Erstellen Sie mit Personal ein dediziertes Microsoft Entra ID-Verzeichnis WorkSpaces

1. Aktivieren Sie IAM Identity Center für Ihre AWS Organisationen, insbesondere wenn Sie eine Umgebung mit mehreren Konten verwenden. Sie können auch eine Kontoinstanz von IAM Identity Center erstellen. Weitere Informationen finden Sie unter AWS IAM Identity Center aktivieren. Jedes WorkSpaces Verzeichnis kann einer IAM Identity Center-Instanz, Organisation oder Konto zugeordnet werden.

   Wenn Sie eine Organisationsinstanz verwenden und versuchen, ein WorkSpaces Verzeichnis in einem der Mitgliedskonten zu erstellen, stellen Sie sicher, dass Sie über die folgenden IAM Identity Center-Berechtigungen verfügen.

   • "sso:DescribeInstance"

   • "sso:CreateApplication"

   • "sso:PutApplicationGrant"

   • "sso:PutApplicationAuthenticationMethod"

   • "sso:DeleteApplication"

   • "sso:DescribeApplication"

   • "sso:getApplicationGrant"

   Weitere Informationen finden Sie unter Überblick über die Verwaltung von Zugriffsberechtigungen für Ihre IAM Identity Center-Ressourcen. Stellen Sie außerdem sicher, dass keine Service Control Policies (SCPs) diese Berechtigungen blockieren. Weitere Informationen zu SCPs finden Sie unter Service Control Policies (SCPs).

2. Konfigurieren Sie IAM Identity Center und Microsoft Entra ID so, dass ausgewählte oder alle Benutzer aus Ihrem Entra ID-Mandanten automatisch mit Ihrer IAM Identity Center-Instanz synchronisiert werden. Weitere Informationen finden Sie unter SAML und SCIM mit Microsoft Entra ID und IAM Identity Center konfigurieren und Tutorial: IAM Identity Center für automatische Benutzerbereitstellung konfigurieren AWS .

3. Stellen Sie sicher, dass die Benutzer, die Sie für Microsoft Entra ID konfiguriert haben, korrekt mit der IAM Identity Center-Instanz synchronisiert sind. AWS Wenn Sie eine Fehlermeldung in Microsoft Entra ID sehen, bedeutet dies, dass der Benutzer in der Entra ID so konfiguriert ist, dass IAM Identity Center nicht unterstützt wird. Die Fehlermeldung identifiziert dieses Problem. Wenn dem Benutzerobjekt in der Entra-ID beispielsweise ein Vorname, ein Nachname oder and/or ein Anzeigename fehlt, erhalten Sie eine Fehlermeldung ähnlich "2 validation errors detected: Value at 'name.givenName' failed to satisfy constraint: Member must satisfy regular expression pattern: [\\p{L}\\p{M}\\p{S}\\p{N}\\p{P}\\t\\n\\r ]+; Value at 'name.givenName' failed to satisfy constraint: Member must have length greater than or equal to 1" der Weitere Informationen finden Sie unter Bestimmte Benutzer können von einem externen SCIM-Anbieter nicht mit dem IAM Identity Center synchronisiert werden.

So konfigurieren Sie Microsoft Intune für Autopilot

1. Melden Sie sich im Microsoft Intune Admin Center an

2. Erstellen Sie eine neue Autopilot-Gerätegruppe für Privatanwender. WorkSpaces Weitere Informationen finden Sie unter Gerätegruppen für Windows Autopilot erstellen.

   1. Wählen Sie Gruppen, Neue Gruppe

   2. Wählen Sie für Group type die Option Security.

   3. Wählen Sie als Mitgliedschaftstyp Dynamisches Gerät aus.

   4. Wählen Sie Dynamische Abfrage bearbeiten, um eine dynamische Mitgliedschaftsregel zu erstellen. Die Regel sollte das folgende Format haben:

      (device.devicePhysicalIds -any (_ -eq "[OrderID]:WorkSpacesDirectoryName"))

      Wichtig

      WorkSpacesDirectoryNamesollte mit dem Verzeichnisnamen des WorkSpaces persönlichen Entra ID-Verzeichnisses übereinstimmen, das Sie in Schritt 5 erstellt haben. Dies liegt daran, dass die Zeichenfolge mit dem Verzeichnisnamen als Gruppen-Tag verwendet wird, wenn virtuelle Desktops in Autopilot WorkSpaces registriert werden. Außerdem wird das Gruppen-Tag dem OrderID Attribut auf Microsoft Entra-Geräten zugeordnet.

