As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Considerações sobre design

Uma implantação funcional do AD DS na AWS nuvem exige uma boa compreensão dos conceitos e AWS serviços específicos do Active Directory. Esta seção discute as principais considerações de design ao implantar o AD DS para Amazon, as melhores práticas de WorkSpaces VPC para AWS Directory Service, requisitos de DHCP e DNS, especificações do AD Connector e sites e serviços do AD.

Design em VPC

Conforme discutido anteriormente na seção Considerações de rede deste documento e documentado anteriormente para os cenários 2 e 3, os clientes devem implantar o AD DS na AWS nuvem em um par dedicado de sub-redes privadas, em duas AZs e separadas do AD Connector ou sub-redes. WorkSpaces Essa construção fornece acesso altamente disponível e de baixa latência aos serviços do AD DS WorkSpaces, mantendo as melhores práticas padrão de separação de funções ou funções na Amazon VPC.

A figura a seguir mostra a separação do AD DS e do AD Connector em sub-redes privadas dedicadas (cenário 3). Neste exemplo, todos os serviços residem na mesma Amazon VPC.

A figura a seguir mostra um design semelhante ao cenário 1; no entanto, nesse cenário, a parte local reside em uma Amazon VPC dedicada.

Além da criação de sub-redes privadas dedicadas para o AD DS, os controladores de domínio e os servidores membros exigem várias regras do Grupo de Segurança para permitir tráfego para serviços, como replicação do AD DS, autenticação de usuário, serviços do Windows Time e sistema de arquivos distribuído (DFS).

Tabela 1 — Comunicações bidirecionais do AD DS de e para a nuvem AWS

Para obter mais informações, consulte Requisitos de porta do Active Directory e dos Serviços de Domínio Active Directory e visão geral do serviço e requisitos de porta de rede para Windows

Para step-by-step obter orientação sobre a implementação de regras, consulte Adicionar regras a um grupo de segurança no Guia do usuário do Amazon Elastic Compute Cloud.

Design de VPC: DHCP e DNS

Com uma Amazon VPC, os serviços do Dynamic Host Configuration Protocol (DHCP) são fornecidos por padrão para suas instâncias. Por padrão, cada VPC fornece um servidor interno do Sistema de Nomes de Domínio (DNS) que pode ser acessado por meio do espaço de endereço Classless Inter-Domain Routing (CIDR) +2 e é atribuído a todas as instâncias por meio de um conjunto de opções DHCP padrão.

Os conjuntos de opções de DHCP são usados em uma Amazon VPC para definir opções de escopo, como o nome de domínio ou os servidores de nomes que devem ser entregues às instâncias do cliente via DHCP. A funcionalidade correta dos serviços do Windows em uma VPC do cliente depende dessa opção de escopo de DHCP. Em cada um dos cenários definidos anteriormente, os clientes criam e atribuem seu próprio escopo que define o nome de domínio e os servidores de nomes. Isso garante que as instâncias do Windows associadas ao domínio WorkSpaces estejam configuradas para usar o AD DNS.

A tabela a seguir é um exemplo de um conjunto personalizado de opções de escopo DHCP que devem ser criadas para que a Amazon WorkSpaces e o AWS Directory Services funcionem corretamente.

Tabela 2 — Conjunto personalizado de opções de escopo DHCP

Para obter detalhes sobre como criar um conjunto de opções DHCP personalizado e associá-lo a uma Amazon VPC, consulte Como trabalhar com conjuntos de opções de DHCP no Guia do usuário da Amazon Virtual Private Cloud.

No cenário 1, o escopo do DHCP seria o DNS local ou o AD DS. No entanto, nos cenários 2 ou 3, esse seria o serviço de diretório implantado localmente (AD DS no Amazon EC2 AWS ou Directory Services: Microsoft AD). É recomendável que cada controlador de domínio que resida na AWS nuvem seja um catálogo global e um servidor DNS integrado ao diretório.

Active Directory: sites e serviços

Para o Cenário 2, sites e serviços são componentes essenciais para o funcionamento correto do AD DS. A topologia do site controla a replicação do AD entre controladores de domínio dentro do mesmo site e entre os limites do site. No cenário 2, pelo menos dois sites estão presentes: no local e a Amazon WorkSpaces na nuvem.

Definir a topologia correta do site garante a afinidade com o cliente, o que significa que os clientes (nesse caso WorkSpaces) usam seu controlador de domínio local preferido.

Prática recomendada: defina o alto custo dos links de sites entre o AD DS local e a AWS nuvem. A figura a seguir é um exemplo de quais custos atribuir aos links do site (custo 100) para garantir a afinidade com o cliente independente do site.

Essas associações ajudam a garantir que o tráfego, como a replicação do AD DS e a autenticação do cliente, use o caminho mais eficiente para um controlador de domínio. No caso dos cenários 2 e 3, isso ajuda a garantir menor latência e tráfego de links cruzados.

