一、操作步骤
你可以通过本步骤创建一个或多个角色作为身份提供商的载体登录腾讯云管理控制台，授予权限后可以在权限范围内通过腾讯云控制台管理主账号下的资源。
1. 通过浏览器访问身份提供商的门户网站，并选择跳转到腾讯云管理控制台。
2. 该门户网站可以验证当前用户的身份。
3. 验证成功后，该门户网站会生成一个 SAML 2.0 身份验证响应，其中包括识别用户身份的断言以及用户的相关属性。该门户网站将此响应发送到客户端浏览器。
4. 该客户端浏览器将被重定向到腾讯云单一登录终端节点并发布 SAML 断言。
5. 终端节点将代表用户请求临时安全凭证，并创建一个使用这些凭证的控制台登录 URL。
6. 腾讯云将登录 URL 作为重定向发回客户端。
7. 该客户端浏览器将重定向到腾讯云管理控制台。如果 SAML 2.0 身份验证响应包含映射到多个 CAM 角色的属性，则系统将首先提示用户选择要用于访问控制台的角色。
从用户的角度来看，整个流程以透明的方式进行：用户在你企业组织的内部门户网站开始操作，在腾讯云管理控制台结束操作，无需提供任何腾讯云凭证。有关如何配置此行为的概述以及指向详细步骤的链接，请参阅以下章节。
二、在企业组织中配置基于 SAML 2.0 的身份提供商
在你的企业组织中，配置身份存储（例如 Azure Active Directory）以使用基于 SAML 2.0 的身份提供商，例如 Azure Active Directory、OneLogin、Okta 等。通过使用身份提供商，可以生成一个元数据文档。该文档将你的企业组织描述为包含身份验证密钥的身份提供商，会把你企业组织的门户网站配置为将访问腾讯云管理控制台的用户请求路由至腾讯云终端节点，以便使用 SAML 2.0 断言进行身份验证。如何配置你的身份提供商来生成 metadata.xml 文件取决于你的身份提供商。请参阅你的 IdP 文档以获得指示，或参阅以下文档。
·Azure Active Directory 单点登录腾讯云指南
·OneLogin 单点登录腾讯云指南
·Okta 单点登录腾讯云指南
·ADFS 单点登录腾讯云指南
三、在 CAM 中创建 SAML 身份提供商
你可以在访问管理（CAM）控制台创建一个 SAML 2.0 身份提供商，该身份提供商是访问管理（CAM）中的一个实体，可以认为是外部授信账号集合。基于 SAML 2.0 联合身份验证的身份提供商描述了支持 SAML 2.0（安全断言标记语言 2.0）标准的身份提供商服务。在创建过程中，你可以 在企业组织中配置基于 SAML 2.0 的身份提供商 中上传身份提供商的元数据文档。详细请参阅 创建身份提供商。
四、在腾讯云中为 SAML 提供商用户配置权限
你可以创建一个角色，用于建立你企业组织中的身份提供商和腾讯云的互信关系。在 SAML 2.0 断言上下文中，角色可分配给身份提供商验证身份的联合身份用户使用。此角色允许身份提供商请求临时安全证书进行腾讯云资源访问。在此过程中，你可以为该角色关联策略和设置角色的使用条件，从而决定联合身份用户在腾讯云资源的访问范围及使用条件。详细请参阅 为身份提供商创建角色。
五、配置身份提供商的单一登录
下载并保存腾讯云联合元数据 XML文档：http://cloud.tencent.com/saml.xml， 将你企业组织中的身份提供商属性映射到腾讯云的属性，建立你企业组织中的身份提供商和腾讯云的互信关系。安装该文件的方式取决于你的身份提供商。一些提供商为你提供了键入该 URL 的选项，此时，身份提供商将为你获取并安装该文件。另一些提供商则要求你从该 URL 处下载该文件，然后将其作为本地文件提供。请参阅你的 IdP 文档以获得指示，或参阅以下文档。
·Azure Active Directory 单点登录腾讯云指南
·OneLogin 单点登录腾讯云指南
·Okta 单点登录腾讯云指南
·ADFS 单点登录腾讯云指南
六、SAML 响应示例
SAML 示例如下：
<samlp:Response> <saml:Issuer>…</saml:Issuer> <ds:Signature> … </ds:Signature> <samlp:Status> … </samlp:Status> <saml:Assertion> <saml:Issuer>…</saml:Issuer> <saml:Subject> <saml:NameID>${NameID}</saml:NameID> <saml:SubjectConfirmation> … </saml:SubjectConfirmation> </saml:Subject> <saml:Conditions> <saml:AudienceRestriction> <saml:Audience>${Audience}</saml:Audience> </saml:AudienceRestriction> </saml:Conditions> <saml:AuthnStatement> … </saml:AuthnStatement> <saml:AttributeStatement> <saml:Attribute Name="https://cloud.tencent.com/SAML/Attributes/RoleSessionName"> … </saml:Attribute> <saml:Attribute Name="https://cloud.tencent.com/SAML/Attributes/Role"> … </saml:Attribute> </saml:AttributeStatement> </saml:Assertion></samlp:Response>
在 SAML 断言的 AttributeStatement 元素中，必须包含以下腾讯云要求的 Attribute 元素：
1. Name 属性值为 https://cloud.tencent.com/SAML/Attributes/Role 的 Attribute 元素，该元素为必选，可以有多个。其包含的 AttributeValue 元素取值代表允许当前用户扮演的角色，取值的格式是由角色描述与身份提供商描述组合而成的，中间用英文逗号（,）隔开。
注意：如果是多个，当使用控制台登录时，将会在界面上列出所有角色供用户选择。
注意：以下是一个 Role Attribute 元素示例：
<Attribute Name="https://cloud.tencent.com/SAML/Attributes/Role"> <AttributeValue>qcs::cam::uin/{AccountID}:roleName/{RoleName1},qcs::cam::uin/{AccountID}:saml-provider/{ProviderName1}</AttributeValue> <AttributeValue>qcs::cam::uin/{AccountID}:roleName/{RoleName2},qcs::cam::uin/{AccountID}:saml-provider/{ProviderName2}</AttributeValue></Attribute>
如果是同一个身份提供商，也可以合并为一条，不同角色 ARN 之间使用英文分号（;） 隔开。
<Attribute Name="https://cloud.tencent.com/SAML/Attributes/Role"> <AttributeValue>qcs::cam::uin/{AccountID}:roleName/{RoleName1};qcs::cam::uin/{AccountID}:roleName/{RoleName2},qcs::cam::uin/{AccountID}:saml-provider/{ProviderName}</AttributeValue></Attribute>
注意：在 Role 源属性中 {AccountID}，{RoleName} ，{ProviderName} 分别替换内容如下：
·{AccountID} 替换为你的腾讯云主账户 ID，可前往 账号信息 – 控制台 查看。
·{RoleName}替换你在腾讯云为身份提供商所创建的角色名称（单击查看如何在腾讯云 为身份提供商创建的角色），角色名称可前往 角色 – 控制台 查看。
·{ProviderName} 替换你在腾讯云创建的 SAML 身份提供商名称，可前往 身份提供商 – 控制台 查看。
2. Name 属性值为 https://cloud.tencent.com/SAML/Attributes/RoleSessionName 的 Attribute 元素，该元素为必选且只能有一个。该字段由用户自定义，长度不超过32个字符。以下是一个 RoleSessionName Attribute 元素示例。该示例中，“userName”可替换成你的自定义信息。
<Attribute Name="https://cloud.tencent.com/SAML/Attributes/RoleSessionName"><AttributeValue>userName</AttributeValue></Attribute>