Tutorial: Integración del inicio de sesión único (SSO) de Microsoft Entra con Alibaba Cloud Service (Role-based SSO)

Artículo
10/28/2023

En este tutorial aprenderá a integrar Alibaba Cloud Service (Role-based SSO) con Microsoft Entra ID. Al integrar Alibaba Cloud Service (Role-based SSO) con Microsoft Entra ID, se puede realizar lo siguiente:

Controlar en Microsoft Entra ID quién tiene acceso a Alibaba Cloud Service (Role-based SSO).
Permitir que los usuarios inicien sesión automáticamente en Alibaba Cloud Service (Role-based SSO) con sus cuentas de Microsoft Entra.
Administre sus cuentas en una ubicación central.

Requisitos previos

Para empezar, necesita los siguientes elementos:

Una suscripción a Microsoft Entra. Si no tiene una suscripción, puede obtener una cuenta gratuita.
Una suscripción habilitada para el inicio de sesión único en Alibaba Cloud Service (Role-based SSO).

Descripción del escenario

En este tutorial va a configurar y probar el inicio de sesión único de Microsoft Entra en un entorno de prueba.

Alibaba Cloud Service (inicio de sesión único basado en roles) admite SSO iniciado por IDP

Agregar Alibaba Cloud Service (inicio de sesión único basado en roles) desde la galería

Para configurar la integración de Alibaba Cloud Service (inicio de sesión único basado en roles) en Microsoft Entra ID, es preciso agregar Alibaba Cloud Service (inicio de sesión único basado en roles) desde la galería a la lista de aplicaciones SaaS administradas.

Inicie sesión en el Centro de administración de Microsoft Entra como Administrador de aplicaciones en la nube.
Vaya a Identidad>Aplicaciones>Aplicaciones empresariales>Nueva aplicación.
En la sección Agregar desde la galería, escriba Alibaba Cloud Service (Role-based SSO) en el cuadro de búsqueda.
Seleccione Alibaba Cloud Service (Role-based SSO) en el panel de resultados y agregue la aplicación. Espere unos segundos mientras la aplicación se agrega al inquilino.
En la página de Alibaba Cloud Service (inicio de sesión único basado en roles) , haga clic en Properties (Propiedades) en el panel de navegación izquierdo, copie el identificador de objeto y guárdelo en su equipo para usarlo más adelante.

Si lo desea, puede usar también el asistente para la configuración de aplicaciones empresariales. En este asistente puede agregar una aplicación al inquilino, agregar usuarios o grupos a la aplicación y asignar roles, así como recorrer la configuración de SSO. Obtenga más información sobre los asistentes de Microsoft 365.

Configuración y prueba de inicio de sesión único de Microsoft Entra para Alibaba Cloud Service (Role-based SSO)

Configure y pruebe el inicio de sesión único de Microsoft Entra con Alibaba Cloud Service (Role-based SSO) mediante un usuario de prueba llamado B.Simon. Para que el inicio de sesión único funcione, es preciso establecer una relación de vinculación entre un usuario de Microsoft Entra y el usuario relacionado de Alibaba Cloud Service (Role-based SSO).

Para configurar y probar el inicio de sesión único de Microsoft Entra con Alibaba Cloud Service (Role-based SSO), complete los siguientes pasos:

Configure el inicio de sesión único de Microsoft Entra, para que los usuarios puedan utilizar esta característica.
1. Cree un usuario de prueba de Microsoft Entra para probar el inicio de sesión único de Microsoft Entra con Britta Simon.
2. Asigne el usuario de prueba de Microsoft Entra para que Britta Simon pueda usar el inicio de sesión único de Microsoft Entra.
Configure el inicio de sesión único basado en roles de Alibaba Cloud Service para permitir que los usuarios puedan usar esta característica.
1. Configuración del inicio de sesión único de Alibaba Cloud Service (Role-based SSO) , para configurar los valores del inicio de sesión único en la aplicación.
2. Creación de usuarios de prueba de Alibaba Cloud Service (inicio de sesión único basado en roles): para tener un homólogo de Britta Simon en Alibaba Cloud Service (inicio de sesión único basado en roles) que esté vinculado a la representación de usuario en Microsoft Entra.
Prueba del inicio de sesión único : para comprobar si la configuración funciona.

Configuración del inicio de sesión único de Microsoft Entra

Siga estos pasos para habilitar el SSO de Microsoft Entra.

