WorkSpaces Personal을 사용하여 전용 Microsoft Entra ID 디렉터리 생성

1. 특히 다중 계정 환경을 사용하는 경우 AWS 조직에서 IAM Identity Center를 활성화합니다. IAM Identity Center의 계정 인스턴스를 생성할 수도 있습니다. 자세한 내용은 Identity Center 활성화 AWS IAM를 참조하세요. 각 WorkSpaces 디렉터리는 하나의 IAM Identity Center 인스턴스, 조직 또는 계정과 연결할 수 있습니다.

   조직 인스턴스를 사용하고 멤버 계정 중 하나에 WorkSpaces 디렉터리를 생성하려는 경우 다음 IAM Identity Center 권한이 있는지 확인합니다.

   • "sso:DescribeInstance"

   • "sso:CreateApplication"

   • "sso:PutApplicationGrant"

   • "sso:PutApplicationAuthenticationMethod"

   • "sso:DeleteApplication"

   • "sso:DescribeApplication"

   • "sso:getApplicationGrant"

   자세한 내용은 IAM Identity Center 리소스에 대한 액세스 권한 관리 개요를 참조하세요. 또한 서비스 제어 정책(SCPs)이 이러한 권한을 차단하지 않는지 확인합니다. 에 대한 자세한 내용은 서비스 제어 정책(SCPs)을 SCPs참조하세요.

2. IAM 선택한 사용자 또는 Entra ID 테넌트의 모든 사용자를 Identity Center 인스턴스로 자동으로 동기화하도록 IAM Identity Center 및 Microsoft Entra ID를 구성합니다. 자세한 내용은 Microsoft Entra ID 및 IAM Identity Center를 SCIM 사용한 SAML 구성 및 자습서: 자동 사용자 프로비저닝을 위한 Identity Center 구성을 AWS IAM 참조하세요.

3. Microsoft Entra ID에 구성한 사용자가 Identity Center 인스턴스와 AWS IAM 올바르게 동기화되었는지 확인합니다. Microsoft Entra ID에서 “요청을 확인할 수 없거나, 구문적으로 잘못되었거나, 스키마를 위반합니다”라는 오류 메시지가 표시되면 IAM Identity Center가 지원하지 않는 방식으로 Entra ID의 사용자가 구성되었음을 나타냅니다. 예를 들어 Entra ID의 사용자 객체에는 이름, 성 및/또는 표시 이름이 없습니다. 자세한 내용은 특정 사용자가 외부 SCIM 공급자 에서 IAM Identity Center로 동기화하지 못함을 참조하세요.

Microsoft Intune for Autopilot을 구성하려면

1. Microsoft Intune 관리 센터에 로그인

2. 개인 에 대한 새 Autopilot 디바이스 그룹을 생성합니다 WorkSpaces. 자세한 내용은 Windows Autopilot용 디바이스 그룹 생성을 참조하세요.

   1. 그룹 , 새 그룹 선택

   2. [Group type]에서 [Security]를 선택합니다.

   3. 멤버십 유형 에서 동적 디바이스 를 선택합니다.

   4. 동적 쿼리 편집을 선택하여 동적 멤버십 규칙을 생성합니다. 규칙은 다음 형식이어야 합니다.

      (device.devicePhysicalIds -any (_ -eq "[OrderID]:WorkSpacesDirectoryName"))

      중요

      WorkSpacesDirectoryName 는 5단계에서 생성한 Entra ID WorkSpaces Personal 디렉터리의 디렉터리 이름과 일치해야 합니다. 이는 가 가상 데스크톱을 Autopilot에 등록할 때 WorkSpaces 디렉터리 이름 문자열이 그룹 태그로 사용되기 때문입니다. 또한 그룹 태그는 Microsoft Entra 디바이스의 OrderID 속성에 매핑됩니다.

3. 디바이스 , Windows , 등록 을 선택합니다. 등록 옵션 에서 자동 등록 을 선택합니다. MDM 사용자 범위에서 모두를 선택합니다.