Protocolo

O Amazon WorkSpaces Streaming Protocol (WSP) é um protocolo de streaming nativo da nuvem que permite uma experiência de usuário consistente em distâncias globais e redes não confiáveis. O WSP separa o protocolo do WorkSpaces descarregando a análise métrica, a codificação, o uso e a seleção do codec. O WSP usa a porta TCP/UDP 4195. Ao decidir se usar ou não o protocolo WSP, há várias perguntas importantes que devem ser respondidas antes da implantação. Consulte a matriz de decisão abaixo:

As perguntas anteriores são fundamentais para determinar o protocolo que deve ser usado. Informações adicionais sobre os casos de uso de protocolos recomendados podem ser revisadas aqui. O protocolo usado também pode ser alterado posteriormente usando o recurso Amazon WorkSpaces Migrate. Mais informações sobre o uso desse recurso podem ser revisadas aqui.

Ao implantar WorkSpaces usando o WSP, os Gateways WSP devem ser adicionados a uma lista de permissões para garantir a conectividade com o serviço. Além disso, para usuários que se conectam a um WorkSpaces usando WSP, o tempo de ida e volta (RTT) deve ser inferior a 250 ms para melhor desempenho. As conexões com um RTT entre 250 ms e 400 ms serão degradadas. Se a conexão do usuário estiver constantemente degradada, é recomendável implantar uma Amazon WorkSpaces em uma região com suporte de serviços mais próxima do usuário final, se possível.

Autenticação multifator (MFA)

A implementação do MFA exige WorkSpaces que a Amazon seja configurada com um Active Directory Connector (AD Connector) ou Managed AWS Microsoft AD (MAD) como seu Directory Service e tenha um servidor RADIUS acessível em rede pelo Directory Service. O Simple Active Directory não oferece suporte ao MFA.

Consulte a seção anterior, abordando as considerações sobre a implantação do Active Directory e dos Serviços de Diretório para as opções de design do AD e do RADIUS em cada cenário.

MFA — Autenticação de dois fatores

Depois que a MFA for ativada, os usuários deverão fornecer seu nome de usuário, senha e código de MFA ao WorkSpaces cliente para autenticação em seus respectivos desktops. WorkSpaces

WorkSpaces O MFA requer um ou mais servidores RADIUS. Normalmente, essas são soluções existentes que você já pode ter implantado, por exemplo, RSA ou Gemalto. Como alternativa, os servidores RADIUS podem ser implantados em sua VPC em instâncias EC2 (consulte a seção Cenários de implantação do AD DS deste documento para ver as opções de arquitetura). Se você estiver implantando uma nova solução RADIUS, existem várias implementações, como o FreeRADIUS, junto com ofertas de SaaS, como Duo Security ou Okta MFA.

É uma prática recomendada utilizar vários servidores RADIUS para garantir que sua solução seja resistente a falhas. Ao configurar seu Directory Service para MFA, você pode inserir vários endereços IP separando-os com uma vírgula (por exemplo, 192.0.0.0,192.0.0.12). O recurso MFA dos Serviços de Diretório tentará o primeiro endereço IP especificado e passará para o segundo endereço IP caso a conectividade de rede não possa ser estabelecida com o primeiro. A configuração do RADIUS para uma arquitetura de alta disponibilidade é exclusiva para cada conjunto de soluções, no entanto, a recomendação geral é colocar as instâncias subjacentes do seu recurso RADIUS em diferentes zonas de disponibilidade. Um exemplo de configuração é o Duo Security e, para o Okta MFA, você pode implantar vários agentes do servidor Okta RADIUS da mesma maneira.

Para obter etapas detalhadas para habilitar seu AWS Directory Service para MFA, consulte AD Connector e Managed AWS Microsoft AD.

Recuperação de desastres/ Continuidade de negócios

WorkSpaces Redirecionamento entre regiões

A Amazon WorkSpaces é um serviço regional que fornece acesso remoto ao desktop aos clientes. Dependendo dos requisitos de continuidade de negócios e recuperação de desastres (BC/DR), alguns clientes exigem um failover contínuo para outra região em que o serviço esteja disponível. WorkSpaces Esse requisito de BC/DR pode ser cumprido usando a opção de redirecionamento WorkSpaces entre regiões. Ele permite que os clientes usem um nome de domínio totalmente qualificado (FQDN) como código de WorkSpaces registro.

Uma consideração importante é determinar em que ponto um redirecionamento para uma região de failover deve ocorrer. Os critérios para essa decisão devem ser baseados na política da sua empresa, mas devem incluir o Objetivo de Tempo de Recuperação (RTO) e o Objetivo de Ponto de Recuperação (RPO). Um projeto de WorkSpaces arquitetura Well-Architected deve incluir o potencial de falha no serviço. A tolerância de tempo para a recuperação normal das operações comerciais também influenciará a decisão.

Quando seus usuários finais fazem login WorkSpaces com um FQDN como código de registro, um WorkSpaces registro DNS TXT é resolvido contendo um identificador de conexão que determina o diretório registrado para o qual o usuário será direcionado. A página inicial de login do WorkSpaces cliente será então apresentada com base no diretório registrado associado ao identificador de conexão retornado. Isso permite que os administradores direcionem seus usuários finais para diferentes WorkSpaces diretórios com base em suas políticas de DNS para o FQDN. Essa opção pode ser usada com zonas DNS públicas ou privadas, supondo que as zonas privadas possam ser resolvidas na máquina cliente. O redirecionamento entre regiões pode ser manual ou automatizado. Esses dois failovers podem ser obtidos alterando o registro TXT contendo o identificador de conexão a ser apontado para o diretório desejado.

