Configure RSA Cloud Authentication Service

1. Enable My Page SSO by accessing the RSA Cloud Administration Console > Access > My Page > Single Sign-On (SSO). Ensure it is enabled and protected using two-factor authentication - Password and Access Policy.                                                                                   
2. On the Applications > Application Catalog page, search for AWS and click Add to add the connection.                                                   
3. On the Basic Information page, enter a name for the configuration in the Name field and click Next Step.                                                 
4. On the Connection Profile page, click the IdP-initiated option.                                                                                                                      
5. Provide the Service Provider details in the following format: 
   1. ACS URL: https://signin.aws.amazon.com/saml
   2. Service Provider Entity ID: urn:amazon:webservices                                                                                                                          
6. In the SAML Response Protection section, choose IdP signs assertion within response.
7. Select the Override default signing key and certificate checkbox and click Generate Cert Bundle.
8. Extract the bundle and upload the Private Key and Certificate from the bundle.                                                                                           
9. Click Show Advanced Configuration.
10. Under the User Identity section, configure Identifier Type and Property. For example, Identifier Type: persistent and Property: mail. 
11. Under the Statement Attributes section, add the following attributes.
    1. Attribute 1
       1. Attribute Name: https://aws.amazon.com/SAML/Attributes/RoleSessionName
       2. Attribute Source: Identity Source
       3. Property: mail
    2. Attribute 2
       1. Attribute Name: https://aws.amazon.com/SAML/Attributes/Role
       2. Attribute Source: Constant
       3. Property: AWS role arn value,AWS saml-provider arn value
          For example: 
          arn:aws:iam::664847341240:role/AWSFinal,arn:aws:iam::664847341240:saml-provider/AWSFinal
          Refer to the Configure AWS IAM section to obtain the AWS role arn value and AWS saml-provider arn value.                
12. Add the Relay State: https://console.aws.amazon.com/iam.                                                                                                                             
13. Choose your desired Access Policy for this application and click Next Step > Save and Finish.                                                                 
14. On the My Applications page click the Edit drop-down icon and select Export Metadata to download the metadata.                                
    
15. Click Publish Changes. Your application is now enabled for SSO.                                                                                                                    

Configure AWS IAM

1. Log on to AWS IAM as a root user.
2. Under Access management, select Identity Providers.                                                                                                                               
3. Click Add provider.                                                                                                                                                                                      
4. Select SAML as Provider type.                                                                                                                                                                       
5. Scroll down and provide the following details.
   1. Provider name: Provide a name for your configuration.
   2. Metadata document: Click Choose file and upload the downloaded metadata.                                                                                 
6. Scroll to the bottom of the page and click Add provider.                                                                                                                                
7. Click the provider that you configured.                                                                                                                                                              
8. Copy the provider ARN value.                                                                                                                                                                          
9. Under Access management, click Roles.                                                                                                                                                       
10. Click Create role.                                                                                                                                                                                              
11. Choose the Trusted entity type as SAML 2.0 federation.                                                                                                                             
12. Perform the following and click Next:
    1. SAML 2.0-based provider: Select the provider you configured in the Identity Providers section.
    2. Attribute: Select the attribute as SAML:aud.
    3. Value: Provide this URL - https://signin.aws.amazon.com/saml. This should be the same as the ACS URL used for configuring RSA.                                                                                                                                                                      
13. Provide your desired permissions as required and click Next.                                                                                                                          
14. Provide a name for the role and click Create Role.                                                                                                                                        
15. Click the role that you configured.                                                                                                                                                                     
16. Copy the role ARN value.                                                                                                                                                                                  
17. Combine the role ARN value followed by ‘,’ with the Provider ARN value to use it as Property value in RSA.