Implemente a autenticação SAML 2.0 para a Amazon WorkSpaces usando Auth0 e AWS Managed Microsoft AD

Faça login no painel Auth0 e escolha Authentication, Enterprise, Active Directory/LDAP. Escolha Criar uma conexão.

Forneça o nome da sua conexão do Active Directory e escolha Criar.

Na guia Configuração, baixe o agente para seu sistema operacional.

Quando a instalação estiver concluída, seu navegador padrão exibirá uma solicitação para a URL do ticket.

Insira a URL do ticket de aprovisionamento, que deve ser exclusiva para sua cadeia de conexão, e escolha Continuar.

Na caixa de diálogo Configuração do AD LDAP, em Nome de usuário e senha, insira suas credenciais de administrador e escolha Salvar.

Quando a conexão com Auth0 é estabelecida, o registro de configuração é exibido com um status de relatório OK para todas as verificações.

Faça login no painel do Auth0 e crie um novo aplicativo seguindo as instruções na documentação do Auth0.

No painel Auth0, escolha o nome do aplicativo para acessar suas configurações. Na AddOnsguia, escolha Aplicativo SAML2 Web.

Na guia Configurações do complemento, em URL de retorno de chamada do aplicativo, insira https://signin.aws.amazon.com /saml. É aqui que o token SAML enviará a POST solicitação.

Na guia Configurações, na caixa Configurações, cole o seguinte código de configuração SAML no formato JSON:

{
  "audience": "https://signin.aws.amazon.com/saml",
  "mappings": {
    "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/sAMAccountName",
    "name": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
  },
  "createUpnClaim": false,
  "passthroughClaimsWithNoMapping": false,
  "mapUnknownClaimsAsIs": false,
  "mapIdentities": false,
  "nameIdentifierFormat": "urn:oasis:names:tc:SAML:2.0:nameid-format:persistent",
  "nameIdentifierProbes": [
    "http://schemas.auth0.com/sAMAccountName"
  ]
}

Salve e, em seguida, escolha Habilitar.

Escolha a guia Uso e baixe o arquivo de manifesto de metadados para o provedor de identidade. Essas informações são necessárias para as próximas etapas.

Feche a janela do aplicativo SAML2 Web.

Na tela de aplicativos, escolha Conexões. Em Enterprise, selecione o Directory/LDAP conector ativo correto e ative-o.

Crie uma função do IAM para a federação SAML 2.0. Para obter instruções, consulte a etapa 2 nas instruções para configurar o SAML 2.0 for WorkSpaces Personal na WorkSpaces documentação.

Crie uma política do IAM e associe-a à função que você criou na etapa anterior. Para obter instruções, consulte a etapa 3 nas instruções para configurar o SAML 2.0 for WorkSpaces Personal na WorkSpaces documentação.

Faça login no painel do Auth0. Escolha Ações, Biblioteca, Criar ação, Construir do zero.

Forneça os valores a seguir e escolha Criar.

Nome: especifique um nome para a ação

Acionador: escolha Login/Post Login

Tempo de execução: escolha o Node 18

Na próxima tela, insira o seguinte código:

exports.onExecutePostLogin = async (event, api) => 
{   if (event.client.name === "Workspace_Saml")
   {     const awsRole = 'arn:aws:iam::030784294031:role/Workspace_Auth0,arn:aws:iam::030784294031:saml-provider/Auth0';
     const awsRoleSession = event.user.sAMAccountName;
     const email = event.user.emails[0];
     api.samlResponse.setDestination('https://signin.aws.amazon.com/saml');
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/Role', awsRole)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/RoleSessionName', awsRoleSession)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/PrincipalTag:Email', email)
   } return;
};

Escolha Implantar.