Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
# WorkSpaces Administration d'Active Directory des applications
La configuration et l'utilisation d'Active Directory avec WorkSpaces les applications impliquent les tâches administratives suivantes.
**Topics**
+ [Octroi d'autorisations pour la création et la gestion d'objets ordinateur Active Directory](active-directory-permissions.md)
+ [Recherche du nom unique d’unité d’organisation](active-directory-oudn.md)
+ [Attribution des droits d'administrateur local sur les instances Image Builder](active-directory-image-builder-local-admin.md)
+ [Mise à jour du compte de service utilisé pour joindre le domaine](active-directory-service-acct.md)
+ [Verrouillage de la session de streaming lorsque l'utilisateur est inactif](active-directory-session-lock.md)
+ [Modification de la configuration de répertoire](active-directory-config-edit.md)
+ [Suppression d’une configuration de répertoire](active-directory-config-delete.md)
+ [Configuration d' WorkSpaces applications pour utiliser des approbations de domaine](active-directory-domain-trusts.md)
+ [Gestion des WorkSpaces applications et des objets informatiques dans Active Directory](active-directory-identify-objects.md)
# Octroi d'autorisations pour la création et la gestion d'objets ordinateur Active Directory
Pour permettre aux WorkSpaces applications d'effectuer des opérations sur des objets informatiques Active Directory, vous devez disposer d'un compte doté d'autorisations suffisantes. La bonne pratique consiste à utiliser un compte disposant uniquement des privilèges minimum nécessaires. Les autorisations minimum de l'unité d'organisation (OU) Active Directory sont les suivantes :
+ Créer des objets ordinateur
+ Modifier le mot de passe
+ Réinitialiser le mot de passe
+ Écrire une description
Avant de configurer les autorisations, vous devez effectuer les tâches suivantes :
+ Obtenir l’accès à un ordinateur ou à une instance EC2 qui est jointe à votre domaine.
+ Installer le composant logiciel enfichable MMC Utilisateurs et ordinateurs Active Directory. Pour plus d’informations, consultez [Installing or Removing Remote Server Administration Tools for Windows 7](https://technet.microsoft.com/en-us/library/ee449483.aspx) dans la documentation Microsoft.
+ Vous connecter en tant qu’utilisateur du domaine disposant des autorisations appropriées pour modifier les paramètres de sécurité des unités d’organisation.
+ Créer ou identifier l’utilisateur, le compte de service ou le groupe auquel déléguer des autorisations.
**Pour configurer les autorisations minimum**
1. Lancez **Utilisateurs et ordinateurs Active Directory** dans votre domaine ou sur votre contrôleur de domaine.
1. Dans le volet de navigation de gauche, sélectionnez la première unité d’organisation sur laquelle fournir les privilèges joints au domaine, ouvrez le menu contextuel (clic droit), puis choisissez **Déléguer le contrôle**.
1. Sur la page **Assistant Délégation de contrôle**, choisissez **Suivant**, **Ajouter**.
1. Pour **Sélectionner des utilisateurs, des ordinateurs ou des groupes**, sélectionnez l’utilisateur, le compte de service ou le groupe créé au préalable, puis choisissez **OK**.
1. Sur la page **Tâches à déléguer**, sélectionnez **Créer une tâche personnalisée à déléguer**, puis choisissez **Suivant**.
1. Choisissez **Seulement des objets suivants dans le dossier**, puis **Objets ordinateur**.
1. Choisissez **Créer les objets sélectionnés dans ce dossier**, **Suivant**.
1. Pour **Autorisations**, choisissez **, Lire**, **Écrire**, **Modifier le mot de passe**, **Réinitialiser le mot de passe**, **Suivant**.
1. Sur la page **Fin de l'Assistant Délégation de contrôle**, vérifiez les informations et choisissez **Terminer**.
1. Répétez les étapes 2 à 9 pour toutes les autres étapes OUs nécessitant ces autorisations.
Si vous déléguez des autorisations à un groupe, créez un utilisateur ou un compte de service avec un mot de passe fort et ajoutez ce compte au groupe. Ce compte aura alors les privilèges nécessaires pour connecter vos instances de streaming au répertoire. Utilisez ce compte lors de la création de la configuration de votre répertoire d' WorkSpaces applications.
