Compartilhar via

Configurar o serviço Alibaba Cloud (SSO baseado em funções) para autenticação única com o Microsoft Entra ID

Neste artigo, você aprenderá a integrar o Alibaba Cloud Service (SSO baseado em função) à ID do Microsoft Entra. Ao integrar o Alibaba Cloud Service (SSO baseado em função) ao Microsoft Entra ID, você poderá:

  • Controlar no Microsoft Entra ID quem tem acesso ao Alibaba Cloud Service (SSO baseado em função).
  • Permita que seus usuários sejam conectados automaticamente ao Alibaba Cloud Service (SSO baseado em funções) com suas contas do Microsoft Entra.
  • Gerencie suas contas em um local central.

Pré-requisitos

O cenário descrito neste artigo pressupõe que você já tenha os seguintes pré-requisitos:

  • Assinatura do Alibaba Cloud Service (SSO baseado em função) habilitada para SSO (logon único).

Descrição do cenário

Neste artigo, você configurará e testará o SSO do Microsoft Entra em um ambiente de teste.

  • O Alibaba Cloud Service (SSO baseado em função) é compatível com SSO iniciado por IDP

Para configurar a integração do Alibaba Cloud Service (SSO baseado em função) ao Microsoft Entra ID, você precisa adicionar o Alibaba Cloud Service (SSO baseado em função) da galeria à sua lista de aplicativos SaaS gerenciados.

  1. Entre no Centro de administração do Microsoft Entra como pelo menos Administrador de Aplicativos de Nuvem.

  2. Navegue até Entrar ID>Aplicativos empresariais>Novo aplicativo.

  3. Na seção Adicionar por meio da galeria , digite Alibaba Cloud Service (SSO baseado em função) na caixa de pesquisa.

  4. Selecione o Alibaba Cloud Service (SSO baseado em função) no painel de resultados e adicione o aplicativo. Aguarde alguns segundos enquanto o aplicativo é adicionado ao seu locatário.

  5. Na página do Alibaba Cloud Service (SSO baseado em função ), selecione Propriedades no painel de navegação do lado esquerdo e copie a ID do objeto e salve-a em seu computador para uso subsequente.

    Configuração de propriedades

Como alternativa, você também pode usar o Assistente de Configuração de Aplicativos Empresariais. Neste assistente, você pode adicionar um aplicativo ao seu locatário, adicionar usuários/grupos ao aplicativo, atribuir funções e também percorrer a configuração de SSO. Saiba mais sobre os assistentes do Microsoft 365.

Configurar e testar o SSO do Microsoft Entra para o Alibaba Cloud Service (SSO baseado em função)

Configurar e testar o SSO do Microsoft Entra com o Alibaba Cloud Service (Logon Único Baseado em Função) usando um usuário de teste chamado B.Simon. Para que o SSO funcione, é necessário estabelecer uma relação de vínculo entre um usuário do Microsoft Entra e o usuário relacionado do Alibaba Cloud Service (SSO baseado em função).

Para configurar e testar o SSO do Microsoft Entra com o Alibaba Cloud Service (SSO baseado em função), execute as seguintes etapas:

  1. Configurar o SSO do Microsoft Entra – para permitir que os usuários usem esse recurso.
    1. Crie um usuário de teste do Microsoft Entra para testar o login único do Microsoft Entra com Britta Simon.
    2. Atribua o usuário de teste do Microsoft Entra para permitir que Britta Simon use a autenticação única do Microsoft Entra.
  2. Configurar o logon único baseado em função no Alibaba Cloud Service - para permitir que os usuários usem esse recurso.
    1. Configurar o SSO do Alibaba Cloud Service (SSO baseado em função) - para definir as configurações de logon único no lado do aplicativo.
    2. Crie um usuário de teste do Alibaba Cloud Service (SSO baseado em função) para ter um equivalente de Britta Simon no Alibaba Cloud Service (SSO baseado em função), vinculado à representação de usuário no Microsoft Entra.
  3. Teste SSO para verificar se a configuração funciona.

Configurar o SSO do Microsoft Entra

Siga estas etapas para habilitar o SSO do Microsoft Entra.

