Włącz połączenia Entra ID SSO z Twoim kontem OVHcloud
Wprowadzenie
Możesz użyć uwierzytelnienia SSO (Single Sign-On), aby zalogować się do Twojego konta OVHcloud. Aby włączyć te połączenia, Twoje konto i identyfikator Entra ID (dawniej Azure Active Directory) muszą zostać skonfigurowane przy użyciu protokołu SAML (Security Assertion Markup Language).
Dowiedz się, jak powiązać Twoje konto OVHcloud z zewnętrznym Entra ID.
Wymagania początkowe
- Dostęp do ról Administrator aplikacji i administrator użytkowników usługi Entra ID
- Posiadanie konta OVHcloudwferee
Dostęp do Panelu klienta OVHcloud
- Link bezpośredni: SAML SSO
- Ścieżka nawigacji:
Tożsamość, bezpieczeństwo i operacje>Users>SSO connection
W praktyce
Aby dostawca usług (na przykład Twoje konto OVHcloud) nawiązał połączenie SSO z dostawcą tożsamości (na przykład Entra ID), musisz nawiązać wzajemne zaufanie, rejestrując połączenie SSO w obu usługach.
Użytkownicy i grupy AD
Twój Entra ID działa jako dostawca tożsamości. Zlecenia uwierzytelnienia Twojego konta OVHcloud zostaną przyjęte tylko wtedy, gdy wstępnie zadeklarowałeś je jako zaufaną osobę trzecią.
Skupmy się na tożsamości dostawcy tożsamości.
Użytkownicy Azure
Aby rozpocząć, przejdź do dashboardu Entra ID.
Następnie kliknij Users w menu po lewej stronie.
Twórz wybraną liczbę użytkowników i/lub sprawdzaj użytkowników klikając na nią.
W tym przykładzie użyty zostanie użytkownik John Smith.
W przypadku uwierzytelnienia SSO tożsamość John Smith jest przekazywana przez Entra ID na konto OVHcloud. Jednakże tożsamość ta musi zawierać co najmniej jedną grupę. Jeśli grupa nie istnieje, sprawdź poniżej, jak ją utworzyć, aby dodać do niej John Smith.
Grupy Entra ID
Kliknij Groups w menu po lewej stronie.
Kliknij New group w menu na górze i uzupełnij wszystkie niezbędne informacje.
W tym przykładzie użyta zostanie grupa manager@ovhcloudsaml.
Kliknij przycisk Create, aby wyświetlić wszystkie informacje o tej grupie.
Teraz użytkownicy, którzy będą używali do uwierzytelniania SSO muszą zostać dodani do grupy.
W tym przykładzie, skupmy użytkownika John Smith na grupie manager@ovhcloudsaml.
W interfejsie wybranej grupy kliknij Members w menu po lewej stronie, a następnie kliknij Add members w menu na górze.
Wybierz użytkownika, który chcesz dodać do tej grupy, następnie kliknij przycisk Select.
Teraz użytkownik jest przypisany do grupy.
Aby wykonywać uwierzytelnienia SSO, należy utworzyć aplikację Entra ID.
W tej aplikacji należy skonfigurować jednorazowe uwierzytelnienie.
Aplikacje Entra ID
Po pierwsze, utwórz aplikację, jeśli jeszcze jej nie ma.
Tworzenie aplikacji Entra ID
Kliknij Enterprise applications w menu po lewej stronie.
Kliknij New application w menu na górze.
Kliknij Create your own application w menu na górze.
Wybierz Non-gallery z menu po lewej stronie i kliknij przycisk Create.
Wyświetlą się wówczas szczegółowe informacje dotyczące aplikacji.
Aplikacja Entra ID została utworzona. Użytkownicy, którzy chcą uwierzytelniać SSO za pomocą tej aplikacji, powinni teraz zostać dodani do tej aplikacji.
Aplikacja Entra ID - Przydział dla użytkowników
Aby użytkownik wykonał uwierzytelnienie SSO z aplikacji Entra ID, należy go dodać do tej aplikacji. Poniżej znajdziesz metody dodawania użytkownika do aplikacji Entra ID.
Jednakże, w przypadku gdy dysponujesz usługą Entra ID Premium, lepiej jest dodać grupę użytkowników.
W menu po lewej stronie kliknij Users and groups, a następnie Add user/group w menu na górze.
Następnie kliknij sekcję Users, wybierz użytkownika, który ma zostać dodany do aplikacji, po czym kliknij przycisk Select.
Aplikacja jest utworzona, użytkownik jest przydzielony. Wystarczy uruchomić SSO przez SAML.
Entra ID aplikacja SSO
Przejdź do ogólnego widoku przez przycisk Overview w menu po lewej stronie, a następnie kliknij sekcję Set up single sign on.