3. Wählen Sie Geräte, Windows, Registrierung aus. Wählen Sie für Registrierungsoptionen die Option Automatische Registrierung aus. Wählen Sie für den MDM-Benutzerbereich die Option Alle aus.

4. Erstellen Sie ein Autopilot-Bereitstellungsprofil. Weitere Informationen finden Sie unter Erstellen eines Autopilot-Bereitstellungsprofils.

   1. Wählen Sie für Windows Autopilot die Option Bereitstellungsprofile und Profil erstellen aus.

   2. Wählen Sie auf dem Bildschirm mit den Windows Autopilot-Bereitstellungsprofilen das Dropdownmenü Profil erstellen und dann Windows-PC aus.

   3. Klicken Sie im Bildschirm Profil erstellen auf der Seite On the Out-of-box Experience (OOBE). Wählen User-driven Sie für den Bereitstellungsmodus. Wählen Sie für Mit Microsoft Entra-ID verbinden die Option Microsoft Entra ist beigetreten aus. Sie können die Computernamen für Ihre Entra ID-joined Personal anpassen, indem Sie WorkSpaces unter Vorlage für Gerätenamen anwenden die Option Ja auswählen, um eine Vorlage zu erstellen, die bei der Benennung eines Geräts bei der Registrierung verwendet werden kann.

   4. Wählen Sie auf der Seite „Aufgaben“ für „Zuweisen zu“ die Option „Ausgewählte Gruppen“ aus. Wählen Sie Gruppen auswählen, die aufgenommen werden sollen, und wählen Sie die Autopilot-Gerätegruppe aus, die Sie gerade in 2 erstellt haben.

Um eine zu erstellen AWS Secrets Manager Secret

1. Erstellen Sie einen vom Kunden verwalteten Schlüssel auf AWS Key Management Service. Der Schlüssel wird später zum Verschlüsseln des AWS Secrets Manager Geheimnisses verwendet. Verwenden Sie nicht den Standardschlüssel, um Ihr Geheimnis zu verschlüsseln, da der Dienst nicht auf den Standardschlüssel zugreifen kann. WorkSpaces Gehen Sie wie folgt vor, um den Schlüssel zu erstellen.

   1. Öffnen Sie die AWS KMS Konsole unter https://console.aws.amazon.com/kms.

   2. Um das zu ändern AWS-Region, verwenden Sie die Regionsauswahl in der oberen rechten Ecke der Seite.

   3. Klicken Sie auf Create key.

   4. Wählen Sie auf der Seite „Schlüssel konfigurieren“ für Schlüsseltyp die Option Symmetrisch aus. Wählen Sie für Schlüsselverwendung die Option Verschlüsseln und Entschlüsseln aus.

   5. Stellen Sie auf der Seite „Überprüfen“ im Schlüsselrichtlinien-Editor sicher, dass Sie dem Prinzipal des WorkSpaces Dienstes workspaces.amazonaws.com Zugriff auf den Schlüssel gewähren, indem Sie die folgenden Berechtigungen in die Schlüsselrichtlinie aufnehmen.

      {
          "Effect": "Allow",
          "Principal": {
              "Service": [
                  "workspaces.amazonaws.com"
              ]
          },
          "Action": [
              "kms:Decrypt",
              "kms:DescribeKey"
          ],
          "Resource": "*"
       }

2. Erstellen Sie das Geheimnis unter AWS Secrets Manager Verwendung des im vorherigen Schritt erstellten AWS KMS Schlüssels.

   1. Öffnen Sie die Secrets Manager-Konsole unter https://console.aws.amazon.com/secretsmanager/.

