Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés. # Uso y administración de WorkSpaces Pools WorkSpaces Pools ofrece escritorios virtuales no persistentes diseñados para los usuarios que necesitan tener acceso a entornos de escritorio cuidadosamente seleccionados alojados en una infraestructura efímera. **Topics** + [Regiones de AWS y zonas de disponibilidad para WorkSpaces piscinas](wsp-pools-regions.md) + [Administrar directorios para WorkSpaces grupos](manage-workspaces-pools-directory.md) + [Redes y acceso en WorkSpaces Pools](managing-network.md) + [Creación de un grupo de WorkSpaces Pools](set-up-pools-create.md) + [Administración de WorkSpaces Pools](managing-stacks-fleets.md) + [Uso de Active Directory con WorkSpaces Pools](active-directory.md) + [Paquetes e imágenes para piscinas WorkSpaces](pools-images.md) + [Supervisión de WorkSpaces Pools](configure-monitoring-reporting.md) + [Habilitar y administrar el almacenamiento persistente para WorkSpaces grupos](persistent-storage.md) + [Habilite la persistencia de la configuración de la aplicación para los usuarios de sus WorkSpaces grupos](app-settings-persistence.md) + [Códigos de notificación de solución de problemas de WorkSpaces Pools](wsp-pools-troubleshooting.md) # Regiones de AWS y zonas de disponibilidad para WorkSpaces piscinas WorkSpaces Las piscinas están disponibles en las siguientes Regiones de AWS ubicaciones. **nota** Para conocer los Regiones de AWS que se aplican a WorkSpaces Personal, consulta los [ WorkSpaces puntos de conexión y las cuotas de Amazon](https://docs.aws.amazon.com/general/latest/gr/wsp.html) en la *guía de Referencia general de AWS referencia*. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/workspaces/latest/adminguide/wsp-pools-regions.html) # Administrar directorios para WorkSpaces grupos WorkSpaces Pools utiliza un directorio para almacenar y administrar su información WorkSpaces y la de sus usuarios. En esta sección, le mostramos cómo crear y administrar directorios para WorkSpaces grupos. **Topics** + [Configurar SAML 2.0 y crear un directorio de WorkSpaces grupos](create-directory-pools.md) + [Actualice los detalles del directorio de sus WorkSpaces piscinas](update-directory-pools-details.md) + [Eliminar un directorio de WorkSpaces grupos](delete-directory-pools.md) # Configurar SAML 2.0 y crear un directorio de WorkSpaces grupos Puede habilitar el registro de las aplicaciones WorkSpaces cliente y el inicio de sesión WorkSpaces en un WorkSpaces grupo configurando la federación de identidades mediante SAML 2.0. Para ello, utilice un rol de AWS Identity and Access Management (IAM) y una URL de estado de retransmisión para configurar el proveedor de identidades (IdP) de SAML 2.0 y habilitarlo para AWS. Esto otorga a los usuarios federados acceso a un directorio de grupos WorkSpace . El estado de retransmisión es el punto final del WorkSpaces directorio al que se redirige a los usuarios después de iniciar AWS sesión correctamente. **importante** WorkSpaces Pools no admite configuraciones de SAML 2.0 basadas en IP. **Topics** + [Paso 1: tener en cuenta los requisitos](#saml-directory-consider-the-requirements) + [Paso 2: Completar los requisitos previos](#saml-directory-complete-the-prereqs) + [Paso 3: crear un proveedor de identidades de SAML en IAM](#saml-directory-create-saml-idp) + [Paso 4: Crear un directorio de WorkSpace grupos](#saml-directory-create-wsp-pools-directory) + [Paso 5: crear un rol de IAM de federación de SAML 2.0](#saml-directory-saml-federation-role-in-iam) + [Paso 6: configurar el proveedor de identidades de SAML 2.0](#saml-directory-configure-saml-idp) + [Paso 7: crear aserciones para la respuesta de autenticación de SAML](#saml-directory-create-assertions) + [Paso 8: configurar el estado de retransmisión de la federación](#saml-directory-configure-relay-state) + [Paso 9: Habilita la integración con SAML 2.0 en el directorio de tu grupo WorkSpace](#saml-directory-enable-saml-integration) + [Resolución de problemas](#saml-pools-troubleshooting) + [Especifique los detalles de Active Directory para el directorio de WorkSpaces grupos](pools-service-account-details.md) ## Paso 1: tener en cuenta los requisitos Al configurar SAML para un directorio de grupos, se aplican los siguientes requisitos. WorkSpaces + El rol workspaces\$1 DefaultRole IAM debe existir en su cuenta. AWS Este rol se crea automáticamente cuando se utiliza la configuración WorkSpaces rápida o si anteriormente se ha iniciado uno con la. WorkSpace Consola de administración de AWS Concede WorkSpaces permiso a Amazon para acceder a AWS recursos específicos en tu nombre. Si el rol ya existe, es posible que tengas que adjuntarle la política AmazonWorkSpacesPoolServiceAccess gestionada, que Amazon WorkSpaces utiliza para acceder a los recursos necesarios en la AWS cuenta de WorkSpaces Pools. Para obtener más información, consulte [Cree el rol workspaces\$1 DefaultRole](workspaces-access-control.md#create-default-role) y [AWS política gestionada: AmazonWorkSpacesPoolServiceAccess](managed-policies.md#workspaces-pools-service-access). + Puedes configurar la autenticación SAML 2.0 para los WorkSpaces grupos Regiones de AWS que admiten la función. Para obtener más información, consulte [Regiones de AWS y zonas de disponibilidad para WorkSpaces piscinas](wsp-pools-regions.md). + Para utilizar la autenticación SAML 2.0 con WorkSpaces, el IdP debe admitir el SSO iniciado por un IdP no solicitado con un recurso de destino de enlace profundo o una URL de punto final de estado de retransmisión. Algunos ejemplos IdPs que lo admiten son ADFS, Azure AD, Duo Single Sign-On, Okta y. PingFederate PingOne Para obtener más información, consulte la documentación de su IdP. + La autenticación SAML 2.0 solo se admite en los siguientes clientes. WorkSpaces Para ver los WorkSpaces clientes más recientes, consulta la [página de descargas de Amazon WorkSpaces Client](https://clients.amazonworkspaces.com/). + Aplicación cliente de Windows (versión 5.20.0 o posterior) + Cliente de macOS (versión 5.20.0 o posterior) + Acceso web ## Paso 2: Completar los requisitos previos Complete los siguientes requisitos previos antes de configurar su conexión de IdP de SAML 2.0 a un directorio de grupos. WorkSpaces + Configure el IdP para establecer una relación de confianza con AWS. + Consulte [Integración de proveedores de soluciones SAML de terceros AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_saml_3rd-party.html) para obtener más información sobre la configuración de la federación. AWS Como ejemplo pertinente se incluye la integración de IdP con IAM para obtener acceso a la Consola de administración de AWS. + Use su IdP para generar y descargar un documento de metadatos de federación que describa su organización como proveedor de identidades. Este documento XML firmado se utiliza para establecer la relación de confianza. Guarde este archivo en una ubicación a la que pueda acceder desde la consola de IAM en otro momento. + Cree un WorkSpaces directorio de grupos mediante la WorkSpaces consola. Para obtener más información, consulte [Uso de Active Directory con WorkSpaces Pools](active-directory.md). + Cree un WorkSpaces grupo para los usuarios que puedan iniciar sesión en el IdP mediante un tipo de directorio compatible. Para obtener más información, consulte [Creación de un grupo de WorkSpaces Pools](set-up-pools-create.md). ## Paso 3: crear un proveedor de identidades de SAML en IAM Para comenzar, debe crear un proveedor de identidades (IdP) de SAML en IAM. Este IdP define la relación entre el IDP y la AWS confianza de su organización mediante el documento de metadatos generado por el software de IdP de su organización. Para obtener más información, consulte [Creación y administración de un proveedor de identidades de SAML](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml.html#idp-manage-identityprovider-console) en la *Guía del usuario de AWS Identity and Access Management *. *Para obtener información sobre cómo trabajar con SAML IdPs en AWS GovCloud (US) Regions, consulte [AWS Identity and Access Management](https://docs.aws.amazon.com//govcloud-us/latest/UserGuide/govcloud-iam.html)la Guía del usuario.AWS GovCloud (US) * ## Paso 4: Crear un directorio de WorkSpace grupos Complete el siguiente procedimiento para crear un directorio WorkSpaces de grupos. 1. Abra la WorkSpaces consola en la [https://console.aws.amazon.com/workspaces/versión 2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. Elija **Directorios** en el panel de navegación. 1. Elija **Create directory**. 1. **Como **WorkSpace tipo**, selecciona Pool.** 1. En la sección **Origen de identidad de usuario** de la página: 1. Introduzca un valor de marcador de posición en el cuadro de texto **URL de acceso de usuario**. Por ejemplo, introduzca `placeholder` en el cuadro de texto. Lo editará más adelante, después de configurar los derechos de la aplicación en el IdP. 1. Deje en blanco el cuadro de texto **Nombre del parámetro del estado de retransmisión**. Lo editará más adelante, después de configurar los derechos de la aplicación en el IdP. 1. En la sección **Información del directorio** de la página, introduzca un nombre y una descripción para el directorio. El nombre y la descripción del directorio deben tener menos de 128 caracteres y pueden incluir caracteres alfanuméricos y los siguientes caracteres especiales: `_ @ # % * + = : ? . / ! \ -`. El nombre y la descripción del directorio no pueden empezar por un carácter especial. 1. En la sección **Redes y seguridad** de la página: 1. Elija una VPC y dos subredes con acceso a los recursos de red que necesite la aplicación. Para lograr una mayor tolerancia a errores, debe elegir dos subredes en diferentes zonas de disponibilidad. 1. Elija un grupo de seguridad que permita WorkSpaces crear enlaces de red en su VPC. Los grupos de seguridad controlan el tráfico de red desde el que se permite que fluya hacia WorkSpaces la VPC. Por ejemplo, si tu grupo de seguridad restringe todas las conexiones HTTPS entrantes, los usuarios que accedan a tu portal web no podrán cargar sitios web HTTPS desde el. WorkSpaces 1. La sección **Configuración de Active Directory** es opcional. Sin embargo, si planea usar un AD con sus WorkSpaces grupos, debe especificar los detalles de Active Directory (AD) durante la creación del directorio WorkSpaces de grupos. No puede editar la **configuración de Active Directory** para el directorio de WorkSpaces grupos después de crearla. Para obtener más información sobre cómo especificar los detalles de AD para el WorkSpaces directorio de grupos, consulte[Especifique los detalles de Active Directory para el directorio de WorkSpaces grupos](pools-service-account-details.md). Tras completar el proceso descrito en ese tema, debería volver a él para terminar de crear el directorio de WorkSpaces grupos. Puede omitir la sección **Config de Active Directory** si no planea usar un AD con sus WorkSpaces grupos. 1. En la sección **Propiedades de transmisión** de la página: + Elija el comportamiento de los permisos del portapapeles e introduzca una copia en el límite de caracteres local (opcional) y péguela en el límite de caracteres de la sesión remota (opcional). + Elija si desea permitir o no la impresión en el dispositivo local. + Elija si desea permitir o no el registro de diagnósticos. + Elija si desea permitir o no el inicio de sesión con tarjeta inteligente. Esta característica solo se aplica si ha habilitado la configuración de AD anteriormente en este procedimiento. 1. En la sección **Almacenamiento** de la página, puede optar por habilitar las carpetas de inicio. 1. En la sección **Rol de IAM** de la página, seleccione un rol de IAM para que esté disponible para todas las instancias de transmisión de escritorio. Para crear uno nuevo, elija **Crear un nuevo rol de IAM**. Cuando aplicas una función de IAM desde tu cuenta a un directorio de WorkSpace grupos, puedes realizar solicitudes de AWS API desde un WorkSpace directorio del WorkSpace grupo sin tener que administrar AWS las credenciales manualmente. Para obtener más información, consulte [Crear un rol para delegar permisos a un usuario de IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-user.html) en la *Guía del usuario de AWS Identity and Access Management *. 1. Elija **Create directory**. ## Paso 5: crear un rol de IAM de federación de SAML 2.0 Complete el procedimiento que se indica a continuación para crear un rol de IAM de federación de SAML 2.0 en la consola de IAM. 1. Abra la consola de IAM en [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/secretsmanager/). 1. Seleccione **Roles** en el panel de navegación. 1. Elija Crear rol. 1. Seleccione **Federación SAML 2.0** para el tipo de entidad de confianza. 1. En el proveedor basado en SAML 2.0, elija el proveedor de identidades que ha creado en IAM. Para obtener más información, consulte [Crear un proveedor de identidades de SAML en IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml.html?). 1. Seleccione **Permitir solo acceso mediante programación** para permitir el acceso. 1. Elija **SAML:sub\$1type** para el atributo. 1. En **Valor**, introduzca `https://signin.aws.amazon.com/saml`. Este valor restringe el acceso del rol a solicitudes de transmisión de usuario de SAML que incluyan una aserción de tipo de sujeto de SAML con un valor de `persistent`. Si SAML:sub\$1type es persistente, el IdP envía el mismo valor único para el elemento `NameID` en todas las solicitudes de SAML desde un usuario particular. Para obtener más información, consulte [Identificación única de los usuarios en la federación basada en SAML](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_saml.html#CreatingSAML-userid) en la *Guía del usuario de AWS Identity and Access Management *. 1. Elija **Siguiente** para continuar. 1. No realice cambios ni selecciones en la página **Añadir permisos**. Elija **Siguiente** para continuar. 1. Introduzca un nombre y la descripción para el rol. 1. Elija **Crear rol**. 1. En la página **Roles**, seleccione el rol que acaba de crear. 1. Seleccione la pestaña **Relaciones de confianza**. 1. Elija **Editar la política de confianza**. 1. En el cuadro de texto JSON **Editar política de confianza**, añade la TagSession acción **sts:** a la política de confianza. Para obtener más información, consulte [Transferencia de etiquetas de sesión en AWS STS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_session-tags.html) en la *Guía del usuario de AWS Identity and Access Management *. El resultado debe ser similar al siguiente ejemplo: ![\[Un ejemplo de política de confianza.\]](http://docs.aws.amazon.com/es_es/workspaces/latest/adminguide/images/iam-saml-federation-policy-sts-tagsession.png) 1. Elija **Actualizar política**. 1. Elija la pestaña **Permisos**. 1. En la sección **Políticas de permisos** de la página, elija **Añadir permisos** y luego **Crear política insertada**. 1. En la sección **Editor de políticas** de la página, seleccione **JSON**. 1. En el cuadro de texto JSON **Editor de políticas**, escriba la política siguiente. Asegúrese de reemplazar: + **con el código de la AWS región en la que creó el directorio de su WorkSpace grupo. + **con el ID AWS de la cuenta. + **con el ID del directorio que creó anteriormente. Puede obtenerlo en la WorkSpaces consola. Para los recursos en AWS GovCloud (US) Regions, utilice el siguiente formato para el ARN:. `arn:aws-us-gov:workspaces:::directory/` 1. Elija Siguiente. 1. Escriba un nombre para la política y elija **Create policy (Crear política)**. ## Paso 6: configurar el proveedor de identidades de SAML 2.0 En función del IdP de SAML 2.0, es posible que tenga que actualizarlo manualmente para que confíe en AWS como proveedor de servicios. Para ello, descarga el `saml-metadata.xml` archivo que se encuentra en [https://signin.aws.amazon.com/static/saml-metadata.xml](https://signin.aws.amazon.com/static/saml-metadata.xml) y, a continuación, lo carga en tu IdP. Esto actualiza los metadatos del IdP. Para algunos IdPs, es posible que la actualización ya esté configurada. Puede omitir este paso si ya se ha configurado. Si la actualización aún no está configurada en el IdP, revise la documentación facilitada por este para obtener más información sobre cómo actualizar los metadatos. Algunos proveedores ofrecen la opción de escribir la URL del archivo XML en su panel, y el IdP obtiene e instala el archivo automáticamente. Otros requieren que descargue el archivo de la URL y, a continuación, lo cargue en su panel. **importante** En este momento, también puede autorizar a los usuarios de su IdP a acceder a la WorkSpaces aplicación que ha configurado en su IdP. A los usuarios que están autorizados a acceder a la WorkSpaces aplicación de su directorio no se les WorkSpace crea automáticamente una. Del mismo modo, los usuarios que hayan WorkSpace creado una para ellos no están autorizados automáticamente a acceder a la WorkSpaces aplicación. Para conectarse correctamente a una autenticación WorkSpace mediante SAML 2.0, el IdP debe autorizar al usuario y tener WorkSpace un creado. ## Paso 7: crear aserciones para la respuesta de autenticación de SAML Configure la información que su IdP envía AWS como atributos de SAML en su respuesta de autenticación. En función del IdP, es posible que ya se haya configurado. Puede omitir este paso si ya se ha configurado. Si no se ha configurado, indique lo siguiente: + **NameID del sujeto de SAML**: el identificador único del usuario que está iniciando sesión. No cambies la format/value parte de este campo. De lo contrario, la característica de carpeta de inicio no funcionará según lo previsto porque se tratará al usuario como un usuario diferente. **nota** En el caso de los WorkSpaces grupos unidos a un dominio, el `NameID` valor para el usuario debe proporcionarse en el `domain\username` formato que utilice`sAMAccountName`, o simplemente en el `username@domain.com` formato que utilice`userPrincipalName`. `userName` Si utiliza el formato `sAMAccountName`, puede especificar el dominio con el nombre de NetBIOS o con el nombre completo del dominio (FQDN). El formato `sAMAccountName` es obligatorio para situaciones de confianza unidireccional de Active Directory. Para obtener más información, consulte [Uso de Active Directory con WorkSpaces Pools](active-directory.md). Si solo se ha proporcionado `userName`, el usuario iniciará sesión en el dominio principal. + **Tipo de sujeto de SAML (con un valor establecido en `persistent`)**: al establecer el valor en `persistent`, se garantiza que el IdP envíe el mismo valor único para el elemento `NameID` en todas las solicitudes de SAML de un usuario particular. Asegúrese de que la política de IAM incluya una condición para permitir solo las solicitudes de SAML con un `sub_type` de SAML configurado como `persistent`, tal y como se describe en la sección [Paso 5: crear un rol de IAM de federación de SAML 2.0](#saml-directory-saml-federation-role-in-iam). + **`Attribute`elemento con el `Name` atributo establecido en https://aws.amazon.com/SAML/ Attributes/Role: este elemento contiene uno o más `AttributeValue` elementos que enumeran el rol** de IAM y el IdP de SAML a los que su IdP asigna al usuario. El rol y el IdP se especifican como un par delimitado por comas de. ARNs Un ejemplo del valor esperado es `arn:aws:iam:::role/,arn:aws:iam:::saml-provider/`. + **`Attribute`elemento con el `Name` atributo establecido en https://aws.amazon.com/SAML/ Attributes/ RoleSessionName**: este elemento contiene un `AttributeValue` elemento que proporciona un identificador para las credenciales AWS temporales que se emiten para el SSO. El valor del elemento `AttributeValue` debe tener entre 2 y 64 caracteres, solo puede incluir caracteres alfanuméricos y los siguientes caracteres especiales: `_ . : / = + - @`. No puede contener espacios. Normalmente, el valor es una dirección de correo electrónico o un nombre principal de un usuario (UPN). No debe ser un valor que contenga un espacio, como el nombre visible de un usuario. + **`Attribute`elemento con el `Name` atributo establecido en https://aws.amazon.com/SAML/ Attributes/:EmailPrincipalTag:** este elemento contiene un elemento `AttributeValue` que proporciona la dirección de correo electrónico del usuario. El valor debe coincidir con la dirección de correo electrónico WorkSpaces del usuario definida en el directorio. WorkSpaces Los valores de las etiquetas pueden incluir combinaciones de letras, números, espacios y caracteres `_ . : / = + - @`. Para obtener más información, consulte [Reglas para etiquetar en IAM y AWS STS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_tags.html#id_tags_rules) en la *Guía del usuario de AWS Identity and Access Management *. + **`Attribute`Elemento (opcional) con el `Name` atributo establecido en https://aws.amazon.com/SAML/ Attributes/PrincipalTag: UserPrincipalName** — Este elemento contiene un `AttributeValue` elemento que proporciona Active Directory al `userPrincipalName` usuario que inicia sesión. El valor debe proporcionarse en el formato `username@domain.com`. Este parámetro se usa con la autenticación basada en certificados como nombre alternativo del sujeto en el certificado del usuario final. Para obtener más información, consulte [Autenticación basada en certificados y personal WorkSpaces](certificate-based-authentication.md). + **`Attribute`Elemento (opcional) con el `Name` atributo establecido en https://aws.amazon.com/SAML/ Attributes/PrincipalTag: ObjectSid (opcional)**: este elemento contiene un `AttributeValue` elemento que proporciona el identificador de seguridad (SID) de Active Directory para el usuario que inicia sesión. Este parámetro se usa con la autenticación basada en certificados para permitir una asignación firme con el usuario de Active Directory. Para obtener más información, consulte [Autenticación basada en certificados y personal WorkSpaces](certificate-based-authentication.md). + **`Attribute`Elemento (opcional) con el `Name` atributo establecido en https://aws.amazon.com/SAML/ Attributes/:DomainPrincipalTag: este elemento contiene un elemento `AttributeValue` que proporciona el nombre de dominio** completo (FQDN) de DNS de Active Directory para que los usuarios inicien sesión. Este parámetro se usa con la autenticación basada en certificados cuando el `userPrincipalName` de Active Directory del usuario contiene un sufijo alternativo. El valor debe proporcionarse en el formato `domain.com` y debe incluir los subdominios. + **`Attribute`Elemento (opcional) con el `Name` atributo establecido en https://aws.amazon.com/SAML/ Attributes/ SessionDuration**: este elemento contiene un `AttributeValue` elemento que especifica el tiempo máximo que una sesión de streaming federada de un usuario puede permanecer activa antes de que sea necesario volver a autenticarse. El valor predeterminado es de `3600` segundos (60 minutos). *Para obtener más información, consulte el [SAML en la Guía del usuario. SessionDurationAttribute](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml_assertions.html#saml_role-session-duration)AWS Identity and Access Management * **nota** Aunque `SessionDuration` es un atributo opcional, se recomienda incluirlo en la respuesta de SAML. Si no especifica este atributo, la duración de la sesión se establece en un valor predeterminado de `3600` segundos (60 minutos). WorkSpaces las sesiones de escritorio se desconectan una vez expirada la duración de la sesión. Para obtener más información sobre cómo configurar estos elementos, consulte [Configure aserciones SAML para la respuesta de autenticación](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml_assertions.html) en la *Guía del usuario de AWS Identity and Access Management *. Para obtener información sobre los requisitos de configuración específicos de su IdP, consulte la documentación de su IdP. ## Paso 8: configurar el estado de retransmisión de la federación Utilice su IdP para configurar el estado de retransmisión de su federación para que apunte a la URL del estado de retransmisión del directorio del WorkSpaces grupo. Tras la correcta autenticación AWS, se dirige al usuario al punto final del directorio WorkSpaces Pool, definido como el estado de retransmisión en la respuesta de autenticación SAML. Este es el formato de la URL del estado de retransmisión: ``` https://relay-state-region-endpoint/sso-idp?registrationCode=registration-code ``` En la siguiente tabla se enumeran los puntos finales del estado de retransmisión de AWS las regiones en las que está disponible la autenticación WorkSpaces SAML 2.0. AWS Se han eliminado las regiones en las que la función de WorkSpaces grupos no está disponible. | Region | Punto de conexión del estado de retransmisión | | --- | --- | | Región Este de EE. UU. (Norte de Virginia) | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/workspaces/latest/adminguide/create-directory-pools.html) | | Región del Oeste de EE. UU (Oregón) | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/workspaces/latest/adminguide/create-directory-pools.html) | | Región de Asia-Pacífico (Mumbai) | workspaces.euc-sso.ap-south-1.aws.amazon.com | | Región de Asia-Pacífico (Seúl) | workspaces.euc-sso.ap-northeast-2.aws.amazon.com | | Región de Asia-Pacífico (Singapur) | workspaces.euc-sso.ap-southeast-1.aws.amazon.com | | Región de Asia-Pacífico (Sídney) | workspaces.euc-sso.ap-southeast-1.aws.amazon.com | | Región de Asia-Pacífico (Tokio) | workspaces.euc-sso.ap-northeast-2.aws.amazon.com | | Región de Canadá (centro) | workspaces.euc-sso.us-east-1.aws.amazon.com | | Región de Europa (Fráncfort) | workspaces.euc-sso.eu-central-1.aws.amazon.com | | Región de Europa (Irlanda) | workspaces.euc-sso.eu-west-1.aws.amazon.com | | Región de Europa (Londres) | workspaces.euc-sso.eu-west-1.aws.amazon.com | | Región de América del Sur (São Paulo) | workspaces.euc-sso.sa-east-1.aws.amazon.com | | AWS GovCloud (EEUU-Oeste) | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/workspaces/latest/adminguide/create-directory-pools.html) Para obtener información sobre cómo trabajar con SAML IdPs en AWS GovCloud (US) Regions, consulta la *Guía del usuario de [Amazon WorkSpaces](https://docs.aws.amazon.com/govcloud-us/latest/UserGuide/govcloud-workspaces.html)AWS GovCloud (EE. UU.)*. | | AWS GovCloud (Este de EE. UU.) | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/workspaces/latest/adminguide/create-directory-pools.html) Para obtener información sobre cómo trabajar con SAML IdPs en AWS GovCloud (US) Regions, consulta la *Guía del usuario de [Amazon WorkSpaces](https://docs.aws.amazon.com/govcloud-us/latest/UserGuide/govcloud-workspaces.html)AWS GovCloud (EE. UU.)*. | ## Paso 9: Habilita la integración con SAML 2.0 en el directorio de tu grupo WorkSpace Complete el siguiente procedimiento para habilitar la autenticación SAML 2.0 en el directorio del WorkSpaces pool. 1. [Abra la WorkSpaces consola en la versión 2/homehttps://console.aws.amazon.com/workspaces/.](https://console.aws.amazon.com/workspaces/v2/home) 1. Elija **Directorios** en el panel de navegación. 1. Seleccione la pestaña **Directorios de grupos**. 1. Elija el ID del directorio que desea editar. 1. Elija **Editar** en la sección **Autenticación** de la página. 1. Seleccione **Editar proveedor de identidad de SAML 2.0**. 1. En la opción **URL de acceso del usuario**, que a veces se denomina URL de SSO, sustituya el valor del marcador de posición por la URL de SSO que le proporcionó el IdP. 1. En la opción **Nombre del parámetro de enlace profundo del IdP**, introduzca el parámetro aplicable al IdP y a la aplicación que ha configurado. El valor predeterminado es `RelayState` si omite el nombre del parámetro. En la siguiente tabla se enumeran los nombres de los parámetros de acceso de usuario URLs y de enlace directo que son exclusivos de los distintos proveedores de identidad para las aplicaciones. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/workspaces/latest/adminguide/create-directory-pools.html) 1. Seleccione **Save**. **importante** La revocación de SAML 2.0 de un usuario no desconectará directamente su sesión. Solo se eliminarán cuando se agote el tiempo de espera. También pueden finalizarlo mediante la [ TerminateWorkspacesPoolSession](https://docs.aws.amazon.com//workspaces/latest/api/API_TerminateWorkspacesPoolSession.html)API. ## Resolución de problemas La siguiente información puede ayudarle a solucionar problemas específicos con sus WorkSpaces grupos. ### Recibo el mensaje «No puedo iniciar sesión» en el cliente de WorkSpaces Pools después de completar la autenticación SAML `nameID` y `PrincipalTag:Email` en las notificaciones de SAML deben coincidir con el nombre de usuario y el correo electrónico configurados en Active Directory. Algunos IDP pueden requerir una actualización o reimplementación después de ajustar ciertos atributos. Si realiza un ajuste y no se refleja en la captura de SAML, consulte la documentación o el programa de soporte de IdP para conocer los pasos específicos necesarios para que el cambio surta efecto. # Especifique los detalles de Active Directory para el directorio de WorkSpaces grupos En este tema, le mostramos cómo especificar los detalles de Active Directory (AD) en la página de **creación WorkSpaces de directorios** de la WorkSpaces consola. Al crear el directorio WorkSpaces de grupos, debe especificar los detalles de su AD si planea usar un AD con sus WorkSpaces grupos. No puede editar la **configuración de Active Directory** para el directorio de WorkSpaces grupos después de crearla. A continuación se muestra un ejemplo de la sección **Config de Active Directory** de la página de **directorio Create WorkSpaces Pool**. ![\[La sección Config de Active Directory de la página de directorio Create WorkSpaces Pool\]](http://docs.aws.amazon.com/es_es/workspaces/latest/adminguide/images/pools-wsp-active-directory-config.png) **nota** El proceso completo para crear un WorkSpaces directorio de grupos se describe en el [Configurar SAML 2.0 y crear un directorio de WorkSpaces grupos](create-directory-pools.md) tema. Los procedimientos descritos en esta página representan solo un subconjunto de pasos del proceso completo para crear un directorio de WorkSpaces grupos. **Topics** + [Especificación de la unidad organizativa y el nombre de dominio del directorio de AD](#pools-specify-ou-and-directory-domain) + [Especificación de la cuenta de servicio para el directorio de AD](#pools-specify-access-account) ## Especificación de la unidad organizativa y el nombre de dominio del directorio de AD Complete el siguiente procedimiento para especificar una unidad organizativa (OU) y un nombre de dominio de directorio para su AD en la página **Crear un directorio WorkSpaces de grupos**. 1. En **Unidad organizativa**, introduzca la OU a la que pertenece el grupo. WorkSpace las cuentas de máquina se colocan en la unidad organizativa (OU) que especifique para el directorio del WorkSpaces grupo. **nota** El nombre de la unidad organizativa no puede contener espacios. Si especifica un nombre de unidad organizativa que contiene espacios, al intentar volver a unirse al dominio de Active Directory, WorkSpaces no podrá reproducir los objetos del equipo correctamente y la unión del dominio no funcionará. 1. En **Nombre de dominio del directorio**, proporcione el nombre de dominio completo (FQDN) del dominio de Active Directory (por ejemplo, `corp.example.com`). Cada AWS región solo puede tener un valor de configuración de directorio con un nombre de directorio específico. + Puede unir los directorios de su WorkSpaces grupo a los dominios de Microsoft Active Directory. También puede usar sus dominios de Active Directory existentes, ya sean basados en la nube o locales, para lanzar dominios WorkSpaces unidos. + También puede utilizarlos AWS Directory Service for Microsoft Active Directory, también conocidos como AWS Managed Microsoft AD, para crear un dominio de Active Directory. Luego, puede usar ese dominio para respaldar sus WorkSpaces recursos. + Al unirse WorkSpaces a su dominio de Active Directory, puede: + Ofrecer acceso a los usuarios y a las aplicaciones a los recursos de Active Directory, como las impresoras y el uso compartido de archivos de las sesiones de transmisión. + Utilizar las configuraciones de políticas de grupo que están disponibles en la consola de administración de políticas de grupo (GPMC) para definir la experiencia del usuario final. + Transmita aplicaciones en streaming que requieren que los usuarios se autentiquen mediante sus credenciales de inicio de sesión de Active Directory. + Aplicar sus políticas de conformidad y seguridad de la compañía a sus instancias de streaming de WorkSpaces . 1. En **Cuenta de servicio**, continúe con la siguiente sección [Especificación de la cuenta de servicio para el directorio de AD](#pools-specify-access-account) de esta página. ## Especificación de la cuenta de servicio para el directorio de AD Al configurar Active Directory (AD) para sus WorkSpaces grupos como parte del proceso de creación de directorios, debe especificar la cuenta de servicio de AD que se utilizará para administrar el AD. Para ello, debe proporcionar las credenciales de la cuenta de servicio, que deben almacenarse AWS Secrets Manager y cifrarse mediante una clave AWS Key Management Service (AWS KMS) gestionada por el cliente. En esta sección, le mostramos cómo crear la clave administrada por el AWS KMS cliente y el secreto de Secrets Manager para almacenar las credenciales de su cuenta de servicio de AD. ### Paso 1: Crea una clave gestionada por el AWS KMS cliente Complete el siguiente procedimiento para crear una clave gestionada por el AWS KMS cliente 1. Abra la AWS KMS consola en [https://console.aws.amazon.com/kms.](https://console.aws.amazon.com/kms) 1. Para cambiarla Región de AWS, usa el selector de regiones en la esquina superior derecha de la página. 1. Elija **Crear una clave** y luego **Siguiente**. 1. Seleccione **Simétrica** en el tipo de clave, elija **Cifrar y descifrar** en el uso de clave y luego seleccione **Siguiente**. 1. Introduzca un alias para la clave, como, por ejemplo, `WorkSpacesPoolDomainSecretKey`, y luego seleccione **Siguiente**. 1. No elija un administrador de claves. Elija **Siguiente** para continuar. 1. No defina permisos de uso de claves. Elija **Siguiente** para continuar. 1. En la sección Política de claves de la página, añada lo siguiente: ``` { "Sid": "Allow access for Workspaces SP", "Effect": "Allow", "Principal": { "Service": "workspaces.amazonaws.com" }, "Action": "kms:Decrypt", "Resource": "*" } ``` El resultado debe ser similar al del siguiente ejemplo. ![\[Un ejemplo de política AWS KMS clave.\]](http://docs.aws.amazon.com/es_es/workspaces/latest/adminguide/images/kms-key-policy-for-wsp-pools-service-account.png) 1. Seleccione **Finalizar**. Su clave gestionada por el AWS KMS cliente ya está lista para usarse con Secrets Manager. Continúe con la sección [Paso 2: crear el secreto de Secrets Manager para almacenar las credenciales de la cuenta de servicio de AD](#pools-create-asm-secret) de esta página. ### Paso 2: crear el secreto de Secrets Manager para almacenar las credenciales de la cuenta de servicio de AD Complete el siguiente procedimiento para crear un secreto de Secrets Manager con el fin de almacenar las credenciales de la cuenta de servicio de AD. 1. Abra la AWS Secrets Manager consola en [https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/). 1. Elija **Create a new secret (Elegir un nuevo secerto)**. 