合规与安全：阿里云与企业身份系统的集成

在阿里云的产品体系中，提供了免费的访问控制（RAM：Resource Access Management）服务来满足企业的合规与安全需求。正如本博客的所有文章都提到的一样，我们希望和鼓励广大阿里云客户充分使用访问控制服务提供的功能，完善企业云上IT设施的安全管理。

在本文中，我们将介绍如何通过阿里云RAM服务的身份管理能力，集成企业自己的身份系统，从而实现对员工身份在云上和云下的统一管理。

解决方案要点

阿里云采用了SAML这一行业标准来实现身份系统的互通。关于SAML协议，本文在附录中对其基本术语进行了简要介绍，帮助理解身份联盟中的基本角色与功能。

在阿里云跟企业身份系统的集成场景中，阿里云是服务提供商（SP），而企业自有的身份服务则是身份提供商（IdP）。下图描述了在这一架构下，企业员工通过企业自有身份服务登陆到阿里云控制台的流程

我有几张阿里云幸运券分享给你，用券购买或者升级阿里云相应产品会有特惠惊喜哦！把想要买的产品的幸运券都领走吧！快下手，马上就要抢光了。

在阿里云配置企业自有IdP之后，企业员工登陆阿里云控制台的流程如下，有两种方式

方式一 （SP发起的单点登录）：

1. 企业员工在浏览器里登陆阿里云，阿里云将SAML认证请求返回给浏览器
2. 浏览器向企业IdP转发SAML认证请求
3. 企业IdP提示用户登录（或者利用用户在IdP中的登陆session），并且在认证用户后生成SAML响应返回给浏览器
4. 浏览器将SAML响应转发给阿里云
5. 阿里云通过互信配置，确认响应中断言的完整性，并通过断言中的用户属性，匹配到对应的云目录中的子用户（RAM子用户）
6. 登陆服务完成认证，向浏览器返回登陆session以及阿里云控制台的URL
7. 浏览器重定向到阿里云控制台

方式二（IdP发起的单点登录）：

这一方式和SP发起的单点登录的区别只在于第一步和第二步，在这一方式中

1. 企业员工在企业IdP的门户页直接点击登陆到阿里云的链接，链接向企业IdP发出登陆到阿里云的SAML认证请求

接下来流程则对应SP发起单点登录流程中的第3步到第7步。

原文链接