Zelfstudie: Eenmalige aanmelding van Microsoft Entra integreren met Alibaba Cloud Service (eenmalige aanmelding op basis van rollen)

Artikel
10/26/2023

In deze zelfstudie leert u hoe u Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) integreert met Microsoft Entra ID. Wanneer u Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) integreert met Microsoft Entra ID, kunt u het volgende doen:

In Microsoft Entra ID beheren wie toegang heeft tot Alibaba Cloud Service (eenmalige aanmelding op basis van rollen).
Ervoor zorgen dat gebruikers automatisch met hun Microsoft Entra-account worden aangemeld bij Alibaba Cloud Service (eenmalige aanmelding op basis van rollen).
Beheer uw accounts op één centrale locatie.

Vereisten

U hebt het volgende nodig om aan de slag te gaan:

Een Microsoft Entra-abonnement. Als u geen abonnement hebt, kunt u een gratis account krijgen.
Een abonnement op Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) waarvoor eenmalige aanmelding is ingeschakeld.

Beschrijving van scenario

In deze zelfstudie configureert en test u eenmalige aanmelding van Microsoft Entra in een testomgeving.

Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) ondersteunt door IDP geïnitieerde eenmalige aanmelding

Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) toevoegen via de galerie

Als u de integratie van Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) in Microsoft Entra ID wilt configureren, moet u Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) vanuit de galerie toevoegen aan uw lijst met beheerde SaaS-apps.

Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een cloudtoepassing Beheer istrator.
Blader naar Bedrijfstoepassingen voor identiteitstoepassingen>>>Nieuwe toepassing.
Typ in de sectie Toevoegen uit de galerieAlibaba Cloud Service (eenmalige aanmelding op basis van rollen) in het zoekvak.
Selecteer Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) vanuit het resultatenvenster en voeg vervolgens de app toe. Wacht enkele seconden tot de app aan de tenant is toegevoegd.
Klik op de pagina Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) op Eigenschappen in het navigatievenster aan de linkerkant en kopieer de Object-id en sla deze op uw computer op voor later gebruik.

U kunt ook de wizard Enterprise App Configuration gebruiken. In deze wizard kunt u een toepassing toevoegen aan uw tenant, gebruikers/groepen toevoegen aan de app, rollen toewijzen en ook de configuratie van eenmalige aanmelding doorlopen. Meer informatie over Microsoft 365-wizards.

Eenmalige aanmelding van Microsoft Entra configureren en testen voor Alibaba Cloud Service (eenmalige aanmelding op basis van rollen)

Configureer en test eenmalige aanmelding van Microsoft Entra met Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) met behulp van een testgebruiker met de naam B.Simon. Eenmalige aanmelding werkt alleen als u een koppelingsrelatie tot stand brengt tussen een Microsoft Entra-gebruiker en de bijbehorende gebruiker in Alibaba Cloud Service (eenmalige aanmelding op basis van rollen).

Voer de volgende stappen uit om eenmalige aanmelding van Microsoft Entra met Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) te configureren en te testen:

Configureer eenmalige aanmelding van Microsoft Entra - zodat uw gebruikers deze functie kunnen gebruiken.
1. Maak een Microsoft Entra-testgebruiker om eenmalige aanmelding van Microsoft Entra te testen met Britta Simon.
2. Wijs de Microsoft Entra-testgebruiker toe : om Britta Simon in staat te stellen gebruik te maken van eenmalige aanmelding van Microsoft Entra.
Eenmalige aanmelding op basis van rollen in Alibaba Cloud Service configureren: om uw gebruikers in staat te stellen deze functie te gebruiken.
1. Eenmalige aanmelding voor Alibaba Cloud Service (eenmalige aanmelding op basis van rollen): als u de instellingen voor eenmalige aanmelding aan de toepassingszijde wilt configureren.
2. Testgebruiker voor Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) maken: als u een tegenhanger van Britta Simon in Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) wilt hebben die is gekoppeld aan de Microsoft Entra-weergave van de gebruiker.
Eenmalige aanmelding testen: om te controleren of de configuratie werkt.

Eenmalige aanmelding voor Microsoft Entra configureren

Volg deze stappen om eenmalige aanmelding van Microsoft Entra in te schakelen.

Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een cloudtoepassing Beheer istrator.
Blader naar Identity>Applications Enterprise-toepassingen>>Alibaba Cloud Service (eenmalige aanmelding op basis van rollen)>
Selecteer SAML op de pagina Selecteer een methode voor eenmalige aanmelding.
Op de pagina Eenmalige aanmelding instellen met SAML klikt u op het bewerkings-/penpictogram voor Standaard-SAML-configuratie om de instellingen te bewerken.
Voer in de sectie Standaard SAML-configuratie de volgende stappen uit als u beschikt over een bestand met metagegevens van de serviceprovider:

a. Klik op Metagegevensbestand uploaden.

