BentoCloud SAML 单点登录配置指南：为组织接入企业身份认证

模型推理服务人工智能后端大模型MLOpsLLMOps【免费下载链接】BentoMLThe easiest way to serve AI apps and models - Build Model Inference APIs, Job queues, LLM apps, Multi-model pipelines, and more!项目地址https://gitcode.com/gh_mirrors/be/BentoML点击查看免费下载导读本文讲解如何在 BentoML 云服务平台 BentoCloud 上启用基于 SAML 2.0 协议的单点登录SSO让组织成员直接使用企业既有的身份提供商IdP凭据安全访问 BentoCloud 资源。读完本文你将掌握 SAML 配置参数的含义、在 IdP 侧创建 SAML 2.0 应用的方法、上线后的验证步骤以及 SSO 用户的角色管理与权限边界完整覆盖企业接入 BentoCloud SSO 的全流程。SAML 与 BentoCloud 的对接模型SAMLSecurity Assertion Markup Language是一种基于 XML 的开放标准用于在**身份提供商Identity ProviderIdP与服务提供商Service ProviderSP**之间安全地传递用户认证与授权数据。在 BentoCloud 的对接模型里BentoCloud 充当服务提供商SP负责接收 IdP 签发的断言assertion据此为用户建立会话并授予平台访问权限组织自有的 IdP如 Okta/Auth0充当身份提供商负责校验用户凭据并向 BentoCloud 签发包含用户身份信息的 SAML 断言。对接完成后你的用户无需在 BentoCloud 上另行注册密码而是直接使用企业或组织的既有账号凭据即可安全访问 BentoCloud 资源这既统一了账号入口也避免了在多个平台重复维护口令。该功能面向 BentoCloud 的企业级部署形态。在 BYOCBring Your Own Cloud模式下BentoCloud 可部署进组织自有的私有云环境SAML SSO 与之配合可进一步把身份认证也纳入组织的管控边界之内相关背景可参见 Bring Your Own Cloud 概述 以及 AWS / Azure / GCP 三份 BYOC 接入指南aws.rst、azure.rst、gcp.rst。第一步准备并提交 SAML 配置参数在启用 SSO 之前你需要先从组织的 IdP 侧收集以下三项参数并通过安全渠道提供给 BentoML 团队由其完成 BentoCloud 侧的 SAML 配置参数含义说明SAML Issuer身份提供商的实体 IDEntity ID例如使用 OktaAuth0时通常形如urn:************.us.auth0.comSAML Identity Provider Certificate身份提供商用于签署 SAML 断言的 X.509 证书BentoCloud 用它校验收到的 SAML 断言签名确认真实性SAML Identity Provider Login URL登录时用户被重定向到的认证端点 URL例如 OktaAuth0时通常形如https://**********.us.auth0.com/samlp/********************需要注意这些参数必须通过安全渠道传递。BentoML 团队会邀请你加入其安全保险库secure vault平台来共享这些参数如果你尚未接入该平台请向 BentoML 团队提供一个邮箱地址以接收保险库邀请。切勿通过明文邮件、聊天工具等不安全渠道发送证书与端点信息。从协议角度看三个参数分别对应 SAML 元数据中 IdP 的entityID、签名证书用于验证Response/Assertion的签名与SingleSignOnService的登录端点是 IdP 侧 SAML 2.0 应用元数据的核心字段缺一不可。第二步在身份提供商中创建 SAML 2.0 应用在你组织的 IdP例如 Okta中创建一个新的SAML 2.0 应用或等效类型并填入以下两项 BentoCloud 侧的端点配置Application Callback URL断言消费端点 / ACS URLhttps://bentoml-prod.firebaseapp.com/__/auth/handler该 URL 是 BentoCloudSP接收并消费 IdP 所签发 SAML 响应的端点IdP 会在认证成功后把 SAML 断言 POST 到这里因此必须在 IdP 应用中精确配置。Application Login URI登录启动 URIhttps://your-org-name.cloud.bentoml.com/signup其中your-org-name需要替换为 BentoCloud 提供给你的组织子域名或组织名称。这个 URI 是 BentoCloud 内的端点用户访问它即可发起 SAML 登录流程SSO 登录/注册入口。配置完成后将这三项参数Issuer、X.509 证书、Login URL连同 IdP 侧应用配置一并提交给 BentoML 团队由其完成 BentoCloud 侧的 SAML 对接。