SAML 2.0 설정

1. 디렉터리와 함께 사용되는 Microsoft Active Directory의 사용자 ID를 통합하도록 IdP를 구성합니다. WorkSpaces a를 가진 사용자의 경우 WorkSpace Active Directory 사용자의 SaM AccountName 및 이메일 특성과 SAML 클레임 값이 일치해야 사용자가 IdP를 WorkSpaces 사용하여 로그인할 수 있습니다. Active Directory를 IdP와 통합하는 방법에 대한 자세한 내용은 IdP 설명서를 참조하세요.

2. IdP를 구성하여 와 신뢰 관계를 설정합니다 AWS

   • 페더레이션 구성에 AWS대한 자세한 내용은 타사 SAML 솔루션 공급자 통합을 참조하십시오. AWS 관련 예로는 관리 콘솔에 액세스하기 위한 AWS IAM과의 IdP 통합 등이 있습니다 AWS .

   • IdP를 사용하여 조직을 IdP로 설명하는 페더레이션 메타데이터 문서를 생성하고 다운로드합니다. 이 서명된 XML 문서는 신뢰 당사자 신뢰를 설정하는 데 사용됩니다. 나중에 IAM 콘솔에서 액세스할 수 있는 위치에 이 파일을 저장합니다.

3. WorkSpaces 관리 콘솔을 WorkSpaces 사용하여 디렉토리를 생성하거나 등록하십시오. 자세한 내용은 디렉터리 관리를 참조하십시오. WorkSpaces SAML 2.0 WorkSpaces 인증은 다음 디렉터리 유형에 지원됩니다.

   • AD Connector

   • AWS 관리형 마이크로소프트 AD

4. 지원되는 디렉터리 유형을 사용하여 IdP에 로그인할 수 있는 사용자를 WorkSpace 위한 계정을 생성합니다. WorkSpaces 관리 콘솔 또는 WorkSpaces API를 WorkSpace 사용하여 생성할 수 있습니다. AWS CLI자세한 내용은 를 사용하여 가상 데스크톱 시작을 참조하십시오 WorkSpaces.

SAML IdP용 IAM 역할을 생성하는 방법

1. https://console.aws.amazon.com/iam/에서 IAM 콘솔을 엽니다.

2. 탐색 창에서 역할 > 역할 생성을 선택합니다.

3. [Role type]에서 [SAML 2.0 federation]을 선택합니다.

4. SAML 제공업체에서 앞서 생성한 SAML IdP를 선택합니다.

   중요

   SAML 2.0 액세스 방법으로 프로그래밍 방식 액세스만 허용 또는 프로그래밍 방식 및 Amazon Web Services 관리 콘솔 액세스 허용 중 하나를 선택하지 마세요.

5. [Attribute]에서 [SAML:sub_type]을 선택합니다.

6. 값에 persistent를 입력합니다. 이 값은 persistent 값을 갖는 SAML 주체 유형 어설션을 포함하는 SAML 사용자 스트리밍 요청으로 역할 액세스를 제한합니다. SAML:sub_type이 persistent인 경우, IdP는 특정 사용자의 모든 SAML 요청에서 NameID 요소에 대해 동일한 고유한 값을 전송합니다. SAML:sub_type 어설션에 대한 자세한 내용은 API 액세스를 위한 SAML 기반 페더레이션 사용의 SAML 기반 페더레이션에서 사용자 고유 식별 섹션을 참조하십시오. AWS

7. SAML 2.0 신뢰 정보를 검토하여 신뢰할 수 있는 올바른 엔터티와 조건을 확인한 다음 [Next: Permissions]를 선택합니다.

8. Attach permissions policies(권한 정책 연결) 페이지에서 Next: Tags(다음: 태그)를 선택합니다.

9. (선택 사항) 추가할 각 태그의 키와 값을 입력합니다. 자세한 내용은 IAM 사용자 및 역할 태깅을 참조하세요.

