ITPub博客

首页 > 应用开发 > IT综合 > 阿里云RAM访问控制,满足客户使用企业本地账号登录阿里云!

阿里云RAM访问控制,满足客户使用企业本地账号登录阿里云!

IT综合 作者:代码派就是我 时间:2018-12-06 10:40:52 0 删除 编辑

阿里云 RAM (Resource Access Management) 为客户提供身份与访问控制管理服务。使用RAM,可以轻松创建并管理您的用户(比如雇员、企业开发的应用程序),并控制用户对云资源的访问权限。

对云资源的信息安全保护与风险控制能力是企业成功上云的关键。RAM支持在多种云原生应用场景下,为客户提供丰富的访问控制安全机制,赋能企业在DevOps、计算环境、应用程序、数据访问等全栈系统统一实施“最小权限原则”,降低云资源的攻击平面,有效控制企业上云的信息安全风险。

RAM目前已经为数十万企业客户提供了身份安全与访问管理服务,它基于 ABAC (Attribute based access control)  安全模型为客户提供对云资源的细粒度访问控制能力,并支持如下丰富的云原生应用场景:
• 用户管理与资源授权
• 跨云账号的资源授权
• 跨云服务的资源授权
• 针对移动设备应用程序的临时访问授权
• 部署在云上的应用程序的动态身份管理与资源授权

日前,RAM发布了针对单点登录SSO (single sign-on)这一新场景的支持 ——  使用企业自有账号登录阿里云

SSO场景介绍
假如您的企业有在本地部署域账号系统(比如部署了Microsoft AD 以及 AD FS 服务),由于企业安全管理与合规要求,所有人员对任何资源(包括云资源)进行操作时都必须经过企业域账号系统的统一身份认证,禁止任何人员使用独立用户账号和密码直接操作云资源。为了满足安全与合规要求,您需要云服务商能提供这种安全能力。

阿里云RAM支持企业级 IdPs (identity providers) 广泛使用的 SAML 2.0 (Security Assertion Markup Language 2.0)  身份联合标准。通过在云账号下开启RAM用户联合登录,您就可以使用企业内部账号登录到阿里云。

SAML 联合登录的基本思路
阿里云与外部企业身份系统的集成场景中,阿里云是服务提供商(SP),而企业自有的身份服务则是身份提供商(IdP)。图1描述了在这一解决方案中,企业员工通过企业自有账号系统登录到阿里云控制台的基本流程。

image
(图1:使用企业自有账号登录阿里云控制台的基本流程)

当管理员在完成 SAML 联合登录的配置后,企业员工可以通过如图所示的方法登录到阿里云控制台:
1、企业员工使用浏览器登录阿里云,阿里云将 SAML 认证请求返回给浏览器;
2、浏览器向企业 IdP 转发 SAML 认证请求;
3、企业 IdP 提示用户登录,并且在用户登录成功后生成 SAML 响应返回给浏览器;
4、浏览器将 SAML 响应转发给阿里云;
5、阿里云通过 SAML 互信配置,验证 SAML 响应的数字签名以验证 SAML 断言的真伪,并通过 SAML 断言的用户名称,匹配到对应云账号中的 RAM 用户身份;
6、登录服务完成认证,向浏览器返回登录 session 以及阿里云控制台的 URL;
7、浏览器重定向到阿里云控制台。

说明:在第 1 步中,企业员工从阿里云发起登录并不是必须的。企业员工也可以在企业自有 IdP 的登录页直接点击登录到阿里云的链接,向企业 IdP 发出登录到阿里云的 SAML 认证请求。

关于SAML联合登录的工作原理与配置方法,请详细参考RAM在线文档 -  SSO联合登录。

单个云账号的SSO管理
假设您的企业只有一个云账号(旗下有虚拟机、网络、数据库或存储等资源,并管理RAM用户及权限),那么建议的SSO方案模型如图2所示。

image
(图2: 云上企业单账号管理与SSO模型)

思路:将该账号当做SP与企业本地IdP直接进行身份联合,并通过RAM来控制台用户对云资源的访问权限。

多个云账号的SSO管理
假设您的企业已经有两个云账号(记为Workload Account,即云账号下有虚拟机、网络、数据库或存储等资源),那么建议的SSO访问模型如图3所示。

image
(图3: 云上企业多账号管理与SSO模型)

思路:先创建一个独立云账号(记为Identity Account,即云账号下只创建 RAM 用户),将该账号当做SP与企业本地IdP进行身份联合。然后利用阿里云 RAM 提供的跨账号RAM角色的授权访问能力进行跨账号访问其他云账号资源。

更多信息请参考 RAM在线文档

阿里云RAM访问控制新版发布会

https://yq.aliyun.com/live/641
了解产品,欢迎点击
https://promotion.aliyun.com/ntms/act/ramnew.html

阿里云RAM访问控制更多详情

https://www.aliyun.com/product/ram

RAM在线文档 - SSO联合登录

https://help.aliyun.com/document_detail/93684.html

更多信息请参考RAM在线文档。

https://help.aliyun.com/document_detail/28645.html


来自 “ ITPUB博客 ” ,链接:http://blog.itpub.net/31550522/viewspace-2284336/,如需转载,请注明出处,否则将追究法律责任。

请登录后发表评论 登录
全部评论
最新阿里云,新技术,新产品,以及相关活动介绍。

注册时间:2018-08-17

  • 博文量
    161
  • 访问量
    56717