SAML 2.0 für WorkSpaces Personal einrichten

1. Konfigurieren Sie Ihren IdP so, dass Benutzeridentitäten aus dem Microsoft Active Directory, das mit dem Verzeichnis verwendet wird, integriert werden. WorkSpaces Bei einem Benutzer mit einem WorkSpace müssen die s AMAccountName - und email-Attribute für den Active Directory-Benutzer und die SAML-Anspruchswerte übereinstimmen, damit sich der Benutzer WorkSpaces mit dem IdP anmelden kann. Weitere Informationen zur Integration von Active Directory mit Ihrem IdP finden Sie in Ihrer IdP-Dokumentation.

2. Konfigurieren Sie den Identitätsanbieter, um eine Vertrauensbeziehung mit einzurichte AWS.

   • Weitere Informationen zur Konfiguration des Verbunds finden Sie unter Integrieren von SAML-Lösungsanbietern von Drittanbietern mit AWS. AWS Zu den relevanten Beispielen gehört die IdP-Integration mit AWS IAM für den Zugriff auf die AWS Verwaltungskonsole.

   • Nutzen Sie Ihren IdP, um ein Verbundmetadatendokument, in dem Ihre Organisation als IdP beschrieben wird, zu generieren und laden Sie es herunter. Dieses signierte XML-Dokument wird verwendet, um die Vertrauensstellung für die vertrauenden Seiten einzurichten. Speichern Sie diese Datei an einem Standort, auf den Sie später von der IAM-Konsole aus zugreifen können.

3. Erstellen oder registrieren Sie ein Verzeichnis für WorkSpaces mithilfe der WorkSpaces Verwaltungskonsole. Weitere Informationen finden Sie unter Verzeichnisse verwalten für WorkSpaces. Die SAML 2.0-Authentifizierung für WorkSpaces wird für die folgenden Verzeichnistypen unterstützt:

   • AD Connector

   • AWS Verwaltetes Microsoft AD

4. Erstellen Sie eine WorkSpace für einen Benutzer, der sich mit einem unterstützten Verzeichnistyp beim IdP anmelden kann. Sie können eine WorkSpace mithilfe der WorkSpaces Verwaltungskonsole oder der WorkSpaces API erstellen. AWS CLI Weitere Informationen finden Sie unter Starten eines virtuellen Desktops mit WorkSpaces.

So erstellen Sie eine IAM-Rolle für den SAML-IdP

1. Öffnen Sie unter https://console.aws.amazon.com/iam/ die IAM-Konsole.

2. Wählen Sie im Navigationsbereich Rollen und Rolle erstellen aus.

3. Wählen Sie für Role type (Rollentyp) die Option SAML 2.0 federation (SAML 2.0 Verbund).

4. Wählen Sie für SAML Provider (SAML-Anbieter) den erstellten SAML-Identitätsanbieter aus.

5. Wählen Sie für Bedingung die Option Bedingung hinzufügen aus , und gehen Sie dann wie folgt vor:

   1. Wählen Sie für Schlüssel die Option SAML:sub _type aus.

   2. Wählen Sie für Bedingung die Option StringEquals.

   3. Geben Sie für Wert persistent ein.

   Dieser Wert schränkt den Rollenzugriff auf SAML-Benutzer-Streaming-Anfragen ein. Die Anfrage muss eine SAML-Betrefftyp-Assertion mit dem Wert persistent enthalten. Wenn das SAML:sub _type-Attribut auf persistent gesetzt ist, sendet Ihr IdP in allen SAML-Anfragen eines bestimmten Benutzers denselben eindeutigen Wert für das NameID-Element. Weitere Informationen zur SAML:sub _type-Assertion finden Sie im Abschnitt Eindeutige Identifizierung von Benutzern im SAML-based Verbund unter Verwenden SAML-based des Verbunds für den API-Zugriff auf. AWS

6. Wählen Sie Weiter aus.

7. Wählen Sie auf der Seite Add permissions (Berechtigungen hinzufügen) die Option Next (Weiter) aus. Fügen Sie hier keine Berechtigungsrichtlinie hinzu. Eine Inline-Richtlinie für diese Rolle betten Sie später in einSchritt 3: Einbetten einer eingebundenen Richtlinie für die IAM-Rolle.

