Configurar o SAML 2.0 para WorkSpaces Personal

1. Configurar o IdP para integrar identidades de usuário do Microsoft Active Directory usado com o diretório WorkSpaces. No caso de um usuário com WorkSpace, os atributos de usuário sAMAccountName e e-mail do Active Directory e os valores de declaração SAML devem ser iguais para o usuário fazer login no WorkSpaces usando o IdP. Para obter mais informações sobre a integração do Active Directory com seu IdP, consulte a documentação do seu IdP.

2. Configurar o IdP para estabelecer uma relação de confiançaAWS.

   • Consultar o artigo Integrando provedores de soluções SAML de terceiros AWS para obter mais informações sobre como configurarAWS a federação. Exemplos relevantes incluem a integração do IdP com o AWS IAM para acessar o Console de Gerenciamento da AWS.

   • Usar o IdP para gerar e fazer download de um documento de metadados de federação que descreva a empresa como um IdP. Este documento XML assinado é usado para estabelecer a confiança da parte dependente. Salvar este arquivo em um local para acessar posteriormente no console do IAM.

3. Criar ou registrar um diretório para WorkSpaces usando o console de gerenciamento do WorkSpaces. Para obter mais informações, consulte Manage directories for WorkSpaces. A autenticação SAML 2.0 para WorkSpaces é compatível com os seguintes tipos de diretório:

   • AD Connector

   • AWSManaged Microsoft AD

4. Criar um WorkSpace para um usuário que possa fazer login no IdP usando um tipo de diretório compatível. Você pode criar um WorkSpace usando o console de gerenciamento do WorkSpaces, a AWS CLI ou a API do WorkSpaces. Para obter mais informações, consulte Launch a virtual desktop using WorkSpaces.

Como criar um perfil do IAM para o IdP SAML

1. Abra o console do IAM em https://console.aws.amazon.com/iam/.

2. No painel de navegação, escolha Perfis > Criar perfil.

3. Em Tipo de perfil, escolha Federação SAML 2.0.

4. Em Provedor SAML, selecionar o IdP SAML que você criou.

   Importante

   Não escolha nenhum dos dois métodos de acesso SAML 2.0 (Permitir somente acesso programático ou Permitir acesso programático e pelo Console de Gerenciamento da Amazon Web Services).

5. Em Atributo, selecione SAML:sub_type.

6. Em Valor, insira persistent. Esse valor restringe o acesso de perfis a solicitações de streaming de usuários do SAML que incluam uma declaração do tipo de assunto de SAML com um valor persistente. Se o SAML:sub_type for persistente, o IdP envia o mesmo valor exclusivo para o elemento NameID em todas as solicitações de SAML de um usuário específico. Para obter mais informações sobre a declaração de SAML:sub_type, consulte a seção Identificar exclusivamente os usuários na federação baseada em SAML em Usar a federação baseada em SAML para acesso da API à AWS.

7. Verificar as informações de confiança do SAML 2.0 confirmando a entidade confiável e a condição corretas e, em seguida, selecionar Próximo: Permissões.

8. Na página Anexar políticas de permissões, selecione Próximo: Etiquetas.

9. (Opcional) Insira uma chave e um valor para cada etiqueta que deseja adicionar. Para obter mais informações, consulte Recursos de etiquetas do IAM.

10. Ao concluir, selecione Próximo: revisão. Você pode criar e incorporar uma política em linha para esse perfil posteriormente.

11. Em Nome do perfil, insira um nome que identifique a finalidade desse perfil. Como várias entidades podem fazer referência ao perfil, não é possível editar o nome do perfil depois que ele é criado.

12. (Opcional) Em Descrição da função, insira uma descrição para o novo perfil.

13. Revisar os detalhes do perfil e selecionar Criar perfil.

14. Adicione a permissão sts:TagSession à política de confiança do seu novo perfil do IAM. Para obter mais informações, consulte Passar tags de sessão no AWS STS. Nos detalhes do novo perfil do IAM, selecione a guia Relações de confiança e escolha Editar relação de confiança*. Quando o editor de políticas Editar relação de confiança for aberto, adicione a permissão sts:TagSession*, conforme mostrado a seguir:

    JSON

    {
        "Version":"2012-10-17",		 	 	 
        "Statement": [
            {
                "Effect": "Allow",
                "Principal": {
                    "Federated": "arn:aws:iam::111122223333:saml-provider/IDENTITY-PROVIDER"
                },
                "Action": [
                    "sts:AssumeRoleWithSAML",
                    "sts:TagSession"
                ],
                "Condition": {
                    "StringEquals": {
                        "SAML:aud": "https://signin.aws.amazon.com/saml"
                    }
                }
            }
        ]
    }
    

1. Nos detalhes do perfil do IAM que você criou, escolha a guia Permissões e adicione as permissões necessárias à política de permissões do perfil. O assistente Criar política será iniciado.