# Recherche du nom unique d’unité d’organisation
Lorsque vous enregistrez votre domaine Active Directory auprès d' WorkSpaces Applications, vous devez fournir un nom distinctif d'unité organisationnelle (UO). A cet effet, créez une unité d'organisation. Le conteneur Ordinateurs par défaut n'est pas une unité d'organisation et ne peut pas être utilisé par WorkSpaces les applications. La procédure suivante montre comment obtenir ce nom.
**Note**
Le nom unique doit commencer par **OU=** pour pouvoir être utilisé pour des objets ordinateur.
Avant d’effectuer cette procédure, vous devez effectuer les tâches suivantes :
+ Obtenir l’accès à un ordinateur ou à une instance EC2 qui est jointe à votre domaine.
+ Installer le composant logiciel enfichable MMC Utilisateurs et ordinateurs Active Directory. Pour plus d’informations, consultez [Installing or Removing Remote Server Administration Tools for Windows 7](https://technet.microsoft.com/en-us/library/ee449483.aspx) dans la documentation Microsoft.
+ Vous connecter en tant qu’utilisateur du domaine disposant des autorisations appropriées pour lire les propriétés de sécurité des unités d’organisation.
**Pour trouver le nom unique d'une unité d'organisation**
1. Lancez **Utilisateurs et ordinateurs Active Directory** dans votre domaine ou sur votre contrôleur de domaine.
1. Sous **Afficher**, assurez-vous que les **Fonctions avancées** soient activées.
1. Dans le volet de navigation de gauche, sélectionnez la première unité d'organisation à utiliser pour WorkSpaces les objets informatiques des instances de streaming d'applications, ouvrez le menu contextuel (clic droit), puis choisissez **Propriétés**.
1. Choisissez **Éditeur d’attribut**.
1. Sous **Attributs **, pour **distinguishedName**, choisissez **Afficher **.
1. Pour **Valeur**, sélectionnez le nom unique, ouvrez le menu contextuel et choisissez **Copier**.
# Attribution des droits d'administrateur local sur les instances Image Builder
Par défaut, les utilisateurs de domaine Active Directory n'ont pas d'autorisations d'administrateur local sur les instances Image Builder. Vous pouvez attribuer ces droits à l’aide des préférences de stratégie de groupe de votre répertoire, ou manuellement à l’aide du compte d’administrateur local sur une instance Image Builder. L'octroi de droits d'administrateur local à un utilisateur de domaine permet à cet utilisateur d'installer des applications et de créer des images dans un générateur d'images d' WorkSpaces applications.
**Topics**
+ [Utilisation des préférences de stratégie de groupe](group-policy.md)
+ [Utilisation du groupe d'administrateurs local sur l'instance Image Builder](manual-procedure.md)
# Utilisation des préférences de stratégie de groupe
Les préférences de stratégie de groupe peuvent être utilisées pour accorder des droits d'administrateur local aux utilisateurs ou groupes Active Directory, et à tous les objets ordinateur de l'unité d'organisation spécifiée. Les utilisateurs ou groupes Active Directory auxquels vous voulez accorder des autorisations d'administrateur local doivent déjà exister. Pour utiliser les préférences de stratégie de groupe, vous devez tout d'abord effectuer les opérations suivantes :
+ Obtenir l’accès à un ordinateur ou à une instance EC2 qui est jointe à votre domaine.
+ Installer le composant logiciel enfichable MMC GPMC (Console de gestion des stratégies de groupe). Pour plus d’informations, consultez [Installing or Removing Remote Server Administration Tools for Windows 7](https://technet.microsoft.com/en-us/library/ee449483.aspx) dans la documentation Microsoft.
+ Connectez-vous en tant qu'utilisateur du domaine autorisé à créer des objets de stratégie de groupe (GPOs). Lien GPOs vers le lien approprié OUs.
**Pour utiliser les préférences de stratégie de groupe afin d'accorder les autorisations d'administrateur local**
1. Dans votre répertoire ou sur un contrôleur de domaine, ouvrez l’invite de commande en tant qu’administrateur, tapez `gpmc.msc`, puis appuyez sur ENTRÉE.
