本文介绍如何实现阿里云 RAM 用户 SSO。
本文为您介绍如何在 IDaaS 中配置阿里云用户单点登录。使用用户SSO，您的企业成员将以 RAM 用户访问阿里云。
操作步骤
一、创建应用
登录 IDaaS管理控制台。
前往 应用-添加应用-应用市场，搜索到阿里云用户 SSO 应用模板。点击 添加应用。
确认应用名称，即可完成添加。
二、配置应用单点登录
添加应用后，将自动跳转到应用单点登录配置页，您将在此处进行配置。
输入阿里云主账号 id（账号 id 可在 阿里云控制台 首页-头像或账号中心获取）。选择应用账号名属性，用户进行单点登录时，将以该字段作为主键，对应至阿里云中的 RAM 用户，从而实现在阿里云中的登录。如果仅用于测试，建议 授权范围 选择 全员可访问，暂时跳过为 IDaaS 账号分配权限的步骤。
在 应用配置信息 中，下载 IdP 元数据，保存到电脑中。此文件用于建立阿里云对 IDaaS 的信任关系。
如果您 IDaaS 账户名与 RAM 用户名（ RAM 子账户前缀）一致， 应用账户 处可选择 IDaaS账户名 。
如果您 IDaaS 账户名与 RAM 用户名不一致， 应用账户 处选择 应用账户 ，在 应用账户 界面绑定对应的账户关系，选择单点登录的 IDaaS 账户，填写 RAM 用户名前缀。
三、在阿里云中配置用户 SSO
登录阿里云 RAM 控制台。
在左侧导航栏中，单击 SSO管理。
在 用户 SSO 页签 下，可查看当前 SSO 登录设置相关信息。
点击编辑，开启 SSO 功能状态，上传步骤二中在 IDaaS 下载的 IdP 元数据，无需开启辅助域名。
点击确定，即可完成配置。
四、在阿里云中配置子用户权限（可选）
您可能拥有存量的阿里云子用户，或希望将 IDaaS 中账户同步至阿里云（详见文档：账户同步），此时请按需在左侧菜单栏的 用户 中为用户分配权限，以便用户拥有恰当的权限访问阿里云的资源。如果仅为了测试单点登录能力，请忽略此步骤。
五、尝试SSO
您已经可以开始阿里云用户 SSO。有如下两种发起模式。
从 IDaaS 发起（IdP发起）：使用已拥有阿里云用户 SSO 应用权限的 IDaaS 账户，登录到 IDaaS 应用门户页，点击页面上的图标，即可发起单点登录，成功登录至阿里云。
从阿里云发起（SP发起）：使用匿名浏览器，打开阿里云登录页，点击下方 RAM用户登录，输入阿里云用户名并点击 下一步 按钮。
此时将出现提示页面，点击 使用企业账号登录 按钮或复制登录链接，如果您已登录 IDaaS 应用门户，则可直接登录至阿里云；否则将跳转至 IDaaS 的登录页，在 IDaaS 中完成登录后自动完成阿里云的登录。
