Introducción

Conceptos básicos

Ventajas de la Federación de Identidad

• Fácil gestión de identidades

  Con un proveedor de identidades, el administrador puede gestionar las identidades de la fuerza laboral fuera de Huawei Cloud y otorgar a estas identidades de fuerza laboral externas permisos para usar los recursos en Huawei Cloud.

• Operaciones simplificadas

  Los usuarios de la fuerza laboral pueden usar sus cuentas existentes en la empresa para acceder a Huawei Cloud a través de SSO.

  Figura 1 Ventajas de la federación de identidad
  

Tipo de SSO

IAM admite dos tipos de SSO: SSO de usuario virtual y SSO de usuario de IAM. Para obtener más información sobre cómo elegir un tipo de inicio de sesión único, consulte Escenarios de aplicación de SSO de usuario virtual y SSO de usuario de IAM.

• SSO de usuario virtual

  Después de que un usuario federado inicie sesión en Huawei Cloud, el sistema crea automáticamente un usuario virtual y otorga permisos de acceso al usuario virtual basándose en las reglas de conversión de identidad configuradas.

• Inicio de sesión único del usuario de IAM

  Después de que un usuario federado inicie sesión en Huawei Cloud, el sistema asigna automáticamente el ID de identidad externo a un usuario de IAM para que el usuario federado tenga los permisos del usuario de IAM asignado.

Actualmente, IAM admite dos métodos de inicio de sesión federados: SSO basado en navegador (SSO web) y SSO a través de invocaciones de API.

• Web SSO: Los navegadores se utilizan como medio de comunicación. Este tipo de autenticación permite a los usuarios comunes acceder a Huawei Cloud mediante navegadores. Puede iniciar el inicio de sesión único web desde el lado del IdP o del SP.
  • SSO iniciado por IdP: Configurar un enlace de inicio de sesión en el sistema de gestión empresarial. Los empleados de su empresa pueden usar el enlace para iniciar sesión en Huawei Cloud desde el sistema de gestión empresarial.
  • SSO iniciado por SP: Huawei Cloud proporciona la entrada de inicio de sesión del usuario federado. Los empleados de su empresa pueden ingresar una cuenta de Huawei Cloud y elegir el IdP de la empresa en la página de inicio de sesión para acceder a Huawei Cloud.
• SSO vía invocación de API: Los empleados de la empresa invocan a las API usando herramientas de desarrollo (como el cliente OpenStack y el cliente ShibbolethECP) para acceder a Huawei Cloud.

Precauciones

• Asegúrese de que su servidor IdP empresarial y Huawei Cloud utilizan la hora del meridiano de Greenwich (GMT) en la misma zona horaria.
• La información de identidad (como la dirección de correo electrónico o el número de teléfono móvil) de los usuarios federados se almacena en el IdP de la empresa. Los usuarios federados se asignan a Huawei Cloud como identidades virtuales, por lo que su acceso a Huawei Cloud tiene las siguientes restricciones:
  • Los usuarios federados no necesitan realizar una verificación en 2 pasos cuando realizan operaciones críticas aunque protección de operación crítica (protección de inicio de sesión o protección de operación) esté habilitada.
  • Los usuarios federados no pueden crear claves de acceso con validez ilimitada, pero pueden obtener credenciales de acceso temporales (claves de acceso y tokens de seguridad) utilizando tokens de usuario o delegación. Para obtener más información, consulte Obtención de una clave de acceso temporal y un token de seguridad a través de un token.

    Si un usuario federado necesita una clave de acceso con validez ilimitada, puede ponerse en contacto con el administrador de la cuenta o con un usuario de IAM para crear una. Una clave de acceso contiene los permisos concedidos a un usuario, por lo que se recomienda que el usuario federado solicite a un usuario IAM del mismo grupo que cree una clave de acceso.