Configurer Amazon Web Services pour l’authentification unique

Découvrez comment configurer l’authentification unique (SSO) dans Auth0 avec Amazon Web Services (AWS).

En intégrant Auth0 à AWS, vous permettrez à vos utilisateurs de se connecter à AWS à l’aide de n’importe quel fournisseur d’identité pris en charge.

Pour configurer AWS pour le SSO, vous devez suivre les étapes suivantes :

1. Créez un fournisseur d’identité externe dans AWS.
2. Configurez le module complémentaire SAML2 Web App pour votre application Auth0.
3. Terminez la configuration du fournisseur d’identité dans AWS.
4. Créez un rôle AWS IAM.
5. Associez le rôle AWS à un utilisateur.

​

Créer un fournisseur d’identité externe dans AWS

1. Configurez un fournisseur d’identité externe dans AWS à l’aide du guide AWS Connect to your External Identity Provider, en apportant une seule modification.

   1. Au lieu de télécharger le fichier de métadonnées AWS, cliquez sur Show Individual Metadata Values.
   2. Copiez les valeurs URL de l’émetteur AWS SSO et URL ACS AWS SSO. Vous les utiliserez dans la section suivante.

2. Laissez cette page ouverte dans votre navigateur, car vous devrez terminer la configuration dans une section ultérieure.

​

Configurer SAML SSO pour Auth0

Configurez l’add-on SAML2 Web App pour votre application à l’aide du Auth0 Dashboard. Pour savoir comment faire, consultez Configurer Auth0 comme fournisseur d’identité pour Amazon Web Services.

​

Terminez la configuration du fournisseur d’identité AWS

1. Retournez à la page du fournisseur d’identité AWS SSO déjà ouverte dans votre navigateur.
2. Téléversez le fichier de métadonnées que vous avez téléchargé et enregistré dans la section précédente.
3. Vérifiez et confirmez que vous modifiez la source d’identité.

​

Créer un rôle AWS IAM

Pour utiliser le fournisseur, vous devez créer un rôle IAM en utilisant le fournisseur dans la politique de confiance du rôle.

1. Dans la barre latérale, sous Gestion des accès, accédez à Rôles. Cliquez sur Créer un rôle.

2. À la page suivante, vous devrez sélectionner le type d’entité de confiance. Sélectionnez Fédération SAML 2.0.

3. Lorsque vous y êtes invité, définissez le fournisseur créé ci-dessus comme fournisseur SAML. Sélectionnez Autoriser l’accès programmatique et l’accès à AWS Management Console. Cliquez sur Suivant pour continuer.

4. À la page Joindre des politiques d’autorisation, sélectionnez les politiques appropriées à joindre au rôle. Elles définissent les permissions dont disposeront les utilisateurs auxquels ce rôle est attribué dans AWS. Par exemple, pour accorder à vos utilisateurs un accès en lecture seule à IAM, filtrez et sélectionnez la politique IAMReadOnlyAccess. Une fois terminé, cliquez sur Étape suivante.

5. Le troisième écran Créer un rôle est Ajouter des balises. Vous pouvez utiliser des balises pour organiser les rôles que vous créez si vous prévoyez en créer un grand nombre.

6. À la page Révision, définissez le Nom du rôle et passez vos paramètres en revue. Fournissez des valeurs pour les paramètres suivants :

   Champ	Description
   Nom du rôle	Nom descriptif de votre rôle.
   Description du rôle	Description de l’usage de votre rôle.

7. Passez en revue les renseignements sur les Entités de confiance et les Politiques, puis cliquez sur Créer un rôle.

​

Mapper un rôle AWS à un utilisateur

Pour voir un exemple de définition d’une règle côté serveur qui attribue un rôle dans un cas d’utilisation avancé, consultez le tutoriel Amazon API Gateway.

Les rôles AWS indiqués seront associés à une politique IAM qui régit le type d’accès autorisé à une ressource, y compris aux consoles AWS. Pour en savoir plus sur les rôles et les politiques, consultez Creating IAM Roles.

