As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá. # Crie um diretório dedicado do Microsoft Entra ID com o WorkSpaces Personal Neste tutorial, criamos Bring Your Own License (BYOL) para Windows 10 e 11 personal WorkSpaces que são o Microsoft Entra ID unido e inscrito no Microsoft Intune. Antes de criar WorkSpaces isso, você precisa primeiro criar um diretório WorkSpaces pessoal dedicado para o Entra ID-joined WorkSpaces. **nota** O Microsoft Entra Join Personal WorkSpaces está disponível em todas as AWS regiões em que a Amazon WorkSpaces é oferecida, exceto na África (Cidade do Cabo), Israel (Tel Aviv) e China (Ningxia). **Contents** + [Visão geral do](#entra-overview) + [Requisitos e limitações](#entra-requirements-limitation) + [Etapa 1: habilitar o IAM Identity Center e sincronizar com o Microsoft Entra ID](#entra-step-1) + [Etapa 2: registrar um aplicativo Microsoft Entra ID para conceder permissões para o Windows Autopilot](#entra-step-2) + [Etapa 3: configurar o modo controlado pelo usuário do Windows Autopilot](#entra-step-3) + [Etapa 4: criar um AWS Secrets Manager secret](#entra-step-4) + [Etapa 5: criar um WorkSpaces diretório dedicado do Microsoft Entra ID](#entra-step-5) + [Configurar o aplicativo IAM Identity Center para um WorkSpaces diretório (opcional)](#configure-iam-directory) + [Criar uma integração com o Centro de Identidade do IAM entre regiões (opcional)](#create-cross-region-iam-identity-integration) ## Visão geral do Um WorkSpaces diretório pessoal do Microsoft Entra ID contém todas as informações necessárias para iniciar o Microsoft Entra ID-joined WorkSpaces que são atribuídas aos seus usuários gerenciados com o Microsoft Entra ID. As informações do usuário são disponibilizadas WorkSpaces por meio AWS do IAM Identity Center, que atua como um agente de identidade para trazer a identidade de sua força de trabalho do Entra ID para o. AWS O modo controlado pelo usuário do Microsoft Windows Autopilot é usado para realizar a inscrição no WorkSpaces Intune e a adesão ao Entra. O diagrama a seguir ilustra o processo do Autopilot. ![Fluxo de trabalho mostrando a configuração administrativa do Entra ID, integração de WorkSpaces serviços e registro do dispositivo.](https://docs.aws.amazon.com/pt_br/workspaces/latest/adminguide/images/autopilot.jpg) ## Requisitos e limitações + Plano Microsoft Entra ID P1 ou superior. + O Microsoft Entra ID e o Intune estão habilitados e têm atribuições de função. + Administrador do Intune: necessário para gerenciar perfis de implantação do Autopilot. + Administrador global: obrigatório para conceder o consentimento do administrador para as permissões de API atribuídas ao aplicativo criado na [etapa 3](https://docs.aws.amazon.com/workspaces/latest/adminguide/launch-workspaces-tutorials.html#entra-step-3). O aplicativo pode ser criado sem essa permissão. Contudo, um administrador global precisaria fornecer o consentimento do administrador sobre as permissões do aplicativo. + Atribua licenças de assinatura de usuário do Windows 10/11 VDA E3 ou E5 aos seus usuários. WorkSpaces + Os diretórios Entra ID suportam apenas o Windows 10 ou 11 Bring Your Own License personal WorkSpaces. A seguir estão as versões compatíveis. + Windows 10 versão 21H2 (atualização de dezembro de 2021) + Windows 10 versão 22H2 (atualização de novembro de 2022) + Windows 11 Enterprise 23H2 (versão de outubro de 2023) + Windows 11 Enterprise 22H2 (versão de outubro de 2022) + Windows 11 Enterprise 24H2 (versão de outubro de 2024) + Windows 11 Enterprise 25H2 (versão de setembro de 2025) + Traga sua própria licença (BYOL) está habilitada para sua AWS conta e você tem uma imagem BYOL válida do Windows 10 ou 11 importada em sua conta. Para obter mais