Comment configurer l'authentification SAML 2.0 pour mon instance Amazon Connect à l'aide d'AWS SSO ?

Date de la dernière mise à jour : 05/08/2021

Je souhaite configurer l'authentification SAML 2.0 pour mon instance Amazon Connect à l'aide d'AWS Single Sign-On (AWS SSO). Comment puis-je procéder ?

Brève description

Pour configurer l'authentification SAML 2.0 pour votre instance Amazon Connect, procédez comme suit :

Important : veillez à suivre ces étapes dans la région AWS dans laquelle se trouve votre instance Amazon Connect.

Solution

Créer une instance Amazon Connect qui utilise l'authentification SAML 2.0

Suivez les instructions de la section Créer une instance Amazon Connect. Lorsque vous configurez l'instance, assurez-vous d'effectuer les opérations suivantes :

Créer une application cloud AWS SSO pour vous connecter à votre instance Amazon Connect

Suivez les instructions de la section Ajouter et configurer une application cloud dans le guide de l'utilisateur AWS SSO. Lorsque vous configurez votre application cloud, assurez-vous d'effectuer les opérations suivantes :

  • Choisissez Amazon Connect comme fournisseur de services de l'application cloud.
  • Sous les métadonnées AWS SSO, téléchargez le fichier de métadonnées SAML AWS SSO et le certificat AWS SSO.
    Remarque : vous aurez besoin de ces fichiers pour configurer un IdP IAM. Si vous utilisez un IdP autre qu'AWS SSO, vous devez obtenir les fichiers de métadonnées SAML à partir de cet IdP.
  • Sous Propriétés de l'application, acceptez l'état Relais par défaut.

Créer un IdP IAM

Suivez les instructions de la section Création et gestion d'un IdP IAM (console). Lorsque vous créez l'IdP, assurez-vous que vous effectuez les opérations suivantes :

  • Pour Provider name (Nom du fournisseur), entrez ConnectSSO.
  • Pour le document de métadonnées, choisissez le fichier de métadonnées SAML AWS SSO que vous avez téléchargé à l'étape précédente.

Important : prenez note de l'Amazon Resource Name (ARN) de l'IdP. Vous en aurez besoin pour mapper les attributs utilisateur de votre instance Amazon Connect aux attributs AWS SSO.

Créer une politique IAM pour votre instance Amazon Connect qui autorise l'action GetFederationToken

Utilisez le modèle JSON suivant pour créer une politique IAM nommée Connect-SSO-Policy.

Important : remplacez-le <connect instance ARN> par l'ARN de votre instance Amazon Connect.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Sid": "Statement1",
            "Effect": "Allow",
            "Action": "connect:GetFederationToken",
            "Resource": [
                "<connect instance ARN>/user/${aws:userid}"
            ]
        }
    ]
}

Pour plus d'informations, voir Création de politiques IAM et GetFederationToken.

Créer un rôle IAM qui accorde aux utilisateurs fédérés l'accès à votre instance Amazon Connect

Suivez les instructions de la section Création d'un rôle pour SAML dans le guide de l'utilisateur AWS IAM. Lorsque vous créez le rôle IAM, assurez-vous que vous effectuez les opérations suivantes :

  • Pour le fournisseur SAML, entrez Connect-SSO.
  • Choisissez Autoriser l'accès programmatique et la Console de gestion AWS.
  • Pour Politique, choisissez la Connect-SSO-Policy que vous avez créée à l'étape précédente.
  • Pour Nom du rôle, entrez Connect-SSO.

Important : notez l'ARN du rôle IAM. Vous en aurez besoin pour mapper les attributs utilisateur de votre instance Amazon Connect aux attributs AWS SSO.

Mapper les attributs utilisateur de votre instance Amazon Connect aux attributs AWS SSO

Suivez les instructions de la section Mapper les attributs de votre application aux attributs AWS SSO. Lorsque vous mappez vos attributs, assurez-vous d'ajouter les attributs et valeurs suivants :

Important : remplacez <IAM role ARN>  par l'ARN de votre rôle IAM. Remplacez <IAM IdP ARN> par l'ARN de votre IdP IAM.

Attribut Valeur
Sujet ${user:email}
https://aws.amazon.com/SAML/Attributes/RoleSessionName ${user:email}
https://aws.amazon.com/SAML/Attributes/Role <IAM role ARN>, <IAM IdP ARN>

Pour plus d'informations, voir Mappages d'attributs.

Créer des utilisateurs dans AWS SSO et les attribuer à votre application cloud AWS SSO

Suivez les instructions de la section Gérer les identités dans AWS SSO.

Tester votre configuration en vous connectant à Amazon Connect à l'aide de votre IdP et de l'une des informations d'identification utilisateur AWS SSO que vous avez créées

Suivez les instructions de la section Comment se connecter au portail utilisateur dans le guide de l'utilisateur AWS SSO.