SAML 2.0 konfigurieren und ein WorkSpaces Pools-Verzeichnis erstellen

Öffnen Sie die WorkSpaces Konsole unter https://console.aws.amazon.com/workspaces/.

Wählen Sie im Navigationsbereich Verzeichnisse aus.

Wählen Sie Verzeichnis erstellen aus.

Wählen Sie als WorkSpace Typ die Option Pool aus.

Gehen Sie im Abschnitt Benutzeridentitätsquelle der Seite wie folgt vor:

1. Geben Sie einen Platzhalterwert in das Textfeld Benutzerzugriffs-URL ein. Geben Sie beispielsweise placeholder in das Textfeld ein. Sie werden dies später bearbeiten, nachdem Sie die Anwendungsberechtigung in Ihrem IdP eingerichtet haben.

2. Lassen Sie das Textfeld Name des Relay-State-Parameters leer. Sie werden dies später bearbeiten, nachdem Sie die Anwendungsberechtigung in Ihrem IdP eingerichtet haben.

Geben Sie im Bereich Verzeichnisinformationen der Seite einen Namen und eine Beschreibung für das Verzeichnis ein. Der Verzeichnisname und die Beschreibung müssen weniger als 128 Zeichen lang sein und können alphanumerische Zeichen und die folgenden Sonderzeichen enthalten:_ @ # % * + = : ? . / ! \ -. Der Verzeichnisname und die Beschreibung dürfen nicht mit einem Sonderzeichen beginnen.

Gehen Sie im Bereich Netzwerk und Sicherheit der Seite wie folgt vor:

1. Wählen Sie eine VPC und zwei Subnetze aus, die Zugriff auf die Netzwerkressourcen haben, die Ihre Anwendung benötigt. Um die Fehlertoleranz zu erhöhen, sollten Sie zwei Subnetze in unterschiedlichen Availability Zones wählen.

2. Wählen Sie eine Sicherheitsgruppe, mit der WorkSpaces Sie Netzwerklinks in Ihrer VPC erstellen können. Sicherheitsgruppen steuern, von welchem Netzwerkverkehr WorkSpaces zu Ihrer VPC fließen darf. Wenn Ihre Sicherheitsgruppe beispielsweise alle eingehenden HTTPS-Verbindungen einschränkt, können Benutzer, die auf Ihr Webportal zugreifen, keine HTTPS-Websites von der laden. WorkSpaces

Der Abschnitt Active Directory-Konfiguration ist optional. Sie sollten jedoch Ihre Active Directory-Details (AD) bei der Erstellung Ihres WorkSpaces Pools-Verzeichnisses angeben, wenn Sie beabsichtigen, ein AD mit Ihren WorkSpaces Pools zu verwenden. Sie können die Active Directory-Konfiguration für Ihr WorkSpaces Pools-Verzeichnis nicht bearbeiten, nachdem Sie es erstellt haben. Weitere Informationen zum Angeben Ihrer AD-Details für Ihr WorkSpaces Pool-Verzeichnis finden Sie unterGeben Sie Active Directory-Details für Ihr WorkSpaces Pools-Verzeichnis an. Nachdem Sie den in diesem Thema beschriebenen Vorgang abgeschlossen haben, sollten Sie zu diesem Thema zurückkehren, um die Erstellung Ihres WorkSpaces Pools-Verzeichnisses abzuschließen.

Sie können den Abschnitt Active Directory-Konfiguration überspringen, wenn Sie nicht vorhaben, ein AD mit Ihren WorkSpaces Pools zu verwenden.

Gehen Sie im Abschnitt Streaming-Eigenschaften der Seite wie folgt vor:

Im Bereich Speicher der Seite können Sie wählen, ob Sie Basisordner aktivieren möchten.

Wählen Sie im Abschnitt „IAM-Rolle“ der Seite eine IAM-Rolle aus, die für alle Desktop-Streaming-Instances verfügbar sein soll. Um eine neue zu erstellen, wählen Sie Neue IAM-Rolle erstellen.

Wenn Sie eine IAM-Rolle von Ihrem Konto auf ein WorkSpace Pool-Verzeichnis anwenden, können Sie AWS API-Anfragen von einem WorkSpace im WorkSpace Pool aus stellen, ohne die Anmeldeinformationen manuell verwalten AWS zu müssen. Weitere Informationen finden Sie im Benutzerhandbuch unter Erstellen einer Rolle zum Delegieren von Berechtigungen an einen IAM-Benutzer.AWS Identity and Access Management

Wählen Sie Verzeichnis erstellen aus.

Öffnen Sie unter https://console.aws.amazon.com/iam/ die IAM-Konsole.

