4.1 前提条件

请确保已开通华为云IAM账号。

4.2 操作步骤

1. 获取OneAccess的元数据文件，获取方法请参考：IdP配置。

   获取并保存元数据文件“IdP-metadata.xml”。

2. 在华为云创建基于SAML协议的身份提供商，操作请参见：在华为云上创建身份提供商。

   其中“在华为云上配置元数据文件”需要上传1获取到的OneAccess IdP元数据“IdP-metadata.xml”。

5 在IAM配置身份提供商身份转换规则

完成联邦对接后，还需要在IAM的身份提供商中，配置OneAccess与华为云用户组间的映射关系，以实现OneAccess用户完成与华为云间的联合认证及权限范围限定。

身份转换规则的详细说明和示例请参见：身份转换规则详细说明。

操作步骤

     1. 管理员登录华为云，在IAM“修改身份提供商”页面， 创建身份转换规则。详情请参考：配置身份转换规则。

• 用户名：联邦登录用户使用的用户名称，如“guest”。
• 用户组：联邦登录用户具有的用户组权限，如“guest”。
• 本规则生效条件：联邦用户拥有所选用户组权限的生效条件。

        说明：

             本规则生效条件中的属性应与IdP侧OneAccess映射配置添加的用户属性名一致。

     2. 在“创建规则”页面，单击“确定”。

     3. 在“修改身份提供商”页面，单击“确定”，使配置生效。

         配置成功后，OneAccess用户发起联邦登录，将以guest用户名登录华为云，此用户具有IAM guest用户组对应权限。

6 SP端发起登录

     1. 在“修改身份提供商”页面，复制登录链接，并在浏览器中输入如下链接。

     2. 浏览器弹出如下页面中，填写OneAccess应用授权的用户名和密码，单击“登录”。

     3. 登录至华为云控制台，企业管理系统OneAccess到华为云的联合认证成功。

• 用户登录后出现如下页面，说明使用OneAccess用户（企业联邦用户）登录华为云成功。

• 用户登录后出现如下页面，说明当前登录华为云的企业联邦用户没有相应操作的权限，参考1.5章节，配置身份提供商身份转换规则完成权限配置。

7 （可选）配置OneAccess的华为应用映射关系

8.2 多租户模式

8.2.1多租户模式场景说明

• 多租户模式下配置单租户场景

         IDP端发起登录后，将触发多租户模式下的单租户场景，预期以idp_id_1身份登录domain_id_1。

• 多租户模式下配置多租户场景

         IDP端发起登录后，将触发多租户模式下的多租户场景，如下图所示。将跳转至多租户联邦登录页，用户选择身份提供商后，完成登录。

       说明：

               多个传出声明类型值由分号“;”分割，且传参不能含有空格。

8.2.2 多租户模式登录步骤

1. 在“修改身份提供商”页面，查看对应的domain_id，idp，确认身份提供商信息（多租户场景需要根据不同的登录链接确认信息）。

   

   IDP	domain_id	Idp_id
   IDP1	{domain_id_1}	{idp_id_1}
   IDP2	{domain_id_1}	{idp_id_2}
   IDP3	{domain_id_2}	{idp_id_3}

   
   

2. 参考单租户登录-步骤2，在ADFS上添加多租户配置参数idps对应的规则。

   其中传出声明类型必须为IAM_SAML_Attributes_identityProviders，传出声明值为固定格式的多租配置信息，具体参数说明如下：

   参数	格式	说明
   传出声明类型	IAM_SAML_Attributes_identityProviders	固定值，不能与其他IAM_SAML配置同时配置
   传出声明值	iam::{domain_id}:identityProvider:{idp_id}	支持多值拼接，拼接符为英文分号（;）

   
   

3. 登录OneAccess企业中心，进入创建的华为云应用详情，获取网站应用的挂载URL。

   

4. 浏览器中输入挂载URL，输入帐号、密码，登录并跳转至华为云控制台，表示OneAccess用户到华为云的联合认证成功。

5. 在华为云console选择要访问的身份提供商。

   

6. 出现如下页面，说明使用OneAccess用户登录华为云成功。