本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

在桌面上為企業部署設定 Amazon Quick

若要在桌面上使用 Amazon Quick 進行企業部署，管理員必須設定企業單一登入 (SSO)，以便組織中的使用者可以使用其企業憑證登入。此設定會將組織的 OpenID Connect (OIDC) 相容身分提供者 (IdP) 連線至 Amazon Quick。

設定會依序包含下列步驟：

本指南提供 Microsoft Entra ID、Okta 和 Ping Identity (PingFederate 和 PingOne) 的 IdP 特定指示。請參閱以下特定身分提供者的說明。

企業登入的運作方式

Amazon Quick 桌面應用程式使用 OIDC 通訊協定來驗證使用者。當使用者選擇企業登入時，應用程式會開啟瀏覽器視窗，並重新導向至 IdP 的授權端點。然後，應用程式會使用 Code Exchange 的驗證金鑰 (PKCE) 交換產生的權杖授權碼。

Amazon Quick 會驗證權杖，並將使用者映射至您帳戶中的身分。對於使用 IAM Identity Center 的帳戶，TTI 會將 OIDC 權杖中的email宣告映射至身分存放區中的 emails.value 屬性。對於使用 IAM 聯合的帳戶，Amazon Quick 會透過電子郵件直接映射使用者。在這兩種情況下，IdP 中的電子郵件地址必須與 Amazon Quick 中使用者的電子郵件地址完全相符。

先決條件

開始之前，請確認您有下列項目：

步驟 1：在身分提供者中建立 OIDC 應用程式

在 IdP 中註冊公有 OIDC 用戶端應用程式。Amazon Quick 桌面應用程式使用此用戶端透過授權碼流程搭配 PKCE 來驗證使用者。不需要用戶端秘密。

桌面應用程式需要重新整理權杖來維護長期工作階段。重新整理字符的設定方式取決於您的 IdP：

選擇身分提供者的指示。

Microsoft Entra ID

如需詳細說明，請參閱 Microsoft Entra 文件中的註冊應用程式。

這是公有用戶端註冊。公有用戶端的 Entra ID 會自動強制執行 PKCE。

您的 OIDC 端點使用以下格式。<TENANT_ID> 將 取代為您的目錄 （租戶） ID。

Okta

如需詳細說明，請參閱 Okta 文件中的建立 OpenID Connect 應用程式整合。

Okta 會自動為原生應用程式強制執行 PKCE (S256)。

您的 OIDC 端點使用以下格式。<OKTA_DOMAIN> 將 取代為您的 Okta 網域 （例如 your-org.okta.com)。

Ping 身分

選擇 Ping Identity 產品的指示。

PingFederate

如需詳細說明，請參閱 Ping Identity 文件中的在 PingFederate 中設定 OIDC 應用程式。

您的 OIDC 端點使用以下格式。<PINGFEDERATE_HOST> 將 取代為您的 PingFederate 伺服器主機名稱。

PingOne

如需詳細說明，請參閱 Ping Identity 文件中的編輯應用程式 – 原生。

您的 OIDC 端點使用以下格式。將 取代<ENV_ID>為您的 PingOne 環境 ID。

步驟 2：在 IAM Identity Center 中建立受信任權杖發行者

TTI 會告知 IAM Identity Center 信任來自 IdP 的權杖，以及如何將權杖對應至 IAM Identity Center 使用者。您可以在 Identity Center 主控台或使用 AWS Identity and Access Management CLI AWS 建立 TTI。

如需詳細資訊，請參閱 AWS Identity and Access Management Identity Center 使用者指南中的設定信任的字符發行者。

或者，若要使用 CLI AWS 建立 TTI，請執行下列命令。<IDC_INSTANCE_ARN> 將 取代為您的 IAM Identity Center 執行個體 Amazon Resource Name (ARN)，並將 <ISSUER_URL>取代為步驟 1 中的發行者 URL。

aws sso-admin create-trusted-token-issuer \
  --instance-arn <IDC_INSTANCE_ARN> \
  --name "AmazonQuickDesktop" \
  --trusted-token-issuer-type OIDC_JWT \
  --trusted-token-issuer-configuration '{
    "OidcJwtConfiguration": {
      "IssuerUrl": "<ISSUER_URL>",
      "ClaimAttributePath": "email",
      "IdentityStoreAttributePath": "emails.value",
      "JwksRetrievalOption": "OPEN_ID_DISCOVERY"
    }
  }'

請注意輸出中的 TrustedTokenIssuerArn 。下一個步驟需要此值。

下表列出每個身分提供者的發行者 URL。

步驟 3：在 Amazon Quick 管理主控台中設定擴充功能存取

步驟 4：下載並分發桌面應用程式

設定企業登入後，請自行下載並安裝桌面應用程式來驗證設定。在登入畫面上選擇企業登入，然後使用您的企業登入資料進行驗證，以確認組態是否正常運作。如需下載和安裝步驟，請參閱 開始使用。

如果登入失敗，請對照步驟 1 的 OIDC 端點，驗證您在步驟 3 中輸入的值。如果任何值不正確，請刪除許可 → 延伸存取下的延伸存取，並使用正確的值重複步驟 3。

驗證設定之後，請將您的使用者導向 開始使用，以取得下載、安裝和登入指示。

疑難排解