使用 Auth0 为亚马逊 WorkSpaces 实施 SAML 2.0 身份验证和 AWS Managed Microsoft AD

登录 Auth0 控制面板并选择身份验证、企业、Active Directory / LDAP。选择创建连接。

提供 Active Directory 连接的名称，然后选择创建。

在安装选项卡上，下载适用于您的操作系统的代理。

完成安装后，您的默认浏览器会提示您输入票证 URL。

输入预调配票证 URL（对于您的连接字符串而言，该网址应该是唯一的），然后选择继续。

在AD LDAP 配置对话框中，对于用户名和密码中，输入您的管理员凭证，然后选择保存。

与 Auth0 建立连接后，将显示配置日志，其中显示，所有检查的报告状态均为正常。

登录 Auth0 控制面板，并按照 Auth0 文档中的说明，创建新应用程序。

在 Auth0 控制面板上，选择应用程序名称以访问其配置设置。在AddOns选项卡上，选择 SAML2 Web 应用程序。

在插件的 “设置” 选项卡上，在 “应用程序回调 URL” 中输入 https://signin.aws.amazon.com/sam l。SAML 令牌会将 POST 请求发送到此处。

在设置选项卡的设置框中，以 JSON 格式粘贴以下 SAML 配置代码：

{
  "audience": "https://signin.aws.amazon.com/saml",
  "mappings": {
    "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/sAMAccountName",
    "name": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
  },
  "createUpnClaim": false,
  "passthroughClaimsWithNoMapping": false,
  "mapUnknownClaimsAsIs": false,
  "mapIdentities": false,
  "nameIdentifierFormat": "urn:oasis:names:tc:SAML:2.0:nameid-format:persistent",
  "nameIdentifierProbes": [
    "http://schemas.auth0.com/sAMAccountName"
  ]
}

保存，然后选择然后启用。

选择使用情况选项卡，然后下载身份提供者的元数据清单文件。您在后续步骤中需要此信息。

关闭 SAML2 Web 应用程序窗口。

在应用程序屏幕上，选择连接。在 “企业” 下，选择正确的活动 Directory/LDAP 连接器并将其启用。

创建用于 SAML 2.0 联合身份验证的 IAM 角色。有关说明，请参阅 WorkSpaces 文档中为 WorkSpaces 个人设置 SAML 2.0 的说明中的步骤 2。

创建 IAM 策略，并将其与上一步中创建的角色关联。有关说明，请参阅 WorkSpaces 文档中为 WorkSpaces 个人设置 SAML 2.0 的说明中的步骤 3。

登录到 Auth0 控制面板。选择操作、库、创建操作、从头开始构建。

输入以下值，然后选择创建。

名称：为操作指定名称

触发器：选择 Login/Post 登录

运行时：选择节点 18

在下一个屏幕上，输入以下代码作：

exports.onExecutePostLogin = async (event, api) => 
{   if (event.client.name === "Workspace_Saml")
   {     const awsRole = 'arn:aws:iam::030784294031:role/Workspace_Auth0,arn:aws:iam::030784294031:saml-provider/Auth0';
     const awsRoleSession = event.user.sAMAccountName;
     const email = event.user.emails[0];
     api.samlResponse.setDestination('https://signin.aws.amazon.com/saml');
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/Role', awsRole)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/RoleSessionName', awsRoleSession)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/PrincipalTag:Email', email)
   } return;
};

选择部署。