CAMの概要
製品機能
適用シーン
基本概念
使用制限
ユーザータイプ
SAML 2.0に基づくフェデレーション認証
Tencent Cloudは、SAML 2.0（セキュリティアサーションマークアップ言語2.0）に基づくフェデレーテッドアイデンティティ認証をサポートしています。SAML 2.0は、多くの認証プロバイダ（Identity Provider, IdP）が使用するオープンスタンダードです。身分プロバイダを使用することで、フェデレーテッドシングルサインオン（Federated Single Sign-on, SSO）を実現できます。ユーザーは、フェデレーテッドアイデンティティ認証を通過したユーザーに、Tencent Cloud管理コンソールへのログインやTencent Cloud API操作の呼び出しを権限付与でき、企業または組織の各メンバーごとにCloud Access Management (CAM)サブユーザーを作成する必要はありません。また、SAML 2.0は汎用オープンプロトコルであり、カスタムアイデンティティプロキシコードを記述する必要はなく、SAMLを使用して直接Tencent Cloudにおけるフェデレーテッドアイデンティティ認証のプロセスを簡素化できます。
SAML 身分プロバイダ
身分プロバイダは、CAMにおけるエンティティであり、外部の信頼されたアカウントの集合体と見なすことができます。SAML 2.0フェデレーテッドアイデンティティ認証に基づく身分プロバイダ（IdP）は、SAML 2.0（セキュリティアサーションマークアップ言語2.0）標準をサポートする身分プロバイダ（IdP）サービスを説明します。お客様が、SAML 2.0プロトコル互換の身分プロバイダ（例えばMicrosoft Active Directoryフェデレーションサービス）とTencent Cloudとの間の信頼関係を確立し、企業または組織内のメンバーがTencent Cloudリソースにアクセスできるようにする場合、SAML身分プロバイダを作成する必要があります。SAML身分プロバイダの作成について、身分プロバイダの作成を参照してください。
身分プロバイダロール
SAMLプロバイダを作成した後、1つ以上のSAML身分プロバイダをロール担い手とする身分プロバイダロールを作成する必要があります。ロールは一連の権限を持つ仮想アイデンティティであり、リソースアクセスを行う際には一時的なセキュリティ証明書を使用します。SAML 2.0アサーションのコンテキストでは、ロールは身分プロバイダ（IdP）によって認証されたフェデレーテッドユーザーに割り当てることができます。このロールにより、身分プロバイダはTencent Cloudリソースへのアクセスに必要な一時セキュリティ証明書をリクエストできます。このロールに関連付けられたポリシーは、フェデレーテッドユーザーがTencent Cloudリソースにアクセスできる範囲を決定します。SAML 2.0フェデレーテッドアイデンティティ認証に基づく身分プロバイダロールの作成について、ロールの作成を参照してください。
SAML 2.0に基づくフェデレーテッドアイデンティティ認証によるTencent Cloud APIアクセス
1. 企業または組織のユーザーは、クライアントを使用して企業の身分プロバイダに認証をリクエストします。
2. 身分プロバイダは企業の認証システムに基づいて認証を行います。
3. ユーザー認証の結果を返します。
4. 身分プロバイダは認証結果に基づいて、標準的なSAML 2.0アサーションドキュメントを生成し、クライアントに返却します。
5. クライアントは、SAML 2.0アサーション、身分プロバイダのリソース記述、および使用する身分プロバイダロールのリソース記述に基づいて、sts:AssumeRoleWithSAMLに一時的なセキュリティキーをリクエストします。
6. STSはSAML 2.0アサーション情報を検証します。
7. 検証結果を返します。
8. 返却結果に基づいて一時証明書を申請し、クライアントに返却します。
SAML 2.0に基づくフェデレーテッドアイデンティティ認証を使用したフェデレーテッドシングルサインオン（SSO）の実現
1. 企業または組織のユーザーはブラウザを使用してTencent Cloudサービスにアクセスします。
2. Tencent Cloudサービスは認証リクエストをブラウザに返します。
3. ブラウザは企業組織の身分プロバイダ（IdP）にリダイレクトします。
4. 企業はユーザー身分を認証します。
5. 企業ユーザーの認証が成功した場合、ユーザー情報を身分プロバイダ（IdP）に返却します。
6. 身分プロバイダ（IdP）は標準的なSAML2.0アサーションを生成し、ブラウザに返します。
7. ブラウザはSAML 2.0アサーションをTencent Cloudにリダイレクトします。
8. Tencent Cloud SSOログインサービスを開始し、cAuthをリクエストし、ユーザー身分を認証します。
9. Tencent Cloudの検証結果を返します。
10. 認証が成功しました、ログイン状態を返します。
11. Tencent Cloudコンソールサービスにリダイレクトします。
フィードバック