Buat direktori Microsoft Entra ID khusus dengan Personal WorkSpaces

1. Aktifkan Pusat Identitas IAM dengan AWS Organisasi Anda, terutama jika Anda menggunakan lingkungan multi-akun. Anda juga dapat membuat instance akun dari Pusat Identitas IAM. Untuk mempelajari selengkapnya, lihat Meng aktifkan Pusat Identi AWS tas IAM. Setiap WorkSpaces direktori dapat dikaitkan dengan satu instance Pusat Identitas IAM, organisasi, atau akun.

   Jika Anda menggunakan instance organisasi dan mencoba membuat WorkSpaces direktori di salah satu akun anggota, pastikan Anda memiliki izin Pusat Identitas IAM berikut.

   • "sso:DescribeInstance"

   • "sso:CreateApplication"

   • "sso:PutApplicationGrant"

   • "sso:PutApplicationAuthenticationMethod"

   • "sso:DeleteApplication"

   • "sso:DescribeApplication"

   • "sso:getApplicationGrant"

   Untuk informasi selengkapnya, lihat Ringkasan pengelolaan izin akses ke sumber daya Pusat Identitas IAM Anda. Juga, pastikan tidak ada Kebijakan Kontrol Layanan (SCP) yang memblokir izin ini. Untuk mempelajari lebih lanjut tentang SCP, lihat Kebijakan kontrol layanan (SCP).

2. Konfigurasikan Pusat Identitas IAM dan ID Microsoft Entra untuk secara otomatis menyinkronkan pengguna yang dipilih atau semua pengguna dari penyewa ID Entra Anda ke instance Pusat Identitas IAM Anda. Untuk informasi selengkapnya, lihat Meng onfigurasi SAML dan SCIM dengan Microsoft Entra ID dan Pusat Identitas IAM dan Tutorial: Mengkonfigurasi Pusat Identitas AWS IAM untuk penyediaan pengguna otomatis.

3. Verifikasi bahwa pengguna yang Anda konfigurasikan pada Microsoft Entra ID disinkronkan dengan benar ke instance Pusat Identi AWS tas IAM. Jika Anda melihat pesan kesalahan di Microsoft Entra ID, ini menunjukkan bahwa pengguna di Entra ID dikonfigurasi dengan cara yang tidak didukung oleh Pusat Identitas IAM. Pesan kesalahan akan mengidentifikasi masalah ini. Misalnya, jika objek pengguna di Entra ID tidak memiliki nama depan, nama belakang, nama and/or tampilan, Anda akan menerima pesan kesalahan yang mirip "2 validation errors detected: Value at 'name.givenName' failed to satisfy constraint: Member must satisfy regular expression pattern: [\\p{L}\\p{M}\\p{S}\\p{N}\\p{P}\\t\\n\\r ]+; Value at 'name.givenName' failed to satisfy constraint: Member must have length greater than or equal to 1" dengan. Untuk informasi selengkapnya, lihat Pengguna tertentu gagal melakukan sinkronisasi ke Pusat Identitas IAM dari penyedia SCIM eksternal.

Untuk mengkonfigurasi Microsoft Intune untuk Autopilot

1. Masuk ke pusat admin Microsoft Intune

2. Buat grup perangkat Autopilot baru untuk pribadi. WorkSpaces Untuk informasi selengkapnya, lihat Membuat grup perangkat untuk Windows Autopilot.

   1. Pilih Grup, Grup baru

   2. Untuk Jenis grup, pilih Keamanan.

   3. Untuk Jenis Keanggotaan, pilih Perangkat Dinamis.

   4. Pilih Edit kueri dinamis untuk membuat aturan keanggotaan dinamis. Aturannya harus dalam format berikut:

      (device.devicePhysicalIds -any (_ -eq "[OrderID]:WorkSpacesDirectoryName"))

      penting

      WorkSpacesDirectoryNameharus cocok dengan nama direktori direktori Entra ID WorkSpaces Personal yang Anda buat di langkah 5. Ini karena string nama direktori digunakan sebagai tag grup ketika men WorkSpaces daftarkan desktop virtual ke Autopilot. Selain itu, tag grup memetakan ke OrderID atribut pada perangkat Microsoft Entra.

3. Pilih Perangkat, Windows, Pendaftaran. Untuk Opsi Pendaftaran, pilih Pendaf taran Otomatis. Untuk lingkup pengguna MDM pilih Semua.

