使用 Auth0 为亚马逊 WorkSpaces 实施 SAML 2.0 身份验证和 AWS Managed Microsoft AD

登录 Auth0 控制面板并选择身份验证、企业、A ctive Directory/LDAP。选择创建连接。

提供 Active Directory 连接的名称，然后选择创建。

在安装选项卡上，下载适用于您的操作系统的代理。

安装完成后，您的默认浏览器会提示您输入票证 URL。

输入配置票证 URL（对于您的连接字符串而言，该网址应该是唯一的），然后选择 “继续”。

在 “AD LDAP 配置” 对话框中，在 “用户名和密码” 中，输入您的管理员凭据，然后选择 “保存”。

建立与 Auth0 的连接后，将显示配置日志，所有检查的报告状态均为 OK。

登录 Auth0 控制面板并按照 A uth0 文档中的说明创建新应用程序。

在 Auth0 控制面板上，选择应用程序名称以访问其配置设置。在AddOns选项卡上，选择 SAML2 Web 应用程序。

在插件的 “设置” 选项卡上，在 “应用程序回调 URL” 中输入 https://signin.aws.amazon.com/sam l。这是 SAML 令牌将发送POST请求的地方。

在设置选项卡的设置框中，以 JSON 格式粘贴以下 SAML 配置代码：

{
  "audience": "https://signin.aws.amazon.com/saml",
  "mappings": {
    "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/sAMAccountName",
    "name": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
  },
  "createUpnClaim": false,
  "passthroughClaimsWithNoMapping": false,
  "mapUnknownClaimsAsIs": false,
  "mapIdentities": false,
  "nameIdentifierFormat": "urn:oasis:names:tc:SAML:2.0:nameid-format:persistent",
  "nameIdentifierProbes": [
    "http://schemas.auth0.com/sAMAccountName"
  ]
}

保存，然后选择 “启用”。

选择 “使用情况” 选项卡，然后下载身份提供商的元数据清单文件。此信息是后续步骤所必需的。

关闭 SAML2 Web 应用程序窗口。

在应用程序屏幕上，选择连接。在 “企业” 下，选择正确的活动 Directory/LDAP 连接器并将其启用。

为 SAML 2.0 联合创建一个 IAM 角色。有关说明，请参阅 WorkSpaces 文档中为 WorkSpaces 个人设置 SAML 2.0 的说明中的步骤 2。

创建 IAM 策略并将其与您在上一步中创建的角色相关联。有关说明，请参阅 WorkSpaces 文档中为 WorkSpaces 个人设置 SAML 2.0 的说明中的步骤 3。

登录 Auth0 控制面板。选择 “操作”、“库”、“创建操作”、“从头开始构建”。

提供以下值，然后选择 “创建”。

名称：为操作指定名称

触发器：选择 Login/Post 登录

运行时间：选择节点 18

在下一个屏幕上，输入以下代码：

exports.onExecutePostLogin = async (event, api) => 
{   if (event.client.name === "Workspace_Saml")
   {     const awsRole = 'arn:aws:iam::030784294031:role/Workspace_Auth0,arn:aws:iam::030784294031:saml-provider/Auth0';
     const awsRoleSession = event.user.sAMAccountName;
     const email = event.user.emails[0];
     api.samlResponse.setDestination('https://signin.aws.amazon.com/saml');
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/Role', awsRole)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/RoleSessionName', awsRoleSession)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/PrincipalTag:Email', email)
   } return;
};

选择部署。