1. Dans l’arborescence de console de gauche, sélectionnez l’unité d’organisation dans laquelle vous allez créer un nouveau GPO ou utiliser un GPO existant, puis effectuez l’une des actions suivantes :
+ Créez un GPO en ouvrant le menu contextuel (clic droit) et choisissez **Create a GPO in this domain, Link it here.**. Pour **Nom**, fournissez un nom descriptif pour ce GPO.
+ Sélectionner un GPO existant.
1. Ouvrez le menu contextuel de l’objet Stratégie de groupe (GPO), puis choisissez **Modifier**.
1. Dans l'arborescence de la console, choisissez **Configuration de l'ordinateur**, **Préférences**, **Paramètres Windows**, **Paramètres du Panneau de configuration** et **Utilisateurs et groupes locaux**.
1. Sélectionnez les **Utilisateurs et groupes locaux** sélectionnés, ouvrez le menu contextuel, puis choisissez **Nouveau**, **Groupe local**.
1. Pour **Actions**, choisissez **Mettre à jour**.
1. Pour **Nom du groupe**, choisissez **Administrateurs (intégré)**.
1. Sous **Membres**, choisissez **Ajouter…** et spécifiez les utilisateurs ou les groupes Active Directory auxquels affecter les droits d’administrateur local sur l’instance de streaming. Pour **Action**, choisissez **Ajouter à ce groupe**, puis choisissez **OK**.
1. Pour appliquer cet objet de stratégie de groupe à un autre OUs, sélectionnez l'unité d'organisation supplémentaire, ouvrez le menu contextuel et choisissez **Lier un objet de stratégie de groupe existant.**
1. À l’aide du nom de GPO nouveau ou existant que vous avez spécifié à l’étape 2, faites défiler l’écran jusqu’au GPO, puis choisissez **OK**.
1. Répétez les étapes 9 et 10 pour les autres OUs qui devraient bénéficier de cette préférence.
1. Choisissez **OK** pour fermer la boîte de dialogue **Nouvelles propriétés de groupe local**.
1. Choisissez **OK** à nouveau pour fermer la console GPMC.
Pour appliquer la nouvelle préférence au GPO, vous devez arrêter et redémarrer toutes les flottes ou instances Image Builder en cours d'exécution. Les utilisateurs et groupes Active Directory que vous avez spécifiés à l'étape 8 se voient automatiquement accorder les droits d'administrateur local sur les instances Image Builder et flottes de l'unité d'organisation auxquelles le GPO est lié.
# Utilisation du groupe d'administrateurs local sur l'instance Image Builder
Pour accorder aux utilisateurs ou groupes Active Directory les droits d'administrateur local sur votre instance Image Builder, vous pouvez ajouter manuellement ces utilisateurs ou groupes au groupe d'administrateurs local sur l'instance Image Builder. Les instances Image Builder qui sont créées à partir d’images ayant ces droits conservent les mêmes droits.
Les utilisateurs ou groupes Active Directory auxquels vous voulez accorder des droits d'administrateur local doivent déjà exister.
**Pour ajouter des utilisateurs ou groupes Active Directory au groupe d'administrateurs local sur l'instance Image Builder**
1. Ouvrez la console WorkSpaces Applications à l'adresse [https://console.aws.amazon.com/appstream2](https://console.aws.amazon.com/appstream2).
1. Connectez-vous à l'instance Image Builder en mode Administrateur. L’instance Image Builder doit être en cours d’exécution et jointe à un domaine. Pour plus d’informations, consultez [Didacticiel : Installation d'Active Directory](active-directory-directory-setup.md).
1. Choisissez **Démarrer**, **Outils d'administration**, puis double-cliquez sur **Gestion d'ordinateur**.
1. Dans le volet de navigation de gauche, choisissez **Utilisateurs et groupes locaux** et ouvrez le dossier **Groupes**.
1. Ouvrez le groupe **Administrateurs** et choisissez **Ajouter…**.
1. Sélectionnez tous les utilisateurs ou groupes Active Directory auxquels octroyer les droits d'administrateur local et choisissez **OK**. Choisissez **OK** à nouveau pour fermer la fenêtre **Propriétés de l'administrateur**.
