Crea un directorio dedicado de Entra ID de Microsoft con WorkSpaces Personal

1. Habilite el IAM Identity Center en sus AWS organizaciones, especialmente si utiliza un entorno con varias cuentas. También puede crear una instancia de cuenta de IAM Identity Center. Para obtener más información, consulta Cómo habilitar el AWS IAM Identity Center. Cada WorkSpaces directorio se puede asociar a una instancia, organización o cuenta de IAM Identity Center.

   Si utilizas una instancia de organización e intentas crear un WorkSpaces directorio en una de las cuentas de los miembros, asegúrate de tener los siguientes permisos del IAM Identity Center.

   • "sso:DescribeInstance"

   • "sso:CreateApplication"

   • "sso:PutApplicationGrant"

   • "sso:PutApplicationAuthenticationMethod"

   • "sso:DeleteApplication"

   • "sso:DescribeApplication"

   • "sso:getApplicationGrant"

   Para obtener más información, consulte Información general sobre la administración de permisos de acceso para los recursos de Centro de identidades de IAM. Además, asegúrese de que ninguna política de control de servicios (SCP) bloquee estos permisos. Para obtener más información sobre las SCP, consulte Service control policies (SCPs).

2. Configure IAM Identity Center y Microsoft Entra ID para sincronizar automáticamente algunos o todos los usuarios del inquilino de Entra ID con la instancia de IAM Identity Center. Para obtener más información, consulte Configurar SAML y SCIM con Microsoft Entra ID e IAM Identity Center y el tutorial: Configurar el IAM Identity Center para el AWS aprovisionamiento automático de usuarios.

3. Compruebe que los usuarios que configuró en el Entra ID de Microsoft estén sincronizados correctamente con la instancia de IAM Identity Center. AWS Si aparece un mensaje de error en Microsoft Entra ID, esto indica que el usuario de Entra ID se ha configurado de un modo que IAM Identity Center no lo admite. El mensaje de error identificará este problema. Por ejemplo, si el objeto de usuario de Entra ID carece de nombre, apellidos o nombre para mostrar, recibirás un mensaje de error similar a. and/or "2 validation errors detected: Value at 'name.givenName' failed to satisfy constraint: Member must satisfy regular expression pattern: [\\p{L}\\p{M}\\p{S}\\p{N}\\p{P}\\t\\n\\r ]+; Value at 'name.givenName' failed to satisfy constraint: Member must have length greater than or equal to 1" Para obtener más información, consulte Algunos usuarios no logran sincronizarse con Centro de identidades de IAM desde un proveedor de SCIM externo.

Cómo configurar Microsoft Intune para Autopilot

1. Inicio de sesión en el Centro de administración de Microsoft Intune

2. Crea un nuevo grupo de dispositivos de piloto automático para uso personal. WorkSpaces Para obtener más información, consulte Create device groups for Windows Autopilot.

   1. Seleccione Grupos, Nuevo grupo

   2. En Tipo de grupo, seleccione Seguridad.

   3. En Tipo de pertenencia, elija Dispositivo dinámico.

   4. Seleccione Editar consulta dinámica para crear una regla de pertenencia dinámica. La regla debe tener el siguiente formato:

      (device.devicePhysicalIds -any (_ -eq "[OrderID]:WorkSpacesDirectoryName"))

      importante

      WorkSpacesDirectoryNamedebe coincidir con el nombre del directorio de Entra ID WorkSpaces Personal que creaste en el paso 5. Esto se debe a que la cadena con el nombre del directorio se utiliza como etiqueta de grupo cuando se WorkSpaces registran los escritorios virtuales en Autopilot. Además, la etiqueta de grupo se asigna al atributo OrderID en los dispositivos con Microsoft Entra.

3. Seleccione Dispositivos, Windows, Inscripción. En Opciones de inscripción, seleccione Inscripción automática. En Ámbito de usuario de MDM, seleccione Todos.

4. Cree un perfil de implementación de Autopilot. Para obtener más información, consulte Create an Autopilot deployment profile.

   1. En Windows Autopilot, seleccione Perfiles de implementación, Crear perfil.

   2. En la pantalla Perfiles de implementación de Windows Autopilot, seleccione el menú desplegable Crear perfil y elija PC de Windows.

