As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Configuração do SAML

Para permitir que os usuários entrem nos WorkSpaces Aplicativos usando suas credenciais existentes e iniciem o streaming de aplicativos, você pode configurar a federação de identidades usando o SAML 2.0. Para fazer isso, use uma função do IAM e uma URL de estado de retransmissão para configurar seu provedor de identidade (IdP) compatível com SAML 2.0 e permitir que seus usuários federados acessem uma AWS pilha de aplicativos. WorkSpaces O perfil do IAM concede aos usuários permissões de acesso à pilha. O estado de retransmissão é o portal de pilha para o qual os usuários são encaminhados após a autenticação bem-sucedida pela AWS.

Pré-requisitos

Execute os pré-requisitos a seguir antes de configurar a conexão com o SAML 2.0.

Etapa 1: criar um provedor de identidade SAML no IAM AWS

Primeiro, crie um SAML IdP AWS no IAM. Esse IdP define a relação de AWS confiança entre IdP e IdP de sua organização usando o documento de metadados gerado pelo software IdP em sua organização. Para obter mais informações, consulte Creating and Managing a SAML Identity Provider (Amazon Web Services Management Console) no Guia do usuário do IAM. Para obter informações sobre como trabalhar com SAML IdPs nas AWS GovCloud (US) regiões, consulte AWS Identity and Access Management no Guia do AWS GovCloud (US) usuário.

Etapa 2: Criar um perfil do IAM de federação SAML 2.0

A seguir, crie um perfil do IAM de federação SAML 2.0. Essa etapa estabelece uma relação de confiança entre o IAM e o IdP da sua organização, o que identifica seu IdP como uma entidade confiável para federação.

Etapa 3: Incorporar uma política em linha para o perfil do IAM

A seguir, incorpore uma política do IAM em linha para o perfil que você criou. Quando você incorpora uma política em linha, as permissões nela não podem ser anexadas acidentalmente à entidade principal errada. A política em linha fornece aos usuários federados acesso à pilha de WorkSpaces aplicativos que você criou.

Etapa 4: Configurar seu IdP com base em SAML

Em seguida, dependendo do seu IdP baseado em SAML, talvez seja necessário atualizar manualmente seu IdP para confiar AWS como provedor de serviços fazendo o upload do arquivo saml-metadata.xml em saml-metadata.xml para seu IdP. https://signin.aws.amazon.com/static/ Esta etapa atualiza os metadados do seu IdP. Para alguns IdPs, a atualização pode já estar configurada. Se for esse o caso, prosseguir para a próxima etapa.

Se essa atualização ainda não estiver configurada no seu IdP, consulte a documentação fornecida por seu IdP para obter informações sobre como atualizar os metadados. Alguns provedores dão a opção de digitar o URL, e o IdP obtém e instala o arquivo para você. Outros exigem que você baixe o arquivo pelo URL e forneça como arquivo local.

Etapa 5: criar declarações para a resposta de autenticação de SAML

Em seguida, talvez seja necessário configurar as informações que seu IdP envia AWS como atributos SAML em sua resposta de autenticação. Dependendo do seu IdP, é possível que essas informações já estejam pré-configuradas. Se esse for o caso, pule esta etapa e siga para a etapa 6.

Se essas informações ainda não estiverem configuradas no seu IdP, providencie o seguinte:

Para obter mais informações sobre como configurar esses elementos, consulte Configuração de declarações SAML para a resposta de autenticação no Guia do usuário do IAM. Para obter informações sobre os requisitos específicos de configuração para o IdP, consulte a documentação do IdP.

Etapa 6: configurar o estado de retransmissão da federação

Por fim, use seu IdP para configurar o estado de retransmissão da sua federação para apontar para a URL do estado de retransmissão da pilha de WorkSpaces aplicativos. Após a autenticação bem-sucedida AWS, o usuário é direcionado ao portal da pilha de WorkSpaces aplicativos, definido como o estado de retransmissão na resposta de autenticação SAML.

O formato do URL de estado de retransmissão é o seguinte:

https://relay-state-region-endpoint?stack=stackname&accountId=aws-account-id-without-hyphens

Crie o URL do estado de retransmissão com base no ID de sua conta da Amazon Web Services, no nome da pilha e no endpoint de estado de retransmissão associado à região em que a pilha está localizada.

