SAML2.0 konfigurieren und ein WorkSpaces Pools-Verzeichnis erstellen

Öffnen Sie die WorkSpaces Konsole unter https://console.aws.amazon.com/workspaces/.

Wählen Sie im Navigationsbereich Verzeichnisse aus.

Wählen Sie Verzeichnis erstellen aus.

Wählen Sie als WorkSpace Typ die Option Pool aus.

Gehen Sie im Abschnitt Benutzeridentitätsquelle der Seite wie folgt vor:

1. Geben Sie einen Platzhalterwert in das URL Textfeld Benutzerzugriff ein. Geben Sie beispielsweise placeholder in das Textfeld ein. Sie werden dies später bearbeiten, nachdem Sie die Anwendungsberechtigung in Ihrem IdP eingerichtet haben.

2. Lassen Sie das Textfeld Name des Relay-State-Parameters leer. Sie werden dies später bearbeiten, nachdem Sie die Anwendungsberechtigung in Ihrem IdP eingerichtet haben.

Geben Sie im Bereich Verzeichnisinformationen auf der Seite einen Namen und eine Beschreibung für das Verzeichnis ein. Der Verzeichnisname und die Beschreibung müssen weniger als 128 Zeichen lang sein und können alphanumerische Zeichen und die folgenden Sonderzeichen enthalten:_ @ # % * + = : ? . / ! \ -. Der Verzeichnisname und die Beschreibung dürfen nicht mit einem Sonderzeichen beginnen.

Gehen Sie im Bereich Netzwerk und Sicherheit der Seite wie folgt vor:

1. Wählen Sie ein VPC und zwei Subnetze aus, die Zugriff auf die Netzwerkressourcen haben, die Ihre Anwendung benötigt. Um die Fehlertoleranz zu erhöhen, sollten Sie zwei Subnetze in unterschiedlichen Availability Zones auswählen.

2. Wählen Sie eine Sicherheitsgruppe, die WorkSpaces das Erstellen von Netzwerklinks in Ihrem VPC ermöglicht. Sicherheitsgruppen steuern, von welchem Netzwerkverkehr WorkSpaces zu Ihrem Netzwerk fließen darfVPC. Wenn Ihre Sicherheitsgruppe beispielsweise alle eingehenden HTTPS Verbindungen einschränkt, können Benutzer, die auf Ihr Webportal zugreifen, keine HTTPS Websites von laden. WorkSpaces

Der Abschnitt Active Directory-Konfiguration ist optional. Sie sollten jedoch Ihre Active Directory-Details (AD) bei der Erstellung Ihres WorkSpaces Pools-Verzeichnisses angeben, wenn Sie beabsichtigen, ein AD mit Ihren WorkSpaces Pools zu verwenden. Sie können die Active Directory-Konfiguration für Ihr WorkSpaces Pools-Verzeichnis nicht bearbeiten, nachdem Sie es erstellt haben. Weitere Informationen zur Angabe Ihrer AD-Details für Ihr WorkSpaces Pool-Verzeichnis finden Sie unterGeben Sie Active Directory-Details für Ihr WorkSpaces Pools-Verzeichnis an. Nachdem Sie den in diesem Thema beschriebenen Vorgang abgeschlossen haben, sollten Sie zu diesem Thema zurückkehren, um die Erstellung Ihres WorkSpaces Pools-Verzeichnisses abzuschließen.

Sie können den Abschnitt Active Directory-Konfiguration überspringen, wenn Sie nicht vorhaben, ein AD mit Ihren WorkSpaces Pools zu verwenden.

Gehen Sie im Abschnitt Streaming-Eigenschaften der Seite wie folgt vor:

Im Bereich Speicher der Seite können Sie wählen, ob Sie Basisordner aktivieren möchten.

Wählen Sie im IAMRollenbereich der Seite eine IAM Rolle aus, die für alle Desktop-Streaming-Instances verfügbar sein soll. Um eine neue Rolle zu erstellen, wählen Sie Neue IAM Rolle erstellen.

Wenn Sie eine IAM Rolle von Ihrem Konto auf ein WorkSpace Pool-Verzeichnis anwenden, können Sie AWS API Anfragen von einem WorkSpace im WorkSpace Pool aus stellen, ohne die AWS Anmeldeinformationen manuell verwalten zu müssen. Weitere Informationen finden Sie unter Erstellen einer Rolle zum Delegieren von Berechtigungen an einen IAM Benutzer im AWS Identity and Access Management Benutzerhandbuch.

Wählen Sie Verzeichnis erstellen aus.

Öffnen Sie die IAM-Konsole unter https://console.aws.amazon.com/iam/.

