기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다. # WorkSpaces Pools 사용 및 관리 WorkSpaces Pools는 임시 인프라에서 호스팅되는 고도로 큐레이션된 데스크톱 환경에 액세스해야 하는 사용자를 위해 맞춤화된 비영구 가상 데스크톱을 제공합니다. **Topics** + [AWS 리전 WorkSpaces Pools의 및 가용 영역](wsp-pools-regions.md) + [WorkSpaces Pools 디렉터리 관리](manage-workspaces-pools-directory.md) + [WorkSpaces Pools를 위한 네트워킹 및 액세스](managing-network.md) + [WorkSpaces Pool 만들기](set-up-pools-create.md) + [WorkSpaces Pools 관리](managing-stacks-fleets.md) + [WorkSpaces Pools에서 Active Directory 사용](active-directory.md) + [WorkSpaces Pools의 번들 및 이미지](pools-images.md) + [WorkSpaces Pools 모니터링](configure-monitoring-reporting.md) + [WorkSpaces Pools에 대한 영구 스토리지 활성화 및 관리](persistent-storage.md) + [WorkSpaces Pools 사용자에 대한 애플리케이션 설정 지속성 활성화](app-settings-persistence.md) + [WorkSpaces Pools 문제 해결 알림 코드](wsp-pools-troubleshooting.md) # AWS 리전 WorkSpaces Pools의 및 가용 영역 WorkSpaces Pools는 다음에서 사용할 수 있습니다 AWS 리전. **참고** WorkSpaces Personal에 AWS 리전 적용되는에 대한 자세한 내용은 *AWS 일반 참조 참조 가이드*의 [Amazon WorkSpaces 엔드포인트 및 할당량을 참조하세요](https://docs.aws.amazon.com/general/latest/gr/wsp.html). [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/workspaces/latest/adminguide/wsp-pools-regions.html) # WorkSpaces Pools 디렉터리 관리 WorkSpaces Pools에서는 디렉터리를 사용하여 WorkSpaces 및 사용자의 정보를 저장하고 관리합니다. 이 섹션에서는 WorkSpaces Pools의 디렉터리를 만들고 관리하는 방법을 보여줍니다. **Topics** + [SAML 2.0 구성 및 WorkSpaces Pools 디렉터리 만들기](create-directory-pools.md) + [WorkSpaces Pools의 디렉터리 세부 정보 업데이트](update-directory-pools-details.md) + [WorkSpaces Pools 디렉터리 삭제](delete-directory-pools.md) # SAML 2.0 구성 및 WorkSpaces Pools 디렉터리 만들기 SAML 2.0을 사용하여 ID 페더레이션을 설정하면 WorkSpaces 클라이언트 애플리케이션 등록을 활성화하고 WorkSpaces Pools의 WorkSpaces에 로그인할 수 있습니다. 이렇게 하려면 AWS Identity and Access Management (IAM) 역할과 릴레이 상태 URL을 사용하여 SAML 2.0 ID 제공업체(IdP)를 구성하고 AWS에 대해 활성화합니다. 이렇게 하면 페더레이션 사용자에게 WorkSpaces Pools 디렉터리에 대한 액세스 권한이 부여됩니다. 릴레이 상태는 사용자가 AWS에 성공적으로 로그인한 후 전달되는 WorkSpaces 디렉터리 엔드포인트입니다. **중요** WorkSpaces Pools는 IP 기반 SAML 2.0 구성을 지원하지 않습니다. **Topics** + [1단계: 요구 사항 고려](#saml-directory-consider-the-requirements) + [2단계: 사전 조건 완료](#saml-directory-complete-the-prereqs) + [3단계: IAM에서 SAML ID 제공업체 만들기](#saml-directory-create-saml-idp) + [4단계: WorkSpace Pools 디렉터리 만들기](#saml-directory-create-wsp-pools-directory) + [5단계: SAML 2.0 페더레이션 IAM 역할 만들기](#saml-directory-saml-federation-role-in-iam) + [6단계: SAML 2.0 ID 제공업체 구성](#saml-directory-configure-saml-idp) + [7단계: SAML 인증 응답을 위한 어설션 만들기](#saml-directory-create-assertions) + [8단계: 페더레이션의 릴레이 상태 구성](#saml-directory-configure-relay-state) + [9단계: WorkSpaces Pools 디렉터리에서 SAML 2.0과의 통합 활성화](#saml-directory-enable-saml-integration) + [문제 해결](#saml-pools-troubleshooting) + [WorkSpaces Pools 디렉터리의 Active Directory 세부 정보 지정](pools-service-account-details.md) ## 1단계: 요구 사항 고려 WorkSpaces Pools 디렉터리에 대한 SAML을 설정할 때 다음 요구 사항이 적용됩니다. + Workspaces\$1DefaultRole IAM 역할은 AWS 계정에 있어야 합니다. 이 역할은 WorkSpaces 빠른 설정을 사용하거나 이전에 AWS Management Console을 사용하여 WorkSpace를 시작한 경우 자동으로 만들어집니다. 사용자를 대신하여 특정 AWS 리소스에 액세스할 수 있는 권한을 Amazon WorkSpaces에 부여합니다. 역할이 이미 존재하는 경우 Amazon WorkSpaces가 WorkSpaces Pools용 AWS 계정의 필수 리소스에 액세스하는 데 사용하는 AmazonWorkSpacesPoolServiceAccess 관리형 정책을 연결해야 할 수도 있습니다. 자세한 내용은 [workspaces\$1DefaultRole 역할 생성](workspaces-access-control.md#create-default-role) 및 [AWS 관리형 정책: AmazonWorkSpacesPoolServiceAccess](managed-policies.md#workspaces-pools-service-access) 섹션을 참조하세요. + 기능을 지원하는 AWS 리전 에서 WorkSpaces Pools에 대한 SAML 2.0 인증을 구성할 수 있습니다. 