通过IDaaS EIAM与腾讯云CAM实现用户组自动角色SSO

一、基础配置

1. 在IDaaS侧，创建SAML应用。

   1. 登录IDaaS控制台，选择对应的IDaaS实例，单击操作列的访问控制台。

   2. 单击应用 > 添加应用 > 标准协议，添加SAML 2.0应用 。

   3. 输入应用名称后，单击立即添加。

2. 获取腾讯云SAML元数据。

   1. 下载并保存腾讯云联合元数据 XML文档或复制此链接http://cloud.tencent.com/saml.xml。

   2. 在SAML 2.0应用配置页面中，将腾讯云联合元数据 URL粘贴至请输入应用 metadata 地址处，单击解析按钮完成配置。

      

   3. 下载IdP 元数据文件，用于上传至腾讯云访问管理CAM身份提供商页面。

二、角色配置

1. 在腾讯云侧，创建SAML身份提供商。

   1. 登录腾讯云CAM控制台，进入身份提供商 > 角色SSO。

   2. 单击新建身份提供商，选择提供商类型为SAML，输入身份提供商名称（如 idaas-saml-standard）。

   3. 上传从IDaaS下载的IdP 元数据文件，单击下一步完成创建。

2. 创建角色。

   1. 在CAM控制台，导航至角色 > 新建角色，选择身份提供商。

   2. 选择身份提供商类型为SAML，选择上一步创建的身份提供商idaas-saml-standard，勾选允许当前角色访问控制台。

   3. 根据实际需求选择角色策略并配置角色标签，然后单击下一步。

   4. 输入角色名称（如 role1），单击完成。

三、用户组配置

1. 在IDaaS侧创建用户。登录IDaaS控制台，进入账户 > 账户与组织 > 创建账户，新建用户（如 emp001）。

2. 在IDaaS侧创建组。进入账户 > 组 > 创建组。

   1. 输入组名称 （group01），填写外部ID （role1）。

      重要

      外部ID和腾讯云 CAM 创建的角色名称必须保持一致。

      

   2. 将创建的用户（emp001） 添加至创建的组（group01）。

3. 应用授权。

   1. 在IDaaS的SAML 2.0应用详情页，进入登录访问 > 应用授权。

   2. 为组（group01）授权该SAML应用。

四、高级SAML配置

进入SAML 2.0应用详情页的显示高级配置，添加以下断言属性：

• 断言属性1：角色映射

  • Key:https://cloud.tencent.com/SAML/Attributes/Role

  • Value:SamlArray(ArrayMap(user.groups, StringReplace("qcs::cam::uin/{AccountID}:roleName/{RoleName},qcs::cam::uin/{AccountID}:saml-provider/{ProviderName} ", "$roleName", __item.groupExternalId)))

    说明

    • {AccountID}替换为您的腾讯云主账户 ID。

    • {RoleName}替换您在腾讯云为身份提供商所创建的角色名称。

    • {ProviderName} 替换您在腾讯云创建的 SAML 身份提供商名称。

• 断言属性2：会话名称

  • Key: https://cloud.tencent.com/SAML/Attributes/RoleSessionName

  • Value: user.username

五、验证配置

1. 登录IDaaS EIAM门户，使用创建的用户（emp001）访问SAML 2.0应用。

2. 系统将自动跳转至腾讯云控制台，进入角色选择界面。选择角色（role1）完成登录。