Ao desenvolver sua estratégia de BC/DR, é importante considerar os dados do usuário, pois a opção de redirecionamento WorkSpaces entre regiões não sincroniza nenhum dado do usuário nem sincroniza suas imagens. WorkSpaces Suas WorkSpaces implantações em diferentes AWS regiões são entidades independentes. Portanto, você precisará tomar medidas adicionais para garantir que seus WorkSpaces usuários possam acessar seus dados quando ocorrer um redirecionamento para uma região secundária. Há muitas opções disponíveis para replicação de dados do usuário WorkSpaces, como o Windows FSx (DFS Share) ou utilitários de terceiros para sincronizar volumes de dados entre regiões. Da mesma forma, você precisará garantir que sua região secundária tenha acesso às WorkSpaces imagens necessárias, por exemplo, copiando as imagens entre regiões. Para obter mais informações, consulte Redirecionamento entre regiões da Amazon WorkSpaces no Guia de WorkSpaces Administração da Amazon e o exemplo no diagrama.

WorkSpaces Interface VPC Endpoint (AWS PrivateLink) — Chamadas de API

As APIs WorkSpaces públicas da Amazon são suportadas no. AWS PrivateLink AWS PrivateLink aumenta a segurança dos dados compartilhados com aplicativos baseados em nuvem, reduzindo a exposição dos dados à Internet pública. WorkSpaces O tráfego de API pode ser protegido dentro de uma VPC usando um endpoint de interface, que é uma interface de rede elástica com um endereço IP privado do intervalo de endereços IP da sua sub-rede que serve como ponto de entrada para o tráfego destinado a um serviço compatível. Isso permite que você acesse de forma privada os serviços de WorkSpaces API usando endereços IP privados.

O uso PrivateLink com APIs WorkSpaces públicas também permite que você exponha com segurança as APIs REST aos recursos somente dentro da sua VPC ou àqueles conectados aos seus data centers via. AWS Direct Connect

Você pode restringir o acesso a Amazon VPCs e VPC Endpoints selecionados e habilitar o acesso entre contas usando políticas específicas de recursos.

Certifique-se de que o grupo de segurança associado à interface de rede do endpoint permita a comunicação entre a interface da rede do endpoint e os recursos em sua VPC que se comunicam com o serviço. Se o grupo de segurança restringir o tráfego HTTPS de entrada (porta 443) de recursos na VPC, talvez você não consiga enviar tráfego pela interface de rede do endpoint. Um endpoint de interface é compatível somente com tráfego TCP.

Criar notificação para receber alertas sobre eventos de endpoint de interface — Você pode criar uma notificação para receber alertas de eventos específicos que ocorrem em seu endpoint de interface. Para criar uma notificação, é preciso associar um tópico do Amazon SNS a ela. Você pode se inscrever no tópico do SNS para receber uma notificação por e-mail quando ocorrer um evento do endpoint.

Crie uma política de endpoint de VPC para a Amazon WorkSpaces — Você pode criar uma política para endpoints de VPC da Amazon para a Amazon WorkSpaces para especificar o seguinte:

Conecte sua rede privada à sua VPC — Para chamar a WorkSpaces API da Amazon por meio de sua VPC, você precisa se conectar a partir de uma instância que esteja dentro da VPC ou conectar sua rede privada à sua VPC usando uma Amazon Virtual Private Network (VPN) ou. AWS Direct Connect Para obter informações sobre o Amazon VPN, consulte as conexões VPN no Guia do usuário da Amazon Virtual Private Cloud. Para obter informações sobre AWS Direct Connect, consulte Criar uma conexão no Guia do AWS Direct Connect usuário.

Para obter mais informações sobre o uso da WorkSpaces API da Amazon por meio de um endpoint de interface VPC, consulte Segurança de infraestrutura na Amazon. WorkSpaces

Suporte ao cartão inteligente

O suporte a cartões inteligentes está disponível para Microsoft Windows e Amazon Linux WorkSpaces. O suporte a cartões inteligentes por meio do Common Access Card (CAC) e da Verificação de Identidade Pessoal (PIV) está disponível exclusivamente na Amazon WorkSpaces usando o WorkSpaces Streaming Protocol (WSP). O suporte a cartões inteligentes no WSP WorkSpaces oferece uma postura de segurança aprimorada para autenticar usuários em terminais de conexão aprovados pela organização com hardware específico na forma de leitores de cartões inteligentes. É importante primeiro se familiarizar com o escopo de suporte disponível para cartões inteligentes e determinar como os cartões inteligentes funcionariam em WorkSpaces implantações existentes e futuras.

