Solucionar problemas no Active Directory - Amazon AppStream 2.0
Meus criadores de imagens e instâncias de frota estão presos no PENDING estado.Meus usuários não conseguem fazer login com o SAML aplicativo.Minhas instâncias de frota funcionam para um usuário, mas não são alternadas corretamente.Meus objetos de política de grupo de usuário não estão sendo aplicados com êxito.Minhas instâncias de streaming AppStream 2.0 não estão ingressando no domínio do Active Directory.O login do usuário está demorando muito para ser concluído em uma sessão de streaming ingressada em um domínio.Meus usuários não podem acessar um recurso do domínio em uma sessão de streaming ingressada no domínio, mas podem acessar o recurso em um construtor de imagens ingressado no domínio.Meus usuários recebem o erro “A autenticação baseada em certificado não está disponível” e são solicitados a inserir a senha do domínio. Ou os usuários recebem o erro “Desconectado da sessão” quando iniciam uma sessão habilitada com autenticação baseada em certificado.Não consigo ingressar no domínio depois de alterar a conta de serviço do Active Directory (AD).

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Solucionar problemas no Active Directory

A seguir estão os problemas que podem ocorrer quando você configura e usa o Active Directory com o Amazon AppStream 2.0. Para obter ajuda para solucionar problemas de códigos de notificação, consulte Códigos de notificação de solução de problemas.

Meus criadores de imagens e instâncias de frota estão presos no PENDING estado.

Os construtores de imagens e as instâncias de frota podem levar até 25 minutos para entrar em estado de prontos e se tornarem disponíveis. Se suas instâncias estiverem demorando mais de 25 minutos para serem disponibilizadas, no Active Directory, verifique se novos objetos de computador foram criados nas unidades organizacionais corretas (OUs). Se houver novos objetos, as instâncias de streaming estarão disponíveis em breve. Se os objetos não estiverem lá, verifique os detalhes da configuração do diretório em sua Configuração de diretório AppStream 2.0: nome do diretório (o nome de domínio totalmente qualificado do diretório, as credenciais de login da conta de serviço e o nome distinto da OU).

Os erros do criador de imagens e da frota são exibidos no console AppStream 2.0 na guia Notificações da frota ou do construtor de imagens. Erros de frota também estão disponíveis usando o AppStream 2.0 API por meio da DescribeFleetsoperação ou do CLI comando describe-fleets.

Meus usuários não conseguem fazer login com o SAML aplicativo.

AppStream 2.0 depende do SAML atributo _Subject “nameID” do seu provedor de identidade para preencher o campo de nome de usuário e fazer login com seu usuário. O nome do usuário pode ser formatado como "domain\username" ou "user@domain.com". Se você estiver usando o formato domain\username "", domain pode ser o nome da rede ou o BIOS nome de domínio totalmente qualificado. Se estiver usando o formato user@domain.com "", o UserPrincipalName atributo pode ser usado. Se você verificou que seu atributo SAML _Subject está configurado corretamente e o problema persiste, entre em contato. AWS Support Para obter mais informações, consulte o AWS Support Center.

Minhas instâncias de frota funcionam para um usuário, mas não são alternadas corretamente.

As instâncias de frota são alternadas depois que um usuário conclui uma sessão, garantindo que cada usuário tenha uma nova instância. Quando a instância de frota alternada fica disponível online, ela ingressa no domínio usando o nome do computador da instância anterior. Para garantir que essa operação ocorra com êxito, a conta de serviço requer as permissões Change Password e Reset Password na unidade organizacional (OU) na qual o objeto do computador está ingressando. Verifique as permissões da conta de serviço e tente novamente. Se o problema persistir, entre em contato AWS Support. Para obter mais informações, consulte o AWS Support Center.

Meus objetos de política de grupo de usuário não estão sendo aplicados com êxito.

Por padrão, os objetos de computador aplicam políticas em nível de computador com base na UO na qual o objeto de computador reside e, ao mesmo tempo, aplicando políticas em nível de usuário com base na UO na qual o usuário reside. Se as políticas em nível de usuário não estiverem sendo aplicadas, você poderá proceder de uma das seguintes maneiras:

  • Transfira as políticas em nível de usuário para a UO em que o objeto do Active Directory do usuário reside

  • Habilite o processamento de loopback no nível do computador, o que aplica as políticas em nível de usuário na UO do objeto do computador.

Para obter mais informações, consulte Processamento de loopback da política de grupo no Suporte da Microsoft.

Minhas instâncias de streaming AppStream 2.0 não estão ingressando no domínio do Active Directory.

O domínio do Active Directory a ser usado com AppStream 2.0 deve estar acessível por meio de seu nome de domínio totalmente qualificado (FQDN) por meio do VPC qual suas instâncias de streaming são iniciadas.

Para testar se o seu domínio pode ser acessado

  1. Execute uma EC2 instância da Amazon na mesma VPC sub-rede e grupos de segurança que você usa com AppStream 2.0.

  2. Associe manualmente a EC2 instância ao seu domínio do Active Directory usando o FQDN (por exemplo,yourdomain.example.com) com a conta de serviço que você pretende usar com AppStream 2.0. Use o seguinte comando em um PowerShell console do Windows:

    netdom join computer /domain:FQDN /OU:path /ud:user /pd:password

    Se esse ingresso manual falhar, vá para a próxima etapa.

