检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
检测到您已登录华为云国际站账号，为了您更好的体验，建议您访问国际站服务网站 https://www.huaweicloud.com/intl/zh-cn
不再显示此消息
概述 为了满足企业内部对安全的要求，OneAccess提供了多种认证方式。 管理员可以在通用配置设置用户名规则、管理门户双因子认证、管理门户Welink认证。为了防止用户在“登录认证”、“注册”、“忘记密码”、“VPN双因素”等环节中出现冒名或身份盗用情况发生，管理员可以进行用户
云审计服务支持的OneAccess操作列表 云审计服务（Cloud Trace Service，以下简称CTS），是华为云安全解决方案中专业的日志审计服务，提供对各种云资源操作记录的收集、存储和查询功能，可用于支撑安全分析、审计、资源跟踪和问题定位等常见应用场景。 为了方便查看O
手机号查找系统中手机号相同的用户自动绑定，不需要输入手机号和验证码进行绑定，已登录过则直接进入应用系统。如果钉钉手机号未查询到已存在的用户则会提示未找到关联用户。 配置钉钉认证源中的 “未关联用户时” 选项选择绑定或注册时，如果钉钉手机号未匹配到已存在的用户则会根据绑定手机号自动创建用户，用户需填写注册表单。
企业对权限最小化的安全管控要求。 策略：IAM最新提供的一种细粒度授权的能力，可以精确到具体服务的操作、资源以及请求条件等。基于策略的授权是一种更加灵活的授权方式，能够满足企业对权限最小化的安全管控要求。多数细粒度策略以API接口为粒度进行权限拆分，权限的最小粒度为API授权项（
Kerberos是一种计算机网络认证协议，它允许某实体在非安全网络环境下通信，向另一个实体以一种安全的方式证明自己的身份。具体请参考https://web.mit.edu/kerberos。 AD（Active Directory），即活动目录。您可以将AD简单理解成一个数据库，其存储有关网络对象的信息，方便管理员和用户查找所需信息。
Directory，即活动目录。您可以将AD简单理解成一个数据库，其存储有关网络对象的信息，方便管理员和用户查找所需信息。 为方便企业用户的认证登录，OneAccess通过LDAP协议把认证指向AD域，AD通过认证后，根据AD返回的用户属性与OneAccess用户关联属性做匹配校验，验证通过即可登录OneAccess。
Access之间建立了一条网络安全隧道，可以避免企业的内部服务直接暴露在公网上，从而有效的保护网络实体免受窃听和重复攻击等。 目前，云桥Agent支持AD身份源、AD及LDAP认证源，本节主要介绍AD和LDAP通过云桥Agent连接OneAccess的方法。 前提条件 请确保您已拥有部署云桥Agent的能力。
云审计服务支持的关键动作 云审计服务支持的OneAccess操作列表 在CTS事件列表查看云审计事件
基于CAS的应用认证集成 认证登录 验证票据(CAS3.0) 注销登录 验证票据(CAS1.0) 验证票据(CAS2.0) 父主题： 应用集成接口
Frame地址 应用的Frame地址。选择带Frame元素登录时，需配置该参数。 用户名输入框 用户名输入框的CSS选择器。 下一步按钮 下一步按钮的CSS选择器。选择两页面登录时，需配置该参数。 密码输入框 密码输入框的CSS选择器。 额外输入框 额外输入框的的CSS选择器。选择三字段登录时，需配置该参数。
查询用户所有授权的应用账号 功能介绍 查询用户所有授权的应用账号。 接口约束 无 URI GET /api/v2/tenant/users/{user_id}/accounts 表1 路径参数 参数 是否必选 参数类型 描述 user_id 是 String 用户id。 请求参数
基于OIDC的应用认证集成 认证登录获取授权码 获取ID Token 刷新Access Token 隐式授权 获取OIDC metadata 父主题： 应用集成接口
/api/v1/cas/logout 表1 Query参数 参数 是否必选 参数类型 描述 service 否 String 注销退出后的重定向地址，不设置则跳转登录页，若设置必须与应用CAS配置中的应用回调URL一致。 请求参数 无 响应参数 无 请求示例 注销CAS登录会话，重定向到应用回调地址https://example
基于OAuth2.0的应用认证集成 认证登录获取授权码 获取AccessToken 获取用户信息 刷新Access Token 父主题： 应用集成接口
对OIDC协议中的id_token进行验证 登录OneAccess管理门户，选择“设置 > 服务配置”。 在服务配置页面，单击“OIDC”。 在OIDC页面，单击“OIDC设置”。 获取jwks_uri地址。 在浏览器中输入jwks_uri地址，根据创建的OIDC应用中的签名加密方式
/api/v1/cas/login 表1 Query参数 参数 是否必选 参数类型 描述 service 是 String 应用接受票据的地址，URL编码，必须与应用CAS配置中的应用回调URL一致。 请求参数 无 响应参数 状态码： 302 表2 响应Header参数 参数 参数类型 描述 Location
基于SAML2.0的应用认证集成 IdP-initiated单点登录 获取IdP元数据metadata 父主题： 应用集成接口
//解密 public String decrypt(String input, String privateKey) { privateKey = privateKey.replaceAll(BEGIN_PRI_KEY, "").replaceAll(END_PRI_KEY
Query参数 参数 是否必选 参数类型 描述 service 是 String 应用接受票据的地址，必须与应用CAS配置中的应用回调URL一致。 ticket 是 String 票据，认证登录获取的Service Ticket。 请求参数 无 响应参数 无 请求示例 查询CAS1.0接
描述 service 是 String 应用接受票据的地址，必须与应用CAS配置中的应用回调URL一致。 ticket 是 String 票据，认证登录获取的Service Ticket。 format 否 String 响应用户信息的格式，可选择XML和JSON。 缺省值：XML 请求参数
长按/截图保存，微信识别二维码
或者关注公众号“华为云”