자세한 내용은 [AWS 리전 WorkSpaces Pools의 및 가용 영역](wsp-pools-regions.md) 섹션을 참조하세요. + WorkSpaces에서 SAML 2.0 인증을 사용하려면 IdP가 딥링크 대상 리소스 또는 릴레이 상태 엔드포인트 URL과 함께 요청되지 않은 IdP 시작 SSO를 지원해야 합니다. 이를 지원하는 IdP의 예로는 ADFS, Azure AD, Duo Single Sign-On, Okta, PingFederate, PingOne 등이 있습니다. 자세한 내용은 IdP 설명서를 참조하세요. + SAML 2.0 인증은 다음 WorkSpaces 클라이언트에서만 지원됩니다. 최신 WorkSpaces 클라이언트는 [Amazon WorkSpaces 클라이언트 다운로드 페이지](https://clients.amazonworkspaces.com/)를 참조하세요. + Windows 클라이언트 애플리케이션 버전 5.20.0 이상 + macOS 클라이언트 버전 5.20.0 이상 + 웹 액세스 ## 2단계: 사전 조건 완료 WorkSpaces 풀 디렉터리에 SAML 2.0 IdP 연결을 구성하기 전에 다음 사전 요구 사항을 충족하세요. + IdP를 구성하여 AWS와 신뢰 관계를 설정합니다. + AWS 페더레이션 구성에 대한 자세한 내용은 [타사 SAML 솔루션 공급자를와 통합 AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_saml_3rd-party.html)을 참조하세요. 관련 예로는 AWS Management Console에 액세스하기 위한 IAM과의 IdP 통합이 있습니다. + IdP를 사용하여 조직을 IdP로 설명하는 페더레이션 메타데이터 문서를 생성하고 다운로드합니다. 이 서명된 XML 문서는 신뢰 당사자 신뢰를 설정하는 데 사용됩니다. 나중에 IAM 콘솔에서 액세스할 수 있는 위치에 이 파일을 저장합니다. + WorkSpaces 콘솔을 사용하여 WorkSpaces 풀 디렉터리를 만듭니다. 자세한 내용은 [WorkSpaces Pools에서 Active Directory 사용](active-directory.md) 섹션을 참조하세요. + 지원되는 디렉터리 유형을 사용하여 IdP에 로그인할 수 있는 사용자를 위한 WorkSpaces Pools를 만듭니다. 자세한 내용은 [WorkSpaces Pool 만들기](set-up-pools-create.md) 섹션을 참조하세요. ## 3단계: IAM에서 SAML ID 제공업체 만들기 시작하려면 IAM에서 SAML IdP를 만들어야 합니다. 이 IdP는 조직의 IdP 소프트웨어에서 생성된 메타데이터 문서를 사용하여 조직의 IdP-신AWS 뢰 관계를 정의합니다. 자세한 내용은 *AWS Identity and Access Management IAM 사용 설명서*의 [SAML 자격 증명 공급자 생성 및 관리](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml.html#idp-manage-identityprovider-console)를 참조하세요. AWS GovCloud (US) Regions의 SAML IdP 작업에 대한 자세한 내용은 *AWS GovCloud (US) 사용 설명서*의 [AWS Identity and Access Management](https://docs.aws.amazon.com//govcloud-us/latest/UserGuide/govcloud-iam.html) 섹션을 참조하세요. ## 4단계: WorkSpace Pools 디렉터리 만들기 다음 절차를 완료하여 WorkSpaces Pools 디렉터리를 만듭니다. 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) WorkSpaces 콘솔을 엽니다. 1. 탐색 창에서 **디렉터리**를 선택합니다. 1. **디렉터리 생성**을 선택합니다. 1. **WorkSpace 유형**에서 **풀**을 선택합니다. 1. 페이지의 **사용자 ID 소스** 섹션에서 다음을 수행합니다. 1. **사용자 액세스 URL** 텍스트 상자에 자리 표시자 값을 입력합니다. 예를 들어 텍스트 상자에 `placeholder`를 입력합니다. 나중에 IdP에서 애플리케이션 권한을 설정한 후 이 내용을 편집합니다. 1. **릴레이 상태 파라미터 이름** 텍스트 상자를 비워 둡니다. 나중에 IdP에서 애플리케이션 권한을 설정한 후 이 내용을 편집합니다. 1. 페이지의 **디렉터리 정보** 섹션에 디렉터리의 이름과 설명을 입력합니다. 디렉터리 이름과 설명은 128자 미만이어야 하며, 영숫자와 특수 문자(`_ @ # % * + = : ? . / ! \ -`)를 포함할 수 있습니다. 디렉터리 이름과 설명은 특수 문자로 시작할 수 없습니다. 1. 페이지의 **네트워킹 및 보안** 섹션에서 다음을 수행합니다. 1. VPC를 선택하고 애플리케이션에 필요한 네트워크 리소스에 액세스할 수 있는 서브넷 두 개를 선택합니다. 내결함성을 높이려면 서로 다른 가용 영역에 있는 두 개의 서브넷을 선택해야 합니다. 1. WorkSpaces가 VPC에서 네트워크 링크를 만들 수 있도록 허용하는 보안 그룹을 선택합니다. 보안 그룹은 WorkSpaces에서 VPC로 흐르도록 허용되는 네트워크 트래픽을 제어합니다. 예를 들어 보안 그룹이 모든 인바운드 HTTPS 연결을 제한하는 경우, 웹 포털에 액세스하는 사용자는 WorkSpaces에서 HTTPS 웹 사이트를 로드할 수 없습니다. 1. **Active Directory Config** 섹션은 선택 사항입니다. 그러나 WorkSpaces Pools와 함께 AD를 사용할 계획이라면 WorkSpaces Pools 디렉터리를 만드는 동안 Active Directory(AD) 세부 정보를 지정해야 합니다. WorkSpaces Pools 디렉터리를 만든 후에는 그에 대한 **Active Directory Config**을 편집할 수 없습니다. WorkSpaces 풀 디렉터리에 대한 AD 세부 정보를 지정하는 방법에 대한 자세한 내용은 [WorkSpaces Pools 디렉터리의 Active Directory 세부 정보 지정](pools-service-account-details.md) 섹션을 참조하세요. 해당 주제에 설명된 프로세스를 완료한 후 이 주제로 돌아가 WorkSpaces Pools 디렉터리 만들기를 완료해야 합니다. WorkSpaces Pools에서 AD를 사용할 계획이 없는 경우 **Active Directory Config** 섹션을 건너뛸 수 있습니다. 1. 페이지의 **스트리밍 속성** 섹션에서 다음을 수행합니다. + 클립보드 권한 동작을 선택하고, 로컬 문자 제한에 복사를 입력하고(선택 사항), 원격 세션 문자 제한에 붙여넣습니다(선택 사항). + 로컬 디바이스로 인쇄를 허용할지 여부를 선택합니다. + 진단 로깅을 허용할지 여부를 선택합니다. + 스마트 카드 로그인을 허용할지 여부를 선택합니다. 이 기능은 이 절차의 앞부분에서 AD 구성을 활성화한 경우에만 적용됩니다. 