Cree un directorio de Microsoft Entra ID dedicado con WorkSpaces Personal

1. Habilite IAM Identity Center con sus AWS Organizaciones, especialmente si utiliza un entorno de varias cuentas. También puede crear una instancia de cuenta de IAM Identity Center. Para obtener más información, consulte Habilitar AWS IAM Identity Center. Cada WorkSpaces directorio se puede asociar a una instancia, organización o cuenta de IAM Identity Center.

   Si utiliza una instancia de organización e intenta crear un WorkSpaces directorio en una de las cuentas de los miembros, asegúrese de tener los siguientes permisos de IAM Identity Center.

   • "sso:DescribeInstance"

   • "sso:CreateApplication"

   • "sso:PutApplicationGrant"

   • "sso:PutApplicationAuthenticationMethod"

   • "sso:DeleteApplication"

   • "sso:DescribeApplication"

   • "sso:getApplicationGrant"

   Para obtener más información, consulte Descripción general de la administración de los permisos de acceso a los recursos de IAM Identity Center. Además, asegúrese de que ninguna política de control de servicios (SCPs) bloquee estos permisos. Para obtener más informaciónSCPs, consulte Políticas de control de servicios (SCPs).

2. Configure IAM Identity Center y Microsoft Entra ID para sincronizar automáticamente algunos o todos los usuarios de su inquilino de Entra ID con su instancia de IAM Identity Center. Para obtener más información, consulte Configurar SAML y SCIM con Microsoft Entra ID e IAM Identity Center y Tutorial: Configurar AWS IAM Identity Center para el aprovisionamiento automático de usuarios.

3. Compruebe que los usuarios que configuró en Microsoft Entra ID estén sincronizados correctamente con la instancia de AWS IAM Identity Center. Si ve el mensaje de error «La solicitud no se puede analizar, es sintácticamente incorrecta o infringe el esquema», de Microsoft Entra ID, indica que el usuario de Entra ID está configurado de una manera que IAM Identity Center no admite. Por ejemplo, el objeto de usuario de Entra ID carece de nombre, apellido o nombre para mostrar. Para obtener más información, consulte Algunos usuarios específicos no se sincronizan con IAM Identity Center desde un SCIM proveedor externo.

Para configurar Microsoft Intune para Autopilot

1. Inicie sesión en el centro de administración de Microsoft Intune

2. Crea un nuevo grupo de dispositivos de Autopilot para uso personal. WorkSpaces Para obtener más información, consulte Crear grupos de dispositivos para el piloto automático de Windows.

   1. Seleccione Grupos, Nuevo grupo

   2. En Tipo de grupo, seleccione Seguridad.

   3. Para el tipo de membresía, selecciona Dispositivo dinámico.

   4. Seleccione Editar consulta dinámica para crear una regla de membresía dinámica. La regla debe tener el siguiente formato:

      (device.devicePhysicalIds -any (_ -eq "[OrderID]:WorkSpacesDirectoryName"))

      importante

      WorkSpacesDirectoryNamedebe coincidir con el nombre del directorio WorkSpaces personal de Entra ID que creó en el paso 5. Esto se debe a que la cadena del nombre del directorio se utiliza como etiqueta de grupo cuando se WorkSpaces registran escritorios virtuales en Autopilot. Además, la etiqueta de grupo se asigna al OrderID atributo en los dispositivos Microsoft Entra.

3. Seleccione Dispositivos, Windows e Inscripción. Para ver las opciones de inscripción, seleccione Inscripción automática. Para el ámbito MDM de usuario, seleccione Todos.

4. Cree un perfil de despliegue de piloto automático. Para obtener más información, consulte Crear un perfil de despliegue de piloto automático.

   1. Para el piloto automático de Windows, seleccione Perfiles de despliegue y, a continuación, Crear perfil.

   2. En la pantalla de perfiles de implementación del piloto automático de Windows, selecciona el menú desplegable Crear perfil y, a continuación, selecciona PC con Windows.