  3. Se você não conseguir ingressar manualmente no seu domínio, abra um prompt de comando e verifique se você pode resolver o problema FQDN usando o nslookup comando. Por exemplo:

    nslookup yourdomain.exampleco.com

    A resolução de nome bem-sucedida retorna um endereço IP válido. Se você não conseguir resolver o seuFQDN, talvez seja necessário atualizar seus VPC DNS servidores usando uma DHCP opção definida para seu domínio. Em seguida, volte para esta etapa. Para obter mais informações, consulte Conjuntos de DHCP opções no Guia VPC do usuário da Amazon.

  4. Se o FQDN problema for resolvido, use o telnet comando para validar a conectividade.

    telnet yourdomain.exampleco.com 389

    Uma conexão bem-sucedida mostra uma janela de prompt de comando em branco sem erros de conexão. Talvez seja necessário instalar o recurso Telnet Client na sua EC2 instância. Para obter mais informações, consulte Instalar o Cliente Telnet na documentação da Microsoft.

Se você não conseguiu unir manualmente a EC2 instância ao seu domínio, mas conseguiu resolver FQDN e testar a conectividade com o Cliente Telnet, seus grupos de VPC segurança podem estar impedindo o acesso. O Active Directory requer determinadas configurações de porta de rede. Para obter mais informações, consulte Requisitos da porta do Active Directory e do Active Directory Domain Services na documentação da Microsoft.

O login do usuário está demorando muito para ser concluído em uma sessão de streaming ingressada em um domínio.

AppStream 2.0 executa uma ação de login do Windows depois que os usuários fornecem a senha do domínio. Após a autenticação bem-sucedida, AppStream 2.0 inicia o aplicativo. Os horários de login e de início são afetados por muitas variáveis, como a contenção da rede para os controladores de domínio ou o tempo levado para aplicar as configurações da política de grupo à instância de streaming. Se a autenticação do domínio demorar muito para ser concluída, tente executar as ações a seguir.

  • Minimize a latência da rede da sua região AppStream 2.0 para seus controladores de domínio escolhendo os controladores de domínio corretos. Por exemplo, se sua frota estiver em us-east-1, use os controladores de domínio com largura de banda alta e baixa latência para us-east-1 por meio de mapeamentos de zonas dos Sites e Serviços do Active Directory. Para obter mais informações, consulte Sites e Serviços do Active Directory na documentação da Microsoft.

  • Verifique se as configurações da política de grupo e os scripts de login do usuário não demoram um tempo extremamente longo para serem aplicados ou executados.

Se o login dos usuários do seu domínio no AppStream 2.0 falhar com a mensagem “Ocorreu um erro desconhecido”, talvez seja necessário atualizar as configurações da Política de Grupo descritas emAntes de começar a usar o Active Directory com o Amazon AppStream 2.0. Caso contrário, essas configurações podem impedir que o AppStream 2.0 autentique e faça login nos usuários do seu domínio.

Meus usuários não podem acessar um recurso do domínio em uma sessão de streaming ingressada no domínio, mas podem acessar o recurso em um construtor de imagens ingressado no domínio.

Confirme se sua frota foi criada nas mesmas VPC sub-redes e grupos de segurança do seu criador de imagens e se o usuário tem as permissões necessárias para acessar e usar o recurso de domínio.

Meus usuários recebem o erro “A autenticação baseada em certificado não está disponível” e são solicitados a inserir a senha do domínio. Ou os usuários recebem o erro “Desconectado da sessão” quando iniciam uma sessão habilitada com autenticação baseada em certificado.

Esses erros ocorrem quando a autenticação baseada em certificado não é bem-sucedida na sessão. O erro “A autenticação baseada em certificado não está disponível” é exibido quando a autenticação baseada em certificado está habilitada para permitir fallback para o login com senha. O erro “Desconectado da sessão” é exibido quando a autenticação baseada em certificado está habilitada sem fallback.

O usuário pode atualizar a página no cliente da web ou se reconectar pelo cliente do Windows, pois isso pode ser um problema intermitente com a autenticação baseada em certificado. Se o problema persistir, a falha na autenticação baseada em certificado poderá ser resultado de um dos seguintes problemas:

  • AppStream 2.0 não pôde se comunicar com a CA AWS privada, ou a CA AWS privada não emitiu o certificado. Verifique CloudTrail se um certificado foi emitido. Para obter mais informações, consulte O que é AWS CloudTrail? Gerenciar a autenticação baseada em certificadoe.

  • O controlador de domínio não tem nenhum certificado de controlador de domínio para login com cartão inteligente ou o certificado está expirado. Para obter mais informações, consulte a etapa 7.a em Pré-requisitos.

  • O certificado não é confiável. Para obter mais informações, consulte a etapa 7.c em Pré-requisitos.

  • O userPrincipalName formato do SAML _Subject NameID não está formatado corretamente ou não se resolve para o domínio real do usuário. Para obter mais informações, consulte a etapa 1 em Pré-requisitos.