informações, consulte [Traga suas próprias licenças de desktop do Windows WorkSpaces](byol-windows-images.md). + Os diretórios Microsoft Entra ID suportam apenas o Windows 10 ou 11 BYOL personal. WorkSpaces + Os diretórios Microsoft Entra ID são compatíveis somente com o protocolo DCV. + Se você estiver usando um firewall para o seu WorkSpaces, certifique-se de que ele não bloqueie o tráfego de saída para os endpoints do Microsoft Intune e do Windows Autopilot. Consulte [Endpoints de rede para Microsoft Intune - requisitos do Microsoft Intune](https://learn.microsoft.com/en-us/intune/intune-service/fundamentals/intune-endpoints?tabs=north-america) e do [Windows Autopilot](https://learn.microsoft.com/en-us/autopilot/requirements?tabs=networking) para obter detalhes. + Os diretórios Microsoft Entra ID não oferecem suporte aos inquilinos do Microsoft Entra ID nos ambientes Government Community Cloud High (GCCH) e Department of Defense (DoD). ## Etapa 1: habilitar o IAM Identity Center e sincronizar com o Microsoft Entra ID Para criar o Microsoft Entra ID-joined personal WorkSpaces e atribuí-lo aos seus usuários do Entra ID, você precisa disponibilizar as informações do usuário AWS por meio do IAM Identity Center. O IAM Identity Center é o AWS serviço recomendado para gerenciar o acesso do usuário aos AWS recursos. Para obter mais informações, consulte [What is IAM Identity Center?](https://docs.aws.amazon.com/singlesignon/latest/userguide/what-is.html). Essa configuração é realizada apenas uma vez. Se você não tiver uma instância existente do IAM Identity Center para integrar à sua WorkSpaces, recomendamos que você crie uma na mesma região da sua WorkSpaces. Se você tiver uma instância existente do AWS Identity Center em uma região diferente, poderá configurar a integração entre regiões. Para obter mais informações sobre configuração entre regiões, consulte [Criar uma integração com o Centro de Identidade do IAM entre regiões (opcional)](#create-cross-region-iam-identity-integration). **nota** Cross-region a integração entre WorkSpaces e o IAM Identity Center não é suportada no AWS GovCloud (US) Region. 1. Ative o IAM Identity Center com suas AWS organizações, especialmente se você estiver usando um ambiente com várias contas. É possível criar uma instância de conta do IAM Identity Center. Para saber mais, consulte [ Habilitando o AWS IAM Identity Center](https://docs.aws.amazon.com/singlesignon/latest/userguide/get-set-up-for-idc.html). Cada WorkSpaces diretório pode ser associado a uma instância, organização ou conta do IAM Identity Center. Se você estiver usando uma instância da organização e tentando criar um WorkSpaces diretório em uma das contas membros, verifique se você tem as seguintes permissões do IAM Identity Center. + `"sso:DescribeInstance"` + `"sso:CreateApplication"` + `"sso:PutApplicationGrant"` + `"sso:PutApplicationAuthenticationMethod"` + `"sso:DeleteApplication"` + `"sso:DescribeApplication"` + `"sso:getApplicationGrant"` Para obter mais informações, consulte [Visão geral do gerenciamento de permissões de acesso aos seus recursos do IAM Identity Center](https://docs.aws.amazon.com/singlesignon/latest/userguide/iam-auth-access-overview.html). Além disso, certifique-se de que nenhuma política de controle de serviços (SCPs) esteja bloqueando essas permissões. Para saber mais sobre SCPs, consulte [ Políticas de controle de serviços (SCP)](https://docs.aws.amazon.com/organizations/latest/userguide/orgs_manage_policies_scps.html). 