Configuración de SAML 2.0 en WorkSpaces Personal

1. Configure su IdP para integrar las identidades de usuario del Microsoft Active Directory que se utiliza con el directorio de WorkSpaces. Para un usuario con un WorkSpace, los atributos sAMAccountName y email del usuario de Active Directory y los valores de notificación de SAML deben coincidir para que el usuario inicie sesión en WorkSpaces con el IdP. Para obtener más información sobre la integración de Active Directory con el IdP, consulte la documentación del IdP.

2. Configure el IdP para establecer una relación de confianza con AWS.

   • Para obtener más información sobre cómo configurar la federación de AWS, consulte Integración de proveedores de soluciones SAML externos con AWS. Los ejemplos relevantes incluyen la integración del IdP con AWS IAM para acceder a la consola de administración de AWS.

   • Use su IdP para generar y descargar un documento de metadatos de federación que describa su organización como proveedor de identidades. Este documento XML firmado se utiliza para establecer la relación de confianza. Guarde este archivo en una ubicación a la que pueda acceder desde la consola de IAM en otro momento.

3. Cree o registre un directorio para WorkSpaces mediante la consola de administración de WorkSpaces. Para obtener más información, consulte Manage directories for WorkSpaces. La autenticación SAML 2.0 para WorkSpaces es compatible con los siguientes tipos de directorios:

   • Conector de AD

   • AWS Managed Microsoft AD

4. Cree un WorkSpace para un usuario que pueda iniciar sesión en el IdP mediante un tipo de directorio compatible. Puede crear un WorkSpace mediante la consola de administración de WorkSpaces, AWS CLI o la API de WorkSpaces. Para obtener más información, consulte Iniciar un escritorio virtual con WorkSpaces.

Para crear un rol de IAM para el IdP de SAML

1. Abra la consola de IAM en https://console.aws.amazon.com/iam/.

2. En el panel de navegación, elija Roles > Crear rol.

3. Para Tipo de rol, seleccione Federación con SAML 2.0.

4. Para Proveedor de SAML, seleccione el IdP de SAML que ha creado.

   importante

   No elija ninguno de los dos métodos de acceso de SAML 2.0 (Permitir solo acceso mediante programación o Permitir acceso mediante programación y mediante la consola de administración de Amazon Web Services).

5. Para Attribute, elija SAML:sub_type.

6. En Valor, ingrese persistent. Este valor restringe el acceso del rol a solicitudes de transmisión de usuario de SAML que incluyan una aserción de tipo de sujeto de SAML con un valor de persistent. Si SAML:sub_type es persistente, el IdP envía el mismo valor único para el elemento NameID en todas las solicitudes de SAML desde un usuario particular. Para obtener más información acerca de la aserción SAML:sub_type, consulte la sección Identificación única de los usuarios en la federación basada en SAML en Uso de la federación basada en SAML para el acceso mediante API a AWS.

7. Revise su información de confianza de SAML 2.0, confirmando la entidad de confianza y la condición correctas y, a continuación, elija Siguiente: Permisos.

8. En la página Asociar políticas de permisos, seleccione Siguiente: Etiquetas.

9. (Opcional) Especifique una clave y un valor para cada etiqueta que desee añadir. Para obtener más información, consulte Etiquetado de usuarios y roles de IAM.

10. Cuando haya terminado, seleccione Siguiente: Revisar. Posteriormente, creará e incrustará una política en línea para este rol.

11. En Nombre del rol, introduzca un nombre de rol que le sea útil para identificar su propósito. Dado que múltiples entidades pueden hacer referencia al rol, no se puede editar el nombre del rol una vez que se haya creado.

12. (Opcional) En Descripción del rol, escriba una descripción para el nuevo rol.

13. Revise los detalles del rol y seleccione Crear rol.

14. Añada el permiso sts:TagSession a su nueva política de confianza de un rol de IAM. Para obtener más información, consulte Transferencia de etiquetas de sesión en AWS STS. En la página de detalles del nuevo rol de IAM, seleccione la pestaña Relaciones de confianza y, a continuación, seleccione Editar la relación de confianza. Cuando se abra el editor de políticas Editar relaciones de confianza, añada el permiso sts:TagSession* de la siguiente manera:

    JSON

    {
        "Version":"2012-10-17",		 	 	 
        "Statement": [
            {
                "Effect": "Allow",
                "Principal": {
                    "Federated": "arn:aws:iam::111122223333:saml-provider/IDENTITY-PROVIDER"
                },
                "Action": [
                    "sts:AssumeRoleWithSAML",
                    "sts:TagSession"
                ],
                "Condition": {
                    "StringEquals": {
                        "SAML:aud": "https://signin.aws.amazon.com/saml"
                    }
                }
            }
        ]
    }
    

1. En los detalles del rol de IAM que ha creado, seleccione la pestaña Permisos y, a continuación, añada los permisos necesarios a la política de permisos del rol. Se inicia el Asistente de creación de políticas.

