为 WorkSpaces 个人版创建专用 Microsoft Entra ID 目录

1. 在您的 AWS Organizations 中启用 IAM Identity Center，尤其是在您使用多账户环境的情况下。您还可以创建 IAM Identity Center 账户实例。要了解详情，请参阅启用 AWS IAM Identity Center。一个 WorkSpaces 目录可以与一个 IAM Identity Center 实例、组织或账户相关联。

   如果您使用组织实例并尝试在其中一个成员账户中创建 WorkSpaces 目录，请确保您拥有以下 IAM Identity Center 权限。

   • "sso:DescribeInstance"

   • "sso:CreateApplication"

   • "sso:PutApplicationGrant"

   • "sso:PutApplicationAuthenticationMethod"

   • "sso:DeleteApplication"

   • "sso:DescribeApplication"

   • "sso:getApplicationGrant"

   有关更多信息，请参阅管理对 IAM Identity Center 资源的访问权限概览。此外，请确保没有服务控制策略（SCP）阻止这些权限。要详细了解 SCP，请参阅服务控制策略（SCP）。

2. 配置 IAM Identity Center 和 Microsoft Entra ID，自动将您 Entra ID 租户中的选定或所有用户同步到 IAM Identity Center 实例。有关更多信息，请参阅使用 Microsoft Entra ID 和 IAM Identity Center 配置 SAML 与 SCIM 以及教程：配置 AWS IAM Identity Center 以实现自动用户预置。

3. 验证您在 Microsoft Entra ID 上配置的用户是否已正确同步到 AWS IAM Identity Center 实例。如果您在 Microsoft Entra ID 中看到错误消息，则表明 Entra ID 中用户的配置方式是 IAM Identity Center 不支持的方式。该错误消息将会识别出此问题。例如，如果 Entra ID 中的用户对象缺少名字、姓氏和/或显示名称，则您将收到类似 "2 validation errors detected: Value at 'name.givenName' failed to satisfy constraint: Member must satisfy regular expression pattern: [\\p{L}\\p{M}\\p{S}\\p{N}\\p{P}\\t\\n\\r ]+; Value at 'name.givenName' failed to satisfy constraint: Member must have length greater than or equal to 1" 的错误消息。相关详情，请参阅特定用户无法从外部 SCIM 提供者同步到 IAM Identity Center。

为 Autopilot 配置 Microsoft Intune

1. 登录 Microsoft Intune 管理中心

2. 为个人 WorkSpaces 创建新的 Autopilot 设备组。有关更多信息，请参阅 Create device groups for Windows Autopilot。

   1. 依次选择组、新组

   2. 对于 Group type，选择 Security。

   3. 对于会员类型，选择动态设备。

   4. 选择编辑动态查询，以创建动态会员规则。该规则应采用以下格式：

      (device.devicePhysicalIds -any (_ -eq "[OrderID]:WorkSpacesDirectoryName"))

      重要

      WorkSpacesDirectoryName 应与您在步骤 5 中创建的 Entra ID WorkSpaces 个人版目录的目录名称相匹配。这是因为当 WorkSpaces 将虚拟桌面注册到 Autopilot 时，目录名称字符串将用作组标签。此外，组标签会映射到 Microsoft Entra 设备上的 OrderID 属性。

3. 依次选择设备、Windows、注册。在注册选项中，选择自动注册。对于 MDM 用户范围，选择全部。

4. 创建 Autopilot 部署配置文件。有关更多信息，请参阅 Create an Autopilot deployment profile。

   1. 对于 Windows Autopilot，依次选择部署配置文件、创建配置文件。

   2. 在 Windows Autopilot 部署配置文件屏幕中，选择创建配置文件下拉菜单，然后选择 Windows PC。

   3. 在创建配置文件屏幕上，在开箱即用体验（OOBE）页面中。对于部署模式，选择用户驱动。对于加入 Microsoft Entra ID，选择加入 Microsoft Entra。您可以为已加入 Entra ID 的个人 WorkSpaces 自定义计算机名称（方法是：为应用设备名称模板选择是），以便创建在注册期间命名设备时要使用的模板。

   4. 在分配页面上，对于分配至，选择选定的组。选择选择要包含的组，然后选择您刚刚在 2 中创建的 Autopilot 设备组。

创建 AWS Secrets Manager 密钥

1. 在 AWS Key Management Service 中创建客户自主管理型密钥。稍后将使用该密钥来加密 AWS Secrets Manager 密钥。请勿使用默认密钥来加密您的密钥，因为 WorkSpaces 服务无法访问默认密钥。按照以下步骤创建密钥。

   1. 从 https://console.aws.amazon.com/kms 打开 AWS KMS 控制台。

   2. 要更改 AWS 区域，请使用页面右上角的区域选择器。

   3. 选择 Create key。

   4. 在配置密钥页面上，为密钥类型选择对称。对于密钥用法，选择加密和解密。

   5. 在查看页面的密钥策略编辑器中，通过在密钥策略中包含以下权限，确保您允许 WorkSpaces 服务的主体 workspaces.amazonaws.com 访问密钥。