1. 페이지의 **스토리지** 섹션에서 홈 폴더를 활성화하도록 선택할 수 있습니다. 1. 페이지의 **IAM 역할** 섹션에서 모든 데스크톱 스트리밍 인스턴스에서 사용할 수 있는 IAM 역할을 선택합니다. 새 IAM 역할을 만들려면 **새 IAM 역할 생성**을 선택합니다. 계정의 IAM 역할을 WorkSpace Pool 디렉터리에 적용할 때 자격 AWS 증명을 수동으로 관리하지 않고도 WorkSpace Pool의 WorkSpace에서 AWS API를 요청할 수 있습니다. 자세한 내용은 *AWS Identity and Access Management 사용 설명서*의 [IAM 사용자에게 권한을 위임할 역할 생성](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-user.html)을 참조하세요. 1. **디렉터리 생성**을 선택합니다. ## 5단계: SAML 2.0 페더레이션 IAM 역할 만들기 IAM 콘솔에서 SAML 2.0 페더레이션 IAM 역할을 만들려면 다음 절차를 완료합니다. 1. IAM 콘솔([https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/secretsmanager/))을 엽니다. 1. 탐색 창에서 **역할**을 선택합니다. 1. 역할 생성을 선택합니다. 1. 신뢰할 수 있는 엔터티 유형에서 **SAML 2.0 페더레이션**을 선택합니다. 1. SAML 2.0 기반 공급자의 경우 IAM에서 만든 ID 제공업체를 선택합니다. 자세한 내용은 [IAM에서 SAML ID 공급자 생성](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml.html?)을 참조하세요. 1. 허용할 액세스에서 **프로그래밍 방식 액세스만 허용**을 선택합니다. 1. 특성에 대해 ** SAML:sub\$1type**을 선택합니다. 1. **값**에 `https://signin.aws.amazon.com/saml`를 입력합니다. 이 값은 `persistent` 값을 갖는 SAML 주체 유형 어설션을 포함하는 SAML 사용자 스트리밍 요청으로 역할 액세스를 제한합니다. SAML:sub\$1type이 persistent인 경우, IdP는 특정 사용자의 모든 SAML 요청에서 `NameID` 요소에 대해 동일한 고유한 값을 전송합니다. 자세한 내용은 *AWS Identity and Access Management 사용 설명서*의 [SAML 기반 페더레이션에서 사용자를 고유하게 식별](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_saml.html#CreatingSAML-userid)을 참조하세요. 1. **다음**을 선택하여 계속 진행합니다. 1. **권한 추가** 페이지에서 변경하거나 선택하지 마세요. **다음**을 선택하여 계속 진행합니다. 1. 역할의 이름과 설명을 입력합니다. 1. **역할 생성**을 선택합니다. 1. **역할** 페이지에서 방금 만든 역할을 선택합니다. 1. **신뢰 관계** 탭을 선택합니다. 1. **신뢰 정책 편집**을 선택합니다. 1. **신뢰 정책 편집** 텍스트 상자에서 신뢰 정책에 **sts:TagSession** 작업을 추가합니다. 자세한 내용은 *AWS Identity and Access Management 사용 설명서*의 [AWS STS에서 세션 태그 전달](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_session-tags.html)을 참조하세요. 결과는 다음 예제와 같아야 합니다. ![\[신뢰 정책의 예입니다.\]](http://docs.aws.amazon.com/ko_kr/workspaces/latest/adminguide/images/iam-saml-federation-policy-sts-tagsession.png) 1. **정책 업데이트**를 선택합니다. 1. **권한** 탭을 선택합니다. 1. **권한 정책** 탭에서 **권한 추가**를 선택한 다음 **인라인 정책 생성**을 선택합니다. 1. 페이지의 **정책 편집기** 섹션에서 **JSON**을 선택합니다. 1. **정책 편집기** JSON 텍스트 상자에 다음 정책을 입력합니다. 다음을 교체해야 합니다. + WorkSpace Pools 디렉터리를 만든 AWS 리전의 코드가 포함된 **입니다. + AWS 계정 ID가 인 **입니다. + ** 이전에 만들 디렉터리의 ID입니다. WorkSpaces 콘솔에서 확인할 수 있습니다. 의 리소스의 경우 ARN에 형식을 AWS GovCloud (US) Regions사용합니다`arn:aws-us-gov:workspaces:::directory/`. 1. 다음을 선택합니다. 1. 정책 이름을 입력한 후 **정책 생성**을 선택합니다. ## 6단계: SAML 2.0 ID 제공업체 구성 SAML 2.0 IdP에 따라 AWS 를 서비스 제공업체로 신뢰하도록 IdP를 수동으로 업데이트해야 할 수도 있습니다. [https://signin.aws.amazon.com/static/saml-metadata.xml](https://signin.aws.amazon.com/static/saml-metadata.xml)에 있는 `saml-metadata.xml` 파일을 다운로드한 다음 IdP에 업로드하면 됩니다. 이 작업은 IdP의 메타데이터를 업데이트합니다. 일부 IdP의 경우 업데이트가 이미 구성되어 있을 수 있습니다. 이미 구성된 경우 이 단계를 건너뛸 수 있습니다. IdP에서 업데이트가 아직 구성되어 있지 않다면 IdP가 제공하는 설명서에서 메타데이터 업데이트 방법에 대한 정보를 검토하세요. 일부 공급자는 대시보드에 XML 파일의 URL을 입력할 수 있는 옵션을 제공하며, IdP가 자동으로 해당 파일을 획득하고 설치합니다. 다른 경우에는 URL에서 파일을 다운로드한 다음 대시보드에 업로드해야 합니다. **중요** 이때 IdP의 사용자에게 IdP에서 구성한 WorkSpaces 애플리케이션에 액세스할 수 있는 권한을 부여할 수도 있습니다. 디렉터리의 WorkSpaces 애플리케이션에 액세스할 수 있는 권한이 있는 사용자에게는 WorkSpace가 자동으로 생성되지 않습니다. 마찬가지로 WorkSpace가 생성되는 사용자에게는 WorkSpaces 애플리케이션에 대한 액세스 권한이 자동으로 부여되지 않습니다. SAML 2.0 인증을 사용하여 WorkSpace에 성공적으로 연결하려면 사용자가 IdP의 인증을 받아야 하며 WorkSpace가 생성되어 있어야 합니다. ## 7단계: SAML 인증 응답을 위한 어설션 만들기 IdP가 인증 응답에서 SAML 속성 AWS 으로에 보내는 정보를 구성합니다. IdP에 따라 이 정보가 이미 구성되어 있을 수 있습니다. 이미 구성된 경우 이 단계를 건너뛸 수 있습니다. 아직 구성되지 않은 경우 다음을 제공합니다. + **SAML 주체 이름 ID** - 로그인하는 사용자의 고유한 식별자입니다. 