View a markdown version of this page

Dépannage d’Active Directory - WorkSpaces Applications Amazon
Mes instances Image Builder et instances de flotte sont bloquées à l'état PENDING.Mes utilisateurs ne sont pas en mesure de se connecter à l'application SAML.Mes instances de flotte fonctionnent pour un utilisateur mais ne fluctuent pas correctement.Mes objets de stratégie de groupe d’utilisateur ne sont pas appliqués correctement.Les instances de streaming de My WorkSpaces Applications ne rejoignent pas le domaine Active Directory.La connexion utilisateur met longtemps à aboutir sur une session de streaming jointe à un domaine.Mes utilisateurs ne peuvent pas accéder à une ressource de domaine dans une session de streaming jointe à un domaine, mais ils peuvent accéder à la ressource depuis une instance Image Builder jointe à un domaine.Mes utilisateurs reçoivent le message d'erreur « Certificate-Based  Authentification non disponible » et sont invités à saisir le mot de passe de leur domaine. Les utilisateurs reçoivent également le message d’erreur « Déconnecté de la session » lorsqu’ils démarrent une session activée avec une authentification par certificat.Je rencontre des échecs de jointure de domaine après avoir modifié le compte de service Active Directory (AD).

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Dépannage d’Active Directory

Les problèmes suivants peuvent survenir lors de la configuration et de l'utilisation d'Active Directory avec Amazon WorkSpaces Applications. Pour vous aider au dépannage des codes de notification, consultez Dépannage des codes de notification.

Mes instances Image Builder et instances de flotte sont bloquées à l'état PENDING.

Jusqu’à 25 minutes peuvent être nécessaires pour que les instances Image Builder et les instances de flotte passent à l’état « ready » et deviennent disponibles. Si plus de 25 minutes sont nécessaires pour que vos instances deviennent disponibles, vérifiez Active Directory. De nouveaux objets ordinateur ont peut-être été créés dans les unités d'organisation appropriées. Si de nouveaux objets ont été ajoutés, les instances de streaming seront bientôt disponibles. Si les objets ne s'y trouvent pas, vérifiez les détails de configuration du répertoire dans la configuration de votre répertoire d' WorkSpaces applications : nom du répertoire (nom de domaine complet de l'annuaire, informations de connexion au compte de service et nom distinctif de l'unité d'organisation).

Les erreurs liées au générateur d'images et à la flotte sont affichées dans la console WorkSpaces Applications, dans l'onglet Notifications de la flotte ou du générateur d'images. Les erreurs de flotte sont également disponibles à l'aide de l'API WorkSpaces Applications via l'DescribeFleetsopération ou la commande CLI describe-fleets.

Mes utilisateurs ne sont pas en mesure de se connecter à l'application SAML.

WorkSpaces Les applications s'appuient sur l'attribut « NameID » SAML_Subject de votre fournisseur d'identité pour renseigner le champ du nom d'utilisateur afin de connecter votre utilisateur. Le nom d'utilisateur peut être au format « domain\username » ou « user@domain.com ». Si vous utilisez le format « domain\username », domain peut être le nom NetBIOS ou le nom de domaine complet qualifié. Si vous utilisez le format user@domain.com « », l' UserPrincipalName attribut peut être utilisé. Si vous avez vérifié que l’attribut SAML_Subject est correctement configuré et que le problème persiste, veuillez contacter AWS Support. Pour plus d’informations, consultez le Centre AWS Support.

Mes instances de flotte fonctionnent pour un utilisateur mais ne fluctuent pas correctement.

Les instances de flotte fluctuent lorsqu’un utilisateur termine une session, garantissant ainsi que chaque utilisateur dispose d’une nouvelle instance. Lorsque l’instance d’une flotte fluctuée est mise en ligne, elle se joint au domaine à l’aide du nom de l’ordinateur de l’instance précédente. Pour vous assurer que cette opération se déroule avec succès, le compte de service requiert les autorisations Modifier le mot de passe et Réinitialiser le mot de passe pour l'unité d'organisation (OU) à laquelle se joint l'objet ordinateur. Vérifiez les autorisations de compte de service et réessayez. Si le problème persiste, contactez AWS Support. Pour plus d’informations, consultez le Centre AWS Support.

Mes objets de stratégie de groupe d’utilisateur ne sont pas appliqués correctement.

