Siapkan SAML 2.0 untuk Pribadi WorkSpaces

1. Konfigurasikan IdP Anda untuk mengintegrasikan identitas pengguna dari Microsoft Active Directory yang digunakan dengan WorkSpaces direktori. Untuk pengguna dengan a WorkSpace, atribut s AMAccountName dan email untuk pengguna Active Directory dan nilai klaim SAML harus cocok agar pengguna dapat masuk WorkSpaces menggunakan IdP. Untuk informasi selengkapnya tentang mengintegrasikan Active Directory dengan IdP Anda, lihat dokumentasi IdP Anda.

2. Konfigurasikan IdP Anda untuk membuat hubungan kepercayaan dengan AWS.

   • Lihat Meng integrasikan penyedia solusi SAML pihak ketiga dengan AWS untuk informasi selengkapnya tentang mengonfigur AWS asi federasi. Contoh yang relevan termasuk integrasi IdP dengan AWS IAM untuk mengakses konsol AWS manajemen.

   • Gunakan IdP Anda untuk membuat dan mengunduh dokumen metadata federasi yang menggambarkan organisasi Anda sebagai IdP. Dokumen XML yang ditandatangani ini digunakan untuk membangun kepercayaan pihak yang bergantung. Simpan file ini ke lokasi yang dapat Anda akses dari konsol IAM nanti.

3. Buat atau daftarkan direktori WorkSpaces dengan menggunakan konsol WorkSpaces manajemen. Untuk informasi selengkapnya, lihat Mengelola direktori untuk WorkSpaces. Otentikasi SAML 2.0 untuk WorkSpaces didukung untuk jenis direktori berikut:

   • AD Connector

   • AWS Microsoft AD yang dikelola

4. Buat WorkSpace untuk pengguna yang dapat masuk ke IdP menggunakan jenis direktori yang didukung. Anda dapat membuat WorkSpace menggunakan konsol WorkSpaces manajemen, AWS CLI, atau WorkSpaces API. Untuk informasi selengkapnya, lihat Mel uncurkan desktop virtual menggunakan WorkSpaces.

Untuk membuat peran IAM untuk SAML IdP

1. Buka konsol IAM di https://console.aws.amazon.com/iam/.

2. Di panel navigasi, pilih Per an > Buat peran.

3. Untuk Jenis Peran, pilih federasi SAML 2.0.

4. Untuk Penye dia SAML, pilih SAML IdP yang Anda buat.

5. Untuk Kondisi, pilih Tambah kondisi, lalu lakukan hal berikut:

   1. Untuk Kunci, pilih SAML:sub _type.

   2. Untuk Kondisi, pilih StringEquals.

   3. Untuk Nilai, masukkan persistent.

   Nilai ini membatasi akses peran ke permintaan streaming pengguna SAML. Permintaan harus menyertakan pernyataan tipe subjek SAML dengan nilai persisten. Jika atribut SAML:sub _type disetel ke persistent, IdP Anda mengirimkan nilai unik yang sama untuk elemen NameID di semua permintaan SAML dari pengguna tertentu. Untuk informasi selengkapnya tentang pernyataan SAML:sub _type, lihat bagian Identifikasi pengguna secara unik di SAML-based federasi di Menggunakan SAML-based federasi untuk akses API ke. AWS

6. Pilih Berikutnya.

7. Pada halaman Tambahkan izin, pilih Berikutnya. Jangan menambahkan kebijakan izin di sini. Anda menyematkan kebijakan sebaris untuk peran ini nanti, diLangkah 3: Menanamkan kebijakan sebaris untuk peran IAM.

8. Pada halaman Nama, ulasan, dan buat, untuk Nama peran, masukkan nama yang mengidentifikasi tujuan peran ini. Karena beberapa entitas mungkin mereferensikan peran, Anda tidak dapat mengedit nama peran setelah dibuat.

9. (Opsional) Untuk Deskripsi, masukkan deskripsi untuk peran baru ini.

10. (Opsional) Di bawah Langkah 3: Tambahkan tag, pilih Tambahkan tag baru dan masukkan kunci dan nilai untuk setiap tag yang ingin Anda tambahkan. Untuk informasi selengkapnya, lihat Menandai pengguna dan peran IAM.

11. Pilih Buat peran.

12. Tambahkan sts:TagSession izin ke kebijakan kepercayaan peran IAM baru Anda. Untuk informasi selengkapnya, lihat Meneruskan tag sesi di AWS STS. Dalam detail peran IAM baru Anda, pilih tab Relasi kepercayaan, lalu pilih Edit kebijakan kepercayaan. Saat editor Edit kebijakan kepercayaan terbuka, tambahkan sts:TagSession izin sehingga kebijakan tersebut cocok dengan yang berikut ini:

    {
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Principal": {
                    "Federated": "arn:aws:iam::111122223333:saml-provider/IDENTITY-PROVIDER"
                },
                "Action": [
                    "sts:AssumeRoleWithSAML",
                    "sts:TagSession"
                ],
                "Condition": {
                    "StringEquals": {
                        "SAML:sub_type": "persistent"
                    },
                    "StringLike": {
                        "SAML:aud": "https://*signin.aws.amazon.com/saml*"
                    }
                }
            }
        ]
    }

1. Dalam detail untuk peran IAM yang Anda buat, pilih tab Izin, lalu tambahkan izin yang diperlukan ke kebijakan izin peran tersebut. Wizard Buat kebijakan akan dimulai.