1. Elija **Otro tipo de secreto**. 1. Para el primer key/value par, introduzca `Service Account Name` la clave y el nombre de la cuenta de servicio para el valor, por ejemplo`domain\username`. 1. Para el segundo key/value par, introduzca una `Service Account Password` como clave y la contraseña de la cuenta de servicio para el valor. 1. Para la clave de cifrado, elija la clave gestionada por el AWS KMS cliente que creó anteriormente y, a continuación, elija **Siguiente**. 1. Escriba un nombre para el secreto, como, por ejemplo, `WorkSpacesPoolDomainSecretAD`. 1. Seleccione **Editar permisos** en la sección **Permisos de recursos** de la página. 1. Introduzca la siguiente política de permiso: ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": [ "workspaces.amazonaws.com" ] }, "Action": "secretsmanager:GetSecretValue", "Resource": "*" } ] } ``` ------ 1. Elija **Guardar** para guardar la política de permiso. 1. Elija **Siguiente** para continuar. 1. No configure la rotación automática. Elija **Siguiente** para continuar. 1. Seleccione **Almacenar** para terminar de almacenar el secreto. Ya se han guardado en Secrets Manager las credenciales de la cuenta de servicio de AD. Continúe con la sección [Paso 3: seleccionar el secreto de Secrets Manager que incluye las credenciales de la cuenta de servicio de AD](#continue-creating-pools-directory) de esta página. ### Paso 3: seleccionar el secreto de Secrets Manager que incluye las credenciales de la cuenta de servicio de AD Complete el siguiente procedimiento para seleccionar el secreto de Secrets Manager que creó en la configuración de Active Directory para el directorio de su WorkSpaces grupo. + En **Cuenta de servicio**, elija el AWS Secrets Manager secreto que contiene las credenciales de su cuenta de servicio. Complete los siguientes pasos para crear el secreto, si aún no lo ha hecho. El secreto debe cifrarse mediante una clave gestionada por el AWS Key Management Service cliente. Ahora que ha completado todos los campos de la sección **Config de Active Directory** de la página **Crear WorkSpaces directorio** de grupos, puede continuar con la creación del directorio WorkSpaces de grupos. Vaya a [Paso 4: Crear un directorio de WorkSpace grupos](create-directory-pools.md#saml-directory-create-wsp-pools-directory) y comience con el paso 9 del procedimiento. # Actualice los detalles del directorio de sus WorkSpaces piscinas Puede realizar las siguientes tareas de administración de directorios mediante la consola WorkSpaces Pools. ## Autenticación Puede configurar opciones de autenticación adicionales para sus WorkSpaces grupos. Pools requiere la autenticación de SAML 2.0. **Cómo habilitar y configurar la autenticación de proveedor de identidades de SAML 2.0** 1. Abra la WorkSpaces consola en la [https://console.aws.amazon.com/workspaces/versión 2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. Elija **Directorios** en el panel de navegación. 1. Elija el directorio que desea configurar. 1. Vaya a Autenticación y seleccione **Editar**. 1. Seleccione **Editar proveedor de identidad de SAML 2.0**. 1. Marque la casilla de verificación **Habilitar la autenticación de SAML 2.0**. 1. Introduzca la **URL de acceso de usuario** para dirigir al cliente de WorkSpaces Pools durante el inicio de sesión federado. 1. Introduzca el **nombre del parámetro de enlace profundo del IdP** (opcional). 1. Seleccione **Save**. **Cómo habilitar y configurar la autenticación basada en certificados** 1. [Abra la WorkSpaces consola en la versión 2/home. https://console.aws.amazon.com/workspaces/](https://console.aws.amazon.com/workspaces/v2/home) 1. Elija **Directorios** en el panel de navegación. 1. Elija el directorio que desea configurar. 1. Vaya a Autenticación y seleccione **Editar**. 1. Elija **Editar la autenticación basada en certificados**. 1. Marque la casilla de verificación **Habilitar la autenticación basada en certificados**. 1. Elija en el menú desplegable **Autoridad de certificación privada (CA) de AWS Certificate Manager (ACM)**. 1. Seleccione **Save**. ## Security group (Grupo de seguridad) Aplique un grupo de seguridad a los WorkSpaces grupos de su directorio. **Para configurar un grupo de seguridad para sus WorkSpaces grupos** 1. Abra la WorkSpaces consola en la [https://console.aws.amazon.com/workspaces/versión 2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. Elija **Directorios** en el panel de navegación. 1. Elija el directorio que desea configurar. 1. Vaya a Grupo de seguridad y seleccione **Editar**. 1. En el menú desplegable, elija un grupo de seguridad. ## Configuración de Active Directory Configure su directorio Active Directory Config con una unidad organizativa (OU), un nombre de dominio del directorio y un secreto de AWS Secrets Manager. **Cómo configurar Active Directory** 1. Abra la WorkSpaces consola en la [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. Elija **Directorios** en el panel de navegación. 1. Elija el directorio que desea configurar. 1. Vaya a Configuración de Active Directory y seleccione **Editar**. 1. Para buscar una unidad organizativa (OU), puede empezar a escribir todo o parte de su nombre y elegir la que desee usar. **nota** (Opcional) Tras elegir la OU, reconstruya la existente WorkSpaces para actualizarla. Para obtener más información, consulte [Cómo volver a crear un escritorio de WorkSpaces en WorkSpaces Personal](rebuild-workspace.md) 1. Seleccione **Save**. **nota** El nombre de dominio del directorio y el secreto de AWS Secrets Manager no se pueden editar una vez que hayas creado tu pool. ## Propiedades de transmisión Configura la forma en que tus usuarios pueden transferir datos entre su dispositivo agrupado WorkSpace y su dispositivo local. **Cómo configurar propiedades de transmisión** 1. [Abre la WorkSpaces consola en la versión 2/homehttps://console.aws.amazon.com/workspaces/.](https://console.aws.amazon.com/workspaces/v2/home) 1. Elija **Directorios** en el panel de navegación. 1. Elija el directorio que desea configurar. 1. Vaya a Propiedades de transmisión y seleccione **Editar**. 1. Configure las siguientes propiedades de transmisión: + Permisos del portapapeles + En la lista desplegable, elija una de las siguientes opciones: + **Permitir copiar y pegar**: permite copiar en un dispositivo local y pegar en una sesión remota. + **Permitir pegar en una sesión remota**: permite pegar en una sesión remota. + **Permitir copiar en un dispositivo local**: permite copiar en un dispositivo local. + Deshabilitado + Elija si desea permitir o no la impresión en el dispositivo local. + Elija si desea permitir o no el registro de diagnósticos. + Elija si desea permitir o no el inicio de sesión con tarjeta inteligente. + Para habilitar el almacenamiento de las carpetas de inicio, seleccione **Habilitar las carpetas de inicio**. 1. Seleccione **Save**. ## rol de IAM Seleccione un rol de IAM para sus grupos. WorkSpaces **Cómo seleccionar un rol de IAM** 1. [Abre la WorkSpaces consola en la versión 2/homehttps://console.aws.amazon.com/workspaces/.](https://console.aws.amazon.com/workspaces/v2/home) 1. Elija **Directorios** en el panel de navegación. 1. Elija el directorio que desea configurar. 1. Vaya a rol de IAM y elija **Editar**. 1. Elija un rol de IAM en la lista desplegable. Para crear un nuevo rol de IAM, elija **Crear un nuevo rol de IAM**. 1. Seleccione **Save**. ## Tags Añada nuevas etiquetas a sus piscinas WorkSpaces **Cómo añadir una etiqueta nueva** 1. Abre la WorkSpaces consola en la [https://console.aws.amazon.com/workspaces/versión 2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. Elija **Directorios** en el panel de navegación. 1. Elija el directorio que desea configurar. 1. Vaya a Etiquetas y seleccione **Administrar etiquetas**. 1. Elija **Añadir etiquetas** y escriba el valor del par de claves que desee usar. Una clave puede ser una categoría general, como "proyecto", "propietario" o "entorno", con valores específicos asociados. 1. Seleccione **Save changes (Guardar cambios)**. # Eliminar un directorio de WorkSpaces grupos Complete los siguientes procedimientos para eliminar un directorio de WorkSpaces grupos. 1. Abra la WorkSpaces consola en la [https://console.aws.amazon.com/workspaces/versión 2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. Elija **Directorios** en el panel de navegación. 1. Seleccione el directorio. 1. Elija **Acciones**, **Eliminar**. 1. **Cuando se le solicite la confirmación, introduzca **delete** el texto de confirmación y seleccione Eliminar.** # Redes y acceso en WorkSpaces Pools En los siguientes temas se ofrece información sobre cómo permitir que los usuarios se conecten a WorkSpaces Pools y permitir que los grupos de WorkSpaces Pools obtengan acceso a los recursos de red y a Internet. **Topics** + [Acceso a Internet en WorkSpaces Pools](internet-access.md) + [Configuración de una VPC en WorkSpaces Pools](appstream-vpc.md) + [Configure la autorización de FedRAMP o el cumplimiento de las normas SRG del DoD para los grupos WorkSpaces](fips-encryption-pools.md) + [Uso de puntos de enlace de VPC de Amazon S3 para funciones de grupos WorkSpaces](managing-network-vpce-iam-policy.md) + [Conexiones a su VPC para grupos WorkSpaces](pools-port-requirements.md) + [Conexiones de usuario a WorkSpaces grupos](user-connections-to-appstream2.md) # Acceso a Internet en WorkSpaces Pools Si los escritorios de WorkSpaces en WorkSpaces Pools requieren acceso a Internet, puede habilitarlo de varias maneras. Al elegir un método para habilitar el acceso a Internet, tenga en cuenta la cantidad de usuarios que debe admitir su implementación y sus objetivos de implementación. Por ejemplo: + Si su implementación debe admitir más de 100 usuarios simultáneos, [configure una VPC con subredes privadas y una puerta de enlace NAT](managing-network-internet-NAT-gateway.md). + Si su implementación admite menos de 100 usuarios simultáneos, puede [configurar una VPC nueva o existente con una subred pública](managing-network-default-internet-access.md). + Si la implementación admite menos de 100 usuarios simultáneos, no ha utilizado antes WorkSpaces Pools y desea empezar a utilizar el servicio, puede [utilizar la VPC, la subred pública y el grupo de seguridad predeterminados](managing-network-default-internet-access.md). En las secciones siguientes se proporciona más información acerca de estas opciones de implementación. + [Configurar una VPC con subredes privadas y una puerta de enlace NAT](managing-network-internet-NAT-gateway.md) (recomendado): con esta configuración, puede iniciar los generadores de WorkSpaces Pools en una subred privada y configurar una puerta de enlace NAT en una subred pública de la VPC. A las instancias de streaming se les asigna una dirección IP privada a la que no se puede acceder directamente desde Internet. Además, a diferencia de las configuraciones que utilizan la opción de **Acceso a Internet predeterminado** para habilitar el acceso a Internet, la configuración NAT no se limita a 100 escritorios de WorkSpaces en WorkSpaces Pools. Si la implementación debe admitir más de 100 usuarios simultáneos, utilice esta configuración. Puede crear y configurar una VPC nueva para utilizarla con una puerta de enlace NAT o agregar una puerta de enlace NAT a una VPC existente. + [Configurar una VPC nueva o existente con una subred pública](managing-network-default-internet-access.md): con esta configuración, inicia WorkSpaces Pools en una subred pública. Al habilitar esta opción, WorkSpaces Pools utiliza la puerta de enlace de Internet de la subred pública de Amazon VPC para proporcionar la conexión a Internet. A las instancias de streaming se les asigna una dirección IP pública a la que se puede acceder directamente desde Internet. Puede crear una VPC nueva o configurar una existente para este fin. **nota** Al configurar una VPC nueva o existente con una subred pública, se admite un máximo de 100 escritorios de WorkSpaces en WorkSpaces Pools. Si la implementación debe admitir más de 100 usuarios simultáneos, utilice la [configuración de puerta de enlace NAT](managing-network-internet-NAT-gateway.md) en su lugar. + [Utilizar la VPC, la subred pública y el grupo de seguridad predeterminados](default-vpc-with-public-subnet.md): si es la primera vez que utiliza WorkSpaces Pools y desea empezar a utilizar el servicio, puede iniciar WorkSpaces Pools en una subred pública predeterminada. Al habilitar esta opción, WorkSpaces Pools utiliza la puerta de enlace de Internet de la subred pública de Amazon VPC para proporcionar la conexión a Internet. A las instancias de streaming se les asigna una dirección IP pública a la que se puede acceder directamente desde Internet. Las VPC predeterminadas están disponibles en cuentas de Amazon Web Services creadas después del 04/12/2013. La VPC predeterminada incluye una subred pública predeterminada en cada zona de disponibilidad y una puerta de enlace de Internet asociada a la VPC. La VPC también incluye un grupo de seguridad predeterminado. **nota** Al utilizar la VPC, la subred pública y el grupo de seguridad predeterminados, se admite un máximo de 100 escritorios de WorkSpaces en WorkSpaces Pools. Si la implementación debe admitir más de 100 usuarios simultáneos, utilice la [configuración de puerta de enlace NAT](managing-network-internet-NAT-gateway.md) en su lugar. # Configuración de una VPC en WorkSpaces Pools Al configurar WorkSpaces Pools, debe especificar la nube privada virtual (VPC) y al menos una subred en la que iniciar los escritorios de WorkSpaces. Una VPC es una red virtual en su propia área, aislada lógicamente en la nube de Amazon Web Services. Una subred es un rango de direcciones IP en su VPC. Al configurar la VPC en WorkSpaces Pools, puede especificar subredes públicas, subredes privadas o una combinación de ambos tipos. Las subredes públicas tienen acceso a Internet a través de una puerta de enlace de Internet. Las subredes privadas, que no tiene una ruta a una puerta de enlace de Internet, requieren una puerta de enlace de traducción de direcciones de red (NAT) o una instancia NAT para proporcionar acceso a Internet. **Topics** + [Recomendaciones de configuración de VPC para grupos WorkSpaces](vpc-setup-recommendations.md) + [Configurar una VPC con subredes privadas y una puerta de enlace NAT](managing-network-internet-NAT-gateway.md) + [Configurar una VPC nueva o existente con una subred pública](managing-network-default-internet-access.md) + [Utilizar la VPC, la subred pública y el grupo de seguridad predeterminados](default-vpc-with-public-subnet.md) # Recomendaciones de configuración de VPC para grupos WorkSpaces Al crear un grupo, WorkSpaces se especifica la VPC y una o más subredes que se van a utilizar. Puede proporcionar control de acceso adicional a la VPC especificando grupos de seguridad. Las siguientes recomendaciones pueden ayudarle a configurar la VPC de forma más eficaz y segura. Además, pueden ayudarlo a configurar un entorno que permita un escalado efectivo de los WorkSpaces grupos. Con un escalado efectivo de los WorkSpaces grupos, puede satisfacer la demanda actual y prevista de los WorkSpaces usuarios y, al mismo tiempo, evitar el uso innecesario de recursos y los costos asociados. **Configuración general de la VPC** + Asegúrese de que la configuración de su VPC pueda satisfacer las necesidades de escalado de sus WorkSpaces grupos. A medida que desarrolle su plan de escalado de WorkSpaces grupos, tenga en cuenta que un usuario necesita uno WorkSpaces. Por lo tanto, el tamaño de sus WorkSpaces grupos determina la cantidad de usuarios que pueden transmitir simultáneamente. Por este motivo, para cada [tipo de instancia](instance-types.md) que vaya a utilizar, asegúrese de que la cantidad WorkSpaces que la VPC puede admitir sea superior a la cantidad de usuarios simultáneos previstos para el mismo tipo de instancia. + Asegúrese de que las cuotas de sus cuentas de WorkSpaces Pools (también denominadas límites) sean suficientes para satisfacer la demanda prevista. Para solicitar un aumento de cuota, puede utilizar la consola Service Quotas en [https://console.aws.amazon.com/servicequotas/](https://console.aws.amazon.com/servicequotas/). Para obtener información sobre las cuotas de WorkSpaces grupos predeterminadas, consulte[WorkSpaces Cuotas de Amazon](workspaces-limits.md). + Si planea proporcionar acceso a Internet a sus WorkSpaces WorkSpaces grupos internos, le recomendamos que configure una VPC con dos subredes privadas para sus instancias de streaming y una puerta de enlace NAT en una subred pública. La puerta de enlace NAT permite que las subredes privadas se WorkSpaces conecten a Internet o a otros servicios. AWS Sin embargo, impide que Internet inicie una conexión con ellas. WorkSpaces Además, a diferencia de las configuraciones que utilizan la opción de **acceso a Internet predeterminado** para habilitar el acceso a Internet, la configuración de NAT admite más de 100 WorkSpaces. Para obtener más información, consulte [Configurar una VPC con subredes privadas y una puerta de enlace NAT](managing-network-internet-NAT-gateway.md). **Interfaces de redes elásticas** + WorkSpaces Los grupos crean tantas interfaces de [red elásticas (interfaces](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_ElasticNetworkInterfaces.html) de red) como la capacidad máxima deseada de sus WorkSpaces grupos. De forma predeterminada, el límite de interfaces de red por región es 5000. Al planificar la capacidad para despliegues muy grandes, por ejemplo, miles de WorkSpaces, tenga en cuenta el número de instancias de Amazon EC2 que también se utilizan en la misma región. **Subredes** + Si va a configurar más de una subred privada para la VPC, configure cada una en una zona de disponibilidad diferente. De este modo, aumenta la tolerancia a errores y puede ayudar a evitar problemas de falta de capacidad. Si utiliza dos subredes en la misma zona de disponibilidad, es posible que se quede sin direcciones IP, ya que los WorkSpaces grupos no utilizarán la segunda subred. + Asegúrese de que los recursos de red necesarios para las aplicaciones sean accesibles a través ambas subredes privadas. + Configure cada una de las subredes privadas con una máscara de subred que permita suficientes direcciones IP de cliente para tener capacidad para el número máximo de usuarios simultáneos previstos. Además, permita direcciones IP adicionales para tener en cuenta el crecimiento previsto. Para obtener más información, consulte [Dimensionamiento de subredes y VPC](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Subnets.html#vpc-sizing-ipv4) para. IPv4 + Si utiliza una VPC con NAT, configure al menos una subred pública con una puerta de enlace NAT para acceder a Internet, preferiblemente dos. Configure las subredes públicas en las mismas zonas de disponibilidad donde residen las subredes privadas. Para mejorar la tolerancia a errores y reducir la posibilidad de que se produzcan errores de capacidad insuficiente en las implementaciones de WorkSpaces grupos grandes, considere la posibilidad de ampliar la configuración de VPC a una tercera zona de disponibilidad. Incluya una subred privada, una subred pública y una puerta de enlace NAT en esta zona de disponibilidad adicional. **Grupos de seguridad** + Utilice grupos de seguridad para proporcionar control de acceso adicional a la VPC. Los grupos de seguridad que pertenecen a su VPC le permiten controlar el tráfico de red entre los WorkSpaces grupos, las instancias de streaming y los recursos de red que requieren las aplicaciones. Estos recursos pueden incluir otros AWS servicios, como Amazon RDS o Amazon FSx, servidores de licencias, servidores de bases de datos, servidores de archivos y servidores de aplicaciones. + Asegúrese de que los grupos de seguridad proporcionen acceso a los recursos de red que requieren las aplicaciones. Para obtener información general sobre los grupos de seguridad, consulte [Controlar el tráfico de sus AWS recursos mediante grupos de seguridad](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-security-groups.html) en la Guía del *usuario de Amazon VPC*. # Configurar una VPC con subredes privadas y una puerta de enlace NAT Si planea proporcionar acceso a Internet a sus WorkSpaces WorkSpaces grupos internos, le recomendamos que configure una VPC con dos subredes privadas para usted WorkSpaces y una puerta de enlace NAT en una subred pública. Puede crear y configurar una VPC nueva para utilizarla con una puerta de enlace NAT o agregar una puerta de enlace NAT a una VPC existente. Para obtener más recomendaciones de configuración de la VPC, consulte [Recomendaciones de configuración de VPC para grupos WorkSpaces](vpc-setup-recommendations.md). La puerta de enlace NAT permite que las subredes privadas se WorkSpaces conecten a Internet o a otros AWS servicios, pero impide que Internet inicie una conexión con ellos. WorkSpaces Además, a diferencia de las configuraciones que utilizan la opción de **acceso a Internet predeterminado** para habilitar el acceso a Internet WorkSpaces, esta configuración no está limitada a 100. WorkSpaces Para obtener más información acerca del uso de puertas de enlace NAT y esta configuración, consulte [Puertas de enlace NAT](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-nat-gateway.html) y [VPC con subredes privadas y públicas (NAT)](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Scenario2.html) en la *Guía del usuario de Amazon VPC*. **Topics** + [Creación y configuración de una VPC nueva](create-configure-new-vpc-with-private-public-subnets-nat.md) + [Agregar una puerta de enlace NAT a una VPC existente](add-nat-gateway-existing-vpc.md) + [Habilitar el acceso a Internet para WorkSpaces las piscinas](managing-network-manual-enable-internet-access.md) # Creación y configuración de una VPC nueva En este tema se describe cómo utilizar el asistente de VPC para crear una VPC con una subred pública y una subred privada. Como parte de este proceso, el asistente crea una puerta de enlace de Internet y una puerta de enlace NAT. También crea una tabla de enrutamiento personalizada asociada con la subred pública y actualiza la tabla de enrutamiento principal asociada con la subred privada. La puerta de enlace NAT se creará automáticamente en la subred pública de su VPC. Después de utilizar el asistente para crear la configuración inicial de la VPC, agregará una segunda subred privada. Para obtener más información acerca de esta configuración, consulte [VPC con subredes privadas y públicas (NAT)](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Scenario2.html) en la *Guía del usuario de Amazon VPC*. **nota** Si ya tiene una VPC, complete los pasos descritos en [Agregar una puerta de enlace NAT a una VPC existente](add-nat-gateway-existing-vpc.md) en su lugar. **Topics** + [Paso 1: asignación de una dirección IP elástica](#allocate-elastic-ip) + [Paso 2: creación de una VPC nueva](#vpc-with-private-and-public-subnets-nat) + [Paso 3: adición de una segunda subred privada](#vpc-with-private-and-public-subnets-add-private-subnet-nat) + [Paso 4: verificación y asignación de un nombre a las tablas de enrutamiento de la subred](#verify-name-route-tables) ## Paso 1: asignación de una dirección IP elástica Antes de crear la VPC, debe asignar una dirección IP elástica en su WorkSpaces región. Primero debe asignar una dirección IP elástica para usarla en la VPC y luego asociarla a la puerta de enlace NAT. Para obtener más información, consulte [Direcciones IP elásticas](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-eips.html) en la *Guía del usuario de Amazon VPC*. **nota** Es posible que se apliquen cargos a las direcciones IP elásticas que utilice. Para obtener más información, consulte [Direcciones IP elásticas](https://docs.aws.amazon.com/ec2/pricing/on-demand/#Elastic_IP_Addresses) en la página de precios de Amazon EC2. Complete los siguientes pasos si aún no tiene una dirección IP elástica. Si desea utilizar una dirección IP elástica existente, compruebe que no esté actualmente asociada a otra instancia o interfaz de red. **Para asignar una dirección IP elástica** 1. Abra la consola de Amazon EC2 en [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. En el panel de navegación, en **Red y seguridad**, elige **Elastic IPs**. 1. Elija **Asignar nueva dirección** y, a continuación, elija **Asignar**. 1. Tome nota de la dirección IP elástica. 1. En la parte superior derecha del IPs panel **elástico**, haz clic en el icono X para cerrar el panel. ## Paso 2: creación de una VPC nueva Complete los siguientes pasos para crear una VPC nueva con una subred pública y una subred privada. **Para crear una VPC nueva** 1. Abra la consola de Amazon VPC en [https://console.aws.amazon.com/vpc/](https://docs.aws.amazon.com/vpc/). 1. En el panel de navegación, elija **Panel de VPC**. 1. Elija **Lanzar el asistente de VPC**. 1. En **Paso 1: selección de una configuración de VPC**, elija **VPC con subredes pública y privada** y, a continuación, elija **Seleccionar**. 1. En **Paso 2: VPC con subredes pública y privada**, configure la VPC como sigue: + Para el **bloque IPv4 CIDR**, especifique un bloque IPv4 CIDR para la VPC. + **Para el **bloque IPv6 CIDR**, mantenga el valor predeterminado, Sin bloque CIDR. IPv6 ** + En **Nombre de la VPC**, escriba un nombre único para la VPC. 1. Configure la subred pública de la siguiente manera: + Para el CIDR **de la subred pública, especifique el bloque IPv4 CIDR** de la subred. + En **Zona de disponibilidad**, deje el valor predeterminado **Sin preferencia**. + En **Nombre de la subred pública**, escriba un nombre para la subred, como `WorkSpaces Public Subnet`. 1. Configure la primera subred privada de la siguiente manera: + Para el CIDR de **la subred privada, especifique el IPv4 bloque CIDR** de la subred. Tome nota del valor que especifique. + En **Zona de disponibilidad**, seleccione una zona específica y tome nota de la zona seleccionada. + En **Nombre de la subred privada**, escriba un nombre para la subred, como `WorkSpaces Private Subnet1`. + En los campos restantes, cuando corresponda, deje los valores predeterminados. 1. En **ID de asignación de IP elástica**, haga clic en el cuadro de texto y seleccione el valor que corresponda a la dirección IP elástica creada. Esta dirección se asigna a la puerta de enlace NAT. Si no tiene una dirección IP elástica, cree una mediante la consola de Amazon VPC en. [https://console.aws.amazon.com/vpc/](https://docs.aws.amazon.com/vpc/) 1. En **Puntos de conexión de servicio**, si se requiere un punto de conexión de Amazon S3 para el entorno, especifique uno. Se precisa un punto de conexión de S3 para proporcionar a los usuarios acceso a las [carpetas iniciales](persistent-storage.md#home-folders) o para habilitar la [persistencia de configuración de la aplicación](app-settings-persistence.md) para los usuarios de una red privada. Para especificar un punto de conexión de Amazon S3, haga lo siguiente: 1. Elija **Agregar punto de conexión**. 1. En **Servicio**, seleccione la entrada de la lista que termina en «s3" (la `com.amazonaws.` *region* `.s3` entrada que corresponde a la región en la que se está creando la VPC). 1. En **Subred**, elija **subnet-2**. 1. En **Política**, deje el valor predeterminado, **Acceso completo**. 1. En **Habilitar nombres de host de DNS**, deje el valor predeterminado, **Sí**. 1. En **Tenencia de hardware**, deje el valor **Predeterminado**. 1. Seleccione **Crear VPC**. 1. Tenga en cuenta que se necesitan varios minutos para configurar la VPC. Una vez creada la VPC, elija **Aceptar**. ## Paso 3: adición de una segunda subred privada En el paso anterior ([Paso 2: creación de una VPC nueva](#vpc-with-private-and-public-subnets-nat)), ha creado una VPC con una subred pública y una subred privada. Realice los siguientes pasos para agregar una segunda subred privada. Se recomienda agregar una segunda subred privada en una zona de disponibilidad diferente a la primera subred privada. 1. En el panel de navegación, elija **Subredes**. 1. Seleccione la primera subred privada que creó en el paso anterior. En la pestaña **Descripción** debajo de la lista de subredes, tome nota de la zona de disponibilidad de esta subred. 1. En la parte superior izquierda del panel de subredes, elija **Crear subred**. 1. En **Etiqueta de nombre**, escriba un nombre para la subred privada, como `WorkSpaces Private Subnet2`. 1. En **VPC**, seleccione la VPC que creó en el paso anterior. 1. En **Zona de disponibilidad**, seleccione una zona de disponibilidad distinta de la que está utilizando para la primera subred privada. La selección de una zona de disponibilidad diferente aumenta la tolerancia a errores y ayuda a evitar problemas de falta de capacidad. 1. Para el **bloque IPv4 CIDR**, especifique un rango de bloques CIDR único para la nueva subred. Por ejemplo, si su primera subred privada tiene un rango de bloques IPv4 CIDR de`10.0.1.0/24`, puede especificar un rango de bloques CIDR de `10.0.2.0/24` para la nueva subred privada. 1. Seleccione **Crear**. 1. Una vez creada la subred, elija **Cerrar**. ## Paso 4: verificación y asignación de un nombre a las tablas de enrutamiento de la subred Después de crear y configurar la VPC, siga los pasos siguientes para especificar un nombre para las tablas de enrutamiento y comprobar que: + La tabla de enrutamiento asociada a la subred en la que reside su puerta de enlace NAT incluye una ruta que apunte el tráfico de Internet a una puerta de enlace de Internet. Esto garantiza que la puerta de enlace NAT pueda acceder a Internet. + Las tablas de enrutamiento asociadas a las subredes privadas se configuran para apuntar el tráfico de Internet a la puerta de enlace NAT. Esto permite a las instancias streaming de sus subredes privadas comunicarse con Internet. 1. En el panel de navegación, elija **Subredes** y seleccione la subred pública que ha creado; por ejemplo, `WorkSpaces Public Subnet`. 1. En la pestaña **Tabla de enrutamiento**, elija el ID de la tabla de enrutamiento; por ejemplo, `rtb-12345678`. 1. Seleccione la tabla de enrutamiento. En **Nombre**, elija el icono de edición (lápiz) e introduzca un nombre (por ejemplo, `workspaces-public-routetable`) y, a continuación, seleccione la marca de verificación para guardar el nombre. 1. Con la tabla de enrutamiento pública aún seleccionada, en la pestaña **Rutas**, compruebe que haya una ruta para el tráfico local y otra que envía el resto del tráfico hacia la puerta de enlace de Internet de la VPC. En la tabla siguiente se describen estas dos rutas: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/workspaces/latest/adminguide/create-configure-new-vpc-with-private-public-subnets-nat.html) 1. En el panel de navegación, elija **Subredes** y seleccione la primera subred privada que ha creado (por ejemplo, `WorkSpaces Private Subnet1`). 1. En la pestaña **Tabla de enrutamiento**, elija el ID de la tabla de enrutamiento. 1. Seleccione la tabla de enrutamiento. En **Nombre**, elija el icono de edición (lápiz) e introduzca un nombre (por ejemplo, `workspaces-private-routetable`) y, a continuación, elija la marca de verificación para guardar el nombre. 1. En la pestaña **Rutas**, compruebe que la tabla de enrutamiento incluye las siguientes rutas: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/es_es/workspaces/latest/adminguide/create-configure-new-vpc-with-private-public-subnets-nat.html) 1. En el panel de navegación, elija **Subredes** y seleccione la segunda subred privada que ha creado (por ejemplo, `WorkSpaces Private Subnet2`). 1. En la pestaña **Tabla de enrutamiento**, compruebe que la tabla de enrutamiento es la tabla de enrutamiento privada (por ejemplo, `workspaces-private-routetable`). Si la tabla de enrutamiento es diferente, elija **Editar** y seleccione esta tabla de enrutamiento. **Pasos siguientes** Para permitir que sus WorkSpaces grupos WorkSpaces internos accedan a Internet, complete los pasos que se indican a continuación. [Habilitar el acceso a Internet para WorkSpaces las piscinas](managing-network-manual-enable-internet-access.md) # Agregar una puerta de enlace NAT a una VPC existente Si ya ha configurado una VPC, siga los pasos siguientes para agregar una puerta de enlace NAT a la VPC. Si necesita crear una VPC nueva, consulte [Creación y configuración de una VPC nueva](create-configure-new-vpc-with-private-public-subnets-nat.md). **Para agregar una puerta de enlace NAT a un VPC existente** 1. Para crear la puerta de enlace NAT, complete los pasos de [Crear una puerta de enlace NAT](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-nat-gateway.html#nat-gateway-creating) en la *Guía del usuario de Amazon VPC*. 1. Compruebe que la VPC tiene al menos una subred privada. Recomendamos que especifique dos subredes privadas situadas en zonas de disponibilidad distintas para ofrecer alta disponibilidad y tolerancia a errores. Para obtener información sobre cómo crear una segunda subred privada, consulte [Paso 3: adición de una segunda subred privada](create-configure-new-vpc-with-private-public-subnets-nat.md#vpc-with-private-and-public-subnets-add-private-subnet-nat). 1. Actualice la tabla de enrutamiento asociada a una o varias de sus subredes privadas para que apunte el tráfico vinculado a Internet a la puerta de enlace NAT. Esto permite a las instancias streaming de sus subredes privadas comunicarse con Internet. Para ello, complete los pasos que se indican en [Actualización de la tabla de enrutamiento](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-nat-gateway.html#nat-gateway-create-route) de la *Guía del usuario de Amazon VPC*. **Pasos siguientes** Para permitir que tus usuarios de WorkSpaces In WorkSpaces Pools accedan a Internet, sigue los pasos que se indican a continuación. [Habilitar el acceso a Internet para WorkSpaces las piscinas](managing-network-manual-enable-internet-access.md) # Habilitar el acceso a Internet para WorkSpaces las piscinas Una vez que la puerta de enlace NAT esté disponible en una VPC, puede habilitar el acceso a Internet para sus WorkSpaces grupos. Puede habilitar el acceso a Internet al [crear el directorio de WorkSpaces grupos](https://docs.aws.amazon.com/workspaces/latest/adminguide/create-directory-pools.html). Elija la VPC con una puerta de enlace NAT al crear el directorio. A continuación, seleccione una subred privada para **Subred 1** y, si lo desea, otra subred privada para **Subred 2**. Si aún no tiene una subred privada en su VPC, puede que necesite crear una segunda subred privada. Para probar su conectividad a Internet, inicie su WorkSpaces grupo y, a continuación, conéctese WorkSpace a uno del grupo y navegue por Internet. # Configurar una VPC nueva o existente con una subred pública Si creó su cuenta de Amazon Web Services después del 4 de diciembre de 2013, tiene una [VPC](default-vpc-with-public-subnet.md) predeterminada en cada AWS región que incluye subredes públicas predeterminadas. Sin embargo, es posible que desee crear su propia VPC no predeterminada o configurar una VPC existente para usarla con el directorio de su grupo. WorkSpaces En este tema se describe cómo configurar una VPC y una subred pública no predeterminadas para usarlas con grupos. WorkSpaces Después de configurar la VPC y la subred pública, puede proporcionar acceso a Internet a sus WorkSpaces WorkSpaces grupos internos habilitando la opción Acceso a **Internet predeterminado**. Al habilitar esta opción, WorkSpaces Pools habilita la conectividad a Internet al asociar una [dirección IP elástica](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/elastic-ip-addresses-eip.html) a la interfaz de red que se conecta desde la instancia de streaming a la subred pública. Una dirección IP elástica es una IPv4 dirección pública a la que se puede acceder desde Internet. Por este motivo, le recomendamos que, en su lugar, utilice una puerta de enlace NAT para proporcionar acceso a Internet a sus WorkSpaces grupos WorkSpaces internos. Además, cuando el **acceso a Internet predeterminado** está activado, WorkSpaces se admiten un máximo de 100. Si la implementación debe admitir más de 100 usuarios simultáneos, utilice la [configuración de puerta de enlace NAT](managing-network-internet-NAT-gateway.md) en su lugar. Para obtener más información, consulte los pasos en [Configurar una VPC con subredes privadas y una puerta de enlace NAT](managing-network-internet-NAT-gateway.md). Para obtener más recomendaciones de configuración de la VPC, consulte [Recomendaciones de configuración de VPC para grupos WorkSpaces](vpc-setup-recommendations.md). **Topics** + [Paso 1: configuración de una VPC con una subred pública](#vpc-with-public-subnet) + [Paso 2: habilite el acceso a Internet predeterminado para sus WorkSpaces piscinas](#managing-network-enable-default-internet-access) ## Paso 1: configuración de una VPC con una subred pública Puede configurar su propia VPC no predeterminada con una subred pública mediante uno de los métodos siguientes: + [Crear una nueva VPC con una única subred pública](#new-vpc-with-public-subnet) + [Configurar una VPC existente](#existing-vpc-with-public-subnet) ### Crear una nueva VPC con una única subred pública Cuando utiliza el asistente para VPC para crear una VPC nueva, el asistente crea una puerta de enlace de Internet y una tabla de enrutamiento personalizada que está asociada a la subred pública. La tabla de enrutamiento dirige todo el tráfico destinado a una dirección fuera de la VPC a la puerta de enlace de Internet. Para obtener más información acerca de esta configuración, consulte [VPC con una única subred pública](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Scenario1.html) en la *Guía del usuario de Amazon VPC*. 