Par défaut, les objets ordinateur appliquent des stratégies au niveau de l'ordinateur en fonction de l'UO dans laquelle réside l'objet ordinateur, tout en appliquant des stratégies au niveau de l'utilisateur en fonction de l'UO dans laquelle réside l'utilisateur. Si vos stratégies au niveau de l'utilisateur ne sont pas appliquées, vous pouvez procéder de l'une des manières suivantes :

  • Déplacez les stratégies au niveau de l'utilisateur vers l'UO dans laquelle réside l'objet Active Directory de l'utilisateur

  • Activez le traitement de rebouclage au niveau de l'ordinateur, qui applique les stratégies au niveau de l'utilisateur dans l'UO de l'objet ordinateur.

Pour plus d'informations, consultez Loopback processing of Group Policy de Microsoft Support.

Les instances de streaming de My WorkSpaces Applications ne rejoignent pas le domaine Active Directory.

Le domaine Active Directory à utiliser avec WorkSpaces les applications doit être accessible via son nom de domaine complet (FQDN) via le VPC dans lequel vos instances de streaming sont lancées.

Pour vérifier que le domaine est accessible

  1. Lancez une instance Amazon EC2 dans le même VPC, le même sous-réseau et les mêmes groupes de sécurité que ceux que vous utilisez avec les applications. WorkSpaces

  2. Joignez manuellement l'instance EC2 à votre domaine Active Directory en utilisant le nom de domaine complet (par exempleyourdomain.example.com) avec le compte de service que vous avez l'intention d'utiliser avec WorkSpaces les applications. Utilisez la commande suivante dans une PowerShell console Windows :

    netdom join computer /domain:FQDN /OU:path /ud:user /pd:password

    Si la jonction manuelle échoue, passez à l’étape suivante.

  3. Si vous ne pouvez pas joindre manuellement le domaine, ouvrez une invite de commande et vérifiez si vous pouvez résoudre le FQDN à l’aide de la commande nslookup. Par exemple :

    nslookup yourdomain.exampleco.com

    Si la résolution du nom se déroule avec succès, une adresse IP valide est renvoyée. Si vous n’êtes pas en mesure de résoudre le FQDN,, vous devrez peut-être mettre à jour les serveurs DNS VPC en utilisant un jeu d’options DHCP pour votre domaine. Revenez ensuite à cette étape. Pour en savoir plus, consultez Jeux d'options DHCP dans le Guide de l'utilisateur Amazon VPC.

  4. Si le nom de domaine complet (FQDN) est résolu, utilisez la commande telnet pour valider la connectivité.

    telnet yourdomain.exampleco.com 389

    Une connexion réussie déclenche l'affichage d'une fenêtre d'invite de commande vide sans aucune erreur de connexion. Vous devrez peut-être installer la fonction du client Telnet sur votre instance EC2. Pour plus d'informations, consultez Install Telnet Client dans la documentation Microsoft.

Si vous n'avez pas réussi à joindre manuellement l'instance EC2 à votre domaine, mais avez réussi à résoudre le FQDN et à tester la connectivité avec le client Telnet, vos groupes de sécurité VPC empêchent probablement l'accès. Active Directory requiert certains paramètres de port réseau. Pour plus d'informations, consultez Active Directory and Active Directory Domain Services Port Requirements dans la documentation Microsoft.

La connexion utilisateur met longtemps à aboutir sur une session de streaming jointe à un domaine.

WorkSpaces Les applications effectuent une action de connexion Windows une fois que les utilisateurs ont fourni leur mot de passe de domaine. Une fois l'authentification réussie, WorkSpaces Applications lance l'application. Les délais de connexion et de lancement sont affectés par de nombreuses variables, telles que la contention du réseau pour les contrôleurs de domaine ou le temps nécessaire à l'application des paramètres de stratégie de groupe à l'instance de streaming. Si l'authentification du domaine prend trop de temps, essayez les actions suivantes.

  • Minimisez la latence réseau entre votre région d' WorkSpaces applications et vos contrôleurs de domaine en choisissant les contrôleurs de domaine appropriés. Par exemple, si votre flotte est dans la région us-east-1, utilisez des contrôleurs de domaine avec une bande passante élevée et une faible latence vers us-east-1 via les mappages de zones des sites et services Active Directory. Pour plus d'informations, consultez la section Active Directory Sites and Services dans la documentation Microsoft.