이 필드의 형식/값은 변경하지 마세요. 그렇지 않으면 사용자가 다른 사용자로 취급되므로 홈 폴더 기능이 정상적으로 작동하지 않습니다. **참고** 도메인에 가입된 WorkSpaces Pools의 경우 사용자의 `NameID` 값은 `sAMAccountName`을 사용하는 `domain\username` 형식으로, `userPrincipalName`을 사용하는 `username@domain.com` 형식 또는 `userName`만 제공해야 합니다. `sAMAccountName` 형식을 사용하는 경우 NetBIOS 이름 또는 정규화된 도메인 이름(FQDN)을 사용하여 도메인을 지정할 수 있습니다. `sAMAccountName` 형식은 Active Directory 단방향 신뢰 시나리오에 필요합니다. 자세한 내용은 [WorkSpaces Pools에서 Active Directory 사용](active-directory.md) 섹션을 참조하세요. `userName`만 제공되면 사용자는 기본 도메인에 로그인됩니다. + **SAML 주체 유형(값이 `persistent`로 설정됨)** - 값을 `persistent`로 설정하면 IdP는 특정 사용자의 모든 SAML 요청에서 `NameID` 요소에 대해 동일한 고유한 값을 전송합니다. [5단계: SAML 2.0 페더레이션 IAM 역할 만들기](#saml-directory-saml-federation-role-in-iam) 섹션에 설명된 대로 IAM 정책에 SAML `sub_type`이 `persistent`로 설정된 SAML 요청만 허용하는 조건이 포함되어 있는지 확인하세요. + **`Name` 속성이 https://aws.amazon.com/SAML/Attributes/Role로 설정된 `Attribute` 요소** - 이 요소는 IAM 역할과 사용자가 IdP에 의해 매핑되는 SAML IdP를 나열하는 1개 이상의 `AttributeValue` 요소를 포함합니다. 역할과 IdP는 쉼표로 구분된 ARN 쌍으로 지정됩니다. 예상 값의 예는 `arn:aws:iam:::role/,arn:aws:iam:::saml-provider/`입니다. + **`Attribute` `Name` 속성이 https://aws.amazon.com/SAML/Attributes/RoleSessionName 설정된 요소** -이 요소에는 SSO용으로 발급된 AWS 임시 자격 증명의 식별자를 제공하는 `AttributeValue` 요소 하나가 포함되어 있습니다. `AttributeValue` 요소의 값은 2\$164자 사이여야 하며 영숫자와 특수 문자 `_ . : / = + - @`를 포함할 수 있습니다. 공백은 포함할 수 없습니다. 이 값은 일반적으로 이메일 주소 또는 사용자 위탁자 이름(UPN)입니다. 사용자의 표시 이름과 같이 값이 공백을 포함하면 안 됩니다. + **`Name` 속성이 https://aws.amazon.com/SAML/Attributes/PrincipalTag:Email로 설정된 `Attribute` 요소** - 이 요소에는 사용자의 이메일 주소를 제공하는 하나의 `AttributeValue` 요소가 포함되어 있습니다. 이 값은 WorkSpaces 디렉터리에 정의된 WorkSpaces 사용자 이메일 주소와 일치해야 합니다. 태그 값에는 문자, 숫자, 공백, `_ . : / = + - @` 기호의 조합이 포함될 수 있습니다. 자세한 내용은 *AWS Identity and Access Management IAM 사용 설명서*의 [IAM 및 AWS STS의 태그 지정 규칙](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_tags.html#id_tags_rules)을 참조하세요. + (선택 사항) **`Name` 속성이 https://aws.amazon.com/SAML/Attributes/PrincipalTag:UserPrincipalName으로 설정된 `Attribute` 요소** - 이 요소에는 로그인하는 사용자에게 Active Directory `userPrincipalName`을 제공하는 하나의 `AttributeValue` 요소가 포함되어 있습니다. 제공하는 값의 형식은 `username@domain.com`이어야 합니다. 이 파라미터는 인증서 기반 인증과 함께 최종 사용자 인증서의 주체 대체 이름으로 사용됩니다. 자세한 내용은 [인증서 기반 인증 및 WorkSpaces Personal](certificate-based-authentication.md) 섹션을 참조하세요. + (선택 사항) **`Name` 속성이 https://aws.amazon.com/SAML/Attributes/PrincipalTag:ObjectSid(선택 사항)으로 설정된 `Attribute` 요소** - 이 요소에는 로그인하는 사용자에게 Active Directory 보안 식별자(SID)를 제공하는 하나의 `AttributeValue` 요소가 포함되어 있습니다. 이 파라미터는 Active Directory 사용자에 대한 강력한 매핑을 지원하기 위해 인증서 기반 인증과 함께 사용됩니다. 자세한 내용은 [인증서 기반 인증 및 WorkSpaces Personal](certificate-based-authentication.md) 섹션을 참조하세요. + (선택 사항) **`Name` 속성이 https://aws.amazon.com/SAML/Attributes/PrincipalTag:Domain으로 설정된 `Attribute` 요소** - 이 요소에는 로그인하는 사용자에게 Active Directory DNS 정규화된 도메인 이름(FQDN)을 제공하는 `AttributeValue` 요소 하나가 포함되어 있습니다. 이 파라미터는 사용자의 Active Directory `userPrincipalName`에 대체 접미사가 포함된 경우 인증서 기반 인증에 사용됩니다. 값은 모든 하위 도메인을 포함하여 `domain.com` 형식으로 제공되어야 합니다. + (선택 사항) **`Name` 속성이 https://aws.amazon.com/SAML/Attributes/SessionDuration 로 설정된 `Attribute` 요소** - 이 요소에는 사용자의 페더레이션 스트리밍 세션이 재인증이 필요하기 전에 활성 상태로 유지될 수 있는 최대 시간을 지정하는 `AttributeValue` 요소가 하나 포함되어 있습니다. 기본값은 `3600`초(60분)입니다. 자세한 내용은 *AWS Identity and Access Management 사용 설명서*의 [SAML SessionDurationAttribute](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml_assertions.html#saml_role-session-duration)를 참조하세요. **참고** `SessionDuration`은 선택적 속성이지만 SAML 응답에 포함시키는 것이 좋습니다. 