AlibabaCloudでのSAML(SSO)はAWSとは別物だったお話
- 2. 2 名前： 佐藤 裕行（さとう ひろゆき） 所属： 株式会社クラウドネイティブ ネットワークスペシャリスト クラウドインフラストラクチャスペシャリスト ロール： Network、IaaS(AWS/Azure/GCP/Alibaba) 経歴： ISP/キャリアネットワークの設計/構築を経て、 クラウド事業者に入社し、ゲーム案件を主にAWSの構築/運用に関わる。 2017年よりクラウドネイティブ社の立ち上げに加わり、 情報システムの価値を向上させるためスタートアップの一員として活動。 自己紹介
- 4. 4 ● IdPは認証情報を提供するシステム ● ID情報はLDAPやActive Directory等 IdP（Id Provider)とは https://www.icsynergy.com/2014/06/idm-office-365-okta/
- 5. 5 ● OASISによって策定(XML関連の標準化団体) ● 異なるインターネットドメイン間でユーザー認証を行うための認証情報の規格 ● ユーザーの認証情報をやり取りするルール・プロトコル SAML（Security Assertion Markup Language）とは？ https://boxil.jp/mag/a2950/
- 6. 6 ● ユーザー ○ 複数パスワードを覚えないで済む ○ 単一パスワードの使い回しがなくなる ○ 複数のシステムをシームレスに行き来できる ○ 許可されているサービスが明確化され、作業を効率化できる ● 管理者 ○ 信頼できる強固なシステムに、ユーザの認証を任せることができる ○ 多要素認証のシステムを容易に利用 ○ ID、権限を統合的に管理ができる シングルサインオンって何がいい？
- 7. 7 ● https://www.slideshare.net/binbinqiu1/alieaters2-alibabacloud-20180320 なぜAlibabaCloudのSSOの仕様がAWSと同じと思ったの？ Alibaba Cloud を自分なりに整理してみた Qiu Binbin 2018/03/20 https://www.slideshare.net/binbinqiu1/alieaters2-alibabacloud-20180320
- 11. 11 DEMO ひとまずデモ！
- 12. 12 ● SAML2.0対応 ● IAMユーザーの作成は行わない ● 権限はIAM ロールを利用する ● マルチアカウント対応 ● ログイン時の権限の選択が可能 AWSでは？
- 13. 13 ● SAML2.0対応 ● 日本サイト未対応、中国サイトは対応 ● RAMユーザーの作成が必要 ● 権限はRAMユーザーに紐付く ● マルチアカウント未対応 Alibaba Cloudでは？
- 15. 15 ● 中国サイトでもベータ中 ● リソース管理、人事管理、企業顧客向けの財務管理などの機能がある ● 専用コンソールが存在する(中国語のみ) ● https://enterprise.console.aliyun.com/ エンタープライズコンソール（企业控制台简介）
- 16. 16 ● SSO
- 17. 17 SSO - 有効化
- 18. 18 ● SSO有効
- 20. 20 ● ドメイン許可設定
- 21. 21 ● ドメイン許可
- 24. 24 ドメイン許可 - 認証済
- 25. 25 ● Alibabaのメタデータをダウンロード ○ https://signin.aliyun.com/saml/metadata.xml ● Okta(IdP)にメタデータの情報に合わせてSAMLを設定 ○ urn:oasis:names:tc:SAML:2.0:nameid-format:transient ○ Location="https://signin.aliyun.com/saml/SSO" IdP設定 SAML
- 26. 26 ● SAMLメタデータ
- 27. 27 SAML - Okta
- 28. 28 ● RAMユーザの追加
- 30. 30 ● RAMはAWSのIAMと同じだと思っていた ○ 全く別物ということに気づくのに時間がかかった ● 中国語のドキュメントとの格闘 ○ 中国語で検索できない！ ● 中国サイトのサポート ○ AIがドキュメントを検索してくれる ○ サポートデスクは英語はちょっとだけ通じるが、基本的に中国語の対応 ○ DingTalkというチャットツールでのサポート対応が可能 ● AlibabaCloudのコミュニティに助けられました！（最重要） ○ ありがとうございました！！！！！！！！！！！！！！ まとめ