   3. En la pantalla Crear perfil, en la página En la Out-of-box experiencia (OOBE). Para el modo de implementación, selecciona User-driven. En Vincular a Microsoft Entra ID, seleccione Vinculado a Microsoft Entra. Para personalizar los nombres de los ordenadores de tu Entra ID-joined personal, selecciona Sí para aplicar la plantilla de nombres de dispositivos. WorkSpaces De este modo, podrás crear una plantilla que se utilizará a la hora de asignar un nombre a un dispositivo durante la inscripción.

   4. En la página Asignaciones, en Asignar a, elija Grupos seleccionados. Elija Seleccionar grupos que desea incluir y seleccione el grupo de dispositivos de Autopilot que acaba de crear en el paso 2.

Para crear un AWS Secrets Manager secreta

1. Cree una clave administrada por el cliente en AWS Key Management Service. La clave se utilizará más adelante para cifrar el AWS Secrets Manager secreto. No utilices la clave predeterminada para cifrar tu secreto, ya que el servicio no puede acceder a ella. WorkSpaces Siga los pasos que se indican a continuación para crear la clave.

   1. Abre la AWS KMS consola en. https://console.aws.amazon.com/kms

   2. Para cambiarlo Región de AWS, usa el selector de regiones situado en la esquina superior derecha de la página.

   3. Elija Crear clave.

   4. En la página Configurar clave, en Tipo de clave, seleccione Simétrico. En Uso de claves, elija Cifrar y descifrar.

   5. En la página de revisión, en el editor de políticas clave, asegúrate de permitir el workspaces.amazonaws.com acceso principal del WorkSpaces servicio a la clave incluyendo los siguientes permisos en la política de claves.

      {
          "Effect": "Allow",
          "Principal": {
              "Service": [
                  "workspaces.amazonaws.com"
              ]
          },
          "Action": [
              "kms:Decrypt",
              "kms:DescribeKey"
          ],
          "Resource": "*"
       }

2. Crea el secreto con AWS Secrets Manager la AWS KMS clave creada en el paso anterior.

   1. Abre la consola de Secrets Manager en https://console.aws.amazon.com/secretsmanager/.

   2. Elija Almacenar un secreto nuevo.

   3. En la página Seleccionar tipo de secreto, en Tipo de secreto, seleccione Otro tipo de secreto.

   4. En el caso de los Key/value pares, escribe «application_id» en la casilla de claves y, a continuación, copia el identificador de la aplicación Entra ID del paso 2 y pégalo en el cuadro de valores.

   5. Seleccione Añadir fila y, en el cuadro de claves, introduzca “application_password” y, a continuación, copie el secreto de cliente de la aplicación de Entra ID del paso 2 y péguelo en el cuadro de valores.

   6. En la lista desplegable de AWS KMS claves de cifrado, elige la clave que creaste en el paso anterior.

   7. Elija Siguiente.

   8. En la página Configurar secreto, introduzca las opciones Nombre del secreto y Descripción.

   9. En la sección Permisos de recursos, seleccione Editar permisos.

   10. Asegúrese de permitir el workspaces.amazonaws.com acceso principal del WorkSpaces servicio al secreto; para ello, incluya la siguiente política de recursos en los permisos de los recursos.

       JSON

       {
         "Version":"2012-10-17",
         "Statement" : [ {
           "Effect" : "Allow",
           "Principal" : {
             "Service" : [ "workspaces.amazonaws.com"]
           },
           "Action" : "secretsmanager:GetSecretValue",
           "Resource" : "*"
         } ]
       }
       

Para crear un WorkSpaces directorio de Entra ID

1. Abre la WorkSpaces consola en https://console.aws.amazon.com/workspaces/v2/home.

2. En el panel de navegación, elija Directories (Directorios).

3. En la página Crear directorio, para WorkSpaces escribir, elija Personal. Para la administración de WorkSpace dispositivos, elija Microsoft Entra ID.

4. Para el ID de inquilino de Microsoft Entra, introduce el ID de inquilino de Microsoft Entra ID WorkSpaces al que quieres que se una el directorio. No podrá cambiar el ID de inquilino una vez creado el directorio.