1. Fermez Gestion de l'ordinateur.
1. Pour vous connecter en tant qu'utilisateur Active Directory et tester si ce dernier possède les droits d'administrateur local sur l'instance Image Builder, choisissez **Commandes d'administrateur**, **Changer d'utilisateur**, puis entrez les informations d'identification de l'utilisateur approprié.
# Mise à jour du compte de service utilisé pour joindre le domaine
Pour mettre à jour le compte de service utilisé par WorkSpaces Applications pour rejoindre le domaine, nous vous recommandons d'utiliser deux comptes de service distincts pour joindre des générateurs d'images et des flottes à votre domaine Active Directory. L'utilisation de deux comptes de service distincts garantit l'absence d'interruption de service lorsqu'un compte de service doit être mis à jour (par exemple, lorsqu'un mot de passe expire).
**Pour mettre à jour un compte de service**
1. Créez un groupe Active Directory et déléguez les autorisations appropriées au groupe.
1. Ajoutez vos comptes de service au nouveau groupe Active Directory.
1. Si nécessaire, modifiez votre objet WorkSpaces Applications Directory Config en saisissant les informations de connexion du nouveau compte de service.
Une fois le groupe Active Directory configuré avec le nouveau compte de service, toutes les nouvelles opérations d’instance de streaming utilisent le nouveau compte de service, tandis que les opérations d’instance de streaming en cours de traitement continuent d’utiliser l’ancien compte sans interruption.
La période de chevauchement du compte de service est très courte, tout au plus une journée. Elle dure jusqu'à ce que les opérations d'instance de streaming en cours de traitement se terminent. La période de chevauchement est nécessaire, car vous ne devez pas supprimer ou modifier le mot de passe de l’ancien compte de service au cours de cette période au risque de faire échouer les opérations en cours.
# Verrouillage de la session de streaming lorsque l'utilisateur est inactif
WorkSpaces Les applications s'appuient sur un paramètre que vous configurez dans le GPMC pour verrouiller la session de streaming une fois que votre utilisateur est inactif pendant une durée spécifiée. Pour utiliser la console GPMC, vous devez tout d'abord effectuer les opérations suivantes :
+ Obtenir l’accès à un ordinateur ou à une instance EC2 qui est jointe à votre domaine.
+ Installer la console GPMC. Pour plus d’informations, consultez [Installing or Removing Remote Server Administration Tools for Windows 7](https://technet.microsoft.com/en-us/library/ee449483.aspx) dans la documentation Microsoft.
+ Connectez-vous en tant qu'utilisateur du domaine autorisé à créer GPOs. Lien GPOs vers le lien approprié OUs.
**Pour verrouiller automatiquement l'instance de streaming lorsque votre utilisateur est inactif**
1. Dans votre répertoire ou sur un contrôleur de domaine, ouvrez l’invite de commande en tant qu’administrateur, tapez `gpmc.msc`, puis appuyez sur ENTRÉE.
1. Dans l’arborescence de console de gauche, sélectionnez l’unité d’organisation dans laquelle vous allez créer un nouveau GPO ou utiliser un GPO existant, puis effectuez l’une des actions suivantes :
+ Créez un GPO en ouvrant le menu contextuel (clic droit) et choisissez **Create a GPO in this domain, Link it here.**. Pour **Nom**, fournissez un nom descriptif pour ce GPO.
+ Sélectionner un GPO existant.
1. Ouvrez le menu contextuel de l’objet Stratégie de groupe (GPO), puis choisissez **Modifier**.
1. Sous **Configuration utilisateur**, développez **Stratégies**, **Modèles d’administration**, **Panneau de configuration**, puis choisissez **Personnalisation**.
1. Double-cliquez sur **Activer l'écran de veille**.
1. Dans le paramètre de stratégie **Activer l'écran de veille**, choisissez **Activé**.
1. Choisissez **Appliquer**, puis **OK**.
1. Double-cliquez sur **Forcer un écran de veille spécifique**.
1. Dans le paramètre de stratégie **Forcer un écran de veille spécifique**, choisissez **Activé**.
1. Sous **Nom du fichier exécutable de l’écran de veille**, saisissez **scrnsave.scr**. Lorsque ce paramètre est activé, le système affiche un écran de veille noir sur le bureau de l'utilisateur.