É uma prática recomendada determinar qual tipo de suporte de cartão inteligente é necessário, autenticação pré-sessão ou autenticação em sessão. A autenticação pré-sessão só está disponível no momento da redação deste artigo em AWS GovCloud (Oeste dos EUA), Leste dos EUA (Norte da Virgínia), Oeste dos EUA (Oregon), Europa (Irlanda), Ásia-Pacífico (Tóquio) e Ásia-Pacífico (Sydney). A autenticação por cartão inteligente em sessão geralmente está disponível com algumas considerações, como:

O suporte a cartões inteligentes é habilitado por meio da Política de Grupo. É uma prática recomendada adicionar o modelo administrativo da Política de WorkSpaces Grupo da Amazon para o WSP ao Armazenamento Central do seu domínio do Active Directory usado pelo Amazon WorkSpaces Directory (s). Ao aplicar essa política a uma WorkSpaces implantação existente da Amazon, todos WorkSpaces exigirão a atualização da política de grupo e uma reinicialização para que a alteração entre em vigor para todos os usuários, pois é uma política baseada em computador.

CA raiz

A natureza da portabilidade do WorkSpaces cliente e do usuário da Amazon exige a exigência de entregar remotamente um certificado de CA raiz de terceiros ao armazenamento confiável de certificados raiz de cada dispositivo que os usuários usam para se conectar à Amazon. WorkSpaces Os controladores de domínio do AD e os dispositivos de usuário com cartões inteligentes devem confiar nas CAs raiz. Consulte as diretrizes fornecidas pela Microsoft para habilitar CAs de terceiros para obter mais informações sobre os requisitos exatos.

Em ambientes associados a um domínio do AD, esses dispositivos atendem a esse requisito por meio da Política de Grupo que distribui certificados de CA raiz. Em cenários em que o Amazon WorkSpaces Client é usado a partir de non-domain-joined dispositivos, um método de entrega alternativo para as CAs raiz de terceiros deve ser determinado, como o Intune.

Em sessão

A autenticação na sessão simplifica e protege a autenticação do aplicativo após o início das sessões de WorkSpaces usuário da Amazon. Conforme mencionado anteriormente, o comportamento padrão da Amazon WorkSpaces desativa os cartões inteligentes e deve ser ativado por meio da Política de Grupo. Do ponto de vista da WorkSpaces administração da Amazon, a configuração é especificamente necessária para aplicativos que passam pela autenticação (como navegadores da web). Nenhuma alteração é necessária para os conectores e diretórios do AD.

Os aplicativos mais comuns que exigem suporte à autenticação em sessão são por meio de navegadores da Web, como o Mozilla Firefox e o Google Chrome. O Mozilla Firefox requer configuração limitada para suporte a cartões inteligentes em sessão. O Amazon Linux WSP WorkSpaces exige configuração adicional para suporte a cartões inteligentes em sessão para o Mozilla Firefox e o Google Chrome.

É uma prática recomendada garantir que as CAs raiz sejam carregadas no armazenamento de certificados pessoais do usuário antes da solução de problemas, pois o Amazon WorkSpaces Client pode não ter permissões para o computador local. Além disso, use o OpenSC para identificar dispositivos de cartão inteligente ao solucionar qualquer suspeita de problemas de autenticação na sessão com cartões inteligentes. Por fim, um Respondente do Online Certificate Status Protocol (OCSP) é recomendado para melhorar a postura de segurança da autenticação do aplicativo por meio de uma verificação de revogação de certificado.

Pré-sessão

O suporte para autenticação pré-sessão requer Windows WorkSpaces Client versão 3.1.1 e posterior, ou WorkSpaces cliente macOS versão 3.1.5 e posterior. A autenticação pré-sessão com cartões inteligentes é fundamentalmente diferente da autenticação padrão, exigindo que o usuário se autentique por meio de uma combinação da inserção do cartão inteligente e da inserção de um código PIN. Com esse tipo de autenticação, a duração das sessões do usuário é limitada pela vida útil do ticket Kerberos. Um guia de instalação completo pode ser encontrado aqui.

O Respondente OCSP deve estar acessível publicamente, pois a conexão é realizada pela rede AWS gerenciada e não pela rede gerenciada pelo cliente, portanto, não há roteamento para redes privadas nesta etapa.

Não é necessário inserir o nome do usuário, pois os certificados de usuário apresentados ao AD Connector incluem o userPrincipalName (UPN) do usuário no campo subjectAltName (SAN) do certificado. É uma prática recomendada automatizar todos os usuários que precisam de autenticação pré-sessão com Smartcards e ter seus objetos de usuário do AD atualizados para se autenticarem com o UPN previsto no certificado usando PowerShell, em vez de realizar isso individualmente nos Consoles de Gerenciamento Microsoft.

Implantação do cliente

O Amazon WorkSpaces Client (versão 3.X+) usa arquivos de configuração padronizados que podem ser aproveitados pelos administradores para pré-configurar o cliente do usuário. WorkSpaces O caminho para os dois arquivos de configuração principais pode ser encontrado em:

Dentro desses caminhos, você encontrará os dois arquivos de configuração. O primeiro arquivo de configuração é UserSettings .json, que definirá coisas como registro atual, configuração de proxy, nível de registro e a capacidade de salvar a lista de registro. O segundo arquivo de configuração é RegistrationList .json. Esse arquivo conterá todas as informações do WorkSpaces diretório para o cliente usar para mapear para o WorkSpaces diretório correto. A pré-configuração do RegistrationList .json preencherá todos os códigos de registro do cliente para o usuário.

