Introducción
Huawei Cloud proporciona la función de proveedor de identidades para implementar autenticación de identidad federada basada en Lenguaje de Marcado para Confirmaciones de Seguridad (SAML) o OpenID Connect. Esta función permite a los usuarios de su sistema de gestión empresarial acceder a Huawei Cloud a través del inicio de sesión único (SSO).
IAM admite dos tipos de autenticación de identidad federada:
- Web SSO: Los navegadores se utilizan como medio de comunicación. Este tipo de autenticación permite a los usuarios comunes acceder a Huawei Cloud mediante navegadores. Puede implementar el inicio de sesión único utilizando cualquiera de los siguientes métodos:
- Configure un enlace de inicio de sesión en el sistema de gestión empresarial. Los usuarios de su empresa pueden usar el enlace para iniciar sesión en Huawei Cloud desde el sistema de gestión empresarial.
- Proporcione el enlace de inicio de sesión de usuario federado a los usuarios de su empresa. Pueden iniciar sesión en Huawei Cloud usando sus cuentas y contraseñas en el sistema de gestión empresarial.
- Llamadas a la API: Las herramientas de desarrollo (como el cliente OpenStack y el cliente ShibbolethECP) se utilizan como medios de comunicación. Este tipo de autenticación permite a los usuarios empresariales y comunes acceder a Huawei Cloud al llamar a las API.
Este capítulo describe cómo acceder a Huawei Cloud a través del inicio de sesión SSO web. Para obtener más información sobre cómo acceder a Huawei Cloud llamando a las API, consulte Gestión de autenticación de identidad federada.
Conceptos Básicos
- Proveedor de identidad (IdP)
Un proveedor de identidad recopila y almacena información de identidad del usuario, como nombres de usuario y contraseñas, y autentica a los usuarios durante el inicio de sesión. Para la autenticación de identidad federada entre una empresa y Huawei Cloud, el sistema de autenticación de identidad de la empresa es un proveedor de identidad y también se denomina "IdP empresarial". Las IdPs de terceros más populares incluyen los servicios de Microsoft Active Directory Federation (AD FS) y Shibboleth.
- Proveedor de servicios (SP)
Un proveedor de servicios establece una relación de confianza entre un IdP y él mismo, y utiliza la información de usuario proporcionada por el IdP para proporcionar servicios. Para la autenticación de identidad federada entre una empresa y Huawei Cloud, Huawei Cloud es un proveedor de servicios.
- Autenticación de identidad federada
La autenticación de identidad federada es un proceso en el que se establece una relación de confianza entre un IdP y un SP para implementar un SSO.
- Inicio de sesión único (SSO)
El inicio de sesión único es un tipo de acceso que permite a los usuarios acceder a un SP de confianza después de iniciar sesión en el IdP de la empresa. Por ejemplo, después de establecer una relación de confianza entre un sistema de gestión empresarial y Huawei Cloud, los usuarios en el sistema de gestión empresarial pueden usar sus cuentas y contraseñas existentes para acceder a Huawei Cloud a través del enlace de inicio de sesión en el sistema de gestión empresarial.
- SAML 2.0
SAML 2.0 es un protocolo basado en XML que utiliza securityTokens que contienen aserciones para pasar información sobre un usuario final entre un IdP y un SP. Es un estándar abierto ratificado por la Organización para el Avance de Estándares de Información Estructurada (OASIS) y está siendo utilizado por muchos IdPs. For more information about this standard, see SAML 2.0 Technical Overview. Huawei Cloud implementa autenticación de identidad federada de acuerdo con SAML 2.0. Para federar con éxito a los usuarios existentes a Huawei Cloud, asegúrese de que su IdP empresarial sea compatible con este protocolo.
- OpenID Connect
OpenID Connect es una capa de identidad simple en la parte superior del protocolo Open Authorization 2.0 (OAuth 2.0). IAM implementa la autenticación de identidad federada de conformidad con OpenID Connect 1.0. Para federar con éxito a los usuarios existentes a Huawei Cloud, asegúrese de que su IdP empresarial sea compatible con este protocolo. Para obtener más información acerca de OpenID Connect, vea Bienvenido a OpenID Connect.
- OAuth 2.0
OAuth 2.0 es un protocolo de autorización abierto. El marco de autorización de este protocolo permite que las aplicaciones de terceros obtengan permisos de acceso.
Ventajas de la autenticación de identidad federada
- Gestión de usuarios sencilla
Como administrador, solo necesita crear usuarios en su sistema de gestión empresarial. Los usuarios pueden usar sus propias cuentas para acceder tanto al sistema de gestión empresarial como Huawei Cloud.
- Operaciones simplificadas
Los usuarios pueden iniciar sesión en Huawei Cloud a través del sistema de gestión empresarial.
Figura 1 Ventajas de la autenticación de identidad federada
Precauciones
- Para implementar la autenticación de identidad federada, asegúrese de que su servidor IdP empresarial y Huawei Cloud utilizan la hora del meridiano de Greenwich (GMT) en la misma zona horaria.
- Los usuarios federados son identidades virtuales que el IdP de su empresa asigna a Huawei Cloud. La información de identidad de los usuarios federados se almacena en el IdP empresarial, por lo que Huawei Cloud tiene las siguientes restricciones:
- Los usuarios federados no pueden realizar la verificación cuando realizan operaciones críticas. La configuración de protección de operación crítica no se aplica a los usuarios federados.
- Los usuarios federados no pueden crear claves de acceso con validez ilimitada, pero pueden obtener credenciales de acceso temporales (claves de acceso y tokens de seguridad) utilizando tokens de usuario o agencia. Para obtener detalles, consulte Obtención de una clave de acceso temporal y un token de seguridad.
Si un usuario federado necesita una clave de acceso con validez ilimitada, el usuario puede ponerse en contacto con el administrador de la cuenta o con un usuario de IAM para crear una. Una clave de acceso contiene los permisos concedidos a un usuario, por lo que se recomienda que el usuario federado solicite a un usuario IAM del mismo grupo que cree una clave de acceso.
