Crie um diretório do Microsoft Entra ID dedicado com o WorkSpaces Personal

1. Habilite o IAM Identity Center com suas organizações da AWS, especialmente se estiver usando um ambiente com várias contas. É possível criar uma instância de conta do IAM Identity Center. Para saber mais, consulte Enabling AWS IAM Identity Center. Cada diretório do WorkSpaces pode ser associado a uma instância, organização ou conta do IAM Identity Center.

   Se você estiver usando uma instância da organização e tentando criar um diretório WorkSpaces em uma das contas dos membros, certifique-se de ter as seguintes permissões do IAM Identity Center.

   • "sso:DescribeInstance"

   • "sso:CreateApplication"

   • "sso:PutApplicationGrant"

   • "sso:PutApplicationAuthenticationMethod"

   • "sso:DeleteApplication"

   • "sso:DescribeApplication"

   • "sso:getApplicationGrant"

   Para obter mais informações, consulte Visão geral do gerenciamento de permissões de acesso aos seus recursos do IAM Identity Center. Além disso, certifique-se de que nenhuma política de controle de serviços (SCPs) esteja bloqueando essas permissões. Para saber mais sobre SCPs, consulte Políticas de controle de serviços (SCP).

2. Configure o IAM Identity Center e o Microsoft Entra ID para sincronizar automaticamente alguns ou todos os usuários do seu inquilino do Entra ID com sua instância do IAM Identity Center. Para obter mais informações, consulte Configurar SAML e SCIM com o Microsoft Entra ID e o IAM Identity Center e Tutorial: Configurar o Centro de Identidade do AWS IAM para provisionamento automático de usuários.

3. Verifique se os usuários que você configurou no Microsoft Entra ID estão sincronizados corretamente com a instância do Centro de Identidade do AWS IAM. Se você ver uma mensagem de erro no Microsoft Entra ID, isso indica que o usuário no Entra ID está configurado de uma forma que o IAM Identity Center não é compatível. A mensagem de erro identificará esse problema. Por exemplo, se o objeto de usuário no Entra ID não possuir o primeiro nome, sobrenome e/ou nome de exibição, você receberá uma mensagem de erro semelhante a "2 validation errors detected: Value at 'name.givenName' failed to satisfy constraint: Member must satisfy regular expression pattern: [\\p{L}\\p{M}\\p{S}\\p{N}\\p{P}\\t\\n\\r ]+; Value at 'name.givenName' failed to satisfy constraint: Member must have length greater than or equal to 1". Para obter mais informações, consulte Specific users fail to synchronize into IAM Identity Center from an external SCIM provider.

Para configurar seu Microsoft Intune para Autopilot

1. Entre no centro de administração do Microsoft Intune

2. Crie um novo grupo de dispositivos do Autopilot para WorkSpaces pessoais. Para obter mais informações, consulte Create device groups for Windows Autopilot.

   1. Escolha Grupos, Novo grupo

   2. Em Group type, escolha Security.

   3. Para Tipo de associação, escolha Dispositivo dinâmico.

   4. Escolha Editar consulta dinâmica para criar uma regra de associação dinâmica. A regra deverá estar no seguinte formato:

      (device.devicePhysicalIds -any (_ -eq "[OrderID]:WorkSpacesDirectoryName"))

      Importante

      WorkSpacesDirectoryName deve corresponder ao nome do diretório do WorkSpaces Personal do Entra ID que você criou na etapa 5. Isso ocorre porque a string do nome do diretório é usada como tag de grupo quando o WorkSpaces registra áreas de trabalho virtuais no Autopilot. Além disso, a tag de grupo é mapeada para o atributo OrderID nos dispositivos Microsoft Entra.

3. Escolha Dispositivos, Windows, Registro. Para Opções de registro, escolha Inscrição automática. Para o escopo do usuário MDM, selecione Tudo.

4. Crie um perfil de implantação do Autopilot. Para obter mais informações, consulte Criar um perfil de implantação do Autopilot.

   1. Para o Windows Autopilot, escolha Perfis de implantação, Criar perfil.

   2. Na tela de perfis de implantação do Windows Autopilot, selecione o menu suspenso Criar perfil e, em seguida, selecione Windows PC.