1. Pour mapper un rôle AWS à un utilisateur, créez une règle :

   function (user, context, callback) {
   
     user.awsRole = 'arn:aws:iam::951887872838:role/TestSAML,arn:aws:iam::951887872838:saml-provider/MyAuth0';
     user.awsRoleSession = user.name;
   
     context.samlConfiguration.mappings = {
       'https://aws.amazon.com/SAML/Attributes/Role': 'awsRole',
       'https://aws.amazon.com/SAML/Attributes/RoleSessionName': 'awsRoleSession'
     };
   
     callback(null, user, context);
   
   }
   

   Dans l’extrait de code ci-dessus, user.awsRole identifie le rôle AWS et l’IdP. L’identifiant du rôle AWS se trouve avant la virgule, et celui de l’IdP après la virgule.

   1. Votre règle peut obtenir ces deux valeurs de plusieurs façons. Vous pouvez les récupérer dans la console IAM en sélectionnant, dans le menu latéral de gauche, les éléments que vous avez créés dans AWS aux étapes précédentes. Le fournisseur d’identité et le rôle que vous avez créés ont tous deux un ARN que vous pouvez copier en les sélectionnant dans la console.

   2. Dans l’exemple ci-dessus, ces deux valeurs sont codées en dur dans la règle. Vous pouvez aussi les stocker dans le profil utilisateur ou les déduire à l’aide d’autres attributs. Par exemple, si vous utilisez Active Directory, vous pouvez mapper des propriétés associées aux utilisateurs, comme group, au rôle AWS approprié :

      var awsRoles = {
        'DomainUser': 'arn:aws:iam::951887872838:role/TestSAML,arn:aws:iam::95123456838:saml-provider/MyAuth0',
        'DomainAdmins': 'arn:aws:iam::957483571234:role/SysAdmins,arn:aws:iam::95123456838:saml-provider/MyAuth0'
      };
      user.awsRole = awsRoles[user.group];
      user.awsRoleSession = user.email;
      
      context.samlConfiguration.mappings = {
        'https://aws.amazon.com/SAML/Attributes/Role': 'awsRole',
        'https://aws.amazon.com/SAML/Attributes/RoleSessionName': 'awsRoleSession',
      };
      

​

Mapper plusieurs rôles

Vous pouvez aussi attribuer un tableau au mappage des rôles (vous auriez donc awsRoles = [ role1, role2 ] au lieu de awsRoles: role1)

Par exemple, supposons que vous ayez des groupes Active Directory avec la structure suivante :

var user = {
  app_metadata: {
    ad_groups: {
      "admins": "some info not aws related",
      "aws_dev_Admin": "arn:aws:iam::123456789111:role/Admin,arn:aws:iam::123456789111:saml-provider / Auth0",
      "aws_prod_ReadOnly": "arn:aws:iam::123456789999:role/ReadOnly,arn:aws:iam::123456789999:saml-provider / Auth0"
    }
  }
};

Votre règle pourrait donc ressembler à ceci :

function (user, context, callback) {

  var userGroups = user.app_metadata.ad_groups;

  function awsFilter(group) {
    return group.startsWith('aws_');
  }

  function mapGroupToRole(awsGroup) {
    return userGroups[awsGroup];
  }

  user.awsRole = Object.keys(userGroups).filter(awsFilter).map(mapGroupToRole);
  user.awsRoleSession = 'myawsuser'; // unique pour chaque utilisateur http://docs.aws.amazon.com/STS/latest/APIReference/API_AssumeRole.html

  context.samlConfiguration.mappings = {
    'https://aws.amazon.com/SAML/Attributes/Role': 'awsRole',
    'https://aws.amazon.com/SAML/Attributes/RoleSessionName': 'awsRoleSession'
  };

  callback(null, user, context);

}

​

Configurer l’expiration de la session

Pour prolonger le délai avant l’expiration de la session AWS (3 600 secondes), utilisez une règle personnalisée. Votre règle définit l’attribut SessionDuration, qui modifie la durée de la session.

​

Tester la configuration

1. Accédez à Dashboard > Applications > Applications et cliquez sur le nom de votre application.
2. Dans l’onglet Addons, sélectionnez l’add-on SAML2 Web App.
3. Dans l’onglet Usage, repérez l’Identity Provider Login URL. Vous devriez être redirigé vers la page de connexion à votre compte Auth0. Si la connexion réussit, vous serez redirigé vers AWS.

​

Pour en savoir plus

• Configurer Amazon Web Services comme fournisseur de services SAML