Implemente a autenticação SAML 2.0 para a Amazon WorkSpaces usando Auth0 e AWS Managed Microsoft AD

Faça login no painel do Auth0 e escolha Autenticação, depois Empresarial e, por último, Active Directory / LDAP. Selecione Criar uma conexão.

Forneça um nome para a conexão do Active Directory e, em seguida, escolha Criar.

Na guia Configuração, faça o download do agente correspondente ao seu sistema operacional.

Quando a instalação for concluída, seu navegador padrão exibirá um prompt solicitando o URL do tíquete.

Insira o URL do tíquete de provisionamento, que deve ser exclusivo para sua string de conexão, e, em seguida, clique em Continuar.

Na caixa de diálogo Configuração do LDAP do AD, insira suas credenciais de administrador nos campos Nome de usuário e Senha, e selecione Salvar.

Quando a conexão com o Auth0 for estabelecida, o log de configuração será exibido com o status OK para todas as verificações.

Faça login no painel do Auth0 e crie uma nova aplicação com base nas instruções presentes na documentação do Auth0.

No painel do Auth0, selecione o nome da aplicação para acessar as configurações. Na AddOnsguia, escolha Aplicativo SAML2 Web.

Na guia Configurações do complemento, em URL de retorno de chamada do aplicativo, insira https://signin.aws.amazon.com /saml. É para esse endereço que o token do SAML enviará a solicitação POST.

Na guia Configurações, na caixa Configurações, cole o seguinte código de configuração do SAML em formato JSON:

{
  "audience": "https://signin.aws.amazon.com/saml",
  "mappings": {
    "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/sAMAccountName",
    "name": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
  },
  "createUpnClaim": false,
  "passthroughClaimsWithNoMapping": false,
  "mapUnknownClaimsAsIs": false,
  "mapIdentities": false,
  "nameIdentifierFormat": "urn:oasis:names:tc:SAML:2.0:nameid-format:persistent",
  "nameIdentifierProbes": [
    "http://schemas.auth0.com/sAMAccountName"
  ]
}

Clique em Salvar e, em seguida, selecione Habilitar.

Escolha a guia Uso e faça o download do arquivo de manifesto de metadados destinado ao provedor de identidades. Essas informações serão necessárias para as próximas etapas.

Feche a janela do aplicativo SAML2 Web.

Na tela de aplicações, selecione Conexões. Em Enterprise, selecione o Directory/LDAP conector ativo correto e ative-o.

Crie um perfil do IAM para federação do SAML 2.0. Para obter instruções, consulte a etapa 2 nas instruções para configurar o SAML 2.0 for WorkSpaces Personal na WorkSpaces documentação.

Crie uma política do IAM e realize a associação com o perfil que você criou na etapa anterior. Para obter instruções, consulte a etapa 3 nas instruções para configurar o SAML 2.0 for WorkSpaces Personal na WorkSpaces documentação.

Faça login no painel do Auth0. Escolha Ações, depois Biblioteca e, por fim, Criar ação e Criar do zero.

Forneça os valores apresentados a seguir e, em seguida, selecione Criar.

Nome: especifique um nome para a ação

Acionador: escolha Login/Post Login

Runtime: escolha o Node 18

Na próxima tela, insira o seguinte código:

exports.onExecutePostLogin = async (event, api) => 
{   if (event.client.name === "Workspace_Saml")
   {     const awsRole = 'arn:aws:iam::030784294031:role/Workspace_Auth0,arn:aws:iam::030784294031:saml-provider/Auth0';
     const awsRoleSession = event.user.sAMAccountName;
     const email = event.user.emails[0];
     api.samlResponse.setDestination('https://signin.aws.amazon.com/saml');
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/Role', awsRole)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/RoleSessionName', awsRoleSession)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/PrincipalTag:Email', email)
   } return;
};

Escolha Implantar.