Créez un répertoire Microsoft Entra ID dédié avec WorkSpaces Personal

1. Activez IAM Identity Center auprès de vos AWS organisations, en particulier si vous utilisez un environnement multi-comptes. Vous pouvez également créer une instance de compte d'IAM Identity Center. Pour en savoir plus, consultez la section Activation d' AWS IAM Identity Center. Chaque WorkSpaces annuaire peut être associé à une instance, une organisation ou un compte IAM Identity Center.

   Si vous utilisez une instance d'organisation et que vous essayez de créer un WorkSpaces annuaire dans l'un des comptes membres, assurez-vous de disposer des autorisations IAM Identity Center suivantes.

   • "sso:DescribeInstance"

   • "sso:CreateApplication"

   • "sso:PutApplicationGrant"

   • "sso:PutApplicationAuthenticationMethod"

   • "sso:DeleteApplication"

   • "sso:DescribeApplication"

   • "sso:getApplicationGrant"

   Pour plus d'informations, consultez Présentation de la gestion des autorisations d'accès à vos ressources IAM Identity Center. Assurez-vous également qu'aucune politique de contrôle des services (SCP) ne bloque ces autorisations. Pour en savoir plus sur les SCP, consultez la section Politiques de contrôle des services (SCP).

2. Configurez IAM Identity Center et Microsoft Entra ID pour synchroniser automatiquement certains ou tous les utilisateurs de votre locataire Entra ID avec votre instance IAM Identity Center. Pour plus d'informations, consultez Configurer SAML et SCIM avec Microsoft Entra ID et IAM Identity Center et Tutoriel : Configurer AWS IAM Identity Center pour le provisionnement automatique des utilisateurs.

3. Vérifiez que les utilisateurs que vous avez configurés sur Microsoft Entra ID sont correctement synchronisés avec l'instance AWS IAM Identity Center. Si un message d'erreur s'affiche dans Microsoft Entra ID, cela indique que l'utilisateur dans Entra ID est configuré d'une manière qui n'est pas prise en charge par IAM Identity Center. Le message d'erreur identifiera ce problème. Par exemple, si l'objet utilisateur dans Entra ID n'a pas de prénom, de nom de famille and/or ou de nom d'affichage, vous recevrez un message d'erreur similaire à"2 validation errors detected: Value at 'name.givenName' failed to satisfy constraint: Member must satisfy regular expression pattern: [\\p{L}\\p{M}\\p{S}\\p{N}\\p{P}\\t\\n\\r ]+; Value at 'name.givenName' failed to satisfy constraint: Member must have length greater than or equal to 1". Pour plus d'informations, consultez la section Des utilisateurs spécifiques ne parviennent pas à se synchroniser avec IAM Identity Center à partir d'un fournisseur SCIM externe.

Pour configurer votre Microsoft Intune pour Autopilot

1. Connectez-vous au centre d'administration Microsoft Intune

2. Créez un nouveau groupe d'appareils Autopilot pour les utilisateurs personnels. WorkSpaces Pour plus d'informations, voir Création de groupes de périphériques pour Windows Autopilot.

   1. Choisissez Groupes, Nouveau groupe

   2. Pour Type de groupe, choisissez Sécurité.

   3. Pour Type d'adhésion, choisissez Dynamic Device.

   4. Choisissez Modifier la requête dynamique pour créer une règle d'adhésion dynamique. La règle doit être au format suivant :

      (device.devicePhysicalIds -any (_ -eq "[OrderID]:WorkSpacesDirectoryName"))

      Important

      WorkSpacesDirectoryNamedoit correspondre au nom du répertoire WorkSpaces personnel Entra ID que vous avez créé à l'étape 5. Cela est dû au fait que la chaîne du nom du répertoire est utilisée comme balise de groupe lors de l' WorkSpaces enregistrement de bureaux virtuels dans Autopilot. En outre, la balise de groupe correspond à l'OrderIDattribut sur les appareils Microsoft Entra.

3. Choisissez Appareils, Windows, Inscription. Pour les options d'inscription, choisissez Inscription automatique. Pour l'étendue des utilisateurs MDM, sélectionnez Tout.

4. Créez un profil de déploiement du pilote automatique. Pour plus d'informations, voir Création d'un profil de déploiement de pilote automatique.

   1. Pour Windows Autopilot, choisissez Profils de déploiement, puis Créer un profil.

   2. Dans l'écran des profils de déploiement du pilote automatique Windows, sélectionnez le menu déroulant Créer un profil, puis sélectionnez Windows PC.