   3. En la pantalla Crear perfil, en la página En la Out-of-box experiencia (OOBE). Para el modo de despliegue, seleccione Dirigido por los usuarios. Para Unirse a Microsoft Entra ID, selecciona Microsoft Entra unido. Puede personalizar los nombres de los ordenadores de su usuario registrado en Entra ID WorkSpaces seleccionando Sí en la plantilla de nombre de dispositivo para crear una plantilla que pueda utilizarse al asignar un nombre a un dispositivo durante la inscripción.

   4. En la página Asignaciones, en Asignar a, selecciona Grupos seleccionados. Selecciona los grupos que deseas incluir y selecciona el grupo de dispositivos del piloto automático que acabas de crear en 2.

Para crear un AWS Secrets Manager secreto

1. Cree una clave gestionada por el cliente en AWS Key Management Service. La clave se utilizará más adelante para cifrar el AWS Secrets Manager secreto. No utilices la clave predeterminada para cifrar el secreto, ya que el servicio no puede acceder a ella. WorkSpaces Sigue los pasos que se indican a continuación para crear la clave.

   1. Abre la AWS KMS consola en https://console.aws.amazon.com/kms.

   2. Para cambiarla Región de AWS, usa el selector de regiones en la esquina superior derecha de la página.

   3. Elija Create key.

   4. En la página Configurar clave, en Tipo de clave, elija Simétrico. Para el uso de la clave, elija Cifrar y descifrar.

   5. En la página de revisión, en el editor de políticas de claves, asegúrese de permitir el workspaces.amazonaws.com acceso principal del WorkSpaces servicio a la clave incluyendo los siguientes permisos en la política de claves.

      {
          "Effect": "Allow",
          "Principal": {
              "Service": [
                  "workspaces.amazonaws.com"
              ]
          },
          "Action": [
              "kms:Decrypt",
              "kms:DescribeKey"
          ],
          "Resource": "*"
       }

2. Cree el secreto en AWS Secrets Manager, utilizando la AWS KMS clave creada en el paso anterior.

   1. Abra la consola de Secrets Manager en https://console.aws.amazon.com/secretsmanager/.

   2. Elija Almacenar un secreto nuevo.

   3. En la página Seleccionar tipo de secreto, en Tipo de secreto, seleccione Otro tipo de secreto.

   4. En el caso de los pares clave/valor, introduzca «application_id» en el cuadro clave y, a continuación, copie el identificador de la aplicación Entra ID del paso 2 y péguelo en el cuadro de valores.

   5. Seleccione Añadir fila y, en el cuadro clave, introduzca «application_password» y, a continuación, copie el secreto de cliente de la aplicación Entra ID del paso 2 y péguelo en el cuadro de valores.

   6. Elija la AWS KMS clave que creó en el paso anterior en la lista desplegable de claves de cifrado.

   7. Elija Next (Siguiente).

   8. En la página Configurar el secreto, introduzca un nombre y una descripción del secreto.

   9. En la sección Permisos de recursos, selecciona Editar permisos.

   10. Asegúrese de permitir el workspaces.amazonaws.com acceso principal del WorkSpaces servicio al secreto incluyendo la siguiente política de recursos en los permisos de recursos.

       {
         "Version" : "2012-10-17",
         "Statement" : [ {
           "Effect" : "Allow",
           "Principal" : {
             "Service" : [ "workspaces.amazonaws.com"]
           },
           "Action" : "secretsmanager:GetSecretValue",
           "Resource" : "*"
         } ]
       }

Para crear un directorio de ID de WorkSpaces Entra

1. Abra la WorkSpaces consola en https://console.aws.amazon.com/workspaces/.

2. En el panel de navegación, elija Directories (Directorios).

3. En la página Crear directorio, para WorkSpaces escribir, elija Personal. Para la administración de WorkSpace dispositivos, selecciona Microsoft Entra ID.