4. Buat profil penerapan Autopilot. Untuk informasi selengkapnya, lihat Membuat profil penerapan Autopilot.

   1. Untuk Windows Autopilot, pilih Profil penerapan, Buat profil.

   2. Di layar profil penyebaran Windows Autopilot, pilih menu drop-down Create Profile dan kemudian pilih Windows PC.

   3. Di layar Buat profil, pada halaman On the Out-of-box experience (OOBE). Untuk mode Deployment, pilih User-driven. Untuk Gabung ke Microsoft Entra ID, pilih Microsoft Entra bergabung. Anda dapat menyesuaikan nama komputer untuk ID-joined pribadi Entra Anda WorkSpaces dengan memilih Ya untuk Ter apkan templat nama perangkat, untuk membuat templat yang akan digunakan saat menamai perangkat selama pendaftaran.

   4. Pada halaman Tugas, untuk Tet apkan ke, pilih Grup yang dipilih. Pilih Pilih grup untuk disertakan, dan pilih grup perangkat Autopilot yang baru saja Anda buat di 2.

Untuk membuat AWS Secrets Manager Rahasia

1. Buat kunci yang dikelola pelanggan aktif AWS Key Management Service. Kunci nantinya akan digunakan untuk mengenkripsi AWS Secrets Manager rahasia. Jangan gunakan kunci default untuk mengenkripsi rahasia Anda karena kunci default tidak dapat diakses oleh WorkSpaces layanan. Ikuti langkah-langkah di bawah ini untuk membuat kunci.

   1. Buka AWS KMS konsol di https://console.aws.amazon.com/kms.

   2. Untuk mengubah Wilayah AWS, gunakan pemilih Wilayah di sudut kanan atas halaman.

   3. Pilih Buat kunci.

   4. Pada halaman Konfigurasi kunci, untuk Jenis kunci pilih Simetr is. Untuk Penggunaan kunci, pilih Enkripsi dan dekripsi.

   5. Pada halaman Tinjauan, di editor kebijakan kunci, pastikan Anda mengizinkan workspaces.amazonaws.com akses utama WorkSpaces layanan ke kunci dengan menyertakan izin berikut dalam kebijakan kunci.

      {
          "Effect": "Allow",
          "Principal": {
              "Service": [
                  "workspaces.amazonaws.com"
              ]
          },
          "Action": [
              "kms:Decrypt",
              "kms:DescribeKey"
          ],
          "Resource": "*"
       }

2. Buat rahasia AWS Secrets Manager, menggunakan AWS KMS kunci yang dibuat pada langkah sebelumnya.

   1. Buka konsol Secrets Manager di https://console.aws.amazon.com/secretsmanager/.

   2. Pilih Simpan rahasia baru.

   3. Pada halaman Pilih jenis rahasia, untuk Jenis rahasia, pilih Jenis rahasia lainnya.

   4. Untuk Key/value pasangan, di kotak kunci, masukkan “application_id” ke dalam kotak kunci, lalu salin ID aplikasi ID Entra dari Langkah 2 dan tempel ke kotak nilai.

   5. Pilih Tambah baris, di kotak kunci, masukkan “application_password”, lalu salin rahasia klien aplikasi Entra ID dari Langkah 2 dan tempel ke kotak nilai.

   6. Pilih AWS KMS kunci yang Anda buat pada langkah sebelumnya dari daftar drop-down kunci enkripsi.

   7. Pilih Berikutnya.

   8. Pada halaman Konfigurasi rahasia, masukkan nama rahasia dan deskripsi.

   9. Di bagian Izin sumber daya, pilih Edit izin.

   10. Pastikan Anda mengizinkan workspaces.amazonaws.com akses utama WorkSpaces layanan ke rahasia dengan menyertakan kebijakan sumber daya berikut dalam izin sumber daya.

       JSON

       {
         "Version":"2012-10-17",
         "Statement" : [ {
           "Effect" : "Allow",
           "Principal" : {
             "Service" : [ "workspaces.amazonaws.com"]
           },
           "Action" : "secretsmanager:GetSecretValue",
           "Resource" : "*"
         } ]
       }
       

Untuk membuat direktori ID WorkSpaces Entra

1. Buka WorkSpaces konsol di https://console.aws.amazon.com/workspaces/v2/home.

2. Di panel navigasi, pilih Direktori.

3. Pada halaman Buat direktori, untuk WorkSpaces jenis pilih Personal. Untuk manajemen WorkSpace perangkat, pilih Microsoft Entra ID.

4. Untuk ID penyewa Microsoft Entra, masukkan ID penyewa ID Microsoft Entra yang Anda inginkan WorkSpaces untuk bergabung dengan direktori Anda. Anda tidak akan dapat mengubah ID penyewa setelah direktori dibuat.

