步驟一：在云SSO獲取服務提供商（SP）元數據

1. 登錄云SSO控制臺。

2. 在左側導航欄，單擊設置。

3. 在SSO登錄區域，復制服務提供商（SP）的ACS URL和Entity ID。

步驟二：在Okta創建應用程序

1. 登錄Okta門戶。

2. 單擊頁面右上方的賬號圖標，然后單擊Your Org。

3. 在左側導航欄，選擇Applications > Applications。

4. 在Applications頁面，單擊Browse App Catalog。

5. 搜索并找到名為Alibaba Cloud CloudSSO的應用程序。

6. 打開應用程序介紹頁面后，單擊Add integration，添加應用程序。

7. 配置應用程序信息。

   1. 在General Settings頁面，輸入應用名稱CloudSSODemo，然后單擊Done。

   2. 在Sign on頁面的settings區域，單擊Edit。

      • Default RelayState：用來配置SSO登錄成功后跳轉到的阿里云頁面。如果不配置，默認跳轉到云SSO用戶門戶。

        說明

        出于安全原因，您只能輸入*.alibabacloudsso.com域名的URL，否則配置無效。

      • ACS URL：從步驟一：在云SSO獲取服務提供商（SP）元數據獲取的ACS URL值。

      • Entity ID：從步驟一：在云SSO獲取服務提供商（SP）元數據獲取的Entity ID值。

      • Application username：選擇Okta username。

   3. 單擊Save。

步驟三：在Okta獲取身份提供商（IdP）元數據

1. 在應用程序CloudSSODemo詳情頁，單擊Sign On頁簽。

2. 在SAML Signing Certificates區域，鼠標右鍵單擊Actions下拉列表，選擇View IdP metadata，將IdP元數據另存到本地。

步驟四：在Okta為應用程序分配用戶

1. 在應用程序CloudSSODemo詳情頁，單擊Assignments頁簽。

2. 單擊Assign，選擇分配方式。

   • Assign to People：分配用戶。本文以該方式為例。

   • Assign to Groups：分配用戶組。

3. 在Assign CloudSSODemo to People對話框，單擊目標用戶右側的Assign。

4. 檢查或修改User Name，然后單擊Save and Go Back。

5. 重復步驟3~步驟4，依次分配其他用戶到應用程序。

6. 單擊Done。

步驟五：在云SSO啟用SSO登錄

1. 在云SSO的左側導航欄，單擊設置。

2. 在SSO登錄區域，單擊配置身份提供商信息。

3. 在配置身份提供商信息對話框，選擇上傳元數據文檔。

4. 單擊上傳文件，上傳從步驟三：在Okta獲取身份提供商（IdP）元數據獲取的IdP元數據文件。

5. 打開SSO登錄開關，啟用SSO登錄。

   說明

   啟用SSO登錄后，用戶名和密碼登錄將自動禁用，即云SSO用戶將不能通過用戶名和密碼登錄。而且，SSO登錄是一個全局功能，啟用后，所有用戶都需要SSO登錄。

步驟六：同步用戶或創建用戶

從Okta同步用戶到云SSO，或者在云SSO創建同名用戶。具體如下：

• 從Okta同步用戶到云SSO（推薦）：適用于Okta中擁有大量用戶的情況。具體操作，請參見通過SCIM同步Okta用戶或用戶組的示例。

• 在云SSO創建同名用戶：適用于Okta中僅有少量用戶的情況。具體操作，請參見創建用戶。

  說明

  用戶名會用于用戶登錄。當您進行SSO登錄時，云SSO的用戶名應該與Okta中用于SSO登錄的字段保持一致。更多信息，請參見步驟二：在Okta創建應用程序。

（可選）步驟七：為用戶授權

如果您計劃用戶SSO登錄后訪問資源目錄指定成員賬號中的指定資源，您還需要創建訪問配置，并為用戶在RD賬號上授權。

1. 在云SSO創建訪問配置，定義權限策略。

   具體操作，請參見創建訪問配置。

2. 為用戶在RD賬號上授權。

   具體操作，請參見在RD賬號上授權。

驗證結果

完成上述配置后，您可以從阿里云或Okta發起SSO登錄。

• 從阿里云發起SSO登錄

  1. 在云SSO控制臺的概覽頁，復制用戶登錄地址。

  2. 使用新的瀏覽器打開復制的用戶登錄地址。

  3. 單擊跳轉，系統會自動跳轉到Okta的登錄頁面。

  4. 使用Okta用戶名和密碼登錄。

     系統將自動SSO登錄并重定向到您指定的Default RelayState頁面。本示例中未指定Default RelayState，系統會訪問云SSO用戶門戶。

• 從Okta發起SSO登錄

  1. 使用Okta用戶登錄Okta門戶。

  2. 單擊CloudSSODemo應用。

     系統將自動SSO登錄并重定向到您指定的Default RelayState頁面。本示例中未指定Default RelayState，系統會訪問云SSO用戶門戶。

相關文檔

• 通過SCIM同步Okta用戶或用戶組的示例

• 登錄用戶門戶并訪問阿里云資源