8. Geben Sie auf der Seite Name, überprüfen und erstellen unter Rollenname einen Namen ein, der den Zweck dieser Rolle identifiziert. Da mehrere Entitäten auf die Rolle verweisen können, können Sie den Namen der Rolle nicht mehr bearbeiten, nachdem sie erstellt wurde.

9. (Optional) Geben Sie unter Role description (Rollenbeschreibung) eine Beschreibung für die neue Rolle ein.

10. (Optional) Wählen Sie unter Schritt 3: Tags hinzufügen die Option Neues Tag hinzufügen aus und geben Sie einen Schlüssel und einen Wert für jedes Tag ein, das Sie hinzufügen möchten. Weitere Informationen finden Sie unter Markieren von IAM-Benutzern und -Rollen.

11. Wählen Sie Rolle erstellen aus.

12. Fügen Sie die sts:TagSession Berechtigung zur Vertrauensrichtlinie Ihrer neuen IAM-Rolle hinzu. Weitere Informationen finden Sie unter Übergeben von Sitzungs-Tags in AWS STS. Wählen Sie in den Details Ihrer neuen IAM-Rolle die Registerkarte Vertrauensbeziehungen und dann Vertrauensrichtlinie bearbeiten aus. Wenn der Editor „Vertrauensrichtlinie bearbeiten“ geöffnet wird, fügen Sie die sts:TagSession Berechtigung hinzu, sodass die Richtlinie den folgenden Angaben entspricht:

    {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Principal": {
                    "Federated": "arn:aws:iam::111122223333:saml-provider/IDENTITY-PROVIDER"
                },
                "Action": [
                    "sts:AssumeRoleWithSAML",
                    "sts:TagSession"
                ],
                "Condition": {
                    "StringEquals": {
                        "SAML:sub_type": "persistent"
                    },
                    "StringLike": {
                        "SAML:aud": "https://*signin.aws.amazon.com/saml*"
                    }
                }
            }
        ]
    }

1. Wählen Sie in den Details für die IAM-Rolle, die Sie erstellt haben, die Registerkarte Berechtigungen aus und fügen Sie dann die erforderlichen Berechtigungen zur Berechtigungsrichtlinie der Rolle hinzu. Der Assistent zum Erstellen von Richtlinien wird gestartet.

2. Wählen Sie unter Create policy (Richtlinie erstellen) die Registerkarte JSON.

3. Kopieren Sie die folgende JSON-Richtlinie und fügen Sie sie in das JSON-Fenster ein. Ändern Sie dann die Ressource, indem Sie Ihren AWS Regionalcode, Ihre Konto-ID und Ihre Verzeichnis-ID eingeben. In der folgenden Richtlinie "Action": "workspaces:Stream" ist dies die Aktion, die Ihren WorkSpaces Benutzern die Berechtigung erteilt, eine Verbindung zu ihren Desktop-Sitzungen im WorkSpaces Verzeichnis herzustellen.

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "workspaces:Stream",
               "Resource": "arn:aws:workspaces:us-east-1:123456789012:directory/DIRECTORY-ID",
               "Condition": {
                   "StringEquals": {
                       "workspaces:userId": "${saml:sub}"
                   }
               }
           }
       ]
   }
   

   REGION-CODEErsetzen Sie durch die AWS Region, in der Ihr WorkSpaces Verzeichnis existiert. DIRECTORY-IDErsetzen Sie es durch die WorkSpaces Verzeichnis-ID, die Sie in der WorkSpaces Managementkonsole finden. Verwenden Sie für Ressourcen in AWS GovCloud AWS GovCloud (US-WestUS-East) oder () das folgende Format für den ARN:arn:aws-us-gov:workspaces:REGION-CODE:ACCOUNT-ID-WITHOUT-HYPHENS:directory/DIRECTORY-ID.

4. Klicken Sie abschließend auf Review policy (Richtlinie überprüfen). Die Richtlinienvalidierung meldet mögliche Syntaxfehler.

