkin olduğunu ve eski sertifikanın artık kullanılmadığını onayladıktan sonra eskisini silin.
Kullanımda olan bir SAML imzalama sertifikasının silinmesi SSO hatasına neden olur. Dikkatli ilerleyin.
IdP Information bölümünde, SAML Signature Certificate öğesinin sağındaki Manage seçeneğine tıklayın.
-
Certificate iletişim kutusunda SAML imzalama sertifikasını döndürün.
Kurumsal IdP'nizden aldığınız yeni sertifikayı yüklemek için Upload New Certificate seçeneğine tıklayın.
Kurumsal IdP'nizin SAML yanıtlarını imzalamak için yeni sertifikayı kullandığını onaylayın, ardından doğrulamak için SSO üzerinden CloudSSO kullanıcı portalında oturum açın.
Yeni sertifikanın etkin olduğunu ve eski sertifikanın kullanım dışı kaldığını onayladıktan sonra, eski sertifikanın Actions sütunundaki Delete seçeneğine tıklayın.
SAML imzalama sertifikası döndürme işlemini tamamlamak için OK seçeneğine tıklayın.
Hizmet sağlayıcı (SP) bilgilerini yönetin
SP meta verilerini alın
IdP'nizde SSO'yu yapılandırmak için SP Information bölümünden SP meta veri dosyasını indirin veya manuel IdP yapılandırması için ACS URL ve Entity ID değerlerini kopyalayın.
Erişim hızlandırma etkinse, IdP'nizde SSO'yu yapılandırırken ACS URL (Accelerated) adresini kullanın. Çin anakarası dışından erişimi hızlandırma.
SAML istek imzalama algoritmasını ayarlayın
SP Information bölümünde, Signature Algorithm for IdP Request öğesinin yanındaki Edit seçeneğine tıklayarak SAML istek imzalama algoritmasını ayarlayın. Varsayılan değer SHA1 şeklindedir. SHA256 seçeneğini de belirleyebilirsiniz.
SAML onay şifrelemesini ayarlayın
SP Information bölümünde, IdP'nin SAML onaylarını şifrelemesinin gerekip gerekmediğini belirtmek için SAML Assertion Encryption for IdP Response öğesinin yanındaki Edit seçeneğine tıklayın. Encrypt seçeneğini belirlerseniz SP'nin onayın şifresini çözmesi gerekir.
Hizmet sağlayıcı (SP) CA sertifikalarını yönetin (davetli önizleme)
CloudSSO varsayılan olarak kendi kendine imzalı sertifikalar kullanır. Kuruluşunuz güvenilir bir sertifika yetkilisinden (CA) alınan SP imzalama sertifikaları gerektiriyorsa bir CA sertifikası başvurusunda bulunun.
CA sertifikası özelliği davetli önizleme aşamasındadır. Erişim talebinde bulunmak için Alibaba Cloud hizmet yöneticinize başvurun.
CA sertifikaları tarafından desteklenen algoritmalar
SP meta verileri aşağıdaki desteklenen algoritmalarla birlikte bir imzalama sertifikası ve bir onay şifreleme sertifikası içerir:
CA sertifikalarının geçerlilik süresi
Bir CA sertifikası bir yıl boyunca geçerlidir ve her yıl döndürülmesi gerekir. Konsol, kesin son kullanma tarihini görüntüler.
CA sertifikalarını etkinleştirin
SP Information bölümünde, CA sertifikalarını etkinleştirmek için Use Certificate Signed by Trusted CA anahtarını açın.
CA sertifikalarını etkinleştirmek, kendi kendine imzalı sertifikaları otomatik olarak devre dışı bırakır.
CA sertifikalarını döndürün
Döndürme penceresi, son kullanma tarihinden 80 gün önce açılır. Bu süre zarfında CloudSSO konsolu sizi sertifikayı değiştirmeye yönlendirir. Bu dönem boyunca hem yeni hem de eski sertifikalar geçerliliğini korur. Sertifikayı mümkün olan en kısa sürede güncelleyin.
SSO Logon bölümünde, SP Information bölümünden en son CA sertifikasını kullanan SP meta veri dosyasını indirin.
Kurumsal IdP'nizde hem yeni hem de eski sertifikaları yapılandırın.
-
Kurumsal IdP'nizde SSO'nun çalıştığını doğrulamak için yalnızca yeni sertifikayı kullanın.
Çalışıyorsa eski sertifikayı silebilirsiniz. Eski sertifikayı SSO'yu etkilemeden saklamayı da tercih edebilirsiniz.
Tek oturum açmayı etkinleştirin veya devre dışı bırakın
Tek oturum açmayı etkinleştirin
IdP bilgilerini yapılandırdıktan sonra SSO'yu etkinleştirebilirsiniz.
SSO'yu etkinleştirdiğinizde kullanıcı adı-parola ile oturum açma otomatik olarak devre dışı bırakılır.
User Setting sekmesinde, SSO Logon bölümünde SSO anahtarını açın.
Enable SSO Logon iletişim kutusunda OK seçeneğine tıklayın.
Tek oturum açmayı devre dışı bırakın
SSO'yu devre dışı bıraktığınızda kullanıcı adı-parola ile oturum açma otomatik olarak etkinleştirilir.
User Setting sekmesinde, SSO Logon bölümünde SSO anahtarını kapatın.
Disable SSO Logon iletişim kutusunda OK seçeneğine tıklayın.