Dépannage d’Active Directory - Amazon AppStream 2.0
Mes créateurs d'images et mes instances de flotte sont bloqués dans l'PENDINGÉtat.Mes utilisateurs ne sont pas en mesure de se connecter à l'SAMLapplication.Mes instances de flotte fonctionnent pour un utilisateur mais ne fluctuent pas correctement.Mes objets de stratégie de groupe d’utilisateur ne sont pas appliqués correctement.Mes instances de streaming AppStream 2.0 ne rejoignent pas le domaine Active Directory.La connexion utilisateur met longtemps à aboutir sur une session de streaming jointe à un domaine.Mes utilisateurs ne peuvent pas accéder à une ressource de domaine dans une session de streaming jointe à un domaine, mais ils peuvent accéder à la ressource depuis une instance Image Builder jointe à un domaine.Mes utilisateurs reçoivent le message d’erreur « Authentification basée sur un certificat non disponible » et sont invités à saisir le mot de passe de leur domaine. Les utilisateurs reçoivent également le message d’erreur « Déconnecté de la session » lorsqu’ils démarrent une session activée avec une authentification par certificat.Je rencontre des échecs de jointure de domaine après avoir modifié le compte de service Active Directory (AD).

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Dépannage d’Active Directory

Les problèmes suivants peuvent survenir lors de la configuration et de l'utilisation d'Active Directory avec Amazon AppStream 2.0. Pour vous aider au dépannage des codes de notification, consultez Dépannage des codes de notification.

Mes créateurs d'images et mes instances de flotte sont bloqués dans l'PENDINGÉtat.

Jusqu’à 25 minutes peuvent être nécessaires pour que les instances Image Builder et les instances de flotte passent à l’état « ready » et deviennent disponibles. Si vos instances mettent plus de 25 minutes à être disponibles, dans Active Directory, vérifiez si de nouveaux objets informatiques ont été créés dans les unités organisationnelles appropriées (OUs). Si de nouveaux objets ont été ajoutés, les instances de streaming seront bientôt disponibles. Si les objets ne s'y trouvent pas, vérifiez les détails de configuration du répertoire dans votre configuration de répertoire AppStream 2.0 : nom du répertoire (nom de domaine complet de l'annuaire), informations d'identification du compte de service et nom distinctif de l'unité d'organisation.

Les erreurs du générateur d'images et du parc sont affichées dans la console AppStream 2.0 sous l'onglet Notifications du parc ou du générateur d'images. Les erreurs de flotte sont également disponibles à l'aide de la AppStream version 2.0 API via l'DescribeFleetsopération ou la CLI commande describe-fleets.

Mes utilisateurs ne sont pas en mesure de se connecter à l'SAMLapplication.

AppStream La version 2.0 s'appuie sur l'attribut SAML _Subject « NameID » de votre fournisseur d'identité pour remplir le champ du nom d'utilisateur afin de connecter votre utilisateur. Le nom d'utilisateur peut être au format « domain\username » ou « user@domain.com ». Si vous utilisez le format « domain\username », il domain peut s'agir du BIOS nom du réseau ou du nom de domaine complet. Si vous utilisez le format user@domain.com « », l' UserPrincipalName attribut peut être utilisé. Si vous avez vérifié que votre attribut SAML _Subject est correctement configuré et que le problème persiste, contactez AWS Support. Pour plus d’informations, consultez le Centre AWS Support.

Mes instances de flotte fonctionnent pour un utilisateur mais ne fluctuent pas correctement.

Les instances de flotte fluctuent lorsqu’un utilisateur termine une session, garantissant ainsi que chaque utilisateur dispose d’une nouvelle instance. Lorsque l’instance d’une flotte fluctuée est mise en ligne, elle se joint au domaine à l’aide du nom de l’ordinateur de l’instance précédente. Pour vous assurer que cette opération se déroule avec succès, le compte de service requiert les autorisations Modifier le mot de passe et Réinitialiser le mot de passe pour l'unité d'organisation (OU) à laquelle se joint l'objet ordinateur. Vérifiez les autorisations de compte de service et réessayez. Si le problème persiste, contactez AWS Support. Pour plus d’informations, consultez le Centre AWS Support.

Mes objets de stratégie de groupe d’utilisateur ne sont pas appliqués correctement.

