Implementieren Sie die SAML 2.0-Authentifizierung für Amazon mithilfe WorkSpaces von Auth0 und AWS Managed Microsoft AD

Melden Sie sich beim Auth0-Dashboard an und wählen Sie Authentication, Enterprise, Active Directory/LDAP aus. Wählen Sie Verbindung erstellen.

Geben Sie den Namen für Ihre Active Directory-Verbindung ein, und wählen Sie dann Create.

Laden Sie auf der Registerkarte Setup den Agenten für Ihr Betriebssystem herunter.

Wenn die Installation abgeschlossen ist, zeigt Ihr Standardbrowser eine Aufforderung zur Eingabe der Ticket-URL an.

Geben Sie die URL des Bereitstellungstickets ein, die für Ihre Verbindungszeichenfolge eindeutig sein sollte, und wählen Sie dann Weiter aus.

Geben Sie im Dialogfeld AD LDAP-Konfiguration für Benutzername und Passwort Ihre Administratoranmeldedaten ein, und wählen Sie dann Speichern aus.

Wenn die Verbindung zu Auth0 hergestellt wurde, wird das Konfigurationsprotokoll mit dem Berichtsstatus OK für alle Prüfungen angezeigt.

Melden Sie sich beim Auth0-Dashboard an und erstellen Sie eine neue Anwendung, indem Sie den Anweisungen in der Auth0-Dokumentation folgen.

Wählen Sie im Auth0-Dashboard den Namen der Anwendung aus, um auf die Konfigurationseinstellungen zuzugreifen. Wählen Sie auf der AddOnsRegisterkarte SAML2 Web App aus.

Geben Sie auf der Registerkarte Einstellungen für das Add-on für Application Callback URL den Wert https://signin.aws.amazon.com/saml ein. Hier sendet das SAML-Token die Anfrage. POST

Fügen Sie auf der Registerkarte Einstellungen in das Feld Einstellungen den folgenden SAML-Konfigurationscode im JSON-Format ein:

{
  "audience": "https://signin.aws.amazon.com/saml",
  "mappings": {
    "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/sAMAccountName",
    "name": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
  },
  "createUpnClaim": false,
  "passthroughClaimsWithNoMapping": false,
  "mapUnknownClaimsAsIs": false,
  "mapIdentities": false,
  "nameIdentifierFormat": "urn:oasis:names:tc:SAML:2.0:nameid-format:persistent",
  "nameIdentifierProbes": [
    "http://schemas.auth0.com/sAMAccountName"
  ]
}

Speichern Sie, und wählen Sie dann Aktivieren aus.

Wählen Sie die Registerkarte Verwendung und laden Sie die Metadaten-Manifestdatei für den Identity Provider herunter. Diese Informationen sind für die nächsten Schritte erforderlich.

Schließen Sie das SAML2 Web App-Fenster.

Wählen Sie auf dem Anwendungsbildschirm Verbindungen aus. Wählen Sie unter Enterprise den richtigen Active Directory/LDAP Connector aus und aktivieren Sie ihn.

Erstellen Sie eine IAM-Rolle für den SAML 2.0-Verbund. Anweisungen finden Sie in Schritt 2 der Anleitung zur Einrichtung von SAML 2.0 für WorkSpaces Personal in der Dokumentation. WorkSpaces

Erstellen Sie eine IAM-Richtlinie und ordnen Sie sie der Rolle zu, die Sie im vorherigen Schritt erstellt haben. Anweisungen finden Sie in Schritt 3 der Anleitung zur Einrichtung von SAML 2.0 for WorkSpaces Personal in der WorkSpaces Dokumentation.

Melden Sie sich im Auth0-Dashboard an. Wählen Sie Aktionen, Bibliothek, Aktion erstellen, Von Grund auf neu erstellen.

Geben Sie die folgenden Werte ein und wählen Sie dann Create.

Name: Geben Sie einen Namen für die Aktion an

Auslöser: Wählen Sie Login/Post Login

Runtime: Wählen Sie Node 18

Geben Sie auf dem nächsten Bildschirm den folgenden Code ein:

exports.onExecutePostLogin = async (event, api) => 
{   if (event.client.name === "Workspace_Saml")
   {     const awsRole = 'arn:aws:iam::030784294031:role/Workspace_Auth0,arn:aws:iam::030784294031:saml-provider/Auth0';
     const awsRoleSession = event.user.sAMAccountName;
     const email = event.user.emails[0];
     api.samlResponse.setDestination('https://signin.aws.amazon.com/saml');
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/Role', awsRole)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/RoleSessionName', awsRoleSession)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/PrincipalTag:Email', email)
   } return;
};

Wählen Sie Bereitstellen.