10. 완료했으면 Next: Review(다음: 검토)를 선택합니다. 나중에 이 역할의 인라인 정책을 생성하고 포함합니다.

11. 역할 이름에 이 역할의 목적을 나타내는 이름을 입력합니다. 다양한 엔터티가 역할을 참조할 수 있기 때문에 역할이 생성된 후에는 역할 이름을 편집할 수 없습니다.

12. (선택 사항) Role description(역할 설명)에 새 역할에 대한 설명을 입력합니다.

13. 역할 세부 정보를 검토하고 [Create role]을 선택합니다.

14. 새 IAM 역할의 신뢰 정책에 sts: 권한을 추가합니다. TagSession 자세한 내용은 AWS STS에서 세션 태그 전달을 참조하세요. 새 IAM 역할의 세부 정보에서 신뢰 관계 탭을 선택한 다음 신뢰 관계 편집*을 선택합니다. 신뢰 관계 정책 편집 편집기가 열리면 다음과 같이 sts: TagSession * 권한을 추가합니다.

    
    {
        "Version": "2012-10-17",
        "Statement": [{
            "Effect": "Allow",
            "Principal": {
                "Federated": "arn:aws:iam::ACCOUNT-ID-WITHOUT-HYPHENS:saml-provider/IDENTITY-PROVIDER"
            },
            "Action": [
                "sts:AssumeRoleWithSAML",
                "sts:TagSession"
            ],
            "Condition": {
                "StringEquals": {
                    "SAML:aud": "https://signin.aws.amazon.com/saml"
                }
            }
        }]
    }    
                   

1. 생성한 IAM 역할의 세부 정보에서 권한 탭을 선택한 다음 역할의 권한 정책에 필요한 권한을 추가합니다. 정책 생성 마법사가 시작됩니다.

2. Create policy(정책 생성)에서 JSON 탭을 선택합니다.

3. 다음 JSON 정책을 복사하여 JSON 창에 붙여넣습니다. 그런 다음 AWS 지역 코드, 계정 ID, 디렉터리 ID를 입력하여 리소스를 수정합니다. 다음 정책에는 WorkSpaces 디렉터리의 데스크톱 세션에 연결할 수 있는 권한을 WorkSpaces 사용자에게 제공하는 작업이 포함됩니다. "Action": "workspaces:Stream"

   
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "workspaces:Stream",
               "Resource": "arn:aws:workspaces:REGION-CODE:ACCOUNT-ID-WITHOUT-HYPHENS:directory/DIRECTORY-ID",
               "Condition": {
                   "StringEquals": {
                       "workspaces:userId": "${saml:sub}"
                   }
               }
           }
       ]
   }
                  

   WorkSpaces디렉터리가 있는 AWS 지역으로 REGION-CODE 바꾸십시오. WorkSpaces 관리 콘솔에서 찾을 수 있는 WorkSpaces 디렉터리 DIRECTORY-ID ID로 바꾸십시오. AWS GovCloud (미국 서부) 또는 AWS GovCloud (미국 동부) 리소스의 경우 ARN에 다음 형식을 사용하십시오. arn:aws-us-gov:workspaces:REGION-CODE:ACCOUNT-ID-WITHOUT-HYPHENS:directory/DIRECTORY-ID

4. 완료했으면 Review policy(정책 검토)를 선택합니다. 정책 검증기가 모든 구문 오류를 보고합니다.

SAML 2.0과의 통합을 활성화하는 방법

1. https://console.aws.amazon.com/workspaces/ 에서 WorkSpaces 콘솔을 엽니다.

2. 탐색 창에서 디렉터리를 선택합니다.

3. 내 디렉터리 ID를 선택하세요 WorkSpaces.

4. 인증에서 편집을 선택합니다.

