使用Microsoft Entra ID进行角色SSO的示例

准备工作

• 您需要通过RAM管理员（已授予AliyunRAMFullAccess权限）执行本示例阿里云RAM中的操作。关于如何在RAM中创建用户并授权，请参见创建RAM用户、为RAM用户授权。

• 您需要通过Microsoft Entra ID管理员用户（已授予全局管理员权限）执行本示例Microsoft Entra ID中的操作。关于如何在Microsoft Entra ID中创建用户并授权，请参见Microsoft Entra ID文档。

步骤一：在Microsoft Entra ID库中添加应用程序

1. 使用Microsoft Entra ID管理员用户登录Azure门户。

2. 在主页左上角，单击图标。

3. 在左侧导航栏，选择Microsoft Entra ID > 管理 > 企业应用程序 > 所有应用程序。

4. 单击新建应用程序。

5. 搜索Alibaba Cloud Service (Role-based SSO)并单击选择。

6. 输入应用名称，然后单击创建。

   本示例中，使用默认应用名称Alibaba Cloud Service (Role-based SSO)，您也可以自定义应用名称。

7. 在Alibaba Cloud Service (Role-based SSO)页面的左侧导航栏，选择管理 > 属性，复制并保存对象ID。

步骤二：配置Microsoft Entra ID的SSO信息

1. 在Alibaba Cloud Service (Role-based SSO)页面的左侧导航栏，选择管理 > 单一登录。

2. 单击SAML。

3. 配置SSO信息。

   1. 在页面左上角，单击上传元数据文件，选择文件后，单击添加。

      说明

      您可以通过以下URL获取元数据文件： https://signin.aliyun.com/saml-role/sp-metadata.xml。

   2. 在基本SAML配置页面，配置以下信息，然后单击保存。

      • 标识符（实体 ID）：从上一步的元数据文件中自动读取entityID的值。

      • 回复 URL（断言使用者服务 URL）：从上一步的元数据文件中自动读取Location的值。

      • 中继状态：用来配置角色SSO登录成功后跳转到的阿里云页面。

        说明

        出于安全原因，您只能填写阿里巴巴旗下的域名URL作为中继状态的值，例如：*.aliyun.com、*.hichina.com、*.yunos.com、*.taobao.com、*.tmall.com、*.alibabacloud.com、*.alipay.com，否则配置无效。若不配置，默认跳转到阿里云控制台首页。

   3. 在属性和索赔区域，单击图标，检查是否存在以下两条声明。

      

      如果不存在，请单击添加新的声明，按下表信息依次添加两条声明。

      名称	命名空间	源	源属性
      Role	https://www.aliyun.com/SAML-Role/Attributes	属性	user.assignedroles
      RoleSessionName	https://www.aliyun.com/SAML-Role/Attributes	属性	user.userprincipalname

   4. 在SAML证书区域，单击下载，获取联合元数据XML。

步骤三：在阿里云创建身份提供商

1. 使用RAM管理员登录RAM控制台。

2. 在左侧导航栏，选择集成管理 > SSO管理。

3. 在角色SSO页签，单击SAML页签，然后单击创建身份提供商。

4. 在创建身份提供商页面，输入身份提供商名称AAD。

5. 单击上传元数据，上传在步骤二：配置Microsoft Entra ID的SSO信息中下载的联合元数据XML。

6. 单击创建身份提供商。

步骤四：在阿里云创建RAM角色

1. 在RAM控制台的左侧导航栏，选择身份管理 > 角色。

2. 在角色页面，单击创建角色。

3. 在创建角色页面的右上角，单击切换编辑器。

4. 在编辑器中指定具体的SAML身份提供商。

   编辑器支持可视化编辑和脚本编辑两种模式，您可以任选其一。以可视化编辑模式为例，您需要在主体中指定从步骤三：在阿里云创建身份提供商中创建的身份提供商，身份提供商类型选择SAML。

5. 在编辑器中设置限制条件saml:recipient，取值为https://signin.aliyun.com/saml-role/sso。

6. 在创建角色对话框，输入角色名称（AADrole），然后单击确定。

步骤五：将阿里云RAM角色与Microsoft Entra ID用户进行关联

1. 在Microsoft Entra ID中创建角色。

   1. 管理员用户登录Azure门户。

   2. 在左侧导航栏，选择Microsoft Entra ID > 管理 > 应用注册。

   3. 单击所有应用程序页签，然后单击Alibaba Cloud Service (Role-based SSO)。

   4. 在左侧导航栏，选择管理 > 应用角色。

   5. 单击创建应用程序角色。

   6. 在创建应用程序角色页面，配置以下角色信息，然后单击应用。

      • 显示名称：本示例中输入Admin。

      • 允许的成员类型：本示例中选中用户/组+应用程序。

      • 值：输入RAM角色ARN和身份提供商ARN，两者之间用半角逗号（,）分隔。本示例中输入acs:ram::187125022722****:role/aadrole,acs:ram::187125022722****:saml-provider/AAD。

