背景

随着企业上云的进一步深入，越来越多的业务逐步迁移至云端，云上资源的需求也随着业务增加而越来越多，这种增长使得单账号的资源、项目、人员、权限管理变得极其复杂，多账号上云模式逐渐成为多业务上云的重要选择，然而随着云账号的增加，多账号管理中的人员和权限问题也随着浮现，给运维工作带来了新的挑战，基于这些挑战，我们开始研究如何在多账号环境下高效的管理人员与权限，如何在多账号场景下实现统一认证。

痛点

单账号场景下，阿里云RAM子账号基本满足人员管理，权限管理的需求，但是在多账号场景下，所有账号都采用RAM账号方式进行人员权限管理就显得有些吃力，会面临以下的一些问题

• 某些人员账号会存在多个账号内，管理不便。
• 多账号的权限分配冗余且每个账号都要重复操作。
• 人员离职需要在每一个账号内检查并清理。
• 多账号下每次切换账号都需要重新输入用户及密码，效率较低。

解决方案

• RAM SSO ：配置繁琐，需配合企业 IdP 使用，权限层面管理需要在企业 IdP 和阿里云上同时操作，只在用户管理层面会有点优势，并不能解决目前面临的所有问题。
• 阿里云云SSO ：配置简单，可以与企业 IdP 配合使用，也可以不接入企业 IdP 独立使用，用户管理，权限管理集中在一处。

通过一些调研和对比，阿里云云SSO（下文简称云SSO） 基本符合我们的需要。

阿里云云SSO

阿里云云SSO是基于阿里云资源目录（RD的统一身份与访问控制产品，基于阿里云云SSO，我们可以统一企业在多账号下的阿里云用户，对用户在多账号下的权限进行统一管理，实现多账号下的单点登录。

云SSO架构

云SSO配置解释

• 企业 IdP ：企业身份提供商（Identity Provider），如 AD 、 LDAP 、 Kerberos 等存储和管理用户身份的服务。
• SP：服务提供商（Service Provider）。
• 云SSO用户：云SSO有自己的用户目录，基于此实现用户统一管理，通过给云SSO用户分配对应账号的访问配置来实现权限管理。
• 访问配置：权限集合，每个访问配置可以添加多个权限（与 RAM 权限类似，内置权限和自定义权限）。
• 资源目录管理账号/资源目录成员：云SSO是基于阿里云资源目录的多账号统一身份管理与访问控制，各个业务阿里云账号都会加入资源目录管理账号中，加入后，之前分散的账号会成为资源目录的的成员，资源目录的管理账号可以进行统一管控。
• RAM用户同步：云SSO默认是通过角色方式去访问子账号（资源目录成员）的，但是有些阿里云产品可能对角色的支持并不是那么完善，这个时候就可以用使用RAM用户同步来切换成RAM用户形式去访问云资源。
• RAM角色：体现为访问控制（RAM）中的一个角色，云SSO用户登录时会扮演这个角色来访问子账号里的云资源。
• RAM用户：与传统的RAM用户一致。

云SSO功能列表：

• 统一阿里云用户 云SSO为您提供一个原生的身份目录，可以将所有需要访问阿里云的用户在该目录中维护。
• 统一的权限配置 借助与RD的深度集成，在云SSO中可以统一配置用户或用户组对整个RD内的任意成员账号的访问权限。云SSO管理员可以根据RD的组织结构，选择不同成员账号为其分配可访问的身份（用户或用户组）以及具体的访问权限，且该权限可以随时修改和删除。
• 统一的用户门户 企业员工只需要登录门户站点，即可在门户站点上看到所有有权限的账号列表，可以在门户页面在多账号之间轻松切换。
• 企业身份集成，单点登录 云SSO也可以与企业身份系统进行集成实现单点登录。

