Configure RSA Cloud Authentication Service

1. Enable My Page SSO by accessing the RSA Cloud Administration Console > Access > My Page > Single Sign-On (SSO). Ensure it is enabled and protected using two-factor authentication - Password and Access Policy.                                                                                    
2. On the Applications > Application Catalog page, search for AWS and click Add to add the connection.                                                   
3. On the Basic Information page, enter a name for the configuration in the Name field and click Next Step.                                                  
4. On the Connection Profile page, click the IdP-initiated option.                                                                                                                   
5. Provide the Service Provider details in the following format: 
   1. ACS URL: https://signin.aws.amazon.com/saml
   2. Service Provider Entity ID: urn:amazon:webservices                                                                                                                         
6. In the SAML Response Protection section, choose IdP signs assertion within response.
7. Select the Override default signing key and certificate checkbox and click Generate Cert Bundle.
8. Extract the bundle and upload the Private Key and Certificate from the bundle.                                                                                           
9. Click Show Advanced Configuration.
10. Under the User Identity section, configure Identifier Type and Property. For example, Identifier Type: Auto Detect and Property: Auto Detect.                                                                                                                                                               
11. Under the Statement Attributes section, add the following Attributes.
    1. Attribute 1:
       1. Attribute Name - https://aws.amazon.com/SAML/Attributes/RoleSessionName
       2. Attribute Source - Identity Source
       3. Property - mail
    2. Attribute 2:
       1. Attribute Name - https://aws.amazon.com/SAML/Attributes/Role
       2. Attribute Source - Constant
       3. Property - AWS role arn value,AWS saml-provider arn value
          For example: 
          arn:aws:iam::664847341240:role/ aws_ws_role,arn:aws:iam::664847341240:saml-provider/ aws_ws
          Refer to the Configure AWS Workspaces section to obtain the AWS role arn value and AWS saml-provider arn value.       
12. Provide the Default Relay State for this application and click Next Step.                                                                                                   
13. Choose your desired Access Policy for this application and click Next Step > Save and Finish.                                                           
14. On the My Applications page, click the Edit drop-down icon and select Export Metadata to download the metadata.                         
15. Click Publish Changes. Your application is now enabled for SSO.                                                                                                           

Configure AWS Workspaces

1. Log on to AWS IAM as Root user.
2. Under Access management, click Identity providers.                                                                                                                                 
3. Click on Add provider.                                                                                                                                                                            
4. Select SAML as Provider type.                                                                                                                                                                 
5. Scroll down and provide the following details.
   1. Provider name – Provide a name for your configuration.
   2. Metadata document – Click Choose file and upload the downloaded metadata.                                                                             
6. Scroll down to the bottom of the page and click Add provider.                                                                                                              
7. Click on the provider you configured.                                                                                                                                                         
8. Copy the provider ARN value.                                                                                                                                                                     
9. Under the Access management, click Roles.                                                                                                                                         
10. Click Create role.                                                                                                                                                                                    
11. Select the Trusted entity type as SAML 2.0 federation.                                                                                                                            
12. Perform the following steps and click Next:
    1. SAML 2.0-based provider – Select the provider that you configured in the Identity Providers section.
    2. Attribute – Select the attribute as SAML:aud.
    3. Value – Provide the URL, https://signin.aws.amazon.com/saml which should be the same as the ACS URL that is used to configure RSA.                                                                                                                                                                        
13. Provide your desired permissions as required and click Next.                                                                                                                   
14. Provide a name for the role and click Create Role.                                                                                                                                   
15. Click the role that you configured.                                                                                                                                                              
16. Copy the role ARN value.                                                                                                                                                                          
17. Combine the Role ARN value followed by ‘,’ with Provider ARN value to use it as Property value in RSA.