在跨不同云帐户的服务之间配置 SSO

您可能已在两个不同的云帐户中部署了服务。为了提供无缝的用户体验，您可以在它们之间配置单点登录 (Single Sign-On, SSO)。

示例方案

您的用户需要同时访问 Oracle Fusion Cloud Enterprise Performance Management 和 Fusion ERP 服务，但这些服务分布在两个不同的 Oracle Cloud 帐户中。尽管用户存在于两个帐户中，但为了提供无缝的登录体验，您计划在这些环境之间设置 SSO。

  • Fusion ERP 用作身份提供者
  • 云 EPM 用作服务提供程序

在本主题中，我们将介绍如何为此方案配置 SSO：

步骤 1 - 为每个云帐户打开单独的会话

针对每个已订阅的云帐户，登录 Oracle Cloud 控制台。

以下示例用于登录 Fusion ERP 云帐户。打开云 EPM 帐户的步骤也与此相同。
  1. 在登录页面上，选择使用身份域登录。确保您的租户和域名正确。单击下一步。
    使用域登录
  2. 使用您的凭据登录。访问控制台可能需要多因素身份验证 (Multi-Factor Authentication, MFA)。请参阅“启用多因素身份验证”。
    登录云帐户 1

身份验证成功后，将打开 Oracle Cloud 控制台。

步骤 2 - Fusion ERP 云帐户 - 下载 Fusion ERP 元数据

  1. 在 Fusion ERP 云帐户中，转到导航菜单，搜索 Identity（身份），然后选择域。
    搜索域

  2. 选择 Fusion ERP 域以查看域的详细信息。
  3. 导航到联盟选项卡。
  4. 选择导出 SAML 元数据。
    导出 SAML 元数据

  5. 下载元数据文件。您将在 EPM 云帐户中使用此文件将 Fusion ERP 配置为 IdP。
    下载元数据

步骤 3 - 云 EPM 帐户 - 将 Fusion ERP 配置为身份提供者

在 云 EPM 帐户中将 Fusion ERP 服务配置为可信身份提供者。

  1. 在云 EPM 帐户中，转到导航菜单，搜索 Identity（身份），然后选择域。
  2. 选择云 EPM 域以查看域的详细信息页。
  3. 导航到联盟选项卡。
  4. 单击操作，选择添加 SAML IdP 并提交工作流中的任务。
    添加 SAML IdP

  5. 任务 1 - 添加详细信息：
    • 名称：输入 SAML IdP 的名称。
    • （可选）说明：输入 IdP 的说明。
    • （可选）身份提供者图标：拖放支持的图像，或单击选择一个以浏览查找图像。

    添加 SAML IdP 详细信息

  6. 单击下一步。
  7. 任务 2 - 交换元数据：
    1. 选择导入 IdP 元数据。
    2. 单击放置文件或选择一个以上传从 Fusion ERP 下载的元数据文件。请参阅“步骤 2 - Fusion ERP 云帐户 - 下载 Fusion ERP 元数据”
      导入元数据

  8. 单击下一步。
  9. 任务 3- 映射用户身份。按参考图像中所示配置字段：
    映射用户身份
  10. 单击下一步。
  11. 在复查并创建页上，验证输入的详细信息。单击创建 IdP。

    Fusion ERP 服务将在联盟选项卡中的身份提供者下列出。

  12. 选择刚刚创建的 Fusion ERP 服务身份提供者以打开详细信息页。
    打开“详细信息”页

  13. 单击“服务提供者元数据”旁边的下载。
  14. 向下滚动并单击服务提供程序签名证书旁边的下载。

步骤 4 - Fusion ERP 云帐户 - 将云 EPM 添加为集成的应用程序

  1. 转到集成的应用程序选项卡。
  2. 单击添加应用程序。
    添加集成的应用程序

  3. 在“添加应用程序”页上，选择 SAML 应用程序。
  4. 单击启动工作流。
    SAML 应用程序启动工作流

  5. 提供名称和其他详细信息，然后单击提交。
    提交 SAML 应用程序

  6. 配置 SSO。
    1. 导航到 SAML SSO 配置选项卡。
    2. 单击编辑 SSO 配置。
      编辑 SSO 配置

    3. 在常规下，输入您在上一节中下载的服务提供程序元数据值。请参阅“步骤 3 - 云 EPM 帐户 - 将 Fusion ERP 配置为身份提供者”。字段映射如下所示：
      • 实体 ID - 提供程序 ID
      • 断言使用者 URL - 断言使用者服务 URL
      • 单一注销 URL - 注销服务端点 URL
      • 注销响应 URL - 注销响应 URL
    4. 配置其他 SSO 设置：
    5. 单击保存更改。
  7. 将用户分配给应用程序。
    1. 导航到用户选项卡。
    2. 单击顶部的操作，然后从菜单中选择激活。
    3. 接下来，单击分配用户。
      分配用户

    4. 搜索并选择要将此应用程序分配给的用户，然后单击分配。

步骤 5 - 云 EPM 帐户 - 验证 SAML SSO

  1. 验证使用您的身份提供者的 SAML SSO。
    1. 单击顶部的操作，然后从菜单中选择测试登录。
      Fusion ERP IdP 屏幕

    2. 使用您的凭据进行身份验证以测试连接。

      如果成功，将显示一条消息：“您的连接成功。”
      测试连接

      连接成功

  2. 激活身份提供者，以便身份域可以使用它。单击操作，然后从菜单中选择激活 IdP。
    “操作”菜单

  3. 接下来，将身份提供者分配给 IdP 策略，使其显示在身份域登录页面上。
    1. 单击操作，然后从菜单中选择添加到 IdP 策略。
    2. 向下滚动，在身份提供者策略下，选择要分配的策略。
      身份提供者策略

    3. 单击“默认身份提供者策略”。
      默认 IdP 策略
    4. 导航到身份提供者规则选项卡。
    5. 单击 IdP 规则旁边的省略号，然后单击编辑 IdP 规则。
      编辑 IdP 规则

    6. 在编辑身份提供者规则页上的分配身份提供者下拉列表中，选择 Fusion ERP IdP 和用户名-密码。
      编辑身份提供者规则
    7. 单击保存更改。
  4. 单击顶部的“概要信息”图标，然后选择注销。
  5. 再次登录云 EPM 帐户。底部显示 Fusion ERP IdP 按钮。
    使用底部的 "Fusion ERP IdP" 登录 ERP

步骤 6 - 测试 SSO

  1. 从您的 Fusion ERP 帐户和 云 EPM 帐户注销，然后关闭浏览器。
  2. 首先，登录您的 Fusion ERP 云帐户。
  3. 接下来，在单独的选项卡中打开云 EPM URL。
    使用底部的 "Fusion ERP IdP" 登录 ERP

  4. 在云 EPM 登录页面上，单击 Fusion ERP IdP 。

    您将自动进行身份验证并重定向到云 EPM 环境，无需重新输入凭据。

通过 Fusion ERP IdP 成功登录即可确认在您的 Fusion ERP 帐户和云 EPM 帐户之间配置了 SSO。