使用 WorkSpaces Personal 建立專用 Microsoft Entra ID 目錄

1. 使用 AWS Organizations 啟用 IAM Identity Center，尤其是使用多帳戶環境時。您也可以建立 IAM Identity Center 的帳戶執行個體。若要進一步了解，請參閱啟用 AWS IAM Identity Center。每個 WorkSpaces 目錄都可以與一個 IAM Identity Center 執行個體、組織或帳戶建立關聯。

   如果您使用組織執行個體，並嘗試在其中一個成員帳戶中建立 WorkSpaces 目錄，請確定您有下列 IAM Identity Center 許可。

   • "sso:DescribeInstance"

   • "sso:CreateApplication"

   • "sso:PutApplicationGrant"

   • "sso:PutApplicationAuthenticationMethod"

   • "sso:DeleteApplication"

   • "sso:DescribeApplication"

   • "sso:getApplicationGrant"

   如需詳細資訊，請參閱管理 IAM Identity Center 資源存取許可的概觀。此外，請確定沒有任何服務控制政策 SCPs) 封鎖這些許可。若要進一步了解 SCPs，請參閱服務控制政策 SCPs)。

2. 設定 IAM Identity Center 和 Microsoft Entra ID，以自動將所選或所有使用者從 Entra ID 租用戶同步至 IAM Identity Center 執行個體。如需詳細資訊，請參閱使用 Microsoft Entra ID 和 IAM Identity Center 設定 SAML 和 SCIM，以及教學課程：設定 IAM Identity Center AWS 以進行自動使用者佈建。

3. 確認您在 Microsoft Entra ID 上設定的使用者已正確同步至 IAM Identity Center AWS 執行個體。如果您在 Microsoft Entra ID 中看到錯誤訊息，表示 Entra ID 中的使用者是以 IAM Identity Center 不支援的方式設定。錯誤訊息將識別此問題。例如，如果 Entra ID 中的使用者物件缺少名字、姓氏和/或顯示名稱，您將收到類似 的錯誤訊息"2 validation errors detected: Value at 'name.givenName' failed to satisfy constraint: Member must satisfy regular expression pattern: [\\p{L}\\p{M}\\p{S}\\p{N}\\p{P}\\t\\n\\r ]+; Value at 'name.givenName' failed to satisfy constraint: Member must have length greater than or equal to 1"。如需詳細資訊，請參閱特定使用者無法從外部 SCIM 供應商同步到 IAM Identity Center。

設定 Microsoft Intune for Autopilot

1. 登入 Microsoft Intune 管理中心

2. 為個人 WorkSpaces 建立新的 Autopilot 裝置群組。如需詳細資訊，請參閱建立 Windows Autopilot 的裝置群組。

   1. 選擇群組、新群組

   2. 針對 Group type (群組類型)，選擇 Security (安全性)。

   3. 針對成員類型，選擇動態裝置。

   4. 選擇編輯動態查詢以建立動態成員資格規則。規則的格式應該如下：

      (device.devicePhysicalIds -any (_ -eq "[OrderID]:WorkSpacesDirectoryName"))

      重要

      WorkSpacesDirectoryName 應符合您在步驟 5 中建立的 Entra ID WorkSpaces Personal 目錄的目錄名稱。這是因為當 WorkSpaces 向 Autopilot 註冊虛擬桌面時，目錄名稱字串會用作群組標籤。此外，群組標籤會映射到 Microsoft Entra 裝置上的 OrderID 屬性。

3. 選擇裝置、Windows、註冊。針對註冊選項，選擇自動註冊。對於 MDM 使用者範圍，選取全部。

4. 建立 Autopilot 部署設定檔。如需詳細資訊，請參閱建立 Autopilot 部署設定檔。

   1. 針對 Windows Autopilot，選擇部署設定檔、建立設定檔。

   2. 在 Windows Autopilot 部署設定檔畫面中，選取建立設定檔下拉式功能表，然後選取 Windows PC。

   3. 在建立設定檔畫面的Out-of-box(OOBE) 頁面上。針對部署模式，選取使用者驅動。若要加入 Microsoft Entra ID，請選取加入的 Microsoft Entra。您可以透過選取是套用裝置名稱範本來自訂 Entra ID 加入的個人 WorkSpaces 的電腦名稱，以建立範本，以便在註冊期間命名裝置時使用。

   4. 在指派頁面上，針對指派給，選擇選取的群組。選擇選取要包含的群組，然後選擇您剛在 2 中建立的 Autopilot 裝置群組。

建立 AWS Secrets Manager 秘密

1. 在 上建立客戶受管金鑰AWS Key Management Service。金鑰稍後會用來加密 AWS Secrets Manager 秘密。請勿使用預設金鑰來加密秘密，因為 WorkSpaces 服務無法存取預設金鑰。請依照下列步驟建立金鑰。

   1. 在 https：//https://console.aws.amazon.com/kms 開啟 AWS KMS 主控台。

   2. 若要變更 AWS 區域，請使用頁面右上角的區域選擇器。

   3. 選擇建立金鑰。

   4. 在設定金鑰頁面上，針對金鑰類型選擇對稱。針對金鑰用量，選擇加密和解密。

   5. 在檢閱頁面上，在金鑰政策編輯器中，透過在金鑰政策中包含下列許可，確保您允許 WorkSpaces 服務對金鑰的主體workspaces.amazonaws.com存取。