Kliknij SAML.
Kliknij Upload metadata file w menu na górze.
Kliknij ikonę przycisku Select a file, wybierz plik metadanych OVHcloud Service Provider i kliknij przycisk Add.
Możesz uzyskać odpowiedni plik metadanych za pomocą następujących linków:
Pobierz plik metadanych, będziesz tego potrzebował później.
Wyświetli się konfiguracja SAML.
W sekcji Attributes & Claims kliknij przycisk Edit.
Dodaj atrybut UPN (User Principal Name) do informacji SAML, aby poinformować OVHcloud o wiadomości e-mail użytkownika. Ten krok jest niezbędny.
Kliknij na Add a new claim w menu na górze.
W polu Name wpisz wartość http://schemas.xmlsoap.org/ws/2005/05/identity/claims/upn.
W polu Source attribute wpisz user.mail.
Oczekuje się, że Twój interfejs będzie dość podobny do następującego zrzutu ekranu:
Kliknij na Save
Zadeklaruj teraz atrybut używany dla grupy użytkownika.
Kliknij Add a group claim w menu na górze.
Wybierz Security groups i Group ID w Source attribute, a następnie kliknij przycisk Save.
Prośba o groups musi się teraz znaleźć na liście.
Skopiuj i zapisz gdzieś wartość Claim name (np. notatnik). Będziesz potrzebował jej później.
W sekcji SAML certificates skopiuj wartość pola App Federation Metadata Url.
Użyj tego linku do pobrania pliku metadanych aplikacji Entra ID, aby później korzystać z tego linku na koncie OVHcloud.
Budowa zaufania do konta OVHcloud i konfiguracja połączenia
Aplikacja Entra ID zostaje dodana jako zatwierdzony dostawca danych na stronie SAML SSO w Panelu klienta OVHcloud, w którym możesz dostarczyć metadane dostawcy tożsamości.
Zaufanie OVHcloud
Uzupełnij pole Nazwa atrybutu użytkownika nazwą oświadczenia aplikacji identyfikatora wewnętrznego UPN oraz w polu Nazwa atrybutu grupy wartością nazwy oświadczenia groups, która została wcześniej zapisana.
Wypełnij metadane XML aplikacji Entra ID z wcześniej zarejestrowanego pliku.
Użytkowników lokalnych można zachować, zaznaczając pole Zachowaj status „aktywny” dla użytkowników OVHcloud.
Kliknij przycisk Zatwierdź.
Dodawanie aplikacji Entra ID do Twojego konta e-mail zostało ustanowione, ale należy dodać grupy do Twojego konta OVHcloud.
Jeśli spróbujesz zalogować się przez SSO, prawdopodobnie wyświetli się komunikat błędu "Not in valid groups".
Twoje konto OVHcloud sprawdza, czy uwierzytelniony użytkownik należy do grupy istniejącej na koncie.
Aby rozwiązać tę sytuację, sprawdź atrybut "Group" zwrócony przez aplikację Entra ID: Pole Object Id.
Sprawozdawczość grup OVHcloud
Aby dodać grupę, przejdź do sekcji Tożsamości i następnie do zakładki Grupy użytkowników. Następnie kliknij przycisk Zadeklaruj grupę:
Wpisz nazwę grupy i wybierz przypisaną rolę, a następnie kliknij na Zatwierdź.
Utworzona grupa musi pojawić się na liście.
Uwaga: jeśli nadasz tej grupie uprawnienia Brak, konieczne będzie przypisanie uprawnień za pośrednictwem zasad IAM.
Logowanie przez SSO
Na stronie logowania OVHcloud wpisz identyfikator, po którym następuje /idp bez hasła i kliknij przycisk Login.
Zostaniesz przekierowany na stronę logowania do aplikacji Entra ID. Wybierz Use another account.
Wpisz e-mail użytkownika aplikacji Entra ID, a następnie kliknij przycisk Next.
Wprowadź hasło użytkownika aplikacji Entra ID, a następnie kliknij przycisk Sign In.
Teraz jesteś zalogowany do tego samego identyfikatora klienta, ale za pośrednictwem użytkownika Active Directory i korzystając z SSO aplikacji Entra ID.
Jeśli Twój e-mail nie wyświetla się poniżej Connected via SSO, oznacza to, że nie skonfigurowałeś poprawnie atrybutu UPN i niektóre funkcje nie będą działać.
Sprawdź również
Zabezpieczenie konta OVHcloud i zarządzanie danymi osobowymi
Definicja i zarządzanie hasłem do konta
Zabezpieczenie konta OVHcloud za pomocą weryfikacji dwuetapowej
Jak korzystać z polityki IAM w Panelu klienta.
Dołącz do grona naszych użytkowników.