So aktivieren Sie die Integration mit SAML 2.0

1. Öffnen Sie die WorkSpaces Konsole unter. https://console.aws.amazon.com/workspaces/v2/home

2. Wählen Sie im Navigationsbereich Verzeichnisse aus.

3. Wählen Sie die Verzeichnis-ID für Ihre WorkSpaces.

4. Wählen Sie unter Authentifizierung die Option Bearbeiten aus.

5. Wählen Sie SAML-2.0-Identitätsanbieter bearbeiten aus.

6. Aktivieren Sie das Kontrollkästchen SAML-2.0-Authentifizierung aktivieren.

7. Geben Sie für die Benutzerzugriffs-URL und Name des IdP-Deep-Link-Parameters Werte ein, die für Ihren IdP und die Anwendung gelten, die Sie in Schritt 1 konfiguriert haben. Der Standardwert für den IdP-Deeplink-Parameternamen lautet „RelayState„, wenn Sie diesen Parameter weglassen. In der folgenden Tabelle sind URLs und Parameternamen für den Benutzerzugriff aufgeführt, die für verschiedene Identitätsanbieter für Anwendungen eindeutig sind.

   Domains und IP-Adressen, die der Zulassungsliste hinzugefügt werden sollten

   Identitätsanbieter	Parameter	URL für den Benutzerzugriff
   ADFS	RelayState	https://<host>/adfs/ls/idpinitiatedsignon.aspx?RelayState=RPID=<relaying-party-uri>
   Azure AD	RelayState	https://myapps.microsoft.com/signin/<app_id>?tenantId=<tenant_id>
   Duo, Einzel Sign-On	RelayState	https://<sub-domain>.sso.duosecurity.com/saml2/sp/<app_id>/sso
   Okta	RelayState	https://<sub_domain>.okta.com/app/<app_name>/<app_id>/sso/saml
   OneLogin	RelayState	https://<sub-domain>.onelogin.com/trust/saml2/http-post/sso/<app-id>
   JumpCloud	RelayState	https://sso.jumpcloud.com/saml2/<app-id>
   Auth0	RelayState	https://<DefaultTenatName>.us.auth0.com/samlp/<Client_Id>
   PingFederate	TargetResource	https://<host>/idp/startSSO.ping?PartnerSpId=<sp_id>
   PingOne für Enterprise	TargetResource	https://sso.connect.pingidentity.com/sso/sp/initsso?saasid=<app_id>&idpid=<idp_id>

   Die URL für den Benutzerzugriff wird normalerweise vom Anbieter für unaufgefordertes SSO IdP-initiated definiert. Ein Benutzer kann diese URL in einen Webbrowser eingeben, um sich direkt mit der SAML-Anwendung zu verbinden. Wählen Sie Testen aus, um die Benutzerzugriffs-URL und die Parameterwerte für Ihren IdP zu testen. Kopieren Sie die Test-URL und fügen Sie sie in ein privates Fenster in Ihrem aktuellen oder einem anderen Browser ein, um die SAML 2.0-Anmeldung zu testen, ohne Ihre aktuelle Verwaltungskonsolensitzung zu unterbrechen. AWS Wenn IdP-initiated Flow geöffnet wird, können Sie Ihren Client registrieren. WorkSpaces Weitere Informationen finden Sie unter Vom Identitätsanbieter (IdP) initiierter Flow.

8. Aktivieren oder deaktivieren Sie die Option Anmeldung für Clients zulassen, die SAML 2.0 nicht unterstützen, um die Fallback-Einstellungen zu verwalten. Aktivieren Sie diese Einstellung, um Ihren Benutzern weiterhin Zugriff auf WorkSpaces Clienttypen oder Versionen zu gewähren, die SAML 2.0 nicht unterstützen, oder wenn Benutzer Zeit benötigen, um auf die neueste Client-Version zu aktualisieren.

   Anmerkung

   Diese Einstellung ermöglicht es Benutzern, SAML 2.0 zu umgehen und sich mithilfe der Verzeichnisauthentifizierung mit älteren Client-Versionen anzumelden.

9. Aktivieren Sie Web Access, um SAML mit dem Webclient zu verwenden. Weitere Informationen finden Sie unter Amazon WorkSpaces Web Access aktivieren und konfigurieren.

   Anmerkung

   PCoIP mit SAML wird bei Web Access nicht unterstützt.

10. Wählen Sie Speichern. Ihr WorkSpaces Verzeichnis ist jetzt mit der SAML 2.0-Integration aktiviert. Sie können die Flows IdP-initiated und die von der Clientanwendung initiierten Flows verwenden, um WorkSpaces Client-Anwendungen zu registrieren und sich bei ihnen anzumelden. WorkSpaces