身份提供商概述-九游平台

基本概念

使用联邦身份认证的优势

• 管理用户简单

  使用联邦身份认证前，管理员需要在企业管理系统和华为云分别为用户创建账号。

  使用联邦身份认证后，企业管理员只需要在企业管理系统中为用户创建账号，用户即可同时访问两个系统，降低了人员管理成本。

• 用户操作方便

  使用联邦身份认证前，用户访问企业管理系统和华为云时需要使用两个系统的账号登录。

  使用联邦身份认证后，用户在本企业管理系统中登录即可访问两个系统。

  图1 使用联邦身份认证的优势
  

sso方式

目前iam支持两类sso方式，分别是虚拟用户sso和iam用户sso。选择sso方式请参见。

• 虚拟用户sso

  企业idp用户登录华为云后，系统为其自动创建虚拟用户信息，并根据您配置的身份转换规则为其授予访问权限。

• iam用户sso

  企业idp用户登录华为云后，系统将自动匹配外部身份id绑定的对应iam子用户，从而拥有该子用户所在用户组的权限。

目前iam支持两种联邦登录的形式，分别是浏览器页面单点登录（web sso）和调用api接口。

• 浏览器页面单点登录（web sso）：浏览器作为通讯媒介，适用于普通用户通过浏览器访问华为云。您可以从idp侧或sp侧发起web sso：
  • idp侧发起登录：配置企业管理系统登录入口后，通过企业管理系统单点登录华为云。
  • sp侧发起登录：通过华为云提供的企业联邦用户登录入口，输入对应华为云用户名称，选择身份提供商，跳转至企业管理系统进行登录认证。
• 调用api接口：开发工具/应用程序作为通讯媒介，例如openstack client、shibbolethecp client，适用于企业或用户通过api调用方式访问华为云。

注意事项

• 企业idp服务器的时间需要和华为云的时间、时区一致，即都使用gmt时间（greenwich mean time），否则会导致联邦身份认证失败。
• 由于联邦用户的身份信息（如邮件地址、手机号码）保存在企业idp中，是企业idp映射到华为云的虚拟用户，因此，联邦用户通过身份提供商功能访问华为云时有以下约束：
  • 如果账号开启了敏感操作保护（登录保护或操作保护），对联邦用户不生效，即联邦用户在执行敏感操作时，不需要二次验证。
  • 不支持创建永久访问密钥（ak/sk），支持通过用户或委托token来获取临时访问凭证（临时ak/sk和securitytoken），具体方法请参见：。

    如需使用永久ak/sk，只能由账号或是实体iam用户创建密钥，共享给联邦用户。由于密钥表示用户所拥有的权限，因此建议由与联邦用户同在一个用户组的实体iam用户创建并分享密钥。