2. En Crear política, elija la pestaña JSON.

3. Copie y pegue la siguiente política JSON en la ventana de JSON. A continuación, modifique el recurso introduciendo su código de región de AWS, el ID de la cuenta y el ID del directorio. En la siguiente política, "Action": "workspaces:Stream" es la acción que proporciona a los usuarios de WorkSpaces permisos para conectarse a sus sesiones de escritorio en el directorio de WorkSpaces.

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "workspaces:Stream",
               "Resource": "arn:aws:workspaces:us-east-1:123456789012:directory/DIRECTORY-ID",
               "Condition": {
                   "StringEquals": {
                       "workspaces:userId": "${saml:sub}"
                   }
               }
           }
       ]
   }
   

   Sustituya REGION-CODE por la región de AWS en la que se encuentra el directorio de WorkSpaces. Sustituya DIRECTORY-ID por el ID de directorio de WorkSpaces, que se encuentra en la consola de administración de WorkSpaces. Para los recursos de AWS GovCloud (Oeste de EE. UU.) o AWS GovCloud (Este de EE. UU.), use el siguiente formato para el ARN: arn:aws-us-gov:workspaces:REGION-CODE:ACCOUNT-ID-WITHOUT-HYPHENS:directory/DIRECTORY-ID.

4. Cuando haya terminado, elija Revisar política. El validador de políticas notificará los errores de sintaxis.

Para activar la integración con SAML 2.0

1. Abra la consola de WorkSpaces en https://console.aws.amazon.com/workspaces/v2/home.

2. En el panel de navegación, elija Directories (Directorios).

3. Seleccione el ID de los directorios de WorkSpaces.

4. En Autenticación, elija Editar.

5. Seleccione Editar proveedor de identidad de SAML 2.0.

6. Seleccione Habilitar la autenticación SAML.

7. En URL de acceso del usuario y Nombre del parámetro de enlace profundo del IdP, introduzca los valores aplicables a su IdP y a la aplicación que ha configurado en el paso 1. El valor predeterminado del nombre del parámetro de enlace profundo del IdP es «RelayState» si se omite este parámetro. En la siguiente tabla se enumeran las URL de acceso de los usuarios y los nombres de los parámetros que son exclusivos de los distintos proveedores de identidad de las aplicaciones.

   Dominios y direcciones IP para agregar a la lista de permitidos

   Proveedor de identidades	Parámetro	URL de acceso del usuario
   ADFS	RelayState	https://<host>/adfs/ls/idpinitiatedsignon.aspx?RelayState=RPID=<relaying-party-uri>
   Azure AD	RelayState	https://myapps.microsoft.com/signin/<app_id>?tenantId=<tenant_id>
   Duo Single Sign-On	RelayState	https://<sub-domain>.sso.duosecurity.com/saml2/sp/<app_id>/sso
   Okta	RelayState	https://<sub_domain>.okta.com/app/<app_name>/<app_id>/sso/saml
   OneLogin	RelayState	https://<sub-domain>.onelogin.com/trust/saml2/http-post/sso/<app-id>
   JumpCloud	RelayState	https://sso.jumpcloud.com/saml2/<app-id>
   Auth0	RelayState	https://<DefaultTenatName>.us.auth0.com/samlp/<Client_Id>
   PingFederate	TargetResource	https://<host>/idp/startSSO.ping?PartnerSpId=<sp_id>
   PingOne para empresas	TargetResource	https://sso.connect.pingidentity.com/sso/sp/initsso?saasid=<app_id>&idpid=<idp_id>

   El proveedor suele definir la URL de acceso del usuario para el SSO iniciado por un IdP no solicitado. Un usuario puede introducir esta URL en un navegador web para federarse directamente con la aplicación SAML. Para probar la URL de acceso del usuario y los valores de los parámetros de su IdP, elija Probar. Copie y pegue la URL de prueba en una ventana privada de su navegador actual o de otro navegador para probar el inicio de sesión con SAML 2.0 sin interrumpir la sesión actual de la consola de administración de AWS. Cuando se abra el flujo iniciado por el IdP, podrá registrar su cliente de WorkSpaces. Para obtener más información, consulte Flujo iniciado por el proveedor de identidades (IdP).

8. Para administrar la configuración alternativa, active o desactive Permitir que los clientes que no sean compatibles con SAML 2.0 inicien sesión. Active esta configuración para seguir proporcionando a sus usuarios acceso a WorkSpaces mediante tipos de cliente o versiones que no sean compatibles con SAML 2.0 o si los usuarios necesitan tiempo para actualizar a la versión de cliente más reciente.

   nota

   Esta configuración permite a los usuarios omitir SAML 2.0 e iniciar sesión mediante la autenticación de directorio con versiones de cliente anteriores.

9. Para usar SAML con el cliente web, habilite Acceso web. Para obtener más información, consulte Habilitar y configurar Amazon WorkSpaces Acceso web.

   nota

   Acceso web no admite PCoIP con SAML.

10. Seleccione Save. Su directorio WorkSpaces ya está habilitado con la integración SAML 2.0. Puede usar los flujos iniciados por el IdP y por las aplicaciones cliente para registrar las aplicaciones cliente de WorkSpaces e iniciar sesión en WorkSpaces.