文档首页/ 统一身份认证服务 IAM/ 用户指南/ 身份提供商/ 虚拟用户SSO与IAM用户SSO的适用场景
更新时间:2024-04-23 GMT+08:00

虚拟用户SSO与IAM用户SSO的适用场景

华为云目前支持两种身份提供商类型:虚拟用户SSO和IAM用户SSO。本文为您介绍两种身份提供商的适用场景和选择依据,帮助您根据整体业务需求选择合适的身份提供商类型。

虚拟用户SSO

身份提供商中的用户登录华为云后,系统为其自动创建虚拟用户信息,并按照身份转换规则授权。虚拟用户SSO适用于以下场景:

  • 出于管理成本考虑,您不希望在云平台创建和管理IAM用户,从而避免用户同步带来的工作量。
  • 您希望根据用户在本地企业IdP中加入的组或者用户的某个特殊属性,来区分云上拥有的权限。当企业Idp用户进行权限调整时,只需要在本地进行分组或属性的更改,即可同步到云平台。
  • 您的各个分支机构存在多个企业IdP,都需要访问同一个华为云账号,您需要在一个华为云账号中内配置多个IdP进行联邦认证。

IAM用户SSO

身份提供商中的用户登录华为云后,系统将自动匹配外部身份ID绑定的对应IAM子用户,从而拥有该子用户所在用户组的权限。IAM用户SSO适用于以下场景:

  • 您需要使用的云产品中有部分暂时不支持虚拟用户SSO访问,例如软件开发平台
  • 您没有上述需要使用虚拟用户SSO的业务需求,而又希望尽量简化IdP配置。

两者的区别

虚拟用户SSO和IAM用户SSO的区别有身份转换方式、IAM用户身份、IAM侧权限分配3个方面的区别:

1、身份转换方式:虚拟用户SSO通过身份转换规则进行Idp用户和IAM用户的身份转换。IAM用户SSO使用外部身份ID来进行身份转换,Idp用户的IAM_SAML_Attributes_xUserId值与IAM用户的外部身份ID一一对应,一个或多个具有相同IAM_SAML_Attributes_xUserId值的Idp用户均可跳转至对应ID值的SP用户。因此,使用IAM用户SSO登录,请务必在Idp侧断言中设置IAM_SAML_Attributes_xUserId,在SP侧设置IAM用户外部身份ID

2、IAM侧用户身份:虚拟用户SSO无法在IAM用户列表中找到Idp用户对应的IAM用户,跳转时系统临时为其自动创建虚拟用户信息。IAM用户SSO则在IAM用户列表中存在Idp用户对应的绑定外部身份ID的IAM子用户。

3、IAM侧权限分配:虚拟用户SSO中,Idp用户跳转后的权限取决于身份转换规则,规则中说明跳转后临时生成的虚拟用户拥有哪些用户组权限。IAM用户SSO中,Idp用户跳转后直接集成IAM子用户所在用户组的权限。

图1 IAM用户SSO与虚拟用户SSO的区别