AlibabaCloudでのSAML(SSO)はAWSとは別物だったお話

AlibabaCloudでのSAML(SSO)はAWSとは別物だったお話
Hiroyuki Sato
2018/5/24

2
名前：佐藤裕行（さとうひろゆき）
所属：株式会社クラウドネイティブ
ネットワークスペシャリスト
クラウドインフラストラクチャスペシャリスト
ロール： Network、IaaS(AWS/Azure/GCP/Alibaba)
経歴： ISP/キャリアネットワークの設計/構築を経て、
クラウド事業者に入社し、ゲーム案件を主にAWSの構築/運用に関わる。
2017年よりクラウドネイティブ社の立ち上げに加わり、
情報システムの価値を向上させるためスタートアップの一員として活動。
自己紹介

3
各クラウドのID管理はどうしてますか？
様々なSaaS関連のIDを個別に管理してますか？
各サービスごとに手動で作成、削除してますか？
退職者にIDを利用されることはないですか？
協力会社のIDも管理できていますか？
パスワードの定期的な変更依頼とかしてないですか？
多要素認証してますか？
IDの管理ってどうされてますか？

4
● IdPは認証情報を提供するシステム
● ID情報はLDAPやActive Directory等
IdP（Id Provider)とは
https://www.icsynergy.com/2014/06/idm-office-365-okta/

5
● OASISによって策定(XML関連の標準化団体)
● 異なるインターネットドメイン間でユーザー認証を行うための認証情報の規格
● ユーザーの認証情報をやり取りするルール・プロトコル
SAML（Security Assertion Markup Language）とは？
https://boxil.jp/mag/a2950/

6
● ユーザー
○ 複数パスワードを覚えないで済む
○ 単一パスワードの使い回しがなくなる
○ 複数のシステムをシームレスに行き来できる
○ 許可されているサービスが明確化され、作業を効率化できる
● 管理者
○ 信頼できる強固なシステムに、ユーザの認証を任せることができる
○ 多要素認証のシステムを容易に利用
○ ID、権限を統合的に管理ができる
シングルサインオンって何がいい？

7
● https://www.slideshare.net/binbinqiu1/alieaters2-alibabacloud-20180320
なぜAlibabaCloudのSSOの仕様がAWSと同じと思ったの？
Alibaba Cloud を自分なりに整理してみた Qiu Binbin 2018/03/20
https://www.slideshare.net/binbinqiu1/alieaters2-alibabacloud-20180320

8
●

9

10
Alibaba CloudのRAMはAWSのIAMと同様で
あるため、同じSSO設定ができるかと思った
のが今回のきっかけ。
しかし、すぐに理解できなかった。

11
DEMO
ひとまずデモ！

12
● SAML2.0対応
● IAMユーザーの作成は行わない
● 権限はIAM ロールを利用する
● マルチアカウント対応
● ログイン時の権限の選択が可能
AWSでは？

13
● SAML2.0対応
● 日本サイト未対応、中国サイトは対応
● RAMユーザーの作成が必要
● 権限はRAMユーザーに紐付く
● マルチアカウント未対応
Alibaba Cloudでは？

14
● ドキュメントはフィーリングでなんとなくわかる！
● 中国語→英語→日本語でGoogle翻訳するとわかりやすい感じになります（コミュニティ情報）
SAMLドキュメント

15
● 中国サイトでもベータ中
● リソース管理、人事管理、企業顧客向けの財務管理などの機能がある
● 専用コンソールが存在する(中国語のみ)
● https://enterprise.console.aliyun.com/
エンタープライズコンソール（企业控制台简介）

19
SSOにした場合、全てのRAMユーザが同一のIdPへ転送されます
AWSは複数IdP対応しているので同じ感覚で設定し、
作業中にSAML設定を失敗してログインできなくなりました
RootユーザでSSOを無効にして復旧しました
SSO有効の注意点

20
●
ドメイン許可設定

22
ドメイン許可 - DNS認証

23
●
ドメイン許可 - TXTレコード登録

24
ドメイン許可 - 認証済

25
● Alibabaのメタデータをダウンロード
○ https://signin.aliyun.com/saml/metadata.xml
● Okta(IdP)にメタデータの情報に合わせてSAMLを設定
○ urn:oasis:names:tc:SAML:2.0:nameid-format:transient
○ Location="https://signin.aliyun.com/saml/SSO"
IdP設定
SAML

28
●
RAMユーザの追加

29
ドキュメント上はRAMユーザーの自動化について記載があるが、
ドキュメントが存在しなかった。
資料は5月末までに公開するという情報あり
DingTalkのアカウントがあれば特別に1対1でサポート対応も可能
RAMユーザの作成について

30
● RAMはAWSのIAMと同じだと思っていた
○ 全く別物ということに気づくのに時間がかかった
● 中国語のドキュメントとの格闘
○ 中国語で検索できない！
● 中国サイトのサポート
○ AIがドキュメントを検索してくれる
○ サポートデスクは英語はちょっとだけ通じるが、基本的に中国語の対応
○ DingTalkというチャットツールでのサポート対応が可能
● AlibabaCloudのコミュニティに助けられました！（最重要）
○ ありがとうございました！！！！！！！！！！！！！！
まとめ

3
1

https://www.cloudnative.co.jp/

AlibabaCloudでのSAML(SSO)はAWSとは別物だったお話

Recommended

More Related Content

What's hot (19)

Similar to AlibabaCloudでのSAML(SSO)はAWSとは別物だったお話 (20)

AlibabaCloudでのSAML(SSO)はAWSとは別物だったお話