4. Para el ID de inquilino de Microsoft Entra, introduce el ID de inquilino de Microsoft Entra ID WorkSpace al que quieres que se una tu directorio. No podrás cambiar el ID de inquilino una vez creado el directorio.

5. Para el ID y la contraseña de la aplicación Entra ID, selecciona el AWS Secrets Manager secreto que creaste en el paso 4 de la lista desplegable. No podrás cambiar el secreto asociado al directorio una vez creado el directorio. Sin embargo, siempre puedes actualizar el contenido del secreto, incluido el ID de la aplicación Entra ID y su contraseña, a través de la AWS Secrets Manager consola que se encuentra en la dirección https://console.aws.amazon.com/secretsmanager/.

6. Para la fuente de identidad del usuario, seleccione la instancia de IAM Identity Center que configuró en el paso 1 de la lista desplegable. No podrá cambiar la instancia de IAM Identity Center asociada al directorio una vez creado el directorio.

7. En Nombre del directorio, introduzca un nombre único para el directorio (por ejemplo,WorkSpacesDirectoryName).

   importante

   El nombre del directorio debe coincidir con el OrderID utilizado para construir la consulta dinámica para el grupo de dispositivos del piloto automático que creó con Microsoft Intune en el paso 3. La cadena del nombre del directorio se utiliza como etiqueta de grupo al registrar el personal WorkSpaces en Windows Autopilot. La etiqueta de grupo se asigna al OrderID atributo de los dispositivos Microsoft Entra.

8. (Opcional) En Description (Descripción), escriba una descripción del directorio.

9. Para VPC, selecciona la VPC que usaste para lanzar tu WorkSpaces. Para obtener más información, consulte Configurar un VPC para WorkSpaces personal.

10. En el caso de las subredes, seleccione dos subredes suyas VPC que no pertenezcan a la misma zona de disponibilidad. Estas subredes se utilizarán para lanzar su red personal. WorkSpaces Para obtener más información, consulte Zonas de disponibilidad para WorkSpaces personal.

    importante

    Asegúrese de que las subredes WorkSpaces lanzadas tengan acceso a Internet, lo cual es necesario cuando los usuarios inician sesión en los escritorios de Windows. Para obtener más información, consulte Proporcione acceso a Internet para WorkSpaces personal.

11. Para la configuración, seleccione Activar la opción dedicada. WorkSpace Debe habilitarlo para crear un directorio WorkSpaces personal dedicado al lanzamiento de Bring Your Own License (BYOL) Windows 10 u 11 personal WorkSpaces.

    nota

    Si no ves la opción Activar la WorkSpace opción dedicada en Configuración, significa que tu cuenta no se ha activado durante ese períodoBYOL. BYOLPara activarla en su cuenta, consulteTraiga sus propias licencias de escritorio de Windows WorkSpaces.

12. (Opcional) En el caso de las etiquetas, especifique el valor del par de claves que desee utilizar como personal WorkSpaces en el directorio.

13. Revise el resumen del directorio y seleccione Crear directorio. Se tarda unos minutos en conectar a su directorio. El estado inicial del directorio es Creating. Cuando la creación del directorio se completa, el estado cambia a Active.

Para configurar la asignación de usuarios para la aplicación IAM Identity Center

1. Abra la IAM consola en https://console.aws.amazon.com/iam/.

2. En la pestaña de aplicaciones AWS administradas, elija la aplicación para el WorkSpaces directorio. Los nombres de las aplicaciones tienen el siguiente formato:WorkSpaces.wsd-xxxxx, donde wsd-xxxxx está el ID del WorkSpaces directorio.

3. Seleccione Acciones y edite los detalles.

4. Cambie el método de asignación de usuarios y grupos de No requerir asignaciones a Requerir asignaciones.

5. Elija Guardar cambios.