  • Assurez-vous que l'application ou l'exécution de vos paramètres de stratégie de groupe et de vos scripts de votre connexion utilisateur n'est pas trop lente.

Si la connexion des utilisateurs de votre domaine aux WorkSpaces applications échoue avec le message « Une erreur inconnue s'est produite », vous devrez peut-être mettre à jour les paramètres de stratégie de groupe décrits dansAvant de commencer à utiliser Active Directory avec Amazon WorkSpaces Applications. Dans le cas contraire, ces paramètres peuvent empêcher WorkSpaces les applications d'authentifier et de connecter les utilisateurs de votre domaine.

Mes utilisateurs ne peuvent pas accéder à une ressource de domaine dans une session de streaming jointe à un domaine, mais ils peuvent accéder à la ressource depuis une instance Image Builder jointe à un domaine.

Confirmez que votre flotte est créée dans les mêmes VPC, sous-réseaux et groupes de sécurité que votre instance Image Builder et que l'utilisateur dispose des autorisations appropriées pour accéder à la ressource de domaine et l'utiliser.

Mes utilisateurs reçoivent le message d'erreur « Certificate-Based  Authentification non disponible » et sont invités à saisir le mot de passe de leur domaine. Les utilisateurs reçoivent également le message d’erreur « Déconnecté de la session » lorsqu’ils démarrent une session activée avec une authentification par certificat.

Ces erreurs se produisent si l’authentification par certificat a échoué pendant la session. L'erreur « Certificate-Based  Authentification non disponible » s'affiche lorsque l'authentification par certificat est activée pour permettre le retour à la connexion par mot de passe. L’erreur « Déconnecté de la session » s’affiche lorsque l’authentification par certificat est activée sans solution de secours.

L’utilisateur peut actualiser la page sur le client Web ou se reconnecter depuis le client pour Windows, car il peut s’agir d’un problème intermittent lié à l’authentification par certificat. Si le problème persiste, l’échec de l’authentification par certificat peut être dû à l’un des problèmes suivants :

  • WorkSpaces Les applications n'ont pas pu communiquer avec AWS Private CA, ou AWS Private CA n'a pas émis le certificat. Vérifiez CloudTrail si un certificat a été émis. Pour plus d'informations, voir Qu'est-ce que c'est AWS CloudTrail ? etGérer Certificate-based l'authentification.

  • Le contrôleur de domaine ne possède aucun certificat de contrôleur de domaine pour l’ouverture de session par carte à puce, ou le certificat a expiré. Pour plus d’informations, consultez l’étape 7.a dans Conditions préalables.

  • Le certificat n’est pas fiable. Pour plus d’informations, consultez l’étape 7.c dans Conditions préalables.

  • Le PrincipalName format utilisateur du SAML_Subject NameID n'est pas correctement formaté ou ne correspond pas au domaine réel de l'utilisateur. Pour plus d’informations, consultez l’étape 1 dans Conditions préalables.

  • L' ObjectSid attribut (facultatif) de votre assertion SAML ne correspond pas à l'identifiant de sécurité (SID) Active Directory de l'utilisateur spécifié dans le SAML_Subject NameID. Vérifiez que le mappage des attributs est correct dans votre fédération SAML et que votre fournisseur d’identité SAML synchronise l’attribut SID de l’utilisateur Active Directory.

  • L'agent WorkSpaces d'applications ne prend pas en charge l'authentification basée sur les certificats. Utilisez la version 10-13-2022 ou ultérieure de l'agent WorkSpaces Applications.

  • Certains paramètres de stratégie de groupe modifient les paramètres Active Directory par défaut pour l’ouverture de session par carte à puce, ou prennent des mesures si une carte à puce est retirée d’un lecteur de carte. Ces paramètres peuvent entraîner d'autres comportements inattendus autres que les erreurs répertoriées ci-dessus. Certificate-basedL'authentification présente une carte à puce virtuelle au système d'exploitation de l'instance et la supprime une fois la connexion terminée. Pour plus d’informations, consultez Primary Group Policy settings for smart cards et Additional smart card Group Policy settings and registry keys. N’activez pas la connexion par carte à puce d’Active Directory dans la pile si vous souhaitez utiliser l’authentification par certificat. Pour de plus amples informations, veuillez consulter Cartes à puce.