      • 说明：输入备注信息。

      • 选中是否要启用此应用程序角色。

   说明

   如果您需要在Microsoft Entra ID中创建多个角色，请重复上述步骤。

2. 将角色添加到用户（u2）中。

   1. 在左侧导航栏，选择Microsoft Entra ID > 管理 > 企业应用程序 > 所有应用程序。

   2. 在名称列表下，单击Alibaba Cloud Service (Role-based SSO)。

   3. 在左侧导航栏，选择管理 > 用户和组。

   4. 单击左上角的添加用户/组。

   5. 在添加分配页面，选择目标用户（本示例中选择u2），然后单击分配。

   6. 单击分配。

   7. 查看分配的角色。

      

      说明

      如果您分配了用户（u2），创建的角色会自动附加给该用户。如果您创建了多个角色，您可以根据需要合理分配角色。

验证结果

1. 获取用户访问URL。

   1. 管理员用户登录Azure门户。

   2. 在左侧导航栏，选择Microsoft Entra ID > 管理 > 企业应用程序 > 所有应用程序。

   3. 在名称列表下，单击Alibaba Cloud Service (Role-based SSO)。

   4. 在左侧导航栏，选择管理 > 属性，获取用户访问URL。

      

2. 用户（u2）从管理员用户处获取上述用户访问URL，然后在浏览器中输入该URL，使用自己的账号登录。

   系统将自动SSO登录并重定向到您指定的中继状态页面。如果未指定中继状态或超出允许范围，则系统会访问阿里云控制台首页。

   

进阶：配置Microsoft Entra ID与多个阿里云账号的角色SSO

假设您有两个阿里云账号（Account1和Account2），您希望经过配置，使得企业员工用户（u2）在登录Microsoft Entra ID后，通过角色SSO既能访问阿里云账号（Account1），也能访问阿里云账号（Account2）。

1. 在Microsoft Entra ID库中添加应用程序Alibaba Cloud Service (Role-based SSO)。

   具体操作，请参见步骤一：在Microsoft Entra ID库中添加应用程序。

2. 配置Microsoft Entra ID SSO。

   具体操作，请参见步骤二：配置Microsoft Entra ID的SSO信息。

3. 在阿里云创建身份提供商。

   您需要在两个阿里云账号（Account1和Account2）中分别创建身份提供商AAD。

   每个阿里云账号内的具体操作，请参见步骤三：在阿里云创建身份提供商。

4. 在阿里云创建RAM角色。

   您需要在两个阿里云账号（Account1和Account2）中分别创建RAM角色，本示例中假设在阿里云账号（Account1）中创建两个RAM角色，在阿里云账号（Account2）中创建一个RAM角色。具体如下：

   • 阿里云账号（Account1）的RAM角色：adminaad和readaad。

   • 阿里云账号（Account2）的RAM角色：financeaad。

   每个阿里云账号内的具体操作，请参见步骤四：在阿里云创建RAM角色。

5. 将阿里云RAM角色与Microsoft Entra ID用户（u2）进行关联。

   在Microsoft Entra ID中创建三个角色，将三个角色添加到用户（u2）中。三个角色的值分别为：

   • acs:ram::<Account1_ID>:role/adminaad,acs:ram::<Account1_ID>:saml-provider/AAD

   • acs:ram::<Account1_ID>:role/readaad,acs:ram::<Account1_ID>:saml-provider/AAD

   • acs:ram::<Account2_ID>:role/financeaad,acs:ram::<Account2_ID>:saml-provider/AAD

   具体操作，请参见步骤五：将阿里云RAM角色与Microsoft Entra ID用户进行关联。

6. Microsoft Entra ID用户（u2）通过角色SSO访问阿里云。

   用户（u2）登录Azure的我的应用页面，单击应用程序Alibaba Cloud Service (Role-based SSO)。然后在阿里云界面上，您需要根据提示选择要访问的阿里云账号（Account1或Account2）及其角色，从而以角色SSO方式访问阿里云。