   3. Dans l'écran Créer un profil, sur la page Sur l' Out-of-box expérience (OOBE). Pour le mode de déploiement, sélectionnez User-driven. Pour Rejoindre à Microsoft Entra ID, sélectionnez Microsoft Entra joint. Vous pouvez personnaliser les noms des ordinateurs pour votre compte Entra ID-joined personal en WorkSpaces sélectionnant Oui pour Appliquer le modèle de nom d'appareil, afin de créer un modèle à utiliser pour nommer un appareil lors de l'inscription.

   4. Sur la page Devoirs, pour Attribuer à, choisissez Groupes sélectionnés. Choisissez Sélectionner les groupes à inclure, puis sélectionnez le groupe d'appareils Autopilot que vous venez de créer dans 2.

Pour créer un AWS Secrets Manager secret

1. Créez une clé gérée par le client sur AWS Key Management Service. La clé sera utilisée ultérieurement pour chiffrer le AWS Secrets Manager secret. N'utilisez pas la clé par défaut pour chiffrer votre secret, car le WorkSpaces service n'y a pas accès. Suivez les étapes ci-dessous pour créer la clé.

   1. Ouvrez la AWS KMS console à l'adresse https://console.aws.amazon.com/kms.

   2. Pour modifier la Région AWS, utilisez le sélecteur de région situé dans le coin supérieur droit de la page.

   3. Choisissez Create key.

   4. Sur la page Configurer la clé, dans Type de clé, choisissez Symétrique. Pour l'utilisation de la clé, choisissez Chiffrer et déchiffrer.

   5. Sur la page Révision, dans l'éditeur de politique clé, assurez-vous d'autoriser l'workspaces.amazonaws.com.rproxy.govskope.caaccès principal du WorkSpaces service à la clé en incluant les autorisations suivantes dans la politique de clé.

      {
          "Effect": "Allow",
          "Principal": {
              "Service": [
                  "workspaces.amazonaws.com"
              ]
          },
          "Action": [
              "kms:Decrypt",
              "kms:DescribeKey"
          ],
          "Resource": "*"
       }

2. Créez le secret en AWS Secrets Manager utilisant la AWS KMS clé créée à l'étape précédente.

   1. Ouvrez la console Secrets Manager à l'adresse https://console.aws.amazon.com/secretsmanager/.

   2. Choisissez Store a new secret (Stocker un nouveau secret).

   3. Sur la page Choisir le type de secret, dans Type de secret, sélectionnez Autre type de secret.

   4. Pour les Key/value paires, dans la case clé, entrez « application_id » dans la case clé, puis copiez l'ID de l'application Entra ID de l'étape 2 et collez-le dans la zone de valeur.

   5. Choisissez Ajouter une ligne, dans la case clé, entrez « application_password », puis copiez le secret du client de l'application Entra ID de l'étape 2 et collez-le dans la zone de valeur.

   6. Choisissez la AWS KMS clé que vous avez créée à l'étape précédente dans la liste déroulante Clé de chiffrement.

   7. Choisissez Suivant.

   8. Sur la page Configurer le secret, entrez un nom et une description du secret.

   9. Dans la section Autorisations relatives aux ressources, choisissez Modifier les autorisations.

   10. Assurez-vous d'autoriser l'workspaces.amazonaws.com.rproxy.govskope.caaccès principal du WorkSpaces service au secret en incluant le respect de la politique des ressources dans les autorisations relatives aux ressources.

       JSON

       {
         "Version":"2012-10-17",
         "Statement" : [ {
           "Effect" : "Allow",
           "Principal" : {
             "Service" : [ "workspaces.amazonaws.com"]
           },
           "Action" : "secretsmanager:GetSecretValue",
           "Resource" : "*"
         } ]
       }
       

Pour créer un WorkSpaces répertoire Entra ID

1. Ouvrez la WorkSpaces console à l'adresse https://console.aws.amazon.com/workspaces/v2/home.

2. Dans le volet de navigation, choisissez Directories (Annuaires).

3. Sur la page Créer un répertoire, choisissez Personnel comme WorkSpaces type. Pour la gestion des WorkSpace appareils, choisissez Microsoft Entra ID.

4. Pour l'ID de locataire Microsoft Entra, entrez l'ID de locataire Microsoft Entra ID auquel vous souhaitez que votre annuaire soit rattaché. WorkSpaces Vous ne pourrez pas modifier l'ID du locataire une fois le répertoire créé.

