Configurare l'autenticazione SAML per Amazon WorkSpaces con Auth0 come identity provider

• Accedere alla Management Dashboard di Auth0 e creare una nuova Application.
• Nella scheda Addons, abilitare l'addon SAML2 Web App.

• Configurare l'addon dal pop-up che compare dopo aver abilitato SAML2 Web App. Nella scheda Settings, valorizzare il campo Application Callback URL con https://signin.aws.amazon.com/saml e incollare in Settings il seguente codice di configurazione SAML in formato JSON:

{
 "audience": "https://signin.aws.amazon.com/saml",
 "mappings": {
   "email": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/sAMAccountName",
   "name": "http://schemas.xmlsoap.org/ws/2005/05/identity/claims/name"
 },
 "createUpnClaim": false,
 "passthroughClaimsWithNoMapping": false,
 "mapUnknownClaimsAsIs": false,
 "mapIdentities": false,
 "nameIdentifierFormat": "urn:oasis:names:tc:SAML:2.0:nameid-format:persistent",
 "nameIdentifierProbes": [\
   "http://schemas.auth0.com/sAMAccountName"\
 ]
}

• Scorrere fino in fondo e fare clic su Enable.
• Aprire la scheda Usage per scaricare il file manifest dei metadati, che servirà nel passaggio successivo.

• Chiudere la finestra di SAML2 Web App, quindi aprire Connections. Sotto Enterprise, selezionare il connector Active Directory/LDAP corretto.

• Accedere al proprio account AWS e aprire la console IAM.
• Nel pannello di navigazione, fare clic su Identity Providers e poi su Add Provider.

• In Provider Type scegliere SAML, assegnare un nome significativo e aggiungere i tag necessari. In Metadata Document fare clic su Choose File, selezionare il documento di metadati SAML scaricato in precedenza e premere Open. Quindi fare clic su Add Provider in fondo alla schermata.

• Verificare le informazioni inserite e fare clic su Create.
• Annotare l'ARN del provider: servirà al passaggio 4.

• Nel pannello di navigazione, fare clic su Roles e poi su Create Role.

• Come Role type scegliere SAML 2.0 federation.
• Selezionare il SAML Provider creato al passaggio precedente.
• Selezionare SAML:sub_type come Attribute. In Value digitare persistent. In questo modo l'accesso al ruolo è limitato alle sole richieste di streaming utente SAML che includono un'asserzione SAML subject type con valore persistent.
• Verificare le informazioni di trust SAML 2.0, controllando che entità attendibile e condizione siano corrette, quindi scegliere Next: Permissions.
• Nella pagina Attach permissions policies, scegliere Next: Tags.
• Al termine, scegliere Next: Review. La policy inline per il ruolo verrà creata e incorporata in seguito.
• In Role name digitare un nome che ne identifichi chiaramente lo scopo. Poiché il ruolo può essere referenziato da entità diverse, il nome non sarà più modificabile dopo la creazione.
• (Facoltativo) In Role description inserire una descrizione del nuovo ruolo.
• Verificare i dettagli e scegliere Create role.
• Selezionare il ruolo creato, quindi aprire Trust relationships e cliccare Edit trust relationship.
• Aggiornare l'azione per consentire sts:TagSession.

La policy dovrà risultare come segue.

{
   "Version": "2012-10-17",
   "Statement": [\
      {\
         "Effect": "Allow",\
         "Principal": {\
            "Federated": "arn:aws:iam:::saml-provider/name"\
         },\
         "Action": [\
            "sts:AssumeRoleWithSAML",\
            "sts:TagSession"\
         ],\
         "Condition": {\
            "StringEquals": {\
               "SAML:sub_type": "persistent"\
            }\
         }\
      }\
   ]
}

Il passaggio successivo consiste nell'incorporare una Inline Policy nel ruolo appena creato.

• Selezionare il ruolo IAM creato e, nella scheda Permissions, fare clic su Add Permissions->Create Inline Policy.

• Aprire la scheda JSON e incollare la policy seguente. Aggiornare region, Account ID e directory ID in base alla propria configurazione.

{
   "Version": "2012-10-17",
   "Statement": [\
       {\
           "Effect": "Allow",\
           "Action": "workspaces:Stream",\
           "Resource": "arn:aws:workspaces:<region>:<account-id>:directory/<directory-id>",\
           "Condition": {\
               "StringEquals": {\
                   "workspaces:userId": "${saml:sub}"\
               }\
           }\
       }\
   ]
}

Ricordarsi di aggiornare region, account ID e directory ID.

• Al termine, fare clic su Next, assegnare un nome alla policy e premere Create Policy.

• Accedere alla Management Dashboard di Auth0 e andare su Actions->Library-> Build Custom.
• Assegnare un nome, mantenere il trigger su Login/Post Login e il runtime su Node 18, quindi fare clic su Create.

• Nella schermata successiva, copiare e incollare il codice qui sotto e fare clic su Deploy.

exports.onExecutePostLogin = async (event, api) => {
  if (event.client.name === "APP_NAME") {
    const awsRole = 'IAM_arn,saml_provider_arn';
    const awsRoleSession = event.user.sAMAccountName;
    const email = event.user.emails[0];
    api.samlResponse.setDestination('https://signin.aws.amazon.com/saml');
    api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/Role', awsRole)
    api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/RoleSessionName', awsRoleSession)
    api.samlResponse.setAttribute('https://aws.amazon.com/SAML/Attributes/PrincipalTag:Email', email)
}
return;
};

Sostituire App_Name con il nome dell'app Auth0 creata al passaggio 1, IAM_arn con l'ARN del ruolo IAM creato al passaggio 3 e saml_provider_arn con l'ARN del SAML provider creato al passaggio 2.

• Una volta completato, andare su Actions->Library-> Flows e fare clic su Login.
• Nel pannello di destra, sotto Add Action, aprire Custom e trascinare l'azione creata tra Start e Complete.

• Fare clic su Apply.

Questo è l'ultimo passaggio per completare la configurazione.

• Accedere alla AWS Management Console e andare in WorkSpaces-> Directories.
• Fare clic sulla directory utilizzata dai propri WorkSpaces.
• Fare clic su Edit Authentication.

• Nella schermata Edit Authentication, fare clic su Edit SAML 2.0 Identity Provider.

• Fare clic su Enable SAML 2.0 Authentication e indicare l'URL di login del proprio Identity Provider nel campo User Access URL. Il parametro IdP deep link può essere lasciato su "RelayState".

• Aprire il client Amazon WorkSpaces per testare la configurazione e inserire il proprio registration code. Si dovrebbe ottenere un risultato simile a quello mostrato sotto.

• Fare clic su Continue per accedere a WorkSpaces: si verrà reindirizzati alla pagina di accesso del proprio IDP, simile a quella riportata di seguito.

• Effettuare il login con username e password di AD; in caso di autenticazione riuscita, si dovrebbe vedere una schermata simile alla seguente.

• Fare clic su Open Workspaces: comparirà la schermata di accesso con lo username già precompilato.

• Inserire la password: il workspace inizierà l'avvio.

• Una volta avviato il workspace, il desktop verrà caricato.