Wählen Sie im Navigationsbereich Roles (Rollen) aus.

Wählen Sie Rolle erstellen.

Wählen Sie SAML2.0 Federation als vertrauenswürdigen Entitätstyp.

Wählen Sie für einen SAML 2.0-basierten Anbieter den Identitätsanbieter aus, in IAM dem Sie ihn erstellt haben. Weitere Informationen finden Sie unter Erstellen eines SAML Identitätsanbieters in IAM.

Wählen Sie Nur programmgesteuerten Zugriff zulassen, um den Zugriff zuzulassen.

Wählen SAML Sie:sub_type für das Attribut.

Geben Sie für Wert https://signin.aws.amazon.com/saml ein. Dieser Wert schränkt den Rollenzugriff auf SAML Benutzer-Streaming-Anfragen ein, die eine SAML Betreff-Typ-Assertion mit dem Wert von enthalten. persistent Wenn der:sub_type persistent SAML ist, sendet Ihr IdP NameID in allen Anfragen SAML eines bestimmten Benutzers denselben eindeutigen Wert für das Element. Weitere Informationen finden Sie unter Eindeutige Identifizierung von Benutzern in einem SAML basierten Verbund im Benutzerhandbuch.AWS Identity and Access Management

Wählen Sie Next (Weiter), um fortzufahren.

Nehmen Sie auf der Seite „Berechtigungen hinzufügen“ keine Änderungen oder Auswahlen vor. Wählen Sie Next (Weiter), um fortzufahren.

Geben Sie einen Namen und eine Beschreibung für die Rolle ein.

Wählen Sie Rolle erstellen.

Wählen Sie auf der Seite Rollen die Rolle aus, die Sie erstellen müssen.

Wählen Sie die Registerkarte Trust relationships (Vertrauensstellungen).

Wählen Sie Vertrauensrichtlinie bearbeiten aus.

Fügen Sie im JSON Textfeld Vertrauensrichtlinie bearbeiten die TagSession Aktion sts: zur Vertrauensrichtlinie hinzu. Weitere Informationen finden Sie AWS STS im AWS Identity and Access Management Benutzerhandbuch unter Übergeben von Sitzungs-Tags.

Das Ergebnis sollte wie folgt aussehen:

Wählen Sie Richtlinie aktualisieren.

Wählen Sie die Registerkarte Berechtigungen.

Wählen Sie auf der Seite im Abschnitt „Berechtigungsrichtlinien“ die Option „Berechtigungen hinzufügen“ und anschließend „Inline-Richtlinie erstellen“ aus.

Wählen Sie im Bereich Richtlinien-Editor der Seite aus JSON.

Geben Sie im JSON Textfeld Policy-Editor die folgende Richtlinie ein. Achten Sie darauf, Folgendes zu ersetzen:

Verwenden Sie für Ressourcen in AWS GovCloud (US) Regions das folgende Format fürARN:arn:aws-us-gov:workspaces:<region-code>:<account-id>:directory/<directory-id>.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "workspaces:Stream",
            "Resource": "arn:aws:workspaces:<region-code>:<account-id>:directory/<directory-id>",
            "Condition": {
                "StringEquals": {"workspaces:userId": "${saml:sub}"}
            }
        }
    ]
}

Wählen Sie Weiter.

Geben Sie einen Namen für die Richtlinie ein und wählen Sie dann Create policy (Richtlinie erstellen) aus.

Öffnen Sie die WorkSpaces Konsole unter https://console.aws.amazon.com/workspaces/.

Wählen Sie im Navigationsbereich Verzeichnisse aus.

Wählen Sie die Registerkarte Pools-Verzeichnisse.

Wählen Sie die ID des Verzeichnisses, das Sie bearbeiten möchten.

Wählen Sie im Abschnitt Authentifizierung der Seite die Option Bearbeiten aus.

Wählen Sie Edit SAML 2.0 Identity Provider aus.

Ersetzen Sie für den Benutzerzugriff URL, der manchmal als "SSOURL„bezeichnet wird, den Platzhalterwert durch den Wert, den Sie von Ihrem IdP SSO URL erhalten haben.

Geben Sie für den Namen des IdP-Deep-Link-Parameters den Parameter ein, der für Ihren IdP und die von Ihnen konfigurierte Anwendung gilt. Der Standardwert ist, RelayState wenn Sie den Parameternamen weglassen.

In der folgenden Tabelle sind die Namen der Benutzerzugriffs URLs - und Deep-Link-Parameter aufgeführt, die für verschiedene Identitätsanbieter für Anwendungen eindeutig sind.

Wählen Sie Save (Speichern) aus.