Resource Access Management:Quick start: Configure SSO with an enterprise IdP

Önkoşullar

• RAM konsolundaki işlemler için AliyunRAMFullAccess iznine sahip bir RAM yöneticiniz olmalıdır. Bir RAM kullanıcısı oluşturma ve izin atama hakkında bilgi için bkz. RAM kullanıcısı oluşturma ve RAM kullanıcı izinlerini yönetme.

• Microsoft Entra ID'deki işlemler için Global Administrator rolüne sahip bir Microsoft Entra ID yöneticiniz olmalıdır. Microsoft Entra ID'de kullanıcı oluşturma ve izin atama hakkında bilgi için bkz. Microsoft Entra ID belgeleri.

Yordam

Bu örnekte Microsoft Entra ID IdP, Alibaba Cloud ise hizmet sağlayıcısıdır (SP). Aşağıdaki adımlar, IdP ile SP arasında güven ilişkisi kurar ve bir Microsoft Entra ID uygulama rolünü bir Alibaba Cloud RAM rolüne eşler.

1. 1. Adım: Microsoft Entra ID'de kurumsal uygulama oluşturma: Alibaba Cloud Service (Role-based SSO) şablonunu kullanarak Microsoft Entra App Gallery'den bir kurumsal uygulama oluşturun.

2. 2. Adım: Microsoft Entra ID'de SAML yapılandırma: Microsoft Entra ID'de Alibaba Cloud rol tabanlı SSO'yu güvenilir bir SAML SP olarak yapılandırın.

3. 3. Adım: Alibaba Cloud'da kimlik sağlayıcı oluşturma: Alibaba Cloud RAM'de Microsoft Entra ID'yi güvenilir bir SAML IdP olarak yapılandırın.

4. 4. Adım: Alibaba Cloud'da RAM rolü oluşturma: Alibaba Cloud RAM'de bir RAM rolü oluşturun ve principal türünü Identity Provider olarak ayarlayın.

5. 5. Adım: Uygulama rolleri oluşturma ve kullanıcı atama: Kurumsal uygulama için bir uygulama rolü oluşturun ve kullanıcılara atayın.

6. SSO oturum açmayı doğrulama: Rol tabanlı SSO'nun beklendiği gibi çalıştığını doğrulayın.

1. Adım: Microsoft Entra ID'de kurumsal uygulama oluşturma

1. Microsoft Entra ID genel yöneticisi olarak Azure portalına giriş yapın.

2. Ana sayfanın sol üst köşesindeki simgesine tıklayın.

3. Sol gezinme bölmesinde Microsoft Entra ID > Manage > Enterprise applications > All applications seçeneğini belirleyin.

4. New application öğesine tıklayın.

5. Alibaba Cloud Service (Role-based SSO) öğesini arayın ve seçin.

6. Uygulama için bir ad girin, ardından Create öğesine tıklayın.

   Bu örnekte varsayılan ad olan Alibaba Cloud Service (Role-based SSO) kullanılır. Özel bir ad belirtebilirsiniz.

2. Adım: Microsoft Entra ID'de SAML yapılandırma

1. Alibaba Cloud Service (Role-based SSO) ayrıntılar sayfasında sol gezinme bölmesinden Manage > Single sign-on seçeneğini belirleyin.

2. SAML öğesine tıklayın.

3. SSO ayarlarını yapılandırın.

   1. Sol üst köşede Upload metadata file öğesine tıklayın, Alibaba Cloud rol tabanlı SSO için meta veri dosyasını seçin ve ardından Add öğesine tıklayın.

      Not

      Meta veri dosyasını https://signin.alibabacloud.com/saml-role/sp-metadata.xml adresinden indirin ve bilgisayarınıza kaydedin.

   2. Basic SAML Configuration sayfasında aşağıdaki parametreleri yapılandırın ve ardından Save öğesine tıklayın.

      • Identifier (Entity ID): Sistem bu değeri meta veri dosyasındaki entityID niteliğinden otomatik olarak okur.

      • Reply URL (Assertion Consumer Service URL): Sistem bu değeri meta veri dosyasındaki Location niteliğinden otomatik olarak okur.

   3. Attributes & Claims bölümünde aşağıdaki iki talebin var olduğunu doğrulamak için simgesine tıklayın.

      

      Mevcut değilse Add new claim öğesine tıklayın ve bunları aşağıdaki tablodaki değerlerle ekleyin.

      Name	Namespace	Source	Source attribute
      Role	https://www.aliyun.com/SAML-Role/Attributes	Attribute	user.assignedroles
      RoleSessionName	https://www.aliyun.com/SAML-Role/Attributes	Attribute	user.userprincipalname

   4. SAML Certificates bölümünde Federation Metadata XML öğesinin sağ tarafındaki Download öğesine tıklayarak IdP meta veri dosyasını indirin.

3. Adım: Alibaba Cloud'da IdP oluşturma

1. Bir RAM yöneticisi olarak RAM konsoluna giriş yapın.

2. Sol gezinme bölmesinde Integrations > SSO seçeneğini belirleyin.

3. Role-based SSO sekmesinde SAML alt sekmesine tıklayın ve Create IdP öğesine tıklayın.

4. Create IdP sayfasında IdP Name için AAD girin.

5. Upload Metadata File öğesine tıklayın ve 2. Adım adımında indirdiğiniz Federation Metadata XML file dosyasını seçin.

6. Create IdP öğesine tıklayın.

7. Oluşturduğunuz AAD IdP'sine tıklayın. Basic Information bölümünde daha sonra kullanmak üzere IdP'nin ARN değerini kopyalayın.