  1. Entre no Centro de administração do Microsoft Entra como pelo menos Administrador de Aplicativos de Nuvem.

  2. Navegue até o Entra ID>Aplicativos empresariais>Alibaba Cloud Service (SSO baseado em função)>Logon único.

  3. Na página Selecionar um método de logon único, escolha SAML.

  4. Na página Configurar login único com SAML, selecione o ícone de edição/lápis na Configuração Básica de SAML para editar as configurações.

    Editar configuração básica do SAML

  5. Na seção Configuração básica do SAML, se você tiver um arquivo de metadados do provedor de serviços, execute as seguintes etapas:

    a. Selecione Carregar arquivo de metadados.

    b. Selecione logotipo da pasta para selecionar o arquivo de metadados e selecione Carregar.

    Observação

    1. Para o site internacional do Alibaba Cloud, baixe os metadados do provedor de serviços deste link.
    2. Para o serviço Alibaba Cloud (CN), baixe os metadados do Provedor de Serviços a partir do link este.

    c. Depois que o arquivo de metadados for carregado com êxito, os valores de Identificador e URL de Resposta serão populados automaticamente na caixa de texto da seção do Alibaba Cloud Service (SSO baseado em função):

    Observação

    Se os valores de Identificador e URL de Resposta não forem preenchidos automaticamente, preencha-os manualmente conforme a sua necessidade.

  6. O Alibaba Cloud Service (SSO baseado em função) exige que as funções sejam configuradas na ID do Microsoft Entra. A declaração de função está pré-configurada para que você não precise configurá-la, mas ainda precisa criá-la na ID do Microsoft Entra usando este artigo.

  7. Na página Configurar login único com SAML, na seção Certificado de Assinatura SAML, localize o XML de Metadados de Federação e clique em Baixar para baixar o certificado e salvá-lo em seu computador.

    O link para download do certificado

  8. Na seção Configurar o Alibaba Cloud Service (SSO baseado em função), copie as URLs apropriadas de acordo com suas necessidades.

    Copiar URLs de configuração

Criar e atribuir um usuário de teste do Microsoft Entra

Siga as diretrizes no início rápido de criação e atribuição de uma conta de usuário para criar uma conta de usuário de teste chamada B.Simon.

Configurar o logon único baseado em função no Alibaba Cloud Service

  1. Entre no console da RAM do Alibaba Cloud usando Account1.

  2. No painel de navegação do lado esquerdo, selecione SSO.

  3. Na guia SSO baseada em função, selecione Criar IdP.

  4. Na página exibida, insira AAD o campo Nome do IdP, insira uma descrição no campo Observação , selecione Carregar para carregar o arquivo de metadados de federação que você baixou antes e selecione OK.

  5. Depois que o IdP for criado com êxito, selecione Criar Função de RAM.

  6. No campo Nome da Função de RAM, insira AADrole, selecione AAD na lista suspensa Selecionar IdP e selecione OK.

    Observação

    Conceda permissão à função conforme necessário. Depois de criar o IdP e a função correspondente, recomendamos que você salve os ARNs do IdP e a função para uso subsequente. Obtenha os ARNs na página de informações do IdP e na página de informações da função.

  7. Associe a função de RAM do Alibaba Cloud (AADrole) ao usuário do Microsoft Entra (u2):

    Para associar a função de RAM ao usuário do Microsoft Entra, você deve criar uma função na ID do Microsoft Entra seguindo estas etapas:

    1. Entre no Explorador do Microsoft Graph.

    2. Selecione modificar permissões para obter as permissões necessárias para criar uma função.

      Config1 do Graph

    3. Selecione as permissões a seguir na lista e selecione Modificar Permissões, conforme mostrado na figura a seguir.

      Config2 do Graph

      Observação

      Depois que as permissões forem concedidas, entre novamente no Explorador do Graph.

    4. Na página do Explorador do Graph, selecione GET na primeira lista suspensa e beta na segunda lista suspensa. Em seguida, insira https://graph.microsoft.com/beta/servicePrincipals no campo ao lado das listas suspensas e selecione Executar Consulta.