이 속성을 지정하지 않으면 세션 기간은 기본값인 `3600`초(60분)로 설정됩니다. WorkSpaces 데스크톱 세션은 세션 기간이 만료되면 연결이 끊깁니다. 이러한 요소를 구성하는 방법에 대한 자세한 내용은 *AWS Identity and Access Management 사용 설명서*의 [인증 응답에 대한 SAML 어설션 구성](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml_assertions.html)을 참조하세요. IdP의 구체적 구성 요구 사항에 대한 자세한 내용은 IdP의 설명서를 참조하세요. ## 8단계: 페더레이션의 릴레이 상태 구성 IdP를 사용하여 WorkSpaces Pools 디렉터리 릴레이 상태 URL을 가리키도록 페더레이션의 릴레이 상태를 구성합니다. 에서 인증 AWS에 성공하면 사용자는 SAML 인증 응답에서 릴레이 상태로 정의된 WorkSpaces Pools 디렉터리 엔드포인트로 이동합니다. 릴레이 상태 URL 형식은 다음과 같습니다. ``` https://relay-state-region-endpoint/sso-idp?registrationCode=registration-code ``` 다음 표에는 WorkSpaces SAML 2.0 인증을 사용할 수 있는 AWS 리전의 릴레이 상태 엔드포인트가 나열되어 있습니다. WorkSpaces Pools 기능을 사용할 수 없는 AWS 리전은 제거되었습니다. | 리전 | 릴레이 상태 엔드포인트 | | --- | --- | | 미국 동부(버지니아 북부) 리전 | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/workspaces/latest/adminguide/create-directory-pools.html) | | 미국 서부(오리건) 리전 | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/workspaces/latest/adminguide/create-directory-pools.html) | | 아시아 태평양(뭄바이) 리전 | workspaces.euc-sso.ap-south-1.aws.amazon.com | | 아시아 태평양(서울) 리전 | workspaces.euc-sso.ap-northeast-2.aws.amazon.com | | 아시아 태평양(싱가포르) 리전 | workspaces.euc-sso.ap-southeast-1.aws.amazon.com | | 아시아 태평양(시드니) 리전 | workspaces.euc-sso.ap-southeast-2.aws.amazon.com | | 아시아 태평양(도쿄) 리전 | workspaces.euc-sso.ap-northeast-1.aws.amazon.com | | 캐나다(중부) 리전 | workspaces.euc-sso.ca-central-1.aws.amazon.com | | 유럽(프랑크푸르트) 리전 | workspaces.euc-sso.eu-central-1.aws.amazon.com | | 유럽(아일랜드) 리전 | workspaces.euc-sso.eu-west-1.aws.amazon.com | | 유럽(런던) 리전 | workspaces.euc-sso.eu-west-2.aws.amazon.com | | 남아메리카(상파울루) 리전 | workspaces.euc-sso.sa-east-1.aws.amazon.com | | AWS GovCloud(미국 서부) | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/workspaces/latest/adminguide/create-directory-pools.html) AWS GovCloud (US) Regions의 SAML IdP 작업에 대한 자세한 내용은 *AWS GovCloud(US) 사용 설명서*의 [Amazon WorkSpaces](https://docs.aws.amazon.com/govcloud-us/latest/UserGuide/govcloud-workspaces.html)를 참조하세요. | | AWS GovCloud(미국 동부) | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/workspaces/latest/adminguide/create-directory-pools.html) AWS GovCloud (US) Regions의 SAML IdP 작업에 대한 자세한 내용은 *AWS GovCloud(US) 사용 설명서*의 [Amazon WorkSpaces](https://docs.aws.amazon.com/govcloud-us/latest/UserGuide/govcloud-workspaces.html)를 참조하세요. | ## 9단계: WorkSpaces Pools 디렉터리에서 SAML 2.0과의 통합 활성화 WorkSpaces Pools 디렉터리에 대해 SAML 2.0 인증을 활성화하려면 다음 절차를 완료합니다. 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) WorkSpaces 콘솔을 엽니다. 1. 탐색 창에서 **디렉터리**를 선택합니다. 1. **Pools 디렉터리** 탭을 선택합니다. 1. 편집하려는 디렉터리의 ID를 선택합니다. 1. 페이지의 **인증** 섹션에서 **편집**을 선택합니다. 1. **SAML 2.0 ID 제공업체 편집**을 선택합니다. 1. 'SSO URL'이라고도 하는 **사용자 액세스 URL**의 경우 자리 표시자 값을 IdP에서 제공한 SSO URL로 바꿉니다. 1. **IdP 딥링크 파라미터 이름**에는 IdP와 구성한 애플리케이션에 적용 가능한 파라미터를 입력합니다. 파라미터 이름을 생략하면 기본값은 `RelayState`입니다. 다음 표에는 애플리케이션의 다양한 ID 제공업체에 고유한 사용자 액세스 URL 및 딥링크 파라미터 이름이 나와 있습니다. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/workspaces/latest/adminguide/create-directory-pools.html) 1. **저장**을 선택합니다. **중요** 사용자로부터 SAML 2.0을 취소해도 세션이 직접 연결 해제되지 않습니다. 제한 시간이 시작된 후에만 제거됩니다. 또한 [TerminateWorkspacesPoolSession](https://docs.aws.amazon.com//workspaces/latest/api/API_TerminateWorkspacesPoolSession.html) API를 사용하여 종료할 수도 있습니다. ## 문제 해결 다음 정보는 WorkSpaces Pools와 관련된 특정 문제를 해결하는 데 도움이 될 수 있습니다. ### SAML 인증을 완료한 후 WorkSpaces Pools 클라이언트에서 "로그인할 수 없음" 메시지가 표시됩니다 SAML 클레임의 `nameID` 및 `PrincipalTag:Email`은 Active Directory에 구성된 사용자 이름 및 이메일과 일치해야 합니다. 