b. Klik op het mappictogram om het metagegevensbestand te selecteren en klik op Uploaden.
Notitie
1. Download de metagegevens van de serviceprovider vanaf deze koppeling voor Alibaba Cloud International Site.
2. Download de metagegevens van de serviceprovider vanaf deze koppeling voor Alibaba Cloud Service (CN) Site.
c. Zodra het bestand met metagegevens is geüpload, worden de waarde voor Id en Antwoord-URL automatisch ingevuld in de sectie Standaard SAML-configuratie voor Alibaba Cloud Service (eenmalige aanmelding op basis van rollen):

Notitie

Als de waarden voor Id en Antwoord-URL niet automatisch worden ingevuld, kunt u de waarden zelf invullen afhankelijk van uw behoeften.
Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) vereist dat rollen worden geconfigureerd in Microsoft Entra-id. De rolclaim is vooraf geconfigureerd, zodat u deze niet hoeft te configureren, maar u moet deze nog steeds maken in Microsoft Entra-id met behulp van dit artikel.
Ga op de pagina Eenmalige aanmelding met SAML instellen in de sectie SAML-handtekeningcertificaat naar XML-bestand met federatieve metagegevens en selecteer Downloaden om het certificaat te downloaden en vervolgens op te slaan op de computer.
Kopieer in het gedeelte Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) instellen de juiste URL('s) op basis van wat u nodig hebt.

Een Microsoft Entra-testgebruiker maken

In deze sectie maakt u een testgebruiker met de naam B.Simon.

Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een gebruiker Beheer istrator.
Blader naar Identiteitsgebruikers>>Alle gebruikers.
Selecteer Nieuwe gebruiker Nieuwe gebruiker> maken bovenaan het scherm.
Voer in de gebruikerseigenschappen de volgende stappen uit:
1. Voer in het veld Weergavenaam de tekst in B.Simon.
2. Voer in het veld User Principal Name de username@companydomain.extensionnaam in. Bijvoorbeeld B.Simon@contoso.com.
3. Schakel het selectievakje Wachtwoord weergeven in en noteer de waarde die wordt weergegeven in het vak Wachtwoord.
4. Selecteer Controleren + maken.
Selecteer Maken.

De Microsoft Entra-testgebruiker toewijzen

In deze sectie geeft u B.Simon toestemming om eenmalige aanmelding te gebruiken door toegang te verlenen tot Alibaba Cloud Service (eenmalige aanmelding op basis van rollen).

Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een cloudtoepassing Beheer istrator.
Blader naar Bedrijfstoepassingen voor identiteitstoepassingen>>>Alibaba Cloud Service (eenmalige aanmelding op basis van rollen).
Zoek op de overzichtspagina van de app de sectie Beheren en selecteer Gebruikers en groepen.
Selecteer Gebruiker toevoegen en selecteer vervolgens Gebruikers en groepen in het dialoogvenster Toewijzing toevoegen.
Selecteer op het tabblad Gebruikers en groepen de optie u2 in de lijst met gebruikers en klik op Selecteren. Klik vervolgens op Toewijzen.
Bekijk de toegewezen rol en test Alibaba Cloud Service (eenmalige aanmelding op basis van rollen).

Notitie

Nadat u de gebruiker (u2) hebt toegewezen, wordt de gemaakte rol automatisch aan de gebruiker gekoppeld. Als u meerdere rollen hebt gemaakt, moet u de juiste rol aan de gebruiker koppelen, indien nodig. Als u eenmalige aanmelding op basis van rollen van Microsoft Entra ID wilt implementeren naar meerdere Alibaba Cloud-accounts, herhaalt u de voorgaande stappen.

Eenmalige aanmelding op basis van rollen configureren in Alibaba Cloud Service

Meld u aan bij de RAM-console van Alibaba Cloud met behulp van Account1.
Selecteer Eenmalige aanmelding in het navigatiedeelvenster aan de linkerkant.
Klik op het tabblad Eenmalige aanmelding op basis van rollen op IdP maken.
Voer AAD in het veld IdP-naam op de weergegeven pagina in en voer een beschrijving in het veld Notitie in. Klik op Uploaden om het bestand met federatieve metagegevens te uploaden dat u eerder hebt gedownload en klik op OK.
Nadat de IdP is gemaakt, klikt u op RAM-rol maken.
In het veld RAM-rolnaam voert u AADrole in. Selecteer AAD in de vervolgkeuzelijst IdP selecteren en klik op OK.

Notitie

U kunt de rol zo nodig machtigen. Nadat u de IdP en de bijbehorende rol hebt gemaakt, raden we u aan de ARN’s van de IdP en de rol voor later gebruik op te slaan. U kunt de ARN’s verkrijgen op de pagina’s met IdP-informatie en rolinformatie.
Koppel de Alibaba Cloud RAM-rol (AADrole) aan de Microsoft Entra-gebruiker (u2):

Als u de RAM-rol wilt koppelen aan de Microsoft Entra-gebruiker, moet u een rol maken in Microsoft Entra-id door de volgende stappen uit te voeren:
1. Meld u aan bij Microsoft Graph Explorer.
2. Klik op Machtigingen wijzigen om de vereiste machtigingen te verkrijgen voor het maken van een rol.
3. Selecteer de volgende machtigingen in de lijst en klik op Machtigingen wijzigen, zoals wordt weergegeven in de volgende afbeelding.
  
