Implémentez l'authentification SAML 2.0 pour Amazon WorkSpaces en utilisant Auth0 et AWS Managed Microsoft AD

Connectez-vous au tableau de bord Auth0 et choisissez Authentication, Enterprise, Active Directory/LDAP. Choisissez Créer une connexion.

Entrez le nom de votre connexion Active Directory, puis choisissez Create.

Dans l'onglet Configuration, téléchargez l'agent correspondant à votre système d'exploitation.

Lorsque l'installation est terminée, votre navigateur par défaut affiche une invite à saisir l'URL du ticket.

Entrez l'URL du ticket d'approvisionnement, qui doit être unique pour votre chaîne de connexion, puis choisissez Continuer.

Dans la boîte de dialogue de configuration AD LDAP, pour Nom d'utilisateur et mot de passe, entrez vos informations d'identification d'administrateur, puis choisissez Enregistrer.

Lorsque la connexion à Auth0 est établie, le journal de configuration s'affiche avec un état de rapport OK pour toutes les vérifications.

Connectez-vous au tableau de bord Auth0 et créez une nouvelle application en suivant les instructions de la documentation Auth0.

Sur le tableau de bord Auth0, choisissez le nom de l'application pour accéder à ses paramètres de configuration. AddOnsDans l'onglet, sélectionnez SAML2 Web App.

Dans l'onglet Paramètres du module complémentaire, pour l'URL de rappel de l'application, entrez https://signin.aws.amazon.com/saml. C'est ici que le jeton SAML enverra la POST demande.

Dans l'onglet Paramètres, dans la zone Paramètres, collez le code de configuration SAML suivant au format JSON :

{
  "audience": "https://signin.aws.amazon.com/saml",
  "mappings": {
    "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/sAMAccountName",
    "name": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
  },
  "createUpnClaim": false,
  "passthroughClaimsWithNoMapping": false,
  "mapUnknownClaimsAsIs": false,
  "mapIdentities": false,
  "nameIdentifierFormat": "urn:oasis:names:tc:SAML:2.0:nameid-format:persistent",
  "nameIdentifierProbes": [
    "http://schemas.auth0.com/sAMAccountName"
  ]
}

Enregistrez, puis choisissez Activer.

Choisissez l'onglet Utilisation et téléchargez le fichier manifeste de métadonnées pour le fournisseur d'identité. Ces informations sont requises pour les étapes suivantes.

Fermez la fenêtre de l'application SAML2 Web.

Sur l'écran des applications, choisissez Connexions. Sous Enterprise, sélectionnez le Directory/LDAP connecteur actif approprié et activez-le.

Créez un rôle IAM pour la fédération SAML 2.0. Pour obtenir des instructions, reportez-vous à l'étape 2 des instructions de configuration de SAML 2.0 pour WorkSpaces Personal dans la WorkSpaces documentation.

Créez une politique IAM et associez-la au rôle que vous avez créé à l'étape précédente. Pour obtenir des instructions, reportez-vous à l'étape 3 des instructions de configuration de SAML 2.0 pour WorkSpaces Personal dans la WorkSpaces documentation.

Connectez-vous au tableau de bord Auth0. Choisissez Actions, Bibliothèque, Créer une action, Construire à partir de zéro.

Entrez les valeurs suivantes, puis choisissez Create.

Nom : Spécifiez le nom de l'action

Déclencheur : Choisissez Login/Post Login

Runtime : Choisissez Node 18

Sur l'écran suivant, entrez le code suivant :

exports.onExecutePostLogin = async (event, api) => 
{   if (event.client.name === "Workspace_Saml")
   {     const awsRole = 'arn:aws:iam::030784294031:role/Workspace_Auth0,arn:aws:iam::030784294031:saml-provider/Auth0';
     const awsRoleSession = event.user.sAMAccountName;
     const email = event.user.emails[0];
     api.samlResponse.setDestination('https://signin.aws.amazon.com/saml');
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/Role', awsRole)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/RoleSessionName', awsRoleSession)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/PrincipalTag:Email', email)
   } return;
};

Choisissez Déployer.