1. Complete los pasos del [Paso 1: creación de la VPC](https://docs.aws.amazon.com/vpc/latest/userguide/getting-started-ipv4.html#getting-started-create-vpc) en la *Guía del usuario de Amazon VPC* para crear la VPC. 1. Para permitir el acceso WorkSpaces a Internet, complete los pasos que se indican a continuación[Paso 2: habilite el acceso a Internet predeterminado para sus WorkSpaces piscinas](#managing-network-enable-default-internet-access). ### Configurar una VPC existente Si desea utilizar una VPC existente que no tiene una subred pública, puede agregarle una nueva subred pública. Además de una subred pública, también debe tener una puerta de enlace de Internet asociada a la VPC y una tabla de enrutamiento que dirija todo el tráfico destinado a una dirección fuera de la VPC a la puerta de enlace de Internet. Para configurar estos componentes, siga los pasos siguientes. 1. Para agregar una subred pública, siga los pasos descritos en [Creación de una subred en la VPC](https://docs.aws.amazon.com/vpc/latest/userguide/working-with-vpcs.html#AddaSubnet). Use la VPC existente que planea usar con WorkSpaces Pools. Si la VPC está configurada para admitir el IPv6 direccionamiento, aparece la lista de **bloqueos de IPv6 CIDR.** Seleccione **No asignar Ipv6**. 1. Para crear y asociar una puerta de enlace de Internet a la VPC, complete los pasos descritos en [Creación y asociación de una puerta de enlace de Internet](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Internet_Gateway.html#Add_IGW_Attach_Gateway). 1. Para configurar la subred de modo que dirija el tráfico de Internet a través de la puerta de enlace de Internet, siga los pasos que se describen en [Crear una tabla de enrutamiento personalizada](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Internet_Gateway.html#Add_IGW_Routing). En el paso 5, para **Destination**, utilice IPv4 format ()`0.0.0.0/0`. 1. Para permitir que tus creadores de imágenes WorkSpaces y tú accedan a Internet, sigue los pasos que se indican a continuación[Paso 2: habilite el acceso a Internet predeterminado para sus WorkSpaces piscinas](#managing-network-enable-default-internet-access). ## Paso 2: habilite el acceso a Internet predeterminado para sus WorkSpaces piscinas Puede habilitar el acceso a Internet al [crear el directorio WorkSpaces de grupos](https://docs.aws.amazon.com/workspaces/latest/adminguide/create-directory-pools.html). Elija la VPC con una subred pública al crear el directorio. A continuación, seleccione una subred pública para **Subred 1** y, si lo desea, otra subred pública para **Subred 2**. Para probar su conectividad a Internet, inicie su WorkSpaces grupo y, a continuación, conéctese WorkSpace a uno del grupo y navegue por Internet. # Utilizar la VPC, la subred pública y el grupo de seguridad predeterminados Su cuenta de Amazon Web Services, si se creó después del 4 de diciembre de 2013, tiene una VPC predeterminada en cada región. AWS La VPC predeterminada incluye una subred pública predeterminada en cada zona de disponibilidad y una puerta de enlace de Internet asociada a la VPC. La VPC también incluye un grupo de seguridad predeterminado. Si eres nuevo en los WorkSpaces grupos y quieres empezar a usar el servicio, puedes mantener la VPC y el grupo de seguridad predeterminados seleccionados al crear un WorkSpaces grupo. A continuación, seleccione al menos una subred predeterminada. **nota** Si su cuenta de Amazon Web Services se creó antes del 4 de diciembre de 2013, debe crear una nueva VPC o configurar una existente para usarla con Pools. WorkSpaces Le recomendamos que configure manualmente una VPC con dos subredes privadas para sus WorkSpaces grupos y una puerta de enlace NAT en una subred pública. Para obtener más información, consulte [Configurar una VPC con subredes privadas y una puerta de enlace NAT](managing-network-internet-NAT-gateway.md). También puede configurar una VPC no predeterminada con una subred pública. Para obtener más información, consulte [Configurar una VPC nueva o existente con una subred pública](managing-network-default-internet-access.md). Puede habilitar el acceso a Internet al [crear el directorio del WorkSpaces grupo](https://docs.aws.amazon.com/workspaces/latest/adminguide/create-directory-pools.html). Debe elegir la VPC predeterminada al crear el directorio. El nombre de VPC predeterminado usa el siguiente formato:. `vpc-` *vpc-id* ` (No_default_value_Name)` A continuación, seleccione una subred pública predeterminada para la **subred 1** y, si lo desea, otra subred pública predeterminada para la **subred 2**. Los nombres de subred predeterminados utilizan el siguiente formato:. `subnet-` *subnet-id* ` | (` *IPv4 CIDR block* `) | Default in` *availability-zone* Puede probar su conectividad a Internet iniciando su WorkSpaces grupo, y luego conectándose a un WorkSpace grupo y navegando por Internet. # Configure la autorización de FedRAMP o el cumplimiento de las normas SRG del DoD para los grupos WorkSpaces Para cumplir con el [Programa federal de gestión de riesgos y autorizaciones (FedRAMP](https://aws.amazon.com/compliance/fedramp/)) o [la Guía de requisitos de seguridad de la informática en la nube (SRG) del Departamento de Defensa (DoD)](https://aws.amazon.com/compliance/dod/), debe configurar WorkSpaces Amazon Pools para que utilicen el cifrado de puntos finales de los estándares federales de procesamiento de información (FIPS) a nivel de directorio. También debe utilizar una AWS región de EE. UU. que cuente con la autorización de FedRAMP o que cumpla con las normas SRG del DoD. El nivel de autorización de FedRAMP (moderado o alto) o el nivel de impacto SRG del DoD (2, 4 o 5) depende de la AWS región de EE. UU. en la que se utilice Amazon. WorkSpaces Para conocer los niveles de autorización de FedRAMP y conformidad con DoD SRG que se aplican a cada región, consulte [Servicios de AWS en el ámbito del programa de conformidad](https://aws.amazon.com/compliance/services-in-scope/). **Requisitos de** + El directorio WorkSpaces Pools debe configurarse para usar el modo validado por **FIPS 140-2** para el cifrado de puntos finales. **nota** Para usar la configuración del **modo validado FIPS 140-2**, asegúrese de lo siguiente: El directorio de WorkSpaces grupos es uno de los siguientes: Nuevo y no asociado a un grupo Asociado a un grupo existente que se encuentra en estado DETENIDO El directorio del grupo tiene [https://docs.aws.amazon.com/workspaces/latest/api/API_ModifyStreamingProperties.html](https://docs.aws.amazon.com/workspaces/latest/api/API_ModifyStreamingProperties.html) establecido en TCP. + Debe crear sus WorkSpaces grupos en una [AWS región de EE. UU. que cuente con la autorización de FedRAMP o que](https://aws.amazon.com/compliance/services-in-scope/) cumpla con las normas SRG del DoD. + Los usuarios deben acceder a los mismos WorkSpaces desde una de las siguientes aplicaciones cliente: WorkSpaces + macOS: 5.20.0 o posterior + Windows: 5.20.0 o posterior + Acceso web **Para utilizar el cifrado de punto de enlace de FIPS** 1. [Abra la WorkSpaces consola en la versión 2/home. https://console.aws.amazon.com/workspaces/](https://console.aws.amazon.com/workspaces/v2/home) 1. En el panel de navegación, elija **Directorios** y, a continuación, el directorio que desea utilizar para la autorización FedRAMP y la conformidad con DoD SRG. 1. En la página **Detalles del directorio**, elija el directorio que desee configurar para el modo de cifrado FIPS. 1. En la sección **Cifrado de punto de conexión**, elija **Editar** y, a continuación, seleccione **Modo validado FIPS 140-2**. 1. Seleccione **Save**. # Uso de puntos de enlace de VPC de Amazon S3 para funciones de grupos WorkSpaces Al habilitar la persistencia de la configuración de la aplicación para un WorkSpaces grupo o las carpetas principales para un WorkSpaces directorio de grupos, WorkSpaces utiliza la VPC que especifique para su directorio para proporcionar acceso a los buckets de Amazon Simple Storage Service (Amazon S3). Para habilitar el acceso de WorkSpaces Pools a su punto de enlace S3 privado, adjunte la siguiente política personalizada a su punto de enlace de VPC para Amazon S3. Para obtener más información sobre los puntos de conexión de Amazon S3, consulte [Puntos de conexión de VPC](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints.html) y [Puntos de conexión para Amazon S3](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints-s3.html) en la *Guía del usuario de Amazon VPC*. ------ #### [ Commercial Regiones de AWS ] Utilice la siguiente política para los recursos de las Regiones de AWS comerciales. ------ #### [ AWS GovCloud (US) Regions ] Utilice la siguiente política para los recursos de las AWS GovCloud (US) Regions comerciales. ------ # Conexiones a su VPC para grupos WorkSpaces Para habilitar la conectividad de los WorkSpaces grupos con los recursos de la red e Internet, configúrelos de la WorkSpaces siguiente manera. ## Interfaces de red Cada uno WorkSpaces de los WorkSpaces grupos tiene las siguientes interfaces de red: + La interfaz de red del cliente proporciona conectividad a los recursos de la VPC, así como a Internet, y se utiliza para unirlos WorkSpaces a su directorio. + La interfaz de red de administración está conectada a una red de administración de WorkSpaces piscinas segura. Se utiliza para la transmisión interactiva del contenido WorkSpace al dispositivo del usuario y para permitir que WorkSpaces Pools lo gestione WorkSpace. WorkSpaces Pools selecciona la dirección IP para la interfaz de red de administración del siguiente rango de direcciones IP privadas: 198.19.0.0/16. No utilice este rango para el CIDR de su VPC ni empareje su VPC con otra VPC con este rango, ya que esto podría crear un conflicto y provocar que no se pueda acceder a ella. WorkSpaces Además, no modifique ni elimine ninguna de las interfaces de red conectadas a una WorkSpace, ya que esto también podría provocar que quedara inalcanzable. WorkSpace ## Rango de direcciones IP de interfaz de red de administración y puertos El rango de direcciones IP de interfaz de red de administración es 198.19.0.0/16. Todos los puertos siguientes deben estar abiertos en la interfaz de red de administración: WorkSpaces + TCP de entrada en el puerto 8300. Se utiliza para establecer la conexión de streaming. + TCP de salida en el puerto 3128. Se utiliza para la administración de WorkSpaces. + TCP de entrada en los puertos 8000 y 8443. Se utilizan para la gestión del WorkSpaces. + UDP de entrada en el puerto 8300. Se utiliza para establecer la conexión de streaming por UDP. Limite el rango de entrada de la interfaz de red de administración a 198.19.0.0/16. **nota** Para los WorkSpaces grupos de Windows BYOL de Amazon DCV, los rangos de direcciones IP 10.0.0.0/8 se utilizan en todas las regiones. AWS Estos rangos de IP se suman al bloque CIDR /16 que elija para administrar el tráfico en sus grupos BYOL. WorkSpaces En circunstancias normales, WorkSpaces Pools configura correctamente estos puertos para usted. WorkSpaces Si hay instalado algún software de seguridad o firewall WorkSpace que bloquee alguno de estos puertos, es WorkSpaces posible que no funcione correctamente o que no se pueda acceder a ellos. No lo desactive. IPv6 Si la desactiva IPv6, WorkSpaces las agrupaciones no funcionarán correctamente. Para obtener información sobre la configuración IPv6 de Windows, consulte la [Guía de configuración IPv6 en Windows para usuarios avanzados](https://support.microsoft.com/en-us/help/929852/guidance-for-configuring-ipv6-in-windows-for-advanced-users). **nota** WorkSpaces Los grupos dependen de los servidores DNS de la VPC para devolver una respuesta de dominio inexistente (NXDOMAIN) para los nombres de dominio locales que no existen. Esto permite que la interfaz de red WorkSpaces administrada por Pools se comunique con los servidores de administración. Cuando crea un directorio con Simple AD, AWS Directory Service crea dos controladores de dominio que también funcionan como servidores DNS en su nombre. Como los controladores de dominio no proporcionan la respuesta de NXDOMAIN, no se pueden usar con WorkSpaces grupos. ## Puertos de interfaz de red del cliente + Para conectividad a Internet, los siguientes puertos deben estar abiertos a todos los destinos. Si utiliza un grupo de seguridad personalizado o modificado, es necesario añadir las reglas manualmente. Para obtener más información, consulte [Reglas del grupo de seguridad](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_SecurityGroups.html#SecurityGroupRules) en la *Guía del usuario de Amazon VPC*. + TCP 80 (HTTP) + TCP 443 (HTTPS) + UDP 4195 + Si lo une WorkSpaces a un directorio, los siguientes puertos deben estar abiertos entre su VPC de WorkSpaces grupos y sus controladores de directorio. + TCP/UDP 53: DNS + TCP/UDP 88: autenticación de Kerberos + UDP 123: NTP + TCP 135: RPC + UDP 137-138: Netlogon + TCP 139: Netlogon + TCP/UDP 389: LDAP + TCP/UDP 445: SMB + TCP 1024-65535: puertos dinámicos para RPC Para obtener una lista completa de puertos, consulte [Requisitos de puertos de Active Directory y Active Directory Domain Services](https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/dd772723(v=ws.10)) en la documentación de Microsoft. + Todos WorkSpaces requieren que el puerto 80 (HTTP) esté abierto a la dirección `169.254.169.254` IP para permitir el acceso al servicio de metadatos de EC2. El rango de direcciones IP `169.254.0.0/16` está reservado para el uso del servicio WorkSpaces Pools para el tráfico de administración. Si no se excluye este rango, podrían producirse problemas de transmisión. # Conexiones de usuario a WorkSpaces grupos Los usuarios pueden conectarse a WorkSpaces In WorkSpaces Pools a través del terminal de Internet público predeterminado. De forma predeterminada, WorkSpaces Pools está configurado para enrutar las conexiones de streaming a través de la Internet pública. La conectividad a Internet es necesaria para autenticar a los usuarios y ofrecer los activos web que WorkSpaces Pools necesita para funcionar. Para que este tráfico sea posible, debe permitir los dominios enumerados en [Dominios permitidos](allowed-domains.md). **nota** Para la autenticación de los usuarios, WorkSpaces Pools es compatible con el lenguaje de marcado de aserciones de seguridad 2.0 (SAML 2.0). Para obtener más información, consulte [Configurar SAML 2.0 y crear un directorio de WorkSpaces grupos](create-directory-pools.md). En los temas siguientes se proporciona información sobre cómo habilitar las conexiones de los usuarios a los grupos. WorkSpaces **Topics** + [Recomendaciones de ancho de banda](bandwidth-recommendations-user-connections.md) + [Requisitos de dirección IP y puerto para dispositivos de usuario de WorkSpaces grupos](pools-client-application-ports.md) + [Dominios permitidos](allowed-domains.md) # Recomendaciones de ancho de banda Para optimizar el rendimiento de los WorkSpaces grupos, asegúrese de que el ancho de banda y la latencia de su red puedan satisfacer las necesidades de sus usuarios. WorkSpaces Pools utiliza la visualización en la nube de escritorio (DCV) de NICE para permitir a los usuarios acceder a sus aplicaciones y transmitirlas de forma segura en diferentes condiciones de red. Para ayudar a reducir el consumo de ancho de banda, NICE DCV utiliza codificación y compresión de vídeo basada en H.264. Durante las sesiones de streaming, la salida visual de las aplicaciones se comprime y se transmite en streaming a los usuarios en una secuencia de píxeles cifrada mediante AES-256 a través de HTTPS. Una vez que se recibe la secuencia, se descifra y se emite en la pantalla local del usuario. Cuando los usuarios interactúan con sus aplicaciones de streaming, el protocolo NICE DCV captura su entrada y la devuelve a las aplicaciones de streaming a través de HTTPS. Las condiciones de la red se miden constantemente durante este proceso y la información se envía a los WorkSpaces grupos. WorkSpaces Pools responde de forma dinámica a las condiciones cambiantes de la red cambiando la codificación de vídeo y audio en tiempo real para producir una transmisión de alta calidad para una amplia variedad de aplicaciones y condiciones de red. El ancho de banda y la latencia recomendados para WorkSpaces las sesiones de streaming de Pools dependen de la carga de trabajo. Por ejemplo, un usuario que utiliza aplicaciones que realizan un uso intensivo de gráficos llevar a cabo tareas de diseño asistido por computadora requerirá más ancho de banda y menor latencia que otro que utilice aplicaciones de productividad empresarial para escribir documentos. La siguiente tabla proporciona orientación sobre el ancho de banda de red y la latencia recomendados para las sesiones de streaming de WorkSpaces Pools en función de las cargas de trabajo habituales. Para cada carga de trabajo, la recomendación del ancho de banda se basa en lo que un usuario individual podría necesitar en un momento dado. La recomendación no refleja el ancho de banda necesario para un rendimiento sostenido. Cuando tan solo cambian algunos píxeles en la pantalla durante una sesión de streaming, el rendimiento sostenido es mucho menor. Aunque los usuarios que tienen menos ancho de banda disponible pueden utilizar aplicaciones de streaming, la velocidad de fotogramas o la calidad de imagen podrían no ser óptimas. | Carga de trabajo | Description (Descripción) | Ancho de banda recomendado por usuario | Latencia máxima recomendada de ida y vuelta | | --- | --- | --- | --- | | Aplicaciones de línea de negocio | Aplicaciones de redacción de documentos, utilidades de análisis de base de datos | 2 Mbps | < 150 ms | | Aplicaciones de gráficos | Aplicaciones de modelado y diseño asistido por computadora, edición fotográfica y de vídeo | 5 Mbps | < 100 ms | | Alta fidelidad | Conjuntos de datos de alta fidelidad o asignaciones en varios monitores | 10 Mbps | < 50 ms | # Requisitos de dirección IP y puerto para dispositivos de usuario de WorkSpaces grupos WorkSpaces Los dispositivos de los usuarios de Pools requieren acceso saliente a los puertos 443 (TCP) y 4195 (UDP) cuando utilizan los puntos finales de Internet y, si utilizan servidores DNS para la resolución de nombres de dominio, el puerto 53 (UDP). + El puerto 443 se utiliza para la comunicación HTTPS entre los dispositivos de los usuarios de WorkSpaces Pools y WorkSpaces cuando se utilizan los puntos finales de Internet. Normalmente, cuando los usuarios finales navegan por la web durante las sesiones de streaming, el navegador web selecciona de forma aleatoria un puerto de origen en el intervalo alto para tráfico de streaming. Debe asegurarse de que el tráfico de retorno a este puerto esté permitido. + El puerto 4195 se utiliza para la comunicación UDP HTTPS entre los dispositivos de los usuarios de WorkSpaces Pools y WorkSpaces cuando se utilizan los puntos finales de Internet. Esto solo se admite actualmente en el cliente nativo de Windows. UDP no es compatible si se utilizan puntos de conexión de VPC. + El puerto 53 se utiliza para la comunicación entre los dispositivos de los usuarios de WorkSpaces Pools y sus servidores DNS. El puerto debe estar abierto a las direcciones IP para sus servidores DNS de modo que los nombres de dominio público se puedan resolver. Si no se utilizan servidores DNS para resolver nombres de dominio, este puerto es opcional. # Dominios permitidos Para que los usuarios de WorkSpaces Pools puedan obtener acceso a WorkSpaces, debe permitir varios dominios de la red desde la que los usuarios inician el acceso a los escritorios de WorkSpaces. Para obtener más información, consulte [Requisitos de dirección IP y puerto para WorkSpaces Personal](workspaces-port-requirements.md). Tenga en cuenta que en la página se especifica que se aplica a WorkSpaces Personal, pero también a WorkSpaces Pools. **nota** Si su bucket de S3 tiene un carácter “.” en el nombre, el dominio utilizado es `https://s3..amazonaws.com`. Si su bucket de S3 no tiene un carácter “.” en el nombre, el dominio utilizado es `https://.s3..amazonaws.com`. # Creación de un grupo de WorkSpaces Pools Configure y cree un grupo desde el que se inicien y transmitan las aplicaciones de los usuarios. **nota** Debe crear un directorio antes de crear un grupo de WorkSpaces Pools. Para obtener más información, consulte [Configurar SAML 2.0 y crear un directorio de WorkSpaces grupos](create-directory-pools.md). **Cómo configurar y crear un grupo** 1. Abra la consola de WorkSpaces en [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. En el panel de navegación, seleccione **WorkSpaces**, **Grupo**. 1. Elija **Crear WorkSpaces Pools**. 1. En **Incorporación** (opcional), puede elegir **Recomendarme opciones en función de mi caso de uso** para obtener recomendaciones sobre el tipo de escritorio de WorkSpaces que desee usar. Puede omitir este paso si desea utilizar WorkSpaces Pools. 1. En **Configurar WorkSpaces**, introduzca los siguientes detalles: + En **Nombre**, introduzca un nombre identificador único para el grupo. No se admiten caracteres especiales. + En **Descripción**, escriba una descripción para el grupo (como máximo 256 caracteres). + En **Paquete**, elija entre las siguiente opciones el tipo de paquete que desee usar para el escritorio de WorkSpaces. + **Utilizar un paquete base de WorkSpaces**: elija uno de los paquetes en la lista desplegable. Para obtener más información sobre el tipo de paquete que ha seleccionado, elija **Detalles del paquete**. Para comparar los paquetes que se ofrecen para los grupos, elija **Comparar todos los paquetes**. + **Utilizar su propio paquete personalizado**: elija un paquete que haya creado anteriormente. Para crear un paquete personalizado, consulte [Crea una WorkSpaces imagen y un paquete personalizados para WorkSpaces Personal](create-custom-bundle.md). + En **Modo de ejecución**, elija una de las siguientes opciones para configurar la disponibilidad inmediata del grupo y cómo realizar el pago: + **AutoStop**: a las instancias de Pools se les factura una tarifa de uso por hora según el paquete elegido, solo para las instancias que están conectadas a los usuarios. A las instancias del grupo que no están conectadas a los usuarios se les factura una tarifa por hora baja por instancia detenida. Cuando los usuarios inician su sesión, comienzan a transmitir después de una espera de 1 o 2 minutos. + **AlwaysOn**: a todas las instancias de los grupos que se estén ejecutando se les factura la tarifa de uso por hora aplicable, incluso cuando los usuarios no estén conectados. Este modo es el mejor para los usuarios que no quieren esperar a que comience la transmisión. + En **Duración máxima de la sesión en minutos**, seleccione el tiempo máximo que puede permanecer activa una sesión de streaming. Si hay usuarios que siguen estando conectados a una instancia de streaming cinco minutos antes de que se alcance este límite, se les pedirá que guarden cualquier documento que tengan abierto antes de desconectarlos. Una vez transcurrido este tiempo, la instancia se termina y se sustituye por una nueva instancia. La duración máxima de la sesión que puede establecer en la consola de WorkSpaces Pools es de 5760 minutos (96 horas). La duración máxima de la sesión que puede establecer mediante la API y la CLI de WorkSpaces Pools es de 432 000 segundos (120 horas). + En **Tiempo de espera de desconexión en minutos**, elija la cantidad de tiempo que una sesión de streaming permanece activa después de que los usuarios se hayan desconectado. Si los usuarios intentan volver a conectarse a la sesión de streaming después de una desconexión o interrupción de la red dentro de este intervalo de tiempo, se conectarán a la sesión anterior. De lo contrario, se conectan a una sesión nueva con una nueva instancia de streaming. + Si un usuario finaliza la sesión eligiendo **Finalizar sesión** o **Cerrar sesión** en la barra de herramientas de WorkSpaces Pools, no se aplica el tiempo de espera de desconexión. sino que se pide al usuario que guarde cualquier documento que tenga abierto y, a continuación, se le desconecta inmediatamente de la instancia de streaming. La instancia que estaba utilizando el usuario termina. + En **Tiempo de espera de desconexión de inactividad en minutos**, elija la cantidad de tiempo que los usuarios pueden estar inactivos antes de desconectarlos de su sesión de streaming y de que comience el intervalo de tiempo **Tiempo de espera de desconexión en minutos**. Se notificará a los usuarios antes de que se desconecten por inactividad. Si intentan volver a conectarse a la sesión de streaming antes de que haya transcurrido el intervalo de tiempo especificado en **Tiempo de espera de desconexión en minutos**, se conectan a su sesión anterior. De lo contrario, se conectan a una sesión nueva con una nueva instancia de streaming. Si este valor se establece en 0, se deshabilita. Cuando este valor está deshabilitado, los usuarios no desconectan por inactividad. **nota** Los usuarios se consideran inactivos cuando dejan de introducir datos a través del teclado o del ratón durante su sesión de streaming. En el caso de los grupos vinculados a un dominio, la cuenta regresiva para el tiempo de espera de desconexión por inactividad no comienza hasta que los usuarios inicien sesión con su contraseña de dominio de Active Directory o con una tarjeta inteligente. Las cargas y descargas de archivos, la entrada y salida de audio y los cambios de píxeles no se consideran actividad del usuario. Si los usuarios siguen estando inactivos después de que haya transcurrido el intervalo de tiempo de **Tiempo de espera de desconexión de inactividad en minutos**, se desconectan. + En **Políticas de capacidad programada** (opcional), elija **Añadir nueva capacidad de programación**. Indique la fecha y hora de inicio y finalización del aprovisionamiento del número mínimo y máximo de instancias para el grupo en función del número mínimo previsto de usuarios simultáneos. + En **Políticas de escalado manual** (opcional), especifique las políticas de escalado de los grupos que se usarán para aumentar y reducir la capacidad del grupo. Amplíe **Políticas de escalado manual** para añadir nuevas políticas de escalado. **nota** El tamaño del grupo está limitado en función de la capacidad mínima y máxima que haya especificado. + Seleccione **Añadir nuevas políticas de escalado horizontal** e introduzca los valores para añadir instancias específicas si la utilización de la capacidad especificada es inferior o superior al valor del umbral indicado. + Seleccione **Añadir nuevas políticas de reducción horizontal** e introduzca los valores para eliminar instancias específicas si la utilización de la capacidad especificada es inferior o superior al valor del umbral indicado. + En **Etiquetas**, especifique el valor del par de claves que desee usar. Una clave puede ser una categoría general, como "proyecto", "propietario" o "entorno", con valores específicos asociados. 1. En la página **Seleccionar directorio**, elija el directorio que ha creado. Para crear un directorio, elija **Crear directorio**. Para obtener más información, consulte [Administrar directorios para WorkSpaces grupos](manage-workspaces-pools-directory.md). 1. Elija **Crear un grupo de WorkSpaces Pools**. # Administración de WorkSpaces Pools Un grupo de WorkSpaces Pools consta de escritorios de WorkSpaces que ejecutan la imagen que especifique. **Topics** + [Modo de ejecución](running-mode-pools.md) + [Paquetes](instance-types.md) + [Modificación de un grupo](modify-pool.md) + [Eliminar un grupo](set-up-pools-finish.md) + [Auto Scaling para WorkSpaces piscinas](autoscaling.md) # Modo de ejecución de WorkSpaces Pools El modo de ejecución de un WorkSpaces Pool determina su disponibilidad inmediata y el modo en que se paga. Puede elegir entre los siguientes modos de ejecución cuando cree el grupo de WorkSpaces Pool: + **AutoStop**: a las instancias de WorkSpaces Pool se les factura una tarifa de uso por hora según el paquete elegido, solo para las instancias que están conectadas a los usuarios. A las instancias de un WorkSpaces Pool que no estén conectadas a los usuarios se les factura una tarifa por hora baja por instancia detenida. Cuando los usuarios inician su sesión, comienzan a transmitir después de 1 o 2 minutos. + **AlwaysOn**: a las instancias en ejecución de un WorkSpaces Pool se les factura la tarifa de uso por hora aplicable, incluso cuando los usuarios no están conectados. Este modo es el mejor para los usuarios que no quieren esperar a que comience la transmisión. Para obtener más información, consulte [Precios de WorkSpaces](https://aws.amazon.com/workspaces/pricing/). **Topics** + [Modificar el modo de ejecución](modify-running-mode-pool.md) # Modificar el modo de ejecución Puede cambiar entre los modos de ejecución cuando un grupo de WorkSpaces Pool se encuentra en estado detenido. **Cómo modificar el modo de ejecución de un grupo de WorkSpaces Pool** 1. Abra la consola de WorkSpaces en [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. En el panel de navegación, elija **WorkSpaces** y **Grupos**. 1. Seleccione el grupo de WorkSpaces Pool para modificarlo y confirme que se encuentra en estado detenido. A continuación, elija **Acciones** y **Modificar el modo de ejecución**. 1. Seleccione el nuevo modo de ejecución, **AlwaysOn** o **AutoStop** y, a continuación, elija **Guardar**. **Cómo modificar el modo de ejecución de un escritorio de WorkSpaces con la AWS CLI** + Utilice el comando [update-workspaces-pool](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/workspaces/update-workspaces-pool.html). # WorkSpaces Paquetes de piscinas Un *WorkSpace paquete* es una combinación de un sistema operativo y recursos de almacenamiento, cómputo y software. Al lanzar un paquete WorkSpace, selecciona el paquete que mejor se adapte a sus necesidades. Los paquetes predeterminados para los que están disponibles WorkSpaces se denominan *paquetes públicos*. Para obtener más información sobre los distintos paquetes públicos disponibles WorkSpaces, consulta [Amazon WorkSpaces Bundles](https://aws.amazon.com/workspaces/details/#Amazon_WorkSpaces_Bundles). En la siguiente tabla se proporciona información sobre las licencias, los protocolos de transmisión y los paquetes compatibles con cada sistema operativo. | Sistema operativo | Licencias | Protocolos de transmisión | Paquetes compatibles | | --- | --- | --- | --- | | Windows Server 2019 | Incluido | DCV | Valor, estándar, rendimiento, potencia, PowerPro | | Windows Server 2022 | Incluido | DCV | Estándar, rendimiento, potencia, gráficos. PowerPro G4dn, .G4dn GraphicsPro | **nota** No se garantiza que las versiones del sistema operativo que el vendedor ya no admite funcionen ni cuentan con soporte técnico. AWS # Modificación de un grupo Después de crear un grupo de WorkSpaces Pools, puede modificar lo siguiente: + ID de directorio (si se ha detenido el grupo de WorkSpaces Pools) + Detalles básicos + Paquete y hardware + Configuración de desconexión de sesiones + Capacidad y escalado + Actividades de escalado + Etiquetas **Cómo modificar un grupo de WorkSpaces Pools** 1. En el panel de navegación, seleccione **WorkSpaces**, **Grupos**. 1. Seleccione el grupo que desea modificar. 1. Vaya a la sección que desee modificar y elija **Editar**. 1. Realice las modificaciones pertinentes y seleccione **Guardar**. # Eliminar un grupo Puede eliminar grupos para liberar recursos y evitar cargos no deseados en la cuenta. Se recomienda detener los grupos en ejecución que no se utilicen. **Para eliminar un grupo** 1. En el panel de navegación, seleccione **WorkSpaces**, **Grupos**. 1. Seleccione el grupo que desee detener y, a continuación, elija **Detener**. Un grupo tarda unos cinco minutos en detenerse. 