1. Configure o IAM Identity Center e o Microsoft Entra ID para sincronizar automaticamente alguns ou todos os usuários do seu inquilino do Entra ID com sua instância do IAM Identity Center. Para obter mais informações, consulte [ Configurar SAML e SCIM com o Microsoft Entra ID e o IAM Identity Center ](https://docs.aws.amazon.com/singlesignon/latest/userguide/idp-microsoft-entra.html) e [ Tutorial: Configurar o AWS IAM Identity Center para provisionamento automático de usuários. ](https://learn.microsoft.com/en-us/entra/identity/saas-apps/aws-single-sign-on-provisioning-tutorial) 1. Verifique se os usuários que você configurou no Microsoft Entra ID estão sincronizados corretamente com a instância AWS do IAM Identity Center. Se você ver uma mensagem de erro no Microsoft Entra ID, isso indica que o usuário no Entra ID está configurado de uma forma que o IAM Identity Center não é compatível. A mensagem de erro identificará esse problema. Por exemplo, se o objeto de usuário no Entra ID não tiver um nome, sobrenome e nome de exibição, você receberá uma mensagem de erro semelhante a. and/or `"2 validation errors detected: Value at 'name.givenName' failed to satisfy constraint: Member must satisfy regular expression pattern: [\\p{L}\\p{M}\\p{S}\\p{N}\\p{P}\\t\\n\\r ]+; Value at 'name.givenName' failed to satisfy constraint: Member must have length greater than or equal to 1"` Para obter mais informações, consulte [Specific users fail to synchronize into IAM Identity Center from an external SCIM provider](https://docs.aws.amazon.com/singlesignon/latest/userguide/troubleshooting.html#issue2). **nota** WorkSpaces usa o atributo Entra ID UserPrincipalName (UPN) para identificar usuários individuais e as seguintes são suas limitações: Os UPNs não podem ter mais de 63 caracteres de comprimento. Se você alterar o UPN depois de atribuir um WorkSpace a a um usuário, o usuário não conseguirá se conectar a ele, a WorkSpace menos que você altere o UPN de volta ao que era antes. ## Etapa 2: registrar um aplicativo Microsoft Entra ID para conceder permissões para o Windows Autopilot WorkSpaces O Personal usa o modo controlado pelo usuário do Microsoft Windows Autopilot para se inscrever WorkSpaces no Microsoft Intune e juntá-lo ao Microsoft Entra ID. Para permitir que WorkSpaces a Amazon registre o WorkSpaces Personal no Autopilot, você deve registrar um aplicativo Microsoft Entra ID que conceda as permissões necessárias da API Microsoft Graph. Para obter mais informações sobre o registro de um aplicativo Entra ID, consulte [Quickstart: Register an application with the Microsoft identity platform](https://learn.microsoft.com/en-us/entra/identity-platform/quickstart-register-app?tabs=certificate). Recomendamos fornecer as seguintes permissões de API em seu aplicativo Entra ID. + Para criar um novo pessoal WorkSpace que precisa ser associado ao Entra ID, é necessária a seguinte permissão da API. + `DeviceManagementServiceConfig.ReadWrite.All` + Quando você encerra um pessoal WorkSpace ou o reconstrói, as seguintes permissões são usadas. **nota** Se você não fornecer essas permissões, elas WorkSpace serão encerradas, mas não serão removidas de seus inquilinos do Intune e da Entra ID e você precisará removê-las separadamente. + `DeviceManagementServiceConfig.ReadWrite.All` + `Device.ReadWrite.All` + `DeviceManagementManagedDevices.ReadWrite.All` + Essas permissões exigem o consentimento do administrador. Para obter mais informações, consulte [Grant tenant-wide admin consent to an application](https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/grant-admin-consent?pivots=portal). Em seguida, você deve adicionar um segredo de cliente para o aplicativo Entra ID. Para obter mais informações, consulte [Add credentials](https://learn.microsoft.com/en-us/entra/identity-platform/quickstart-register-app?tabs=certificate#add-credentials). Lembre-se da string secreta do cliente, pois você precisará dela ao criar o segredo do AWS Secrets Manager