   2. Wählen Sie Store a new secret (Ein neues Secret speichern).

   3. Wählen Sie auf der Seite Choose Secret Type für Secret Type die Option Other type of secret aus.

   4. Geben Sie für Key/value Paare in das Schlüsselfeld „application_id“ in das Schlüsselfeld ein, kopieren Sie dann die Entra-ID-Anwendungs-ID aus Schritt 2 und fügen Sie sie in das Wertfeld ein.

   5. Wählen Sie Zeile hinzufügen, geben Sie in das Schlüsselfeld „application_password“ ein, kopieren Sie dann das Entra-ID-Anwendungsclient-Geheimnis aus Schritt 2 und fügen Sie es in das Wertfeld ein.

   6. Wählen Sie den AWS KMS Schlüssel, den Sie im vorherigen Schritt erstellt haben, aus der Dropdownliste Verschlüsselungsschlüssel aus.

   7. Wählen Sie Weiter aus.

   8. Geben Sie auf der Seite „Geheimer Schlüssel konfigurieren“ einen geheimen Namen und eine Beschreibung ein.

   9. Wählen Sie im Abschnitt Ressourcenberechtigungen die Option Berechtigungen bearbeiten aus.

   10. Stellen Sie sicher, dass Sie dem Hauptbenutzer des WorkSpaces Dienstes workspaces.amazonaws.com Zugriff auf das Geheimnis gewähren, indem Sie die folgenden Ressourcenrichtlinien in die Ressourcenberechtigungen aufnehmen.

       JSON

       {
         "Version":"2012-10-17",
         "Statement" : [ {
           "Effect" : "Allow",
           "Principal" : {
             "Service" : [ "workspaces.amazonaws.com"]
           },
           "Action" : "secretsmanager:GetSecretValue",
           "Resource" : "*"
         } ]
       }
       

Um ein Entra-ID-Verzeichnis zu erstellen WorkSpaces

1. Öffnen Sie die WorkSpaces Konsole unter. https://console.aws.amazon.com/workspaces/v2/home

2. Wählen Sie im Navigationsbereich Verzeichnisse aus.

3. Wählen Sie auf der Seite Verzeichnis erstellen als WorkSpaces Typ die Option Persönlich aus. Wählen Sie für die WorkSpace Geräteverwaltung Microsoft Entra ID aus.

4. Geben Sie für Microsoft Entra-Mandanten-ID Ihre Microsoft Entra-ID-Mandanten-ID ein, der Ihre Verzeichnisse beitreten sollen. WorkSpaces Sie können die Mandanten-ID nicht mehr ändern, nachdem das Verzeichnis erstellt wurde.

5. Wählen Sie für Entra ID-Anwendungs-ID und Passwort das AWS Secrets Manager Geheimnis, das Sie in Schritt 4 erstellt haben, aus der Dropdownliste aus. Sie können das dem Verzeichnis zugeordnete Geheimnis nicht mehr ändern, nachdem das Verzeichnis erstellt wurde. Sie können den Inhalt des Geheimnisses, einschließlich der Entra ID-Anwendungs-ID und des zugehörigen Kennworts, jedoch jederzeit über die AWS Secrets Manager Konsole unter https://console.aws.amazon.com/secretsmanager/ aktualisieren.

6. Wenn sich Ihre IAM Identity Center-Instanz in derselben AWS Region wie Ihr WorkSpaces Verzeichnis befindet, wählen Sie als Benutzeridentitätsquelle die IAM Identity Center-Instance, die Sie in Schritt 1 konfiguriert haben, aus der Dropdownliste aus. Sie können die mit dem Verzeichnis verknüpfte IAM Identity Center-Instanz nicht mehr ändern, nachdem das Verzeichnis erstellt wurde.

   Wenn sich Ihre IAM Identity Center-Instanz in einer anderen AWS Region als Ihr WorkSpaces Verzeichnis befindet, wählen Sie Aktivieren Cross-Region und dann die Region aus der Dropdownliste aus.