1. Cuando el estado del grupo sea **Detenido**, seleccione **Eliminar**. # Escalado automático para WorkSpaces piscinas Auto Scaling le permite cambiar automáticamente el tamaño de los grupos para que la oferta de instancias disponibles se equipare con la demanda de los usuarios. El tamaño del grupo determina el número de usuarios que pueden transmitir de forma simultánea. Se requiere una instancia para cada sesión de usuario. Puede especificar la capacidad del grupo en cuanto a las instancias. Según las configuraciones del grupo y las políticas de escalado automático, estará disponible la cantidad requerida de instancias. Puede definir políticas de escalado para que el tamaño del grupo se ajuste automáticamente en función de una serie de métricas de uso, así como optimizar la cantidad de instancias disponibles de forma que se equipare con la demanda de los usuarios. Además, puede desactivar el escalado automático de forma que el tamaño del grupo en ejecución se mantenga fijo. **nota** A medida que desarrolle su plan de escalado de WorkSpaces grupos, asegúrese de que la configuración de la red cumpla con sus requisitos. Cuando usa el escalado, trabaja con la API del Auto Scaling de aplicaciones. Para que Auto Scaling funcione correctamente con WorkSpaces Pools, Application Auto Scaling requiere permiso para describir y actualizar sus pools y describir sus CloudWatch alarmas de Amazon, además de permisos para modificar la capacidad de su pool en su nombre. Los siguientes temas proporcionan información que le ayudará a entender y utilizar Auto Scaling for WorkSpaces Pools. **Topics** + [Conceptos de escalado](#autoscaling-concepts) + [Administración del escalado de grupos mediante la consola](#autoscaling-console) + [Administración del escalado de grupos mediante la AWS CLI](#autoscaling-cli) + [Recursos adicionales](#autoscaling-additional-resources) ## Conceptos de escalado WorkSpaces El escalado de piscinas lo proporciona Application Auto Scaling. Para obtener más información, consulte la [Referencia de la API de Application Auto Scaling](https://docs.aws.amazon.com/autoscaling/application/APIReference/). Para utilizar Auto Scaling with WorkSpaces Pools de forma eficaz, debe comprender los siguientes términos y conceptos. **Número mínimo capacity/minimum de sesiones de usuario para el grupo** El número mínimo de instancias. El número de instancias no puede ser inferior a este valor y las políticas de escalado no escalarán el grupo por debajo de este valor. Por ejemplo, si establece la capacidad mínima para un grupo en 2, el grupo nunca tendrá menos de dos instancias. **Número máximo capacity/maximum de sesiones de usuario para el grupo** El número máximo de instancias. El número de instancias no puede ser superior a este valor y las políticas de escalado no escalarán el grupo por encima de este valor. Por ejemplo, si establece la capacidad máxima para un grupo en 10, el grupo nunca tendrá más de 10 instancias. **Capacidad de sesión de usuario deseada** El número total de sesiones que se están ejecutando o están pendientes. Esto representa el número total de sesiones de transmisión simultáneas que puede admitir el grupo en un estado estable. **Acción de la política de escalado** La acción que las políticas de escalado llevan a cabo en el grupo cuando se cumple la opción **Condición de la política de escalado**. Puede elegir una acción basándose en **% capacity** o **number of instance(s)**. Por ejemplo, si la opción **Capacidad de sesión de usuario deseada** está establecida en 4 y la opción **Acción de la política de escalado** está establecida en “Añadir un 25 % de capacidad”, la opción **Capacidad de sesión de usuario deseada** aumentará un 25 % a 5 cuando se cumpla la opción **Condición de la política de escalado**. **Condición de la política de escalado** La condición que desencadena la acción establecida en **Scaling Policy Action**. Esta condición incluye una métrica de la política de escalado, un operador de comparación y un umbral. Por ejemplo, para escalar un grupo cuando su utilización sea superior al 50 %, la condición de la política de escalado debe ser “Si utilización de la capacidad > 50 %”. **Métrica de la política de escalado** La política de escalado se basa en esta métrica. Las siguientes métricas están disponibles para políticas de escalado: **Capacity Utilization** El porcentaje de instancias de un grupo que se están utilizando. Puede utilizar esta métrica para escalar el grupo en función de su uso. Por ejemplo, **Scaling Policy Condition**: "si la condición es Capacity Utilization < 25%", llevar a cabo la acción **Scaling Policy Action**: "Remove 25 % capacity". **Capacidad disponible** El número de instancias del grupo que están disponibles para los usuarios. Puede utilizar esta métrica para mantener un búfer de capacidad disponible que permita a los usuarios iniciar sesiones de streaming. Por ejemplo, **Scaling Policy Condition**: "si la condición es Available Capacity < 5", llevar a cabo la acción **Scaling Policy Action**: "Add 5 instance(s)". **Errores de capacidad insuficiente** Número de solicitudes de sesión que se han rechazado por falta de capacidad. Esta métrica se puede utilizar para aprovisionar nuevas instancias para los usuarios que no pueden iniciar sesiones de streaming debido a la falta de capacidad. Por ejemplo, **Scaling Policy Condition**: "si la condición es Insufficient Capacity Error > 0", llevar a cabo la acción **Scaling Policy Action**: "Add 1 instance(s)". ## Administración del escalado de grupos mediante la consola Puede configurar y administrar el escalado mediante la WorkSpaces consola de una de las dos maneras siguientes: durante la creación del grupo o en cualquier momento, mediante la pestaña **Grupos**. Después de crear los grupos, vaya a la pestaña **Políticas de escalado** para añadir nuevas políticas de escalado para el grupo. Para obtener más información, consulte [Creación de un grupo de WorkSpaces Pools](set-up-pools-create.md). Para entornos de usuario que varían en número, defina políticas de escalado que permitan controlar cómo responderá el escalado a la demanda. Si prevé un número fijo de usuarios o existen otros motivos para deshabilitar el escalado, puede configurar el grupo con un número fijo de instancias para las sesiones de usuario. Para ello, defina la capacidad mínima en el número de instancias que desee. Ajuste la capacidad máxima para que sea al menos el valor de la capacidad mínima. Esto evita errores de validación, pero, en última instancia, se ignorará la capacidad máxima, ya que el grupo no se escalará. A continuación, elimine todas las políticas de escalado de ese grupo. **Cómo definir una política de escalado de grupos con la consola** 1. Abra la WorkSpaces consola en la [https://console.aws.amazon.com/workspaces/versión 2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. En el panel de navegación, elija **Pools** (Grupos). 1. Seleccione el grupo. 1. En la página de ese grupo, desplácese hacia abajo hasta la capacidad y el escalado. 1. Elija **Edit (Edición de)**. 1. Edite las políticas existentes, establezca los valores deseados en su campo y seleccione **Guardar**. Los cambios de la política entrarán en vigor transcurridos unos minutos. 1. También puede añadir nuevas políticas de capacidad y escalado. Para ello, seleccione **Añadir nueva capacidad de programación**, **Añadir nueva política de escalado horizontal** o **Añadir nueva política de reducción horizontal**. A continuación se muestra un ejemplo gráfico de la actividad de escalado cuando cinco usuarios se conectan al grupo y, a continuación, se desconectan. Este ejemplo es de un grupo en el que se utilizan los siguientes valores de la política de escalado: + Capacidad mínima = 10 + Capacidad máxima = 50 + Escalar horizontalmente = si la utilización de la capacidad del grupo es superior al 75 %, añada cinco instancias + Reducir horizontalmente = si la utilización de la capacidad del grupo es inferior al 25 %, elimine seis instancias **nota** Durante la sesión, se iniciarán cinco instancias nuevas durante un evento de escalado horizontal. Durante un evento de reducción horizontal, se recuperarán seis instancias si hay suficientes instancias sin sesiones de usuario activas y si el número total de instancias no cae por debajo de la capacidad mínima de 10 instancias. Las instancias con sesiones de usuario en ejecución no se recuperarán. Solo se recuperarán las instancias en las que no se esté ejecutando ninguna sesión de usuario. ## Administración del escalado de grupos mediante la AWS CLI Puede configurar y administrar el escalado de grupos mediante la AWS Command Line Interface (AWS CLI). Para funciones más avanzadas, como configurar los tiempos de enfriamiento de escalado vertical y horizontal, utilice la CLI. AWS Antes de ejecutar los comandos de las políticas de escalado, debe registrar el grupo como objetivo escalable. Para ello, utilice el siguiente comando: [register-scalable-target](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/register-scalable-target.html) ``` aws application-autoscaling register-scalable-target --service-namespace workspaces \ --resource-id workspacespool/PoolId \ --scalable-dimension workspaces:workspacespool:DesiredUserSessions \ --min-capacity 1 --max-capacity 5 ``` **Topics** + [Ejemplo 1: Aplicación de una política de escalado basada en la utilización de la capacidad](#autoscaling-cli-utilization) + [Ejemplo 2: Aplicación de una política de escalado basada en los errores de capacidad insuficiente](#autoscaling-cli-capacity) + [Ejemplo 3: Aplicación de una política de escalado basada en la utilización de baja capacidad](#autoscaling-cli-scale-in) + [Ejemplo 4: Cambio de la capacidad del grupo en función de una programación](#autoscaling-cli-schedule) + [Ejemplo 5: Aplicación de una política de escalado de seguimiento de destino](#autoscaling-target-tracking) ### Ejemplo 1: Aplicación de una política de escalado basada en la utilización de la capacidad Este ejemplo de AWS CLI establece una política de escalado que amplía un grupo en un 25% si la utilización es superior o igual al 75%. El siguiente [put-scaling-policy](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/put-scaling-policy.html)comando define una política de escalado basada en la utilización: ``` aws application-autoscaling put-scaling-policy -- cli-input-json file://scale-out-utilization.json ``` El contenido del archivo `scale-out-utilization.json` es el siguiente: ``` { "PolicyName": "policyname", "ServiceNamespace": "workspaces", "ResourceId": "workspacespool/PoolId", "ScalableDimension": "workspaces:workspacespool:DesiredUserSessions", "PolicyType": "StepScaling", "StepScalingPolicyConfiguration": { "AdjustmentType": "PercentChangeInCapacity", "StepAdjustments": [ { "MetricIntervalLowerBound": 0, "ScalingAdjustment": 25 } ], "Cooldown": 120 } } ``` Si el comando es correcto, el resultado es similar al siguiente, aunque algunos datos son exclusivos de cada cuenta y región. En este ejemplo, el identificador de la política es `e3425d21-16f0-d701-89fb-12f98dac64af`. ``` {"PolicyARN": "arn:aws:autoscaling:us-west-2:123456789012:scalingPolicy:e3425d21-16f0-d701-89fb-12f98dac64af:resource/workspaces/workspacespool/PoolId:policyName/scale-out-utilization-policy"} ``` Ahora, configure una CloudWatch alarma para esta política. Utilice los nombres, la región, el número de cuenta y el identificador de la política que se le apliquen a usted. Puede utilizar el ARN de la política devuelto por el comando anterior para el parámetro `-- alarm-actions`. ``` aws cloudwatch put-metric-alarm --alarm-name alarmname \ --alarm-description "Alarm when Available User Session Capacity exceeds 75 percent" \ --metric-name AvailableUserSessionCapacity \ --namespace AWS/WorkSpaces \ --statistic Average \ --period 300 \ --threshold 75 \ --comparison-operator GreaterThanOrEqualToThreshold \ --dimensions "Name=WorkSpaces pool ID,Value=PoolId" \ --evaluation-periods 1 --unit Percent \ --alarm-actions "arn:aws:autoscaling:your-region-code:account-number-without-hyphens:scalingPolicy:policyid:resource/workspaces/workspacespool/PoolId:policyName/policyname" ``` ### Ejemplo 2: Aplicación de una política de escalado basada en los errores de capacidad insuficiente Este ejemplo de AWS CLI configura una política de escalado que escala el grupo en 1 si el grupo devuelve un `InsufficientCapacityError` error. El comando siguiente define una política de escalado basada en la capacidad insuficiente: ``` aws application-autoscaling put-scaling-policy -- cli-input-json file://scale-out-capacity.json ``` El contenido del archivo `scale-out-capacity.json` es el siguiente: ``` { "PolicyName": "policyname", "ServiceNamespace": "workspaces", "ResourceId": "workspacespool/PoolId", "ScalableDimension": "workspaces:workspacespool:DesiredUserSessions", "PolicyType": "StepScaling", "StepScalingPolicyConfiguration": { "AdjustmentType": "ChangeInCapacity", "StepAdjustments": [ { "MetricIntervalLowerBound": 0, "ScalingAdjustment": 1 } ], "Cooldown": 120 } } ``` Si el comando es correcto, el resultado es similar al siguiente, aunque algunos datos son exclusivos de cada cuenta y región. En este ejemplo, el identificador de la política es `f4495f21-0650-470c-88e6-0f393adb64fc`. ``` {"PolicyARN": "arn:aws:autoscaling:us-west-2:123456789012:scalingPolicy:f4495f21-0650-470c-88e6-0f393adb64fc:resource/workspaces/workspacespool/PoolId:policyName/scale-out-insufficient-capacity-policy"} ``` Ahora, configure una CloudWatch alarma para esta política. Utilice los nombres, la región, el número de cuenta y el identificador de la política que se le apliquen a usted. Puede utilizar el ARN de la política devuelto por el comando anterior para el parámetro `--alarm-actions`. ``` aws cloudwatch put-metric-alarm --alarm-name alarmname \ --alarm-description "Alarm when out of capacity is > 0" \ --metric-name InsufficientCapacityError \ --namespace AWS/WorkSpaces \ --statistic Maximum \ --period 300 \ --threshold 0 \ --comparison-operator GreaterThanThreshold \ --dimensions "Name=Pool,Value=PoolId" \ --evaluation-periods 1 --unit Count \ --alarm-actions "arn:aws:autoscaling:your-region-code:account-number-without-hyphens:scalingPolicy:policyid:resource/workspaces/workspacespool/PoolId:policyName/policyname" ``` ### Ejemplo 3: Aplicación de una política de escalado basada en la utilización de baja capacidad En este AWS CLI ejemplo, se establece una política de escalado que se amplía en el grupo para reducir la capacidad real cuando ésta `UserSessionsCapacityUtilization` es baja. El comando siguiente define una política de escalado basada en la capacidad excesiva: ``` aws application-autoscaling put-scaling-policy -- cli-input-json file://scale-in-capacity.json ``` El contenido del archivo `scale-in-capacity.json` es el siguiente: ``` { "PolicyName": "policyname", "ServiceNamespace": "workspaces", "ResourceId": "workspacespool/PoolId", "ScalableDimension": "workspaces:workspacespool:DesiredUserSessions", "PolicyType": "StepScaling", "StepScalingPolicyConfiguration": { "AdjustmentType": "PercentChangeInCapacity", "StepAdjustments": [ { "MetricIntervalUpperBound": 0, "ScalingAdjustment": -25 } ], "Cooldown": 360 } } ``` Si el comando es correcto, el resultado es similar al siguiente, aunque algunos datos son exclusivos de cada cuenta y región. En este ejemplo, el identificador de la política es `12ab3c4d-56789-0ef1-2345-6ghi7jk8lm90`. ``` {"PolicyARN": "arn:aws:autoscaling:us-west-2:123456789012:scalingPolicy:12ab3c4d-56789-0ef1-2345-6ghi7jk8lm90:resource/workspaces/workspacespool/PoolId:policyName/scale-in-utilization-policy"} ``` Ahora, configure una CloudWatch alarma para esta política. Utilice los nombres, la región, el número de cuenta y el identificador de la política que se le apliquen a usted. Puede utilizar el ARN de la política devuelto por el comando anterior para el parámetro `--alarm-actions`. ``` aws cloudwatch put-metric-alarm --alarm-name alarmname \ --alarm-description "Alarm when Capacity Utilization is less than or equal to 25 percent" \ --metric-name UserSessionsCapacityUtilization \ --namespace AWS/WorkSpaces \ --statistic Average \ --period 120 \ --threshold 25 \ --comparison-operator LessThanOrEqualToThreshold \ --dimensions "Name=Pool,Value=PoolId" \ --evaluation-periods 10 --unit Percent \ --alarm-actions "arn:aws:autoscaling:your-region-code:account-number-without-hyphens:scalingPolicy:policyid:resource/workspaces/workspacespool/PoolId:policyName/policyname" ``` ### Ejemplo 4: Cambio de la capacidad del grupo en función de una programación El cambio de la capacidad del grupo en función de una programación le permite escalar la capacidad del grupo como respuesta a los cambios previstos en la demanda. Por ejemplo, al inicio de un día laborable, es posible que espere que un determinado número de usuarios solicite conexiones de streaming al mismo tiempo. Para cambiar la capacidad de su grupo según un cronograma, puede usar la acción de la [PutScheduledAction](https://docs.aws.amazon.com/autoscaling/application/APIReference/API_PutScheduledAction.html)API Application Auto Scaling o el comando [put-scheduled-action](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/put-scheduled-action.html) AWS CLI. Antes de cambiar la capacidad de la piscina, puede enumerar la capacidad de la piscina actual mediante el comando WorkSpaces [describe-workspaces-pools](https://docs.aws.amazon.com/cli/latest/reference/workspaces/describe-workspaces-pools.html) AWS CLI. ``` aws workspaces describe-workspaces-pools --name PoolId ``` La capacidad actual del grupo tendrá un aspecto similar al del siguiente resultado (tal y como se muestra en formato JSON): ``` { "CapacityStatus": { "AvailableUserSessions": 1, "DesiredUserSessions": 1, "ActualUserSessions": 1, "ActiveUserSessions": 0 }, } ``` A continuación, utilice el comando `put-scheduled-action` para crear una acción programada para cambiar la capacidad del grupo. Por ejemplo, el siguiente comando cambia la capacidad mínima a 3 y la capacidad máxima a 5 cada día a las 9:00 h. **nota** Para expresiones cron, especifique cuándo realizar la acción en UTC. Para obtener más información, consulte [Expresiones Cron](https://docs.aws.amazon.com/AmazonCloudWatch/latest/events/ScheduledEvents.html#CronExpressions). ``` aws application-autoscaling put-scheduled-action --service-namespace workspaces \ --resource-id workspacespool/PoolId \ --schedule="cron(0 9 * * ? *)" \ --scalable-target-action MinCapacity=3,MaxCapacity=5 \ --scheduled-action-name ExampleScheduledAction \ --scalable-dimension workspaces:workspacespool:DesiredUserSessions ``` Para confirmar que la acción programada para cambiar la capacidad de la piscina se creó correctamente, ejecute el [describe-scheduled-actions](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/describe-scheduled-actions.html)comando. ``` aws application-autoscaling describe-scheduled-actions --service-namespace workspaces --resource-id workspacespool/PoolId ``` Si la acción programada se ha creado correctamente, el resultado tiene un aspecto similar al siguiente. ``` { "ScheduledActions": [ { "ScalableDimension": "workspaces:workspacespool:DesiredUserSessions", "Schedule": "cron(0 9 * * ? *)", "ResourceId": "workspacespool/ExamplePool", "CreationTime": 1518651232.886, "ScheduledActionARN": "", "ScalableTargetAction": { "MinCapacity": 3, "MaxCapacity": 5 }, "ScheduledActionName": "ExampleScheduledAction", "ServiceNamespace": "workspaces" } ] } ``` Para obtener más información, consulte [Escalado programado](https://docs.aws.amazon.com/autoscaling/application/userguide/application-auto-scaling-scheduled-scaling.html) en la *Guía del usuario de Auto Scaling de aplicaciones*. ### Ejemplo 5: Aplicación de una política de escalado de seguimiento de destino Con el escalado de seguimiento de destino puede especificar un nivel de utilización de capacidad para el grupo. Al crear una política de escalado de seguimiento de objetivos, Application Auto Scaling crea y gestiona automáticamente CloudWatch las alarmas que activan la política de escalado. La política de escalado amplía o reduce la capacidad en función de las necesidades para mantener el uso de la capacidad en el valor objetivo especificado o en un valor próximo. Para garantizar la disponibilidad de la aplicación, el grupo se escala horizontalmente de un modo proporcional a la métrica tan rápido como puede, pero se reduce horizontalmente de un modo más gradual. El siguiente [put-scaling-policy](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/put-scaling-policy.html)comando define una política de escalado y seguimiento de objetivos que intenta mantener el 75% de utilización de la capacidad de un WorkSpaces grupo. ``` aws application-autoscaling put-scaling-policy -- cli-input-json file://config.json ``` El contenido del archivo `config.json` es el siguiente: ``` { "PolicyName":"target-tracking-scaling-policy", "ServiceNamespace":"workspaces", "ResourceId":"workspacespool/PoolId", "ScalableDimension":"workspaces:workspacespool:DesiredUserSessions", "PolicyType":"TargetTrackingScaling", "TargetTrackingScalingPolicyConfiguration":{ "TargetValue":75.0, "PredefinedMetricSpecification":{ "PredefinedMetricType":"WorkSpacesAverageUserSessionsCapacityUtilization" }, "ScaleOutCooldown":300, "ScaleInCooldown":300 } } ``` Si el comando es correcto, el resultado es similar al siguiente, aunque algunos datos son exclusivos de cada cuenta y región. En este ejemplo, el identificador de la política es 6d8972f3-efc8-437c-92d1-6270f29a66e7. ``` { "PolicyARN": "arn:aws:autoscaling:us-west-2:123456789012:scalingPolicy:6d8972f3-efc8-437c-92d1-6270f29a66e7:resource/workspaces/workspacespool/PoolId:policyName/target-tracking-scaling-policy", "Alarms": [ { "AlarmARN": "arn:aws:cloudwatch:us-west-2:123456789012:alarm:TargetTracking-workspacespool/PoolId-AlarmHigh-d4f0770c-b46e-434a-a60f-3b36d653feca", "AlarmName": "TargetTracking-workspacespool/PoolId-AlarmHigh-d4f0770c-b46e-434a-a60f-3b36d653feca" }, { "AlarmARN": "arn:aws:cloudwatch:us-west-2:123456789012:alarm:TargetTracking-workspacespool/PoolId-AlarmLow-1b437334-d19b-4a63-a812-6c67aaf2910d", "AlarmName": "TargetTracking-workspacespool/PoolId-AlarmLow-1b437334-d19b-4a63-a812-6c67aaf2910d" } ] } ``` Para obtener más información, consulte [Políticas de escalado de seguimiento de destino](https://docs.aws.amazon.com/autoscaling/application/userguide/application-auto-scaling-target-tracking.html) en la *Guía del usuario de Auto Scaling de aplicaciones*. ## Recursos adicionales Para obtener más información sobre el uso de los comandos de la AWS CLI o las acciones de la API de Application Auto Scaling, consulte los siguientes recursos: + Sección [application-autoscaling](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling) de la *Referencia de comandos de la AWS CLI * + [Referencia de la API de Application Auto Scaling](https://docs.aws.amazon.com/autoscaling/application/APIReference/) + [Guía del usuario de la aplicación Auto Scaling](https://docs.aws.amazon.com/autoscaling/application/userguide/) # Uso de Active Directory con WorkSpaces Pools Puede vincular los escritorios de WorkSpaces para Windows en WorkSpaces Pools a dominios de Microsoft Active Directory y utilizar los dominios de Active Directory existentes, tanto en las instalaciones como basados en la nube, para iniciar instancias de transmisión que se hayan vinculado al dominio. También puede utilizar AWS Directory Service for Microsoft Active Directory, que en ocasiones se denomina AWS Managed Microsoft AD, para crear un dominio de Active Directory y usarlo para los recursos de WorkSpaces Pools. Para obtener más información sobre el uso de AWS Managed Microsoft AD, consulte [Microsoft Active Directory](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/directory_microsoft_ad.html) en la *Guía de administración de AWS Directory Service*. Al vincular WorkSpaces Pools al dominio de Active Directory, podrá: + Ofrecer acceso a los usuarios y a las aplicaciones a los recursos de Active Directory, como las impresoras y el uso compartido de archivos de las sesiones de transmisión. + Utilizar las configuraciones de políticas de grupo que están disponibles en la consola de administración de políticas de grupo (GPMC) para definir la experiencia del usuario final. + Transmita aplicaciones en streaming que requieren que los usuarios se autentiquen mediante sus credenciales de inicio de sesión de Active Directory. + Aplicar las políticas de conformidad y seguridad de la empresa a los escritorios de WorkSpaces en WorkSpaces Pools. **Topics** + [Información general de los dominios de Active Directory](active-directory-overview.md) + [Antes de empezar a usar Active Directory con WorkSpaces grupos](active-directory-prerequisites.md) + [Autenticación basada en certificados](pools-certificate-based-authentication.md) + [WorkSpaces Administración de grupos de Active Directory](active-directory-admin.md) + [Más información](active-directory-more-info.md) # Información general de los dominios de Active Directory Para utilizar los dominios de Active Directory con WorkSpaces Pools, es necesario entender cómo trabajan ambos conjuntamente y las tareas de configuración que se deberán realizar. Deberá completar las tareas siguientes: 1. Configurar las opciones de la política de grupo según sea necesario para definir la experiencia de usuario final y los requisitos de seguridad de las aplicaciones. 1. Crear el directorio vinculado a un dominio en WorkSpaces Pools. 1. Crear la aplicación de WorkSpaces Pools en el proveedor de identidades de SAML 2.0 y asignarla a los usuarios finales, ya sea directamente o a través de grupos de Active Directory. **Flujo de autenticación del usuario** 1. El usuario navega a `https://applications.exampleco.com`. La página de inicio de sesión solicita autenticación al usuario. 1. El servicio de federación solicita autenticación al almacén de identidades de la organización. 1. El almacén de identidades autentica al usuario y devuelve la respuesta de autenticación al servicio de federación. 1. Una vez realizada la autenticación, el servicio de federación publica la declaración de SAML en el navegador del usuario. 1. El navegador del usuario publica la declaración de SAML en el punto de conexión SAML de la página de inicio de sesión en AWS (`https://signin.aws.amazon.com/saml`). La página de inicio de sesión de AWS La página de inicio de sesión recibe la solicitud de SAML, la procesa, autentica al usuario y reenvía el token de autenticación al servicio de WorkSpaces Pools. 1. Con el token de autenticación de AWS, WorkSpaces Pools autoriza al usuario y presenta las aplicaciones al navegador. 1. El usuario elige una aplicación y, según el método de autenticación de inicio de sesión de Windows que esté habilitado en el directorio de WorkSpaces Pools se le pide que introduzca la contraseña de dominio de Active Directory o que elija una tarjeta inteligente. Si ambos métodos de autenticación están habilitados, el usuario puede elegir si desea introducir la contraseña de su dominio o utilizar la tarjeta inteligente. También puede utilizarse la autenticación basada en certificados para autenticar a los usuarios, lo que elimina la pregunta. 1. El sistema se pone en contacto con el controlador de dominio para la autenticación del usuario. 1. Una vez acabada la autenticación en el dominio, la sesión del usuario comienza con la conectividad de dominio. Desde el punto de vista del usuario, este proceso es transparente. El usuario comienza a navegar por el portal interno de la organización. Desde ahí, se le redirige a un portal de WorkSpaces Pools sin necesidad de que introduzca ninguna credencial de AWS. Solo se necesita una contraseña de dominio de Active Directory o credenciales de tarjeta inteligente. Para que un usuario pueda iniciar este proceso, se debe configurar Active Directory con los derechos y la configuración de la política de grupo necesarios, así como crear un directorio de WorkSpaces Pools vinculado al dominio. # Antes de empezar a usar Active Directory con WorkSpaces grupos Antes de usar dominios de Microsoft Active Directory con WorkSpaces grupos, tenga en cuenta los siguientes requisitos y consideraciones. **Topics** + [Entorno de dominio de Active Directory](#active-directory-prerequisites-domain-environment) + [Unidos a un dominio en grupos WorkSpaces WorkSpaces](#active-directory-prerequisites-streaming-instances) + [Configuración de la política de grupo](#active-directory-prerequisites-group-policy-settings) + [Autenticación con tarjeta inteligente](#active-directory-prerequisites-smart-card-authentication) ## Entorno de dominio de Active Directory + Debe tener un dominio de Microsoft Active Directory al que unir su WorkSpaces. Si no tiene un dominio de Active Directory o quiere usar su entorno local de Active Directory, consulte [Servicios de dominio de Active Directory en la AWS nube: implementación de referencia de inicio rápido](https://docs.aws.amazon.com/quickstart/latest/active-directory-ds/). + Debe tener una cuenta de servicio de dominio con permisos para crear y administrar objetos informáticos en el dominio que desee utilizar con los WorkSpaces grupos. Para obtener información, consulte [How to Create a Domain Account in Active Directory](https://msdn.microsoft.com/en-us/library/aa545262(v=cs.70).aspx) en la documentación de Microsoft. Al asociar este dominio de Active Directory a los WorkSpaces grupos, proporcione el nombre y la contraseña de la cuenta de servicio. WorkSpaces Pools usa esta cuenta para crear y administrar los objetos de computadora del directorio. Para obtener más información, consulte [Concesión de permisos para crear y administrar objetos de equipo de Active Directory](active-directory-admin.md#active-directory-permissions). + Al registrar su dominio de Active Directory en WorkSpaces Pools, debe proporcionar un nombre distintivo de la unidad organizativa (OU). Cree una OU con este fin. El contenedor de ordenadores predeterminado no es una unidad organizativa y los WorkSpaces grupos no pueden usarlo. Para obtener más información, consulte [Obtención del nombre distinguido de la unidad organizativa](active-directory-admin.md#active-directory-oudn). + Los directorios que planea usar con los WorkSpaces grupos deben estar accesibles a través de sus nombres de dominio completos (FQDNs) a través de la nube privada virtual (VPC) en la que WorkSpaces se lanza. Para obtener más información, consulte [Active Directory and Active Directory Domain Services Port Requirements](https://technet.microsoft.com/en-us/library/dd772723.aspx) en la documentación de Microsoft. ## Unidos a un dominio en grupos WorkSpaces WorkSpaces Se requiere una federación de usuarios basada en SAML 2.0 para la transmisión de aplicaciones desde dominios unidos a un dominio. WorkSpaces Además, debe utilizar una imagen de Windows que permita vincular a un dominio de Active Directory. Todas las imágenes públicas publicadas a partir del 24 de julio de 2017 incluido admiten la incorporación a un dominio de Active Directory. ## Configuración de la política de grupo Compruebe la configuración de las siguientes opciones de política de grupo. Si es necesario, actualice la configuración tal como se describe en esta sección para que no impida que los WorkSpaces grupos autentiquen e inicien sesión a los usuarios de su dominio. De lo contrario, cuando los usuarios intenten iniciar sesión, es posible que WorkSpaces el inicio de sesión no se realice correctamente. En su lugar, aparece un mensaje en el que se notifica a los usuarios que «se ha producido un error desconocido». + **Configuración del equipo > Plantillas administrativas > Componentes de Windows > Opciones de inicio de sesión de Windows > Deshabilitar o habilitar la secuencia de atención segura**: establezca en **Habilitado** para la opción **Servicios**. + **Computer Configuration > Administrative Templates > System > Logon > Exclude credential providers**: compruebe que el CLSID siguiente *no* figure en la lista: `e7c1bab5-4b49-4e64-a966-8d99686f8c7c` + **Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options > Interactive Logon > Interactive Logon: Message text for users attempting to log on**: establezca esta opción en **No definido**. + **Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options > Interactive Logon > Interactive Logon: Message title for users attempting to log on**: establezca esta opción en **No definido**. ## Autenticación con tarjeta inteligente WorkSpaces Pools admite el uso de contraseñas de dominio de Active Directory o tarjetas inteligentes, como las tarjetas inteligentes [Common Access Card (CAC)](https://www.cac.mil/Common-Access-Card) y [Personal Identity Verification (PIV)](https://piv.idmanagement.gov/), para iniciar sesión con Windows en Pools. WorkSpaces WorkSpaces Para obtener información sobre cómo configurar el entorno de Active Directory para permitir el inicio de sesión con tarjetas inteligentes mediante entidades de certificación de terceros (CAs), consulte las [Directrices para habilitar el inicio de sesión con tarjetas inteligentes con entidades de certificación de terceros](https://docs.microsoft.com/en-us/troubleshoot/windows-server/windows-security/enabling-smart-card-logon-third-party-certification-authorities) en la documentación de Microsoft. # Autenticación basada en certificados Puede usar la autenticación basada en certificados con WorkSpaces grupos unidos a Microsoft Active Directory. Esto elimina la solicitud al usuario de la contraseña del dominio de Active Directory cuando el usuario inicia sesión. Al usar la autenticación basada en certificados con su dominio de Active Directory, puede: + Confiar en su proveedor de identidades SAML 2.0 para autenticar al usuario y proporcionar declaraciones de SAML que coincidan con las del usuario de Active Directory. + Crear una experiencia de inicio de sesión único con menos solicitudes al usuario. + Habilitar los flujos de autenticación sin contraseña con su proveedor de identidades SAML 2.0. La autenticación basada en certificados utiliza AWS Private Certificate Authority (AWS Private CA) recursos de su. Cuenta de AWS Con AWS Private CA, puede crear jerarquías de entidades de certificación (CA) privadas, incluidas las de raíz y subordinada. CAs También puede crear su propia jerarquía de CA y emitir certificados desde ella que autentiquen a los usuarios internos. Para obtener más información, consulte [Qué es](https://docs.aws.amazon.com/privateca/latest/userguide/PcaWelcome.html). AWS Private CA Cuando utiliza una CA AWS privada para la autenticación basada en certificados, WorkSpaces Pools solicita automáticamente los certificados de sus usuarios al reservar la sesión para cada uno de los miembros de un WorkSpace WorkSpaces grupo. Autentica a los usuarios en Active Directory con una tarjeta inteligente virtual proporcionada con los certificados. La autenticación basada en certificados se admite en los grupos unidos a un dominio que ejecutan instancias de Windows WorkSpaces . **Topics** + [Requisitos previos](certificate-based-authentication-prereq.md) + [Habilitación de la autenticación basada en certificados](certificate-based-authentication-enable.md) + [Administración de la autenticación basada en certificados](certificate-based-authentication-manage.md) + [Habilitación del uso compartido entre cuentas de una CA privada](pca-sharing.md) # Requisitos previos Realice los siguientes pasos antes de utilizar la autenticación basada en certificados. 1. Configure el directorio de WorkSpaces Pools con la integración de SAML 2.0 para usar la autenticación basada en certificados. Para obtener más información, consulte [Configurar SAML 2.0 y crear un directorio de WorkSpaces grupos](create-directory-pools.md). **nota** No habilite la opción **Inicio de sesión con tarjeta inteligente** en el grupo si desea utilizar la autenticación basada en certificados. 1. Configurar el atributo `userPrincipalName` en su declaración de SAML. Para obtener más información, consulte [Paso 7: crear aserciones para la respuesta de autenticación de SAML](create-directory-pools.md#saml-directory-create-assertions). 1. Configurar el atributo `ObjectSid` en su declaración de SAML. Puede usar este atributo para realizar una asignación sólida con el usuario de Active Directory. La autenticación basada en certificados produce un error si el atributo `ObjectSid` no coincide con el identificador de seguridad (SID) de Active Directory del usuario especificado en el `NameID`de SAML\$1Subject. Para obtener más información, consulte [Paso 7: crear aserciones para la respuesta de autenticación de SAML](create-directory-pools.md#saml-directory-create-assertions). **nota** Según [Microsoft KB5014754](https://support.microsoft.com/en-us/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16), el atributo `ObjectSid` será obligatorio para la autenticación basada en certificados después del 10 de septiembre de 2025. 