Data Management:Domain hesaplarıyla DMS'te oturum açma

Kavram

Açıklama

Kimlik sağlayıcısı (IdP)

Harici bir kimlik sağlayıcısına ilişkin meta verileri içeren bir RAM varlığıdır. Bir IdP, kimlik yönetimi hizmetleri sunabilir.

• Kuruluş içi şirket IdP'si: Microsoft Active Directory Federation Service (AD FS), Shibboleth ve diğerleri.

• Bulut IdP'si: IDaaS, Microsoft Entra ID, Google Workspace, Okta, OneLogin ve diğerleri.

Hizmet sağlayıcısı (SP)

Kullanıcılara hizmet sunmak amacıyla bir IdP'nin kimlik yönetimi yeteneklerini kullanan bir uygulamadır. SP, IdP tarafından sağlanan kullanıcı bilgilerini kullanır. OpenID Connect gibi SAML protokolü dışındaki bazı kimlik sistemleri de hizmet sağlayıcısını IdP'nin güvenilen tarafı olarak adlandırır.

Güvenlik Onaylama İşaretleme Dili (SAML 2.0)

Kurumsal düzeyde kullanıcı kimlik doğrulaması için kullanılan standart bir protokoldür. SAML 2.0, SP'ler ile IdP'ler arasındaki iletişim için kullanılan teknik uygulamalardan biridir. SAML 2.0, kurumsal düzeyde SSO için fiili bir standart haline gelmiştir.

SAML onayı

SAML protokolünde kimlik doğrulama isteklerini ve yanıtlarını tanımlamak için kullanılan temel öğelerdir. Örneğin, belirli kullanıcı nitelikleri bir kimlik doğrulama yanıtının onayında yer alır.

Güven ilişkisi

Bir SP ile bir IdP arasında genellikle genel ve özel anahtarlar kullanılarak oluşturulan karşılıklı bir güven mekanizmasıdır. SP, IdP'nin SAML meta verilerini güvenilir bir yöntemle edinir. Meta veriler, IdP'nin SAML onaylarını imzalamak için kullandığı genel anahtarı içerir. SP, bu genel anahtarı kullanarak onayların bütünlüğünü doğrular.

OIDC

OpenID Connect (OIDC), OAuth 2.0 üzerine inşa edilmiştir. OAuth bir yetkilendirme protokolüdür ve OIDC, OAuth'ın üzerine bir kimlik katmanı ekler. OAuth'ın sunduğu yetkilendirme yeteneklerine ek olarak OIDC, istemcilerin son kullanıcıların kimliğini doğrulamasına ve OIDC protokol API'leri (HTTP RESTful) aracılığıyla temel kullanıcı bilgilerini almasına olanak tanır.

OIDC belirteci

OIDC, oturum açmış kullanıcılar adına kimlik belirteçleri verebilir; bunlara OIDC belirteçleri denir. OIDC belirteçleri, oturum açmış kullanıcılarla ilgili temel bilgileri almak için kullanılır.

İstemci Kimliği

Uygulamanız harici bir IdP'ye kaydedildiğinde bir istemci kimliği oluşturulur. Harici IdP'den bir OIDC belirteci isterken bu istemci kimliğini kullanmanız gerekir. Verilen OIDC belirteci ayrıca bu istemci kimliğini aud alanında taşır. OIDC kimlik sağlayıcısını oluştururken bu istemci kimliğini yapılandırın. Bir OIDC belirtecini bir STS belirteciyle değiştirmek için kullanırken Alibaba Cloud, OIDC belirtecinin aud alanındaki istemci kimliğinin OIDC kimlik sağlayıcısında yapılandırılan istemci kimliğiyle eşleşip eşleşmediğini doğrular. Yalnızca eşleşme durumunda rol üstlenmeye izin verilir.

Doğrulama parmak izi

Yayıncı URL'sinin kötü niyetli şekilde ele geçirilmesini veya değiştirilmesini önlemek için harici IdP'nin HTTPS CA sertifikasından oluşturulan bir doğrulama parmak izini yapılandırmanız gerekir. Alibaba Cloud bu parmak izini otomatik olarak hesaplamanıza yardımcı olur ancak bunu yerel olarak hesaplamayı öneririz (örneğin, bkz. OpenSSL ile OIDC IdP parmak izi alma). Parmak izini Alibaba Cloud'un hesapladığı değerle karşılaştırın. Eşleşmezse yayıncı URL'si tehlike altına girmiş olabilir. Doğru parmak izini onaylayıp girin.

Yayıncı URL'si

Yayıncı URL'si harici IdP tarafından sağlanır ve OIDC belirtecindeki iss alan değeriyle eşleşir. Yayıncı URL'si https ile başlamalı ve standart URL formatına uygun olmalıdır. Sorgu parametreleri (? ile belirtilir), fragmanlar (# ile belirtilir) ve oturum açma bilgileri (@ ile belirtilir) kabul edilmez.

Geçici kimlik bilgisi

Security Token Service (STS), Alibaba Cloud tarafından sunulan geçici erişim kimlik bilgisi yönetimi hizmetidir. STS aracılığıyla özelleştirilebilir geçerlilik süreleri ve erişim izinlerine sahip geçici kimlik bilgileri (STS belirteçleri) edinebilirsiniz.