5. Untuk ID Aplikasi dan kata sandi ID Entra, pilih AWS Secrets Manager rahasia yang Anda buat di Langkah 4 dari daftar drop-down. Anda tidak akan dapat mengubah rahasia yang terkait dengan direktori setelah direktori dibuat. Namun, Anda selalu dapat memperbarui konten rahasia, termasuk ID Aplikasi ID Entra dan kata sandinya melalui AWS Secrets Manager konsol di https://console.aws.amazon.com/secretsmanager/.

6. Jika instance Pusat Identitas IAM Anda berada di Wil AWS ayah yang sama dengan WorkSpaces direktori Anda, untuk Sumber identitas pengguna, pilih instance Pusat Identitas IAM yang Anda konfigurasikan pada Langkah 1 dari daftar dropdown. Anda tidak akan dapat mengubah instance Pusat Identitas IAM yang terkait dengan direktori setelah direktori dibuat.

   Jika instance Pusat Identitas IAM Anda berada di Wilayah yang berbeda AWS dari WorkSpaces direktori Anda, pilih Aktif Cross-Region kan, lalu pilih Wilayah dari daftar dropdown.

   catatan

   Jika Anda memiliki instance Pusat Identitas IAM yang ada di Wilayah yang berbeda, Anda harus ikut serta untuk menyiapkan integrasi Lintas wilayah. Untuk informasi selengkapnya tentang pengaturan lintas wilayah, lihatMembuat integrasi Pusat Identitas IAM Lintas wilayah (opsional).

7. Untuk Nama Direktori, masukkan nama unik untuk direktori (Misalnya,WorkSpacesDirectoryName).

   penting

   Nama direktori harus sesuai dengan yang OrderID digunakan untuk membangun kueri dinamis untuk grup perangkat Autopilot yang Anda buat dengan Microsoft Intune di Langkah 3. String nama direktori digunakan sebagai tag grup saat mendaftarkan pribadi WorkSpaces ke Windows Autopilot. Tag grup memetakan ke OrderID atribut pada perangkat Microsoft Entra.

8. (Opsional) Untuk Deskripsi, masukkan deskripsi untuk direktori.

9. Untuk VPC, pilih VPC yang Anda gunakan untuk meluncurkan. WorkSpaces Untuk informasi selengkapnya, lihat Konfigurasikan VPC untuk Pribadi WorkSpaces.

10. Untuk Subnet, pilih dua subnet VPC Anda yang tidak berasal dari Zona Ketersediaan yang sama. Subnet ini akan digunakan untuk meluncurkan pribadi WorkSpaces Anda. Untuk informasi selengkapnya, lihat Availability Zone untuk WorkSpaces Pribadi.

    penting

    Pastikan yang WorkSpaces diluncurkan di subnet memiliki akses internet, yang diperlukan saat pengguna login ke desktop Windows. Untuk informasi selengkapnya, lihat Menyediakan akses internet untuk WorkSpaces Pribadi.

11. Untuk Konfigurasi, pilih Aktifkan khusus WorkSpace. Anda harus mengaktifkannya untuk membuat direktori Pri WorkSpaces badi khusus untuk meluncurkan Bring Your Own License (BYOL) Windows 10 atau 11 personal WorkSpaces.

    catatan

    Jika Anda tidak melihat WorkSpace opsi Aktifkan khusus di bawah Konfigurasi, akun Anda belum diaktifkan untuk BYOL. Untuk mengaktifkan BYOL untuk akun Anda, lihatBawa lisensi desktop Windows Anda Sendiri WorkSpaces.

12. (Opsional) Untuk Tag, tentukan nilai pasangan kunci yang ingin Anda gunakan untuk pribadi WorkSpaces di direktori.

13. Tinjau ringkasan direktori dan pilih Buat direktori. Dibutuhkan beberapa menit agar direktori Anda terhubung. Status awal dari direktori adalah Creating. Ketika pembuatan direktori selesai, statusnya adalah Active.

Untuk mengkonfigurasi penugasan pengguna untuk aplikasi Pusat Identitas IAM

1. Buka konsol IAM di https://console.aws.amazon.com/iam/.

2. Pada tab AWS aplikasi terkelola, pilih aplikasi untuk WorkSpaces direktori. Nama aplikasi dalam format berikut:WorkSpaces.wsd-xxxxx, di wsd-xxxxx mana ID WorkSpaces direktori.

3. Pilih T ind akan, Edit detail.

4. Ubah metode penugasan Pengguna dan grup dari Tidak memerlukan tugas menjadi Memer lukan tugas.

5. Pilih Simpan perubahan.