1. Agregue el permiso `sts:TagSession` a la política de confianza de roles de IAM que utiliza con su configuración de SAML 2.0. Para obtener más información, consulte [Transferencia de etiquetas de sesión en AWS STS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_session-tags.html.html) en la *Guía del usuario de AWS Identity and Access Management*. Este permiso es necesario para usar la autenticación basada en certificados. Para obtener más información, consulte [Paso 5: crear un rol de IAM de federación de SAML 2.0](create-directory-pools.md#saml-directory-saml-federation-role-in-iam). 1. Cree una entidad de certificación (CA) privada mediante la CA privada de AWS, si no tiene ninguna configurada con Active Directory. Se requiere una CA privada de AWS para usar la autenticación basada en certificados. Para obtener más información, consulte [Planning your AWS Private CA deployment](https://docs.aws.amazon.com/privateca/latest/userguide/PcaPlanning.html) en la *Guía del usuario de AWS Private Certificate Authority*. La siguiente configuración de CA privada de AWS es habitual en muchos casos de uso de la autenticación basada en certificados: + **Opciones de tipo de CA** + **Modo de uso de CA con certificados de corta duración**: se recomienda si la CA solo emite certificados de usuario final para la autenticación basada en certificados. + **Jerarquía de un solo nivel con una CA raíz**: elija una CA subordinada para integrarla con una jerarquía de CA existente. + **Opciones de algoritmos de clave**: RSA 2048 + **Opciones de nombre distintivo por asunto**: utilice las opciones más adecuadas para identificar esta CA en el almacén de entidades emisoras de certificados raíz de confianza de Active Directory. + **Opciones de revocación de certificados**: distribución de CRL **nota** La autenticación basada en certificados requiere un punto de distribución de CRL en línea al que se pueda acceder tanto desde los escritorios de WorkSpaces en WorkSpaces Pools como desde el controlador de dominio. Esto requiere acceso no autenticado al bucket de Amazon S3 configurado para entradas de CRL de CA privada de AWS o una distribución de CloudFront con acceso al bucket de Amazon S3 si bloquea el acceso público. Para obtener más información sobre estas opciones, consulte [Planning a certificate revocation list (CRL)](https://docs.aws.amazon.com/privateca/latest/userguide/crl-planning.html) en la *Guía del usuario de AWS Private Certificate Authority*. 1. Etiquete su CA privada con una clave `euc-private-ca` que permita designar la CA para su uso con la autenticación basada en certificados de WorkSpaces Pools. Esta clave no requiere ningún valor. Para obtener más información, consulte [Managing tags for your private CA](https://docs.aws.amazon.com/privateca/latest/userguide/PcaCaTagging.html) en la *Guía del usuario de AWS Private Certificate Authority*. 1. La autenticación basada en certificados utiliza tarjetas inteligentes virtuales para iniciar sesión. Para obtener más información, consulte [Guidelines for enabling smart card logon with third-party certification authorities](https://learn.microsoft.com/en-us/troubleshoot/windows-server/windows-security/enabling-smart-card-logon-third-party-certification-authorities). Siga estos pasos: 1. Configure los controladores de dominio con un certificado de controlador de dominio para autenticar a los usuarios de tarjetas inteligentes. Si tiene una CA empresarial de Servicios de certificados de Active Directory configurada en su Active Directory, inscribirá automáticamente los controladores de dominio con certificados que permiten el inicio de sesión con tarjeta inteligente. Si no tiene los Servicios de certificados de Active Directory, consulte [Requirements for domain controller certificates from a third-party CA](https://learn.microsoft.com/en-US/troubleshoot/windows-server/windows-security/requirements-domain-controller). Puede crear un certificado de controlador de dominio con una CA privada de AWS. Si lo hace, no utilice una CA privada configurada para certificados de corta duración. **nota** Si utiliza AWS Managed Microsoft AD, puede configurar los servicios de certificación en una instancia de Amazon EC2 que cumpla los requisitos de los certificados del controlador de dominio. Consulte [Deploy Active Directory to a new Amazon Virtual Private Cloud](https://docs.aws.amazon.com/launchwizard/latest/userguide/launch-wizard-ad-deploying-new-vpc.html) para ver ejemplos de implementaciones de AWS Managed Microsoft AD configuradas con los Servicios de certificados de Active Directory. Con AWS Managed Microsoft AD y Servicios de certificados de Active Directory, también debe crear reglas de salida desde el grupo de seguridad de VPC del controlador hasta la instancia de Amazon EC2 que ejecuta los servicios de certificados. El grupo de seguridad debe tener acceso al puerto 135 de TCP y a los puertos 49152 a 65535 para habilitar la inscripción automática de certificados. La instancia de Amazon EC2 también debe permitir el acceso entrante a estos mismos puertos desde las instancias de dominio, incluidos los controladores de dominio. Para obtener más información sobre la ubicación del grupo de seguridad para AWS Managed Microsoft AD, consulte [Configure your VPC subnets and security groups](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_tutorial_setup_trust_prepare_mad.html#tutorial_setup_trust_open_vpc). 1. En la consola de CA privada de AWS, o con el SDK o la CLI, exporte el certificado de CA privada. Para obtener más información, consulte [Exportación de un certificado privado](https://docs.aws.amazon.com/acm/latest/userguide/export-private.html). 1. Publique la CA privada en Active Directory. Inicie sesión en un controlador de dominio o en una máquina asociada a un dominio. Copie el certificado de CA privado en cualquiera `\` y ejecute los siguientes comandos como administrador de dominio. También puede usar la política de grupo y la herramienta PKI Health Tool (PKIView) de Microsoft para publicar la CA. Para obtener más información, consulte [Configuration instructions](https://learn.microsoft.com/en-us/troubleshoot/windows-server/windows-security/enabling-smart-card-logon-third-party-certification-authorities#configuration-instructions). ``` certutil -dspublish -f \ RootCA ``` ``` certutil -dspublish -f \ NTAuthCA ``` Asegúrese de que los comandos se completen correctamente y, a continuación, elimine el archivo de certificado de CA privada. Según la configuración de replicación de Active Directory, la CA puede tardar varios minutos en publicar en los controladores de dominio y en los escritorios de WorkSpaces en WorkSpaces Pools. **nota** Active Directory debe distribuir la CA a las autoridades de certificación raíz de confianza, y Enterprise NTAuth almacena automáticamente los escritorios de WorkSpaces en WorkSpaces Pools cuando se vinculan al dominio. **nota** Los controladores de dominio de Active Directory deben estar en modo de compatibilidad para que la aplicación estricta de los certificados admita la autenticación basada en certificados. Para obtener más información, consulte [KB5014754—Certificate-based authentication changes on Windows domain controllers](https://support.microsoft.com/en-us/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16) en la documentación de Microsoft Support. Si utiliza AWS Managed Microsoft AD, consulte [Configurar los ajustes de seguridad de los directorios](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_directory_settings.html) para obtener más información. # Habilitación de la autenticación basada en certificados Realice los siguientes pasos antes de habilitar la autenticación basada en certificados. **Para habilitar la autenticación basada en certificados** 1. [Abre la WorkSpaces consola en la versión 2/homehttps://console.aws.amazon.com/workspaces/.](https://console.aws.amazon.com/workspaces/v2/home) 1. Elija **Directorios** en el panel de navegación. 1. Seleccione la pestaña **Directorios de grupos**. 1. Elija el directorio que desea configurar. 1. Elija **Editar** en la sección **Autenticación** de la página. 1. Seleccione **Editar la autenticación basada en certificados** en la sección **Autenticación basada en certificados** de la página. 1. Elija **Habilitar la autenticación basada en certificados.** 1. Elija el certificado en la lista desplegable **Autoridad de certificación (CA) privada de AWS Certificate Manager (ACM)**. Para que aparezca en la lista desplegable, debe almacenar la CA privada en la misma Cuenta de AWS y Región de AWS. También debe etiquetar la CA privada con una clave denominada `euc-private-ca`. 1. Configure el registro del directorio como alternativa. La opción de alternativa permite a los usuarios iniciar sesión con la contraseña de dominio de AD si la autenticación basada en certificados no se realiza correctamente. Esto solo se recomienda en los casos en que los usuarios conozcan las contraseñas de sus dominios. Cuando la opción de alternativa está desactivada, una sesión puede desconectar al usuario si se produce una pantalla de bloqueo o si se cierra sesión en Windows. Si la opción de alternativa está activada, la sesión solicita al usuario su contraseña de dominio de AD. 1. Seleccione **Save**. Ya está habilitada la autenticación basada en certificados. Cuando los usuarios se autentiquen con SAML 2.0 en un directorio de WorkSpaces grupos utilizando el dominio unido WorkSpaces, ya no recibirán la solicitud de la contraseña del dominio. Los usuarios verán el mensaje **Conexión con autenticación basada en certificados** al conectarse a una sesión habilitada para la autenticación basada en certificados. # Administración de la autenticación basada en certificados Tras habilitar la autenticación basada en certificados, revise las siguientes tareas. ## Certificado de CA privada En una configuración típica, el certificado de CA privada tiene un período de validez de 10 años. Para obtener más información sobre cómo reemplazar una CA privada con un certificado vencido o cómo volver a emitir la CA privada con un nuevo período de validez, consulte [Managing the private CA lifecycle](https://docs.aws.amazon.com/privateca/latest/userguide/ca-lifecycle.html). ## Certificados de usuario final Los certificados de usuario final emitidos por la autenticación basada en certificados de AWS Private Certificate Authority for WorkSpaces Pools no requieren renovación ni revocación. Estos certificados son de corta duración. WorkSpaces Pools emite automáticamente un nuevo certificado para cada nueva sesión o cada 24 horas para las sesiones de larga duración. La sesión de WorkSpaces Pools regula el uso de estos certificados de usuario final. Si finaliza una sesión, WorkSpaces Pools deja de usar ese certificado. Estos certificados de usuario final tienen un período de validez más corto que una distribución AWS Private Certificate Authority CRL típica. Como resultado, no es necesario revocar los certificados de usuario final y no aparecerán en una CRL. ## Informes de auditoría Puede crear un informe de auditoría para mostrar todos los certificados que la CA privada ha emitido o revocado. Para obtener más información, consulte [Using audit reports with your private CA](https://docs.aws.amazon.com/privateca/latest/userguide/PcaAuditReport.html). ## Registro y supervisión Puede utilizarlos CloudTrail para grabar las llamadas a la API realizadas por WorkSpaces grupos a una CA privada. Para obtener más información, consulte [¿Qué es AWS CloudTrail?](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html) en la *Guía del AWS CloudTrail usuario* y [Uso CloudTrail](https://docs.aws.amazon.com/privateca/latest/userguide/PcaCtIntro.html) en la *Guía del AWS Private Certificate Authority usuario*. En el historial de CloudTrail eventos, puedes ver los nombres de **GetCertificate**los **IssueCertificate**eventos de la fuente de eventos **acm-pca.amazonaws.com** creados con el nombre de usuario de Pools. WorkSpaces **EcmAssumeRoleSession** Estos eventos se registrarán para cada solicitud de autenticación basada en un certificado de Pools. WorkSpaces Para obtener más información, consulte [Visualización de eventos con el historial de CloudTrail eventos](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html) en la Guía del *AWS CloudTrail usuario*. # Habilitación del uso compartido entre cuentas de una CA privada El uso compartido entre cuentas de una CA privada (PCA) ofrece la posibilidad de conceder permisos para que otras cuentas usen una CA centralizada. La CA puede generar y emitir certificados mediante [AWS Resource Access Manager](https://aws.amazon.com/ram/) (RAM) para administrar los permisos. Esto elimina la necesidad de una CA privada en cada cuenta. El uso compartido entre cuentas privadas de CA se puede utilizar con la autenticación basada en certificados (CBA) de WorkSpaces las aplicaciones dentro de la misma. Región de AWS Para usar un recurso de CA privada compartido con WorkSpaces Pools CBA, complete los siguientes pasos: 1. Configure la CA privada para la CBA de forma centralizada. Cuenta de AWS Para obtener más información, consulte [Autenticación basada en certificados y personal WorkSpaces](certificate-based-authentication.md). 1. Comparta la CA privada con el recurso Cuentas de AWS donde los recursos de WorkSpaces Pools utilizan la CBA. Para ello, siga los pasos de [Cómo usar la AWS RAM para compartir su cuenta cruzada de ACM Private CA](https://aws.amazon.com/blogs/security/how-to-use-aws-ram-to-share-your-acm-private-ca-cross-account/). No necesita completar el paso 3 para crear un certificado. Puede compartir la CA privada con Cuentas de AWS individuales o compartirla a través de AWS Organizations. Si comparte con cuentas individuales, debe aceptar la CA privada compartida en su cuenta de recursos mediante la AWS Resource Access Manager consola o. APIs Al configurar el recurso compartido, confirme que el AWS Resource Access Manager recurso compartido de la CA privada de la cuenta de recursos utiliza la plantilla de permisos `AWSRAMBlankEndEntityCertificateAPICSRPassthroughIssuanceCertificateAuthority` gestionados. Esta plantilla se alinea con la plantilla de PCA que utiliza el rol de servicio de WorkSpaces Pools al emitir los certificados CBA. 1. Una vez que el recurso se haya compartido correctamente, podrá ver la CA privada compartida mediante la consola de Private CA en la cuenta de recursos. 1. Utilice la API o la CLI para asociar el ARN de CA privado con el CBA en el directorio WorkSpaces de grupos. En este momento, la consola de WorkSpaces Pools no admite la selección de una CA privada compartida. ARNs Para obtener más información, consulta la [referencia de la API WorkSpaces de Amazon Service](https://docs.aws.amazon.com/workspaces/latest/api/welcome.html). # WorkSpaces Administración de grupos de Active Directory La configuración y el uso de Active Directory con WorkSpaces grupos implican las siguientes tareas administrativas. **Topics** + [Concesión de permisos para crear y administrar objetos de equipo de Active Directory](#active-directory-permissions) + [Obtención del nombre distinguido de la unidad organizativa](#active-directory-oudn) + [Concesión de derechos de administrador local para imágenes personalizadas](#active-directory-image-builder-local-admin) + [Bloqueo de la sesión en streaming cuando el usuario está inactivo](#active-directory-session-lock) + [Configuración de WorkSpaces grupos para usar confianzas de dominio](#active-directory-domain-trusts) ## Concesión de permisos para crear y administrar objetos de equipo de Active Directory Para permitir que los WorkSpaces grupos realicen operaciones con objetos informáticos de Active Directory, necesita una cuenta con permisos suficientes. Como práctica recomendada, use una cuenta que tenga solo los privilegios mínimos necesarios. Los permisos mínimos de la unidad organizativa (OU) de Active Directory son los siguientes: + Crear objeto equipo + Cambio de contraseña + Restablecer contraseña + Escribir descripción Antes de configurar los permisos, primero tendrá que hacer lo siguiente: + Obtener acceso a una instancia EC2 o un equipo que esté unido al dominio. + Instalar el complemento MMC Usuarios y equipos de Active Directory. Para obtener más información, consulte [Installing or Removing Remote Server Administration Tools for Windows 7](https://technet.microsoft.com/en-us/library/ee449483.aspx) en la documentación de Microsoft. + Inicie sesión como usuario de dominio con los permisos adecuados para modificar la configuración de seguridad de la OU. + Cree o identifique al usuario, la cuenta de servicio o el grupo al que se delegarán permisos. **Para configurar permisos mínimos** 1. Abra **Active Directory Users and Computers** (Usuarios y equipos de Active Directory) en el dominio o en el controlador de dominio. 1. En el panel de navegación de la izquierda, seleccione la primera OU para la que se proporcionarán privilegios de unión al dominio, abra el menú contextual (haga clic con el botón derecho) y, a continuación, elija **Delegate Control** (Delegar control). 1. En la página **Delegation of Control Wizard**, elija **Next**, **Add**. 1. En **Seleccionar usuarios, equipos o grupos**, seleccione el usuario, la cuenta de servicio o el grupo previamente creados y, a continuación, elija **Aceptar**. 1. En la página **Tareas que se delegarán**, elija **Crear una tarea personalizada para delegar** y luego elija **Siguiente**. 1. Elija **Only the following objects in the folder**, **Computer objects**. 1. Elija **Create selected objects in this folder**, **Next**. 1. En **Permissions**, elija **Read**, **Write**, **Change Password**, **Reset Password**, **Next**. 1. En la página **Completing the Delegation of Control Wizard**, verifique la información y elija **Finish**. 1. Repita los pasos 2 a 9 para cualquier otra persona OUs que requiera estos permisos. Si ha delegado permisos en un grupo, cree una cuenta de usuario o de servicio con una contraseña segura y añada dicha cuenta al grupo. Esta cuenta tendrá entonces los privilegios suficientes para conectarla WorkSpaces al directorio. Utilice esta cuenta al crear la configuración del directorio de WorkSpaces grupos. ## Obtención del nombre distinguido de la unidad organizativa Al registrar su dominio de Active Directory en WorkSpaces Pools, debe proporcionar un nombre distintivo de la unidad organizativa (OU). Cree una OU con este fin. El contenedor de ordenadores predeterminado no es una unidad organizativa y los WorkSpaces grupos no pueden usarlo. En el siguiente procedimiento se muestra cómo obtener este nombre. **nota** El nombre distinguido debe comenzar con **OU=** o no podrá usarse para objetos de equipo. Antes de realizar este procedimiento, deberá hacer lo siguiente: + Obtener acceso a una instancia EC2 o un equipo que esté unido al dominio. + Instalar el complemento MMC Usuarios y equipos de Active Directory. Para obtener más información, consulte [Installing or Removing Remote Server Administration Tools for Windows 7](https://technet.microsoft.com/en-us/library/ee449483.aspx) en la documentación de Microsoft. + Inicie sesión como usuario de dominio con los permisos adecuados para leer las propiedades de seguridad de la OU. **Para buscar el nombre distinguido de una OU** 1. Abra **Active Directory Users and Computers** (Usuarios y equipos de Active Directory) en el dominio o en el controlador de dominio. 1. En **View**, asegúrese de que la opción **Advanced Features** esté habilitada. 1. En el panel de navegación izquierdo, seleccione la primera unidad organizativa que desee utilizar para los objetos del WorkSpaces ordenador, abra el menú contextual (haga clic con el botón derecho) y, a continuación, elija **Propiedades**. 1. Elija **Attribute Editor**. 1. En **Attributes**, para **distinguishedName**, elija **View**. 1. En **Value** (Valor), seleccione el nombre distinguido, abra el menú contextual y elija **Copy** (Copiar). ## Concesión de derechos de administrador local para imágenes personalizadas De forma predeterminada, los usuarios de dominio de Active Directory no tienen derechos de administrador local para las imágenes. Para conceder estos derechos, utilice las preferencias de la política de grupo del directorio, o manualmente mediante la cuenta de administrador local de una imagen. La concesión de derechos de administrador local a un usuario del dominio le permite instalar aplicaciones y crear imágenes personalizadas en los WorkSpaces grupos. **Topics** + [Uso de las preferencias de la política de grupo](#group-policy) + [Utilice el grupo de administradores local del WorkSpace para crear imágenes](#manual-procedure) ### Uso de las preferencias de la política de grupo Puede utilizar las preferencias de la política de grupo para conceder derechos de administrador local a usuarios o grupos de Active Directory y a todos los objetos de equipo de la OU especificada. Los usuarios o grupos de Active Directory a los que desea conceder permisos de administrador local deben existir previamente. Para utilizar las preferencias de la política de grupo, primero tendrá que hacer lo siguiente: + Obtener acceso a una instancia EC2 o un equipo que esté unido al dominio. + Instale el complemento MMC de la consola de administración de políticas de grupo (GPMC). Para obtener más información, consulte [Installing or Removing Remote Server Administration Tools for Windows 7](https://technet.microsoft.com/en-us/library/ee449483.aspx) en la documentación de Microsoft. + Inicie sesión como usuario de dominio con permisos para crear objetos de política de grupo (GPOs). Enlace GPOs al correspondiente OUs. **Para utilizar las preferencias de la política de grupo para conceder permisos de administrador local** 1. En el directorio o en un controlador de dominio, abra el símbolo del sistema como administrador, escriba `gpmc.msc` y, a continuación, pulse INTRO. 1. En el árbol de la consola de la izquierda, seleccione la OU donde creará el nuevo GPO o usará uno ya existente y, a continuación, realice una de las operaciones siguientes: + Cree un nuevo GPO; para ello, abra el menú contextual (haga clic con el botón derecho) y elija **Create a GPO in this domain and link it here** (Crear un GPO en este dominio y vincularlo aquí). En **Name**, proporcione un nombre descriptivo para este GPO. + Seleccione un GPO existente. 1. Abra el menú contextual del GPO y elija **Edit** (Editar). 1. En el árbol de la consola, elija **Computer Configuration** (Configuración del equipo), **Preferences** (Preferencias), **Windows Settings** (Configuración de Windows), **Control Panel Settings** (Configuración del panel de control) y **Local Users and Groups** (Usuarios y grupos locales). 1. Seleccione **Local Users and Groups** (Usuarios y grupos locales), abra el menú contextual y elija **New** (Nuevo), **Local Group** (Grupo local). 1. En **Action**, elija **Update**. 1. En **Group name**, elija **Administrators (built-in)**. 1. En **Miembro**, elija **Agregar...** y especifique los usuario o grupos de Active Directory a los que se asignarán derechos de administrador local en la instancia en streaming. En **Action**, seleccione **Add to this group** y, a continuación, **OK**. 1. Para aplicar este GPO a otro OUs, seleccione la OU adicional, abra el menú contextual y elija **Vincular un GPO existente**. 1. Desplácese para encontrar el nombre del GPO nuevo o ya existente especificado en el paso 2 y, a continuación, elija **OK** (Aceptar). 1. Repita los pasos 9 y 10 para ver otros OUs que deban tener esta preferencia. 1. Elija **OK** (Aceptar) para cerrar el cuadro de diálogo **New Local Group Properties** (Propiedades de nuevo grupo local). 1. Elija **OK** (Aceptar) de nuevo para cerrar la GPMC. Para aplicar la nueva preferencia al GPO, detenga y reinicie los constructores de imágenes o las flotas en ejecución. Los usuarios y grupos de Active Directory que ha especificado en el paso 8 obtienen automáticamente derechos de administrador local para los constructores de imágenes y las flotas de la OU a la que está vinculado el GPO. ### Utilice el grupo de administradores local del WorkSpace para crear imágenes Si desea conceder a los usuarios o grupos de Active Directory derechos de administrador local para una imagen, puede añadir manualmente estos usuarios o grupos al grupo de administradores locales de la imagen. Los usuarios o grupos de Active Directory a los que se conceden derechos de administrador local deben existir ya. 1. Conéctate al WorkSpace que utilizas para crear imágenes. WorkSpace Debe estar en ejecución y unido a un dominio. 1. Elija **Start** (Inicio), **Administrative Tools** (Herramientas administrativas) y, a continuación, haga doble clic en **Computer Management** (Administración de equipos). 1. En el panel de navegación izquierdo, seleccione **Local Users and Groups** y abra la carpeta **Groups**. 1. Abra el grupo **Administrators** y seleccione **Add...**. 1. Seleccione todos los usuarios o grupos de Active Directory a los que se asignarán derechos de administrador local y elija **OK**. Elija **OK** (Aceptar) de nuevo para cerrar el cuadro de diálogo **Administrator Properties** (Propiedades de Administradores). 1. Cierre la utilidad Administración de equipos. 1. Para iniciar sesión como usuario de Active Directory y comprobar si ese usuario tiene derechos de administrador local WorkSpaces, seleccione **Admin Commands**, **Cambie de usuario** y, a continuación, introduzca las credenciales del usuario correspondiente. ## Bloqueo de la sesión en streaming cuando el usuario está inactivo WorkSpaces Los grupos se basan en una configuración que se configura en la GPMC para bloquear la sesión de transmisión después de que el usuario esté inactivo durante un período de tiempo específico. Para utilizar la GPMC, primero tendrá que hacer lo siguiente: + Obtener acceso a una instancia EC2 o un equipo que esté unido al dominio. + Instalar la GPMC. Para obtener más información, consulte [Installing or Removing Remote Server Administration Tools for Windows 7](https://technet.microsoft.com/en-us/library/ee449483.aspx) en la documentación de Microsoft. + Inicie sesión como usuario del dominio con permisos de creación GPOs. Enlace GPOs al enlace correspondiente OUs. **Para bloquear automáticamente la instancia de streaming cuando el usuario está inactivo** 1. En el directorio o en un controlador de dominio, abra el símbolo del sistema como administrador, escriba `gpmc.msc` y, a continuación, pulse INTRO. 1. En el árbol de la consola de la izquierda, seleccione la OU donde creará el nuevo GPO o usará uno ya existente y, a continuación, realice una de las operaciones siguientes: + Cree un nuevo GPO; para ello, abra el menú contextual (haga clic con el botón derecho) y elija **Create a GPO in this domain and link it here** (Crear un GPO en este dominio y vincularlo aquí). En **Name**, proporcione un nombre descriptivo para este GPO. + Seleccione un GPO existente. 1. Abra el menú contextual del GPO y elija **Edit** (Editar). 1. En **User Configuration** (Configuración de usuario), expanda **Policies** (Políticas), **Administrative Templates** (Plantillas administrativas), **Control Panel** (Panel de control) y, a continuación, elija **Personalization** (Personalización). 1. Haga doble clic en **Enable screen saver** (Habilitar protector de pantalla). 1. En la opción de política **Enable screen saver** (Habilitar protector de pantalla), elija **Enabled** (Habilitado). 1. Seleccione **Aplicar** y, después, **Aceptar**. 1. Haga doble clic en **Force specific screen saver** (Aplicar un protector de pantalla específico). 1. En la opción de política **Force specific screen saver** (Aplicar un protector de pantalla específico), elija **Enabled** (Habilitado). 1. En **Screen saver executable name (Nombre del ejecutable del protector de pantalla)**, escriba **scrnsave.scr**. Cuando esta opción está habilitada, el sistema muestra un protector de pantalla negro en el escritorio del usuario. 1. Seleccione **Aplicar** y, después, **Aceptar**. 1. Haga doble clic en **Password protect the screen saver** (Proteger el protector de pantalla mediante contraseña). 1. En la opción de política **Password protect the screen saver** (Proteger el protector de pantalla mediante contraseña), elija **Enabled** (Habilitado). 1. Seleccione **Aplicar** y, después, **Aceptar**. 1. Haga doble clic en **Screen saver timeout** (Tiempo de espera del protector de pantalla). 1. En la opción de política **Screen saver timeout** (Tiempo de espera del protector de pantalla), elija **Enabled** (Habilitado). 1. En **Seconds** (Segundos), especifique el tiempo que los usuarios deben estar inactivos antes de que se aplique el protector de pantalla. Para establecer el tiempo de inactividad en 10 minutos, especifique 600 segundos. 1. Seleccione **Aplicar** y, después, **Aceptar**. 1. En el árbol de la consola, en **User Configuration** (Configuración de usuario), expanda **Policies** (Políticas), **Administrative Templates** (Plantillas administrativas), **System** (Sistema) y, a continuación, elija **Ctrl\$1Alt\$1Del Options** (Opciones de Ctrl\$1Alt\$1Supr). 1. Haga doble clic en **Remove Lock Computer** (Quitar el bloqueo de equipos). 1. En la opción de política **Remove Lock Computer** (Quitar el bloqueo de equipos), elija **Disabled** (Deshabilitado). 1. Seleccione **Aplicar** y, después, **Aceptar**. ## Configuración de WorkSpaces grupos para usar confianzas de dominio WorkSpaces Los grupos admiten entornos de dominio de Active Directory en los que los recursos de red, como servidores de archivos, aplicaciones y objetos informáticos, residen en un dominio y los objetos de usuario residen en otro. No es necesario que la cuenta de servicio de dominio utilizada para las operaciones de objetos de equipo esté en el mismo dominio que los objetos WorkSpaces de equipo del grupo. Cuando cree la configuración del directorio, especifique una cuenta de servicio con los permisos pertinentes para administrar objetos de equipo en el dominio de Active Directory donde se encuentran los servidores de archivos, las aplicaciones, los objetos de equipo y otros recursos de red. Las cuentas de Active Directory de usuario final deben tener los permisos "Allowed to Authenticate" para los elementos siguientes: + WorkSpaces Agrupa los objetos del ordenador + Controladores de dominio para el dominio Para obtener más información, consulte [Concesión de permisos para crear y administrar objetos de equipo de Active Directory](#active-directory-permissions). # Más información Para obtener más información relacionada con este tema, consulte los siguientes recursos: + [Microsoft Active Directory](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/directory_microsoft_ad.html): información sobre el uso de Directory Service. # Paquetes e imágenes para piscinas WorkSpaces Un *WorkSpace paquete* es una combinación de un sistema operativo y recursos de almacenamiento, cómputo y software. Al lanzar un paquete WorkSpace, selecciona el paquete que mejor se adapte a sus necesidades. Los paquetes predeterminados para los que están disponibles WorkSpaces se denominan *paquetes públicos*. Para obtener más información sobre los distintos paquetes públicos disponibles WorkSpaces, consulta [Amazon WorkSpaces Bundles](https://aws.amazon.com/workspaces/details/#Amazon_WorkSpaces_Bundles). Si has lanzado un Windows WorkSpace y lo has personalizado, puedes crear una imagen personalizada a partir de él WorkSpace para usarla con WorkSpaces Pool. WorkSpaces Pool no admite Linux. Una *imagen personalizada* contiene solo el sistema operativo, el software y la configuración del WorkSpace. Un *paquete personalizado* es una combinación de esa imagen personalizada y del hardware desde el que se WorkSpace puede lanzar una. Tras crear una imagen personalizada, puede crear un paquete personalizado que combine la WorkSpace imagen personalizada y la configuración de almacenamiento e informática subyacente que seleccione. A continuación, puede especificar este paquete personalizado al crear nuevos WorkSpaces grupos para asegurarse de que los nuevos WorkSpaces del grupo tengan la misma configuración coherente (hardware y software). Si necesita realizar actualizaciones de software o instalar software adicional en el suyo WorkSpaces, puede actualizar su paquete personalizado y usarlo para reconstruirlo WorkSpaces. WorkSpaces Pools admite varios sistemas operativos (OS), protocolos de transmisión y paquetes diferentes. En la siguiente tabla se proporciona información sobre las licencias, los protocolos de transmisión y los paquetes compatibles con cada sistema operativo. | Sistema operativo | Licencias | Protocolos de transmisión | Paquetes compatibles | Política del ciclo de vida o fecha de retirada | | --- | --- | --- | --- | --- | | Windows Server 2019 | Incluido | DCV | Valor, estándar, rendimiento, potencia, PowerPro | [9 de enero de 2029](https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2019) | | Windows Server 2022 | Incluido | DCV | Estándar, rendimiento, potencia, gráficos. PowerPro G4dn, .G4dn GraphicsPro | [14 de octubre de 2031](https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2022) | **nota** No se garantiza que las versiones del sistema operativo que el vendedor ya no admite funcionen ni cuentan con soporte técnico. AWS **Topics** + [Opciones de paquetes en WorkSpaces Pools](pools-custom-images-bundles.md) + [Cree una imagen y un paquete personalizados para WorkSpaces piscinas](pools-images-custom-image.md) + [Administra imágenes y paquetes personalizados para piscinas WorkSpaces](pools-images-managing.md) + [Uso de scripts de sesión para administrar la experiencia de transmisión de los usuarios](pools-images-session-scripts.md) # Opciones de paquetes en WorkSpaces Pools Antes de seleccionar un paquete para utilizar con WorkSpaces Pools, asegúrese de que dicho paquete sea compatible con el protocolo, el sistema operativo, la red y el tipo de computación de los escritorios de WorkSpaces. Recomendamos probar el rendimiento de los paquetes que desee elegir en un entorno de prueba mediante la ejecución y el uso de aplicaciones que repliquen las tareas diarias de los usuarios. Para obtener más información sobre protocolos, consulte [Protocolos para WorkSpaces uso personal](amazon-workspaces-networking.md#amazon-workspaces-protocols). Para obtener más información sobre las redes, consulte [Requisitos de red de clientes de WorkSpaces Personal](workspaces-network-requirements.md). Los siguientes paquetes públicos se pueden usar con WorkSpaces Pools. Para obtener más información sobre los paquetes disponibles en WorkSpaces, consulte [Paquetes de Amazon WorkSpaces](https://aws.amazon.com/workspaces/details/#Amazon_WorkSpaces_Bundles). Value, Standard, Performance, Power, PowerPro ## Paquete de valor Este paquete está especialmente indicado para lo siguiente: + Edición básica de texto y entrada de datos + Navegación web con poco uso + Mensajería instantánea Este paquete no se recomienda para el procesamiento de textos, las conferencias de audio y vídeo, el uso compartido de pantalla, las herramientas de desarrollo de software, las aplicaciones de inteligencia empresarial y las aplicaciones gráficas. ## Paquete estándar Este paquete está especialmente indicado para lo siguiente: + Edición básica de texto y entrada de datos + Navegación web + Mensajería instantánea + Correo electrónico Este paquete no se recomienda para las conferencias de audio y vídeo, el uso compartido de pantalla, el procesamiento de textos, las herramientas de desarrollo de software, las aplicaciones de inteligencia empresarial y las aplicaciones gráficas. ## Paquete