设置 SAML 2.0

1. 配置您的 IdP 以集成与该目录一起使用的 Microsoft 活动目录中的用户身份。 WorkSpaces 对于具有的用户 WorkSpace，Active Directory 用户的 S aM AccountName 和电子邮件属性以及 SAML 声明值必须匹配，用户才能 WorkSpaces 使用 IdP 登录。有关将 Active Directory 与 IdP 集成的更多信息，请参阅您的 IdP 文档。

2. 配置 IdP 以与 建立信任关系Amazon

   • 有关配置 Amazon 联合身份验证的更多信息，请参阅将第三方 SAML 解决方案提供商与 Amazon 集成。相关示例包括 IdP 与 Amazon IAM 集成以访问 Amazon 管理控制台。

   • 使用您的 IdP 生成和下载联合身份验证元数据文档，该文档将您的组织描述为 IdP。此签名 XML 文档用于建立信赖方信任关系。将该文件保存您稍后可通过 IAM 控制台访问的位置。

3. 使用 WorkSpaces 管理控制台 WorkSpaces 为创建或注册目录。有关更多信息，请参阅管理目录 WorkSpaces。以下目录类型支持 WorkSpaces SAML 2.0 身份验证：

   • AD Connector

   • Amazon Managed Microsoft AD

4. WorkSpace 为可以使用支持的目录类型登录 IdP 的用户创建。您可以使用 WorkSpaces 管理控制台或 WorkSpaces API 创建。 WorkSpace Amazon CLI有关更多信息，请参阅使用启动虚拟桌面 WorkSpaces。

为 SAML IdP 创建 IAM 角色

1. 通过 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

2. 在导航窗格中，选择角色 > 创建角色。

3. 对于 Role type，选择 SAML 2.0 federation。

4. 对于 SAML 提供者，选择您创建的 SAML IdP。

   重要

   请勿选择两个 SAML 2.0 访问方法（只允许编程访问或允许编程访问和 Amazon Web Services 管理控制台访问）中的任何一个。

5. 对于 Attribute，选择 SAML:sub_type。

6. 对于值，输入 persistent。该值将角色访问权限仅局限于 SAML 用户的流式传输请求，其中包括值为 persistent 的 SAML 主题类型断言。如果 SAML:sub_type 为 persistent，在来自特定用户的所有 SAML 请求中，您的 IdP 会为 NameID 元素发送相同的唯一值。有关 SAML:sub_type 断言的更多信息，请参阅使用基于 SAML 的联合身份验证来对 Amazon 进行 API 访问中的唯一标识基于 SAML 的联合身份验证中的用户。

7. 检查您的 SAML 2.0 信任信息，确认正确的可信实体和条件，然后选择 Next: Permissions。

8. 在 Attach permissions policies (附加权限策略) 页面上，选择 Next: Tags (下一步：标签)。

9. （可选）为要添加的每个标签输入键和值。有关更多信息，请参阅标记 IAM 用户和角色。

10. 完成此操作后，选择 Next: Review (下一步：审核)。稍后您将为此角色创建并嵌入内联策略。

11. 对于角色名称，输入有助于标识此角色作用的名称。由于多个实体可能引用该角色，因此，角色创建完毕后，您将无法编辑角色名称。

12. （可选）对于角色描述，输入新角色的描述。

13. 检查角色详细信息，然后选择 Create role。

14. 将 sts: TagSession 权限添加到您的新 IAM 角色的信任策略中。有关更多信息，请参阅在 Amazon STS 中传递会话标签。在新 IAM 角色的详细信息中，选择信任关系选项卡，然后选择编辑信任关系*。当 “编辑信任关系” 策略编辑器打开时，添加 sts: TagSession * 权限，如下所示：

    
    {
      "Version": "2012-10-17",
      "Statement": [
        {
          "Effect": "Allow",
          "Principal": {
            "Federated": "arn:aws:iam::ACCOUNT-ID-WITHOUT-HYPHENS:saml-provider/IDENTITY-PROVIDER"
          },
          "Action": [
            "sts:AssumeRoleWithSAML",
            "sts:TagSession"
          ],
          "Condition": {
            "StringEquals": {
              "SAML:sub_type": "persistent"
            }
          }
        }
      ]
    }    
                   

1. 在您创建的 IAM 角色的详细信息中，选择权限选项卡，然后向该角色的权限策略添加所需的权限。创建策略向导将启动。

2. 在 Create policy (创建策略) 中，选择 JSON 选项卡。

3. 将以下 JSON 策略复制并粘贴到 JSON 窗口中。然后，通过输入您的 Amazon 区域代码、账户 ID 和目录 ID 来修改资源。在以下策略中，"Action": "workspaces:Stream"是向您的 WorkSpaces 用户提供在 WorkSpaces 目录中连接到其桌面会话的权限的操作。

