使用 Auth0 和 實作 Amazon WorkSpaces 的 SAML 2.Auth0驗證 AWS Managed Microsoft AD

登入 Auth0 儀表板，然後選擇身分驗證、企業、Active Directory/LDAP。選擇建立連線。

提供 Active Directory 連線的名稱，然後選擇建立。

在設定索引標籤上，下載作業系統的代理程式。

安裝完成時，您的預設瀏覽器會顯示票證 URL 的提示。

輸入佈建票證 URL，這對於您的連線字串應該是唯一的，然後選擇繼續。

在 AD LDAP 組態對話方塊中，針對使用者名稱和密碼，輸入您的管理員登入資料，然後選擇儲存。

建立與 Auth0 的連線後，組態日誌會顯示所有檢查的報告狀態為 OK。

登入 Auth0 儀表板，並遵循 Auth0 文件中的指示建立新的應用程式。

在 Auth0 儀表板上，選擇應用程式名稱以存取其組態設定。在 AddOns 索引標籤上，選擇 SAML2 Web 應用程式。

在附加元件的設定索引標籤上，針對應用程式回呼 URL，輸入 https://signin.aws.amazon.com/saml。這是 SAML 字符將傳送POST請求的位置。

在設定索引標籤的設定方塊中，以 JSON 格式貼上下列 SAML 組態碼：

{
  "audience": "https://signin.aws.amazon.com/saml",
  "mappings": {
    "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/sAMAccountName",
    "name": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
  },
  "createUpnClaim": false,
  "passthroughClaimsWithNoMapping": false,
  "mapUnknownClaimsAsIs": false,
  "mapIdentities": false,
  "nameIdentifierFormat": "urn:oasis:names:tc:SAML:2.0:nameid-format:persistent",
  "nameIdentifierProbes": [
    "http://schemas.auth0.com/sAMAccountName"
  ]
}

儲存，然後選擇啟用。

選擇用量索引標籤，然後下載身分提供者的中繼資料資訊清單檔案。後續步驟需要此資訊。

關閉 SAML2 Web 應用程式視窗。

在應用程式畫面上，選擇連線。在企業下，選取正確的 Active Directory/LDAP 連接器並啟用它。

為 SAML 2.0 聯合建立 IAM 角色。如需說明，請參閱 WorkSpaces 文件中設定 WorkSpaces Personal 專用 SAML 2.0 的說明中的 WorkSpaces步驟 2。

建立 IAM 政策，並將其與您在上一個步驟中建立的角色建立關聯。如需說明，請參閱 WorkSpaces 文件中設定 WorkSpaces Personal 專用 SAML 2.0 的說明中的 WorkSpaces步驟 3。

登入 Auth0 儀表板。選擇動作、程式庫、建立動作、從頭開始建置。

提供下列值，然後選擇建立。

名稱：指定動作的名稱

觸發：選擇登入/登入後

執行時間：選擇節點 18

在下一個畫面上，輸入下列程式碼：

exports.onExecutePostLogin = async (event, api) => 
{   if (event.client.name === "Workspace_Saml")
   {     const awsRole = 'arn:aws:iam::030784294031:role/Workspace_Auth0,arn:aws:iam::030784294031:saml-provider/Auth0';
     const awsRoleSession = event.user.sAMAccountName;
     const email = event.user.emails[0];
     api.samlResponse.setDestination('https://signin.aws.amazon.com/saml');
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/Role', awsRole)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/RoleSessionName', awsRoleSession)
     api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/PrincipalTag:Email', email)
   } return;
};

選擇部署。