Como esses arquivos são padronizados, os administradores podem baixar o WorkSpaces Cliente, definir todas as configurações aplicáveis e, em seguida, enviar os mesmos arquivos de configuração para todos os usuários finais. Para que as configurações entrem em vigor, o cliente deve ser iniciado após a definição das novas configurações. Se você alterar a configuração enquanto o cliente estiver em execução, nenhuma das alterações será definida no cliente.

A última configuração que pode ser definida para WorkSpaces os usuários é a atualização automática do Windows Client. Isso não é controlado por meio de arquivos de configuração, mas sim pelo Registro do Windows. Quando uma nova versão do cliente for lançada, você poderá criar uma chave de registro para ignorar essa versão. Isso pode ser definido criando uma string de nomes de entrada de registro SkipThisVersion com um valor do número completo da versão no caminho abaixo: Computer\ HKEY_CURRENT_USER\ Software\ Amazon Web Services. LLC\ Amazon WorkSpaces\ WinSparkle Essa opção também está disponível para macOS; no entanto, a configuração está dentro de um arquivo plist que requer software especial para edição. Se você ainda quiser realizar essa ação, isso pode ser feito adicionando uma SkippedVersion entrada SU no domínio com.amazon.workspaces localizado em: /Users/username/Library/Preferences

Seleção de WorkSpaces endpoints da Amazon

Escolhendo um endpoint para seu WorkSpaces

WorkSpaces A Amazon oferece suporte para vários dispositivos de endpoint, desde desktops Windows até iPads e Chromebooks. Você pode baixar os WorkSpaces clientes da Amazon disponíveis no site do Amazon Workspaces. Escolher o endpoint certo para seus usuários é uma decisão importante. Se seus usuários precisarem do uso de áudio/vídeo bidirecional e estiverem utilizando o protocolo de WorkSpaces streaming, eles deverão usar o cliente Windows ou macOS. Para todos os clientes, certifique-se de que os endereços IP e portas listados nos Requisitos de Endereço IP e Porta da Amazon WorkSpaces tenham sido configurados explicitamente para garantir que o cliente possa se conectar ao serviço. Aqui estão algumas considerações adicionais para ajudá-lo a escolher um dispositivo de endpoint:

Cliente de acesso à Web

Projetado para dispositivos bloqueados, o cliente Web Access fornece acesso à Amazon WorkSpaces sem a necessidade de implantar software cliente. O cliente Web Access é recomendado somente em configurações em que a Amazon WorkSpaces é do sistema operacional Windows (OS) e é usado para fluxos de trabalho de usuários limitados, como um ambiente de quiosque. A maioria dos casos de uso se beneficia do conjunto de recursos disponível no WorkSpaces cliente da Amazon. O cliente do Web Access só é recomendado em casos de uso específicos em que dispositivos e restrições de rede exigem um método de conexão alternativo.

Conforme mostrado no diagrama, o cliente do Web Access tem requisitos de rede diferentes para transmitir a sessão aos usuários. O Web Access está disponível para Windows WorkSpaces usando o protocolo PCoIP ou WSP. DNS e HTTP/HTTPS são necessários para autenticação e registro nos gateways. WorkSpaces Para WorkSpaces usar o protocolo WSP, é necessário que a conexão direta do UDP/TCP 4195 seja aberta aos intervalos de endereços IP do WSP Gateway. O tráfego de streaming não é alocado para uma porta fixa, como acontece com o WorkSpaces cliente Amazon completo; em vez disso, é alocado dinamicamente. O UDP é preferível para tráfego de streaming; no entanto, o navegador retornará ao TCP quando o UDP for restrito. Em ambientes em que a porta TCP/UDP 4172 está bloqueada e não pode ser desbloqueada devido a restrições organizacionais, o cliente do Web Access fornece um método de conexão alternativo para os usuários.

Por padrão, o cliente do Web Access está desativado no nível do Diretório. Para permitir que os usuários acessem sua Amazon WorkSpaces por meio de um navegador da web, use o AWS Management Console para atualizar as configurações do diretório ou use programaticamente a WorkspaceAccessProperties API para modificar DeviceTypeWeb para Permitir. Além disso, o administrador deve garantir que as configurações da Política de Grupo não entrem em conflito com os requisitos de login.

WorkSpaces Etiquetas da Amazon

Tags enable you to associate metadata with AWS resources. Tags can be used with Amazon WorkSpaces to registered directories, 
  bundles, IP Access Control Groups, or images. Tags assist with cost allocation to internal cost centers. Before using tags with Amazon WorkSpaces, 
  refer to the Tagging Best Practices whitepaper.

Tag restrictions

Recursos que você pode marcar

Para visualizar suas tags de WorkSpaces recursos no Cost Explorer, ative as tags que você aplicou aos seus WorkSpaces recursos seguindo as instruções em Ativando Tags de Alocação de Custos Definidas pelo Usuário no Guia do Usuário do Gerenciamento de Faturamento e Custos da AWS Cost Management.