5. Pour l'identifiant et le mot de passe de l'application Entra ID, sélectionnez le AWS Secrets Manager secret que vous avez créé à l'étape 4 dans la liste déroulante. Vous ne pourrez pas modifier le secret associé au répertoire une fois celui-ci créé. Cependant, vous pouvez toujours mettre à jour le contenu du secret, y compris l'identifiant de l'application Entra ID et son mot de passe via la AWS Secrets Manager console à l'adresse https://console.aws.amazon.com/secretsmanager/.

6. Si votre instance IAM Identity Center se trouve dans la même AWS région que votre WorkSpaces annuaire, dans Source d'identité utilisateur, sélectionnez l'instance IAM Identity Center que vous avez configurée à l'étape 1 dans la liste déroulante. Vous ne pourrez pas modifier l'instance IAM Identity Center associée à l'annuaire une fois celui-ci créé.

   Si votre instance IAM Identity Center se trouve dans une AWS région différente de celle de votre WorkSpaces annuaire, choisissez Activer, Cross-Region puis sélectionnez la région dans la liste déroulante.

   Note

   Si vous possédez déjà une instance IAM Identity Center dans une autre région, vous devez vous inscrire pour configurer une intégration interrégionale. Pour plus d'informations sur la configuration interrégionale, consultezCréation d'une intégration interrégionale IAM Identity Center (facultatif).

7. Dans Nom du répertoire, entrez un nom unique pour le répertoire (par exemple,WorkSpacesDirectoryName).

   Important

   Le nom du répertoire doit correspondre à celui OrderID utilisé pour créer la requête dynamique pour le groupe de périphériques Autopilot que vous avez créé avec Microsoft Intune à l'étape 3. La chaîne du nom du répertoire est utilisée comme balise de groupe lors de l'enregistrement personnel WorkSpaces dans Windows Autopilot. La balise de groupe correspond à l'OrderIDattribut sur les appareils Microsoft Entra.

8. (Facultatif) Dans le champ Description, saisissez une description pour la stratégie.

9. Pour VPC, sélectionnez le VPC que vous avez utilisé pour lancer votre. WorkSpaces Pour de plus amples informations, veuillez consulter Configuration d'un VPC pour le personnel WorkSpaces.

10. Pour les sous-réseaux, sélectionnez deux sous-réseaux de votre VPC qui ne se trouvent pas dans la même zone de disponibilité. Ces sous-réseaux seront utilisés pour lancer votre compte personnel WorkSpaces. Pour de plus amples informations, veuillez consulter Zones de disponibilité pour le WorkSpaces personnel.

    Important

    Assurez-vous que les appareils WorkSpaces lancés dans les sous-réseaux disposent d'un accès à Internet, ce qui est nécessaire lorsque les utilisateurs se connectent aux postes de travail Windows. Pour de plus amples informations, veuillez consulter Fournir un accès à Internet pour les WorkSpaces particuliers.

11. Pour Configuration, sélectionnez Activer la fonction dédiée WorkSpace. Vous devez l'activer pour créer un répertoire WorkSpaces personnel dédié afin de lancer Bring Your Own License (BYOL) Windows 10 ou 11 personal WorkSpaces.

    Note

    Si l' WorkSpaceoption Activer la fonction dédiée n'apparaît pas sous Configuration, cela signifie que votre compte n'a pas été activé pour le BYOL. Pour activer le BYOL pour votre compte, consultezApportez vos propres licences de bureau Windows WorkSpaces.

12. (Facultatif) Pour Tags, spécifiez la valeur de paire de clés que vous souhaitez utiliser pour les données personnelles WorkSpaces dans l'annuaire.

13. Consultez le résumé du répertoire et choisissez Créer un répertoire. La connexion de votre annuaire prend plusieurs minutes. Le statut initial de l'annuaire est Creating. Lorsque la création de l'annuaire est terminée, le statut est Active.

Pour configurer l'attribution des utilisateurs à l'application IAM Identity Center

1. Ouvrez la console IAM à l’adresse https://console.aws.amazon.com/iam/.

2. Dans l'onglet Applications AWS gérées, choisissez l'application pour le WorkSpaces répertoire. Les noms des applications sont au format suivant :WorkSpaces.wsd-xxxxx, où wsd-xxxxx est l'ID du WorkSpaces répertoire.

3. Choisissez Actions, puis Modifier les détails.

4. Modifiez la méthode d'attribution des utilisateurs et des groupes de Ne pas exiger d'attributions à Exiger des affectations.

5. Sélectionnez Enregistrer les modifications.