4. Autopilot 배포 프로필을 생성합니다. 자세한 내용은 Autopilot 배포 프로필 생성을 참조하세요.

   1. Windows Autopilot 에서 배포 프로필 , 프로필 생성 을 선택합니다.

   2. Windows Autopilot 배포 프로필 화면에서 프로필 생성 드롭다운 메뉴를 선택한 다음 Windows PC 를 선택합니다.

   3. 프로필 생성 화면의 Out-of-box 환경(OOBE) 페이지에서 배포 모드 에서 사용자 기반 을 선택합니다. Microsoft Entra ID에 조인 에서 Microsoft Entra 조인 을 선택합니다. 디바이스 이름 템플릿 적용 예 를 WorkSpaces 선택하여 Entra ID로 조인된 개인에 대한 컴퓨터 이름을 사용자 지정하여 등록 중에 디바이스 이름을 지정할 때 사용할 템플릿을 생성할 수 있습니다.

   4. 할당 페이지의 에 할당에서 선택한 그룹 을 선택합니다. 포함할 그룹 선택을 선택하고 2에서 방금 생성한 Autopilot 디바이스 그룹을 선택합니다.

AWS Secrets Manager 보안 암호를 생성하려면

1. 에서 고객 관리형 키를 생성합니다AWS Key Management Service. 키는 나중에 AWS Secrets Manager 보안 암호를 암호화하는 데 사용됩니다. 기본 키는 WorkSpaces 서비스에서 액세스할 수 없으므로 기본 키를 사용하여 보안 암호를 암호화하지 마세요. 아래 단계에 따라 키를 생성합니다.

   1. /kms 에서 AWS KMS 콘솔을 엽니다. https://console.aws.amazon.com

   2. 를 변경하려면 페이지 오른쪽 상단의 리전 선택기를 AWS 리전사용합니다.

   3. 키 생성을 선택합니다.

   4. 키 구성 페이지의 키 유형에서 대칭을 선택합니다. 키 사용 에서 암호화 및 복호화를 선택합니다.

   5. 검토 페이지의 키 정책 편집기에서 키 정책에 다음 권한을 포함하여 WorkSpaces 서비스의 보안 주체가 키에 workspaces.amazonaws.com 액세스할 수 있도록 허용해야 합니다.

      {
          "Effect": "Allow",
          "Principal": {
              "Service": [
                  "workspaces.amazonaws.com"
              ]
          },
          "Action": [
              "kms:Decrypt",
              "kms:DescribeKey"
          ],
          "Resource": "*"
       }

2. 이전 단계에서 생성한 AWS KMS 키를 AWS Secrets Manager사용하여 에서 보안 암호를 생성합니다.

   1. 에서 Secrets Manager 콘솔을 엽니다https://console.aws.amazon.com/secretsmanager/.

   2. 새 암호 저장을 선택합니다.

   3. 암호 타입 선택 페이지의 암호 타입에 대해 다른 타입의 암호를 선택합니다.

   4. 키/값 페어 의 경우 키 상자에 “application_id”를 입력한 다음 2단계에서 Entra ID 애플리케이션 ID를 복사하여 값 상자에 붙여 넣습니다.

   5. 행 추가를 선택하고 키 상자에 “application_password”를 입력한 다음 2단계에서 Entra ID 애플리케이션 클라이언트 보안 암호를 복사하여 값 상자에 붙여 넣습니다.

   6. 암호화 AWS KMS 키 드롭다운 목록에서 이전 단계에서 생성한 키를 선택합니다.

   7. Next(다음)를 선택합니다.

   8. 보안 암호 구성 페이지에서 보안 암호 이름 및 설명 을 입력합니다.

   9. 리소스 권한 섹션에서 권한 편집을 선택합니다.

   10. 리소스 권한에 다음 리소스 정책을 포함하여 WorkSpaces 서비스의 보안 암호에 대한 보안 주체 workspaces.amazonaws.com 액세스를 허용해야 합니다.

       {
         "Version" : "2012-10-17",
         "Statement" : [ {
           "Effect" : "Allow",
           "Principal" : {
             "Service" : [ "workspaces.amazonaws.com"]
           },
           "Action" : "secretsmanager:GetSecretValue",
           "Resource" : "*"
         } ]
       }

Entra ID WorkSpaces 디렉터리를 생성하려면

1. 에서 WorkSpaces 콘솔을 엽니다https://console.aws.amazon.com/workspaces/.

2. 탐색 창에서 디렉터리를 선택합니다.

3. 디렉터리 생성 페이지에서 WorkSpaces 유형에 대해 개인 을 선택합니다. WorkSpace 디바이스 관리 에서 Microsoft Entra ID 를 선택합니다.