Como alternativa, você pode especificar o nome do aplicativo que deseja executar automaticamente. Para encontrar o nome do aplicativo, selecione a imagem no console WorkSpaces Aplicativos, escolha a guia Aplicativos e anote o nome exibido na coluna Nome do Aplicativo. Como alternativa, se ainda não tiver criado a imagem, conecte-se ao criador de imagens onde o aplicativo foi instalado e abra o Image Assistant. Os nomes dos aplicativos são exibidos na guia Add Apps (Adicionar aplicativos).

Se sua frota estiver habilitada para a visualização de streaming Área de trabalho, você também poderá optar por iniciar diretamente na área de trabalho do sistema operacional. Para fazer isso, especifique Desktop no final do URL do estado de retransmissão, depois de &app=.

Com um fluxo iniciado pelo provedor de identidade (IdP), no navegador padrão do sistema, depois que os usuários se conectam ao IdP e selecionam o WorkSpaces aplicativo Aplicativos no portal do usuário do IdP, eles são redirecionados para uma página de login de WorkSpaces Aplicativos no navegador padrão do sistema com as seguintes opções:

Na página, os usuários podem optar por iniciar a sessão no navegador ou com o aplicativo cliente WorkSpaces Applications. É também possível especificar qual cliente deve ser usado para uma federação SAML 2.0. Para fazer isso, especifique native ou web no final do URL do estado de retransmissão, depois de &client=. Quando o parâmetro estiver presente em um URL do estado de retransmissão, as sessões correspondentes serão iniciadas automaticamente no cliente especificado, sem que os usuários façam a escolha.

Com direitos de aplicação baseados em atributos usando um provedor de identidades SAML 2.0 de terceiros, você pode habilitar o acesso a várias pilhas por um único URL em estado de retransmissão. Remova os parâmetros da pilha e da aplicação (se presentes) do URL do estado de retransmissão, da seguinte forma:

https://relay-state-region-endpoint?accountId=aws-account-id-without-hyphens

Quando os usuários se federam no catálogo de WorkSpaces aplicativos, eles recebem todas as pilhas nas quais os direitos do aplicativo corresponderam a um ou mais aplicativos ao usuário para o ID da conta e o endpoint do estado de retransmissão associados à região em que suas pilhas estão localizadas. Quando um usuário seleciona um catálogo, os direitos de aplicação exibirão somente as aplicações às quais o usuário tem direito.

Para obter mais informações, consulte Direitos de aplicação baseados em atributos usando um provedor de identidades SAML 2.0 de terceiros.

A tabela 1 abaixo lista os endpoints de estado de retransmissão para as regiões em que os WorkSpaces aplicativos estão disponíveis. Os endpoints do estado de retransmissão na Tabela 1 são compatíveis com o WorkSpaces Acesso ao navegador da Web de aplicativos (versão 2) e com a aplicação cliente Windows versão 1.1.1300 e posterior. Se você estiver usando versões mais antigas do cliente Windows, deverá usar os endpoints do estado de retransmissão antigos listados na Tabela 2 para configurar sua federação SAML 2.0. Se desejar que seus usuários façam streaming usando uma conexão compatível com o FIPS, use um endpoint compatível com o FIPS. Para obter mais informações sobre os endpoints do FIPS, consulte Como proteger dados em trânsito com endpoints do FIPS.

A Tabela 2 abaixo lista os endpoints antigos do estado de retransmissão que ainda estão disponíveis. No entanto, recomenda-se que você use os novos endpoints do estado de retransmissão listados na Tabela 1 para configurar suas federações SAML 2.0. Em particular, com os novos endpoints de estado de retransmissão, você pode permitir que seus usuários iniciem o aplicativo cliente WorkSpaces Applications (versão 1.1.1300 e posterior) a partir de sessões de streaming iniciadas pelo IdP. Os novos endpoints de estado de retransmissão na Tabela 1 também permitem que os usuários façam login em outros AWS aplicativos em guias diferentes do mesmo navegador da Web, sem afetar a sessão contínua WorkSpaces de streaming de aplicativos. Os endpoints antigos do estado de retransmissão na Tabela 2 não são compatíveis com isso. Para obter mais informações, consulte Os usuários do cliente My WorkSpaces Applications são desconectados da sessão de WorkSpaces aplicativos a cada 60 minutos..

A Tabela 3 abaixo lista todos os parâmetros disponíveis que você pode usar para construir um URL do estado de retransmissão.