      Config3 do Graph

      Observação

      Se você estiver usando vários diretórios, poderá entrar https://graph.microsoft.com/beta/contoso.com/servicePrincipals no campo da consulta.

    5. Na seção Visualização da resposta, extraia a propriedade appRoles da "Entidade de Serviço" para uso posterior.

      Config4 do Graph

      Observação

      Localize a propriedade appRoles inserindo https://graph.microsoft.com/beta/servicePrincipals/<objectID> no campo da consulta. Observe que a objectID é a ID de objeto que você copiou da página Propriedades do Microsoft Entra ID.

    6. Volte para o Explorador do Graph, altere o método de GET para PATCH, cole o seguinte conteúdo na seção Corpo da Solicitação e selecione Executar Consulta:

        {
    "appRoles": [
      {
        "allowedMemberTypes": [
          "User"
        ],
        "description": "msiam_access",
        "displayName": "msiam_access",
        "id": "41be2db8-48d9-4277-8e86-f6d22d35****",
        "isEnabled": true,
        "origin": "Application",
        "value": null
      },
      {
        "allowedMemberTypes": [
          "User"
        ],
        "description": "Admin,AzureADProd",
        "displayName": "Admin,AzureADProd",
        "id": "68adae10-8b6b-47e6-9142-6476078cdbce",
        "isEnabled": true,
        "origin": "ServicePrincipal",
        "value": "acs:ram::187125022722****:role/aadrole,acs:ram::187125022722****:saml-provider/AAD"
      }
    ]
  }

      Observação

      O value são os ARNs do IdP e a função que você criou no console de RAM. Aqui, você pode adicionar várias funções conforme necessário. O Microsoft Entra ID envia o valor dessas funções como o valor da declaração na resposta SAML. No entanto, você só pode adicionar novas funções após a msiam_access parte para a operação de patch. Para simplificar o processo de criação, recomendamos que você use um gerador de ID, como o Gerador de GUID para gerar IDs em tempo real.

    7. Depois que o 'Service Principal' for atualizado com o papel necessário, atribua o papel ao usuário do Microsoft Entra (u2) seguindo as etapas da seção Atribuir o usuário de teste do Microsoft Entra do artigo.

Configurar o SSO do Alibaba Cloud Service (SSO baseado em função)

Para configurar o logon único no Alibaba Cloud Service (SSO baseado em função), é necessário enviar o XML de Metadados de Federação baixado e as devidas URLs copiadas de configuração do aplicativo para a equipe de suporte do Alibaba Cloud Service (SSO baseado em função). Eles definem essa configuração para que a conexão SSO do SAML seja definida corretamente em ambos os lados.

Criar um usuário de teste para o serviço de Alibaba Cloud (SSO baseado em funções)

Nesta seção, você criará um usuário chamado Brenda Fernandes no Alibaba Cloud Service (SSO baseado em função). Trabalhe com a equipe de suporte do Alibaba Cloud Service (SSO baseado em função) para adicionar os usuários à plataforma do Alibaba Cloud Service (SSO baseado em função). Os usuários devem ser criados e ativados antes de usar o logon único.

Teste de SSO

Depois que as configurações anteriores forem concluídas, teste o Alibaba Cloud Service (SSO baseado em função) seguindo estas etapas:

  1. Entre no Centro de administração do Microsoft Entra como pelo menos Administrador de Aplicativos de Nuvem.

  2. Navegue até o Entra ID>Aplicativos empresariais>Alibaba Cloud Service (SSO baseado em função).

  3. Selecione Logon único e selecione Testar.

    Configuração de teste1

  4. Selecione Entrar como usuário atual.

    Configuração de teste2

  5. Na página de seleção da conta, selecione u2.

    Configuração de teste3

  6. A página a seguir é exibida, indicando que o SSO baseado em função foi bem-sucedido.

    Configuração de teste4

Conteúdo relacionado

Depois de configurar o Alibaba Cloud Service (SSO baseado em função), você poderá impor o controle de sessão, que protege contra exfiltração e infiltração dos dados confidenciais da sua organização em tempo real. O controle da sessão se estende a partir do Acesso Condicional. Saiba como impor o controle de sessão com o Microsoft Defender para Aplicativos de Nuvem.

  • Last updated on