第三步验证与测试 SAML 配置当 BentoML 团队在 BentoCloud 侧完成 SAML 配置后按以下步骤验证链路是否打通访问 BentoCloud 的登录/注册页面https://your-org-name.cloud.bentoml.com/signup页面上应只出现一个 “Continue with SSO” 选项而非与普通账号密码登录并列的多个入口点击该选项后应被重定向到你的身份提供商的登录页面使用 IdP 中的企业凭据登录登录成功后应被引导返回 BentoCloud并获得一个已激活的会话active session。如果第 2 步出现多个登录选项或第 3 步未正确跳转通常是 IdP 侧的 Callback URL / Login URI 配置与 BentoCloud 侧元数据不一致所致应回到第二步核对两端端点是否完全匹配包括协议、域名与路径。第四步SSO 用户与角色管理新用户自动开户当新用户通过 SSO 首次登录时BentoCloud 会自动在其所在组织下创建对应的用户账号默认角色为 Developer。组织管理员如需调整新用户的角色可通过 BentoCloud 的管理界面修改。BentoCloud 角色与权限边界结合 BentoCloud 的用户管理文档平台共有三种角色权限从高到低依次为Admin管理员拥有 BentoCloud 内最高级别访问权限可管理平台全部资源并独占计费信息查看/编辑、成员增删、角色变更等管理能力Developer开发者具备开发与运维相关功能的全面访问权限可创建/终止/恢复/删除 Deployment、更新 Deployment 配置、推送/删除 Bento 与模型等但不涉及计费与用户管理Endpoint User端点用户主要面向对已部署模型发起推理调用的使用者仅具备运行推理、查看/拉取 Bento 与模型、创建受保护端点访问令牌等有限权限。具体到 SSO 场景默认分配的 Developer 角色意味着新成员登录后即可参与部署与模型管理工作若某些成员只需调用已上线的推理端点管理员应将其调整为 Endpoint User。两个关键注意事项在 IdP 中删除/禁用用户不会自动同步到 BentoCloud。该用户的 BentoCloud 会话在过期前仍然有效。要彻底移除某用户对 BentoCloud 的访问必须由组织管理员在 BentoCloud 平台内手动删除该用户的成员关系如需对 SSO 会话之外的自动化场景做细粒度授权例如 CI/CD 流水线调用受保护端点可结合 API Token 管理使用个人或组织级令牌为不同工作流分配 Developer Operations Access 或 Protected Endpoint Access 权限。安全与运维建议证书与端点信息全程走安全渠道SAML 证书、Issuer 与登录端点属于敏感配置务必通过 BentoML 团队提供的保险库平台传递不要在邮件或聊天工具中明文流转登录入口保持唯一验证阶段确认signup页面只暴露 “Continue with SSO” 单一入口避免出现弱口令与 SSO 并存带来的管理盲区定期盘点 SSO 用户由于 IdP 侧的人员变动不会自动同步建议组织管理员定期对照 IdP 目录与 BentoCloud 成员列表及时在 BentoCloud 中删除离职成员的账号角色最小化按职责分配角色把大多数成员维持在 Developer 或 Endpoint User将 Admin 仅授予必要的管理员降低误操作与安全风险。参考文档BentoCloud SSO with SAML本文原始文档Manage users角色与权限明细Bring Your Own Cloud 概述Manage API tokens令牌鉴权与受保护端点赞分享模型推理服务人工智能后端大模型MLOpsLLMOps【免费下载链接】BentoMLThe easiest way to serve AI apps and models - Build Model Inference APIs, Job queues, LLM apps, Multi-model pipelines, and more!项目地址https://gitcode.com/gh_mirrors/be/BentoML点击查看免费下载相关推荐Reflex 组织单点登录SSO配置指南基于 SAML 与 OIDC 接入企业身份提供商Reflex 组织单点登录SSO配置指南基于 SAML 与 OIDC 接入企业身份提供商 本文是 Reflex 组织管理体系的官方技术指南系统讲解如何在后端前端Web框架Java SAML单点登录实战指南5步快速集成企业级身份认证Java SAML单点登录实战指南5步快速集成企业级身份认证 Java SAML工具包是一个功能强大的开源项目专门用于在Java应用中实现SAML 2.0协认证鉴权安全Adrenaline图形设置优化提升PSP游戏画面的实用技巧Adrenaline图形设置优化提升PSP游戏画面的实用技巧 Adrenaline作为为PSP模拟器定制的固件通过优化图形设置可以显著提升游戏画面质量和整体嵌入式上一篇DistroAV终极指南如何在OBS Studio中实现专业级网络音视频传输下一篇Create.js 键盘快捷键完整清单提升编辑效率的10个必备技巧创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考