1. Choisissez **Appliquer**, puis **OK**.
1. Double-cliquez sur **Un mot de passe protège l’écran de veille**.
1. Dans le paramètre de stratégie **Un mot de passe protège l’écran de veille**, choisissez **Activé**.
1. Choisissez **Appliquer**, puis **OK**.
1. Double-cliquez sur **Dépassement du délai d’expiration de l’écran de veille**.
1. Dans le paramètre de stratégie **Dépassement du délai d’expiration de l’écran de veille**, choisissez **Activé**.
1. Pour **Secondes**, spécifiez la durée pendant laquelle les utilisateurs doivent être inactifs avant que l'écran de veille ne s'applique. Pour définir une durée d'inactivité de 10 minutes, spécifiez 600 secondes.
1. Choisissez **Appliquer**, puis **OK**.
1. Dans l’arborescence de la console, sous **Configuration utilisateur**, développez **Stratégies**, **Modèles d’administration**, **Système**, puis choisissez **Options Ctrl\$1Alt\$1Suppr**.
1. Double-cliquez sur **Supprimer le verrouillage de l'ordinateur**.
1. Dans le paramètre de stratégie **Supprimer le verrouillage de l'ordinateur**, choisissez **Désactivé**.
1. Choisissez **Appliquer**, puis **OK**.
# Modification de la configuration de répertoire
Une fois la configuration d'un répertoire d' WorkSpaces applications créée, vous pouvez la modifier pour ajouter, supprimer ou modifier des unités organisationnelles, mettre à jour le nom d'utilisateur du compte de service ou mettre à jour le mot de passe du compte de service.
**Pour mettre à jour une configuration de répertoire**
1. Ouvrez la console WorkSpaces Applications à l'adresse [https://console.aws.amazon.com/appstream2](https://console.aws.amazon.com/appstream2).
1. Dans le volet de navigation de gauche, choisissez **Configurations de répertoire** et sélectionnez la configuration de répertoire à modifier.
1. Choisissez **Actions**, **Modifier**.
1. Mettez à jour les champs à modifier. Pour en ajouter d'autres OUs, sélectionnez le signe plus (**\$1**) à côté du champ UO le plus haut. Pour supprimer un champ d’unité d’organisation, sélectionnez **x** en regard du champ.
**Note**
Au moins une unité d'organisation est requise. OUs qui sont actuellement utilisés ne peuvent pas être supprimés.
1. Pour enregistrer les modifications, choisissez **Mettre à jour la configuration de répertoire**.
1. Les informations contenues dans l’onglet **Détails** doivent désormais être à jour et prendre en compte les modifications.
Les modifications apportées aux informations d’identification de connexion du compte de service n’affectent pas les opérations d’instance de streaming en cours de traitement. Les nouvelles opérations d’instance de streaming utilisent les informations d’identification mises à jour. Pour plus d’informations, consultez [Mise à jour du compte de service utilisé pour joindre le domaine](active-directory-service-acct.md).
# Suppression d’une configuration de répertoire
Vous pouvez supprimer une configuration de répertoire d' WorkSpaces applications qui n'est plus nécessaire. Les configurations de répertoire qui sont associées à une instance Image Builder ou à une flotte ne peuvent pas être supprimées.
**Pour supprimer une configuration de répertoire**
1. Ouvrez la console WorkSpaces Applications à l'adresse [https://console.aws.amazon.com/appstream2](https://console.aws.amazon.com/appstream2).
1. Dans le volet de navigation de gauche, choisissez **Configurations de répertoire** et sélectionnez la configuration de répertoire à supprimer.
1. Sélectionnez **Actions**, **Supprimer**.
1. Vérifiez le nom dans le message contextuel, puis choisissez **Supprimer**.
1. Choisissez **Mettre à jour la configuration de répertoire**.
# Configuration d' WorkSpaces applications pour utiliser des approbations de domaine
WorkSpaces Les applications prennent en charge les environnements de domaine Active Directory dans lesquels les ressources réseau telles que les serveurs de fichiers, les applications et les objets informatiques résident dans un domaine et les objets utilisateur dans un autre. Le compte de service de domaine utilisé pour les opérations sur les objets informatiques ne doit pas nécessairement se trouver dans le même domaine que les objets informatiques WorkSpaces Applications.
