Introdução

Conceitos básicos

Vantagens da federação de identidade

• Gerenciamento fácil de identidade

  Com um provedor de identidade, o administrador pode gerenciar as identidades da força de trabalho fora da Huawei Cloud e conceder a essas identidades externas da força de trabalho permissões para usar recursos na Huawei Cloud.

• Operações simplificadas

  Os usuários da força de trabalho podem usar suas contas existentes na empresa para acessar a Huawei Cloud por meio do SSO.

  Figura 1 Vantagens da federação de identidade
  

Tipo de SSO

O IAM oferece suporte a dois tipos de SSO: SSO de usuário virtual e SSO de usuário do IAM. Para obter detalhes sobre como escolher um tipo de SSO, consulte Cenários de aplicações de SSO de usuário virtual e SSO de usuário do IAM.

• SSO de usuário virtual

  Depois que um usuário federado fizer logon na Huawei Cloud, o sistema cria automaticamente um usuário virtual e concede permissões de acesso ao usuário virtual com base nas regras de conversão de identidade configuradas.

• SSO de usuário do IAM

  Depois que um usuário federado faz logon na Huawei Cloud, o sistema mapeia automaticamente o ID de identidade externa para um usuário do IAM para que o usuário federado tenha as permissões do usuário do IAM mapeado.

Atualmente, o IAM oferece suporte a dois métodos de logon federados: SSO baseado em navegador (SSO da Web) e SSO via chamada de API.

• SSO da Web: os navegadores são usados como meio de comunicação. Esse tipo de autenticação permite que usuários comuns acessem a Huawei Cloud usando navegadores. Você pode iniciar o SSO da Web a partir do lado do IdP ou do SP.
  • SSO iniciado por IdP: configure um link de logon no sistema de gerenciamento empresarial. Os funcionários da sua empresa podem usar o link para fazer logon na Huawei Cloud a partir do sistema de gerenciamento empresarial.
  • SSO iniciado por SP: a Huawei Cloud fornece a entrada de logon de usuário federado. Os funcionários da sua empresa podem inserir uma conta da Huawei Cloud e escolher o IdP da empresa na página de logon para acessar a Huawei Cloud.
• SSO via chamada de API: funcionários empresariais chamam APIs usando ferramentas de desenvolvimento (como OpenStack Client e ShibbolethECP Client) para acessar a Huawei Cloud.

Precauções

• Certifique-se de que seu servidor de IdP empresarial e a Huawei Cloud usem o Horário do Meridiano de Greenwich (GMT) no mesmo fuso horário.
• As informações de identidade (como endereço de e-mail ou número de celular) de usuários federados são armazenadas no IdP empresarial. Os usuários federados são mapeados para a Huawei Cloud como identidades virtuais, portanto, seu acesso à Huawei Cloud tem as seguintes restrições:
  • Os usuários federados não precisam executar uma verificação em duas etapas ao executar operações críticas, mesmo que a proteção de operação crítica (proteção de logon ou proteção de operação) esteja ativada.
  • Os usuários federados não podem criar chaves de acesso com validade ilimitada, mas podem obter credenciais de acesso temporárias (chaves de acesso e tokens de segurança) usando tokens de usuário ou agência. Para obter detalhes, consulte Obtenção de uma chave de acesso temporária e de um token de segurança por meio de um token.

    Se um usuário federado precisar de uma chave de acesso com validade ilimitada, ele poderá entrar em contato com o administrador da conta ou com um usuário do IAM para criar uma. Uma chave de acesso contém as permissões concedidas a um usuário, portanto, é recomendável que o usuário federado solicite que um usuário do IAM no mesmo grupo crie uma chave de acesso.