PingIdentity与云SSO进行单点登录的示例

背景信息

假设企业使用PingIdentity作为身份提供商（IdP）管理用户，并已在阿里云资源目录（RD）中搭建多账号体系结构。企业希望经过配置，使PingIdentity中的用户通过SSO登录的方式访问资源目录指定成员账号中的指定资源。

步骤一：在 云SSO 获取服务提供商（SP）元数据

1. 登录云SSO控制台。

2. 在左侧导航栏，单击设置。

3. 在SSO登录区域，复制服务提供商（SP）的 ACS URL 和 Entity ID，或下载保存SP元数据文档。

步骤二：在 PingIdentity 创建并配置应用程序

1. 登录 PingIdentity 门户，进入 Console 控制台

2. 在左侧导航栏，选择 Enviroments .

3. 在 Envrioments 页面，创建新的Environment，所选 Cloud Service 须包含 PingOne SSO 。

   在创建向导中选择 Build your own solution 选项卡，在 Cloud Services 分类下勾选 PingOne SSO。

4. 进入新的 Environment，在左侧导航栏，选择 Applications -> Applications。

5. 在Applications 页面，单击 + 号按钮新建一个 Application

   1. 在下方 Application Type 栏选择 SAML Application， 配置应用程序信息，如填写 Application Name（应用名称）和 Description（描述）等。

   2. 在 SAML Configuration 页面，选择 Import Metadata 上传在步骤一中获得的 SP元数据文档。或者选择 Manual Enter，在 ACS URL 中填入从步骤一中获取的 ACS URL 值，在 Entity ID 中填入从步骤一中获取的 Entity ID 值。

6. 单击 Save 进行保存。

步骤三：在PingIdentity 获取身份提供商（IdP）元数据

在 Application 页面选中在步骤二中创建的 Application，在 Overview 页签下方点击 Download Metadata 下载保存元数据文件。

步骤四：在PingIdentity 中为Application设置用户组权限

1. 如果没有用户，需要先创建用户。

   1. 在左侧导航栏，选择 Directory -> Users

   2. 在Users页面新建User，并分配合适的Groups。

2. （可选）在 Application 页面选中在步骤二中创建的 Application，在 Access 页签为 Application 设置Group Membership Policy。若设置了 Group Membership Policy，在列表外的用户组或不在任何用户组内的用户都无法登录云SSO。

   页面默认 Group Membership Policy 值为 No Restrictions，单击右上角的编辑按钮（铅笔图标）可修改该值。

步骤五：在云SSO启用SSO登录

1. 在云SSO的左侧导航栏，单击设置。

2. 在SSO登录区域，单击配置身份提供商信息。

3. 在配置身份提供商信息对话框，选择上传元数据文档。

4. 单击上传文件，上传从步骤三中获取的IdP元数据文件

5. 打开SSO登录开关，启用SSO登录。

   启用后，页面显示服务提供商（SP）信息（包括 ACS URL、Entity ID、IdP 请求的加密算法、IdP 响应的 SAML 断言加密等）和身份提供商（IdP）信息（包括 Entity ID、登录地址、SAML 签名证书等），并提供配置身份提供商信息和清空身份提供商信息操作入口。

步骤六：同步用户或创建用户至云SSO

从PingIdentity 同步用户到云SSO，或者在云SSO创建同名用户。具体如下：

• 从PingIdentity同步用户到云SSO（推荐）：适用于PingIdentity中拥有大量用户的情况。具体操作，请参见

• 在云SSO创建同名用户：适用于PingIdentity中仅有少量用户的情况。具体操作，请参见基本操作。

（可选）步骤七：为用户授权

如果您计划用户SSO登录后访问资源目录指定成员账号中的指定资源，您还需要创建访问配置，并为用户在RD账号上授权。

1. 在云SSO创建访问配置，定义权限策略。

   具体操作，请参见创建访问配置。

2. 为用户在RD账号上授权。

   具体操作，请参见在RD账号上授权。

验证结果

完成上述配置后，您可以从阿里云或 PingIdentity 发起SSO登录。

• 从阿里云发起SSO登录。

  1. 在云SSO控制台的概览页，复制用户登录地址。

  2. 使用新的浏览器打开复制的用户登录地址。

  3. 单击跳转，系统会自动跳转到PingIdentity的登录页面。页面显示SSO 登录页面，单击跳转按钮，页面将跳转至企业IdP登录页面。

  4. 使用PingIdentity 用户名和密码登录。系统将自动SSO登录并重定向到您指定的Default RelayState页面。本示例中未指定Default RelayState，系统会访问云SSO用户门户。

• 从PingIdentity发起SSO登录。

  1. 在Applications页面选中步骤二中创建的Application，在Overview页签下方复制Initiate Single Sign-On URL。

  2. 使用新的浏览器打开复制的登录地址。

  3. 使用PingIdentity的用户名和密码登录。系统将自动SSO登录并重定向到您指定的Default RelayState页面。本示例中未指定Default RelayState，系统会访问云SSO用户门户。