2. Di Buat kebijakan, pilih tab JSON.

3. Salin dan tempel kebijakan JSON berikut ke jendela JSON. Kemudian, ubah sumber daya dengan memasukkan Kode AWS Wilayah, ID akun, dan ID direktori Anda. Dalam kebijakan berikut, "Action": "workspaces:Stream" adalah tindakan yang memberi WorkSpaces pengguna Anda izin untuk terhubung ke sesi desktop mereka di WorkSpaces direktori.

   JSON

   {
       "Version":"2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "workspaces:Stream",
               "Resource": "arn:aws:workspaces:us-east-1:123456789012:directory/DIRECTORY-ID",
               "Condition": {
                   "StringEquals": {
                       "workspaces:userId": "${saml:sub}"
                   }
               }
           }
       ]
   }
   

   Ganti REGION-CODE dengan AWS Wilayah tempat WorkSpaces direktori Anda ada. Ganti DIRECTORY-ID dengan ID WorkSpaces direktori, yang dapat ditemukan di konsol WorkSpaces manajemen. Untuk sumber daya di AWS GovCloud (US-West) atau AWS GovCloud (US-East), gunakan format berikut untuk ARN:arn:aws-us-gov:workspaces:REGION-CODE:ACCOUNT-ID-WITHOUT-HYPHENS:directory/DIRECTORY-ID.

4. Setelah selesai, pilih Kebijakan T injauan. Validator Kebijakan akan melaporkan kesalahan sintaks apa pun.

Untuk mengaktifkan integrasi dengan SAML 2.0

1. Buka WorkSpaces konsol di https://console.aws.amazon.com/workspaces/v2/home.

2. Di panel navigasi, pilih Direktori.

3. Pilih pada ID Direktori untuk Anda WorkSpaces.

4. Di bawah Otentikasi, pilih Edit.

5. Pilih Edit Penyedia Identitas SAML 2.0.

6. Centang Aktifkan otentikasi SAML 2.0.

7. Untuk nama parameter URL Akses Pengguna dan IdP deep link, masukkan nilai yang berlaku untuk IdP dan aplikasi yang telah Anda konfigurasikan pada Langkah 1. Nilai default untuk nama parameter deep link IdP adalah “RelayState“jika Anda menghilangkan parameter ini. Tabel berikut mencantumkan URL akses pengguna dan nama parameter yang unik untuk berbagai penyedia identitas untuk aplikasi.

   Domain dan alamat IP untuk ditambahkan ke daftar izin Anda

   Penyedia identitas	Parameter	URL akses pengguna
   ADFS	RelayState	https://<host>/adfs/ls/idpinitiatedsignon.aspx?RelayState=RPID=<relaying-party-uri>
   Azure AD	RelayState	https://myapps.microsoft.com/signin/<app_id>?tenantId=<tenant_id>
   Duo Single Sign-On	RelayState	https://<sub-domain>.sso.duosecurity.com/saml2/sp/<app_id>/sso
   Okta	RelayState	https://<sub_domain>.okta.com/app/<app_name>/<app_id>/sso/saml
   OneLogin	RelayState	https://<sub-domain>.onelogin.com/trust/saml2/http-post/sso/<app-id>
   JumpCloud	RelayState	https://sso.jumpcloud.com/saml2/<app-id>
   Auth0	RelayState	https://<DefaultTenatName>.us.auth0.com/samlp/<Client_Id>
   PingFederate	TargetResource	https://<host>/idp/startSSO.ping?PartnerSpId=<sp_id>
   PingOne untuk Perusahaan	TargetResource	https://sso.connect.pingidentity.com/sso/sp/initsso?saasid=<app_id>&idpid=<idp_id>

   URL akses pengguna biasanya ditentukan oleh penyedia untuk SSO yang tidak diminta IdP-initiated . Pengguna dapat memasukkan URL ini di browser web untuk menyatukan langsung ke aplikasi SAML. Untuk menguji URL akses pengguna dan nilai parameter untuk IdP Anda, pilih U ji. Salin dan tempel URL pengujian ke jendela pribadi di browser Anda saat ini atau browser lain untuk menguji logon SAML 2.0 tanpa mengganggu sesi konsol AWS manajemen Anda saat ini. Saat IdP-initiated aliran terbuka, Anda dapat mendaftarkan WorkSpaces klien Anda. Untuk informasi selengkapnya, lihat Alur yang diprakarsai penyedia identitas (IdP).

8. Kelola pengaturan fallback dengan mencentang atau hapus centang Izinkan klien yang tidak mendukung SAML 2.0 untuk masuk. Aktifkan pengaturan ini untuk terus memberikan pengguna akses untuk WorkSpaces menggunakan jenis klien atau versi yang tidak mendukung SAML 2.0 atau jika pengguna memerlukan waktu untuk meng-upgrade ke versi klien terbaru.

   catatan

   Pengaturan ini memungkinkan pengguna untuk melewati SAML 2.0 dan masuk menggunakan otentikasi direktori menggunakan versi klien yang lebih lama.

9. Untuk menggunakan SAML dengan klien web, aktifkan Akses Web. Untuk informasi selengkapnya, lihat Mengaktifkan dan mengonfigurasi Amazon WorkSpaces Web Access.

   catatan

   PCoIP dengan SAML tidak didukung pada Akses Web.

10. Pilih Simpan. WorkSpaces Direktori Anda sekarang diaktifkan dengan integrasi SAML 2.0. Anda dapat menggunakan alur yang IdP-initiated diprakarsai aplikasi dan klien untuk mendaftarkan aplikasi WorkSpaces klien dan masuk. WorkSpaces