  • O ObjectSid atributo (opcional) em sua SAML declaração não corresponde ao identificador de segurança do Active Directory (SID) para o usuário especificado no SAML _Subject NameID. Confirme se o mapeamento de atributos está correto em sua SAML federação e se seu provedor de SAML identidade está sincronizando o SID atributo para o usuário do Active Directory.

  • O agente AppStream 2.0 não oferece suporte à autenticação baseada em certificado. Use a versão AppStream 2.0 do agente 10-13-2022 ou posterior.

  • Há configurações da Política de Grupo que estão modificando as configurações padrão do Active Directory para login com cartão inteligente ou tomando medidas quando um cartão inteligente é removido de um leitor de cartões inteligentes. Essas configurações podem causar um comportamento inesperado adicional além dos erros listados acima. A autenticação baseada em certificado apresenta um cartão inteligente virtual ao sistema operacional da instância e o remove após a conclusão do login. Para obter mais informações, consulte Primary Group Policy settings for smart cards e Additional smart card Group Policy settings and registry keys. Não habilite a opção Login com cartão inteligente para o Active Directory em sua pilha se quiser usar a autenticação baseada em certificado. Para obter mais informações, consulte Cartões inteligentes.

  • O ponto CRL de distribuição da CA privada não está on-line nem acessível a partir da instância de frota AppStream 2.0 nem do controlador de domínio. Para obter mais informações, consulte a etapa 5 em Pré-requisitos.

Etapas adicionais de solução de problemas envolvem a análise dos registros de eventos do Windows da instância AppStream 2.0. Um evento comum a ser analisado em caso de falha de login é 4625(F): An account failed to log on. Para obter mais informações sobre a captura de informações de log, consulte Persisting application and Windows event logs. Como alternativa, para solucionar problemas de uma sessão AppStream 2.0 ativa como administrador, você pode se conectar aos registros usando um Visualizador de eventos em outro computador. Para obter mais informações, consulte How to Select Computers in Event Viewer. Ou você pode se conectar usando a Área de Trabalho Remota para se conectar ao endereço IP privado da instância de outro computador que possa se conectar aos Serviços de Área de Trabalho Remota na sua nuvem privada AppStream virtual 2.0 ()VPC. Use o AWS CLI para determinar o endereço IP da sessão com base na AWS região, nome da pilha AppStream 2.0, nome da frota, ID do usuário e tipo de autenticação. Para obter mais informações, consulte a AWS Command Line Interface.

Se o problema persistir, entre em contato AWS Support. Para obter mais informações, consulte o AWS Support Center.

Não consigo ingressar no domínio depois de alterar a conta de serviço do Active Directory (AD).

Se você tem uma frota existente com uma imagem baseada na atualização do sistema operacional Microsoft Windows Server de agosto de 2024 e se você alterar sua conta de serviço do Active Directory (AD) para essa frota, suas instâncias de frota talvez não consigam ingressar no domínio durante o provisionamento.

A Microsoft lançou um patch KB5020276, que modifica o comportamento das operações de junção de domínios. AppStream 2.0 reutiliza objetos de computador existentes ao unir suas instâncias de streaming aos seus domínios do AD. Esse objeto de computador é gerado usando a conta de serviço do AD que você fornece ao criar uma frota ou o Directory Config com AppStream 2.0. Antes desse patch da Microsoft, as novas contas de serviço do AD podiam reutilizar objetos de computador existentes criados pela AppStream versão 2.0, desde que tivessem as permissões “Criar objeto de computador” configuradas na unidade organizacional (OU).

Quando o patch da Microsoft for aplicado, a partir de 13 de agosto de 2024, e se você alterar sua conta de serviço do AD para uma frota AppStream 2.0 existente, a nova conta de serviço não poderá mais reutilizar os objetos de computador existentes no AD. Isso resulta em falhas de junção de domínio em frotas AppStream 2.0, com uma das seguintes mensagens de erro em notificações de frota:

  • DOMAIN_ JOIN _ INTERNAL _ SERVICE _ ERROR “O nome do grupo não foi encontrado.”

  • Existe uma conta com o mesmo nome no Active Directory. A reutilização da conta foi bloqueada pela política de segurança

Para controlar qual conta pode reutilizar os objetos de computador existentes, a Microsoft implementou uma nova configuração de política de grupo chamada Controlador de domínio: permitir a reutilização da conta do computador durante a associação ao domínio. Essa configuração permite que você especifique uma lista de contas de serviço confiáveis que ignoram a verificação durante a operação de associação ao domínio. Para a configuração autogerenciada do AD, recomendamos seguir as etapas documentadas pela Microsoft para adicionar a conta de serviço do AD à nova política de lista de permissões, usando as políticas de grupo em um controlador de domínio.

Para o Managed Active Directory (MAD), você deve reiniciar sua frota AppStream 2.0 depois de fazer alterações na sua conta de serviço de ingresso no domínio AppStream 2.0.

Se o problema persistir, entre em contato AWS Support. Para obter mais informações, consulte o AWS Support Center.