Embora as tags apareçam 24 horas após a ativação, pode levar de quatro a cinco dias para que os valores associados a essas tags apareçam no Cost Explorer, apareçam e forneçam dados de custo no Cost Explorer. Os WorkSpaces recursos que foram marcados devem ser cobrados durante esse período. O Cost Explorer mostra somente os dados de custo do momento em que as tags foram ativadas posteriormente. Não há dados de histórico disponíveis no momento.

Como gerenciar tags

Para atualizar as tags de um recurso existente usando o AWS CLI, use os comandos create-tags e delete-tags. Para atualizações em massa e para automatizar a tarefa em um grande número de WorkSpaces recursos, a Amazon WorkSpaces adiciona suporte ao Editor de AWS Resource Groups tags. AWS Resource Groups O Editor de tags permite que você adicione, edite ou exclua AWS tags do seu WorkSpaces junto com seus outros AWS recursos.

Cotas WorkSpaces de serviços da Amazon

As Cotas de Serviço facilitam a pesquisa do valor de uma cota específica, também chamada de limite. Você também pode pesquisar todas as cotas de um serviço específico.

Para ver suas cotas para WorkSpaces

WorkSpaces A Amazon fornece diferentes recursos que você pode usar em sua conta em uma determinada região, incluindo imagens WorkSpaces, pacotes, diretórios, aliases de conexão e grupos de controle de IP. Quando você cria sua conta da Amazon Web Services, as cotas padrão são definidas (também chamadas de limites) no número de recursos que você pode criar.

Você pode usar o console de Cotas de Serviço para visualizar as Cotas de Serviço padrão ou solicitar aumentos de cotas para cotas ajustáveis.

Para obter mais informações, consulte Como visualizar cotas de serviço e Solicitar um aumento de cota no Guia do usuário de cotas de serviço.

Automatizando a implantação da Amazon WorkSpaces

Com a Amazon WorkSpaces, você pode iniciar um desktop Microsoft Windows ou Amazon Linux em minutos, conectar-se e acessar seu software de desktop no local ou em uma rede externa de forma segura, confiável e rápida. Você pode automatizar o provisionamento da Amazon WorkSpaces para permitir que você integre a Amazon aos seus fluxos de trabalho de provisionamento existentes. WorkSpaces

Métodos comuns WorkSpaces de automação

Os clientes podem usar várias ferramentas para permitir a rápida WorkSpaces implantação da Amazon. As ferramentas podem ser usadas para simplificar o gerenciamento WorkSpaces, reduzir custos e possibilitar um ambiente ágil que pode ser expandido e movido rapidamente.

AWS CLI e API

Existem operações de WorkSpaces API da Amazon que você pode usar para interagir com o serviço de forma segura e em grande escala. Todas as APIs públicas estão disponíveis com o AWS CLI SDK e o Tools for PowerShell, enquanto as APIs privadas, como a criação de imagens, estão disponíveis somente por meio do. AWS Management Console Ao considerar o gerenciamento operacional e o autoatendimento comercial para a Amazon WorkSpaces, considere que as WorkSpaces APIs exigem conhecimento técnico e permissões de segurança para serem usadas.

As chamadas de API podem ser feitas usando o AWS SDK. AWS O Tools for Windows PowerShell e o AWS Tools for PowerShell Core são PowerShell módulos criados com base na funcionalidade exposta pelo AWS SDK for .NET. Esses módulos permitem que você crie scripts de operações em AWS recursos a partir da linha de PowerShell comando e se integre às ferramentas e serviços existentes. Por exemplo, as chamadas de API podem permitir que você gerencie automaticamente o WorkSpaces ciclo de vida por meio da integração com o AD para provisionar e descomissionar com WorkSpaces base na associação de um usuário ao grupo AD.

AWS CloudFormation

AWS CloudFormation permite que você modele toda a sua infraestrutura em um arquivo de texto. Esse modelo se torna a única fonte confiável para sua infraestrutura. Isso ajuda você a padronizar os componentes de infraestrutura usados em toda a sua organização, permitindo a conformidade da configuração e a solução de problemas mais rápida.

AWS CloudFormation provisiona seus recursos de forma segura e reproduzível, permitindo que você crie e reconstrua sua infraestrutura e seus aplicativos. Você pode usar CloudFormation para comissionar e descomissionar ambientes, o que é útil quando você tem várias contas que deseja criar e descomissionar de forma repetível. Ao considerar o gerenciamento operacional e o autoatendimento comercial para a Amazon WorkSpaces, considere que isso AWS CloudFormationrequer conhecimento técnico e permissões de segurança para uso.

