Tencent Cloudが企業とロールSSOを行う場合、Tencent Cloudはサービスプロバイダ（SP）であり、企業自身の身分管理システムは身分プロバイダ（IdP）となります。ロールSSOを通じて、企業はローカルのIdPで従業員情報を管理でき、Tencent Cloudと企業IdP間のユーザー同期を行う必要がありません。企業の従業員は指定されたCAMロールを使用してTencent Cloudにログインします。
基本プロセス
企業の従業員はコンソールまたはプログラムを通じてTencent Cloudにアクセスできます。
コンソールによるTencent Cloudアクセス
管理者がロールSSOの関連設定を完了した後、企業の従業員は以下の方法でTencent Cloudにログインできます。基本手順は以下の通りです：
1. ブラウザを使用して、IdPのログインページでTencent Cloudをターゲットサービスとして選択します。
2. IdP は SAML レスポンスを生成し、ブラウザに返します。
3. ブラウザはSSOサービスページにリダイレクトされ、SAMLレスポンスをSSOサービスに転送します。
4. SSOサービスはSAMLレスポンスを使用してTencent Cloud STSサービスに一時セキュリティクレデンシャルをリクエストし、一時セキュリティクレデンシャルを使用してTencent CloudコンソールにログインできるURLを生成します。
5. SSO サービスは URL をブラウザに返します。
6. ブラウザはそのURLにリダイレクトされ、指定されたCAMロールでTencent Cloudコンソールにログインします。
プログラムによるTencent Cloudへのアクセス
企業の従業員はプログラムを作成してTencent Cloudにアクセスします。基本手順は以下の通りです：
1. プログラムを使用して企業IdPにログインリクエストを送信します。
2. IdPはログインユーザーに関するSAMLアサーションを含むSAMLレスポンスを生成し、このレスポンスをプログラムに返します。
3. プログラムは、Tencent Cloud STSサービスが提供するAPIAssumeRoleWithSAMLを呼び出し、以下の情報を渡します：Tencent Cloud内の身分プロバイダのPrincipalArn（アクターのアクセス記述名）、引き受けるロールのRoleArn（ロールのアクセス記述名）、および企業IdPからのSAMLアサーション情報。
4. STSサービスはSAMLアサーションを検証し、一時セキュリティクレデンシャルをプログラムに返します。
5. プログラムは一時セキュリティクレデンシャルを使用してTencent Cloud APIを呼び出します。
設定手順
Tencent Cloudと企業IdP間の相互信頼関係を確立するために、Tencent CloudをSPとするSAML設定と企業IdPのSAML設定が必要であり、設定完了後に初めてロールSSOを実施できます。
1. Tencent Cloudが企業IdPに対する信頼を確立するために、企業IdPをTencent Cloudに設定する必要があります。詳細については、SAML身分プロバイダの作成を参照してください。 3. 企業IdPがTencent Cloudに対する信頼関係を確立するために、企業IdPでTencent Cloudを信頼できるSAML SPとして設定し、SAMLアサーション属性の構成を行う必要があります。
設定サンプル