Implementa l'autenticazione SAML 2.0 per Amazon WorkSpaces utilizzando Auth0 e AWS Managed Microsoft AD

Accedi alla dashboard Auth0 e scegli Authentication, Enterprise, Active Directory/LDAP. Scegli Crea una connessione.

Fornisci il nome per la tua connessione ad Active Directory, quindi scegli Crea.

Nella scheda Configurazione, scarica l'agente per il tuo sistema operativo.

Una volta completata l'installazione, il browser predefinito visualizza una richiesta per l'URL del ticket.

Inserisci l'URL del ticket di provisioning, che deve essere univoco per la stringa di connessione, quindi scegli Continua.

Nella finestra di dialogo di configurazione AD LDAP, in Nome utente e Password, inserisci le credenziali di amministratore, quindi scegli Salva.

Una volta stabilita la connessione a Auth0, il registro di configurazione viene visualizzato con lo stato di segnalazione OK per tutti i controlli.

Accedi alla dashboard Auth0 e crea una nuova applicazione seguendo le istruzioni nella documentazione di Auth0.

Nella dashboard Auth0, scegli il nome dell'applicazione per accedere alle relative impostazioni di configurazione. Nella AddOnsscheda, scegli App SAML2 Web.

Nella scheda Impostazioni del componente aggiuntivo, per Application Callback URL, inserisci https://signin.aws.amazon.com /saml. Qui è dove il token SAML invierà la richiesta. POST

Nella scheda Impostazioni, nella casella Impostazioni, incolla il seguente codice di configurazione SAML in formato JSON:

{
  "audience": "https://signin.aws.amazon.com/saml",
  "mappings": {
    "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/sAMAccountName",
    "name": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
  },
  "createUpnClaim": false,
  "passthroughClaimsWithNoMapping": false,
  "mapUnknownClaimsAsIs": false,
  "mapIdentities": false,
  "nameIdentifierFormat": "urn:oasis:names:tc:SAML:2.0:nameid-format:persistent",
  "nameIdentifierProbes": [
    "http://schemas.auth0.com/sAMAccountName"
  ]
}

Salva, quindi scegli Abilita.

Scegli la scheda Utilizzo e scarica il file manifesto dei metadati per il provider di identità. Queste informazioni sono necessarie per i passaggi successivi.

Chiudi la finestra dell'app SAML2 Web.

Nella schermata delle applicazioni, scegli Connessioni. In Enterprise, seleziona il Directory/LDAP connettore attivo corretto e abilitalo.

Crea un ruolo IAM per la federazione SAML 2.0. Per istruzioni, consulta il passaggio 2 delle istruzioni per la configurazione di SAML 2.0 for WorkSpaces Personal nella WorkSpaces documentazione.

Crea una policy IAM e associala al ruolo creato nel passaggio precedente. Per istruzioni, consulta il passaggio 3 nelle istruzioni per la configurazione di SAML 2.0 for WorkSpaces Personal nella WorkSpaces documentazione.

Accedi alla dashboard Auth0. Scegli Actions, Library, Create Action, Build da zero.

Fornisci i seguenti valori, quindi scegli Crea.

Nome: specifica un nome per l'azione

Trigger: scegli Login/Post Login

Runtime: scegli il nodo 18

Nella schermata successiva, inserisci il seguente codice:

exports.onExecutePostLogin = async (event, api) => 
{   if (event.client.name === "Workspace_Saml")
   {     const awsRole = 'arn:aws:iam::030784294031:role/Workspace_Auth0,arn:aws:iam::030784294031:saml-provider/Auth0';
     const awsRoleSession = event.user.sAMAccountName;
     const email = event.user.emails[0];
     api.samlResponse.setDestination('https://signin.aws.amazon.com/saml');
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/Role', awsRole)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/RoleSessionName', awsRoleSession)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/PrincipalTag:Email', email)
   } return;
};

Seleziona Deploy (Implementa).