      {
          "Effect": "Allow",
          "Principal": {
              "Service": [
                  "workspaces.amazonaws.com"
              ]
          },
          "Action": [
              "kms:Decrypt",
              "kms:DescribeKey"
          ],
          "Resource": "*"
       }

2. 使用上一步中创建的 AWS KMS 密钥，在 AWS Secrets Manager 上创建密钥。

   1. 在 https://console.aws.amazon.com/secretsmanager/ 打开 Secrets Manager 控制台。

   2. 选择 存储新密钥。

   3. 在选择密钥类型页面上，为密钥类型选择其他密钥类型。

   4. 对于键/值对，在密钥框中输入“application_id”，然后复制步骤 2 中的 Entra ID 应用程序 ID，并将其粘贴到值框中。

   5. 选择添加行，在密钥框中输入“application_password”，然后复制步骤 2 中的 Entra ID 应用程序客户端密钥，并将其粘贴到值框中。

   6. 从加密密钥下拉列表中，选择上一步创建的 AWS KMS 密钥。

   7. 选择下一步。

   8. 在配置密钥页面，输入密钥名称和描述。

   9. 在资源权限部分，选择编辑权限。

   10. 确保通过在资源权限中包含以下资源策略，允许 WorkSpaces 服务的主体 workspaces.amazonaws.com 访问密钥。

       {
         "Version" : "2012-10-17",
         "Statement" : [ {
           "Effect" : "Allow",
           "Principal" : {
             "Service" : [ "workspaces.amazonaws.com"]
           },
           "Action" : "secretsmanager:GetSecretValue",
           "Resource" : "*"
         } ]
       }

创建 Entra ID WorkSpaces 目录

1. 打开 WorkSpaces 控制台，网址为：https://console.aws.amazon.com/workspaces/。

2. 在导航窗格中，选择目录。

3. 在创建目录页面，对于 WorkSpaces 类型，选择个人。对于 WorkSpace 设备管理，选择 Microsoft Entra ID。

4. 对于 Microsoft Entra 租户 ID，输入您希望目录的 WorkSpace 加入的 Microsoft Entra ID 租户 ID。创建目录后，您将无法更改租户 ID。

5. 对于 Entra ID 应用程序 ID 和密码，从下拉列表中选择您在步骤 4 中创建的 AWS Secrets Manager 密钥。创建目录后，您将无法更改与目录关联的密钥。但是，您可以随时通过 AWS Secrets Manager 控制台（网址为：https://console.aws.amazon.com/secretsmanager/）更新密钥的内容，包括 Entra ID 应用程序 ID 及其密码。

6. 对于用户身份源，从下拉列表中选择您在步骤 1 中配置的 IAM Identity Center 实例。创建目录后，您将无法更改与目录关联的 IAM Identity Center 实例。

7. 对于目录名称，输入目录的唯一名称（例如，WorkSpacesDirectoryName）。

   重要

   目录名称应与 OrderID 一致，为您在步骤 3 中使用 Microsoft Intune 创建的 Autopilot 设备组构建动态查询时使用过它。在 Windows Autopilot 中注册个人 WorkSpaces 时，目录名称字符串用作组标签。组标签会映射到 Microsoft Entra 设备上的 OrderID 属性。

8. （可选）对于描述，输入目录的描述。

9. 对于 VPC，选择您用于启动 WorkSpaces 的 VPC。有关更多信息，请参阅 为 WorkSpaces 个人版配置 VPC。

10. 对于子网，选择来自不同可用区的 VPC 的两个子网。这些子网将用于启动您的个人 WorkSpaces。有关更多信息，请参阅 WorkSpaces 个人版的可用区。

    重要

    确保在子网中启动的 WorkSpaces 可以访问 Internet，这是用户登录 Windows 桌面时所必需的。有关更多信息，请参阅 为 WorkSpaces 个人版提供互联网访问权限。

11. 对于配置，选择启用专用的 WorkSpace。您必须启用它才能创建专用 WorkSpaces 个人版目录，从而启动自带许可（BYOL）Windows 10 或 11 个人 WorkSpaces。

    注意

    如果您未在配置下看到启用专用的 WorkSpace 选项，则说明您的账户尚未启用 BYOL。要为账户启用 BYOL，请参阅WorkSpaces 中的自带 Windows 桌面许可证。

12. （可选）对于标签，指定要用于目录中个人 WorkSpaces 的密钥对值。

13. 查看目录摘要，然后选择创建目录。连接目录需要几分钟时间。目录的初始状态是 Creating。目录创建完毕后，状态会变为 Active。

为 IAM Identity Center 应用程序配置用户分配

1. 通过 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

2. 在 AWS 托管应用程序选项卡上，为 WorkSpaces 目录选择应用程序。应用程序名称采用以下格式：WorkSpaces.wsd-xxxxx，其中，wsd-xxxxx 是 WorkSpaces 目录 ID。

3. 依次选择操作、编辑详细信息。

4. 将用户和组分配方法从不需要分配更改为需要分配。

5. 选择 Save changes（保存更改）。