本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

# 启用 SAML AWS Client VPN
<a name="client-auth-enable-saml"></a>

 可以通过完成以下步骤为 Client VPN 启用单点登录 SAML。或者，如果您为 Client VPN 端点启用了自助服务门户，请指示用户转到自助服务门户来获取配置文件和 AWS 提供的客户端。有关更多信息，请参阅 [AWS Client VPN 访问自助服务门户](cvpn-self-service-portal.md)。

**要使基于 SAML 的 IdP 能够用于 Client VPN 端点，您必须执行以下操作。**

1. 在您选择的 IdP 中创建基于 SAML 的应用程序以与现有应用程序一起使用 AWS Client VPN，或使用现有应用程序。

1. 配置 IdP 以与 AWS建立信任关系 有关资源，请参阅[基于 SAML 的 IdP 配置资源](federated-authentication.md#saml-config-resources)。

1. 在 IdP 中，生成和下载联合身份元数据文档，该文档将您的组织描述为 IdP。

   此签名 XML 文档用于在 AWS 和 IdP 之间建立信任关系。

1. 在与 Client VPN 终端节点相同的 AWS 账户中创建 IAM SAML 身份提供商。

   IAM SAML 身份提供商使用 IdP AWS 生成的元数据文档定义贵组织的 IdP 信任关系。有关更多信息，请参阅 *IAM 用户指南* 中的[创建 IAM SAML 身份提供商](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml.html)。如果稍后更新 IdP 中的应用程序配置，请生成新的元数据文档并更新 IAM SAML 身份提供程序。
**注意**  
您无需创建 IAM 角色即可使用 IAM SAML 身份提供程序。

1. 创建客户端 VPN 终端节点。

   将联合身份验证指定为身份验证类型，并指定您创建的 IAM SAML 身份提供程序。有关更多信息，请参阅[创建AWS Client VPN终端节点](cvpn-working-endpoint-create.md)。

1. 导出[客户端配置文件](cvpn-working-endpoint-export.md)并将其分发给用户。指示用户下载 [AWS 提供的客户端](https://docs.aws.amazon.com/vpn/latest/clientvpn-user/connect-aws-client-vpn-connect.html)的最新版本，然后使用它加载配置文件并连接到 Client VPN 端点。