阿里云RAM (Resource Access Management)為客戶提供身份與訪問控制管理服務。使用RAM，可以輕松創建并管理您的用戶（比如雇員、企業開發的應用程序），并控制用戶對云資源的訪問權限。

對云資源的信息安全保護與風險控制能力是企業成功上云的關鍵。RAM支持在多種云原生應用場景下，為客戶提供豐富的訪問控制安全機制，賦能企業在DevOps、計算環境、應用程序、數據訪問等全棧系統統一實施“最小權限原則”，降低云資源的攻擊平面，有效控制企業上云的信息安全風險。

RAM目前已經為數十萬企業客戶提供了身份安全與訪問管理服務，它基于ABAC (Attribute based access control)?安全模型為客戶提供對云資源的細粒度訪問控制能力，并支持如下豐富的云原生應用場景：
? 用戶管理與資源授權
? 跨云賬號的資源授權
? 跨云服務的資源授權
? 針對移動設備應用程序的臨時訪問授權
? 部署在云上的應用程序的動態身份管理與資源授權

日前，RAM發布了針對單點登錄SSO (single sign-on)這一新場景的支持 ——?使用企業自有賬號登錄阿里云。

SSO場景介紹
假如您的企業有在本地部署域賬號系統（比如部署了Microsoft AD 以及 AD FS 服務），由于企業安全管理與合規要求，所有人員對任何資源（包括云資源）進行操作時都必須經過企業域賬號系統的統一身份認證，禁止任何人員使用獨立用戶賬號和密碼直接操作云資源。為了滿足安全與合規要求，您需要云服務商能提供這種安全能力。

阿里云RAM支持企業級 IdPs (identity providers) 廣泛使用的SAML 2.0 (Security Assertion Markup Language 2.0)?身份聯合標準。通過在云賬號下開啟RAM用戶聯合登錄，您就可以使用企業內部賬號登錄到阿里云。

SAML 聯合登錄的基本思路
阿里云與外部企業身份系統的集成場景中，阿里云是服務提供商（SP），而企業自有的身份服務則是身份提供商（IdP）。圖1描述了在這一解決方案中，企業員工通過企業自有賬號系統登錄到阿里云控制臺的基本流程。

（圖1：使用企業自有賬號登錄阿里云控制臺的基本流程）

當管理員在完成 SAML 聯合登錄的配置后，企業員工可以通過如圖所示的方法登錄到阿里云控制臺：
1、企業員工使用瀏覽器登錄阿里云，阿里云將 SAML 認證請求返回給瀏覽器；
2、瀏覽器向企業 IdP 轉發 SAML 認證請求；
3、企業 IdP 提示用戶登錄，并且在用戶登錄成功后生成 SAML 響應返回給瀏覽器；
4、瀏覽器將 SAML 響應轉發給阿里云；
5、阿里云通過 SAML 互信配置，驗證 SAML 響應的數字簽名以驗證 SAML 斷言的真偽，并通過 SAML 斷言的用戶名稱，匹配到對應云賬號中的 RAM 用戶身份；
6、登錄服務完成認證，向瀏覽器返回登錄 session 以及阿里云控制臺的 URL；
7、瀏覽器重定向到阿里云控制臺。

說明：在第 1 步中，企業員工從阿里云發起登錄并不是必須的。企業員工也可以在企業自有 IdP 的登錄頁直接點擊登錄到阿里云的鏈接，向企業 IdP 發出登錄到阿里云的 SAML 認證請求。

關于SAML聯合登錄的工作原理與配置方法，請詳細參考RAM在線文檔 -?SSO聯合登錄。

單個云賬號的SSO管理
假設您的企業只有一個云賬號（旗下有虛擬機、網絡、數據庫或存儲等資源，并管理RAM用戶及權限），那么建議的SSO方案模型如圖2所示。

（圖2: 云上企業單賬號管理與SSO模型）

思路：將該賬號當做SP與企業本地IdP直接進行身份聯合，并通過RAM來控制臺用戶對云資源的訪問權限。

多個云賬號的SSO管理
假設您的企業已經有兩個云賬號（記為Workload Account，即云賬號下有虛擬機、網絡、數據庫或存儲等資源），那么建議的SSO訪問模型如圖3所示。

（圖3: 云上企業多賬號管理與SSO模型）

思路：先創建一個獨立云賬號（記為Identity Account，即云賬號下只創建 RAM 用戶），將該賬號當做SP與企業本地IdP進行身份聯合。然后利用阿里云 RAM 提供的跨賬號RAM角色的授權訪問能力進行跨賬號訪問其他云賬號資源。

更多信息請參考RAM在線文檔。

阿里云RAM訪問控制新版發布會
https://yq.aliyun.com/live/641
了解產品，歡迎點擊
https://promotion.aliyun.com/ntms/act/ramnew.html