Configurar SAML 2.0 para Personal WorkSpaces

1. Configure su IdP para integrar las identidades de usuario del Microsoft Active Directory que se usa con el directorio. WorkSpaces En el caso de un usuario con a WorkSpace, los atributos s AMAccountName y correo electrónico del usuario de Active Directory y los valores de notificación de SAML deben coincidir para que el usuario pueda iniciar sesión WorkSpaces con el IdP. Para obtener más información sobre la integración de Active Directory con el IdP, consulte la documentación del IdP.

2. Configure el IdP para establecer una relación de confianza con AWS.

   • Para obtener más información sobre la configuración de la federación, consulte Integrar proveedores AWS de soluciones SAML de terceros. AWS Algunos ejemplos relevantes incluyen la integración de IdP con AWS IAM para acceder a la AWS consola de administración.

   • Use su IdP para generar y descargar un documento de metadatos de federación que describa su organización como proveedor de identidades. Este documento XML firmado se utiliza para establecer la relación de confianza. Guarde este archivo en una ubicación a la que pueda acceder desde la consola de IAM en otro momento.

3. Cree o registre un directorio WorkSpaces mediante la consola de WorkSpaces administración. Para obtener más información, consulte Administrar directorios para WorkSpaces. La autenticación SAML 2.0 para WorkSpaces se admite en los siguientes tipos de directorios:

   • Conector de AD

   • AWS Microsoft AD administrado

4. Cree un WorkSpace para un usuario que pueda iniciar sesión en el IdP mediante un tipo de directorio compatible. Puedes crear una WorkSpace mediante la consola WorkSpaces de administración o AWS CLI la WorkSpaces API. Para obtener más información, consulte Iniciar un escritorio virtual usando WorkSpaces.

Para crear un rol de IAM para el IdP de SAML

1. Abra la consola de IAM en https://console.aws.amazon.com/iam/.

2. En el panel de navegación, elija Roles > Crear rol.

3. Para Tipo de rol, seleccione Federación con SAML 2.0.

4. Para Proveedor de SAML, seleccione el IdP de SAML que ha creado.

5. En Condición, elija Agregar condición y, a continuación, haga lo siguiente:

   1. En Clave, elija SAML:sub _type.

   2. En Condición, elija StringEquals.

   3. En Valor, introduzca persistent.

   Este valor restringe el acceso a los roles a las solicitudes de streaming de los usuarios de SAML. La solicitud debe incluir una afirmación de tipo de asunto de SAML con el valor persistente. Si el atributo SAML:sub _type está establecido como persistente, tu IdP envía el mismo valor único para el elemento NameID en todas las solicitudes de SAML de un usuario determinado. Para obtener más información sobre la aserción SAML:sub _type, consulta la sección Cómo identificar de forma exclusiva a los usuarios en la federación de Cómo usar SAML-based la SAML-based federación para acceder a la API de. AWS

6. Elija Siguiente.

7. En la página Agregar permisos, elija Siguiente. No añadas una política de permisos aquí. Incrustarás una política integrada para este rol más adelante, enPaso 3: incrustar una política en línea para el rol de IAM.

8. En la página Nombre, revisión y creación, en Nombre del rol, introduzca un nombre que identifique el propósito del rol. Como varias entidades pueden hacer referencia al rol, no puedes editar el nombre del rol una vez creado.

9. (Opcional) En Descripción, ingrese una descripción para el nuevo rol.

10. (Opcional) En el paso 3: Agregar etiquetas, elige Agregar nueva etiqueta e ingresa una clave y un valor para cada etiqueta que quieras agregar. Para obtener más información, consulte Etiquetado de usuarios y roles de IAM.

11. Elija Crear rol.

12. Añade el sts:TagSession permiso a la política de confianza de tu nuevo rol de IAM. Para obtener más información, consulte Transferencia de etiquetas de sesión en AWS STS. En los detalles de tu nuevo rol de IAM, selecciona la pestaña Relaciones de confianza y, a continuación, elige Editar política de confianza. Cuando se abra el editor Editar políticas de confianza, añada el sts:TagSession permiso para que la política coincida con lo siguiente:

    {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Principal": {
                    "Federated": "arn:aws:iam::111122223333:saml-provider/IDENTITY-PROVIDER"
                },
                "Action": [
                    "sts:AssumeRoleWithSAML",
                    "sts:TagSession"
                ],
                "Condition": {
                    "StringEquals": {
                        "SAML:sub_type": "persistent"
                    },
                    "StringLike": {
                        "SAML:aud": "https://*signin.aws.amazon.com/saml*"
                    }
                }
            }
        ]
    }

1. En los detalles del rol de IAM que ha creado, seleccione la pestaña Permisos y, a continuación, añada los permisos necesarios a la política de permisos del rol. Se inicia el Asistente de creación de políticas.