Portal de autoatendimento WorkSpaces

Os clientes podem usar comandos de WorkSpaces API de compilação e outros AWS serviços para criar um portal de WorkSpaces autoatendimento. Isso ajuda os clientes a simplificar o processo de implantação e recuperação em grande escala. WorkSpaces Usando um WorkSpaces portal, você pode permitir que sua força de trabalho provisione sua própria força de trabalho WorkSpaces com um fluxo de trabalho de aprovação integrado que não exija intervenção de TI para cada solicitação. Isso reduz os custos operacionais de TI, ao mesmo tempo em que ajuda os usuários finais a começar a trabalhar com WorkSpaces mais rapidez. O fluxo de trabalho adicional de aprovação integrado simplifica o processo de aprovação por desktop para empresas. Um portal dedicado pode oferecer uma ferramenta automatizada para provisionar desktops em nuvem Windows ou Linux e permitir que os usuários os reconstruam, reiniciem ou migrem WorkSpace, além de fornecer um recurso para redefinições de senha.

Há exemplos guiados de criação de WorkSpaces portais de autoatendimento mencionados na seção Leitura adicional deste documento. AWS Os parceiros fornecem portais WorkSpaces de gerenciamento pré-configurados por meio do. AWS Marketplace

Integração com o gerenciamento de serviços de TI corporativos

À medida que as empresas adotam a Amazon WorkSpaces como sua solução de desktop virtual em grande escala, é necessário implementar ou integrar sistemas de gerenciamento de serviços de TI (ITSM). A integração do ITSM permite ofertas de autoatendimento para provisionamento e operações. O Service Catalog permite que você gerencie AWS serviços comumente implantados e produtos de software provisionados de forma centralizada. Esse serviço ajuda sua organização a alcançar requisitos consistentes de governança e conformidade, ao mesmo tempo em que permite que os usuários implantem somente os AWS serviços aprovados de que precisam. O Service Catalog pode ser usado para permitir uma oferta de gerenciamento de ciclo de vida de autoatendimento para a WorkSpaces Amazon a partir de ferramentas de gerenciamento de serviços de TI, como. ServiceNow

WorkSpaces Melhores práticas de automação de implantação

Você deve considerar os princípios da Well Architected para selecionar e projetar a automação WorkSpaces de implantação.

WorkSpaces Patches e atualizações locais da Amazon

Com a Amazon WorkSpaces, você pode gerenciar patches e atualizações usando ferramentas de terceiros existentes, como o Microsoft System Center Configuration Manager (SCCM), o Puppet Enterprise ou o Ansible. A implantação local de patches de segurança normalmente mantém um ciclo mensal de patches, com processos adicionais para escalonamento ou implantação rápida. No entanto, no caso de atualizações de sistema operacional ou de recursos no local, muitas vezes são necessárias considerações especiais.

WorkSpace manutenção

A Amazon WorkSpaces tem uma janela de manutenção padrão durante a qual WorkSpace instala as atualizações do WorkSpaces agente Amazon e todas as atualizações disponíveis do sistema operacional. WorkSpaces não estarão disponíveis para as conexões do usuário durante a janela de manutenção programada.

Amazon Linux WorkSpaces

Para considerações, pré-requisitos e padrões sugeridos para gerenciar atualizações e patches em imagens WorkSpaces personalizadas do Amazon Linux, consulte o whitepaper Best Practices to Prepare your Amazon for Linux Images. WorkSpaces

Pré-requisitos e considerações sobre a aplicação de patches no Linux

Aplicação de patches no Amazon Windows

Por padrão, seu Windows WorkSpaces está configurado para receber atualizações do Windows Update que exigem acesso à Internet de sua WorkSpaces VPC. Para configurar seus próprios mecanismos de atualização automática para o Windows, consulte a documentação do Windows Server Update Services (WSUS) e do Configuration Manager.

Atualização local do Amazon Windows

Pré-requisitos de atualização in-loco do Windows

Considerações sobre a atualização in-loco do Windows

Pacotes de WorkSpaces idiomas da Amazon

WorkSpaces Os pacotes da Amazon que oferecem a experiência de desktop do Windows 10 oferecem suporte para inglês (EUA), francês (canadense), coreano e japonês. No entanto, você pode incluir pacotes de idiomas adicionais para espanhol, italiano, português e muitas outras opções de idiomas. Para obter mais informações, consulte Como faço para criar uma nova WorkSpace imagem do Windows com um idioma de cliente diferente do inglês? .

Gerenciamento de WorkSpaces perfil da Amazon

A Amazon WorkSpaces separa o perfil do usuário do sistema operacional (OS) básico redirecionando todas as gravações do perfil para um volume separado do Amazon Elastic Block Store (Amazon EBS). No Microsoft Windows, o perfil do usuário é armazenado em D:\Users\username. No Amazon Linux, o perfil do usuário é armazenado em /home. O volume do EBS é capturado automaticamente a cada 12 horas. O snapshot é armazenado automaticamente em um bucket AWS gerenciado do S3, para ser usado no caso de uma Amazon ser reconstruída ou WorkSpace restaurada.

Para a maioria das organizações, ter instantâneos automáticos a cada 12 horas é superior à implantação de desktop existente, sem backups para perfis de usuário. No entanto, os clientes podem exigir um controle mais granular sobre os perfis de usuário; por exemplo, migração do desktop para WorkSpaces um novo sistema AWS operacional/região, suporte para DR e assim por diante. Existem métodos alternativos para gerenciamento de perfis disponíveis para a Amazon WorkSpaces.