2. Em Criar política, selecione a guia JSON.

3. Copie e cole a política JSON a seguir na janela JSON. Depois, modifique o recurso inserindo o código da região da AWS, o ID de conta e o ID do diretório. Na política a seguir, "Action": "workspaces:Stream" é a ação que fornece aos usuários do WorkSpaces permissões para se conectarem às sessões de área de trabalho no diretório do WorkSpaces.

   JSON

   {
       "Version":"2012-10-17",		 	 	 
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "workspaces:Stream",
               "Resource": "arn:aws:workspaces:us-east-1:123456789012:directory/DIRECTORY-ID",
               "Condition": {
                   "StringEquals": {
                       "workspaces:userId": "${saml:sub}"
                   }
               }
           }
       ]
   }
   

   Substituir REGION-CODE pela AWS região onde existe o diretório do WorkSpaces. Substituir DIRECTORY-ID pelo ID do diretório do WorkSpaces, que pode ser encontrado no console de gerenciamento do WorkSpaces. Para recursos em AWS GovCloud (Oeste dos EUA) AWS ou GovCloud (Leste dos EUA), use o seguinte formato para o ARN: arn:aws-us-gov:workspaces:REGION-CODE:ACCOUNT-ID-WITHOUT-HYPHENS:directory/DIRECTORY-ID.

4. Ao concluir, selecionar Revisar política. O Validador de política indica se há erros de sintaxe.

Habilitar integração com SAML 2.0

1. Abra o console do WorkSpaces em https://console.aws.amazon.com/workspaces/v2/home.

2. No painel de navegação, selecionar Diretórios.

3. Selecionar o ID do diretório para os WorkSpaces.

4. Em Autenticação, selecione Editar.

5. Selecione Editar provedor de identidades SAML 2.0.

6. Desmarcar Habilitar autenticação SAML 2.0.

7. Em URL de acesso de usuários e Nome do parâmetro de link profundo do IdP, insira valores que sejam aplicáveis ao IdP e à aplicação configurados na etapa 1. O valor padrão para o nome do parâmetro de link direto do IdP é “RelayState“ caso omita esse parâmetro. A tabela a seguir lista URLs de acesso de usuários e nomes de parâmetros exclusivos de vários provedores de identidades para aplicações.

   Domínios e endereços IP para adicionar à sua lista de permissões

   Provedor de identidades	Parameter	URL de acesso de usuário
   ADFS	RelayState	https://<host>/adfs/ls/idpinitiatedsignon.aspx?RelayState=RPID=<relaying-party-uri>
   Azure AD	RelayState	https://myapps.microsoft.com/signin/<app_id>?tenantId=<tenant_id>
   Duo Single Sign-On	RelayState	https://<sub-domain>.sso.duosecurity.com/saml2/sp/<app_id>/sso
   Okta	RelayState	https://<sub_domain>.okta.com/app/<app_name>/<app_id>/sso/saml
   OneLogin	RelayState	https://<sub-domain>.onelogin.com/trust/saml2/http-post/sso/<app-id>
   JumpCloud	RelayState	https://sso.jumpcloud.com/saml2/<app-id>
   Auth0	RelayState	https://<DefaultTenatName>.us.auth0.com/samlp/<Client_Id>
   PingFederate	TargetResource	https://<host>/idp/startSSO.ping?PartnerSpId=<sp_id>
   PingOne for Enterprise	TargetResource	https://sso.connect.pingidentity.com/sso/sp/initsso?saasid=<app_id>&idpid=<idp_id>

   O URL de acesso do usuário geralmente é definido pelo provedor para SSO não solicitado iniciado pelo IdP. Um usuário pode inserir esse URL em um navegador da web para se federar diretamente à aplicação SAML. Para testar o URL de acesso do usuário e os valores dos parâmetros do seu IdP, selecionar Testar. Copie e cole o URL de teste em uma janela privada no seu navegador atual ou em outro navegador para testar o login do SAML 2.0 sem interromper a sessão atual do Console de Gerenciamento da AWS. Quando o fluxo iniciado pelo IdP for aberto, você poderá registrar o cliente no WorkSpaces. Para obter mais informações, consulte Identity provider (IdP)-initiated flow.

8. Gerenciar as configurações de fallback marcando ou desmarcando Permitir login de clientes que não suportam SAML 2.0. Habilitar essa configuração para continuar fornecendo aos usuários acesso aos WorkSpaces usando tipos ou versões de cliente que não oferecem suporte ao SAML 2.0 ou se os usuários precisarem de tempo para atualizar para a versão mais recente do cliente.

   nota

   Essa configuração permite que os usuários ignorem o SAML 2.0 e façam login usando autenticação de diretório usando versões de cliente mais antigas.

9. Para usar SAML com o cliente web, habilite o Acesso via Web. Para obter mais informações, consulte Enable and configure Amazon WorkSpaces Web Access.

   nota

   PCoIP com SAML não é compatível com o Acesso via Web.

10. Selecionar Salvar. O diretório WorkSpaces agora está habilitado com integração SAML 2.0. Você pode usar os fluxos iniciados por IdP e por aplicação cliente para registrar aplicações cliente do WorkSpaces e fazer login no WorkSpaces.