일부 IdP의 경우 특정 속성을 조정한 후 업데이트, 새로 고침 또는 재배포가 필요할 수 있습니다. 조정했는데 SAML 캡처에 반영되지 않은 경우 변경 사항을 적용하는 데 필요한 특정 단계에 대한 IdP의 설명서 또는 지원 프로그램을 참조하세요. # WorkSpaces Pools 디렉터리의 Active Directory 세부 정보 지정 이 주제에서는 WorkSpaces 콘솔의 **WorkSpaces Pools 디렉터리 만들기** 페이지에서 Active Directory(AD) 세부 정보를 지정하는 방법을 보여줍니다. WorkSpaces Pools 디렉터리를 생성할 때 WorkSpaces Pools과 함께 AD를 사용할 계획이라면 AD 세부 정보를 지정해야 합니다. WorkSpaces Pools 디렉터리를 만든 후에는 그에 대한 **Active Directory Config**을 편집할 수 없습니다. 다음은 **WorkSpaces 풀 디렉터리 생성** 페이지의 **Active Directory Config** 섹션의 예입니다. ![\[WorkSpaces 풀 디렉터리 생성 페이지의 Active Directory Config 섹션입니다.\]](http://docs.aws.amazon.com/ko_kr/workspaces/latest/adminguide/images/pools-wsp-active-directory-config.png) **참고** WorkSpaces Pools 디렉터리를 만드는 전체 프로세스는 [SAML 2.0 구성 및 WorkSpaces Pools 디렉터리 만들기](create-directory-pools.md) 주제에 설명되어 있습니다. 이 페이지에 설명된 절차는 WorkSpaces Pools 디렉터리를 만드는 전체 프로세스의 일부 단계만 나타냅니다. **Topics** + [AD의 조직 단위 및 디렉터리 도메인 이름을 지정합니다.](#pools-specify-ou-and-directory-domain) + [AD의 서비스 계정 지정](#pools-specify-access-account) ## AD의 조직 단위 및 디렉터리 도메인 이름을 지정합니다. **WorkSpaces 풀 디렉터리 생성** 페이지에서 AD의 조직 단위(OU)와 디렉터리 도메인 이름을 지정하려면 다음 절차를 완료합니다. 1. **조직 단위**에 풀이 속한 OU를 입력합니다. WorkSpaces 머신 계정은 WorkSpaces Pools 디렉터리의 기본 조직 구성 단위(OU)에 배치됩니다. **참고** OU 이름에는 공백이 있어서는 안 됩니다. 공백이 포함된 OU 이름을 지정하면 Active Directory 도메인에 다시 조인하려고 시도할 때 WorkSpaces가 컴퓨터 객체를 올바르게 순환할 수 없고 도메인에 다시 조인할 수 없습니다. 1. **디렉터리 도메인 이름**에는 Active Directory의 정규화된 도메인 이름(FQDN)(예: `corp.example.com`)을 입력합니다. 각 AWS 리전에는 특정 디렉터리 이름을 가진 디렉터리 구성 값이 하나만 있을 수 있습니다. + WorkSpaces Pools 디렉터리를 Microsoft Active Directory의 도메인에 조인할 수 있습니다. 클라우드 기반 또는 온프레미스의 기존 Active Directory 도메인을 사용하여 도메인 조인 WorkSpaces를 시작할 수도 있습니다. + 라고도 하는 AWS Directory Service for Microsoft Active Directory AWS Managed Microsoft AD를 사용하여 Active Directory 도메인을 생성할 수도 있습니다. 그런 다음 해당 도메인을 사용하여 WorkSpaces 리소스를 지원할 수 있습니다. + WorkSpaces를 Active Directory 도메인에 조인하여 다음을 수행할 수 있습니다. + 사용자와 애플리케이션이 스트리밍 세션에서 프린터나 파일 공유 같은 Active Directory 리소스에 액세스할 수 있습니다. + 그룹 정책 관리 콘솔(GPMC)에서 사용할 수 있는 그룹 정책 설정을 사용하여 최종 사용자 환경을 정의합니다. + 사용자가 Active Directory 로그인 자격 증명을 사용하여 인증해야 하는 애플리케이션을 스트리밍합니다. + WorkSpaces 스트리밍 인스턴스에 엔터프라이즈 규정 준수 및 보안 정책을 적용합니다. 1. **서비스 계정**의 경우 이 페이지의 [AD의 서비스 계정 지정](#pools-specify-access-account) 다음 섹션으로 계속 진행합니다. ## AD의 서비스 계정 지정 디렉터리 만들기 프로세스의 일부로 WorkSpaces Pools에 대한 Active Directory(AD)를 구성할 때는 AD 관리에 사용할 AD 서비스 계정을 지정해야 합니다. 이를 위해서는 ( AWS Key Management Service AWS KMS) 고객 관리형 키를 사용하여에 저장 AWS Secrets Manager 하고 암호화해야 하는 서비스 계정 자격 증명을 제공해야 합니다. 이 섹션에서는 AD 서비스 계정 자격 증명을 저장하기 위해 AWS KMS 고객 관리형 키와 Secrets Manager 보안 암호를 생성하는 방법을 보여줍니다. ### 1단계: AWS KMS 고객 관리형 키 생성 다음 절차를 완료하여 AWS KMS 고객 관리형 키를 생성합니다. 1. [https://console.aws.amazon.com/kms](https://console.aws.amazon.com/kms) AWS KMS 콘솔을 엽니다. 1. 를 변경하려면 페이지 오른쪽 상단에 있는 리전 선택기를 AWS 리전사용합니다. 1. **키 생성**을 선택하고 **다음**을 선택합니다. 1. 키 유형으로 **대칭**을 선택하고, 키 사용으로 **암호화 및 해독**을 선택한 후 **다음**을 선택합니다. 1. `WorkSpacesPoolDomainSecretKey`와 같은 키 별칭을 입력한 다음 **다음**을 선택합니다. 1. 키 관리자를 선택하지 마세요. **다음**을 선택하여 계속 진행합니다. 1. 키 사용 권한을 정의하지 마세요. **다음**을 선택하여 계속 진행합니다. 1. 페이지의 키 정책 섹션에서 다음을 추가합니다. ``` { "Sid": "Allow access for Workspaces SP", "Effect": "Allow", "Principal": { "Service": "workspaces.amazonaws.com" }, "Action": "kms:Decrypt", "Resource": "*" } ``` 결과는 다음 예제와 같아야 합니다. ![\[AWS KMS 키 정책의 예입니다.\]](http://docs.aws.amazon.com/ko_kr/workspaces/latest/adminguide/images/kms-key-policy-for-wsp-pools-service-account.png) 1. **마침**을 클릭합니다. 이제 AWS KMS 고객 관리형 키를 Secrets Manager와 함께 사용할 준비가 되었습니다. 