CloudSSO:AD FS'den CloudSSO'ya tek oturum açma yapılandırması

Arka Plan

Bir kuruluş, şirket içi kullanıcı yönetimi için Active Directory (AD) kullanır ve Alibaba Cloud Resource Directory'de çoklu hesap yapısına sahiptir. AD kullanıcılarının belirli üye hesaplardaki belirlenmiş kaynaklara SSO erişimine ihtiyacı vardır.

Bu örnekte Windows Server 2012 R2 ECS örneği üzerindeki AD FS kullanılmaktadır. AD FS kimlik sağlayıcısı (IdP), CloudSSO ise hizmet sağlayıcısı (SP) olarak görev yapar.

Ön Koşullar

SSO'yu yapılandırmadan önce aşağıdaki görevleri tamamlayın:

1. Aşağıdaki hizmetleri bir Windows Server 2012 R2 ECS örneğine dağıtın.

   • Active Directory Domain Services (AD DS): Kullanıcılar ve cihazlar gibi etki alanı nesnelerini yönetir.

   • Active Directory Federation Services (AD FS): SSO güvenilen taraf yapılandırmasını ve kimlik doğrulamayı yönetir.

     Önemli

2. CloudSSO'da kullanıcılar oluşturun ve izinleri yapılandırın.

   1. CloudSSO'da, AD FS SSO alanıyla eşleşen bir kullanıcı adıyla bir kullanıcı oluşturun.

      Daha fazla bilgi için bkz. Kullanıcı oluşturma.

      Not

      CloudSSO kullanıcı adı, AD FS SSO alanıyla eşleşmelidir. Daha fazla bilgi için bkz. 3. Adım: AD FS'de SAML onay özniteliklerini yapılandırma.

   2. İzin ilkelerini tanımlamak için bir erişim yapılandırması oluşturun.

      Daha fazla bilgi için bkz. İzin kümesi oluşturma.

   3. Kaynak dizini hesaplarında erişim izinleri atayın.

      Daha fazla bilgi için bkz. Üye hesaba erişim atama.

1. Adım: CloudSSO'dan SP meta verilerini alma

1. CloudSSO konsolu üzerinde oturum açın.

2. Sol gezinme bölmesinde Settings seçeneğine tıklayın.

3. SSO Logon bölümünde hizmet sağlayıcısı (SP) meta veri belgesini indirin.

2. Adım: AD FS'de Alibaba Cloud'u güvenilen taraf olarak ekleme

1. AD FS'nin dağıtıldığı ECS örneğinde oturum açın.

2. Server Manager uygulamasını açın.

3. Sol gezinme bölmesinde AD FS seçeneğine tıklayın.

4. Sağ üst menü çubuğunda Tools > AD FS Management seçeneğini belirleyin.

5. AD FS Yönetim konsolunda Alibaba Cloud'u güvenilen taraf olarak ekleyin.

   1. Sol gezinme bölmesinde Relying Party Trusts üzerine sağ tıklayın ve ardından Add Relying Party Trust seçeneğine tıklayın.

   2. Add Relying Party Trust Wizard içinde Claims aware seçeneğini belirleyin ve ardından Start seçeneğine tıklayın.

   3. Import data about the relying party from a file seçeneğini belirleyin, Browse seçeneğine tıklayarak 1. Adım: CloudSSO'dan SP meta verilerini alma adımında alınan SP meta veri dosyasını içe aktarın ve ardından Next seçeneğine tıklayın.

   4. Güvenilen taraf için bir görünen ad girin ve ardından Next seçeneğine tıklayın.

      Bu örnekte CloudSSODemo kullanılır.

   5. Bir erişim kontrol ilkesi seçin ve ardından Next seçeneğine tıklayın.

      Bu örnekte Permit everyone kullanılır.

   6. Ayarlarınızı gözden geçirin ve ardından Next seçeneğine tıklayın.

   7. Close seçeneğine tıklayın.

3. Adım: AD FS'de SAML onay özniteliklerini yapılandırma

Bu örnekte SAML onayındaki NameID alanı, CloudSSO'nun kullanıcıyı tanımlaması için kullanılan AD kullanıcısının Kullanıcı Ana Adına (UPN) ayarlanır.

1. CloudSSODemo güvenilen tarafına sağ tıklayın ve ardından Edit Claim Issuance Policy seçeneğine tıklayın.

2. Add Rule seçeneğine tıklayın.

   Not

   Bir verme dönüştürme kuralı, bir kullanıcı özniteliğini bir SAML onay özniteliğine eşler. AD FS kullanıcı UPN'sini NameID olarak veren bir kural ekleyin.

3. Add Transform Claim Rule Wizard içinde Claim rule template değerini Transform an Incoming Claim olarak ayarlayın ve ardından Next seçeneğine tıklayın.