de rendimiento Este paquete está especialmente indicado para lo siguiente: + Navegación web + Procesamiento de textos + Mensajería instantánea + Correo electrónico + Hojas de cálculo + Procesamiento de audio + Material didáctico Este paquete no se recomienda para las conferencias de vídeo, el uso compartido de pantalla, las herramientas de desarrollo de software, las aplicaciones de inteligencia empresarial y las aplicaciones gráficas. ## Paquete de energía Este paquete está especialmente indicado para lo siguiente: + Navegación web + Procesamiento de textos + Correo electrónico + Mensajería instantánea + Hojas de cálculo + Procesamiento de audio + Desarrollo de software (entorno de desarrollo integrado (IDE) + Introducción al procesamiento de datos de nivel medio + Conferencias de audio y vídeo Este paquete no se recomienda para el uso compartido de pantalla, las herramientas de desarrollo de software, las aplicaciones de inteligencia empresarial y las aplicaciones gráficas. ## Paquete PowerPro Este paquete está especialmente indicado para lo siguiente: + Navegación web + Procesamiento de textos + Correo electrónico + Mensajería instantánea + Hojas de cálculo + Procesamiento de audio + Desarrollo de software (entorno de desarrollo integrado (IDE) + Almacenes de datos + Aplicaciones de inteligencia empresarial + Conferencias de audio y vídeo Este paquete no se recomienda para el machine learning, el entrenamiento de modelos y las aplicaciones gráficas. ## Paquete Graphics.G4DN Este paquete ofrece un nivel alto de rendimiento gráfico y un nivel moderado de rendimiento de CPU y memoria para sus WorkSpaces. Está especialmente indicado para lo siguiente: + Navegación web + Procesamiento de textos + Correo electrónico + Hojas de cálculo + Mensajería instantánea + Conferencias de audio + Desarrollo de software (entorno de desarrollo integrado (IDE) + Introducción al procesamiento de datos de nivel medio + Almacenes de datos + Aplicaciones de inteligencia empresarial + Diseño gráfico + CAD/CAM (diseño asistido por ordenador/fabricación asistida por ordenador) Este paquete no se recomienda para las conferencias de audio y vídeo, la renderización 3D, el diseño fotorrealista y el entrenamiento de modelos de machine learning. ## Paquete GraphicsPro.g4dn Este paquete ofrece un nivel alto de rendimiento gráfico, rendimiento de CPU y memoria para sus WorkSpaces. Está especialmente indicado para lo siguiente: + Navegación web + Procesamiento de textos + Correo electrónico + Hojas de cálculo + Mensajería instantánea + Conferencias de audio + Desarrollo de software (entorno de desarrollo integrado (IDE) + Introducción al procesamiento de datos de nivel medio + Almacenes de datos + Aplicaciones de inteligencia empresarial + Diseño gráfico + CAD/CAM (diseño asistido por ordenador/fabricación asistida por ordenador) + Transcodificación de video + Renderización 3D + Diseño fotorrealista + Streaming de videojuegos + Entrenamiento con modelos de machine learning e inferencia de machine learning Este paquete no se recomienda para las conferencias de audio y vídeo. # Cree una imagen y un paquete personalizados para WorkSpaces piscinas WorkSpaces Pool solo admite imágenes y paquetes de Windows. Si ha lanzado un Windows o WorkSpace lo ha personalizado, puede crear una imagen personalizada y paquetes personalizados a partir de ella. WorkSpace Una *imagen personalizada* contiene solo el sistema operativo, el software y la configuración del WorkSpace. Un *paquete personalizado* es una combinación de esa imagen personalizada y del hardware desde el que se WorkSpace puede lanzar una. Después de crear una imagen personalizada, puede crear un paquete personalizado que combine la imagen personalizada y la configuración de computación y almacenamiento subyacente que seleccione. A continuación, puede especificar este paquete personalizado al lanzar un nuevo paquete WorkSpaces para garantizar que el nuevo WorkSpaces tenga la misma configuración uniforme (hardware y software). Puede utilizar la misma imagen personalizada para crear varios grupos personalizados seleccionando diferentes opciones de computación y almacenamiento para cada grupo. **importante** Los volúmenes de almacenamiento de paquetes personalizados no pueden ser más pequeños que los volúmenes de almacenamiento de imágenes. Los paquetes personalizados cuestan igual que los paquetes públicos desde los que se crean. Para obtener más información sobre los precios, consulta [Amazon WorkSpaces Pricing](https://aws.amazon.com/workspaces/pricing/). **Topics** + [Requisitos para crear imágenes personalizadas de Windows](#pools-windows_custom_image_requirements) + [Prácticas recomendadas](#pools-custom_image_best_practices) + [Paso 1: Ejecutar el comprobador de imágenes](#pools-run_image_checker) + [Paso 2: Crea una imagen personalizada y un paquete personalizado](#pools-create_custom_image_bundle) + [¿Qué se incluye con las imágenes WorkSpaces personalizadas de Windows](#pools-image_creation_windows) ## Requisitos para crear imágenes personalizadas de Windows **nota** Actualmente, Windows define 1 GB como 1.073.741.824 bytes. Debe asegurarse de que tengan más de 12.884.901.888 bytes (o 12 GiB) libres en la unidad C y que el perfil de usuario sea inferior a 10.737.418.240 bytes (o 10 GiB) para crear una imagen de un. WorkSpace + ****El estado de debe estar disponible y su estado de modificación debe ser Ninguno. WorkSpace **** + Todas las aplicaciones y los perfiles de usuario de WorkSpaces las imágenes deben ser compatibles con Microsoft Sysprep. + Todas las aplicaciones que se van a incluir en la imagen deben estar instaladas en la unidad `C`. + Todos los servicios de aplicaciones que se ejecuten en el WorkSpace deben usar una cuenta de sistema local en lugar de las credenciales de usuario del dominio. Por ejemplo, no puede haber una instalación de Microsoft SQL Server Express en ejecución con las credenciales de un usuario del dominio. + No WorkSpace deben estar cifrados. Actualmente, no WorkSpace se admite la creación de imágenes a partir de un archivo cifrado. + Los siguientes componentes son necesarios en una imagen. Sin estos componentes, lo WorkSpaces que inicie desde la imagen no funcionará correctamente. Para obtener más información, consulte [Componentes de configuración y servicio necesarios para WorkSpaces Personal](required-service-components.md). + Windows PowerShell versión 3.0 o posterior + Servicios de Escritorio remoto + AWS Controladores PV + Administración remota de Windows (WinRM) + Agentes y controladores de PCo propiedad intelectual de Teradici + Agentes y controladores de STXHD + AWS y certificados WorkSpaces + Agente de Skylight + WorkSpaces Los grupos solo admiten un tamaño máximo de volumen raíz de paquete o imagen de 200 GB. Al crear una imagen personalizada de Windows, asegúrese de que esté por debajo del tamaño del volumen raíz de 200 GB. ## Prácticas recomendadas Antes de crear una imagen a partir de un WorkSpace, haga lo siguiente: + Utilice una VPC independiente que no esté conectada al entorno de producción. + Implemente el WorkSpace en una subred privada y utilice una instancia de NAT para el tráfico saliente. + Utilice un directorio Simple AD pequeño. + Utilice el tamaño de volumen más pequeño para la fuente y WorkSpace, a continuación, ajústelo según sea necesario al crear el paquete personalizado. + Instale todas las actualizaciones del sistema operativo (excepto las actualizaciones de las características y versiones de Windows) y todas las actualizaciones de las aplicaciones en el. WorkSpace + Elimine los datos en caché de los WorkSpace que no deberían incluirse en el paquete (por ejemplo, el historial del navegador, los archivos en caché y las cookies del navegador). + Elimine los ajustes de configuración WorkSpace que no deberían incluirse en el paquete (por ejemplo, los perfiles de correo electrónico). + Cambie a la configuración de direcciones IP dinámicas que utiliza DHCP. + Asegúrate de no haber superado el límite de WorkSpace imágenes permitido en una región. De forma predeterminada, se permiten 40 WorkSpace imágenes por región. Si ha alcanzado esta cuota, los nuevos intentos de crear una imagen producirán un error. Para solicitar un aumento de la cuota, utilice el [formulario de límites de WorkSpaces ](https://console.aws.amazon.com/support/home#/case/create?issueType=service-limit-increase&limitType=workspaces). + Asegúrate de no intentar crear una imagen a partir de una imagen cifrada WorkSpace. Actualmente, no WorkSpace se admite la creación de imágenes a partir de un archivo cifrado. + Si tienes instalado algún software antivirus en el WorkSpace, desactívalo mientras intentas crear una imagen. + Si tienes un firewall activado WorkSpace, asegúrate de que no bloquee ningún puerto necesario. Para obtener más información, consulte [Requisitos de dirección IP y puerto para WorkSpaces Personal](workspaces-port-requirements.md). + En el caso de Windows WorkSpaces, no configure ningún objeto de política de grupo (GPOs) antes de crear la imagen. + WorkSpacesEn Windows, no personalice el perfil de usuario predeterminado (`C:\Users\Default`) antes de crear una imagen. Se recomienda realizar cualquier personalización en el perfil de usuario y aplicarla después de la creación de la imagen. GPOs GPOs se pueden modificar o revertir fácilmente y, por lo tanto, son menos propensas a errores que las personalizaciones realizadas en el perfil de usuario predeterminado. + Asegúrese de actualizar los controladores de dependencia de la red, como los controladores ENA y PV NVMe, en su WorkSpaces ordenador. Debe hacerlo al menos una vez cada seis meses. Para obtener más información, consulte [Install or upgrade Elastic Network Adapter (ENA) driver ](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/enhanced-networking-ena.html#ena-adapter-driver-install-upgrade-win), [Controladores NVMe de AWS for Windows instances](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/aws-nvme-drivers.html) y [Upgrade PV drivers on Windows instances](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/Upgrading_PV_drivers.html). + Asegúrese de actualizar periódicamente los agentes EC2 Config, EC2 EC2 Launch y Launch V2 a las versiones más recientes. Debe hacerlo al menos una vez cada seis meses. Para obtener más información, consulta [Update EC2 Config and EC2 Launch](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/migrating-latest-types.html#upgdate-ec2config-ec2launch). ## Paso 1: Ejecutar el comprobador de imágenes Para confirmar que su Windows WorkSpace cumple los requisitos para la creación de imágenes, le recomendamos que ejecute la aplicación Image Checker. El comprobador de imágenes realiza una serie de pruebas en la imagen WorkSpace que desee utilizar para crear la imagen y proporciona instrucciones sobre cómo resolver cualquier problema que encuentre. El verificador de imágenes solo está disponible para Windows. WorkSpaces **importante** WorkSpace Debe superar todas las pruebas realizadas por el verificador de imágenes antes de poder utilizarlo para la creación de imágenes. Antes de ejecutar el comprobador de imágenes, compruebe que las últimas actualizaciones acumulativas y de seguridad de Windows estén instaladas en su dispositivo. WorkSpace Para obtener el comprobador de imágenes, realice una de las siguientes acciones: + [Reinicie su. WorkSpace](reboot-workspaces.md) El comprobador de imágenes se descarga automáticamente durante el reinicio y se instala en `C:\Program Files\Amazon\ImageChecker.exe`. + Descarga Amazon WorkSpaces Image Checker desde [https://tools.amazonworkspaces.com/ImageChecker.zip ](https://tools.amazonworkspaces.com/ImageChecker.zip) y extrae el archivo. `ImageChecker.exe` Copie este archivo en `C:\Program Files\Amazon\`. **Para ejecutar el comprobador de imágenes** 1. Abra el archivo `C:\Program Files\Amazon\ImageChecker.exe`. 1. En el cuadro de diálogo **Amazon WorkSpaces Image Checker**, seleccione **Ejecutar**. 1. Tras completarse cada prueba, puede ver el estado de la prueba. Para cualquier prueba con el estado **FAILED (Error)**, elija **Info (Información)** para mostrar información sobre cómo resolver el problema que provocó el error. Para obtener más información acerca de cómo resolver estos problemas, consulte [Sugerencias para resolver problemas detectados por el comprobador de imágenes](#pools-image_checker_tips). Si alguna prueba muestra el estado **WARNING (Advertencia)**, elija el botón **Fix all Warnings (Solucionar todos los mensajes de advertencia)**. La herramienta genera un archivo de registro de salida en el mismo directorio donde está ubicado el comprobador de imágenes. De forma predeterminada, este archivo se encuentra en `C:\Program Files\Amazon\ImageChecker_yyyyMMddhhmmss.log`. No elimine este archivo de registro. Si se produce un problema, este archivo de registro puede ser útil para solucionar problemas. 1. Si procede, resuelva cualquier problema que provoque errores y advertencias en las pruebas y repita el proceso de ejecutar el Image Checker hasta que supere todas las pruebas. WorkSpace Todos los errores y advertencias deben resolverse antes de poder crear una imagen. 1. Una vez WorkSpace superadas todas las pruebas, aparecerá el mensaje **de validación correcta**. Ahora está listo para crear un paquete personalizado. ### Sugerencias para resolver problemas detectados por el comprobador de imágenes Además de consultar las siguientes sugerencias para resolver los problemas detectados por el comprobador de imágenes, asegúrese de revisar el archivo de registro del comprobador de imágenes en `C:\Program Files\Amazon\ImageChecker_yyyyMMddhhmmss.log`. #### PowerShell debe estar instalada la versión 3.0 o posterior Instale la versión más reciente de [Microsoft Windows PowerShell](https://docs.microsoft.com/powershell). **importante** La política de PowerShell ejecución de a WorkSpace debe estar configurada para permitir los **RemoteSigned**scripts. Para comprobar la política de ejecución, ejecute el ExecutionPolicy PowerShell comando **Get-**. Si la política de ejecución no está establecida en **Sin restricciones **RemoteSigned****, ejecute el ExecutionPolicy RemoteSigned comando **Set- ExecutionPolicy —** para cambiar el valor de la política de ejecución. La **RemoteSigned**configuración permite la ejecución de scripts en Amazon WorkSpaces, lo cual es necesario para crear una imagen. #### Solo las unidades C y D pueden estar presentes Solo las `D` unidades `C` and pueden estar presentes en una unidad WorkSpace que se utilice para la generación de imágenes. Elimine todas las demás unidades, incluidas las unidades virtuales. #### No se puede detectar ningún reinicio pendiente debido a las actualizaciones de Windows + El proceso Crear imagen no se puede ejecutar hasta que se haya reiniciado Windows para finalizar la instalación de actualizaciones acumulativas o de seguridad. Reinicie Windows para aplicar estas actualizaciones y asegúrese de que no sea necesario instalar otras actualizaciones acumulativas o de seguridad de Windows pendientes. + La creación de imágenes no es compatible con los sistemas Windows 10 que se han actualizado de una versión de Windows 10 a una versión más reciente de Windows 10 (una feature/version actualización de Windows). Sin embargo, el proceso de WorkSpaces creación de imágenes admite las actualizaciones acumulativas o de seguridad de Windows. #### El archivo Sysprep debe existir y no puede estar en blanco Si hay problemas con su archivo Sysprep, póngase en contacto con el [AWS Support Centro para reparar](https://console.aws.amazon.com/support/home#/) su EC2 Config o EC2 Launch. #### El tamaño del perfil de usuario debe ser inferior a 10 GB Para Windows 7 WorkSpaces, el perfil de usuario (`D:\Users\username`) debe tener menos de 10 GB en total. Elimine los archivos según sea necesario para reducir el tamaño del perfil de usuario. #### La unidad C debe tener suficiente espacio libre Para Windows 7 WorkSpaces, debe tener al menos 12 GB de espacio libre en el disco`C`. Elimine los archivos según sea necesario para liberar espacio en la unidad `C`. En Windows 10 WorkSpaces, omítelo si recibe un `FAILED` mensaje y el espacio en disco es superior a 2 GB. #### No se puede ejecutar ningún servicio en una cuenta de dominio Para ejecutar el proceso de creación de imagen, ningún servicio de la misma WorkSpace puede ejecutarse en una cuenta de dominio. Todos los servicios deben ejecutarse en una cuenta local. **Para ejecutar servicios en una cuenta local** 1. Abra `C:\Program Files\Amazon\ImageChecker_yyyyMMddhhmmss.log` y busque la lista de servicios que se ejecutan en una cuenta de dominio. 1. En el cuadro de búsqueda de Windows, escriba **services.msc** para abrir el Administrador de servicios de Windows. 1. En **Iniciar sesión como**, busque los servicios que se ejecutan en cuentas de dominio. (Los servicios que se ejecutan como **Sistema local**, **Servicio local** o **Servicio de red** no interfieren con la creación de imágenes). 1. Seleccione un servicio que se esté ejecutando en una cuenta de dominio y, a continuación, elija **Acción**, **Propiedades**. 1. Abra la pestaña **Iniciar sesión**. En **Iniciar sesión como**, elija **Cuenta de sistema local**. 1. Seleccione **Aceptar**. #### WorkSpace Debe estar configurado para usar DHCP Debe configurar todos los adaptadores de red del WorkSpace para que utilicen DHCP en lugar de direcciones IP estáticas. **Para configurar todos los adaptadores de red para utilizar DHCP** 1. En el cuadro de búsqueda de Windows, escriba **control panel** para abrir el Panel de control. 1. Elija **Redes e Internet**. 1. Elija **Centro de redes y recursos compartidos**. 1. Elija **Cambiar configuración del adaptador** y seleccione un adaptador. 1. Elija **Cambiar la configuración de esta conexión**. 1. **En la pestaña **Redes**, seleccione el **Protocolo de Internet versión 4 (TCP/IPv4)** y, a continuación, elija Propiedades.** 1. En el cuadro de diálogo **Propiedades del Protocolo de Internet versión 4 (TCP/IPv4)**, seleccione **Obtener una dirección IP automáticamente**. 1. Seleccione **Aceptar**. 1. Repita este proceso para todos los adaptadores de red del. WorkSpace #### Los servicios de Escritorio remoto deben estar habilitados El proceso Crear imagen requiere que los servicios de Escritorio remoto estén habilitados. **Para habilitar Servicios de Escritorio remoto** 1. En el cuadro de búsqueda de Windows, escriba **services.msc** para abrir el Administrador de servicios de Windows. 1. En la columna **Nombre**, busque **Servicios de Escritorio remoto**. 1. Seleccione **Servicios de Escritorio remoto** y, a continuación, elija **Acción**, **Propiedades**. 1. En la pestaña **General**, para **Tipo de inicio**, elija **Manual** o **Automático**. 1. Seleccione **Aceptar**. #### Debe existir un perfil de usuario El WorkSpace que utilices para crear imágenes debe tener un perfil de usuario (`D:\Users\username`). Si esta prueba produce un error, póngase en contacto con el [Centro de AWS Support](https://console.aws.amazon.com/support/home#/) para obtener ayuda. #### La ruta de la variable de entorno debe estar configurada correctamente Faltan entradas para System32 y Windows PowerShell en la ruta de la variable de entorno de la máquina local. Estas entradas son necesarias para que se ejecute Crear imagen. **Para configurar la ruta de la variable de entorno** 1. En el cuadro de búsqueda de Windows, escriba **environment variables** y después elija **Editar las variables de entorno del sistema**. 1. En el cuadro de diálogo **Propiedades del sistema**, abra la pestaña **Avanzadas** y elija **Variables de entorno**. 1. En el cuadro de diálogo **Variables de entorno**, en **Variables de sistema**, seleccione la entrada **Ruta** y, a continuación, elija **Editar**. 1. Elija **Nueva** y agregue la siguiente ruta: `C:\Windows\System32` 1. Vuelva a elegir **Nueva** y agregue la siguiente ruta: `C:\Windows\System32\WindowsPowerShell\v1.0\` 1. Seleccione **Aceptar**. 1. Reinicie el WorkSpace. **sugerencia** El orden en que aparecen los elementos en la ruta de la variable de entorno es importante. Para determinar el orden correcto, puede que desee comparar la ruta de su variable de entorno WorkSpace con la de una instancia de Windows recién creada WorkSpace o nueva. #### El instalador de módulos de Windows debe estar habilitado El proceso Crear imagen requiere que el servicio Instalador de módulos de Windows esté habilitado. **Para habilitar el servicio Instalador de módulos de Windows** 1. En el cuadro de búsqueda de Windows, escriba **services.msc** para abrir el Administrador de servicios de Windows. 1. En la columna **Nombre**, busque **Instalador de módulos de Windows**. 1. Seleccione **Instalador de módulos de Windows** y, a continuación, elija **Acción**, **Propiedades**. 1. En la pestaña **General**, para **Tipo de inicio**, elija **Manual** o **Automático**. 1. Seleccione **Aceptar**. #### El agente de Amazon SSM debe estar deshabilitado El proceso Crear imagen requiere que el servicio del agente de Amazon SSM esté deshabilitado. **Para desactivar el servicio del agente de Amazon SSM** 1. En el cuadro de búsqueda de Windows, escriba **services.msc** para abrir el Administrador de servicios de Windows. 1. En la columna **Nombre**, busque **Agente de Amazon SSM**. 1. Seleccione **Agente de Amazon SSM** y, a continuación, elija **Acción**, **Propiedades**. 1. En la pestaña **General**, para **Tipo de inicio**, elija **Deshabilitado**. 1. Seleccione **Aceptar**. #### SSL3 y la versión 1.2 de TLS debe estar habilitada Para configurar SSL/TLS para Windows, consulte [Cómo habilitar TLS 1.2](https://docs.microsoft.com/configmgr/core/plan-design/security/enable-tls-1-2) en la documentación de Microsoft Windows. #### Solo puede existir un perfil de usuario en WorkSpace Solo puede haber un perfil WorkSpaces de usuario (`D:\Users\username`) en el WorkSpace que estás utilizando para crear las imágenes. Elimine cualquier perfil de usuario que no pertenezca al usuario previsto del WorkSpace. Para que la creación de imágenes funcione, solo WorkSpace puede tener tres perfiles de usuario: + El perfil de usuario del usuario previsto de WorkSpace (`D:\Users\username`) + El perfil de usuario predeterminado (también conocido como perfil predeterminado) + El perfil de usuario administrador Si hay perfiles de usuario adicionales, puede eliminarlos a través de las propiedades avanzadas del sistema en el Panel de control de Windows. **Para eliminar un perfil de usuario** 1. Para acceder a las propiedades avanzadas del sistema, siga uno de estos procedimientos: + Pulse la **tecla de Windows\$1Pausa Inter** y, a continuación, elija **Configuración avanzada del sistema** en el panel izquierdo del cuadro de diálogo **Panel de control** > **Sistema y seguridad** > **Sistema**. + En el cuadro de búsqueda de Windows, escriba **control panel**. En el Panel de control, elija **Sistema y seguridad**, después elija Sistema y, a continuación, elija **Configuración avanzada del sistema** en el panel izquierdo del cuadro de diálogo **Panel de control** > **Sistema y seguridad** > **Sistema**. 1. En el cuadro de diálogo **Propiedades del sistema**, en la pestaña **Avanzadas**, elija **Configuración** en **Perfiles de usuario**. 1. Si aparece algún perfil distinto del perfil de administrador, el perfil predeterminado y el perfil del WorkSpaces usuario previsto, seleccione ese perfil adicional y pulse **Eliminar**. 1. Cuando se le pregunte si desea eliminar el perfil, elija **Sí**. 1. Si es necesario, repita los pasos 3 y 4 para eliminar cualquier otro perfil que no pertenezca al WorkSpace. 1. Elija **Aceptar** dos veces y cierre el Panel de control. 1. Reinicie el WorkSpace. #### Ningún paquete de AppX puede estar en un estado por etapas Uno o más paquetes de AppX están en un estado por etapas. Esto puede provocar un error de Sysprep durante la creación de la imagen. **Para eliminar todos los paquetes de AppX por etapas** 1. En el cuadro de búsqueda de Windows, escriba **powershell**. Seleccione **Ejecutar como administrador**. 1. Cuando se le pregunte "¿Desea permitir que esta aplicación realice cambios en su dispositivo?", elija **Sí**. 1. En la PowerShell ventana de Windows, introduzca los siguientes comandos para obtener una lista de todos los paquetes de AppX preparados y pulse Entrar después de cada uno de ellos. ``` $workSpaceUserName = $env:username ``` ``` $allAppxPackages = Get-AppxPackage -AllUsers ``` ``` $packages = $allAppxPackages | Where-Object { ` (($_.PackageUserInformation -like "*S-1-5-18*" -and !($_.PackageUserInformation -like "*$workSpaceUserName*")) -and ` ($_.PackageUserInformation -like "*Staged*" -or $_.PackageUserInformation -like "*Installed*")) -or ` ((!($_.PackageUserInformation -like "*S-1-5-18*") -and $_.PackageUserInformation -like "*$workSpaceUserName*") -and ` $_.PackageUserInformation -like "*Staged*") } ``` 1. Ejecute el siguiente comando con privilegios de SISTEMA elevados para eliminar todas las entradas de aprovisionamiento de paquetes de AppX por etapas y pulse Entrar. ``` $packages | Remove-AppxPackage -ErrorAction SilentlyContinue ``` 1. Vuelva a ejecutar el comprobador de imágenes. Si esta prueba sigue produciendo un error, escriba los siguientes comandos para eliminar todos los paquetes de AppX y pulse Intro después de cada uno. ``` Get-AppxProvisionedPackage -Online | Remove-AppxProvisionedPackage -Online -ErrorAction SilentlyContinue ``` ``` Get-AppxPackage -AllUsers | Remove-AppxPackage -ErrorAction SilentlyContinue ``` #### Windows no se debe haber actualizado desde una versión anterior La creación de imágenes no es compatible con los sistemas Windows que se han actualizado de una versión de Windows 10 a una versión más reciente de Windows 10 (una feature/version actualización de Windows). Para crear imágenes, utilice una WorkSpace que no se haya actualizado a feature/version Windows. #### El recuento de rearmados de Windows no debe ser 0 La característica "rearmar" le permite ampliar el periodo de activación de la versión de prueba de Windows. El proceso Crear imagen requiere que el recuento de rearmados sea un valor distinto de 0. **Para comprobar el recuento de rearmados de Windows** 1. En el menú **Inicio** de Windows, elija **Sistema de Windows**, y, a continuación, elija **Símbolo del sistema**. 1. En la ventana del símbolo del sistema, escriba el siguiente comando y, a continuación, pulse Intro. `cscript C:\Windows\System32\slmgr.vbs /dlv` Para restablecer el recuento de rearmados en un valor distinto de 0, consulte [Ejecutar Sysprep (Generalize) en una instalación de Windows](https://docs.microsoft.com/windows-hardware/manufacture/desktop/sysprep--generalize--a-windows-installation) en la documentación de Microsoft Windows. #### Sugerencias adicionales para la solución de problemas Si WorkSpace superas todas las pruebas realizadas por el Image Checker, pero sigues sin poder crear una imagen a partir de él WorkSpace, comprueba los siguientes problemas: + Asegúrese de que WorkSpace no esté asignado a un usuario de un grupo de **invitados del dominio**. Para comprobar si hay cuentas de dominio, ejecuta el siguiente PowerShell comando. ``` Get-WmiObject -Class Win32_Service | Where-Object { $_.StartName -like "*$env:USERDOMAIN*" } ``` + Algunos objetos de política de grupo (GPOs) restringen el acceso a la huella digital del certificado RDP cuando lo solicitan el servicio EC2 Config o los scripts de EC2 lanzamiento durante la configuración de la instancia de Windows. Antes de intentar crear una imagen, muévela WorkSpace a una nueva unidad organizativa (OU) cuya herencia esté bloqueada y no GPOs se haya aplicado. + Asegúrese de que el servicio Administración remota de Windows (WinRM) está configurado para iniciarse automáticamente. Haga lo siguiente: 1. En el cuadro de búsqueda de Windows, escriba `services.msc` para abrir el Administrador de servicios de Windows. 1. En la columna **Nombre**, busque **Administración remota de Windows (WS-Management)**. 1. Seleccione **Administración remota de Windows (WS-Management)** y, a continuación, elija **Acción** y **Propiedades**. 1. En la pestaña **General**, para **Tipo de inicio**, elija **Automático**. 1. Seleccione **Aceptar**. ## Paso 2: Crea una imagen personalizada y un paquete personalizado Una vez validada la WorkSpace imagen, complete el siguiente procedimiento para crear la imagen y el paquete personalizados mediante la WorkSpaces consola. Para crear una imagen mediante programación, utilice la acción de la CreateWorkspaceImage API. Para obtener más información, consulta [ CreateWorkspaceImage](https://docs.aws.amazon.com/workspaces/latest/api/API_CreateWorkspaceImage.html)la *referencia de la WorkSpaces API de Amazon*. Para eliminar un paquete mediante programación, utilice la acción de la API **CreateWorkspaceBundle**. Para obtener más información, consulta [ CreateWorkspaceBundle](https://docs.aws.amazon.com/workspaces/latest/api/API_CreateWorkspaceBundle.html)la *referencia de la WorkSpaces API de Amazon*. **Para crear una imagen personalizada y un paquete personalizado mediante la WorkSpaces consola** 1. Si todavía está conectado a WorkSpace, desconéctese seleccionando **Amazon WorkSpaces** y **Disconnect** en la aplicación WorkSpaces cliente. 1. Abre la WorkSpaces consola en la [https://console.aws.amazon.com/workspaces/versión 2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. En el panel de navegación, elija **WorkSpaces**. 1. Seleccione WorkSpace para abrir su página de detalles y elija **Crear** imagen. Si el estado de WorkSpace es **Detenido**, debe iniciarlo primero (elija **Acciones**, **Iniciar WorkSpaces**) antes de poder elegir **Acciones**, **Crear imagen**. 1. Aparece un mensaje en el que se le pide que reinicie (reinicie) el suyo WorkSpace antes de continuar. Al reiniciar, se WorkSpace actualiza el WorkSpaces software de Amazon a la última versión. Reinicie el suyo WorkSpace cerrando el mensaje y siguiendo los pasos que se indican. [Reinicio de un escritorio de WorkSpaces en WorkSpaces Personal](reboot-workspaces.md) Cuando haya terminado, repita el [Step 4](create-custom-bundle.md#step_create_image) de este procedimiento, pero esta vez elija **Siguiente** cuando aparezca el mensaje de reinicio. Para crear una imagen, el estado de la imagen WorkSpace debe estar **disponible** y su estado de modificación debe ser **Ninguno**. 1. Escriba un nombre y una descripción de la imagen que le ayuden a identificarla y, a continuación, elija **Create Image (Crear imagen)**. Mientras se crea la imagen, el estado de WorkSpace es **Suspendido** y no WorkSpace está disponible. No utilice el carácter especial de guión (`-`) en la descripción. Se producirá un error. 1. En el panel de navegación, elija **Images**. La imagen estará completa cuando el estado de la imagen WorkSpace cambie a **Disponible** (esto puede tardar hasta 45 minutos). 1. Seleccione la imagen y elija **Acciones**, **Crear paquete**. 1. Introduzca un nombre y una descripción para el paquete y, a continuación, haga lo siguiente: + En el **tipo de hardware del paquete**, elija el hardware que se utilizará al iniciar el WorkSpaces juego desde este paquete personalizado. + Las combinaciones de tamaños disponibles por defecto para el volumen raíz son de 200 GB cada una WorkSpace. 1. Para confirmar que el paquete se ha creado, seleccione **Paquetes** y compruebe que el paquete aparezca en la lista. ## ¿Qué se incluye con las imágenes WorkSpaces personalizadas de Windows Al crear una imagen desde un dispositivo Windows WorkSpace, se incluye todo el contenido de la `C` unidad. + Contactos + Descargas + Música + Imágenes + Juegos guardados + Videos + Podcasts + Máquinas virtuales + .virtualbox + Tracing + appdata\$1local\$1temp + appdata\$1roaming\$1apple computer\$1mobilesync\$1 + appdata\$1roaming\$1apple computer\$1logs\$1 + appdata\$1roaming\$1apple computer\$1itunes\$1iphone software updates\$1 + appdata\$1roaming\$1macromedia\$1flash player\$1macromedia.com\$1support\$1flashplayer\$1sys\$1 + appdata\$1roaming\$1macromedia\$1flash player\$1\$1sharedobjects\$1 + appdata\$1roaming\$1adobe\$1flash player\$1assetcache\$1 + appdata\$1roaming\$1microsoft\$1windows\$1recent\$1 + appdata\$1roaming\$1microsoft\$1office\$1recent\$1 + appdata\$1roaming\$1microsoft office\$1live meeting + appdata\$1roaming\$1microsoft shared\$1livemeeting shared\$1 + appdata\$1roaming\$1mozilla\$1firefox\$1crash reports\$1 + appdata\$1roaming\$1mcafee\$1common framework\$1 + appdata\$1local\$1microsoft\$1feeds cache + appdata\$1local\$1microsoft\$1windows\$1temporary internet files\$1 + appdata\$1local\$1microsoft\$1windows\$1history\$1 + appdata\$1local\$1microsoft\$1internet explorer\$1domstore\$1 + appdata\$1local\$1microsoft\$1internet explorer\$1imagestore\$1 + appdata\$1locallow\$1microsoft\$1internet explorer\$1iconcache\$1 + appdata\$1locallow\$1microsoft\$1internet explorer\$1domstore\$1 + appdata\$1locallow\$1microsoft\$1internet explorer\$1imagestore\$1 + appdata\$1local\$1microsoft\$1internet explorer\$1recovery\$1 + appdata\$1local\$1mozilla\$1firefox\$1profiles\$1 # Administra imágenes y paquetes personalizados para piscinas WorkSpaces El proceso de administración de imágenes y paquetes personalizados es el mismo entre WorkSpaces Personal y WorkSpaces Pool. Para obtener más información sobre cómo administrar las imágenes y los paquetes, consulte la siguiente documentación en la sección WorkSpaces Personal de esta guía: **nota** La principal diferencia entre los paquetes personalizados que puedes usar para WorkSpaces Personal y los que puedes usar para WorkSpaces Pool es el sistema operativo y el paquete público básico que se puede usar. Para ver los sistemas operativos y los paquetes compatibles con WorkSpaces Pool, consulte. [ WorkSpaces Paquetes de piscinasPaquetes Más información sobre los paquetes de WorkSpaces piscinas. Un *WorkSpace paquete* es una combinación de un sistema operativo y recursos de almacenamiento, cómputo y software. Al lanzar un paquete WorkSpace, selecciona el paquete que mejor se adapte a sus necesidades. Los paquetes predeterminados para los que están disponibles WorkSpaces se denominan *paquetes públicos*. Para obtener más información sobre los distintos paquetes públicos disponibles WorkSpaces, consulta [Amazon WorkSpaces Bundles](https://aws.amazon.com/workspaces/details/#Amazon_WorkSpaces_Bundles). En la siguiente tabla se proporciona información sobre las licencias, los protocolos de transmisión y los paquetes compatibles con cada sistema operativo. | Sistema operativo | Licencias | Protocolos de transmisión | Paquetes compatibles | | --- | --- | --- | --- | | Windows Server 2019 | Incluido | DCV | Valor, estándar, rendimiento, potencia, PowerPro | | Windows Server 2022 | Incluido | DCV | Estándar, rendimiento, potencia, gráficos. PowerPro G4dn, .G4dn GraphicsPro | No se garantiza que las versiones del sistema operativo que el vendedor ya no admite funcionen ni cuentan con soporte técnico. AWS ](instance-types.md#instance-types.title) + [Actualización de un paquete personalizado en WorkSpaces Personal](update-custom-bundle.md). + [Copiar una imagen personalizada en WorkSpaces Personal](copy-custom-image.md). + [Cómo compartir o dejar de compartir una imagen personalizada en WorkSpaces Personal](share-custom-image.md). + [Eliminación de un paquete o imagen personalizados en WorkSpaces Personal](delete_bundle.md). # Uso de scripts de sesión para administrar la experiencia de transmisión de los usuarios WorkSpaces Pool proporciona scripts de sesión en la instancia. Puede utilizar estas secuencias de comandos para ejecutar sus propias secuencias de comandos personalizados cuando se produzcan eventos específicos en las sesiones de transmisión. Por ejemplo, puede usar scripts personalizados para preparar el entorno de WorkSpaces Pools antes de que comiencen las sesiones de streaming de sus usuarios. También puede usar secuencias de comandos personalizados para limpiar las instancias de transmisión después de que los usuarios hayan finalizado las sesiones de transmisión. Los scripts de sesión se especifican dentro de una WorkSpace imagen. Estos scripts se ejecutan en el contexto del usuario o del sistema. Si los scripts de sesión utilizan la salida estándar para escribir los mensajes de información, error o depuración, estos se pueden guardar, si lo desea, en un bucket de Amazon S3 de su cuenta de Amazon Web Services. **Topics** + [Ejecución de scripts antes de que empiecen las sesiones de streaming](#run-scripts-before-streaming-sessions-begin) + [Ejecución de scripts después de finalizar las sesiones de streaming](#run-scripts-after-streaming-sessions-end) + [Creación y especificación de scripts de sesión](#create-specify-session-scripts) + [Archivo de configuración de scripts de sesión](#session-script-configuration-file) + [Uso de PowerShell archivos de Windows](#using-powershell-files-with-session-scripts) + [Registro de la salida de los scripts de sesión](#logging-session-output) + [Uso del almacenamiento persistente con los scripts de sesión](#use-storage-connectors-with-session-scripts) + [Habilitación del almacenamiento en buckets de Amazon S3 de los registros de los scripts de sesión](#enable-S3-bucket-storage-session-script-logs) ## Ejecución de scripts antes de que empiecen las sesiones de streaming Puede configurar los scripts para que se ejecuten durante un máximo de 60 segundos antes de se lancen las aplicaciones de los usuarios y empiecen las sesiones de streaming. Esto le permite personalizar el entorno de WorkSpaces Pools antes de que los usuarios comiencen a transmitir sus aplicaciones. Cuando se ejecutan scripts de sesión, aparece un rotador de carga a los usuarios. Cuando los scripts finalizan correctamente o transcurre el tiempo de espera máximo, empieza la sesión de streaming de los usuarios. Si los scripts no se completan correctamente, se muestra un mensaje de error para los usuarios. Sin embargo, no se impide a los usuarios que usen la sesión de streaming. Cuando se especifica un nombre de archivo en una instancia de Windows, debe utilizar una doble barra oblicua inversa. Por ejemplo: ``` C:\\Scripts\\Myscript.bat ``` Si no utiliza una doble barra oblicua inversa, aparecerá un mensaje de error para informarle de que el archivo `.json` no tiene el formato correcto. **nota** Cuando los scripts finalizan correctamente, deben devolver un valor de 0. Si los scripts devuelven un valor distinto de 0, WorkSpaces muestra el mensaje de error al usuario. Al ejecutar scripts antes de que comiencen las sesiones de transmisión, tiene lugar el siguiente proceso: 1. Los usuarios se conectan a un WorkSpace WorkSpaces grupo que no está unido a un dominio. Se conectan mediante SAML 2.0. 