na Etapa 4. ## Etapa 3: configurar o modo controlado pelo usuário do Windows Autopilot Certifique-se de estar familiarizado com o [Step by step tutorial for Windows Autopilot user-driven Microsoft Entra join in Intune](https://learn.microsoft.com/en-us/autopilot/tutorial/user-driven/azure-ad-join-workflow). **Para configurar seu Microsoft Intune para Autopilot** 1. Entre no centro de administração do Microsoft Intune 1. Crie um novo grupo de dispositivos de piloto automático para uso pessoal WorkSpaces. Para obter mais informações, consulte [Create device groups for Windows Autopilot](https://learn.microsoft.com/en-us/autopilot/enrollment-autopilot). 1. Escolha **Grupos**, **Novo grupo** 1. Em **Group type**, escolha **Security**. 1. Para **Tipo de associação**, escolha **Dispositivo dinâmico**. 1. Escolha **Editar consulta dinâmica** para criar uma regra de associação dinâmica. A regra deverá estar no seguinte formato: ``` (device.devicePhysicalIds -any (_ -eq "[OrderID]:WorkSpacesDirectoryName")) ``` **Importante** `WorkSpacesDirectoryName`deve corresponder ao nome do diretório WorkSpaces pessoal do Entra ID que você criou na etapa 5. Isso ocorre porque a string do nome do diretório é usada como tag de grupo ao WorkSpaces registrar desktops virtuais no piloto automático. Além disso, a tag de grupo é mapeada para o atributo `OrderID` nos dispositivos Microsoft Entra. 1. Escolha **Dispositivos**, **Windows**, **Registro**. Para **Opções de registro**, escolha **Inscrição automática**. Para o **escopo do usuário MDM**, selecione **Tudo**. 1. Crie um perfil de implantação do Autopilot. Para obter mais informações, consulte [ Criar um perfil de implantação do Autopilot](https://learn.microsoft.com/en-us/autopilot/profiles#create-an-autopilot-deployment-profile). 1. Para o **Windows Autopilot**, escolha **Perfis de implantação**, **Criar perfil**. 1. Na tela de **perfis de implantação do Windows Autopilot**, selecione o menu suspenso **Criar perfil** e, em seguida, selecione **Windows PC**. 1. Na ** tela ** Criar perfil, na ** página ** Na Out-of-box experiência (OOBE). Para o modo de ** implantação**, selecione ** User-driven**. Em **Acessar no Microsoft Entra ID**, selecione **Microsoft Entra acessado**. Você pode personalizar os nomes dos computadores do seu Entra ID-joined personal WorkSpaces selecionando ** Sim ** para ** Aplicar modelo de nome de dispositivo**, para criar um modelo a ser usado ao nomear um dispositivo durante a inscrição. 1. Na página **Tarefas**, em **Atribuir a**, escolha **Grupos selecionados**. Escolha **Selecionar grupos a serem incluídos** e selecione o grupo de dispositivos do Autopilot que você acabou de criar em 2. ## Etapa 4: criar um AWS Secrets Manager secret Você deve criar um segredo AWS Secrets Manager para armazenar com segurança as informações, incluindo o ID do aplicativo e o segredo do cliente, do aplicativo Entra ID em [Etapa 2: registrar um aplicativo Microsoft Entra ID para conceder permissões para o Windows Autopilot](#entra-step-2) que você criou. Essa configuração é realizada apenas uma vez. **Para criar um AWS Secrets Manager secret** 1. Criar uma chave gerenciada pelo cliente do [AWS Key Management Service](https://aws.amazon.com/kms/). A chave será usada posteriormente para criptografar o AWS Secrets Manager segredo. Não use a chave padrão para criptografar seu segredo, pois a chave padrão não pode ser acessada pelo WorkSpaces serviço. Siga as etapas abaixo para criar a chave. 1. Abra o AWS KMS console em [ https://console.aws.amazon.com/kms](https://console.aws.amazon.com/kms). 1. Para alterar o Região da AWS, use o seletor de região no canto superior direito da página. 1. Escolha **Criar chave**. 