AI 助理
文档备案控制台
官方文档
输入文档关键字查找
首页 云SSO 操作指南 集成外部身份 单点登录 单点登录示例 PingIdentity与云SSO进行单点登录的示例

PingIdentity与云SSO进行单点登录的示例

更新时间：
复制为 MD 格式
我的收藏

本文为您提供PingIdentity与云SSO进行单点登录（SSO登录）的示例。

背景信息

假设企业使用PingIdentity作为身份提供商（IdP）管理用户，并已在阿里云资源目录（RD）中搭建多账号体系结构。企业希望经过配置，使PingIdentity中的用户通过SSO登录的方式访问资源目录指定成员账号中的指定资源。

说明

本文中涉及的PingIdentity配置部分属于建议，仅用于帮助理解阿里云SSO登录的端到端配置流程，阿里云不提供PingIdentity配置的咨询服务。

步骤一：在 云SSO 获取服务提供商（SP）元数据

  1. 登录云SSO控制台。

  2. 在左侧导航栏，单击设置。

  3. 在SSO登录区域，复制服务提供商（SP）的 ACS URL 和 Entity ID，或下载保存SP元数据文档。

步骤二：在 PingIdentity 创建并配置应用程序

  1. 登录 PingIdentity 门户，进入 Console 控制台

  2. 在左侧导航栏，选择 Enviroments .

  3. 在 Envrioments 页面，创建新的Environment，所选 Cloud Service 须包含 PingOne SSO 。

    image.png

  4. 进入新的 Environment，在左侧导航栏，选择 Applications -> Applications。

  5. 在Applications 页面，单击 + 号按钮新建一个 Application

    1. 在下方 Application Type 栏选择 SAML Application， 配置应用程序信息。

      image.png

    2. 在 SAML Configuration 页面，选择 Import Metadata 上传在步骤一中获得的 SP元数据文档。或者选择 Manual Enter，在 ACS URL 中填入从步骤一中获取的 ACS URL 值，在 Entity ID 中填入从步骤一中获取的 Entity ID 值。

      image.png

  6. 单击 Save 进行保存。

步骤三：在PingIdentity 获取身份提供商（IdP）元数据

在 Application 页面选中在步骤二中创建的 Application，在 Overview 页签下方点击 Download Metadata 下载保存元数据文件。

image.png

步骤四：在PingIdentity 中为Application设置用户组权限

  1. 如果没有用户，需要先创建用户。

    1. 在左侧导航栏，选择 Directory -> Users

    2. 在Users页面新建User，并分配合适的Groups。

  2. （可选）在 Application 页面选中在步骤二中创建的 Application，在 Access 页签为 Application 设置Group Membership Policy。若设置了 Group Membership Policy，在列表外的用户组或不在任何用户组内的用户都无法登录云SSO。

    image.png

步骤五：在云SSO启用SSO登录

  1. 在云SSO的左侧导航栏，单击设置。

  2. 在SSO登录区域，单击配置身份提供商信息。

  3. 在配置身份提供商信息对话框，选择上传元数据文档。

  4. 单击上传文件，上传从步骤三中获取的IdP元数据文件

  5. 打开SSO登录开关，启用SSO登录。

    image.png

步骤六：同步用户或创建用户至云SSO

从PingIdentity 同步用户到云SSO，或者在云SSO创建同名用户。具体如下：

  • 从PingIdentity同步用户到云SSO（推荐）：适用于PingIdentity中拥有大量用户的情况。具体操作，请参见

  • 在云SSO创建同名用户：适用于PingIdentity中仅有少量用户的情况。具体操作，请参见基本操作。

（可选）步骤七：为用户授权

如果您计划用户SSO登录后访问资源目录指定成员账号中的指定资源，您还需要创建访问配置，并为用户在RD账号上授权。

  1. 在云SSO创建访问配置，定义权限策略。

    具体操作，请参见创建访问配置。

  2. 为用户在RD账号上授权。

    具体操作，请参见在RD账号上授权。

验证结果

完成上述配置后，您可以从阿里云或 PingIdentity 发起SSO登录。

  • 从阿里云发起SSO登录。

    1. 在云SSO控制台的概览页，复制用户登录地址。

    2. 使用新的浏览器打开复制的用户登录地址。

    3. 单击跳转，系统会自动跳转到PingIdentity的登录页面image.png

    4. 使用PingIdentity 用户名和密码登录。系统将自动SSO登录并重定向到您指定的Default RelayState页面。本示例中未指定Default RelayState，系统会访问云SSO用户门户。

  • 从PingIdentity发起SSO登录。

    1. 在Applications页面选中步骤二中创建的Application，在Overview页签下方复制Initiate Single Sign-On URL。

      image.png

    2. 使用新的浏览器打开复制的登录地址。

    3. 使用PingIdentity的用户名和密码登录。系统将自动SSO登录并重定向到您指定的Default RelayState页面。本示例中未指定Default RelayState，系统会访问云SSO用户门户。

上一篇：阿里云IDaaS与云SSO进行单点登录的示例下一篇：KeyCloak与云SSO进行单点登录的示例