   
   {
       "Version": "2012-10-17",
       "Statement": [
           {
               "Effect": "Allow",
               "Action": "workspaces:Stream",
               "Resource": "arn:aws:workspaces:REGION-CODE:ACCOUNT-ID-WITHOUT-HYPHENS:directory/DIRECTORY-ID",
               "Condition": {
                   "StringEquals": {
                       "workspaces:userId": "${saml:sub}"
                   }
               }
           }
       ]
   }
                  

   REGION-CODE替换为您的 WorkSpaces目录所在的Amazon区域。DIRECTORY-ID替换为 WorkSpaces 目录 ID，可在 WorkSpaces 管理控制台中找到。对于 Amazon GovCloud （美国西部）或 Amazon GovCloud （美国东部）中的资源，请使用以下格式的 ARN：。arn:aws-us-gov:workspaces:REGION-CODE:ACCOUNT-ID-WITHOUT-HYPHENS:directory/DIRECTORY-ID

4. 完成后，选择 Review policy (审核策略)。策略验证程序将报告任何语法错误。

启用与 SAML 2.0 的集成

1. 打开 WorkSpaces 控制台，网址为 https://console.aws.amazon.com/workspaces/。

2. 在导航窗格中，选择目录。

3. 选择您的 “目录 ID” WorkSpaces。

4. 在身份验证下，选择编辑。

5. 选择编辑 SAML 2.0 身份提供者。

6. 选中启用 SAML 2.0 身份验证。

7. 对于用户访问 URL 和 IdP 深层链接参数名称，输入适用于您 IdP 和您在步骤 1 中配置的应用程序的值。如果您省略此参数，则 IdP 深度链接参数名称的默认值RelayState为 “”。下表列出了应用程序的各种身份提供者所独有的用户访问 URL 和参数名称。

   要添加到允许列表的域和 IP 地址
   身份提供商	参数	用户访问 URL
   ADFS	RelayState	https://<host>/adfs/ls/idpinitiatedsignon.aspx?RelayState=RPID=<relaying-party-uri>
   Azure AD	RelayState	https://myapps.microsoft.com/signin/<app_id>?tenantId=<tenant_id>
   Duo Single Sign-On	RelayState	https://<sub-domain>.sso.duosecurity.com/saml2/sp/<app_id>/sso
   Okta	RelayState	https://<sub_domain>.okta.com/app/<app_name>/<app_id>/sso/saml
   OneLogin	RelayState	https://<sub-domain>.onelogin.com/trust/saml2/http-post/sso/<app-id>
   PingFederate	TargetResource	https://<host>/idp/startSSO.ping?PartnerSpId=<sp_id>
   PingOne 适用于企业	TargetResource	https://sso.connect.pingidentity.com/sso/sp/initsso?saasid=<app_id>&idpid=<idp_id>

   用户访问 URL 通常由提供者针对未经请求的 IdP 发起的 SSO 定义。用户可以在 Web 浏览器中输入此 URL，以直接与 SAML 应用程序联合。要测试 IdP 的用户访问 URL 和参数值，请选择测试。复制测试 URL 并将其粘贴到当前浏览器或其他浏览器的私密窗口，以便在不中断当前 Amazon 管理控制台会话的情况下测试 SAML 2.0 登录。当 IDP 启动的流程打开时，您可以注册您的 WorkSpaces 客户端。有关更多信息，请参阅身份提供者 (IdP) 启动的流程。

8. 通过选中或取消选中允许不支持 SAML 2.0 的客户端登录，管理回退设置。启用此设置可继续为用户提供 WorkSpaces 使用不支持 SAML 2.0 的客户端类型或版本的访问权限，或者如果用户需要时间升级到最新的客户端版本。

   注意

   此设置允许用户绕过 SAML 2.0 和使用旧版客户端通过目录身份验证进行的登录。

9. 要将 SAML 与 Web 客户端一起使用，请启用 Web Access。有关更多信息，请参阅启用和配置 Amazon WorkSpaces Web Access。

   注意

   Web Access 不支持带有 SAML 的 PCoIP。

10. 选择保存。您的 WorkSpaces 目录现已启用 SAML 2.0 集成。您可以使用 IdP 启动的流程和客户端应用程序启动的流程来注册 WorkSpaces 客户端应用程序并登录。 WorkSpaces