Inicie sesión en el Centro de administración de Microsoft Entra como Administrador de aplicaciones en la nube.
Vaya a Identidad>Aplicaciones>Aplicaciones empresariales>Alibaba Cloud Service (inicio de sesión único basado en roles)>Inicio de sesión único.
En la página Seleccione un método de inicio de sesión único, elija SAML.
En la página Configurar el inicio de sesión único con SAML, haga clic en el icono de edición o con forma de lápiz para abrir el cuadro de diálogo Configuración básica de SAML y modificar la configuración.
En la sección Configuración básica de SAML, si tiene el archivo de metadatos del proveedor de servicios, lleve a cabo los siguientes pasos:

a. Haga clic en Cargar el archivo de metadatos.

b. Haga clic en el logotipo de la carpeta para seleccionar el archivo de metadatos y luego en Cargar.
Nota:
1. Para el sitio web internacional de Alibaba Cloud, descargue los metadatos del proveedor de servicios de este vínculo.
2. Para el sitio web de Alibaba Cloud Service (CN), descargue los metadatos del proveedor de servicios de este vínculo.
c. Una vez que se haya cargado correctamente el archivo de metadatos, los valores Identificador y Dirección URL de respuesta se rellenan automáticamente en el cuadro de texto de la sección Alibaba Cloud Service (inicio de sesión único basado en roles):

Nota:

Si los valores Identificador y Dirección URL de respuesta no se rellenan automáticamente, hágalo manualmente según sus necesidades.
Alibaba Cloud Service (Role-based SSO) necesita que se configuren roles en Microsoft Entra ID. La notificación de rol está preconfigurada, por lo que no tiene que ocuparse de ello, pero aún tiene que crear los roles en Microsoft Entra ID con la ayuda de este artículo.
En la página Configurar el inicio de sesión único con SAML, en la sección Certificado de firma de SAML, busque XML de metadatos de federación y seleccione Descargar para descargar el certificado y guardarlo en su equipo.
En la sección Configurar Alibaba Cloud Service (Role-based SSO) , copie las direcciones URL adecuadas según sus necesidades.

Cree un usuario de prueba de Microsoft Entra

En esta sección, se crea un usuario llamado B.Simon.

Inicie sesión en el Centro de administración de Microsoft Entra al menos como Administrador de usuario.
Vaya aIdentidad>Usuarios>Todos los usuarios.
Seleccione Nuevo usuario>Crear nuevo usuario, en la parte superior de la pantalla.
En las propiedades del usuario, siga estos pasos:
1. En el campo Nombre para mostrar, escriba B.Simon.
2. En el campo Nombre principal de usuario, escriba username@companydomain.extension. Por ejemplo, B.Simon@contoso.com.
3. Active la casilla Show password (Mostrar contraseña) y, después, anote el valor que se muestra en el cuadro Contraseña.
4. Seleccione Revisar + crear.
Seleccione Crear.

Asignación del usuario de prueba de Microsoft Entra

En esta sección, va a habilitar a B.Simon para que acceda a Alibaba Cloud Service (inicio de sesión único basado en roles) mediante el inicio de sesión único.

Inicie sesión en el Centro de administración de Microsoft Entra como Administrador de aplicaciones en la nube.
Vaya a Identidad>Aplicaciones>Aplicaciones empresariales>Alibaba Cloud Service (inicio de sesión único basado en roles).
En la página de información general de la aplicación, busque la sección Administrar y seleccione Usuarios y grupos.
Seleccione Agregar usuario. A continuación, en el cuadro de diálogo Agregar asignación, seleccione Usuarios y grupos.
En la pestaña Usuarios y grupos, seleccione u2 en la lista de usuarios y haga clic en Seleccionar. Después, haga clic en Asignar.
Vea el rol asignado y pruebe Alibaba Cloud Service (inicio de sesión único basado en roles).

Nota:

Después de asignar el usuario (u2), se asociará automáticamente el rol creado al usuario. Si ha creado varios roles, deberá asociar el rol adecuado al usuario según sea necesario. Si desea implementar el inicio de sesión único basado en roles de Microsoft Entra ID a varias cuentas de Alibaba Cloud, repita los pasos anteriores.

Configuración del inicio de sesión único basado en roles de Alibaba Cloud Service

Inicie sesión en la consola RAM de Alibaba Cloud Service mediante Account1.
En el panel de navegación izquierdo, seleccione SSO.
En la pestaña Role-based SSO (Inicio de sesión único basado en roles), haga clic en Create IdP (Crear IdP).
En la página que aparece, escriba AAD en el campo IdP Name (Nombre de IdP), escriba una descripción en el campo Note (Nota), haga clic en Upload (Cargar) para cargar el archivo de metadatos de federación que descargó anteriormente y, después, haga clic en OK (Aceptar).
Una vez creado el IdP satisfactoriamente, haga clic en Create RAM Role (Crear rol de RAM).
En el campo RAM Role Name (Nombre de rol de RAM) escriba AADrole, seleccione AAD en la lista desplegable Select IdP (Seleccionar IdP) y haga clic en OK (Aceptar).

Nota:

Puede conceder al rol los permisos que sean necesarios. Después de crear el proveedor de identidades y el rol correspondiente, se recomienda que guarde los ARN del IdP y el rol para su uso posterior. Puede obtener los ARN en la página de información del IdP y en la página de información del rol.
Asocie el rol de RAM de Alibaba Cloud (AADrole) al usuario de Microsoft Entra (u2):

Para asociar el rol RAM al usuario de Microsoft Entra, debe crear un rol en Microsoft Entra ID siguiendo estos pasos:
1. Inicie sesión en el explorador de Microsoft Graph.
2. Haga clic en Modificar permisos para obtener los permisos necesarios para crear un rol.
3. Seleccione los permisos siguientes en la lista y haga clic en Modificar permisos, como se muestra en la ilustración siguiente.
  
