# 使用 SAML2 登录阿里云控制台（国际区）

使用 SAML2 登录阿里云控制台（国际区）
- 用户 SSO
- 角色 SSO

Authing SAML Identity Provider 为企业提供了单点登录能力。在阿里云通过设置SSO来实现从企业本地账号系统登录到阿里云，从而实现员工身份在云上和云下的统一管理。

阿里云采用了基于SAML 2.0的身份联盟标准来实现身份系统的互通。

阿里云支持「用户 SSO」和「角色 SSO」，下面分这两种模式进行说明。

# 用户 SSO

# 在 Authing 配置 IdP

如果你还没有创建应用，你需要先在 Authing 创建一个应用。

先进入阿里云访问控制 (opens new window) > 左侧菜单 > 人员管理 > 设置，点击「高级设置」选项卡，记录默认域名。

进入控制台 > 应用 > 应用列表，找到你的应用，点击「配置」。

在应用详情页面，点击「配置 SAML2 身份提供商」选项卡，打开「启用 SAML2 Provider」开关，默认 ACS 地址填写 https://signin-intl.aliyun.com/saml/SSO。

设置内容按如下方式填写：

emailDomainSubstitution 字段填写刚刚在阿里云控制台记录的默认域名。

{
    "audience": "https://signin-intl.aliyun.com/{阿里云账号 ID}/saml/SSO",
    "recipient": "https://signin-intl.aliyun.com/saml/SSO",
    "destination": "https://signin-intl.aliyun.com/saml/SSO",
    "mappings": null,
    "digestAlgorithm": "http://www.w3.org/2000/09/xmldsig#sha1",
    "signatureAlgorithm": "http://www.w3.org/2000/09/xmldsig#rsa-sha1",
    "authnContextClassRef": "urn:oasis:names:tc:SAML:2.0:ac:classes:unspecified",
    "lifetimeInSeconds": 3600,
    "signResponse": true,
    "nameIdentifierFormat": "urn:oasis:names:tc:SAML:1.1:nameid-format:unspecified",
    "samlRequestSigningCert": "",
    "emailDomainSubstitution": "authing.onaliyun.com" // 换成你的阿里云域名称
}

重要提示⚠️⚠️⚠️：emailDomainSubstitution 填写后，Authing 在发送身份断言之前，会将用户池中的用户邮箱域名替换为这个字段的内容，请务必关闭用户池注册（控制台 > 设置 > 安全信息，打开禁止注册开关），否则存在账号冒用风险，例如：test@authing.cn 和 test@123.com 账户都会被阿里云认为是同一个用户。

点击「保存」。然后下载 SAML2 Identity Provider 的元数据文档：

https://core.authing.cn/api/v2/saml-idp/<应用 ID>/metadata