Par défaut, les objets ordinateur appliquent des stratégies au niveau de l'ordinateur en fonction de l'UO dans laquelle réside l'objet ordinateur, tout en appliquant des stratégies au niveau de l'utilisateur en fonction de l'UO dans laquelle réside l'utilisateur. Si vos stratégies au niveau de l'utilisateur ne sont pas appliquées, vous pouvez procéder de l'une des manières suivantes :

  • Déplacez les stratégies au niveau de l'utilisateur vers l'UO dans laquelle réside l'objet Active Directory de l'utilisateur

  • Activez le traitement de rebouclage au niveau de l'ordinateur, qui applique les stratégies au niveau de l'utilisateur dans l'UO de l'objet ordinateur.

Pour plus d'informations, consultez Loopback processing of Group Policy de Microsoft Support.

Mes instances de streaming AppStream 2.0 ne rejoignent pas le domaine Active Directory.

Le domaine Active Directory à utiliser avec AppStream 2.0 doit être accessible via son nom de domaine complet (FQDN) via le nom de domaine VPC dans lequel vos instances de streaming sont lancées.

Pour vérifier que le domaine est accessible

  1. Lancez une EC2 instance Amazon dans le même VPC sous-réseau et les mêmes groupes de sécurité que ceux que vous utilisez avec la AppStream version 2.0.

  2. Joignez manuellement l'EC2instance à votre domaine Active Directory en utilisant FQDN (par exemple,yourdomain.example.com) avec le compte de service que vous souhaitez utiliser avec la AppStream version 2.0. Utilisez la commande suivante dans une PowerShell console Windows :

    netdom join computer /domain:FQDN /OU:path /ud:user /pd:password

    Si la jonction manuelle échoue, passez à l’étape suivante.

  3. Si vous ne pouvez pas rejoindre manuellement votre domaine, ouvrez une invite de commande et vérifiez que vous pouvez résoudre le problème à l'FQDNaide de la nslookup commande. Par exemple :

    nslookup yourdomain.exampleco.com

    Si la résolution du nom se déroule avec succès, une adresse IP valide est renvoyée. Si vous ne parvenez pas à résoudre votre problèmeFQDN, vous devrez peut-être mettre à jour vos VPC DNS serveurs à l'aide d'une DHCP option définie pour votre domaine. Revenez ensuite à cette étape. Pour plus d'informations, consultez la section Ensembles DHCP d'options dans le guide de VPC l'utilisateur Amazon.

  4. Si le problème FQDN est résolu, utilisez la telnet commande pour valider la connectivité.

    telnet yourdomain.exampleco.com 389

    Une connexion réussie déclenche l'affichage d'une fenêtre d'invite de commande vide sans aucune erreur de connexion. Il se peut que vous deviez installer la fonctionnalité du client Telnet sur votre EC2 instance. Pour plus d'informations, consultez Install Telnet Client dans la documentation Microsoft.

Si vous n'êtes pas parvenu à joindre manuellement l'EC2instance à votre domaine, mais que vous avez réussi à résoudre le problème FQDN et à tester la connectivité avec le client Telnet, vos groupes de VPC sécurité bloquent peut-être l'accès. Active Directory requiert certains paramètres de port réseau. Pour plus d'informations, consultez Active Directory and Active Directory Domain Services Port Requirements dans la documentation Microsoft.

La connexion utilisateur met longtemps à aboutir sur une session de streaming jointe à un domaine.

AppStream 2.0 exécute une action de connexion Windows une fois que les utilisateurs ont fourni leur mot de passe de domaine. Une fois l'authentification réussie, la AppStream version 2.0 lance l'application. Les délais de connexion et de lancement sont affectés par de nombreuses variables, telles que la contention du réseau pour les contrôleurs de domaine ou le temps nécessaire à l'application des paramètres de stratégie de groupe à l'instance de streaming. Si l'authentification du domaine prend trop de temps, essayez les actions suivantes.

  • Minimisez la latence du réseau entre votre région AppStream 2.0 et vos contrôleurs de domaine en choisissant les bons contrôleurs de domaine. Par exemple, si votre flotte est dans la région us-east-1, utilisez des contrôleurs de domaine avec une bande passante élevée et une faible latence vers us-east-1 via les mappages de zones des sites et services Active Directory. Pour plus d'informations, consultez la section Active Directory Sites and Services dans la documentation Microsoft.