4. Onay bilgilerini yapılandırın.

   1. Özel bir onay kuralı adı girin.

      Bu örnekte UPN2NameID kullanılır.

   2. Incoming claim type açılır listesinden UPN seçeneğini belirleyin.

   3. Outgoing claim type açılır listesinden Name ID seçeneğini belirleyin.

   4. Outgoing name ID format açılır listesinden Email seçeneğini belirleyin.

   5. Pass through all claim values seçeneğini belirleyin.

   6. Finish seçeneğine tıklayın.

5. OK seçeneğine tıklayın.

4. Adım: AD FS'den IdP meta verilerini alma

AD FS sunucusunda IdP meta veri dosyasını indirmek için aşağıdaki URL'ye erişin: https://<ADFS-server>/federationmetadata/2007-06/federationmetadata.xml.

5. Adım: CloudSSO'da SSO'yu etkinleştirme

1. CloudSSO konsolunun sol gezinme bölmesinde Settings seçeneğine tıklayın.

2. SSO Login bölümünde Configure IdP Information seçeneğine tıklayın.

3. Configure IdP Information iletişim kutusunda Upload Metadata File seçeneğini belirleyin.

4. Upload File seçeneğine tıklayarak 4. Adım: AD FS'den IdP meta verilerini alma adımında alınan IdP meta veri dosyasını yükleyin.

   Not

   Meta veri dosyası boyut sınırını aşarsa <fed:ClaimTypesRequested> ve <fed:ClaimTypesOffered> içindeki tüm içeriği kaldırmayı deneyin.

5. SSO'yu açın.

   Not

   SSO oturum açmayı etkinleştirdikten sonra kullanıcı adı ve parola ile oturum açma devre dışı bırakılır. Bu durum, CloudSSO kullanıcılarının artık platform kimlik bilgileriyle oturum açamayacağı anlamına gelir. Etkinleştirildikten sonra tüm kullanıcılar kimlik sağlayıcınız aracılığıyla oturum açmalıdır.

Yapılandırmayı doğrulama

SSO işlemini hem Alibaba Cloud hem de AD FS üzerinden başlatabilirsiniz.

• Alibaba Cloud'dan SSO başlatma

  1. CloudSSO konsolu üzerindeki Overview sayfasında kullanıcı portalı URL'sini kopyalayın.

  2. URL'yi yeni bir tarayıcı penceresinde açın.

  3. SSO Login sayfası görüntülenir ve kurumsal hesap oturum açma URL'si gösterilir. AD FS oturum açma sayfasına gitmek için Redirect seçeneğine tıklayın.

  4. Bir AD kullanıcısının kullanıcı adını ve parolasını girin.

     CloudSSO kullanıcı portalında otomatik olarak oturum açarsınız.

  5. Logon as RAM Role sekmesinde hedef kaynak dizini hesabının Permissions sütunundaki Show Details seçeneğine tıklayın.

     Alice kullanıcısı CloudSSO kullanıcı portalında oturum açtıktan sonra erişilebilen üç cloud hesabı görüntülenir: SharedServices, LogArchive ve dev-test.

  6. İzinler panelinde hedef iznin Actions sütunundaki Log On seçeneğine tıklayın.

  7. Üye hesaptaki yetkilendirilmiş kaynaklarınıza erişin.

• AD FS'den SSO başlatma

  1. AD FS SSO portalına gidin.

     SSO portalı URL'si şöyledir: https://<ADFS-server>/adfs/ls/IdpInitiatedSignOn.aspx.

     Not

     • <ADFS-server> ifadesini AD FS sunucusunun etki alanı adı veya IP adresiyle değiştirin.

     • SSO portalı sayfası kullanılamıyorsa etkinleştirmek için aşağıdaki PowerShell komutunu çalıştırın: Set-AdfsProperties -EnableIdpInitiatedSignonPage $True.

  2. 2. Adım: AD FS'de Alibaba Cloud'u güvenilen taraf olarak ekleme adımında oluşturulan CloudSSODemo sitesini seçin ve ardından Sign in seçeneğine tıklayın.

  3. Bir AD kullanıcısının kullanıcı adını ve parolasını girin ve ardından Sign in seçeneğine tıklayın.

     CloudSSO kullanıcı portalında otomatik olarak oturum açarsınız.

  4. Logon as RAM Role sekmesinde hedef kaynak dizini hesabının Permissions sütunundaki Show Details seçeneğine tıklayın.

     Alice kullanıcısı CloudSSO kullanıcı portalında oturum açtıktan sonra erişilebilen üç cloud hesabı görüntülenir: SharedServices, LogArchive ve dev-test.

  5. İzinler panelinde hedef iznin Actions sütunundaki Log On seçeneğine tıklayın.

  6. Üye hesaptaki yetkilendirilmiş kaynaklarınıza erişin.