Auth0 と を使用して Amazon WorkSpaces の SAML 2.0 認証を実装する Auth0 AWS Managed Microsoft AD

Auth0 ダッシュボードにログインし、認証、エンタープライズ、Active Directory/LDAP を選択します。接続の作成 を選択します。

Active Directory 接続の名前を指定し、作成を選択します。

Setup タブで、オペレーティングシステムのエージェントをダウンロードします。

インストールが完了すると、デフォルトのブラウザにチケット URL のプロンプトが表示されます。

プロビジョニングチケット URL を入力します。これは接続文字列に一意である必要があり、続行を選択します。

AD LDAP 設定ダイアログボックスで、ユーザー名とパスワードに管理者認証情報を入力し、保存を選択します。

Auth0 への接続が確立されると、すべてのチェックのレポートステータスが OK で設定ログが表示されます。

Auth0 ダッシュボードにログインし、Auth0 ドキュメントの指示に従って新しいアプリケーションを作成します。

Auth0 ダッシュボードで、アプリケーション名を選択して設定にアクセスします。AddOns タブで、SAML2 ウェブアプリを選択します。

アドオンの設定タブで、アプリケーションコールバック URL に https://signin.aws.amazon.com/saml と入力します。これは、SAML トークンがPOSTリクエストを送信する場所です。

設定タブの設定ボックスに、次の SAML 設定コードを JSON 形式で貼り付けます。

{
  "audience": "https://signin.aws.amazon.com/saml",
  "mappings": {
    "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/sAMAccountName",
    "name": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
  },
  "createUpnClaim": false,
  "passthroughClaimsWithNoMapping": false,
  "mapUnknownClaimsAsIs": false,
  "mapIdentities": false,
  "nameIdentifierFormat": "urn:oasis:names:tc:SAML:2.0:nameid-format:persistent",
  "nameIdentifierProbes": [
    "http://schemas.auth0.com/sAMAccountName"
  ]
}

保存し、有効化を選択します。

使用状況タブを選択し、ID プロバイダーのメタデータマニフェストファイルをダウンロードします。この情報は次のステップで必要です。

SAML2 ウェブアプリウィンドウを閉じます。

アプリケーション画面で、接続を選択します。Enterprise で、正しい Active Directory/LDAP コネクタを選択し、有効にします。

SAML 2.0 フェデレーション用の IAM ロールを作成します。手順については、WorkSpaces ドキュメントの WorkSpaces Personal に SAML 2.0 WorkSpaces を設定する手順のステップ 2 を参照してください。

IAM ポリシーを作成し、前のステップで作成したロールに関連付けます。手順については、WorkSpaces ドキュメントの WorkSpaces Personal に SAML 2.0 を設定する手順のステップ 3 WorkSpaces を参照してください。

Auth0 ダッシュボードにサインインします。アクション、ライブラリ、アクションの作成、ビルドを最初から選択します。

次の値を指定し、作成を選択します。

名前: アクションの名前を指定する

トリガー: ログイン/ログイン後を選択する

ランタイム: ノード 18 を選択する

次の画面で、次のコードを入力します。

exports.onExecutePostLogin = async (event, api) => 
{   if (event.client.name === "Workspace_Saml")
   {     const awsRole = 'arn:aws:iam::030784294031:role/Workspace_Auth0,arn:aws:iam::030784294031:saml-provider/Auth0';
     const awsRoleSession = event.user.sAMAccountName;
     const email = event.user.emails[0];
     api.samlResponse.setDestination('https://signin.aws.amazon.com/saml');
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/Role', awsRole)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/RoleSessionName', awsRoleSession)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/PrincipalTag:Email', email)
   } return;
};

[デプロイ] を選択します。