单点登录-阿里云控制台(RAM)

本文介绍如何配置专属集成平台与阿里云 RAM 之间的单点登录，实现企业用户使用专属集成平台身份直接登录阿里云控制台。

本文档详细介绍如何配置专属集成平台与阿里云RAM(Resource Access Management)之间的单点登录功能。通过此配置，企业用户可以使用专属集成平台的身份认证直接登录阿里云控制台，无需重复输入阿里云账号密码，提升用户体验并增强企业身份管理的统一性。

阿里云RAM是阿里云提供的身份与访问控制服务，可以集中管理用户身份与资源访问权限。本文档基于SAML 2.0协议实现单点登录，该方案由阿里云官方支持，安全性高且配置灵活。

前提条件

拥有阿里云账号，并具备管理RAM的权限

拥有专属集成平台管理员账号

确保专属集成平台中已创建相应用户

阿里云中已创建RAM用户，且用户邮箱字段与专属集成平台中的用户邮箱保持一致

配置步骤

获取阿里云RAM的SAML配置信息

访问阿里云RAM控制台

访问阿里云RAM控制台：https://ram.console.aliyun.com/providers

导航到SSO管理

在左侧导航栏，选择"SSO管理"，切换到"用户SSO"选项卡

查看元数据

找到并点击"SAML服务提供方元数据URL"查看配置元数据

记录关键信息

记录以下关键信息：

entityID：阿里云的SAML实体ID

SSO URL：阿里云的单点登录服务地址

重要提示：请确保准确记录entityID和SSO URL，这些信息将用于配置专属集成平台的应用。

在专属集成平台创建阿里云RAM应用

登录管理控制台

登录专属集成平台管理控制台

创建应用

导航至"应用管理"→"应用市场"，搜索并添加"阿里云控制台"应用

配置SAML参数

根据之前获取的阿里云SAML元数据，配置应用参数

SAML配置关键参数：

参数名称	配置来源	说明
SSO URL	阿里云元数据	阿里云单点登录服务地址
接受者URL	阿里云元数据	与SSO URL相同
目的URL	阿里云元数据	与SSO URL相同
SP实例ID	阿里云元数据	阿里云entityID
用户ID格式	自定义选择	建议选择"邮箱"
应用用户名	自定义选择	选择"邮箱"，与阿里云RAM用户关联

注意：确保用户ID格式和应用用户名均设置为"邮箱"，这样专属集成平台会将用户邮箱作为SAML断言中的用户标识，与阿里云RAM用户匹配。

SAML高级配置 - 唯一标识匹配：

配置项	说明	阿里云RAM应用配置建议
属性值	选择专属集成平台中的用户属性源	选择"邮箱"，作为与阿里云RAM用户匹配的唯一标识
属性名称	传递给阿里云的属性名称	保持默认或根据阿里云要求设置
属性格式	数据格式规范	通常选择"不指定"
重写值	可选的固定值替换	通常留空，使用实际用户属性值

获取专属集成平台的SAML元数据

访问Metadata URL

在完成应用配置后，找到并访问该应用的Metadata URL

保存元数据

将打开的元数据内容保存为XML文件(例如：digitalsee_metadata.xml)

在阿里云RAM中配置身份提供商

返回阿里云RAM控制台

返回阿里云RAM控制台的"SSO管理"→"用户SSO"页面

编辑SSO设置

点击"编辑"按钮，打开SSO设置面板

上传元数据

将SSO功能状态设置为"开启"

在"元数据文档"部分，点击"上传文件"按钮，上传之前保存的专属集成平台SAML元数据XML文件

保存配置

点击"确定"保存配置

重要：开启SSO功能后，除主账号外，RAM用户将无法使用用户名密码直接登录阿里云控制台，必须通过SSO登录。请确保配置正确后再启用此功能。

阿里云RAM用户配置

创建RAM用户

在阿里云RAM控制台，导航至"身份管理"→"用户"，新建或编辑RAM用户

确认映射关系

确保其登录名称与专属集成平台中对应用户的邮箱地址一致

分配权限

为用户分配适当的权限策略

映射规则：专属集成平台会将用户的邮箱作为SAML断言中的NameID发送给阿里云。阿里云会使用这个值与RAM用户的登录名进行匹配，因此两者必须保持一致。

专属集成平台授权范围配置

进入授权范围

在应用详情页，切换到"授权范围"选项卡

选择授权方式

可通过以下方式进行授权：

基于组织架构和用户授权：授权特定部门或用户

基于角色授权(RBAC)：通过静态标签(角色)授权

基于用户属性授权(ABAC)：通过动态标签(用户属性)授权

保存配置

根据企业需求选择合适的授权方式并配置授权范围，保存配置

验证单点登录

测试登录流程

访问阿里云登录页

访问阿里云RAM用户登录页面(通常为：https://signin.aliyun.com/<AccountID>.onaliyun.com/login.htm)

选择企业账号登录

选择"企业账号登录"或同等选项

完成认证

系统应自动跳转到专属集成平台的登录页面，在专属集成平台完成身份认证

验证结果

认证成功后，应自动跳回阿里云控制台

故障排查

问题现象	可能原因	解决方案
无法跳转到专属集成平台	阿里云SSO配置未生效	检查阿里云RAM中的SSO设置是否已启用
无法登录到阿里云	用户映射不匹配	确认专属集成平台用户邮箱与阿里云RAM用户登录名一致
权限不足错误	RAM用户权限配置问题	检查RAM用户的权限策略配置
SAML响应验证失败	元数据配置错误	重新上传最新的元数据文件到阿里云RAM

最佳实践

安全建议

定期更新SAML元数据，确保签名证书的有效性

使用强密码策略并考虑启用多因子认证

严格控制授权范围，只向必要的用户授予阿里云访问权限

定期审计访问日志，监控异常登录行为

用户体验优化

在企业门户中添加阿里云应用的明显入口

为用户提供清晰的使用指南

设置合理的会话超时时间

配置友好的错误提示信息

管理建议

建立用户生命周期管理流程，确保员工离职时同步撤销阿里云访问权限

实施最小权限原则，根据用户职责分配适当的阿里云资源访问权限

定期同步两个系统的用户数据，保持一致性

常见问题

Q：配置完SSO后，阿里云主账号还能使用密码登录吗？

Q：如何处理阿里云RAM用户与专属集成平台用户的同步问题？

Q：如果单点登录配置有误，如何恢复访问？

Q：是否支持通过角色(Role)进行更细粒度的权限控制？

附录

术语解释

RAM: Resource Access Management，阿里云的资源访问管理服务

SAML: Security Assertion Markup Language，安全断言标记语言，用于在不同系统间传递身份认证信息

IdP: Identity Provider，身份提供商，本场景中为专属集成平台

SP: Service Provider，服务提供商，本场景中为阿里云RAM

SSO: Single Sign-On，单点登录

单点登录-阿里云控制台(RAM)

前提条件#

配置步骤#

获取阿里云RAM的SAML配置信息#

在专属集成平台创建阿里云RAM应用#

获取专属集成平台的SAML元数据#

在阿里云RAM中配置身份提供商#

阿里云RAM用户配置#

专属集成平台授权范围配置#

验证单点登录#

测试登录流程#

故障排查#

最佳实践#

安全建议#

用户体验优化#

管理建议#

常见问题#

附录#

术语解释#