  • Le point de distribution CRL pour l'autorité de certification privée n'est pas en ligne et n'est pas accessible depuis l'instance du parc d' WorkSpaces applications ou le contrôleur de domaine. Pour plus d'informations, consultez l'étape 5 de la rubrique Conditions préalables.

Les étapes de dépannage supplémentaires impliquent l'examen des journaux d'événements Windows de l'instance d' WorkSpaces applications. Un événement courant à examiner en cas d’échec de connexion est le suivant : 4625(F): An account failed to log on. Pour plus d’informations sur la capture des informations du journal, consultez Persisting application and Windows event logs. Sinon, pour dépanner une session d' WorkSpaces applications active en tant qu'administrateur, vous pouvez vous connecter aux journaux à l'aide d'un Observateur d'événements sur un autre ordinateur. Pour plus d’informations, consultez How to Select Computers in Event Viewer. Vous pouvez également vous connecter en utilisant Remote Desktop pour vous connecter à l'adresse IP privée de l'instance depuis un autre ordinateur qui peut se connecter aux services Remote Desktop dans votre cloud privé WorkSpaces virtuel (VPC) d'applications. Utilisez l' AWS interface de ligne de commande pour déterminer l'adresse IP de la session en fonction de la AWS région, du nom de la pile d' WorkSpaces applications, du nom du parc, de l'ID utilisateur et du type d'authentification. Pour plus d'informations, consultez le AWS Command Line Interface.

Si le problème persiste, contactez AWS Support. Pour plus d’informations, consultez le Centre AWS Support.

Je rencontre des échecs de jointure de domaine après avoir modifié le compte de service Active Directory (AD).

Si vous possédez déjà une flotte dont l'image est basée sur la mise à jour du système d'exploitation Microsoft Windows Server d'août 2024, et si vous modifiez votre compte de service Active Directory (AD) pour cette flotte, les instances de votre parc peuvent rencontrer des échecs de jointure de domaine lors du provisionnement.

Microsoft a publié un correctif KB5020276, qui modifie le comportement des opérations de jointure de domaine. WorkSpaces Les applications réutilisent les objets informatiques existants lorsqu'elles joignent vos instances de streaming à vos domaines AD. Cet objet informatique est généré à l'aide du compte de service AD que vous fournissez lorsque vous créez une flotte ou une configuration de répertoire avec WorkSpaces des applications. Avant ce correctif Microsoft, les nouveaux comptes de service AD pouvaient réutiliser les objets informatiques existants créés par WorkSpaces les applications, à condition que les autorisations « Créer un objet informatique » soient configurées dans l'unité organisationnelle (OU).

Lorsque le correctif Microsoft sera appliqué, à compter du 13 août 2024, et si vous modifiez votre compte de service AD pour un parc d' WorkSpaces applications existant, le nouveau compte de service ne pourra plus réutiliser les objets informatiques existants dans AD. Cela entraîne des échecs de jointure de domaine sur WorkSpaces les flottes d'applications, avec l'un des messages d'erreur suivants dans les notifications de parc :

  • DOMAIN_JOIN_INTERNAL_SERVICE_ERROR « Le nom du groupe est introuvable. »

  • Un compte portant le même nom existe dans Active Directory. Re-using le compte a été bloqué par la politique de sécurité

Pour contrôler quel compte peut réutiliser les objets informatiques existants, Microsoft a mis en place un nouveau paramètre de stratégie de groupe appelé Contrôleur de domaine : Autoriser la réutilisation du compte d'ordinateur lors de la jointure de domaine. Ce paramètre vous permet de spécifier une liste de comptes de service fiables qui contournent la vérification lors de l'opération de jointure de domaine. Pour votre configuration AD autogérée, nous vous recommandons de suivre les étapes documentées par Microsoft pour ajouter votre compte de service AD à la nouvelle politique de liste d'autorisations, à l'aide des stratégies de groupe sur un contrôleur de domaine.

Pour Managed Active Directory (MAD), vous devez redémarrer votre parc d' WorkSpaces applications après avoir apporté des modifications à votre compte de service de jointure de domaine WorkSpaces Applications.

Si le problème persiste, contactez AWS Support. Pour plus d’informations, consultez le Centre AWS Support.