4. Adım: Alibaba Cloud'da RAM rolü oluşturma

1. RAM konsoluna giriş yapın. Sol gezinme bölmesinde Identities > Roles seçeneğini belirleyin.

2. Roles sayfasında Create Role öğesine tıklayın.

3. Create Role sayfasının sağ üst köşesinde Switch to Policy Editor öğesine tıklayın.

4. Düzenleyicide bir SAML IdP belirtin.

   Düzenleyici hem görsel düzenleyici hem de JSON betiği düzenleyici sağlar. Bu örnekte görsel düzenleyici kullanılır. Principal için Identity Provider öğesini seçin ve Edit öğesine tıklayın. Ardından IdP olarak AAD'yi belirtin ve Identity Provider Type için SAML öğesini seçin.

5. Create Role iletişim kutusunda bir rol adı girin (örneğin AADrole) ve ardından OK öğesine tıklayın.

6. Oluşturduğunuz RAM rolüne tıklayın. Basic Information bölümünde daha sonra kullanmak üzere rolün ARN değerini kopyalayın.

5. Adım: Microsoft Entra ID'de uygulama rolü oluşturma ve kullanıcı atama

1. Microsoft Entra ID'de bir uygulama rolü oluşturun.

   1. Yönetici olarak Azure portalına giriş yapın.

   2. Sol gezinme bölmesinde Microsoft Entra ID > Manage > App registrations seçeneğini belirleyin.

   3. All applications sekmesine tıklayın, ardından Alibaba Cloud Service (Role-based SSO) öğesine tıklayın.

   4. Sol gezinme bölmesinde Manage > App roles seçeneğini belirleyin.

   5. Açılan sayfada Create app role öğesine tıklayın.

   6. Create app role panelinde aşağıdaki parametreleri yapılandırın ve Apply öğesine tıklayın.

      • Display name: Bu örnekte Admin girin.

      • Allowed member types: Bu örnekte Both (Users/Groups + Applications) öğesini seçin.

      • Value: RAM rolünün ARN değerini ve IdP'nin ARN değerini girin. ARN değerlerini virgülle (,) ayırın. Bu örnekte acs:ram::187125022722****:role/aadrole,acs:ram::187125022722****:saml-provider/AAD girin.

        Not

        Değer RAM role ARN,IdP ARN biçimini kullanmalıdır. Sıranın tersine çevrilmesi SSO'nun başarısız olmasına neden olur.

      • Description: Uygulama rolü için bir açıklama girin.

      • Do you want to enable this app role? seçeneğini belirleyin.

   Not

   Birden çok uygulama rolü oluşturmak için önceki adımları farklı görünen adlar ve değerlerle tekrarlayın.

2. Kurumsal uygulamaya bir kullanıcı atayın ve bir uygulama rolü belirtin.

   1. Sol gezinme bölmesinde Microsoft Entra ID > Manage > Enterprise applications > All applications seçeneğini belirleyin.

   2. Name sütununda Alibaba Cloud Service (Role-based SSO) öğesine tıklayın.

   3. Sol gezinme bölmesinde Manage > Users and Groups seçeneğini belirleyin.

   4. Açılan sayfada Add user/group öğesine tıklayın.

   5. Add Assignment sayfasında bir kullanıcı seçin ve Select öğesine tıklayın.

   6. Seçilen rolün Admin olup olmadığını kontrol edin. Değilse rolü Admin olarak değiştirin. Ardından Assign öğesine tıklayın.

SSO'yu doğrulama

Rol tabanlı SSO yalnızca IdP tarafından başlatılan SSO'yu destekler; bu nedenle yapılandırmayı doğrulamak için Microsoft Entra ID'den oturum açmanız gerekir.

1. Kullanıcı erişim URL'sini alın.

   1. Yönetici olarak Azure portalına giriş yapın.

   2. Sol gezinme bölmesinde Microsoft Entra ID > Manage > Enterprise applications > All applications seçeneğini belirleyin.

   3. Name sütununda Alibaba Cloud Service (Role-based SSO) öğesine tıklayın.

   4. Açılan sayfanın sol gezinme bölmesinde Manage > Properties seçeneğini belirleyin ve User access URL değerini alın.

      

2. Kullanıcı (ssotest01@example.onmicrosoft.com), User access URL değerini yöneticiden alır, tarayıcıda açar ve oturum açar. Kimlik doğrulama başarılı olduktan sonra kullanıcı varsayılan olarak Alibaba Cloud Management Console'a yönlendirilir. Hesap adının önünde RAM rolü (aadrole) görünür.

   

Referanslar

• SSO'ya genel bakış

• Kullanıcı tabanlı SSO'ya genel bakış

• Microsoft Entra ID ile kullanıcı tabanlı SSO yapılandırma

• Rol tabanlı SAML SSO'ya genel bakış

• Microsoft Entra ID ile rol tabanlı SSO yapılandırma

• Tek oturum açma (SSO) SSS