  • Assurez-vous que l'application ou l'exécution de vos paramètres de stratégie de groupe et de vos scripts de votre connexion utilisateur n'est pas trop lente.

Si la connexion des utilisateurs de votre domaine à la AppStream version 2.0 échoue avec le message « Une erreur inconnue s'est produite », vous devrez peut-être mettre à jour les paramètres de stratégie de groupe décrits dansAvant de commencer à utiliser Active Directory avec Amazon AppStream 2.0. Dans le cas contraire, ces paramètres risquent d'empêcher la AppStream version 2.0 d'authentifier et de connecter les utilisateurs de votre domaine.

Mes utilisateurs ne peuvent pas accéder à une ressource de domaine dans une session de streaming jointe à un domaine, mais ils peuvent accéder à la ressource depuis une instance Image Builder jointe à un domaine.

Vérifiez que votre flotte est créée dans les mêmes VPC sous-réseaux et groupes de sécurité que votre générateur d'images, et que votre utilisateur dispose des autorisations requises pour accéder à la ressource du domaine et l'utiliser.

Mes utilisateurs reçoivent le message d’erreur « Authentification basée sur un certificat non disponible » et sont invités à saisir le mot de passe de leur domaine. Les utilisateurs reçoivent également le message d’erreur « Déconnecté de la session » lorsqu’ils démarrent une session activée avec une authentification par certificat.

Ces erreurs se produisent si l’authentification par certificat a échoué pendant la session. L’erreur « Authentification par certificat non disponible » s’affiche lorsque l’authentification par certificat est activée pour permettre le retour à la connexion par mot de passe. L’erreur « Déconnecté de la session » s’affiche lorsque l’authentification par certificat est activée sans solution de secours.

L’utilisateur peut actualiser la page sur le client Web ou se reconnecter depuis le client pour Windows, car il peut s’agir d’un problème intermittent lié à l’authentification par certificat. Si le problème persiste, l’échec de l’authentification par certificat peut être dû à l’un des problèmes suivants :

  • AppStream 2.0 n'a pas pu communiquer avec l'autorité de certification AWS AWS privée ou l'autorité de certification privée n'a pas émis le certificat. Vérifiez CloudTrail si un certificat a été émis. Pour plus d'informations, voir Qu'est-ce que c'est AWS CloudTrail ? etGérer l’authentification par certificat.

  • Le contrôleur de domaine ne possède aucun certificat de contrôleur de domaine pour l’ouverture de session par carte à puce, ou le certificat a expiré. Pour plus d’informations, consultez l’étape 7.a dans Prérequis.

  • Le certificat n’est pas fiable. Pour plus d’informations, consultez l’étape 7.c dans Prérequis.

  • Le userPrincipalName format du SAML _Subject NameID n'est pas correctement formaté ou ne correspond pas au domaine réel de l'utilisateur. Pour plus d’informations, consultez l’étape 1 dans Prérequis.

  • L' ObjectSid attribut (facultatif) de votre SAML assertion ne correspond pas à l'identifiant de sécurité Active Directory (SID) de l'utilisateur spécifié dans le SAML _Subject NameID. Vérifiez que le mappage des attributs est correct dans votre SAML fédération et que votre fournisseur SAML d'identité synchronise l'SIDattribut pour l'utilisateur Active Directory.

  • L'agent AppStream 2.0 ne prend pas en charge l'authentification basée sur des certificats. Utilisez la version de l'agent AppStream 2.0 10-13-2022 ou ultérieure.

  • Certains paramètres de stratégie de groupe modifient les paramètres Active Directory par défaut pour l’ouverture de session par carte à puce, ou prennent des mesures si une carte à puce est retirée d’un lecteur de carte. Ces paramètres peuvent entraîner un comportement inattendu en plus des erreurs répertoriées ci-dessus. L’authentification par certificat présente une carte à puce virtuelle au système d’exploitation de l’instance, et la supprime une fois la connexion effectuée. Pour plus d’informations, consultez Primary Group Policy settings for smart cards et Additional smart card Group Policy settings and registry keys. N’activez pas la connexion par carte à puce d’Active Directory dans la pile si vous souhaitez utiliser l’authentification par certificat. Pour de plus amples informations, veuillez consulter Cartes à puce.

