角色SSO的SAML响应 - 访问控制

本文为您介绍进行角色SSO时SAML响应中必须包含的元素，尤其是SAML断言中的元素。

背景信息

在基于SAML 2.0的SSO流程中，当企业用户在IdP登录后，IdP将根据SAML 2.0 HTTP-POST绑定的要求生成包含SAML断言的认证响应，并由浏览器（或程序）自动转发给阿里云。这个SAML断言会被用来确认用户登录状态并从中解析出登录的主体。因此，断言中必须包含阿里云要求的元素，否则登录用户的身份将无法被确认，导致SSO失败。

SAML响应

请确保您的IdP向阿里云发出符合如下要求的SAML响应，每一个元素都必须要有，否则SSO将会失败。

<saml2p:Response>
    <saml2:Issuer>...</saml2:Issuer>
    <saml2p:Status>
    </saml2p:Status>
    <saml2:Assertion>
        <saml2:Issuer>...</saml2:Issuer>
        <ds:Signature>
        </ds:Signature>
        <saml2:Subject>
            <saml2:NameID>${NameID}</saml2:NameID>
            <saml2:SubjectConfirmation>
            </saml2:SubjectConfirmation>
        </saml2:Subject>
        <saml2:Conditions>
            <saml2:AudienceRestriction>
                <saml2:Audience>${Audience}</saml2:Audience>
            </saml2:AudienceRestriction>
        </saml2:Conditions>
        <saml2:AuthnStatement>
        </saml2:AuthnStatement>
        <saml2:AttributeStatement>
            <saml2:Attribute Name="https://www.aliyun.com/SAML-Role/Attributes/RoleSessionName">
            </saml2:Attribute>
            <saml2:Attribute Name="https://www.aliyun.com/SAML-Role/Attributes/Role">
            </saml2:Attribute>
        </saml2:AttributeStatement>
    </saml2:Assertion>
</saml2p:Response>

SAML断言中的元素说明

SAML 2.0协议的通用元素

关于SAML 2.0协议的更多内容，请参见 SAML 2.0 。

元素	说明
`Issuer`	`Issuer` 的值必须与您在阿里云创建的身份提供商实体中上传的IdP元数据文件中的 `EntityID` 匹配。
`Signature`	阿里云要求SAML断言必须被签名以确保没有篡改， `Signature` 及其包含的元素必须包含签名值、签名算法等信息。
`Subject`	`Subject` 必须包含以下元素：有且仅有一个 `NameID` 元素。您必须按照SAML 2.0协议的要求自定义 `NameID` 的值，通常为SAML断言主体在IdP中的身份标识，阿里云不会依赖该元素的值来确认登录主体。有且仅有一个 `SubjectConfirmation` 元素，其中包含一个 `SubjectConfirmationData` 元素。 `SubjectConfirmationData` 必须有以下两个属性： `NotOnOrAfter` ：规定SAML断言的有效期。 `Recipient` ：阿里云通过检查该元素的值来确保阿里云是该断言的目标接收方，其取值必须为 `https://signin.alibabacloud.com/saml-role/sso` 。以下是一个 `Subject` 元素的示例： `<Subject> <NameID Format="urn:oasis:names:tc:SAML:2.0:nameid-format:persistent">administrator</NameID> <SubjectConfirmation Method="urn:oasis:names:tc:SAML:2.0:cm:bearer"> <SubjectConfirmationData NotOnOrAfter="2019-01-01T00:01:00.000Z" Recipient="https://signin.alibabacloud.com/saml-role/sso"/> </SubjectConfirmation> </Subject>`
`Conditions`	在 `Conditions` 元素中，必须包含一个 `AudienceRestriction` 元素，其中可包含一至多个 `Audience` 元素，但必须有一个 `Audience` 元素的取值为 `urn:alibaba:cloudcomputing:international` 。以下是一个 `Conditions` 元素的示例： `<Conditions> <AudienceRestriction> <Audience>urn:alibaba:cloudcomputing:international</Audience> </AudienceRestriction> </Conditions>`

阿里云要求的自定义元素

在SAML断言的 AttributeStatement 元素中，必须包含以下阿里云要求的 Attribute 元素：
- Name 属性值为 https://www.aliyun.com/SAML-Role/Attributes/Role 的 Attribute 元素
  
  该元素为必选，可以有多个。其包含的 AttributeValue 元素取值代表允许当前用户扮演的角色，取值的格式是由角色ARN与身份提供商ARN组合而成的，中间用半角逗号（,）隔开。这两个ARN您可以在控制台获取：
  - 角色ARN：在角色页面，单击RAM角色名称，然后在 基本信息 区域查看对应的ARN。
  - 身份提供商ARN：在 SSO管理页面 的 角色SSO 页签下，单击身份提供商名称，然后在 身份提供商信息 区域查看对应的ARN。
```
<Attribute Name="https://www.aliyun.com/SAML-Role/Attributes/Role">      
  <AttributeValue>acs:ram::$account_id:role/role1,acs:ram::$account_id:saml-provider/provider1</AttributeValue>
  <AttributeValue>acs:ram::$account_id:role/role2,acs:ram::$account_id:saml-provider/provider1</AttributeValue>
</Attribute>               
```
- ```
<Attribute Name="https://www.aliyun.com/SAML-Role/Attributes/RoleSessionName">
  <AttributeValue>user_id</AttributeValue>
</Attribute>                     
```
- ```
<Attribute Name="https://www.aliyun.com/SAML-Role/Attributes/SessionDuration">
  <AttributeValue>1800</AttributeValue>
</Attribute>                  
```

背景信息

SAML响应

SAML断言中的元素说明

相关文档