   3. Na tela Criar perfil, na página On the Out-of-Box Experience (OOBE). Para o modo de implantação, selecione Controlado pelo usuário. Em Acessar no Microsoft Entra ID, selecione Microsoft Entra acessado. Você pode personalizar os nomes dos computadores dos seus WorkSpaces pessoais associados ao Entra ID selecionando Sim para Aplicar modelo do nome de dispositivo para criar um modelo a ser usado ao nomear um dispositivo durante o registro.

   4. Na página Tarefas, em Atribuir a, escolha Grupos selecionados. Escolha Selecionar grupos a serem incluídos e selecione o grupo de dispositivos do Autopilot que você acabou de criar em 2.

Para criar um segredo da AWS Secrets Manager

1. Criar uma chave gerenciada pelo cliente do AWS Key Management Service. Posteriormente, a chave será usada para criptografar o segredo AWS Secrets Manager. Não use a chave padrão para criptografar seu segredo, pois a chave padrão não pode ser acessada pelo serviço WorkSpaces. Siga as etapas abaixo para criar a chave.

   1. Abra o console do AWS KMS em https://console.aws.amazon.com/kms.

   2. Para alterar o Região da AWS, use o seletor de Região no canto superior direito da página.

   3. Escolha Criar chave.

   4. Na página Configurar chave, em Tipo de chave, escolha Simétrico. Em Uso da chave, escolha Criptografar e descriptografar.

   5. Na página de revisão, no editor de política de chave, certifique-se de permitir que a workspaces.amazonaws.com da entidade principal do serviço do WorkSpaces tenha acesso à chave, incluindo as seguintes permissões na política de chave.

      {
          "Effect": "Allow",
          "Principal": {
              "Service": [
                  "workspaces.amazonaws.com"
              ]
          },
          "Action": [
              "kms:Decrypt",
              "kms:DescribeKey"
          ],
          "Resource": "*"
       }

2. Crie o segredo em AWS Secrets Manager, usando a chave AWS KMS criada na etapa anterior.

   1. Abra o console Secrets Manager em https://console.aws.amazon.com/secretsmanager/.

   2. Escolha Armazenar Novo Segredo.

   3. Na página Escolher tipo de segredo, em Tipo de segredo, selecione Outro tipo de segredo.

   4. Para pares de chave/valor, na caixa chave, insira “application_id” na caixa de chave e, em seguida, copie o ID do aplicativo Entra ID da Etapa 2 e cole-o na caixa de valor.

   5. Escolha Adicionar linha, na caixa chave, digite “application_password”, copie o segredo do cliente do aplicativo Entra ID da Etapa 2 e cole-o na caixa de valor.

   6. Escolha a chave AWS KMS que você criou em uma etapa anterior na lista suspensa de Chave de criptografia

   7. Escolha Próximo.

   8. Na página Configurar segredo, insira um Nome e uma Descrição do segredo.

   9. Em Permissões do recurso, escolha Editar permissões.

   10. Certifique-se de permitir que a workspaces.amazonaws.com da entidade principal do serviço do WorkSpaces tenha acesso ao segredo, incluindo a seguinte política de recursos nas permissões do recurso.

       JSON

       {
         "Version":"2012-10-17",		 	 	 
         "Statement" : [ {
           "Effect" : "Allow",
           "Principal" : {
             "Service" : [ "workspaces.amazonaws.com"]
           },
           "Action" : "secretsmanager:GetSecretValue",
           "Resource" : "*"
         } ]
       }
       

Para criar um diretório do Entra ID WorkSpaces

1. Abra o console do WorkSpaces em https://console.aws.amazon.com/workspaces/v2/home.

2. No painel de navegação, selecionar Diretórios.

3. Na página Criar diretório, para o Tipo de WorkSpaces, escolha Pessoal. Para gerenciamento de dispositivos WorkSpace, escolha Microsoft Entra ID.

4. Para ID de inquilino do Microsoft Entra, digite o ID do inquilino do Microsoft Entra ao qual você deseja que o WorkSpaces do seu diretório se associe. Você não poderá alterar o ID do inquilino após a criação do diretório.