1. Na página **Configurar chave**, em **Tipo de chave**, escolha **Simétrico**. Em **Uso da chave**, escolha **Criptografar e descriptografar**. 1. Na ** página de ** revisão, no editor de políticas de chaves, certifique-se de permitir o `workspaces.amazonaws.com` acesso principal do WorkSpaces serviço à chave incluindo as seguintes permissões na política de chaves. ``` { "Effect": "Allow", "Principal": { "Service": [ "workspaces.amazonaws.com" ] }, "Action": [ "kms:Decrypt", "kms:DescribeKey" ], "Resource": "*" } ``` 1. Crie o segredo em AWS Secrets Manager, usando a AWS KMS chave criada na etapa anterior. 1. Abra o console do Secrets Manager em [ https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/). 1. Selecione **Armazenar um novo segredo**. 1. Na página **Escolher tipo de segredo**, em **Tipo de segredo**, selecione **Outro tipo de segredo**. 1. Para ** Key/value pares**, na caixa chave, insira “application\_id” na caixa da chave e, em seguida, copie a ID do aplicativo Entra ID da [ Etapa 2 ](https://docs.aws.amazon.com/workspaces/latest/adminguide/launch-workspaces-tutorials.html#entra-step-2) e cole-a na caixa de valor. 1. Escolha **Adicionar linha**, na caixa chave, digite “application\_password”, copie o segredo do cliente do aplicativo Entra ID da [Etapa 2](https://docs.aws.amazon.com/workspaces/latest/adminguide/launch-workspaces-tutorials.html#entra-step-2) e cole-o na caixa de valor. 1. Escolha a AWS KMS chave que você criou na etapa anterior na ** lista suspensa Chave de ** criptografia. 1. Escolha **Próximo**. 1. Na página **Configurar segredo**, insira um **Nome** e uma **Descrição** do segredo. 1. Em **Permissões do recurso**, escolha **Editar permissões**. 1. Certifique-se de permitir o `workspaces.amazonaws.com` acesso principal do WorkSpaces serviço ao segredo incluindo a seguinte política de recursos nas permissões do recurso. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement" : [ { "Effect" : "Allow", "Principal" : { "Service" : [ "workspaces.amazonaws.com"] }, "Action" : "secretsmanager:GetSecretValue", "Resource" : "*" } ] } ``` ------ ## Etapa 5: criar um WorkSpaces diretório dedicado do Microsoft Entra ID Crie um WorkSpaces diretório dedicado que armazene informações para seus usuários do Microsoft Entra ID-joined WorkSpaces e Entra ID. **Para criar um WorkSpaces diretório Entra ID** 1. Abra o WorkSpaces console em [ https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação, selecionar **Diretórios**. 1. Na ** página ** Criar diretório, para ** WorkSpaces digitar, ** escolha ** Pessoal**. Para gerenciamento de ** WorkSpace dispositivos**, escolha ** Microsoft Entra ID**. 1. Para o ID de locatário do ** Microsoft Entra**, insira o ID do locatário do Microsoft Entra ID WorkSpaces ao qual você deseja que seu diretório participe. Você não poderá alterar o ID do inquilino após a criação do diretório. 1. Para ID e senha do aplicativo ** Entra ID**, selecione o AWS Secrets Manager segredo que você criou na [ Etapa 4 ](https://docs.aws.amazon.com/workspaces/latest/adminguide/launch-workspaces-tutorials.html#entra-step-4) na lista suspensa. Não será possível alterar o segredo associado ao diretório depois que ele for criado. No entanto, você sempre pode atualizar o conteúdo do segredo, incluindo o ID do aplicativo Entra ID e sua senha por meio do AWS Secrets Manager console em [ https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/). 