  Notitie
  
  Nadat machtigingen zijn verleend, meldt u zich opnieuw aan bij Graph Explorer.
4. Selecteer op de pagina Graph Explorer de optie GET in de eerste vervolgkeuzelijst en Bèta in de tweede vervolgkeuzelijst. Voer https://graph.microsoft.com/beta/servicePrincipals in het veld naast de vervolgkeuzelijsten in en klik op Query uitvoeren.
  
  Notitie
  
  Als u meerdere directory's gebruikt, kunt u https://graph.microsoft.com/beta/contoso.com/servicePrincipals invoeren in het veld van de query.
5. Extraheer de eigenschap appRoles van de ‘service-principal’ in de sectie Preview van reactie voor later gebruik.
  
  Notitie
  
  U kunt de eigenschap appRoles vinden door https://graph.microsoft.com/beta/servicePrincipals/<objectID> in te voeren in het veld van de query. Houd er rekening mee dat dit de objectID object-id is die u hebt gekopieerd van de pagina Eigenschappen van Microsoft Entra-id.
6. Ga terug naar de Graph Explorer, wijzig de methode van GET naar PATCH, plak de volgende inhoud in het gedeelte Aanvraagbody en klik op Query uitvoeren:
```
  {
    "appRoles": [
      {
        "allowedMemberTypes": [
          "User"
        ],
        "description": "msiam_access",
        "displayName": "msiam_access",
        "id": "41be2db8-48d9-4277-8e86-f6d22d35****",
        "isEnabled": true,
        "origin": "Application",
        "value": null
      },
      {
        "allowedMemberTypes": [
          "User"
        ],
        "description": "Admin,AzureADProd",
        "displayName": "Admin,AzureADProd",
        "id": "68adae10-8b6b-47e6-9142-6476078cdbce",
        "isEnabled": true,
        "origin": "ServicePrincipal",
        "value": "acs:ram::187125022722****:role/aadrole,acs:ram::187125022722****:saml-provider/AAD"
      }
    ]
  }
```
  Notitie
  
  De value is de ARN’s van de IdP en de rol die u hebt gemaakt in de RAM-console. Hier kunt u meerdere rollen toevoegen als dat nodig is. Microsoft Entra ID verzendt de waarde van deze rollen als de claimwaarde in het SAML-antwoord. U kunt echter alleen nieuwe rollen toevoegen na de tegel msiam_access voor de patchbewerking. Om het aanmaakproces te vereenvoudigen, raden we aan om een id-generator, zoals GUID Generator, te gebruiken om id's in realtime te genereren.
7. Nadat de service-principal is gepatcht met de vereiste rol, koppelt u de rol aan de Microsoft Entra-gebruiker (u2) door de stappen van het gedeelte Microsoft Entra-testgebruiker van de zelfstudie toewijzen te volgen.

Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) configureren

Als u eenmalige aanmelding aan de zijde van Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) wilt configureren, moet u het gedownloade XML-bestand met federatieve metagegevens en de juiste uit de toepassingsconfiguratie gekopieerde URL's verzenden naar het ondersteuningsteam van Alibaba Cloud Service (eenmalige aanmelding op basis van rollen). Het team stelt de instellingen zo in dat de verbinding tussen SAML en eenmalige aanmelding aan beide zijden goed is ingesteld.

Een testgebruiker maken voor Alibaba Cloud Service (eenmalige aanmelding op basis van rollen)

In deze sectie maakt u een gebruiker met de naam Britta Simon in Alibaba Cloud Service (eenmalige aanmelding op basis van rollen). Werk met het ondersteuningsteam van Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) om gebruikers toe te voegen aan Alibaba Cloud Service (eenmalige aanmelding op basis van rollen). Er moeten gebruikers worden gemaakt en geactiveerd voordat u eenmalige aanmelding kunt gebruiken.

Eenmalige aanmelding testen

Nadat de voorgaande configuraties zijn voltooid, test u Alibaba Cloud Service (eenmalige aanmelding op basis van rollen) door de volgende stappen uit te voeren:

Meld u aan bij het Microsoft Entra-beheercentrum als ten minste een cloudtoepassing Beheer istrator.
Blader naar Bedrijfstoepassingen voor identiteitstoepassingen>>>Alibaba Cloud Service (eenmalige aanmelding op basis van rollen).
Selecteer Eenmalige aanmelding en klik op Testen.
Klik op Aanmelden als huidige gebruiker.
Selecteer u2 op de pagina voor het selecteren van accounts.
De volgende pagina wordt weergegeven, waarmee wordt aangegeven dat eenmalige aanmelding op basis van rollen is geslaagd.

Volgende stappen

Zodra u Alibaba Cloud Service (op rollen gebaseerde eenmalige aanmelding) configureert, kunt u sessiecontrole afdwingen om in real time de vertrouwelijke gegevens van uw organisatie te beschermen tegen exfiltratie en infiltratie. Sessiebeheer is een uitbreiding van voorwaardelijke toegang. Meer informatie over het afdwingen van sessiebeheer met Microsoft Defender voor Cloud Apps.