이 페이지의 [2단계: Secrets Manager 보안 암호를 만들어 AD 서비스 계정 자격 증명 저장](#pools-create-asm-secret) 섹션으로 계속 진행합니다. ### 2단계: Secrets Manager 보안 암호를 만들어 AD 서비스 계정 자격 증명 저장 다음 절차를 완료하여 AD 서비스 계정 자격 증명을 저장할 Secrets Manager 보안 암호를 만듭니다. 1. [https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/) AWS Secrets Manager 콘솔을 엽니다. 1. **Create a new secret(새 보안 암호 생성)**를 선택합니다. 1. **다른 유형의 암호**를 선택합니다. 1. 첫 번째 키/값 페어의 경우 키에 `Service Account Name`을 입력하고 `domain\username`과 같은 값에 대한 서비스 계정 이름을 입력합니다. 1. 두 번째 키/값 페어의 경우 키에 `Service Account Password`를 입력하고 값에 대한 서비스 계정 암호를 입력합니다. 1. 암호화 키에서 이전에 생성한 AWS KMS 고객 관리형 키를 선택한 **후 다음을** 선택합니다. 1. 보안 암호의 이름을 입력합니다(예: `WorkSpacesPoolDomainSecretAD`). 1. 페이지의 **리소스 권한** 섹션에서 **권한 편집**을 선택합니다. 1. 다음 권한 정책을 입력합니다. ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": [ "workspaces.amazonaws.com" ] }, "Action": "secretsmanager:GetSecretValue", "Resource": "*" } ] } ``` ------ 1. **저장**을 선택하여 권한 정책을 저장합니다. 1. **다음**을 선택하여 계속 진행합니다. 1. 자동 교체를 구성하지 마세요. **다음**을 선택하여 계속 진행합니다. 1. **저장**을 선택하여 보안 암호 저장을 완료합니다. 이제 AD 서비스 계정 자격 증명이 Secrets Manager에 저장됩니다. 이 페이지의 [3단계: AD 서비스 계정 자격 증명이 포함된 Secrets Manager 보안 암호를 선택합니다.](#continue-creating-pools-directory) 섹션으로 계속 진행합니다. ### 3단계: AD 서비스 계정 자격 증명이 포함된 Secrets Manager 보안 암호를 선택합니다. 다음 절차를 완료하여 WorkSpaces Pools 디렉터리의 Active Directory Config에서 만든 Secrets Manager 보안 암호를 선택합니다. + **서비스 계정**에서 서비스 계정 자격 증명이 포함된 AWS Secrets Manager 보안 암호를 선택합니다. 아직 보안 암호를 만들지 않은 경우 다음 단계를 완료하여 보안 암호를 만듭니다. 보안 암호는 AWS Key Management Service 고객 관리형 키를 사용하여 암호화해야 합니다. 이제 **WorkSpaces Pools 디렉터리 생성** 페이지의 **Active Directory Config** 섹션 내 모든 필드를 완료했으므로 WorkSpaces Pools 디렉터리 만들기를 계속 완료할 수 있습니다. [4단계: WorkSpace Pools 디렉터리 만들기](create-directory-pools.md#saml-directory-create-wsp-pools-directory)로 이동하여 절차의 9단계를 시작합니다. # WorkSpaces Pools의 디렉터리 세부 정보 업데이트 WorkSpaces Pools 콘솔을 사용하여 다음 디렉터리 관리 작업을 수행할 수 있습니다. ## Authentication WorkSpaces Pools에 대한 추가 인증 옵션을 구성할 수 있습니다. 풀에는 SAML 2.0 인증이 필요합니다. **SAML 2.0 Identity Provider 인증을 활성화하고 구성하려면** 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) WorkSpaces 콘솔을 엽니다. 1. 탐색 창에서 **디렉터리**를 선택합니다. 1. 구성할 디렉터리를 선택합니다. 1. 인증으로 이동하여 **편집**을 선택합니다. 1. **SAML 2.0 ID 제공업체 편집**을 선택합니다. 1. **SAML 2.0 인증 활성화** 확인란을 선택합니다. 1. **사용자 액세스 URL**을 입력하여 페더레이션 로그인 중에 WorkSpaces Pools 클라이언트를 지시합니다. 1. **IdP 딥 링크 파라미터 이름**을 입력합니다(선택 사항). 1. **저장**을 선택합니다. **인증서 기반 인증을 활성화 및 구성하려면** 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) WorkSpaces 콘솔을 엽니다. 1. 탐색 창에서 **디렉터리**를 선택합니다. 1. 구성할 디렉터리를 선택합니다. 1. 인증으로 이동하여 **편집**을 선택합니다. 1. **인증서 기반 인증 편집**을 클릭합니다. 1. **인증서 기반 인증 활성화** 확인란을 선택합니다. 1. 드롭다운에서 **AWS Certificate Manager (ACM) 프라이빗 인증 기관(CA)**을 선택합니다. 1. **저장**을 선택합니다. ## 보안 그룹 디렉터리의 WorkSpaces Pools에 보안 그룹을 적용합니다. **WorkSpaces Pools에 대한 보안 그룹을 구성하려면** 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) WorkSpaces 콘솔을 엽니다. 1. 탐색 창에서 **디렉터리**를 선택합니다. 1. 구성할 디렉터리를 선택합니다. 1. 보안 그룹으로 이동하여 **편집**을 선택합니다. 1. 드롭다운에서 보안 그룹을 선택합니다. ## Active Directory Config 조직 단위(OU), 디렉터리 도메인 이름 및 AWS Secrets Manager 보안 암호를 사용하여 디렉터리 Active Directory Config를 구성합니다. **Active Directory를 구성하려면** 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) WorkSpaces 콘솔을 엽니다. 1. 탐색 창에서 **디렉터리**를 선택합니다. 1. 구성할 디렉터리를 선택합니다. 1. Active Directory Config로 이동하여 **편집**을 선택합니다. 1. 조직 단위(OU)를 찾으려면 조직 단위 이름의 전부 또는 일부를 입력하고 사용하려는 조직 단위를 선택할 수 있습니다. **참고** (선택 사항) OU를 선택한 후 기존 WorkSpaces를 재구축하여 OU를 업데이트합니다. 자세한 내용은 [WorkSpaces Personal에서 WorkSpaces 재구축](rebuild-workspace.md) 섹션을 참조하세요. 