阿里云用戶(hù) SSO
本文為您介紹如何在IDaaS中配置阿里云用戶(hù)單點(diǎn)登錄。使用用戶(hù)SSO，您的企業(yè)成員將以RAM用戶(hù)訪問(wèn)阿里云。
操作步驟
一、創(chuàng)建應(yīng)用
選擇IDaaS實(shí)例并在操作區(qū)域下方單擊訪問(wèn)控制臺(tái)。
前往，搜索到阿里云用戶(hù) SSO應(yīng)用模板。單擊添加應(yīng)用。
確認(rèn)應(yīng)用名稱(chēng)，即可立即添加。
?
二、配置應(yīng)用單點(diǎn)登錄
添加應(yīng)用后，將自動(dòng)跳轉(zhuǎn)到應(yīng)用單點(diǎn)登錄配置頁(yè)，您將在此處進(jìn)行配置。
輸入阿里云主賬號(hào)id可單擊頁(yè)面右上角頭像處獲取。選擇應(yīng)用賬號(hào)名屬性，用戶(hù)進(jìn)行單點(diǎn)登錄時(shí)，將以該字段作為主鍵，對(duì)應(yīng)至阿里云中的 RAM用戶(hù)，從而實(shí)現(xiàn)在阿里云中的登錄。如果僅用于測(cè)試，建議授權(quán)范圍選擇全員可訪問(wèn)，暫時(shí)跳過(guò)為IDaaS賬號(hào)分配權(quán)限的步驟。
在應(yīng)用配置信息中，下載IdP 元數(shù)據(jù)，保存到電腦中。此文件用于建立阿里云對(duì)IDaaS的信任關(guān)系。
如果您IDaaS賬戶(hù)名與RAM用戶(hù)名（ RAM子賬戶(hù)前綴）一致，應(yīng)用賬戶(hù)處可選擇IDaaS賬戶(hù)名 。
如果您IDaaS賬戶(hù)名與RAM用戶(hù)名不一致， 應(yīng)用賬戶(hù)處選擇應(yīng)用賬戶(hù) ，在應(yīng)用賬戶(hù)界面綁定對(duì)應(yīng)的賬戶(hù)關(guān)系，選擇單點(diǎn)登錄的IDaaS賬戶(hù)，填寫(xiě)RAM用戶(hù)名前綴。
三、在阿里云中配置用戶(hù)SSO
在左側(cè)導(dǎo)航欄中，單擊SSO管理。
在用戶(hù) SSO頁(yè)簽下，可查看當(dāng)前SSO登錄設(shè)置相關(guān)信息。
單擊編輯，開(kāi)啟SSO 功能狀態(tài)，上傳步驟二中在IDaaS下載的IdP 元數(shù)據(jù)，無(wú)需開(kāi)啟輔助域名。
單擊確定，即可完成配置。
四、在阿里云中配置子用戶(hù)權(quán)限（可選）
您可能擁有存量的阿里云子用戶(hù)，或希望將IDaaS中賬戶(hù)同步至阿里云（詳見(jiàn)文檔：賬戶(hù)同步-事件回調(diào)），此時(shí)請(qǐng)按需在左側(cè)菜單欄的用戶(hù)中為用戶(hù)分配權(quán)限，以便用戶(hù)擁有恰當(dāng)?shù)臋?quán)限訪問(wèn)阿里云的資源。如果僅為了測(cè)試單點(diǎn)登錄能力，請(qǐng)忽略此步驟。
五、嘗試SSO
您已經(jīng)可以開(kāi)始阿里云用戶(hù)SSO。有如下兩種發(fā)起模式。
從IDaaS發(fā)起（IdP發(fā)起）：使用已擁有阿里云用戶(hù)SSO應(yīng)用權(quán)限的IDaaS賬戶(hù)，登錄到IDaaS應(yīng)用門(mén)戶(hù)頁(yè)，單擊頁(yè)面上的圖標(biāo)，即可發(fā)起單點(diǎn)登錄，成功登錄至阿里云。
從阿里云發(fā)起（SP發(fā)起）：使用匿名瀏覽器，打開(kāi)阿里云登錄頁(yè)，單擊下方RAM用戶(hù)登錄，輸入阿里云用戶(hù)名并單擊下一步。
此時(shí)將出現(xiàn)提示頁(yè)面，單擊使用企業(yè)賬號(hào)登錄或復(fù)制登錄鏈接，如果您已登錄IDaaS應(yīng)用門(mén)戶(hù)，則可直接登錄至阿里云；否則將跳轉(zhuǎn)至IDaaS的登錄頁(yè)，在IDaaS中完成登錄后自動(dòng)完成阿里云的登錄。
?