1. Tiene lugar uno de los siguientes procesos: + Si está habilitada la persistencia de la configuración de las aplicaciones para los usuarios, se descarga y monta el archivo VHD (disco duro virtual) de configuración de la aplicación, en el que se almacenan las personalizaciones y los ajustes de Windows de los usuarios. En este caso se requiere un inicio de sesión de usuario de Windows. Para obtener información sobre la persistencia de la configuración de las aplicaciones, consulte [Habilite la persistencia de la configuración de la aplicación para los usuarios de sus WorkSpaces grupos](app-settings-persistence.md). + Si la persistencia de la configuración de las aplicaciones no está habilitada, el usuario de Windows ya ha iniciado sesión. 1. Se inician los scripts de sesión. Si el almacenamiento persistente está habilitado para los usuarios, también comienza el montaje del conector de almacenamiento. Para obtener más información acerca del almacenamiento persistente, consulte [Habilitar y administrar el almacenamiento persistente para WorkSpaces grupos](persistent-storage.md). **nota** No es preciso que haya finalizado el montaje del conector de almacenamiento para que se inicie la sesión de streaming. Si los scripts de sesión finalizan antes que el montaje del conector de almacenamiento, se inicia la sesión de streaming. Para obtener información acerca de la monitorización del estado del montaje de los conectores de almacenamiento, consulte [Uso del almacenamiento persistente con los scripts de sesión](#use-storage-connectors-with-session-scripts). 1. Los scripts de sesión finalizan o se agota el tiempo de espera. 1. Se inicia la sesión de streaming de los usuarios. ## Ejecución de scripts después de finalizar las sesiones de streaming También puede configurar los scripts para que se ejecuten después de que finalicen las sesiones de streaming. Por ejemplo, puede ejecutar un script cuando los usuarios seleccionen **Finalizar sesión** en la barra de herramientas del WorkSpaces cliente o cuando alcancen la duración máxima permitida para la sesión. También puede usar estos scripts de sesión para limpiar el entorno de WorkSpaces antes de que termine una instancia de streaming. Por ejemplo, puede usar scripts para liberar los bloqueos de archivos o cargar los archivos de registro. Cuando se ejecutan scripts después de que finalicen las sesiones de streaming, tiene lugar el siguiente proceso: 1. Finaliza la sesión WorkSpaces de streaming de tus usuarios. 1. Se inician los scripts de finalización de sesión. 1. Los scripts de finalización de sesión finalizan o se agota el tiempo de espera. 1. Se produce el cierre de sesión del usuario de Windows. 1. En paralelo, se produce uno de los siguientes casos o ambos, si procede: + Si está habilitada la persistencia de la configuración de las aplicaciones para los usuarios, se desmonta y se carga a un bucket de Amazon S3 de la cuenta el archivo VHD de configuración de la aplicación, en el que se almacenan las personalizaciones y los ajustes de Windows de los usuarios. + Si el almacenamiento persistente está habilitado para los usuarios, el conector de almacenamiento lleva a cabo una sincronización final y se desmonta. 1. WorkSpace Se da por finalizada. ## Creación y especificación de scripts de sesión Complete el siguiente procedimiento para crear y especificar los scripts de sesión para WorkSpaces In a WorkSpaces Pool. 1. Conéctese a la ventana WorkSpaces desde la que va a crear una imagen personalizada. 1. Cree el directorio `/AWSEUC/SessionScripts` si aún no existe. 1. Cree un archivo de configuración `/AWSEUC/SessionScripts/config.json` si aún no existe, mediante la [plantilla de configuración del script de sesión](https://docs.aws.amazon.com/workspaces/latest/adminguide/pools-images-session-scripts.html#session-script-configuration-file). 1. Navegue hasta `C:\AWSEUC\SessionScripts` y abra el archivo de configuración `config.json`. Para obtener información acerca de los parámetros de los scripts de sesión, consulte [Archivo de configuración de scripts de sesión](#session-script-configuration-file). 1. Una vez que haya terminado de realizar cambios, guarde y cierre el archivo `config.json`. 1. Complete los pasos para crear una imagen a partir de WorkSpace. Para obtener más información, consulte [Cree una imagen y un paquete personalizados para WorkSpaces piscinas](pools-images-custom-image.md). ## Archivo de configuración de scripts de sesión Para localizar el archivo de configuración de los scripts de sesión en una instancia de Windows, vaya a `C:\AWSEUC\SessionScripts\config.json`. El archivo tiene el formato siguiente. **nota** El archivo de configuración tiene formato JSON. Compruebe que cualquier texto que escriba en este archivo esté en formato JSON válido. ``` { "SessionStart": { "executables": [ { "context": "system", "filename": "", "arguments": "", "s3LogEnabled": true }, { "context": "user", "filename": "", "arguments": "", "s3LogEnabled": true } ], "waitingTime": 30 }, "SessionTermination": { "executables": [ { "context": "system", "filename": "", "arguments": "", "s3LogEnabled": true }, { "context": "user", "filename": "", "arguments": "", "s3LogEnabled": true } ], "waitingTime": 30 } } ``` Puede utilizar los siguientes parámetros en el archivo de configuración de scripts de sesión. **`SessionStart/SessionTermination `** Los scripts de sesión que se ejecutarán en el evento de sesión apropiado basados en el nombre del objeto. **Tipo**: cadena **Obligatorio**: no **Valores permitidos:** **SessionStart**, **SessionTermination** **`WaitingTime`** La duración máxima de los scripts de sesión, en segundos. **Tipo**: entero **Obligatorio**: no **Restricciones:** la duración máxima es de 60 segundos. Si los scripts de sesión no han finalizado antes de cumplirse este plazo, se detendrán. Si necesita un script para continuar con la ejecución, láncelo como un proceso independiente. **`Executables`** Los detalles para ejecutar los scripts de sesión. **Tipo:** cadena **Obligatorio**: sí **Restricciones:** el número máximo de scripts que se pueden ejecutar por evento de sesión es de 2 (uno para el contexto del usuario y otro para el contexto del sistema). **`Context`** El contexto en el que se ejecutará el script de sesión. **Tipo:** cadena **Obligatorio**: sí **Valores permitidos:** **user**, **system** **`Filename`** La ruta completa del script de sesión que se ejecutará. Si no se especifica este parámetro, el script de sesión no se ejecuta. **Tipo:** cadena **Obligatorio**: no **Restricciones:** la longitud máxima del nombre de archivo y su ruta completa es de 1000 caracteres. **Valores permitidos:** **.bat**, **.exe** y **.sh** También puede utilizar PowerShell archivos de Windows. Para obtener más información, consulte [Uso de PowerShell archivos de Windows](#using-powershell-files-with-session-scripts). **`Arguments`** Los argumentos del script de sesión o del archivo ejecutable. **Tipo:** cadena **Obligatorio**: no **Limitaciones de longitud:** la longitud máxima de 1000 caracteres. **`S3LogEnabled`** Cuando el valor de este parámetro se establece en **True**, se crea un bucket de S3 dentro de la cuenta de Amazon Web Services para almacenar los registros creados por el script de sesión. De forma predeterminada, este valor se establece en **True**. Para obtener más información, consulte la sección *Registro de la salida de los scripts de sesión* más adelante en este tema. **Tipo**: Booleano **Obligatorio**: no **Valores permitidos:** **True**, **False** ## Uso de PowerShell archivos de Windows Para usar PowerShell archivos de Windows, especifique la ruta completa al PowerShell archivo en el `filename` parámetro: ``` "filename": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe", ``` A continuación, especifique el script de sesión en el parámetro **arguments**: ``` "arguments": "-File \"C:\\path\\to\\session\\script.ps1\"", ``` Por último, compruebe que la política de PowerShell ejecución permita que el PowerShell archivo se ejecute. ## Registro de la salida de los scripts de sesión Cuando esta opción está habilitada en el archivo de configuración, WorkSpaces Pool captura automáticamente el resultado del script de sesión que se escribe en la salida estándar. Esta salida se carga en un bucket de Amazon S3 de la cuenta. Puede revisar los archivos de registro con fines de solución de problemas o depuración. **nota** Los archivos de registro se cargan cuando el script de sesión devuelve un valor o cuando transcurre el tiempo establecido en **WaitingTime**, lo que ocurra primero. ## Uso del almacenamiento persistente con los scripts de sesión Cuando el almacenamiento WorkSpaces persistente está activado, el almacenamiento comienza a montarse cuando se ejecutan los scripts de inicio de sesión. Si el script depende del montaje del almacenamiento persistente, puede esperar a que los conectores estén disponibles. WorkSpaces mantiene el estado de montaje de los conectores de almacenamiento del registro de Windows en Windows WorkSpaces, en la siguiente clave: ``` HKEY_LOCAL_MACHINE\SOFTWARE\Amazon\AWSEUC\Storage\\ ``` Los valores de la clave del registro son los siguientes: + Nombre de usuario proporcionado: el ID de usuario proporcionado a través del modo de acceso. Los modos de acceso y el valor de cada uno de ellos son los siguientes: + Grupo de usuarios: la dirección de correo electrónico del usuario + URL de streaming: el valor de UserID + SAML: el valor de NameID Si el nombre de usuario incluye una barra (por ejemplo, el SAMAccount nombre de un usuario de dominio), la barra se sustituye por un carácter «-». + Conector de almacenamiento: el conector de la opción de almacenamiento persistente que se ha habilitado para el usuario. Los valores del conector de almacenamiento son los siguientes: + HomeFolder Cada clave de registro del conector de almacenamiento contiene un valor **MountStatus**DWORD. En la siguiente tabla se enumeran los valores posibles de **MountStatus**. **nota** Para ver estas claves del Registro, debe tener Microsoft .NET Framework versión 4.7.2 o posterior instalado en la imagen. | Valor | Description (Descripción) | | --- | --- | | 0 | El conector de almacenamiento no se ha habilitado para este usuario | | 1 | El montaje del conector de almacenamiento está en curso | | 2 | El conector de almacenamiento se ha montado correctamente | | 3 | Se ha producido un error al montar el conector de almacenamiento | | 4 | El montaje del conector de almacenamiento está habilitado, pero aún no está montado | ## Habilitación del almacenamiento en buckets de Amazon S3 de los registros de los scripts de sesión Cuando habilita el registro de Amazon S3 en la configuración del script de sesión, WorkSpaces Pool captura el resultado estándar del script de sesión. La salida se carga periódicamente en un bucket de S3 de la cuenta de Amazon Web Services. Para cada AWS región, WorkSpaces Pool crea un segmento en su cuenta que es exclusivo para su cuenta y la región. No es necesario realizar ninguna tarea de configuración para administrar estos buckets de S3. El WorkSpaces servicio los gestiona en su totalidad. Los archivos de registro que se almacenan en cada bucket se cifran en tránsito mediante puntos de enlace SSL de Amazon S3 y en reposo, mediante claves de cifrado administradas por Amazon S3. Los nombres de los buckets siguen el formato específico que se indica a continuación: ``` wspool-logs---random-identifier ``` **``** Este es el código de AWS región en el que se crea el WorkSpaces pool con el almacenamiento en bucket de Amazon S3 habilitado para los registros de scripts de sesión. **``** Su identificador de cuenta de Amazon Web Services. El ID aleatorio garantiza que no haya ningún conflicto con otros buckets en esa región. La primera parte del nombre del bucket, `wspool-logs`, no cambia entre cuentas o regiones. Por ejemplo, si especifica los scripts de sesión en una imagen de la región EE.UU. Oeste (Oregón) (`us-west-2`) en el número de cuenta`123456789012`, WorkSpaces Pool crea un bucket de Amazon S3 en su cuenta de esa región con el nombre que se muestra. Este bucket solo lo puede eliminar un administrador con permisos suficientes. ``` wspool-logs-us-west-2-1234567890123-abcdefg ``` Al deshabilitar scripts de sesión, no se eliminarán los archivos de registro almacenados en el bucket de S3. Para eliminar permanentemente los archivos de registro, usted u otro administrador con los permisos adecuados deben hacerlo mediante la consola o la API de Amazon S3. WorkSpaces Pools añade una política de bucket que evita la eliminación accidental del bucket. Cuando se habilitan los scripts de sesión, se crea una carpeta única para cada sesión de streaming que se inicia. La ruta de la carpeta donde se almacenan los archivos de registro en el bucket de S3 en la cuenta utiliza la siguiente estructura: ``` //////SessionScriptsLogs/ ``` ****** El nombre del bucket de S3 en el que se almacenan los scripts de sesión. El formato del nombre se describe anteriormente en esta sección. ****** El nombre de la pila de la que procede la sesión. ****** El nombre del WorkSpaces grupo en el que se ejecuta el script de la sesión. ****** El método de identidad del usuario: `custom` para la WorkSpaces API o la CLI, `federated` para SAML y `userpool` para los usuarios del grupo de usuarios. ****** El nombre de carpeta específico del usuario. Este nombre se ha creado utilizando una cadena hexadecimal con hasta SHA-256 en minúsculas generada a partir del identificador de usuario. ****** El identificador de la sesión de streaming del usuario. Cada sesión de streaming del usuario genera un identificador único. ****** El evento que generó el registro de script de sesión. Los valores del evento son: `SessionStart` y `SessionTermination`. La siguiente estructura de carpetas de ejemplo se aplica a una sesión de streaming que se inicia desde la pila de prueba y la flota de prueba. La sesión utiliza la API del ID de usuario`testuser@mydomain.com`, a partir de un Cuenta de AWS ID de `123456789012` y el grupo de configuración `test-stack` de la región EE.UU. Oeste (Oregón) (`us-west-2`): ``` wspool-logs-us-west-2-1234567890123-abcdefg/test-stack/test-fleet/custom/a0bcb1da11f480d9b5b3e90f91243143eac04cfccfbdc777e740fab628a1cd13/05yd1391-4805-3da6-f498-76f5x6746016/SessionScriptsLogs/SessionStart/ ``` Esta estructura de carpetas de ejemplo contiene un archivo de registro para un script de inicio de sesión del contexto del usuario y un archivo de registro para un script de inicio de sesión del contexto del sistema, si procede. # Supervisión de WorkSpaces Pools La supervisión es una parte importante del mantenimiento de la fiabilidad, la disponibilidad y el rendimiento de los recursos de WorkSpaces Pools. **Topics** + [WorkSpaces Métricas y dimensiones de los pools](monitoring-with-cloudwatch.md) # WorkSpaces Métricas y dimensiones de los pools Amazon WorkSpaces envía la siguiente información sobre dimensiones y métricas de WorkSpaces Pools a Amazon CloudWatch. WorkSpaces Pools envía las métricas CloudWatch una vez por minuto. El espacio de nombres de `AWS/Workspaces` incluye las siguientes métricas. ## Métricas de uso de grupos | Métrica | Description (Descripción) | | --- | --- | | ActiveUserSessionCapacity | El número de sesiones de usuario que se utilizan actualmente para las sesiones de streaming. Unidades: recuento Estadísticas válidas: promedio, mínimo, máximo | | ActualUserSessionCapacity | El número total de sesiones de grupos que están disponibles para la transmisión o que se están transmitiendo actualmente. 
ActualUserSessionCapacity = AvailableUserSessionCapacity + ActiveUserSessionCapacity
Unidades: recuento Estadísticas válidas: promedio, mínimo, máximo | | AvailableUserSessionCapacity | El número de sesiones de grupos inactivas disponibles actualmente para la transmisión del usuario. 
AvailableUserSessionCapacity = ActualUserSessionCapacity - ActiveUserSessionCapacity
Unidades: recuento Estadísticas válidas: promedio, mínimo, máximo | | PendingUserSessionCapacity | El número de sesiones que se están aprovisionando para el grupo. Representa el número adicional de sesiones de transmisión que el grupo puede admitir una vez finalizado el aprovisionamiento. Unidades: recuento Estadísticas válidas: promedio, mínimo, máximo | | UserSessionsCapacityUtilization | El porcentaje de sesiones de un grupo que se están utilizando, mediante la siguiente fórmula. 
UserSessionCapacityUtilization = (ActiveUserSessionCapacity / ActualUserSessionCapacity) * 100
La supervisión de esta métrica ayuda a tomar decisiones sobre cómo aumentar o disminuir el valor de la capacidad deseada de un grupo. Unidad: porcentaje Estadísticas válidas: promedio, mínimo, máximo | | DesiredUserSessionCapacity | El número total de sesiones que se están ejecutando o están pendientes. Esto representa el número total de sesiones de transmisión simultáneas que puede admitir el grupo en un estado estable. 
DesiredUserSessionCapacity = ActualUserSessionCapacity + PendingUserSessionCapacity
Unidades: recuento Estadísticas válidas: promedio, mínimo, máximo | | InsufficientCapacityError | Número de solicitudes de sesión que se han rechazado por falta de capacidad. Puedes configurar alarmas para usar esta métrica para recibir notificaciones de los usuarios que esperan una sesión de streaming. Unidades: recuento Estadísticas válidas: promedio, mínimo, máximo, suma | # Habilitar y administrar el almacenamiento persistente para WorkSpaces grupos WorkSpaces Pools admite carpetas de inicio para el almacenamiento persistente. Como administrador de WorkSpaces grupos, debe saber cómo realizar las siguientes tareas para habilitar y administrar el almacenamiento persistente para sus usuarios. **Topics** + [Habilite y administre las carpetas principales para los usuarios de sus WorkSpaces grupos](#home-folders) ## Habilite y administre las carpetas principales para los usuarios de sus WorkSpaces grupos Al habilitar las carpetas principales para los WorkSpaces grupos, los usuarios pueden acceder a una carpeta de almacenamiento persistente durante sus sesiones de streaming. Los usuarios no tienen que realizar ninguna configuración adicional para tener acceso a su carpeta de inicio. Los datos almacenados por los usuarios en sus carpetas de inicio se guardan automáticamente en un bucket de Amazon Simple Storage Service de la cuenta de Amazon Web Services y están disponibles para los usuarios en sesiones posteriores. Los archivos y carpetas se cifran en tránsito mediante puntos de conexión SSL de Amazon S3. Los archivos y carpetas se cifran en reposo mediante claves de cifrado administradas por Amazon S3. Las carpetas principales se almacenan WorkSpaces en WorkSpaces grupos en las siguientes ubicaciones predeterminadas: + Para una sesión única, non-domain-joined Windows WorkSpaces: `C:\Users\PhotonUser\My Files\Home Folder` + Windows unido a un dominio: WorkSpaces `C:\Users\%username%\My Files\Home Folder` Como administrador, utilice la ruta aplicable si configura las aplicaciones para guardar en la carpeta de inicio. En algunos casos, los usuarios no podrán encontrar su carpeta de inicio, ya que algunas aplicaciones no reconocen el redireccionamiento que muestra la carpeta de inicio como una carpeta de nivel superior en el explorador de archivos. En este caso, los usuarios pueden tener acceso a su carpeta de inicio desplazándose a ese directorio en el explorador de archivos. **Topics** + [Archivos y directorios asociados a aplicaciones con un uso de computación intensivo](#storage-solutions-files-directories-associated-with-compute-intensive-applications) + [Habilite las carpetas de inicio para los usuarios de sus WorkSpaces grupos](#enable-home-folders) + [Administrar las carpetas de inicio](#home-folders-admin) ### Archivos y directorios asociados a aplicaciones con un uso de computación intensivo Durante las sesiones de streaming de WorkSpaces Pools, guardar archivos y directorios de gran tamaño asociados a aplicaciones con un uso intensivo de recursos informáticos en un almacenamiento persistente puede llevar más tiempo que guardar los archivos y directorios necesarios para las aplicaciones de productividad básicas. Por ejemplo, es posible que las aplicaciones tarden más en guardar una gran cantidad de datos o en modificar con frecuencia los mismos archivos que si guardaran los archivos creados por aplicaciones que realicen una sola acción de escritura. También es posible que se tarde más en guardar muchos archivos pequeños. Si sus usuarios guardan los archivos y directorios asociados a aplicaciones con un uso intensivo de recursos informáticos y las opciones de almacenamiento persistente de WorkSpaces Pools no funcionan como se esperaba, le recomendamos que utilice una solución de bloqueo de mensajes de servidor (SMB) como Amazon FSx for Windows File Server o una AWS Storage Gateway puerta de enlace de archivos. A continuación, se muestran ejemplos de archivos y directorios asociados a aplicaciones con un uso intensivo de recursos de computación que son más adecuados para su uso con estas soluciones de SMB: + Carpetas de espacio de trabajo para entornos de desarrollo integrados () IDEs + Archivos de bases de datos locales + Carpetas de espacio de almacenamiento temporal creadas por aplicaciones de simulación gráfica Para obtener más información, consulte [File gateways](https://docs.aws.amazon.com/storagegateway/latest/userguide/StorageGatewayConcepts.html#file-gateway-concepts) en la *Guía del usuario de AWS Storage Gateway *. ### Habilite las carpetas de inicio para los usuarios de sus WorkSpaces grupos Antes de habilitar las carpetas de inicio, debe hacer lo siguiente: + Compruebe que tiene los permisos AWS Identity and Access Management (IAM) correctos para las acciones de Amazon S3. + Utilice una imagen que se haya creado a partir de una imagen AWS base publicada el 18 de mayo de 2017 o posteriormente. + Habilite la conectividad de red con Amazon S3 desde su nube privada virtual (VPC) a través de la configuración del acceso a Internet o de un punto de conexión de VPC para Amazon S3. Para obtener más información, consulte [Redes y acceso en WorkSpaces Pools](managing-network.md) y [Uso de puntos de enlace de VPC de Amazon S3 para funciones de grupos WorkSpaces](managing-network-vpce-iam-policy.md). Puede activar o desactivar las carpetas principales al crear un directorio (consulte[Configurar SAML 2.0 y crear un directorio de WorkSpaces grupos](create-directory-pools.md)) o después de crearlo mediante la opción Consola de administración de AWS for WorkSpaces Pools. Para cada región de AWS , se crea una copia de seguridad de las carpetas de inicio en un bucket de Amazon S3. La primera vez que habilita las carpetas principales para un directorio de WorkSpaces grupos en una AWS región, el servicio crea un bucket de Amazon S3 en su cuenta de esa misma región. El mismo bucket se utiliza para almacenar el contenido de las carpetas de inicio de todos los usuarios y todos los directorios de esa región. Para obtener más información, consulte [Almacenamiento en buckets de Amazon S3](#home-folders-s3). **Cómo habilitar las carpetas de inicio al crear un directorio** + Siga las instrucciones de [Configurar SAML 2.0 y crear un directorio de WorkSpaces grupos](create-directory-pools.md) y asegúrese de que la opción **Habilitar carpetas de inicio** esté seleccionada. **Cómo habilitar las carpetas de inicio para un directorio existente** 1. Abra la WorkSpaces consola en la [https://console.aws.amazon.com/workspaces/versión 2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. En el panel de navegación de la izquierda, seleccione **Directorios** y elija el directorio para el que desea habilitar las carpetas de inicio. 1. Debajo de la lista de directorios, elija **Almacenamiento** y seleccione **Habilitar carpetas de inicio**. 1. En el cuadro de diálogo **Habilitar carpetas de inicio**, elija **Habilitar**. ### Administrar las carpetas de inicio **Topics** + [Deshabilitación de las carpetas de inicio](#home-folders-admin-disabling) + [Almacenamiento en buckets de Amazon S3](#home-folders-s3) + [Sincronización del contenido de la carpeta de inicio](#home-folders-content-synchronization) + [Formatos de las carpetas de inicio](#home-folders-admin-folders) + [Recursos adicionales](#home-folders-admin-additional) #### Deshabilitación de las carpetas de inicio Puede deshabilitar las carpetas de inicio para un directorio sin perder el contenido del usuario ya almacenado en esas carpetas. La deshabilitación de carpetas de inicio para un directorio tiene los siguientes efectos: + Los usuarios que se conectan a sesiones de transmisión activas para el directorio reciben un mensaje de error. Se les informa de que ya no pueden almacenar contenido en su carpeta de inicio. + Las carpetas de inicio no aparecen para ninguna sesión nueva que use el directorio con las carpetas de inicio deshabilitadas. + Si se deshabilitan las carpetas de inicio para un directorio, no se deshabilitan para los demás. + Incluso si las carpetas principales están deshabilitadas en todos los directorios, WorkSpaces Pools no elimina el contenido del usuario. Para restaurar el acceso a las carpetas de inicio del directorio, vuelva a habilitar las carpetas de inicio. Para ello, siga los pasos que se han descrito anteriormente en este tema. **Cómo deshabilitar las carpetas de inicio al crear un directorio** + Siga las instrucciones de [Configurar SAML 2.0 y crear un directorio de WorkSpaces grupos](create-directory-pools.md)y asegúrese de que la opción **Habilitar carpetas de inicio** esté desactivada. **Cómo deshabilitar las carpetas de inicio para un directorio existente** 1. Abra la WorkSpaces consola en la [https://console.aws.amazon.com/workspaces/versión 2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. En el panel de navegación de la izquierda, seleccione **Directorios** y elija el directorio para el que desea habilitar las carpetas de inicio. 1. Debajo de la lista de directorios, elija **Almacenamiento** y elimine la selección de **Habilitar carpetas de inicio**. 1. En el cuadro de diálogo **Deshabilitar carpetas de inicio**, escriba `CONFIRM` (en mayúsculas) para confirmar la elección y, a continuación, elija **Deshabilitar**. #### Almacenamiento en buckets de Amazon S3 WorkSpaces Pools administra el contenido de los usuarios almacenado en las carpetas principales mediante los buckets de Amazon S3 creados en su cuenta. Para cada AWS región, WorkSpaces Pools crea un depósito en su cuenta. Todo el contenido del usuario generado desde las sesiones de transmisión de los directorios de esa región se almacena en ese bucket. El servicio administra totalmente los buckets sin intervención o configuración alguna por parte del administrador. Los nombres de los buckets siguen el formato específico que se indica a continuación: ``` wspool-home-folder--- ``` Dónde `` está el código de AWS región en el que se creó el directorio y `` es el ID de su cuenta de Amazon Web Services, y *>random-identifier<* es un número identificador aleatorio generado por el WorkSpaces servicio. La primera parte del nombre del bucket, `wspool-home-folder-`, no cambia entre cuentas o regiones. Por ejemplo, si habilita las carpetas de inicio para directorios de la región de Oeste de EE. UU. (Oregón) (us-west-2) en el número de cuenta 123456789012, el servicio crea un bucket de Amazon S3 en esa región con el nombre que se muestra. Este bucket solo lo puede eliminar un administrador con permisos suficientes. ``` wspool-home-folder-us-west-2-123456789012 ``` Como se ha mencionado anteriormente, la deshabilitación de las carpetas de inicio para los directorios no eliminará ningún contenido del usuario almacenado en el bucket de Amazon S3. Para eliminar de forma permanente el contenido de los usuarios, un administrador con acceso adecuado debe hacerlo desde la consola de Amazon S3. WorkSpaces Pools añade una política de bucket que evita la eliminación accidental del bucket. #### Sincronización del contenido de la carpeta de inicio Cuando las carpetas principales están habilitadas, WorkSpaces Pools crea una carpeta única para cada usuario en la que almacenar su contenido. La carpeta se crea como un prefijo exclusivo de Amazon S3 que utiliza un hash del nombre de usuario dentro de un bucket de S3 para su región y cuenta de Amazon Web Services. Una vez que WorkSpaces Pools crea la carpeta de inicio en Amazon S3, copia el contenido al que se ha accedido en esa carpeta del bucket de S3 al WorkSpace. Esto permite al usuario acceder rápidamente al contenido de su carpeta principal, desde WorkSpace el WorkSpace Pool, durante su sesión de streaming. Los cambios que realice en el contenido de la carpeta principal de un usuario en un bucket de S3 y que el usuario realice en el contenido de su carpeta principal WorkSpace en un contenedor del WorkSpace Pool se sincronizan entre Amazon S3 y WorkSpaces Pools de la siguiente manera. 1. Al principio de la sesión de streaming de WorkSpaces Pools de un usuario, WorkSpaces Pools cataloga los archivos de la carpeta de inicio que están almacenados para ese usuario en el bucket de Amazon S3 de su cuenta y región de Amazon Web Services. 1. El contenido de la carpeta de inicio de un usuario también se almacena WorkSpace en los WorkSpaces grupos desde los que transmite. Cuando un usuario accede a su carpeta principal en WorkSpace, se muestra la lista de archivos catalogados. 1. WorkSpaces Pools descarga un archivo del bucket de S3 WorkSpace solo después de que el usuario utilice una aplicación de streaming para abrir el archivo durante la sesión de streaming. 