云SSO用法

因云SSO需要配合资源目录使用，资源目录账号对目录下的阿里云账号有管理权限，因此最好是一个独立的阿里云账号，此阿里云账号不涉及到任何资源。

      1.开通资源目录（搜索资源目录点击开通即可）

      2.在资源目录邀请要纳入管理的阿里云账号

      3.登录被邀请的阿里云账号的资源目录中接受邀请

a.登录资源管理控制台

b.左侧导航栏，选择资源目录 > 概览

c.查看邀请

d.点击处理邀请 → 接受邀请

     4.开通云SSO（登录云SSO控制台开通即可）

     5.在云SSO人员管理中添加用户

        6.添加访问配置（权限配置）

        7.在多账号管理里面选择指定的账号推送访问配置（推送权限）推送时需要关联指定的用户或用户组

        8.通过SSO门户登录地址登录SSO门户（参考用户名密码登录流程）

用户名密码登录流程

1.获取登录地址

2.复制URL到浏览器，输入用户名密码

3.访问RD账号资源

4.选择对应的权限登录

到此，云SSO访问配置以及登录配置基本结束，所有用户相关操作都集中在云SSO控制台上执行即可，不在需要在各个子账号中去操作，实现了用户及权限的统一管理，登录操作也只需要在SSO门户站点上登录一次即可，登录后可以很方便的在各个子账号中进行切换，基本上解决了我们当初在面临多账号管理上的一些问题。

KeyCloak + 云SSO

上文还提过，云SSO是支持企业IdP的，接下来我们将介绍如何通过开源产品KeyCloak实现通过企业身份（活动目录，Active Directory）登录阿里云。

此方案中，KeyCloak将作为IdP，阿里云云SSO作为SP，通过SAML协议进行身份认证。

KeyCloak介绍

基于KeyCloak + AD + 云SSO的登录流程

配置流程

1.部署KeyCloak（部署过程较为繁琐，可以参考官方文档） KeyCloak 支持多种部署方式，Kubernetes、Docker、Podman、裸机部署等… 高可用架构

2.在KeyCloak管理后台中添加 AD 配置（添加 LDAP 供应商） 在后台添加用户联合，协议选择 LDAP

3.在云SSO获取SP元数据文档

4.在KeyCloak中新建客户端，导入SP元数据文档

导入后协议类型选择 SAML 其他选项如图

保存后即可

5.KeyCloak开启OTP验证（如无需要也可以不开启）

6.阿里云启用SSO登录（启用后将无法通过云SSO用户管理里面设置的用户名密码登录）

7.云SSO登录测试（登录URL与用户密码登录流程中用到的URL一致） 开启SSO登录后将无法通过账号密码登录

KeyCloak SSO登录页面

第一次登录会提示让绑定OTP（开启OTP情况下，如果没开启认证成功后会直接跳转至云SSO门户）

整体配置基本完成，此方案使用KeyCloak实现了阿里云与企业账号的打通，因账号安全策略控制在企业侧，也能更好的保护用户密钥安全，并且阿里云SSO认证与KeyCloak Server之间不存在服务端层面的交互，因此KeyCloak完全可以部署在内网，可以更好的保护账号安全，而且阿里云账号的生命周期也会跟企业账号的生命周期保持一致，避免了一些因人员离职后的未知访问。

注意事项

• 最好不要在KeyCloak上开启注册以及同步用户修改，添加用户身份供应商时（如 AD ）读写默认配置为只读。
• 为了账号安全，最好在KeyCloak侧开启OTP验证（上述有截图）。
• KeyCloak只负责用户身份验证，权限等操作还是需要在云SSO控制台进行统一管理。
• 没有开启云SSO的 SCIM 用户同步时，如果需要给企业人员添加账号，需要在云SSO用户管理中添加对应用户（无需额外设置密码）并配置权限，之后用户才可以通过KeyCloak用企业账号登录阿里云，否则阿里云侧会提示无法找到用户。

KeyCloak SSO在无影电脑上的应用

通过云SSO的实践，我们通过KeyCloak实现了一套SSO认证的体系，KeyCloak除了SAML协议，还支持OpenID Connect协议，其他应用可以轻松使用标准协议接入SSO系统进行身份验证。我们也将正在使用的无影云电脑应用接入了KeyCloak进行登录认证，提高了大家使用云电脑的便捷性，并且因为是同一套SSO，也不用额外记录一套用户密码，OTP二次验证等都可以复用。

配置简介

1.在KeyCloak上获取 IdP 元数据信息

2.添加企业身份源，上传 IdP 元数据信息

3.点击编辑 → 下载元数据信息

4.在KeyCloak导入客户端（参考上文）

5.在无影云电脑通用配置中关闭便捷账号登录

6.云电脑客户端登录时会自动跳转KeyCloak SSO认证（与云SSO类似）

未来规划

当前并没有开启SCIM用户同步，因此流程上还有些手动部分，未来可以考虑将手动部分通过程序或脚本自动化，接入OA之类的系统，联动企业内部流程，提高运维效率。

作者简介

Yulong，系统运维专家

招聘信息

拍码场