  • Le point CRL de distribution de l'autorité de certification privée n'est pas en ligne ni accessible depuis l'instance de flotte AppStream 2.0 ou depuis le contrôleur de domaine. Pour plus d'informations, consultez l'étape 5 de la rubrique Prérequis.

Les étapes de résolution des problèmes supplémentaires impliquent l'examen des journaux d'événements Windows de l'instance AppStream 2.0. Un événement courant à examiner en cas d’échec de connexion est le suivant : 4625(F): An account failed to log on. Pour plus d’informations sur la capture des informations du journal, consultez Persisting application and Windows event logs. Pour résoudre les problèmes liés à une session AppStream 2.0 active en tant qu'administrateur, vous pouvez également vous connecter aux journaux à l'aide d'un observateur d'événements sur un autre ordinateur. Pour plus d’informations, consultez How to Select Computers in Event Viewer. Vous pouvez également vous connecter en utilisant Remote Desktop pour vous connecter à l'adresse IP privée de l'instance depuis un autre ordinateur capable de se connecter aux Remote Desktop Services dans votre cloud privé AppStream virtuel 2.0 (VPC). Utilisez le AWS CLI pour déterminer l'adresse IP de la session en fonction de la AWS région, du nom de la pile AppStream 2.0, du nom du parc, de l'ID utilisateur et du type d'authentification. Pour plus d'informations, consultez le AWS Command Line Interface.

Si le problème persiste, contactez AWS Support. Pour plus d’informations, consultez le Centre AWS Support.

Je rencontre des échecs de jointure de domaine après avoir modifié le compte de service Active Directory (AD).

Si vous possédez un parc existant avec une image basée sur la mise à jour du système d'exploitation Microsoft Windows Server d'août 2024, et si vous modifiez votre compte de service Active Directory (AD) pour ce parc, vos instances de flotte risquent de rencontrer des échecs de jointure de domaine lors du provisionnement.

Microsoft a publié un correctif KB5020276, qui modifie le comportement des opérations de jointure de domaines. AppStream La version 2.0 réutilise les objets informatiques existants lorsque vous associez vos instances de streaming à vos domaines AD. Cet objet informatique est généré à l'aide du compte de service AD que vous fournissez lorsque vous créez une configuration de flotte ou de répertoire avec la AppStream version 2.0. Avant ce correctif Microsoft, les nouveaux comptes de service AD pouvaient réutiliser les objets informatiques existants créés par la AppStream version 2.0, à condition que les autorisations « Créer un objet informatique » soient configurées dans l'unité organisationnelle (UO).

Lorsque le correctif Microsoft sera appliqué, à compter du 13 août 2024, et si vous modifiez votre compte de service AD pour un parc AppStream 2.0 existant, le nouveau compte de service ne sera plus en mesure de réutiliser les objets informatiques existants dans l'AD. Cela entraîne des échecs de jointure de domaine sur les flottes AppStream 2.0, avec l'un des messages d'erreur suivants dans les notifications de flotte :

  • DOMAIN_ JOIN _ INTERNAL _ SERVICE _ ERROR « Le nom du groupe est introuvable. »

  • Un compte portant le même nom existe dans Active Directory. La réutilisation du compte a été bloquée par la politique de sécurité

Pour contrôler quel compte peut réutiliser les objets informatiques existants, Microsoft a implémenté un nouveau paramètre de stratégie de groupe appelé Contrôleur de domaine : autoriser la réutilisation du compte d'ordinateur lors de la jonction de domaine. Ce paramètre vous permet de spécifier une liste de comptes de service fiables qui contournent la vérification lors de l'opération de jonction de domaine. Pour votre configuration AD autogérée, nous vous recommandons de suivre les étapes documentées par Microsoft pour ajouter votre compte de service AD à la nouvelle politique de liste d'autorisation, en utilisant les politiques de groupe sur un contrôleur de domaine.

Pour Managed Active Directory (MAD), vous devez redémarrer votre parc AppStream 2.0 après avoir apporté des modifications à votre compte de service de jonction de domaine AppStream 2.0.

Si le problème persiste, contactez AWS Support. Pour plus d’informations, consultez le Centre AWS Support.