1. Se sua instância do IAM Identity Center estiver na mesma AWS região do seu WorkSpaces diretório, em Fonte de identidade ** do usuário**, selecione a instância do IAM Identity Center que você configurou na [ Etapa 1 ](https://docs.aws.amazon.com/workspaces/latest/adminguide/launch-workspaces-tutorials.html#entra-step-1) na lista suspensa. Você não poderá alterar a instância do IAM Identity Center associada ao diretório depois que o diretório for criado. Se sua instância do IAM Identity Center estiver em uma AWS região diferente do seu WorkSpaces diretório, escolha ** Ativar Cross-Region ** e selecione a região na lista suspensa. **nota** Se você tiver uma instância existente do Centro de Identidade do IAM em uma região diferente, poderá optar por configurar a integração entre regiões. Para obter mais informações sobre configuração entre regiões, consulte [Criar uma integração com o Centro de Identidade do IAM entre regiões (opcional)](#create-cross-region-iam-identity-integration). 1. Em **Nome do diretório**, insira um nome exclusivo para o diretório (por exemplo, `WorkSpacesDirectoryName`). **Importante** O nome do diretório deve corresponder ao `OrderID` usado para criar a consulta dinâmica para o grupo de dispositivos do Autopilot que você criou com o Microsoft Intune na [Etapa 3](https://docs.aws.amazon.com/workspaces/latest/adminguide/launch-workspaces-tutorials.html#entra-step-3). A string do nome do diretório é usada como tag de grupo ao registrar dados pessoais WorkSpaces no Windows Autopilot. A tag de grupo é mapeada para o atributo `OrderID` nos dispositivos Microsoft Entra. 1. (Opcional) Em **Description (Descrição)**, insira uma descrição para a política. 1. Para ** VPC**, selecione a VPC que você usou para iniciar seu. WorkSpaces Para obter mais informações, consulte [Configurar uma VPC para uso pessoal WorkSpaces](amazon-workspaces-vpc.md). 1. Para **sub-redes**, selecione duas sub-redes de VPC que não estejam na mesma zona de disponibilidade. Essas sub-redes serão usadas para lançar sua própria. WorkSpaces Para obter mais informações, consulte [Zonas de disponibilidade para WorkSpaces uso pessoal](azs-workspaces.md). **Importante** Certifique-se de que os WorkSpaces lançados nas sub-redes tenham acesso à Internet, o que é necessário quando os usuários fazem login nos desktops do Windows. Para obter mais informações, consulte [Forneça acesso à Internet para WorkSpaces Personal](amazon-workspaces-internet-access.md). 1. Em ** Configuração**, selecione ** Ativar dedicado WorkSpace**. Você deve habilitá-lo para criar um diretório WorkSpaces pessoal dedicado para iniciar o Bring Your Own License (BYOL) do Windows 10 ou 11 personal WorkSpaces. **nota** Se você não vê a WorkSpace ** opção ** Ativar dedicado em ** Configuração**, sua conta não foi habilitada para BYOL. Para habilitar o BYOL na sua conta, consulte [Traga suas próprias licenças de desktop do Windows WorkSpaces](byol-windows-images.md). 1. (Opcional) Para ** Tags**, especifique o valor do par de chaves que você deseja usar como pessoal WorkSpaces no diretório. 1. Examine o resumo do diretório e escolha **Criar diretório**. A conexão do diretório leva vários minutos. O status inicial do diretório é `Creating`. Quando a criação de diretórios estiver completa, o status será `Active`. Um aplicativo do IAM Identity Center também é criado automaticamente em seu nome quando o diretório é criado. Para encontrar o ARN do aplicativo, acesse a página de resumo do diretório. Agora você pode usar o diretório para iniciar o Windows 10 ou 11 personal WorkSpaces que está inscrito no Microsoft Intune e associado ao Microsoft Entra ID. Para obter mais informações, consulte [Crie um WorkSpace em WorkSpaces Personal](create-workspaces-personal.md). Depois de criar um diretório WorkSpaces pessoal, você pode criar um pessoal WorkSpace. Para obter mais informações, consulte [Crie um WorkSpace em WorkSpaces Personal](create-workspaces-personal.md). ## Configurar o aplicativo IAM Identity Center para um WorkSpaces diretório (opcional) Um aplicativo do IAM Identity