Implemente la autenticación SAML 2.0 para Amazon WorkSpaces mediante Auth0 y AWS Managed Microsoft AD

Inicie sesión en el panel de Auth0 y elija Autenticación, Empresa, Active Directory / LDAP. Elija Crear una conexión.

Proporcione el nombre de la conexión de Active Directory y, a continuación, elija Crear.

En la pestaña Configuración, descargue el agente para su sistema operativo.

Cuando se complete la instalación, su navegador predeterminado mostrará una petición de la URL del ticket.

Ingrese la URL del ticket de aprovisionamiento, que debe ser única para su cadena de conexión y, a continuación, elija Continuar.

En el cuadro de diálogo Configuración de LDAP de AD, en Nombre de usuario y Contraseña, ingrese sus credenciales de administrador y, a continuación, elija Guardar.

Cuando se haya establecido la conexión con Auth0, se mostrará el registro de configuración con el estado de notificación Correcto para todas las comprobaciones.

Inicie sesión en el panel de Auth0 y cree una nueva aplicación siguiendo las instrucciones de la documentación de Auth0.

En el panel de Auth0, elija el nombre de la aplicación para acceder a los ajustes de configuración. En la AddOnspestaña, elija SAML2 Web App.

En la pestaña Configuración del complemento, en Application Callback URL, introduce https://signin.aws.amazon.com/saml. Aquí es a donde el token de SAML enviará la solicitud POST.

En la pestaña Configuración, en el cuadro Configuración, pegue el siguiente código de configuración de SAML en formato JSON:

{
  "audience": "https://signin.aws.amazon.com/saml",
  "mappings": {
    "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/sAMAccountName",
    "name": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
  },
  "createUpnClaim": false,
  "passthroughClaimsWithNoMapping": false,
  "mapUnknownClaimsAsIs": false,
  "mapIdentities": false,
  "nameIdentifierFormat": "urn:oasis:names:tc:SAML:2.0:nameid-format:persistent",
  "nameIdentifierProbes": [
    "http://schemas.auth0.com/sAMAccountName"
  ]
}

Guarde y, a continuación, elija Habilitar.

Elija la pestaña Uso y descargue el archivo de manifiesto de metadatos del proveedor de identidades. Esta información se necesita para los siguientes pasos.

Cierre la ventana de la aplicación SAML2 web.

En la pantalla de aplicaciones, elija Conexiones. En Enterprise, seleccione el Directory/LDAP conector activo correcto y actívelo.

Cree un rol de IAM para la federación de SAML 2.0. Para obtener instrucciones, consulta el paso 2 de las instrucciones para configurar SAML 2.0 for WorkSpaces Personal de la WorkSpaces documentación.

Cree una política de IAM y asóciela al rol que creó en el paso anterior. Para obtener instrucciones, consulta el paso 3 de las instrucciones para configurar SAML 2.0 for WorkSpaces Personal de la WorkSpaces documentación.

Inicie sesión en el panel de Auth0. Elija Acciones, Biblioteca, Crear acción, Crear desde cero.

Proporcione los valores siguientes y, a continuación, elija Crear.

Nombre: especifique un nombre para la acción

Activador: selecciona Iniciar sesión Login/Post

Tiempo de ejecución: elija el nodo 18

En la siguiente pantalla, ingrese el siguiente código:

exports.onExecutePostLogin = async (event, api) => 
{   if (event.client.name === "Workspace_Saml")
   {     const awsRole = 'arn:aws:iam::030784294031:role/Workspace_Auth0,arn:aws:iam::030784294031:saml-provider/Auth0';
     const awsRoleSession = event.user.sAMAccountName;
     const email = event.user.emails[0];
     api.samlResponse.setDestination('https://signin.aws.amazon.com/saml');
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/Role', awsRole)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/RoleSessionName', awsRoleSession)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/PrincipalTag:Email', email)
   } return;
};

Elija Implementar.