Auth0 と を使用して Amazon WorkSpaces の SAML 2.0 認証を実装する Auth0 AWS Managed Microsoft AD

Auth0 ダッシュボードにログインし、[認証]、[エンタープライズ]、[Active Directory/LDAP] の順に選択します。[接続を作成する] を選択します。

Active Directory 接続の名前を指定し、[作成] を選択します。

[セットアップ] タブで、お使いのオペレーティングシステム用のエージェントをダウンロードします。

インストールが完了すると、デフォルトのブラウザにチケットの URL を入力するプロンプトが表示されます。

接続文字列に対して一意である必要があるプロビジョニングチケットの URL を入力し、[続行] を選択します。

[AD LDAP 構成]ダイアログボックスで、[ユーザー名] と [パスワード] に管理者の認証情報を入力し、[保存]を選択します。

Auth0 への接続が確立されると、すべてのチェックに対して [OK] という報告ステータスが、構成ログが表示されます。

Auth0 ダッシュボードにログインし、Auth0 ドキュメントの指示に従って新しいアプリケーションを作成します。

Auth0 ダッシュボードで、アプリケーション名を選択してその構成設定にアクセスします。[アドオン] タブで、[SAML2 ウェブアプリ] を選択します。

アドオンの [設定] タブで、[アプリケーションコールバック URL] に https://signin.aws.amazon.com/saml と入力します。ここで SAML トークンは、POST リクエストを送信します。

[設定] タブの [設定]ボックスに、次の SAML 構成コードを JSON 形式で貼り付けます。

{
  "audience": "https://signin.aws.amazon.com/saml",
  "mappings": {
    "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/sAMAccountName",
    "name": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
  },
  "createUpnClaim": false,
  "passthroughClaimsWithNoMapping": false,
  "mapUnknownClaimsAsIs": false,
  "mapIdentities": false,
  "nameIdentifierFormat": "urn:oasis:names:tc:SAML:2.0:nameid-format:persistent",
  "nameIdentifierProbes": [
    "http://schemas.auth0.com/sAMAccountName"
  ]
}

保存し、[有効化] を選択します。

[使用状況] タブを選択し、ID プロバイダーのメタデータのマニフェストファイルをダウンロードします。この情報は次のステップで必要になります。

[SAML2 ウェブアプリ] ウィンドウを閉じます。

アプリケーション画面で、[接続] を選択します。[エンタープライズ] で、正しい Active Directory/LDAP コネクタを選択し、有効にします。

SAML 2.0 フェデレーション用の IAM ロールを作成します。手順については、WorkSpaces ドキュメントの WorkSpaces Personal で SAML 2.0 を設定する手順のステップ 2 を参照してください。

IAM ポリシーを作成し、前のステップで作成したロールに関連付けます。手順については、WorkSpaces ドキュメントの WorkSpaces Personal で SAML 2.0 を設定する手順のステップ 3 を参照してください。

Auth0 ダッシュボードにサインインします。[アクション]、[ライブラリ]、[アクションを作成]、[一から構築] の順に選択します。

次の値を指定して、[作成] を選択します。

[名前]: アクションの名前を指定します

[トリガー]: [ログイン]/[ログイン後] を選択します

[ランタイム]: [Node 18] を選択します

次の画面で、以下のコードを入力します。

exports.onExecutePostLogin = async (event, api) => 
{   if (event.client.name === "Workspace_Saml")
   {     const awsRole = 'arn:aws:iam::030784294031:role/Workspace_Auth0,arn:aws:iam::030784294031:saml-provider/Auth0';
     const awsRoleSession = event.user.sAMAccountName;
     const email = event.user.emails[0];
     api.samlResponse.setDestination('https://signin.aws.amazon.com/saml');
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/Role', awsRole)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/RoleSessionName', awsRoleSession)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/PrincipalTag:Email', email)
   } return;
};

[デプロイ] をクリックします。