5. Para ID e senha do aplicativo Entra ID, selecione o segredo AWS Secrets Manager que você criou na Etapa 4 na lista suspensa. Não será possível alterar o segredo associado ao diretório depois que ele for criado. No entanto, você sempre pode atualizar o conteúdo do segredo, incluindo o ID do aplicativo Entra ID e sua senha por meio do console AWS Secrets Manager em https://console.aws.amazon.com/secretsmanager/.

6. Se a instância do Centro de Identidade do IAM estiver na mesma região da AWS do diretório do WorkSpaces, em Fonte de identidade do usuário, selecione a instância do Centro de Identidade do IAM que você configurou na Etapa 1 na lista suspensa. Você não poderá alterar a instância do IAM Identity Center associada ao diretório depois que o diretório for criado.

   Se sua instância do Centro de Identidade do IAM estiver em uma região da AWS diferente do seu diretório WorkSpaces, escolha Enable Cross-Region (Habilitar entre regiões) e selecione a região na lista suspensa.

   nota

   Se você tiver uma instância existente do Centro de Identidade do IAM em uma região diferente, poderá optar por configurar a integração entre regiões. Para obter mais informações sobre configuração entre regiões, consulte Criar uma integração com o Centro de Identidade do IAM entre regiões (opcional).

7. Em Nome do diretório, insira um nome exclusivo para o diretório (por exemplo, WorkSpacesDirectoryName).

   Importante

   O nome do diretório deve corresponder ao OrderID usado para criar a consulta dinâmica para o grupo de dispositivos do Autopilot que você criou com o Microsoft Intune na Etapa 3. A string do nome do diretório é usada como a tag do grupo ao registrar WorkSpaces pessoais no Windows Autopilot. A tag de grupo é mapeada para o atributo OrderID nos dispositivos Microsoft Entra.

8. (Opcional) Em Description (Descrição), insira uma descrição para a política.

9. Para VPC, selecione a VPC que você usou para iniciar seus WorkSpaces. Para obter mais informações, consulte Configurar uma VPC para WorkSpaces Personal.

10. Para sub-redes, selecione duas sub-redes de VPC que não estejam na mesma zona de disponibilidade. Essas sub-redes serão usadas para iniciar os WorkSpaces pessoais. Para obter mais informações, consulte Zonas de disponibilidade do WorkSpaces Personal.

    Importante

    Certifique-se de que os WorkSpaces iniciados nas sub-redes tenham acesso à Internet, o que é necessário quando os usuários fazem login nos desktops do Windows. Para obter mais informações, consulte Fornecer acesso à internet para o WorkSpaces Personal.

11. Em Configuração, selecione Habilitar WorkSpace dedicado. É necessário habilitá-lo para criar um diretório dedicado do WorkSpaces Personal para iniciar o traga a sua própria licença (BYOL) do Windows 10 ou 11 do WorkSpaces.

    nota

    Se você não vê a opção Habilitar WorkSpace dedicado em Configuração, sua conta não foi habilitada para BYOL. Para habilitar o BYOL na sua conta, consulte Traga Suas Próprias Licenças de desktop do Windows no WorkSpaces.

12. (Opcional) Para Tags, especifique o valor do par de chaves que você deseja usar para WorkSpaces pessoais no diretório.

13. Examine o resumo do diretório e escolha Criar diretório. A conexão do diretório leva vários minutos. O status inicial do diretório é Creating. Quando a criação de diretórios estiver completa, o status será Active.

Como configurar a atribuição de usuário para o aplicativo IAM Identity Center

1. Abra o console do IAM, em https://console.aws.amazon.com/iam/.

2. Na guia AWS aplicativos gerenciados, escolha o aplicativo para o diretório WorkSpaces. Os nomes dos aplicativos estão no seguinte formato: WorkSpaces.wsd-xxxxx, onde wsd-xxxxx é o ID do diretório WorkSpaces.

3. Escolha Ações, Editar detalhes.

4. Altere o método de atribuição de usuários e grupos de Não exigir atribuições para Exigir atribuições.

5. Escolha Salvar alterações.