   Anmerkung

   Wenn Sie eine bestehende IAM Identity Center-Instance in einer anderen Region haben, müssen Sie sich anmelden, um eine regionsübergreifende Integration einzurichten. Weitere Informationen zur regionsübergreifenden Einrichtung finden Sie unter. Erstellen Sie eine regionsübergreifende IAM Identity Center-Integration (optional)

7. Geben Sie unter Verzeichnisname einen eindeutigen Namen für das Verzeichnis ein (z. B.WorkSpacesDirectoryName).

   Wichtig

   Der Verzeichnisname sollte mit dem Namen übereinstimmen, der zum Erstellen der dynamischen Abfrage für die Autopilot-Gerätegruppe OrderID verwendet wurde, die Sie in Schritt 3 mit Microsoft Intune erstellt haben. Die Zeichenfolge mit dem Verzeichnisnamen wird bei der persönlichen Registrierung WorkSpaces in Windows Autopilot als Gruppen-Tag verwendet. Das Gruppen-Tag ist dem OrderID Attribut auf Microsoft Entra-Geräten zugeordnet.

8. (Optional) Geben Sie im Feld Description (Beschreibung) eine Beschreibung für das Verzeichnis ein.

9. Wählen Sie für VPC die VPC aus, mit der Sie Ihre gestartet haben. WorkSpaces Weitere Informationen finden Sie unter Konfiguration einer VPC für Personal WorkSpaces.

10. Wählen Sie für Subnetze zwei Subnetze Ihrer VPC aus, die nicht aus derselben Availability Zone stammen. Diese Subnetze werden verwendet, um Ihre persönliche Subnetze zu starten. WorkSpaces Weitere Informationen finden Sie unter Verfügbarkeitszonen für WorkSpaces Personal.

    Wichtig

    Stellen Sie sicher, dass die in den Subnetzen WorkSpaces gestarteten Geräte über einen Internetzugang verfügen. Dieser ist erforderlich, wenn sich Benutzer an den Windows-Desktops anmelden. Weitere Informationen finden Sie unter Stellen Sie Internetzugang für WorkSpaces Personal bereit.

11. Wählen Sie unter Konfiguration die Option Dediziert WorkSpace aktivieren aus. Sie müssen es aktivieren, um ein dediziertes WorkSpaces persönliches Verzeichnis zu erstellen, mit dem Sie Bring Your Own License (BYOL) Windows 10 oder 11 Personal WorkSpaces starten können.

    Anmerkung

    Wenn unter Konfiguration die WorkSpace Option Dediziertes Konto aktivieren nicht angezeigt wird, wurde Ihr Konto nicht für BYOL aktiviert. Informationen zur Aktivierung von BYOL für Ihr Konto finden Sie unter. Bringen Sie Ihre eigenen Windows-Desktop-Lizenzen ein WorkSpaces

12. (Optional) Geben Sie für Tags den Schlüsselpaarwert an, den Sie für Personal WorkSpaces im Verzeichnis verwenden möchten.

13. Prüfen Sie die Verzeichnisübersicht und wählen Sie Verzeichnis erstellen. Es dauert einige Minuten, bis Ihr Verzeichnis verbunden ist. Der ursprüngliche Status des Verzeichnisses ist Creating. Nach erfolgreicher Erstellung des Verzeichnisses ist der Status Active.

So konfigurieren Sie die Benutzerzuweisung für die IAM Identity Center-Anwendung

1. Öffnen Sie unter https://console.aws.amazon.com/iam/ die IAM-Konsole.

2. Wählen Sie auf der Registerkarte „AWS Verwaltete Anwendungen“ die Anwendung für das WorkSpaces Verzeichnis aus. Die Anwendungsnamen haben das folgende Format:WorkSpaces.wsd-xxxxx, wo wsd-xxxxx ist die WorkSpaces Verzeichnis-ID.

3. Wählen Sie Aktionen > Details bearbeiten.

4. Ändern Sie die Zuweisungsmethode für Benutzer und Gruppen von Keine Zuweisungen erforderlich in Zuweisungen erforderlich.

5. Wählen Sie Änderungen speichern aus.