1. Una vez que WorkSpaces Pools descarga el archivo en el WorkSpace, la sincronización se produce cuando se accede al archivo 1. Si el usuario cambia el archivo durante la sesión de streaming, WorkSpaces Pools carga la nueva versión del archivo desde el WorkSpace bucket de S3 de forma periódica o al final de la sesión de streaming. Sin embargo, el archivo no se vuelve a descargar del bucket de S3 durante la sesión de streaming. En las siguientes secciones se describe el comportamiento de sincronización al añadir, reemplazar o eliminar el archivo de la carpeta principal de un usuario en Amazon S3. **Topics** + [Sincronización de los archivos que añada a la carpeta principal de un usuario en Amazon S3](#home-folders-content-synchronization-content-added-to-user-home-folder-in-S3) + [Sincronización de los archivos que reemplace en la carpeta principal de un usuario en Amazon S3](#home-folders-content-synchronization-content-replaced-in-user-home-folder-S3) + [Sincronización de los archivos que elimine de la carpeta principal de un usuario en Amazon S3](#home-folders-content-synchronization-content-removed-from-user-home-folder-S3) ##### Sincronización de los archivos que añada a la carpeta principal de un usuario en Amazon S3 Si añades un archivo nuevo a la carpeta principal de un usuario en un bucket de S3, WorkSpaces Pools cataloga el archivo y lo muestra en la lista de archivos de la carpeta principal del usuario en unos minutos. Sin embargo, el archivo no se descarga del bucket de S3 al depósito de S3 WorkSpace hasta que el usuario lo abra con una aplicación durante la sesión de streaming. ##### Sincronización de los archivos que reemplace en la carpeta principal de un usuario en Amazon S3 Si un usuario abre un archivo en su carpeta principal del WorkSpace WorkSpace pool durante su sesión de streaming y tú sustituyes el mismo archivo de su carpeta principal en un bucket de S3 por una nueva versión durante la sesión de streaming activa del usuario, la nueva versión del archivo no se descarga inmediatamente en el WorkSpace. La nueva versión se descarga del bucket de S3 al depósito de S3 WorkSpace solo después de que el usuario inicie una nueva sesión de streaming y vuelva a abrir el archivo. ##### Sincronización de los archivos que elimine de la carpeta principal de un usuario en Amazon S3 Si un usuario abre un archivo en su carpeta principal del WorkSpace WorkSpace grupo durante su sesión de streaming y tú eliminas el archivo de su carpeta principal en un bucket de S3 durante la sesión de streaming activa de ese usuario, el archivo se eliminará del repositorio WorkSpace después de que el usuario realice una de las siguientes acciones: + Abrir de nuevo la carpeta de inicio + Actualizar la carpeta de inicio #### Formatos de las carpetas de inicio La jerarquía de la carpeta de un usuario depende de cómo inicie este una sesión de transmisión, tal y como se describe en las siguientes secciones. ##### SAML 2.0 Para las sesiones creadas mediante federación SAML, la estructura de carpetas es la siguiente: ``` bucket-name/user/federated/user-id-SHA-256-hash/ ``` En este caso, `user-id-SHA-256-hash` es el nombre de carpeta creado con una cadena hexadecimal hash SHA-256 en minúsculas generada a partir del valor del atributo SAML `NameID` pasado a la solicitud de federación SAML. Para diferenciar a los usuarios que tienen el mismo nombre pero pertenecen a dos dominios diferentes, envíe la solicitud SAML con `NameID` en el formato `domainname\username`. Para obtener más información, consulte [Configurar SAML 2.0 y crear un directorio de WorkSpaces grupos](create-directory-pools.md). La siguiente estructura de carpetas de ejemplo se aplica al acceso de la sesión usando la federación SAML con `NameID` SAMPLEDOMAIN\$1testuser y el ID de cuenta 123456789012 en la Región de Oeste de EE. UU. (Oregón): ``` wspool-home-folder-us-west-2-123456789012/user/federated/8dd9a642f511609454d344d53cb861a71190e44fed2B8aF9fde0C507012a9901 ``` Cuando una parte o la totalidad de la cadena NameID está en mayúscula (como ocurre con el nombre *SAMPLEDOMAIN* de dominio en el ejemplo), WorkSpaces Pools genera el valor hash en función de las mayúsculas utilizadas en la cadena. En este ejemplo, el valor hash de SAMPLEDOMAIN\$1 testuser es 8 A642F511609454D344D53 A71190E44 B8 C507012A9901. DD9 CB861 FED2 AF9 FDE0 En la carpeta de ese usuario, este valor se muestra en minúsculas, tal como se indica a continuación: 8dd9a642f511609454d344d53cb861a71190e44fed2B8aF9fde0C507012a9901. Puede identificar la carpeta de un usuario generando el valor hash SHA-256 del `NameID` mediante bibliotecas de programación de código abierto o sitios web disponibles online. #### Recursos adicionales Para obtener más información acerca de cómo administrar los buckets de Amazon S3 y las prácticas recomendadas, consulte los siguientes temas en *Guía del usuario de Amazon Simple Storage Service*: + Puede proporcionar acceso sin conexión a los datos de los usuarios con políticas de Amazon S3. Para obtener más información, consulte [Amazon S3: permite a los usuarios de IAM obtener acceso a su directorio principal de S3, mediante programación y en la consola](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_examples_s3_home-directory-console.html) en la *Guía del usuario de IAM*. + Puede habilitar el control de versiones de archivos para el contenido almacenado en los buckets de Amazon S3 que utilizan los WorkSpaces grupos. Para obtener más información, consulte [Uso del control de versiones](https://docs.aws.amazon.com/AmazonS3/latest/userguide/Versioning.html). # Habilite la persistencia de la configuración de la aplicación para los usuarios de sus WorkSpaces grupos WorkSpaces Pools admite la configuración de aplicaciones persistente para los directorios basados en Windows. Esto significa que las personalizaciones de aplicaciones de los usuarios y la configuración de Windows se guardan automáticamente después de cada sesión de streaming y se aplican durante la siguiente sesión. Entre los ejemplos de configuración de aplicaciones persistentes que los usuarios pueden configurar se incluyen, entre otras, favoritos del explorador, configuración, sesiones de página web, perfiles de conexión de aplicaciones, complementos y personalizaciones de la interfaz de usuario. Estos ajustes se guardan en un depósito de Amazon Simple Storage Service (Amazon S3) de su cuenta, dentro de la región en la que está habilitada AWS la persistencia de los ajustes de la aplicación. Están disponibles en cada sesión de streaming de WorkSpaces Pools. **nota** Es posible que se apliquen cargos estándar de Amazon S3 a los datos almacenados en su bucket de S3. Para obtener más información, consulte [Precios de Amazon S3](https://aws.amazon.com/s3/pricing/). **Topics** + [Cómo funciona la persistencia de configuración de aplicaciones](how-it-works-app-settings-persistence.md) + [Habilitación de la persistencia de configuración de la aplicación](enabling-app-settings-persistence.md) + [Administre la configuración de la aplicación VHDs para sus usuarios](administer-app-settings-vhds.md) # Cómo funciona la persistencia de configuración de aplicaciones La configuración de aplicación persistente se guarda en un archivo VHD (disco duro virtual). Este archivo se crea la primera vez que un usuario transmite una aplicación desde un directorio en la que la persistencia de configuración de la aplicación esté habilitada. Si el WorkSpace grupo asociado al directorio se basa en una imagen que contiene la configuración predeterminada de la aplicación y de Windows, la configuración predeterminada se utilizará para la primera sesión de streaming del usuario. Cuando la sesión de streaming finaliza, el VHD se desmonta y se carga en un bucket de Amazon S3 en su cuenta. El depósito se crea cuando se habilita la configuración persistente de la aplicación por primera vez para un directorio de una AWS región. El depósito es exclusivo de tu AWS cuenta y de la región. [El VHD se cifra en tránsito mediante puntos de enlace SSL de Amazon S3 y, en reposo, mediante AWS Managed. CMKs](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#aws-managed-cmk) El VHD se monta WorkSpace en ambos lados. `C:\Users\%username%` `D:\%username%` Si no WorkSpace está unido a un dominio de Active Directory, el nombre de usuario de Windows es PhotonUser. Si WorkSpace está unido a un dominio de Active Directory, el nombre de usuario de Windows es el del usuario que ha iniciado sesión. La persistencia de la configuración de la aplicación no funciona en distintas versiones del sistema operativo. Por ejemplo, si habilita la persistencia de la configuración de la aplicación para un WorkSpace grupo que usa una imagen de Windows Server 2019, si actualiza el WorkSpace grupo para usar una imagen que ejecute un sistema operativo diferente (como Windows Server 2022), la configuración de las sesiones de transmisión anteriores no se guardará para los usuarios del directorio. En su lugar, después de actualizar el WorkSpace grupo para usar la nueva imagen, cuando los usuarios inician una sesión de transmisión desde un WorkSpace, se crea un nuevo perfil de usuario de Windows. Sin embargo, si aplica una actualización al mismo sistema operativo en la imagen, se guardan las personalizaciones y la configuración de los usuarios de las sesiones de streaming anteriores. Cuando se aplican actualizaciones del mismo sistema operativo a una imagen, se utiliza el mismo perfil de usuario de Windows cuando los usuarios inician una sesión de streaming desde WorkSpace. **importante** WorkSpaces Los pools admiten aplicaciones que dependen de la [API de protección de datos de Microsoft](https://docs.microsoft.com/en-us/windows/desktop/seccng/cng-dpapi) solo cuando WorkSpace están unidos a un dominio de Microsoft Active Directory. En los casos en que a no WorkSpace está unido a un dominio de Active Directory, el usuario de Windows, PhotonUser, es diferente en cada uno de ellos WorkSpace. Debido a la forma en que funciona el modelo de seguridad DPAPI, las contraseñas de los usuarios no se mantienen para aplicaciones que utilizan DPAPI en esta situación. En los casos en los que WorkSpaces están unidos a un dominio de Active Directory y el usuario es un usuario de dominio, el nombre de usuario de Windows es el del usuario que ha iniciado sesión y las contraseñas de los usuarios se conservan en las aplicaciones que utilizan DPAPI. WorkSpaces Pools guarda automáticamente todos los archivos y carpetas de esta ruta, excepto las siguientes carpetas: + Contactos + Escritorio + Documentos + Descargas + Links + Imágenes + Juegos guardados + Búsquedas + Videos Los archivos y carpetas creados fuera de estas carpetas se guardan dentro del VHD y se sincronizan a Amazon S3. El tamaño máximo de VHD predeterminado es de 5 GB para Pools. El tamaño del VHD guardado es el tamaño total de los archivos y carpetas que contiene. WorkSpaces Pools guarda automáticamente el `HKEY_CURRENT_USER` subárbol de registro para el usuario. Para los usuarios nuevos (usuarios cuyos perfiles no existen en Amazon S3), WorkSpaces Pools crea el perfil inicial con el perfil predeterminado. Este perfil se crea en la siguiente ubicación del generador de imágenes: `C:\users\default`. **nota** Se debe descargar todo el VHD WorkSpace antes de que pueda comenzar una sesión de streaming. Por este motivo, un VHD que contiene una gran cantidad de datos puede retrasar el inicio de la sesión de streaming. Para obtener más información, consulte [Prácticas recomendadas para habilitar la persistencia de configuración de la aplicación](enabling-app-settings-persistence.md#best-practices-app-settings-persistence). Al habilitar la persistencia de la configuración de la aplicación, debe especificar un grupo de configuración. El grupo de ajustes determina qué ajustes de aplicación guardados se utilizan para una sesión de streaming desde este directorio. WorkSpaces Pools crea un nuevo archivo VHD para el grupo de configuración que se almacena por separado en el bucket de S3 de su AWS cuenta. Si el mismo grupo de configuración se comparte entre directorios, se utiliza la misma configuración de la aplicación en cada directorio. Si un directorio requiere su propia configuración de la aplicación, especifíquele un grupo de configuración único. # Habilitación de la persistencia de configuración de la aplicación **Topics** + [Requisitos previos para habilitar la persistencia de configuración de la aplicación](#prerequisites-app-settings-persistence) + [Prácticas recomendadas para habilitar la persistencia de configuración de la aplicación](#best-practices-app-settings-persistence) + [Cómo habilitar la persistencia de configuración de la aplicación](#howto-enable-app-settings-persistence) ## Requisitos previos para habilitar la persistencia de configuración de la aplicación Para habilitar la persistencia de la configuración de aplicaciones, debe hacer primero lo siguiente: + Utilice una imagen que se haya creado a partir de una imagen base publicada a más tardar AWS el 7 de diciembre de 2017. + Habilite la conectividad de red con Amazon S3 desde su nube privada virtual (VPC) a través de la configuración del acceso a Internet o de un punto de conexión de VPC para Amazon S3. Para obtener más información, consulte la sección *Carpetas de inicio y puntos de enlace de la VPC* en [Redes y acceso en WorkSpaces Pools](managing-network.md). ## Prácticas recomendadas para habilitar la persistencia de configuración de la aplicación Para habilitar la persistencia de la configuración de la aplicación sin proporcionarle acceso a Internet WorkSpaces, utilice un punto de enlace de VPC. Este punto final debe estar en la VPC a la que están conectados sus WorkSpaces WorkSpaces grupos internos. Debe adjuntar una política personalizada para permitir que los WorkSpaces grupos accedan al punto final. Para obtener información acerca de cómo crear la política personalizada, consulte la sección *Carpetas de inicio y puntos de enlace de la VPC* en [Redes y acceso en WorkSpaces Pools](managing-network.md). Para obtener más información sobre los puntos de conexión de Amazon S3, consulte [Puntos de conexión de VPC](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints.html) y [Puntos de conexión para Amazon S3](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints-s3.html) en la *Guía del usuario de Amazon VPC*. ## Cómo habilitar la persistencia de configuración de la aplicación Puede activar o desactivar la persistencia de la configuración de la aplicación al crear un directorio o después de crearlo mediante la WorkSpaces consola. Para cada región de AWS , la configuración persistente de la aplicación se almacena en un bucket de S3 en su cuenta. La primera vez que habilita la persistencia de la configuración de la aplicación en un directorio de una AWS región, WorkSpaces Pools crea un bucket de S3 en su AWS cuenta de la misma región. El mismo depósito almacena el archivo VHD de configuración de la aplicación para todos los usuarios y todos los directorios de esa AWS región. Para obtener más información, consulte *Almacenamiento en buckets de Amazon S3* en [Administre la configuración de la aplicación VHDs para sus usuarios](administer-app-settings-vhds.md). **Cómo habilitar la persistencia de la configuración de la aplicación mientras se crea un directorio** + Siga las instrucciones de [Configurar SAML 2.0 y crear un directorio de WorkSpaces grupos](create-directory-pools.md)y asegúrese de que la opción **Enable Application Settings Persistence (Habilitar persistencia de la configuración de la aplicación)** esté seleccionada. **Cómo habilitar la persistencia de la configuración de la aplicación para un directorio existente** 1. Abra la WorkSpaces consola en la versión [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. En el panel de navegación de la izquierda, seleccione **Grupos** y elija el grupo para el que desea habilitar la persistencia de la aplicación. 1. Elija **Editar** en la sección **Configuración** de la página. 1. En la sección **Persistencia de la aplicación** de la página, seleccione **Habilitar persistencia de configuración de la aplicación**. 1. Seleccione **Save changes (Guardar cambios)**. Las nuevas sesiones de streaming tienen ahora habilitada la persistencia de la configuración de la aplicación. # Administre la configuración de la aplicación VHDs para sus usuarios **Topics** + [Almacenamiento en buckets de Amazon S3](#app-persistence-s3-buckets) + [Restablecimiento de la configuración de la aplicación de un usuario](#app-persistence-s3-reset) + [Habilitación del control de versiones de objeto de Amazon S3 y reversión de la configuración de la aplicación de un usuario](#app-persistence-enable-versions-revert-settings) + [Aumento del tamaño del VHD de configuración de la aplicación](#app-persistence-increase-VHD-size) ## Almacenamiento en buckets de Amazon S3 Al habilitar la persistencia de la configuración de las aplicaciones, las personalizaciones de las aplicaciones de sus usuarios y la configuración de Windows se guardan automáticamente en un archivo de disco duro virtual (VHD) que se almacena en un bucket de Amazon S3 creado en su AWS cuenta. Para cada AWS región, WorkSpaces Pools crea un depósito en su cuenta que es exclusivo para su cuenta y para la región. Todas las configuraciones de la aplicación configuradas por los usuarios se almacenan en el bucket para dicha región. No necesita realizar ninguna tarea de configuración para administrar estos depósitos de S3; el servicio WorkSpaces Pools los administra completamente. [El archivo VHD que se almacena en cada depósito se cifra en tránsito mediante los puntos de enlace SSL de Amazon S3 y en reposo mediante AWS Managed. CMKs](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#aws-managed-cmk) Los nombres de los buckets siguen el formato específico que se indica a continuación: ``` wspool-app-settings--- ``` ***region-code*** Este es el código de AWS región en el que se crea el directorio con la persistencia de la configuración de la aplicación. ***account-id-without-hyphens*** El ID AWS de tu cuenta. El identificador aleatorio garantiza que no haya conflicto con otros buckets en esa región. La primera parte del nombre del bucket, `wspool-app-settings`, no cambia entre cuentas o regiones. Por ejemplo, si habilita la persistencia de la configuración de la aplicación para los directorios de la región EE.UU. Oeste (Oregón) (us-west-2) en el número de cuenta 123456789012, WorkSpaces Pools crea un bucket de Amazon S3 en su cuenta de esa región con el nombre que se muestra. Este bucket solo lo puede eliminar un administrador con permisos suficientes. ``` wspool-app-settings-us-west-2-1234567890123-abcdefg ``` Al deshabilitar la persistencia de la configuración de la aplicación, no se elimina ninguna información almacenada en el depósito de S3. VHDs Para eliminar la configuración de forma permanente VHDs, usted u otro administrador con los permisos adecuados deben hacerlo mediante la consola o la API de Amazon S3. WorkSpaces Pools añade una política de bucket que evita la eliminación accidental del bucket. Cuando la persistencia de la configuración de la aplicación está habilitada, se crea una única carpeta para cada grupo de configuración para almacenar el archivo VHD de configuración. La jerarquía de la carpeta en el bucket de S3 depende de cómo lance este una sesión de streaming, como se describe en la siguiente sección. La ruta para la carpeta donde el VHD de configuración está almacenado en el bucket de S3 en su cuenta utiliza la siguiente estructura: ``` bucket-name/Windows/prefix/settings-group/access-mode/user-id-SHA-256-hash ``` ***bucket-name*** El nombre del bucket de S3 en el que se almacena la configuración de la aplicación de los usuarios. El formato del nombre se describe anteriormente en esta sección. ***prefix*** El prefijo específico de la versión de Windows. Por ejemplo, v4 para Windows Server 2012 R2. ***settings-group*** El valor del grupo de configuración. Este valor se aplica a uno o varios directorios que comparten la misma configuración de la aplicación. ***access-mode*** El método de identidad del usuario: `custom` para la API o CLI de WorkSpaces grupos, `federated` para SAML y `userpool` para los usuarios del grupo de usuarios. ***user-id-SHA-256-hash*** El nombre de carpeta específico del usuario. Este nombre se ha creado utilizando una cadena hexadecimal con hasta SHA-256 en minúsculas generada a partir del ID de usuario. El siguiente ejemplo de estructura de carpetas se aplica a una sesión de streaming a la que se accede mediante la API o la CLI con un Cuenta de AWS identificador de `testuser@mydomain.com` usuario`123456789012`, un identificador y el grupo `test-stack` de configuración de la región EE.UU. Oeste (Oregón) (us-west-2): ``` wspool-app-settings-us-west-2-1234567890123-abcdefg/Windows/v4/test-stack/custom/a0bcb1da11f480d9b5b3e90f91243143eac04cfccfbdc777e740fab628a1cd13 ``` Puede identificar la carpeta de un usuario generando el valor hash SHA-256 en minúsculas del ID de usuario mediante bibliotecas de programación de código abierto o sitios web disponibles online. ## Restablecimiento de la configuración de la aplicación de un usuario Para restablecer la configuración de la aplicación de un usuario, debe buscar y eliminar el VHD y el archivo de metadatos asociado del bucket de S3 de su cuenta. AWS Asegúrese de no hacerlo durante una sesión de streaming activa del usuario. Tras eliminar el VHD del usuario y el archivo de metadatos, la próxima vez que el usuario inicie una sesión desde una instancia de streaming que tenga habilitada la persistencia de la configuración de la aplicación, WorkSpaces Pools creará un nuevo VHD de configuración para ese usuario. **Para restablecer la configuración de la aplicación de un usuario** 1. Abra la consola de Amazon S3 en [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/). 1. En la lista **Bucket name (Nombre de bucket)**, elija el bucket de S3 que contiene el VHD de configuración de la aplicación que desea restablecer. 1. Localice la carpeta que contiene el VHD. Para obtener más información acerca de cómo navegar por la estructura de carpetas del bucket de S3, consulte *Almacenamiento de bucket de Amazon S3* anteriormente en este tema. 1. En la lista **Name (Nombre)**, seleccione la casilla de verificación que se encuentra junto al VHD y la REG, elija **More (Más)** y, a continuación, seleccione **Delete (Eliminar)**. 1. En el cuadro de diálogo **Delete objects (Eliminar objetos)**, compruebe que aparecen el VHD y la REG y, a continuación, elija **Delete (Eliminar)**. La próxima vez que el usuario realice una transmisión desde un grupo en el que esté habilitada la persistencia de la configuración de la aplicación con el grupo de configuración correspondiente, se creará un nuevo VHD de configuración de la aplicación. Este VHD se guarda en el bucket de S3 al final de la sesión. ## Habilitación del control de versiones de objeto de Amazon S3 y reversión de la configuración de la aplicación de un usuario Puede utilizar el control de versiones de objetos y las políticas de ciclo de vida de Amazon S3 para administrar la configuración de la aplicación de los usuarios cuando los usuarios la cambian. Con el control de versiones de Amazon S3, puede preservar, recuperar y restaurar cada versión del VHD de configuración. Esto permite recuperarse fácilmente tanto de las acciones de usuario no deseadas como de los errores de las aplicaciones. Cuando el control de versiones está habilitado, después de cada sesión de streaming, una nueva versión del VHD de configuración de la aplicación se sincroniza con Amazon S3. La nueva versión no sobrescribe la versión anterior, por tanto si se produce un problema con la configuración de sus usuarios, puede volver a una versión anterior del VHD. **nota** Cada versión del VHD de configuración de la aplicación se guarda en Amazon S3 como un objeto independiente y se cobra en función de ello. El control de versiones de objetos no está habilitado de forma predeterminada en el bucket de S3, por lo que debe habilitarlo de forma explícita. **Para habilitar el control de versiones para el VHD de configuración de su aplicación** 1. Abra la consola de Amazon S3 en [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/). 1. En la lista **Bucket name (Nombre de bucket)**, elija el bucket de S3 que contiene el VHD de configuración de la aplicación en el que desea habilitar el control de versiones de objeto. 1. Seleccione **Propiedades**. 1. Elija **Versioning (Control de versiones)**, **Enable versioning (Habilitar control de versiones)** y, a continuación, **Save (Guardar)**. Para caducar las versiones anteriores de la configuración de la aplicación VHDs, puede utilizar las políticas de ciclo de vida de Amazon S3. Para obtener más información, consulte [How Do I Create a Lifecycle Policy for an S3 Bucket?](https://docs.aws.amazon.com/AmazonS3/latest/user-guide/create-lifecycle.html) en la *Guía del usuario de Amazon Simple Storage Service*. **Para volver al VHD de configuración de la aplicación de un usuario** Puede volver a una versión anterior del VHD de configuración de la aplicación de un usuario eliminando las versiones más actuales del VHD desde el bucket de S3 aplicable. No lo haga cuando este usuario tenga una sesión de streaming activa. 1. Abra la consola de Amazon S3 en [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/). 1. En la lista **Bucket name (Nombre de bucket)**, elija el bucket de S3 que contiene la versión de VHD de configuración de la aplicación del usuario a la que desea volver. 1. Localice y seleccione la carpeta que contiene el VHD. Para obtener información acerca de cómo navegar por la estructura de carpetas del bucket de S3, consulte *Almacenamiento de bucket de Amazon S3* anteriormente en este tema. Al seleccionar la carpeta, se muestran el VHD de configuración y el archivo de metadatos asociado. 1. Para mostrar una lista de las versiones de los archivos VHD y de metadatos, elija **Show (Mostrar)**. 1. Localice la versión del VHD a la que desea volver. 1. En la lista **Name (Nombre)**, seleccione las casillas de verificación situadas junto a las versiones más recientes de los archivos de metadatos asociados y VHD, elija **More (Más)** y, a continuación, **Delete (Eliminar)**. 1. Compruebe que el archivo VHD de configuración de la aplicación al que desea volver y el archivo de metadatos asociado son las versiones más recientes de estos archivos. La próxima vez que el usuario realice una transmisión desde un grupo en el que esté habilitada la persistencia de la configuración de la aplicación con el grupo de configuración correspondiente, se mostrará la versión anterior de la configuración del usuario. ## Aumento del tamaño del VHD de configuración de la aplicación El tamaño máximo de VHD predeterminado es de 5 GB para Pools. Si un usuario requiere espacio adicional para la configuración de la aplicación, puede descargar el archivo VHD de configuración de la aplicación correspondiente a un equipo Windows para ampliarlo. A continuación, reemplace el VHD actual en el bucket de S3 por el mayor. No lo haga cuando este usuario tenga una sesión de streaming activa. **nota** Para reducir el tamaño físico del disco duro virtual (VHD), vacíe la papelera de reciclaje antes de finalizar una sesión. Esto también reducirá los tiempos de carga y descarga y mejorará la experiencia general del usuario. **Para aumentar el tamaño del VHD de configuración de la aplicación** **nota** El archivo VHD completo se debe descargar antes de que un usuario pueda transmitir aplicaciones. Un aumento del tamaño del archivo VHD de configuración de la aplicación puede aumentar el tiempo necesario para que los usuarios comiencen las sesiones de streaming de la aplicación. 1. Abra la consola de Amazon S3 en [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/). 1. En la lista **Bucket name (Nombre de bucket)**, elija el bucket de S3 que contiene el VHD de configuración de la aplicación que ampliar. 1. Localice y seleccione la carpeta que contiene el VHD. Para obtener más información sobre cómo navegar por la estructura de carpetas del bucket de S3, consulte [Almacenamiento en buckets de Amazon S3](#app-persistence-s3-buckets) que aparece anteriormente en este tema. Al seleccionar la carpeta, se muestran el VHD de configuración y el archivo de metadatos asociado. 1. Descargue el archivo `Profile.vhdx` en un directorio en el equipo de Windows. No cierre el navegador una vez que se complete la descarga, ya que volverá a utilizar el navegador a continuación para cargar el VHD ampliado. 1. Para utilizar Diskpart para aumentar el tamaño del VHD a 7 GB, abra el símbolo del sistema como administrador y escriba los siguientes comandos. ``` diskpart ``` ``` select vdisk file="C:\path\to\application\settings\profile.vhdx" ``` ``` expand vdisk maximum=7000 ``` 1. A continuación, escriba los siguientes comandos de Diskpart para encontrar y asociar el VHD y mostrar la lista de volúmenes: ``` elect vdisk file="C:\path\to\application\settings\profile.vhdx" ``` ``` attach vdisk ``` ``` list volume ``` En el resultado, anote el número de volumen con la etiqueta "AwsEucUsers». En el siguiente paso, seleccione este volumen para que lo pueda ampliar. 1. Escriba el siguiente comando en el que `` es el número de la salida del volumen de la lista. ``` select volume ``` 1. Escriba el siguiente comando: ``` extend ``` 1. Escriba los comandos siguientes para confirmar que el tamaño de la partición en el VHD ha aumentado según lo previsto (7 GB en este ejemplo): ``` diskpart ``` ``` select vdisk file="C:\path\to\application\settings\profile.vhdx" ``` ``` list volume ``` 1. Escriba el siguiente comando para desconectar el VHD de forma que se pueda cargar: ``` detach vdisk ``` 1. Vuelva al navegador con la consola de Amazon S3, seleccione **Cargar**, **Agregar archivos** y, a continuación, seleccione el VHD ampliado. 1. Seleccione **Cargar**. Una vez cargado el VHD, la próxima vez que el usuario realice una transmisión desde un grupo en el que la persistencia de configuración de la aplicación esté habilitada con el grupo de aplicaciones correspondiente, estará disponible el VHD de configuración de la aplicación mayor. # Códigos de notificación de solución de problemas de WorkSpaces Pools A continuación, se muestran los códigos de notificación y los pasos de resolución de problemas con la vinculación de dominios que es posible que encuentre al configurar y utilizar Active Directory con WorkSpaces. **DOMAIN\$1JOIN\$1ERROR\$1ACCESS\$1DENIED** **Mensaje**: se deniega el acceso. **Resolución**: la cuenta de servicio especificada en el directorio no tiene permisos para crear el objeto de equipo ni para volver a utilizar uno ya existente. Valide los permisos e inicie el grupo de WorkSpaces Pools. **DOMAIN\$1JOIN\$1ERROR\$1LOGON\$1FAILURE** **Mensaje**: el nombre de usuario o la contraseña es incorrecto. **Resolución**: la cuenta de servicio especificada en el directorio tiene un nombre de usuario o una contraseña no válidos. Actualice las credenciales del secreto de AWS Secrets Manager configurado en el directorio y vuelva a iniciar el grupo de WorkSpaces Pools. **DOMAIN\$1JOIN\$1NERR\$1PASSWORD\$1EXPIRED** **Mensaje**: la contraseña de este usuario ha vencido. **Resolución**: la contraseña de la cuenta de servicio del secreto de AWS Secrets Manager ha vencido. En primer lugar, detenga el grupo de WorkSpaces Pools. A continuación, cambie la contraseña del secreto especificado en el directorio de WorkSpaces. A continuación, inicie el grupo de WorkSpaces Pools. **DOMAIN\$1JOIN\$1ERROR\$1DS\$1MACHINE\$1ACCOUNT\$1QUOTA\$1EXCEEDED** **Mensaje**: su equipo no se ha podido incorporar al dominio. Ha superado el número máximo de cuentas de equipos para las que tiene permiso de creación en este dominio. Póngase en contacto con el administrador del sistema para restablecer o aumentar este límite. **Resolución**: la cuenta de servicio especificada en el directorio no tiene permisos para crear el objeto de equipo ni para volver a utilizar uno ya existente. Valide los permisos e inicie el grupo de WorkSpaces Pools. **DOMAIN\$1JOIN\$1ERROR\$1INVALID\$1PARAMETER** **Mensaje**: un parámetro es incorrecto. Este error se devuelve si el parámetro `LpName` es NULL o si el parámetro `NameType` se especifica como `NetSetupUnknown` o un tipo de nombre desconocido. **Resolución**: este error puede producirse cuando el nombre distinguido de la OU es incorrecto. Valide la OU e inténtelo de nuevo. Si sigue apareciendo este error, póngase en contacto con AWS Support. Para obtener más información, consulte el [Centro de AWS Support](https://console.aws.amazon.com/support/home#/). **DOMAIN\$1JOIN\$1ERROR\$1MORE\$1DATA** **Mensaje**: hay más datos disponibles. **Resolución**: este error puede producirse cuando el nombre distinguido de la OU es incorrecto. Valide la OU e inténtelo de nuevo. Si sigue apareciendo este error, póngase en contacto con AWS Support. Para obtener más información, consulte el [Centro de AWS Support](https://console.aws.amazon.com/support/home#/). **DOMAIN\$1JOIN\$1ERROR\$1NO\$1SUCH\$1DOMAIN** **Mensaje**: el dominio especificado no existe o no se pudo contactar con él. **Resolución**: la instancia de streaming no ha podido ponerse en contacto con el dominio de Active Directory. Confirme la VPC, la subred y la configuración del grupo de seguridad para garantizar la conectividad de red. **DOMAIN\$1JOIN\$1NERR\$1WORKSTATION\$1NOT\$1STARTED** **Mensaje**: el servicio de la estación de trabajo no se ha iniciado. **Resolución**: se ha producido un error al comenzar el servicio de la estación de trabajo. Asegúrese de que el servicio esté habilitado en su imagen. Si sigue apareciendo este error, póngase en contacto con AWS Support. Para obtener más información, consulte el [Centro de AWS Support](https://console.aws.amazon.com/support/home#/). **DOMAIN\$1JOIN\$1ERROR\$1NOT\$1SUPPORTED** **Mensaje**: no se admite la solicitud. Este error se devuelve si se ha especificado un equipo remoto en el parámetro `lpServer` y la llamada no se admite en dicho equipo remoto. **Resolución**: póngase en contacto con AWS Support para obtener ayuda. Para obtener más información, consulte el [Centro de AWS Support](https://console.aws.amazon.com/support/home#/). **DOMAIN\$1JOIN\$1ERROR\$1FILE\$1NOT\$1FOUND** **Mensaje**: el sistema no puede encontrar el archivo especificado. **Resolución**: este error se produce cuando se proporciona un nombre distinguido de una unidad organizativa (OU) no válida. El nombre distinguido debe comenzar con **OU=**. Valide el nombre distinguido de la OU e inténtelo de nuevo. **DOMAIN\$1JOIN\$1INTERNAL\$1SERVICE\$1ERROR** **Mensaje**: The account already exists (La cuenta ya existe). **Solución**: este error puede producirse en los siguientes escenarios: + Si el problema no está relacionado con los permisos, compruebe si hay errores en los registros de Netdom y asegúrese de haber proporcionado la OU correcta. + La cuenta de servicio especificada en el directorio no tiene permisos para crear el objeto de equipo ni para volver a utilizar uno ya existente. En tal caso, valide los permisos e inicie el grupo de WorkSpaces Pools. + Una vez que WorkSpaces crea el objeto de equipo, este se mueve de la OU en la que se ha creado. En este caso, el primer grupo de WorkSpaces Pools se crea correctamente, pero se producirá un error en cualquier nuevo grupo de WorkSpaces Pools que utilice el objeto de equipo. Cuando Active Directory busca el objeto de equipo en la OU especificada y detecta que existe un objeto con el mismo nombre en otra parte del dominio, la unión al dominio no se realiza correctamente. + El nombre de la OU especificada en el directorio de WorkSpaces incluye espacios antes o después de las comas en el directorio. En este caso, cuando un grupo de WorkSpaces Pools intente volver a vincularse al dominio de Active Directory, WorkSpaces no podrá ciclar los objetos del equipo correctamente y la vinculación del dominio no se realizará correctamente. Para resolver este problema en un grupo de WorkSpaces Pools, siga estos pasos: 1. Detenga el grupo de WorkSpaces Pools. 1. Edite el dominio de Active Directory del grupo de WorkSpaces Pools para eliminar el directorio y la OU del directorio al que se ha vinculado el grupo de WorkSpaces Pools. 1. Actualice el directorio de WorkSpaces para especificar una OU que no incluya espacios. 1. Edite la configuración del dominio de Active Directory del grupo de WorkSpaces Pools para especificar el directorio con la OU de directorio actualizada. Para resolver este problema en un grupo de WorkSpaces Pools, siga estos pasos: 1. Elimine el grupo de WorkSpaces Pools. 1. Actualice el directorio de WorkSpaces para especificar una OU que no incluya espacios. 1. Cree un nuevo grupo de WorkSpaces Pools y especifique el directorio con la OU de directorio actualizada. **WORKSPACES\$1POOL\$1SESSION\$1RESERVATION\$1ERROR** **Mensaje**: We currently do not have sufficient capacity for requested sessions in the availability zones [us-west-1] for subnets associated with your WorkSpaces Pool. Estamos trabajando para aprovisionar capacidad adicional. Meanwhile, please change or associate a different subnet using one of the following AZs [us-west-2, us-west-3]. **Resolución**: espere a que EC2 tenga suficiente capacidad o actualice las subredes de otras zonas de disponibilidad del directorio. **INSUFFICIENT\$1CAPACITY\$1ERROR\$1WORKSPACES\$1POOL\$1AZ** **Mensaje**: We currently don't have sufficient capacity for requested sessions in availability zone (AZs) []. Estamos trabajando para aprovisionar capacidad adicional. Meanwhile please change or associate another subnet using other AZs to your WorkSpaces Pool. **Resolución**: espere a que Amazon EC2 tenga suficiente capacidad o actualice las subredes de otras zonas de disponibilidad del directorio. **INVALID\$1CUSTOMER\$1SUBNET\$1CIDR\$1BLOCK** **Mensaje**: Your subnet includes use of an unavailable CIDR range. Please update your subnets outside of the current /18 range.”. **Resolución**: espere a que EC2 tenga suficiente capacidad o actualice las subredes de otras zonas de disponibilidad del directorio.