5. Para el ID y la contraseña de la aplicación Entra ID, selecciona en la lista desplegable el AWS Secrets Manager secreto que creaste en el paso 4. No podrá cambiar el secreto asociado al directorio una vez creado el directorio. Sin embargo, siempre puedes actualizar el contenido del secreto, incluido el ID de la aplicación Entra ID y su contraseña, a través de la AWS Secrets Manager consola en https://console.aws.amazon.com/secretsmanager/.

6. Si tu instancia del Identity Center de IAM se encuentra en la misma AWS región que tu WorkSpaces directorio, en la lista desplegable, para la fuente de identidad del usuario, selecciona la instancia del IAM Identity Center que configuraste en el paso 1. No podrá cambiar la instancia de IAM Identity Center asociada al directorio una vez creado el directorio.

   Si tu instancia del Identity Center de IAM está en una AWS región diferente a la de tu WorkSpaces directorio, selecciona Habilitar Cross-Region y, a continuación, selecciona la región en la lista desplegable.

   nota

   Si tiene una instancia de IAM Identity Center existente en una región diferente, debe optar por configurar una integración entre regiones. Para obtener más información sobre la configuración entre regiones, consulte Creación de una integración de IAM Identity Center entre regiones (opcional).

7. En Nombre del directorio, introduzca un nombre único para el directorio (por ejemplo, WorkSpacesDirectoryName).

   importante

   El nombre del directorio debe coincidir con el OrderID utilizado para crear la consulta dinámica para el grupo de dispositivos de Autopilot que ha creado con Microsoft Intune en el paso 3. La cadena con el nombre del directorio se utiliza como etiqueta de grupo al registrar una persona WorkSpaces en el piloto automático de Windows. La etiqueta de grupo se asigna al atributo OrderID de los dispositivos con Microsoft Entra.

8. (Opcional) En Description (Descripción), escriba una descripción del directorio.

9. En el caso de la VPC, seleccione la VPC que utilizó para iniciar su. WorkSpaces Para obtener más información, consulte Configurar una VPC para personal WorkSpaces.

10. En Subredes, seleccione dos subredes de la VPC que no sean de la misma zona de disponibilidad. Estas subredes se usarán para lanzar tu cuenta personal. WorkSpaces Para obtener más información, consulte Zonas de disponibilidad para WorkSpaces personal.

    importante

    Asegúrese de que las subredes WorkSpaces lanzadas tengan acceso a Internet, que es necesario cuando los usuarios inician sesión en los escritorios de Windows. Para obtener más información, consulte Proporcione acceso a Internet para WorkSpaces personal.

11. Para la configuración, seleccione Habilitar la opción dedicada. WorkSpace Debe habilitarlo para crear un directorio WorkSpaces personal dedicado para lanzar Bring Your Own License (BYOL) de Windows 10 u 11 personal WorkSpaces.

    nota

    Si no ves la opción Habilitar la WorkSpace opción dedicada en Configuración, significa que tu cuenta no está habilitada para BYOL. Para habilitar BYOL en la cuenta, consulte Traiga sus propias licencias de escritorio de Windows WorkSpaces.

12. (Opcional) En el caso de las etiquetas, especifica el valor del par de claves que quieres usar para WorkSpaces el directorio personal.

13. Revise el resumen del directorio y elija Crear directorio. Se tarda unos minutos en conectar a su directorio. El estado inicial del directorio es Creating. Cuando la creación del directorio se completa, el estado cambia a Active.

Cómo configurar la asignación de usuarios para la aplicación de IAM Identity Center

1. Abra la consola de IAM en https://console.aws.amazon.com/iam/.

2. En la pestaña de aplicaciones AWS administradas, elija la aplicación para el WorkSpaces directorio. Los nombres de las aplicaciones tienen el siguiente formato:WorkSpaces.wsd-xxxxx, donde wsd-xxxxx está el ID del WorkSpaces directorio.

3. Elija Acciones, Editar detalles.

4. Cambie la opción Método de asignación de usuarios y grupos de No requerir asignaciones a Requerir asignaciones.

5. Seleccione Save changes (Guardar cambios).