阿里云角色 SSO

本文介绍如何实现阿里云 RAM 角色的 SSO。

本文为您介绍如何在 IDaaS 中配置阿里云用户单点登录。使用角色 SSO，您不必为企业或组织中的每一个成员都创建一个 RAM 子账户。

操作步骤

一、创建应用

登录 IDaaS管理控制台。
前往 应用-添加应用-应用市场，搜索阿里云角色 SSO 应用模板。点击 添加应用。

确认应用名称，即可完成添加。

二、配置应用单点登录

添加应用后，将自动跳转到应用单点登录配置页，您将在此处进行配置。

输入阿里云主账号 id（账号 id 可在阿里云控制台首页 - 头像或账号中心获取）。

填写您准备在阿里云创建的身份提供商名称（只允许英文字母、数字、特殊字符.-_，不能以特殊字符开头或结尾），需与步骤三中的一致。

选择应用账号名属性，用户进行单点登录时，将以该字段作为主键，对应至阿里云中的子用户，从而实现在阿里云中的登录。

如果仅用于测试，建议 授权范围 选择 全员可访问，以便跳过为 IDaaS 账号分配权限的步骤。

在 应用配置信息 中，下载 IdP 元数据，保存到电脑中。此文件用于建立阿里云对 IDaaS 的信任关系。

在 单点登录-应用账户 中，点击 添加应用账户。

选择需要使用阿里云角色 SSO 的账户，为其添加应用账户。应用账户名需要和阿里云角色名称完全一致。如果一个 IDaaS 账户对应多个阿里云角色，可以创建多个应用账户。

三、在阿里云中配置角色 SSO

登录阿里云 RAM 控制台。
在左侧导航栏中，单击 SSO管理。
在 角色 SSO 页签 下，可查看当前 SSO 登录设置相关信息。
点击 创建身份提供商 按钮。

填写身份提供商名称（需和步骤二中的身份提供商名称一致），上传步骤二中在 IDaaS 下载的 IdP 元数据，点击确定，完成身份提供商的创建。

四、在阿里云中配置身份提供商权限

在左侧导航栏中，单击 身份管理-角色。
点击 创建角色，选择 身份提供商。

填写角色名称（需和步骤二中的应用账户名一致），选择步骤三中创建的身份提供商，按需填写其他配置，点击完成。

此时也完成角色的创建。您可以为您的角色分配权限，通过该角色单点登录到阿里云的 IDaaS 账户都会拥有相同权限。

五、尝试SSO

您已经可以开始阿里云角色 SSO。

使用已拥有阿里云角色 SSO 应用权限的 IDaaS 账户，登录到 IDaaS 应用门户页，点击页面上的图标，即可发起单点登录。

如果 IDaaS 账户拥有两个或以上的应用账户（阿里云角色），则需要选择一个应用账户进行单点登录。

选择合适的应用账户并点击确定，即以角色的身份单点登录至阿里云。