Center também é criado automaticamente uma vez que o diretório é criado. Você pode encontrar o ARN do aplicativo na seção Resumo na página de detalhes do diretório. Por padrão, todos os usuários na instância do Identity Center podem acessar suas atribuições WorkSpaces sem configurar o aplicativo correspondente do Identity Center. No entanto, você pode gerenciar o acesso do usuário a WorkSpaces um diretório configurando a atribuição do usuário para o aplicativo IAM Identity Center. **Como configurar a atribuição de usuário para o aplicativo IAM Identity Center** 1. Abra o console do IAM em [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/iam/). 1. Na ** guia aplicativos **AWS gerenciados, escolha o aplicativo para o WorkSpaces diretório. Os nomes dos aplicativos estão no seguinte formato:`WorkSpaces.wsd-xxxxx`, onde `wsd-xxxxx` está o ID do WorkSpaces diretório. 1. Escolha **Ações**, **Editar detalhes**. 1. Altere o **método de atribuição de usuários e grupos** de **Não exigir atribuições** para **Exigir atribuições**. 1. Escolha **Salvar alterações**. Depois de fazer essa alteração, os usuários na instância do Identity Center perderão o acesso à sua atribuição, WorkSpaces a menos que sejam atribuídos ao aplicativo. Para atribuir seus usuários ao aplicativo, use o AWS CLI comando `create-application-assignment` para atribuir usuários ou grupos a um aplicativo. Para obter mais informações, consulte [Referência de comandos da AWS CLI](https://docs.aws.amazon.com/cli/latest/reference/sso-admin/create-application-assignment.html). ## Criar uma integração com o Centro de Identidade do IAM entre regiões (opcional) Recomendamos que você WorkSpaces e a instância do IAM Identity Center associada estejam na mesma AWS região. No entanto, se você já tiver uma instância do IAM Identity Center configurada em uma região diferente da sua WorkSpaces região, poderá criar uma integração entre regiões. Ao criar uma integração entre regiões WorkSpaces e IAM Identity Center, você permite WorkSpaces fazer chamadas entre regiões para acessar e armazenar informações da sua instância do IAM Identity Center, como atributos de usuário e grupo. **Importante** A Amazon WorkSpaces oferece suporte ao IAM Identity Center e WorkSpaces às integrações entre regiões somente para instâncias no nível da organização. WorkSpaces não oferece suporte a integrações entre regiões do IAM Identity Center para instâncias no nível da conta. Para obter mais informações sobre os tipos de instância do Centro de Identidade do IAM e seus casos de uso, consulte [Compreensão dos tipos de instâncias do Centro de Identidade do IAM](https://docs.aws.amazon.com/amazonq/latest/qbusiness-ug/setting-up.html#idc-instance-types). Se você criar uma integração entre regiões entre um WorkSpaces diretório e uma instância do IAM Identity Center, poderá ter maior latência durante a implantação WorkSpaces e durante o login devido às chamadas entre regiões. O aumento na latência é proporcional à distância entre sua WorkSpaces região e a região do IAM Identity Center. Recomendamos realizar testes de latência para seu caso de uso específico. Você pode habilitar conexões entre regiões do IAM Identity Center durante a [ Etapa 5: Crie um WorkSpaces diretório ](https://docs.aws.amazon.com/workspaces/latest/adminguide/launch-entra-id.html#entra-step-5) de ID Microsoft Entra dedicado. Em **Fonte de identidade do usuário**, selecione a instância do Centro de Identidade do IAM que você configurou na [Etapa 1: habilitar o IAM Identity Center e sincronizar com o Microsoft Entra ID](#entra-step-1) na lista suspensa. **Importante** Você não poderá alterar a instância do Centro de Identidade do IAM associada ao diretório depois que o diretório for criado.