      {
          "Effect": "Allow",
          "Principal": {
              "Service": [
                  "workspaces.amazonaws.com"
              ]
          },
          "Action": [
              "kms:Decrypt",
              "kms:DescribeKey"
          ],
          "Resource": "*"
       }

2. 使用上一個步驟中建立的 AWS KMS 金鑰 AWS Secrets Manager，在 上建立秘密。

   1. 前往以下位置開啟機密管理員控制台：https://console.aws.amazon.com/secretsmanager/。

   2. 選擇 Store a new secret (存放新機密)。

   3. 在選擇秘密類型頁面上，針對秘密類型，選取其他類型的秘密。

   4. 對於金鑰/值對，在金鑰方塊中，在金鑰方塊中輸入「application_id」，然後從步驟 2 複製 Entra ID 應用程式 ID，並將其貼到值方塊中。

   5. 選擇新增列，在鍵框中輸入「application_password」，然後從步驟 2 複製 Entra ID 應用程式用戶端秘密，並將其貼到值方塊中。

   6. 從加密 AWS KMS 金鑰下拉式清單中選擇您在上一個步驟中建立的金鑰。

   7. 選擇 Next (下一步)。

   8. 在設定秘密頁面上，輸入秘密名稱和描述。

   9. 在資源許可區段中，選擇編輯許可。

   10. 請確定您在資源許可中包含下列資源政策，以允許 WorkSpaces 服務的主體workspaces.amazonaws.com存取秘密。

       {
         "Version" : "2012-10-17",
         "Statement" : [ {
           "Effect" : "Allow",
           "Principal" : {
             "Service" : [ "workspaces.amazonaws.com"]
           },
           "Action" : "secretsmanager:GetSecretValue",
           "Resource" : "*"
         } ]
       }

建立 Entra ID WorkSpaces 目錄

1. 開啟 WorkSpaces 主控台，網址為 https://console.aws.amazon.com/workspaces/。

2. 在導覽窗格中，選擇目錄。

3. 在建立目錄頁面上，針對 WorkSpaces 類型選擇個人。針對 WorkSpace 裝置管理，選擇 Microsoft Entra ID。

4. 針對 Microsoft Entra 租用戶 ID，輸入您要讓目錄的 WorkSpace 加入的 Microsoft Entra ID 租用戶 ID。建立目錄後，您將無法變更租戶 ID。

5. 針對 Entra ID 應用程式 ID 和密碼，請從下拉式清單中選取您在步驟 4 中建立的 AWS Secrets Manager 秘密。建立目錄後，您將無法變更與目錄相關聯的秘密。不過，您可以隨時透過 AWS Secrets Manager 主控台更新秘密的內容，包括 Entra ID 應用程式 ID 及其密碼，網址為 https：//https://console.aws.amazon.com/secretsmanager/。

6. 對於使用者身分來源，請從下拉式清單中選取您在步驟 1 中設定的 IAM Identity Center 執行個體。建立目錄後，您將無法變更與目錄相關聯的 IAM Identity Center 執行個體。

7. 對於目錄名稱，輸入目錄的唯一名稱 （例如 WorkSpacesDirectoryName)。

   重要

   目錄名稱應與在步驟 3 中使用 Microsoft Intune 建立的 Autopilot 裝置群組建構動態查詢OrderID所用的 相符。在 Windows Autopilot 中註冊個人 WorkSpaces 時，目錄名稱字串會用作群組標籤。群組標籤會映射到 Microsoft Entra 裝置上的 OrderID 屬性。

8. (選用) 針對描述，輸入目錄的描述。

9. 針對 VPC，選取您用來啟動 WorkSpaces 的 VPC。如需詳細資訊，請參閱VPC 為 WorkSpaces 個人設定。

10. 針對子網路，選取兩個不是來自相同可用區域的 VPC 子網路。這些子網路將用於啟動您的個人 WorkSpaces。如需詳細資訊，請參閱 WorkSpaces 個人的可用區域。

    重要

    確保在子網路中啟動的 WorkSpaces 具有網際網路存取，這是使用者登入 Windows 桌面時需要的。如需詳細資訊，請參閱為 WorkSpaces 個人提供網際網路存取。

11. 針對組態，選取啟用專用 WorkSpace。您必須讓它建立專用的 WorkSpaces 個人目錄，才能啟動自帶授權 (BYOL) Windows 10 或 11 個人 WorkSpaces。

    注意

    如果您沒有在組態下看到啟用專用 WorkSpace 選項，您的帳戶尚未為 BYOL 啟用。若要為您的帳戶啟用 BYOL，請參閱 在 WorkSpaces 中攜帶您自己的 Windows 桌面授權。

12. （選用） 針對標籤，在 目錄中指定您要用於個人 WorkSpaces 的金鑰對值。

13. 檢閱目錄摘要，然後選擇建立目錄。連線您的目錄需要幾分鐘的時間。目錄的初始狀態為 Creating。目錄建立完成時，狀態為 Active。

設定 IAM Identity Center 應用程式的使用者指派

1. 開啟位於 https://console.aws.amazon.com/iam/ 的 IAM 主控台。

2. 在AWS 受管應用程式索引標籤上，選擇 WorkSpaces 目錄的應用程式。應用程式名稱的格式如下：WorkSpaces.wsd-xxxxx，其中 wsd-xxxxx是 WorkSpaces 目錄 ID。

3. 選擇動作、編輯詳細資訊。

4. 從 變更使用者和群組指派方法 不需要指派以要求指派。

5. 選擇 Save changes (儲存變更)。