4. Microsoft Entra 테넌트 ID 에 디렉터리가 조인 WorkSpace 할 Microsoft Entra ID 테넌트 ID를 입력합니다. 디렉터리가 생성된 후에는 테넌트 ID를 변경할 수 없습니다.

5. Entra ID Application ID 및 암호 의 경우 드롭다운 목록에서 4단계에서 생성한 AWS Secrets Manager 보안 암호를 선택합니다. 디렉터리가 생성된 후에는 디렉터리와 연결된 보안 암호를 변경할 수 없습니다. 그러나 의 AWS Secrets Manager 콘솔을 통해 Entra ID 애플리케이션 ID 및 암호를 포함하여 보안 암호의 내용을 항상 업데이트할 수 있습니다https://console.aws.amazon.com/secretsmanager/.

6. 사용자 ID 소스 의 경우 드롭다운 목록에서 1단계에서 구성한 IAM Identity Center 인스턴스를 선택합니다. 디렉터리가 생성된 후에는 디렉터리와 연결된 IAM Identity Center 인스턴스를 변경할 수 없습니다.

7. 디렉터리 이름 에 디렉터리의 고유한 이름(예: )을 입력합니다WorkSpacesDirectoryName.

   중요

   디렉터리 이름은 3단계에서 Microsoft Intune으로 생성한 Autopilot 디바이스 그룹에 대한 동적 쿼리를 구성하는 데 OrderID 사용되는 와 일치해야 합니다. 디렉터리 이름 문자열은 개인을 Windows Autopilot WorkSpaces 에 등록할 때 그룹 태그로 사용됩니다. 그룹 태그는 Microsoft Entra 디바이스의 OrderID 속성에 매핑됩니다.

8. (선택 사항) 설명에 디렉터리에 대한 설명을 입력합니다.

9. 에서 를 시작하는 데 VPC 사용한 를 VPC선택합니다 WorkSpaces. 자세한 내용은 WorkSpaces 개인VPC용 구성 단원을 참조하십시오.

10. 서브넷 에서 동일한 가용 영역에 속하지 VPC 않은 의 서브넷 두 개를 선택합니다. 이러한 서브넷은 개인 를 시작하는 데 사용됩니다 WorkSpaces. 자세한 내용은 WorkSpaces 개인용 가용 영역 단원을 참조하십시오.

    중요

    서브넷에서 WorkSpaces 시작된 에 인터넷 액세스가 있는지 확인합니다. 이는 사용자가 Windows 데스크톱에 로그인할 때 필요합니다. 자세한 내용은 WorkSpaces 개인용 인터넷 액세스 제공 단원을 참조하십시오.

11. 구성 에서 전용 활성화를 WorkSpace 선택합니다. 전용 WorkSpaces 개인 디렉터리를 생성하도록 활성화하여 Bring Your Own License(BYOL) Windows 10 또는 11 Personal 를 시작해야 합니다 WorkSpaces.

    참고

    구성 아래에 전용 활성화 WorkSpace 옵션이 표시되지 않으면 계정이 에 대해 활성화되지 않은 것입니다BYOL. 계정에 BYOL 대해 를 활성화하려면 섹션을 참조하세요에서 자체 Windows 데스크톱 라이선스 가져오기 WorkSpaces.

12. (선택 사항) 태그 WorkSpaces 에서 디렉터리의 개인에 사용할 키 페어 값을 지정합니다.

13. 디렉터리 요약을 검토하고 디렉터리 생성 을 선택합니다. 디렉터리를 연결하는 데 몇 분 정도 걸립니다. 디렉터리의 초기 상태는 Creating입니다. 디렉터리 생성 과정이 완료되면 상태가 Active로 변경됩니다.

IAM Identity Center 애플리케이션에 대한 사용자 할당을 구성하려면

1. 에서 IAM 콘솔을 엽니다https://console.aws.amazon.com/iam/.

2. AWS 관리형 애플리케이션 탭에서 WorkSpaces 디렉터리의 애플리케이션을 선택합니다. 애플리케이션 이름은 의 형식이며WorkSpaces.wsd-xxxxx, 여기서 wsd-xxxxx는 WorkSpaces 디렉터리 ID입니다.

3. 작업 , 세부 정보 편집 을 선택합니다.

4. 사용자 및 그룹 할당 방법을 할당 필요 없음에서 할당 필요 로 변경합니다.

5. Save changes(변경 사항 저장)를 선택합니다.