  Nota:
  
  Una vez concedidos los permisos, inicie sesión en el Explorador de Graph de nuevo.
4. En la página del Explorador de Graph, seleccione GET en la primera lista desplegable y beta en la segunda. A continuación, escriba https://graph.microsoft.com/beta/servicePrincipals en el campo situado junto a las listas desplegables y haga clic en Ejecutar consulta.
  
  Nota:
  
  Si usa varios directorios, puede escribir https://graph.microsoft.com/beta/contoso.com/servicePrincipals en el campo de la consulta.
5. En la sección Response Preview (Vista previa de la respuesta), extraiga la propiedad appRoles de "Entidad de servicio" para su uso posterior.
  
  Nota:
  
  Puede encontrar la propiedad appRoles escribiendo https://graph.microsoft.com/beta/servicePrincipals/<objectID> en el campo de la consulta. Tenga en cuenta que objectID es el identificador del objeto que ha copiado de la página de propiedades de Microsoft Entra ID.
6. Vuelva al Explorador de Graph, cambie el método de GET a PATCH, pegue el siguiente contenido en la sección Cuerpo de la solicitud y haga clic en Ejecutar consulta:
```
  {
    "appRoles": [
      {
        "allowedMemberTypes": [
          "User"
        ],
        "description": "msiam_access",
        "displayName": "msiam_access",
        "id": "41be2db8-48d9-4277-8e86-f6d22d35****",
        "isEnabled": true,
        "origin": "Application",
        "value": null
      },
      {
        "allowedMemberTypes": [
          "User"
        ],
        "description": "Admin,AzureADProd",
        "displayName": "Admin,AzureADProd",
        "id": "68adae10-8b6b-47e6-9142-6476078cdbce",
        "isEnabled": true,
        "origin": "ServicePrincipal",
        "value": "acs:ram::187125022722****:role/aadrole,acs:ram::187125022722****:saml-provider/AAD"
      }
    ]
  }
```
  Nota:
  
  value es el ARN del proveedor de identidades y el rol que creó en la consola de la RAM. En este caso, puede agregar varios roles según sea necesario. Microsoft Entra ID enviará el valor de estos roles como valor de notificación en la respuesta de SAML. Sin embargo, solo puede agregar nuevos roles después del elemento msiam_access para la operación de revisión. Para facilitar el proceso de creación, se recomienda que use un generador de identificadores, como GUID Generator, para generar identificadores en tiempo real.
7. Una vez que haya revisado la entidad de servicio con el rol necesario, asocie el rol con el usuario de Microsoft Entra (u2) siguiendo los pasos de la sección Asignación del usuario de prueba de Microsoft Entra del tutorial.

Configuración del inicio de sesión único de Alibaba Cloud Service (Role-based SSO)

Para configurar el inicio de sesión único en Alibaba Cloud Service (inicio de sesión único basado en roles), es preciso enviar el XML de metadatos de federación descargado y las direcciones URL apropiadas copiadas de la configuración de la aplicación al equipo de soporte técnico de Alibaba Cloud Service (inicio de sesión único basado en roles). Dicho equipo lo configura para establecer la conexión de SSO de SAML correctamente en ambos lados.

Creación de un usuario de prueba en Alibaba Cloud Service (inicio de sesión único basado en roles)

En esta sección, se crea un usuario llamado en Britta Simon en Alibaba Cloud Service (inicio de sesión único basado en roles). Trabaje con el equipo de soporte técnico de Alibaba Cloud Service (inicio de sesión único basado en roles) para agregar los usuarios a la plataforma de Alibaba Cloud Service (inicio de sesión único basado en roles). Los usuarios se tienen que crear y activar antes de usar el inicio de sesión único.

Prueba de SSO

Una vez completadas las configuraciones anteriores, pruebe Alibaba Cloud Service (inicio de sesión único basado en roles) con estos pasos:

Inicie sesión en el Centro de administración de Microsoft Entra como Administrador de aplicaciones en la nube.
Vaya a Identidad>Aplicaciones>Aplicaciones empresariales>Alibaba Cloud Service (inicio de sesión único basado en roles).
Seleccione Inicio de sesión único y haga clic en Probar.
Haga clic en Iniciar sesión en nombre del usuario actual.
En la página de selección de la cuenta, seleccione u2.
Se abrirá la página siguiente, que indica que el inicio de sesión único basado en roles es correcto.

Pasos siguientes

Una vez configurado Alibaba Cloud Service (Role-based SSO), puede aplicar el control de sesión que protege la filtración y la infiltración de la información confidencial de la organización en tiempo real. El control de sesión procede del acceso condicional. Aprenda a aplicar el control de sesión con Microsoft Defender para aplicaciones en la nube.