Redirecionamento de pasta

Embora o redirecionamento de pastas seja uma consideração de design comum nas arquiteturas de infraestrutura de desktop virtual (VDI), não é uma prática recomendada nem mesmo um requisito comum nos projetos da Amazon. WorkSpaces A razão para isso é que a Amazon WorkSpaces é uma solução persistente de desktop como serviço (DaaS), com dados de aplicativos e usuários persistindo imediatamente.

Há cenários específicos em que o redirecionamento de pastas para pastas do shell do usuário (por exemplo, D:\Users\username\Desktop redirecionado para\\ Server\ RedirectionShare $\ username\ Desktop) é necessário, como objetivo de ponto de recuperação imediata (RPO) para dados de perfil de usuário em ambientes de recuperação de desastres (DR).

Práticas recomendadas

As práticas recomendadas a seguir estão listadas para um redirecionamento robusto de pastas:

Coisa a evitar

Outras considerações

Configurações do perfil

Políticas de grupo

Uma prática recomendada comum em implantações corporativas do Microsoft Windows é definir as configurações do ambiente do usuário por meio das configurações de Objeto de Política de Grupo (GPO) e Preferências de Política de Grupo (GPP). Configurações como atalhos, mapeamentos de unidades, chaves do registro e impressoras são definidas por meio do Console de Gerenciamento de Política de Grupo. Os benefícios de definir o ambiente do usuário por meio de GPOs incluem, mas não estão limitados a:

As políticas de grupo de banners de login interativos não devem ser usadas, pois não são suportadas na Amazon. WorkSpaces Os banners são apresentados no Amazon WorkSpaces Client por meio de solicitações de AWS suporte. Além disso, dispositivos removíveis não devem ser bloqueados pela política de grupo, pois são necessários para a Amazon WorkSpaces.

Os GPOs podem ser usados para gerenciar o Windows WorkSpaces. Para obter mais informações, consulte Gerenciar seu Windows WorkSpaces.

WorkSpaces Volumes da Amazon

Cada WorkSpaces instância da Amazon contém dois volumes: um volume do sistema operacional e um volume do usuário.

Para volumes do sistema operacional, você pode selecionar um tamanho inicial para essa unidade de 80 GB ou 175 GB. Para volumes de usuários, você pode selecionar um tamanho inicial de 10 GB, 50 GB ou 100 GB. Ambos os volumes podem ser aumentados em até 2 TB conforme necessário; no entanto, para aumentar o volume do usuário além de 100 GB, o volume do sistema operacional deve ser 175 GB. As alterações de volume só podem ser realizadas uma vez a cada seis horas por volume. Para obter informações adicionais sobre como modificar o tamanho do WorkSpaces volume, consulte a WorkSpace seção Modificar a do Guia de Administração.

WorkSpaces melhores práticas de volumes

Ao planejar uma WorkSpaces implantação da Amazon, é recomendável considerar os requisitos mínimos para instalação do sistema operacional, atualizações no local e aplicativos principais adicionais que serão adicionados à imagem no volume do sistema operacional. Para o volume do usuário, é recomendável começar com uma alocação de disco menor e aumentar gradativamente o tamanho do volume do usuário conforme necessário. Minimizar o tamanho dos volumes de disco reduz o custo de execução do WorkSpace.

WorkSpaces Registro na Amazon

Em um WorkSpaces ambiente Amazon, há muitas fontes de log que podem ser capturadas para solucionar problemas e monitorar o WorkSpaces desempenho geral.

Amazon WorkSpaces Client 3.x Em cada WorkSpaces cliente da Amazon, os registros do cliente estão localizados nos seguintes diretórios:

Há muitos casos em que detalhes de diagnóstico ou depuração podem ser necessários para uma WorkSpaces sessão do lado do cliente. Os registros avançados do cliente também podem ser habilitados adicionando um “-l3 “ao arquivo executável do espaço de trabalho. Por exemplo: .

"C:\Program Files (x86)\Amazon Web Services, Inc\Amazon WorkSpaces"
workspaces.exe -l3

WorkSpaces Serviço Amazon

O WorkSpaces serviço Amazon é integrado com Amazon CloudWatch Metrics, CloudWatch Events CloudTrail e. Essa integração permite que os dados de desempenho e as chamadas de API sejam registrados no AWS serviço central.

Ao gerenciar um WorkSpaces ambiente Amazon, é importante monitorar constantemente determinadas CloudWatch métricas para determinar o status geral da saúde do ambiente. Métricas

Embora existam outras CloudWatch métricas disponíveis para a Amazon WorkSpaces (consulte Monitore suas CloudWatch métricas de WorkSpaces uso), as três métricas a seguir ajudarão a manter a disponibilidade da WorkSpace instância:

Para obter mais informações sobre as opções de WorkSpaces registro, consulte Logging Amazon WorkSpaces API Calls by Using CloudTrail. Os CloudWatch eventos adicionais ajudarão a capturar o IP do lado do cliente da sessão do usuário, quando o usuário se conectou à WorkSpaces sessão e qual endpoint foi usado durante a conexão. Todos esses detalhes ajudam a isolar ou identificar problemas relatados pelo usuário durante as sessões de solução de problemas.