Lors de la création d’une configuration de répertoire, spécifiez un compte de service qui possède les autorisations appropriées pour gérer les objets ordinateur dans le domaine Active Directory où les serveurs de fichiers, les applications, les objets ordinateur et les autres ressources réseau résident.
Vos comptes Active Directory d'utilisateur final doivent avoir les autorisations « Autorisé à authentifier » pour les éléments suivants :
+ WorkSpaces Applications, objets informatiques
+ Contrôleurs de domaine pour le domaine
Pour de plus amples informations, veuillez consulter [Octroi d'autorisations pour la création et la gestion d'objets ordinateur Active Directory](active-directory-permissions.md).
# Gestion des WorkSpaces applications et des objets informatiques dans Active Directory
WorkSpaces Les applications ne suppriment pas les objets informatiques d'Active Directory. Ces objets ordinateur peuvent être facilement identifiés dans votre répertoire. Chaque objet ordinateur du répertoire est créé avec l’attribut `Description`, spécifiant une flotte ou une instance Image Builder, et le nom.
**Exemples de descriptions d’objets ordinateur**
| Type | Nom | Attribut de description |
| --- | --- | --- |
| Flotte | ExampleFleet | `WorkSpaces Applications - fleet:ExampleFleet` |
| Instance Image Builder | ExampleImageBuilder | `WorkSpaces Applications - image-builder:ExampleImageBuilder` |
Vous pouvez identifier et supprimer les objets informatiques inactifs créés par WorkSpaces les applications à l'aide des `dsrm` commandes `dsquery computer` et des commandes suivantes. Pour plus d'informations, consultez [Dsquery computer](https://technet.microsoft.com/en-us/library/cc730720.aspx) et [Dsrm](https://technet.microsoft.com/en-us/library/cc731865.aspx) dans la documentation Microsoft.
La commande `dsquery` identifie les objets ordinateur inactifs sur une période donnée et utilise le format suivant. La `dsquery` commande doit également être exécutée avec le paramètre `-desc "WorkSpaces Applications*"` pour afficher uniquement WorkSpaces les objets Applications.
```
dsquery computer "OU-distinguished-name" -desc "WorkSpaces Applications*" -inactive number-of-weeks-since-last-login
```
+ `OU-distinguished-name` est le nom unique de l'unité d'organisation. Pour de plus amples informations, veuillez consulter [Recherche du nom unique d’unité d’organisation](active-directory-oudn.md). Si vous ne fournissez pas le *OU-distinguished-name* paramètre, la commande effectue une recherche dans l'ensemble du répertoire.
+ `number-of-weeks-since-last-log-in` est la valeur souhaitée en fonction de la façon dont vous souhaitez définir l'inactivité.
Par exemple, la commande suivante affiche tous les objets ordinateur de l'unité d'organisation `OU=ExampleOU,DC=EXAMPLECO,DC=COM` qui ne se sont pas connectés au cours des deux dernières semaines.
```
dsquery computer OU=ExampleOU,DC=EXAMPLECO,DC=COM -desc "WorkSpaces Applications*" -inactive 2
```
Si aucune correspondance n'est détectée, le résultat est un ou plusieurs noms d'objet. La commande `dsrm` supprime l'objet spécifié et utilise le format suivant :
```
dsrm objectname
```
Où `objectname` est le nom d'objet complet de la sortie de la commande `dsquery`. Par exemple, si la `dsquery` commande ci-dessus génère un objet informatique nommé ExampleComputer « », la `dsrm` commande pour le supprimer sera la suivante :
```
dsrm "CN=ExampleComputer,OU=ExampleOU,DC=EXAMPLECO,DC=COM"
```
Vous pouvez enchaîner ces commandes à l’aide de l’opérateur barre verticale (`|`). Par exemple, pour supprimer tous les objets informatiques WorkSpaces Applications, en demandant une confirmation pour chacun, utilisez le format suivant. Ajoutez le paramètre `-noprompt` à `dsrm` pour désactiver la confirmation.
```
dsquery computer OU-distinguished-name -desc "WorkSpaces Applications*" –inactive number-of-weeks-since-last-log-in | dsrm
```