2. En Crear política, elija la pestaña JSON.

3. Copie y pegue la siguiente política JSON en la ventana de JSON. A continuación, modifique el recurso introduciendo su código de AWS región, su ID de cuenta y su ID de directorio. En la siguiente política, "Action": "workspaces:Stream" es la acción que otorga a WorkSpaces los usuarios permisos para conectarse a sus sesiones de escritorio en el WorkSpaces directorio.

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "workspaces:Stream",
               "Resource": "arn:aws:workspaces:us-east-1:123456789012:directory/DIRECTORY-ID",
               "Condition": {
                   "StringEquals": {
                       "workspaces:userId": "${saml:sub}"
                   }
               }
           }
       ]
   }
   

   REGION-CODESustitúyalo por la AWS región en la que se encuentra el WorkSpaces directorio. DIRECTORY-IDSustitúyalo por el identificador del WorkSpaces directorio, que se encuentra en la consola WorkSpaces de administración. Para los recursos en AWS GovCloud (US-West) o AWS GovCloud (US-East), utilice el siguiente formato para el ARN:arn:aws-us-gov:workspaces:REGION-CODE:ACCOUNT-ID-WITHOUT-HYPHENS:directory/DIRECTORY-ID.

4. Cuando haya terminado, elija Revisar política. El validador de políticas notificará los errores de sintaxis.

Para activar la integración con SAML 2.0

1. Abra la WorkSpaces consola en. https://console.aws.amazon.com/workspaces/v2/home

2. En el panel de navegación, elija Directories (Directorios).

3. Elija el ID de directorio para su WorkSpaces.

4. En Autenticación, elija Editar.

5. Seleccione Editar proveedor de identidad de SAML 2.0.

6. Seleccione Habilitar la autenticación SAML.

7. En URL de acceso del usuario y Nombre del parámetro de enlace profundo del IdP, introduzca los valores aplicables a su IdP y a la aplicación que ha configurado en el paso 1. El valor predeterminado para el nombre del parámetro de enlace profundo del IdP es RelayState «si omite este parámetro. En la siguiente tabla se enumeran las URL de acceso de los usuarios y los nombres de los parámetros que son exclusivos de los distintos proveedores de identidad de las aplicaciones.

   Dominios y direcciones IP para agregar a la lista de permitidos

   Proveedor de identidades	Parámetro	URL de acceso del usuario
   ADFS	RelayState	https://<host>/adfs/ls/idpinitiatedsignon.aspx?RelayState=RPID=<relaying-party-uri>
   Azure AD	RelayState	https://myapps.microsoft.com/signin/<app_id>?tenantId=<tenant_id>
   Dúo individual Sign-On	RelayState	https://<sub-domain>.sso.duosecurity.com/saml2/sp/<app_id>/sso
   Okta	RelayState	https://<sub_domain>.okta.com/app/<app_name>/<app_id>/sso/saml
   OneLogin	RelayState	https://<sub-domain>.onelogin.com/trust/saml2/http-post/sso/<app-id>
   JumpCloud	RelayState	https://sso.jumpcloud.com/saml2/<app-id>
   Auth0	RelayState	https://<DefaultTenatName>.us.auth0.com/samlp/<Client_Id>
   PingFederate	TargetResource	https://<host>/idp/startSSO.ping?PartnerSpId=<sp_id>
   PingOne para Enterprise	TargetResource	https://sso.connect.pingidentity.com/sso/sp/initsso?saasid=<app_id>&idpid=<idp_id>

   La URL de acceso del usuario normalmente la define el proveedor para el SSO no solicitado. IdP-initiated Un usuario puede introducir esta URL en un navegador web para federarse directamente con la aplicación SAML. Para probar la URL de acceso del usuario y los valores de los parámetros de su IdP, elija Probar. Copia y pega la URL de prueba en una ventana privada de tu navegador actual o de otro navegador para probar el inicio de sesión de SAML 2.0 sin interrumpir la sesión actual de la consola de administración. AWS Cuando se abra IdP-initiated el flujo, podrás registrar tu cliente. WorkSpaces Para obtener más información, consulte Flujo iniciado por el proveedor de identidades (IdP).

8. Para administrar la configuración alternativa, active o desactive Permitir que los clientes que no sean compatibles con SAML 2.0 inicien sesión. Habilite esta configuración para seguir proporcionando a sus usuarios acceso a WorkSpaces tipos o versiones de clientes que no admitan SAML 2.0 o si los usuarios necesitan tiempo para actualizarse a la versión más reciente del cliente.

   nota

   Esta configuración permite a los usuarios omitir SAML 2.0 e iniciar sesión mediante la autenticación de directorio con versiones de cliente anteriores.

9. Para usar SAML con el cliente web, habilite Acceso web. Para obtener más información, consulte Habilitar y configurar Amazon WorkSpaces Web Access.

   nota

   Acceso web no admite PCoIP con SAML.

10. Seleccione Save. Su WorkSpaces directorio ahora está habilitado con la integración de SAML 2.0. Puede usar los flujos iniciados por la aplicación cliente IdP-initiated y los flujos iniciados por la aplicación cliente para registrar las aplicaciones WorkSpaces cliente e iniciar sesión en ellas. WorkSpaces