Configurer la SAML version 2.0 et créer un répertoire WorkSpaces Pools

Ouvrez la WorkSpaces console à l'adresse https://console.aws.amazon.com/workspaces/.

Choisissez Répertoires dans le volet de navigation.

Choisissez Créer un annuaire.

Pour le WorkSpace type, choisissez Pool.

Dans la section Source d'identité utilisateur de la page :

1. Entrez une valeur d'espace réservé dans la zone de URL texte Accès utilisateur. Par exemple, entrez placeholder dans la zone de texte. Vous le modifierez ultérieurement après avoir configuré les droits d'application dans votre IdP.

2. Laissez la zone de texte Nom du paramètre d'état du relais vide. Vous le modifierez ultérieurement après avoir configuré les droits d'application dans votre IdP.

Dans la section Informations sur le répertoire de la page, entrez un nom et une description pour le répertoire. Le nom et la description du répertoire doivent comporter moins de 128 caractères, peuvent contenir des caractères alphanumériques et les caractères spéciaux suivants : _ @ # % * + = : ? . / ! \ - Le nom et la description du répertoire ne peuvent pas commencer par un caractère spécial.

Dans la section Réseau et sécurité de la page :

1. Choisissez un VPC et deux sous-réseaux qui ont accès aux ressources réseau dont votre application a besoin. Pour une meilleure tolérance aux pannes, vous devez choisir deux sous-réseaux situés dans des zones de disponibilité différentes.

2. Choisissez un groupe de sécurité qui permet WorkSpaces de créer des liens réseau dans votreVPC. Les groupes de sécurité contrôlent le trafic réseau autorisé à circuler WorkSpaces vers votreVPC. Par exemple, si votre groupe de sécurité restreint toutes les HTTPS connexions entrantes, les utilisateurs accédant à votre portail Web ne pourront pas charger de HTTPS sites Web à partir du. WorkSpaces

La section Active Directory Config est facultative. Toutefois, vous devez spécifier les détails de votre Active Directory (AD) lors de la création de votre répertoire WorkSpaces Pools si vous prévoyez d'utiliser un AD avec vos WorkSpaces Pools. Vous ne pouvez pas modifier la configuration Active Directory de votre répertoire WorkSpaces Pools après l'avoir créée. Pour plus d'informations sur la spécification des détails de votre AD pour votre répertoire de WorkSpaces pool, consultezSpécifiez les détails Active Directory pour votre répertoire WorkSpaces Pools. Après avoir terminé le processus décrit dans cette rubrique, vous devez revenir à cette rubrique pour terminer la création de votre répertoire WorkSpaces Pools.

Vous pouvez ignorer la section Active Directory Config si vous ne prévoyez pas d'utiliser un AD avec vos WorkSpaces pools.

Dans la section Propriétés du streaming de la page :

Dans la section Stockage de la page, vous pouvez choisir d'activer les dossiers de base.

Dans la section IAM rôle de la page, choisissez un IAM rôle qui sera disponible pour toutes les instances de streaming de bureau. Pour en créer un nouveau, choisissez Créer un nouveau IAM rôle.

Lorsque vous appliquez un IAM rôle depuis votre compte à un répertoire WorkSpace Pool, vous pouvez créer AWS APIdemandes provenant d'un WorkSpace membre du WorkSpace pool sans gestion manuelle AWS informations d'identification. Pour plus d'informations, voir Création d'un rôle pour déléguer des autorisations à un IAM utilisateur dans AWS Identity and Access Management Guide de l'utilisateur.

Choisissez Créer un annuaire.

Ouvrez la IAM console à l'adresse https://console.aws.amazon.com/iam/.

Choisissez Rôles dans le panneau de navigation.

Sélectionnez Créer un rôle.

Choisissez la fédération SAML 2.0 pour le type d'entité de confiance.

Pour un fournisseur SAML basé sur 2.0, choisissez le fournisseur d'identité dans lequel vous l'avez créé. IAM Pour plus d'informations, voir Créer un fournisseur SAML d'identité dans IAM.

Choisissez Autoriser l'accès programmatique uniquement pour que l'accès soit autorisé.

Choisissez : AUD SAMLpour l'attribut.

Pour le champ Valeur, saisissez https://signin.aws.amazon.com/saml. Cette valeur limite l'accès aux rôles aux demandes de streaming des SAML utilisateurs qui incluent une assertion de type de SAML sujet avec une valeur depersistent. Si le:sub_type SAML est persistant, votre IdP envoie la même valeur unique pour l'élément NameID dans toutes les demandes d'un utilisateur en particulier. SAML Pour plus d'informations, voir Identification unique des utilisateurs dans le cadre SAML d'une fédération basée sur AWS Identity and Access Management Guide de l'utilisateur.

Choisissez Next (Suivant) pour continuer.

N'apportez pas de modifications ou de sélections sur la page Ajouter des autorisations. Choisissez Next (Suivant) pour continuer.

Entrez un nom et une description pour le rôle.

Sélectionnez Créer un rôle.

Sur la page Rôles, choisissez le rôle que vous devez créer.

Choisissez l'onglet Trust relationships.

Choisissez Edit trust policy (Modifier la politique d’approbation).

Dans la zone de JSON texte Modifier la politique de confiance, ajoutez l'TagSessionaction sts : à la politique de confiance. Pour plus d'informations, voir Transmission de balises de session dans AWS STS dans AWS Identity and Access Management Guide de l'utilisateur.

Le résultat doit ressembler à l'exemple suivant :

Choisissez Mettre à jour une politique.

Choisissez l’onglet Permissions (Autorisations).

Dans la section Politiques d'autorisation de la page, choisissez Ajouter des autorisations, puis choisissez Créer une politique intégrée.

Dans la section Éditeur de politiques de la page, sélectionnez JSON.

Dans la zone de JSON texte de l'éditeur de stratégie, entrez la politique suivante. Assurez-vous de remplacer :

Pour obtenir des ressources dans AWS GovCloud (US) Regions, utilisez le format suivant pour ARN :arn:aws-us-gov:workspaces:<region-code>:<account-id>:directory/<directory-id>.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "workspaces:Stream",
            "Resource": "arn:aws:workspaces:<region-code>:<account-id>:directory/<directory-id>",
            "Condition": {
                "StringEquals": {"workspaces:userId": "${saml:sub}"}
            }
        }
    ]
}

Choisissez Suivant.

Entrez un nom pour la stratégie, puis choisissez Create policy (Créer une stratégie).

Ouvrez la WorkSpaces console à l'adresse https://console.aws.amazon.com/workspaces/.

Choisissez Répertoires dans le volet de navigation.

Choisissez l'onglet Répertoires de pools.

Choisissez l'ID du répertoire que vous souhaitez modifier.

Choisissez Modifier dans la section Authentification de la page.

Choisissez Edit SAML 2.0 Identity Provider.

Pour l'accès utilisateur URL, parfois appelé SSO URL « », remplacez la valeur de l'espace réservé par celle qui vous SSO URL a été fournie par votre IdP.

Pour le nom du paramètre de lien profond IdP, entrez le paramètre applicable à votre IdP et à l'application que vous avez configurée. La valeur par défaut est RelayState si vous omettez le nom du paramètre.

Le tableau suivant répertorie les noms des paramètres d'accès utilisateur URLs et de lien profond propres aux différents fournisseurs d'identité pour les applications.

Choisissez Save (Enregistrer).