Wählen Sie im Navigationsbereich Roles (Rollen) aus.

Wählen Sie Rolle erstellen.

Wählen Sie den SAML 2.0-Verbund als vertrauenswürdigen Entitätstyp aus.

Wählen Sie für einen SAML 2.0-basierten Anbieter den Identitätsanbieter aus, den Sie in IAM erstellt haben. Weitere Informationen finden Sie unter Erstellen eines SAML-Identitätsanbieters in IAM.

Wählen Sie Nur programmgesteuerten Zugriff zulassen, um den Zugriff zuzulassen.

Wählen Sie SAML:sub_type für das Attribut.

Geben Sie für Wert https://signin.aws.amazon.com/saml ein. Dieser Wert schränkt den Rollenzugriff auf SAML-Benutzer-Streaming-Anfragen ein, die eine SAML-Betreff-Typ-Assertion mit dem Wert von enthalten. persistent Wenn SAML:sub_type persistent ist, sendet Ihr IdP in allen SAML-Anfragen eines bestimmten Benutzers denselben eindeutigen Wert für das NameID Element. Weitere Informationen finden Sie unter Eindeutige Identifizierung von Benutzern in einem SAML-basierten Verbund im Benutzerhandbuch.AWS Identity and Access Management

Wählen Sie Next (Weiter), um fortzufahren.

Nehmen Sie auf der Seite „Berechtigungen hinzufügen“ keine Änderungen oder Auswahlen vor. Wählen Sie Next (Weiter), um fortzufahren.

Geben Sie einen Namen und eine Beschreibung für die Rolle ein.

Wählen Sie Rolle erstellen.

Wählen Sie auf der Seite Rollen die Rolle aus, die Sie erstellen müssen.

Wählen Sie die Registerkarte Trust relationships (Vertrauensstellungen).

Wählen Sie Vertrauensrichtlinie bearbeiten aus.

Fügen Sie im JSON-Textfeld Vertrauensrichtlinie bearbeiten die TagSession Aktion sts: zur Vertrauensrichtlinie hinzu. Weitere Informationen finden Sie AWS STS im AWS Identity and Access Management Benutzerhandbuch unter Übergeben von Sitzungs-Tags.

Das Ergebnis sollte wie folgt aussehen:

Wählen Sie Richtlinie aktualisieren.

Wählen Sie die Registerkarte Berechtigungen.

Wählen Sie auf der Seite im Abschnitt „Berechtigungsrichtlinien“ die Option „Berechtigungen hinzufügen“ und anschließend „Inline-Richtlinie erstellen“ aus.

Wählen Sie auf der Seite im Bereich Richtlinien-Editor die Option JSON aus.

Geben Sie im JSON-Textfeld des Policy-Editors die folgende Richtlinie ein. Achten Sie darauf, Folgendes zu ersetzen:

Verwenden Sie für Ressourcen in AWS GovCloud (US) Regions das folgende Format für den ARN:arn:aws-us-gov:workspaces:<region-code>:<account-id>:directory/<directory-id>.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "workspaces:Stream",
            "Resource": "arn:aws:workspaces:<region-code>:<account-id>:directory/<directory-id>",
            "Condition": {
                "StringEquals": {"workspaces:userId": "${saml:sub}"}
            }
        }
    ]
}

Wählen Sie Weiter.

Geben Sie einen Namen für die Richtlinie ein und wählen Sie dann Create policy (Richtlinie erstellen) aus.

Öffnen Sie die WorkSpaces Konsole unter. https://console.aws.amazon.com/workspaces/

Wählen Sie im Navigationsbereich Verzeichnisse aus.

Wählen Sie die Registerkarte Pools-Verzeichnisse.

Wählen Sie die ID des Verzeichnisses, das Sie bearbeiten möchten.

Wählen Sie im Abschnitt Authentifizierung der Seite die Option Bearbeiten aus.

Wählen Sie SAML-2.0-Identitätsanbieter bearbeiten aus.

Ersetzen Sie für die Benutzerzugriffs-URL, die manchmal auch als „SSO-URL“ bezeichnet wird, den Platzhalterwert durch die SSO-URL, die Sie von Ihrem IdP erhalten haben.

Geben Sie für den Namen des IdP-Deep-Link-Parameters den Parameter ein, der für Ihren IdP und die von Ihnen konfigurierte Anwendung gilt. Der Standardwert ist, RelayState wenn Sie den Parameternamen weglassen.

In der folgenden Tabelle sind die Namen der Benutzerzugriffs URLs - und Deep-Link-Parameter aufgeführt, die für verschiedene Identitätsanbieter für Anwendungen eindeutig sind.

Wählen Sie Save (Speichern) aus.