5. SAML 2.0 ID 제공업체 편집을 선택합니다.

6. SAML 2.0 인증 활성화를 선택합니다.

7. 사용자 액세스 URL 및 IdP 딥링크 파라미터 이름에 1단계에서 구성한 IdP 및 애플리케이션에 적용할 수 있는 값을 입력합니다. 이 매개변수를 생략한 경우 IdP 딥링크 매개변수 이름의 기본값은 RelayState ““입니다. 다음 표에는 애플리케이션의 다양한 ID 제공업체에 고유한 사용자 액세스 URL 및 파라미터 이름이 나와 있습니다.

   허용 목록에 추가할 도메인 및 IP 주소
   ID 제공업체	파라미터	사용자 액세스 URL
   ADFS	RelayState	https://<host>/adfs/ls/idpinitiatedsignon.aspx?RelayState=RPID=<relaying-party-uri>
   Azure AD	RelayState	https://myapps.microsoft.com/signin/<app_id>?tenantId=<tenant_id>
   Duo Single Sign-On	RelayState	https://<sub-domain>.sso.duosecurity.com/saml2/sp/<app_id>/sso
   Okta	RelayState	https://<sub_domain>.okta.com/app/<app_name>/<app_id>/sso/saml
   OneLogin	RelayState	https://<sub-domain>.onelogin.com/trust/saml2/http-post/sso/<app-id>
   JumpCloud	RelayState	https://sso.jumpcloud.com/saml2/<app-id>
   Auth0	RelayState	https://<DefaultTenatName>.us.auth0.com/samlp/<Client_Id>
   PingFederate	TargetResource	https://<host>/idp/startSSO.ping?PartnerSpId=<sp_id>
   PingOne 엔터프라이즈용	TargetResource	https://sso.connect.pingidentity.com/sso/sp/initsso?saasid=<app_id>&idpid=<idp_id>

   사용자 액세스 URL은 일반적으로 요청되지 않고 IdP가 시작한 SSO의 제공업체가 정의합니다. 사용자는 웹 브라우저에 이 URL을 입력하여 SAML 애플리케이션에 직접 페더레이션할 수 있습니다. IdP의 사용자 액세스 URL과 파라미터 값을 테스트하려면 테스트를 선택합니다. 테스트 URL을 복사하여 현재 브라우저 또는 다른 브라우저의 개인 창에 붙여넣으면 현재 AWS 관리 콘솔 세션을 중단하지 않고 SAML 2.0 로그온을 테스트할 수 있습니다. IdP에서 시작한 플로우가 열리면 클라이언트를 등록할 수 있습니다. WorkSpaces 자세한 내용은 ID 제공업체(IdP)가 시작한 흐름을 참조하세요.

8. SAML 2.0을 지원하지 않는 클라이언트의 로그인 허용을 선택하거나 선택 취소하여 대체 설정을 관리합니다. SAML 2.0을 지원하지 않는 클라이언트 유형 또는 버전을 WorkSpaces 사용할 수 있는 액세스 권한을 사용자에게 계속 제공하거나 사용자가 최신 클라이언트 버전으로 업그레이드할 시간이 필요한 경우 이 설정을 활성화합니다.

   참고

   이 설정을 통해 사용자는 SAML 2.0을 우회하고 이전 클라이언트 버전을 사용하여 디렉터리 인증으로 로그인할 수 있습니다.

9. 웹 클라이언트에서 SAML을 사용하려면 Web Access를 활성화합니다. 자세한 내용은 Amazon WorkSpaces Web Access 활성화 및 구성을 참조하십시오.

   참고

   SAML을 사용하는 PCoIP는 Web Access에서 지원되지 않습니다.

10. 저장을 선택합니다. 이제 WorkSpaces 디렉토리가 SAML 2.0 통합으로 활성화되었습니다. IdP에서 시작한 흐름과 클라이언트 응용 프로그램에서 시작한 흐름을 사용하여 클라이언트 응용 프로그램을 WorkSpaces 등록하고 로그인할 수 있습니다. WorkSpaces