1. **저장**을 선택합니다. **참고** 풀을 생성한 후에는 디렉터리 도메인 이름과 AWS Secrets Manager 보안 암호를 편집할 수 없습니다. ## 스트리밍 속성 사용자가 풀링된 WorkSpace와 로컬 디바이스 간에 데이터를 전송할 수 있는 방법을 구성합니다. **스트리밍 속성을 구성하려면** 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) WorkSpaces 콘솔을 엽니다. 1. 탐색 창에서 **디렉터리**를 선택합니다. 1. 구성할 디렉터리를 선택합니다. 1. 스트리밍 속성으로 이동하여 **편집**을 선택합니다. 1. 다음 스트리밍 속성을 구성합니다. + 클립보드 권한 + 드롭다운 목록에서 다음 중 하나를 선택합니다. + **복사 및 붙여넣기 허용** - 로컬 디바이스에 복사하고 원격 세션에 붙여넣을 수 있습니다. + **원격 세션에 붙여넣기 허용** - 원격 세션에 붙여넣기를 허용합니다. + **로컬 디바이스로 복사 허용** - 로컬 디바이스로 복사할 수 있습니다. + 비활성화됨 + 로컬 디바이스로 인쇄를 허용할지 여부를 선택합니다. + 진단 로깅을 허용할지 여부를 선택합니다. + 스마트 카드 로그인을 허용할지 여부를 선택합니다. + 홈 폴더 스토리지를 활성화하려면 **홈 폴더 활성화**를 선택합니다. 1. **저장**을 선택합니다. ## IAM 역할 WorkSpaces Pools에 대한 IAM 역할을 선택합니다. **IAM 역할을 선택하려면** 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) WorkSpaces 콘솔을 엽니다. 1. 탐색 창에서 **디렉터리**를 선택합니다. 1. 구성할 디렉터리를 선택합니다. 1. IAM 역할로 이동하여 **편집**을 선택합니다. 1. 드롭다운 목록에서 IAM 역할을 선택합니다. 새 IAM 역할을 만들려면 **새 IAM 역할 생성**을 선택합니다. 1. **저장**을 선택합니다. ## 태그 WorkSpaces Pools에 새 태그 추가 **새 태그를 추가하려면** 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) WorkSpaces 콘솔을 엽니다. 1. 탐색 창에서 **디렉터리**를 선택합니다. 1. 구성할 디렉터리를 선택합니다. 1. 태그로 이동하여 **태그 관리**를 선택합니다. 1. **새 태그 추가**를 선택하고 사용하려는 키 페어 값을 입력합니다. 키는 "project", "owner" 또는 "environment" 등의 특정 연결 값을 가진 일반 범주일 수 있습니다. 1. **변경 사항 저장**을 선택합니다. # WorkSpaces Pools 디렉터리 삭제 WorkSpaces Pools 디렉터리를 삭제하려면 다음 절차를 완료하세요. 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) WorkSpaces 콘솔을 엽니다. 1. 탐색 창에서 **디렉터리**를 선택합니다. 1. 디렉터리를 선택합니다. 1. **작업**, **삭제**를 선택합니다. 1. 확인 메시지가 표시되면 확인 텍스트**delete**에를 입력하고 **삭제**를 선택합니다. # WorkSpaces Pools를 위한 네트워킹 및 액세스 다음 주제에서는 사용자가 WorkSpaces Pools에 연결할 수 있도록 하고 WorkSpaces Pools가 네트워크 리소스와 인터넷에 액세스할 수 있도록 하는 방법에 대해 설명합니다. **Topics** + [WorkSpaces Pools용 인터넷 액세스](internet-access.md) + [WorkSpaces Pools를 위한 VPC 구성](appstream-vpc.md) + [WorkSpaces Pools에 대한 FedRAMP 권한 부여 또는 DoD SRG 규정 준수 구성](fips-encryption-pools.md) + [WorkSpaces Pools에 Amazon S3 VPC 엔드포인트 기능 사용](managing-network-vpce-iam-policy.md) + [WorkSpaces Pools의 VPC에 연결](pools-port-requirements.md) + [WorkSpaces Pools에 대한 사용자 연결](user-connections-to-appstream2.md) # WorkSpaces Pools용 인터넷 액세스 WorkSpaces Pools의 WorkSpaces에 인터넷 액세스가 필요한 경우 여러 가지 방법으로 활성화할 수 있습니다. 인터넷 액세스를 활성화하는 방법을 선택할 때는 배포에서 지원해야 하는 사용자 수와 배포 목표를 고려하세요. 예: + 배포에서 100명 이상의 동시 사용자를 지원해야 하는 경우 [프라이빗 서브넷과 NAT 게이트웨이로 VPC를 구성](managing-network-internet-NAT-gateway.md)하세요. + 배포에서 지원하는 동시 사용자 수가 100명 미만인 경우 [퍼블릭 서브넷으로 새 VPC 또는 기존 VPC를 구성](managing-network-default-internet-access.md)할 수 있습니다. + 배포에서 동시 사용자를 100명 미만으로 지원하는데 WorkSpaces Pools 사용이 처음이고 서비스 사용을 시작하려는 경우 [기본 VPC, 퍼블릭 서브넷 및 보안 그룹을 사용](managing-network-default-internet-access.md)할 수 있습니다. 다음 섹션에서는 각 배포 옵션을 자세히 설명합니다. + [프라이빗 서브넷과 NAT 게이트웨이를 사용하여 VPC 구성](managing-network-internet-NAT-gateway.md)(권장) - 이 구성에서는 프라이빗 서브넷에서 WorkSpaces Pools 빌더를 시작하고 VPC의 퍼블릭 서브넷에서 NAT 게이트웨이를 구성합니다. 스트리밍 인스턴스에는 인터넷에서 직접 액세스할 수 없는 프라이빗 IP 주소가 할당됩니다. 또한 인터넷 액세스를 활성화하기 위해 **기본 인터넷 액세스** 옵션을 사용하는 구성과 달리 NAT 구성은 WorkSpaces Pools의 100개의 WorkSpaces로 제한되지 않습니다. 배포에서 동시 사용자를 100명 이상 지원해야 하는 경우 이 구성을 사용하세요. NAT 게이트웨이와 함께 사용할 새 VPC를 생성 및 구성하거나 기존 VPC에 NAT 게이트웨이를 추가할 수 있습니다. + [퍼블릭 서브넷이 있는 새 VPC 또는 기존 VPC 구성](managing-network-default-internet-access.md) - 이 구성을 사용하면 퍼블릭 서브넷에서 WorkSpaces Pools를 시작합니다. 이 옵션을 활성화하면 WorkSpaces Pools는 Amazon VPC 퍼블릭 서브넷의 인터넷 게이트웨이를 사용하여 인터넷 연결을 제공합니다. 스트리밍 인스턴스에는 인터넷에서 직접 액세스할 수 있는 퍼블릭 IP 주소가 할당됩니다. 이 목적을 위해 새 VPC를 생성하거나 기존 VPC를 구성할 수 있습니다. **참고** 퍼블릭 서브넷으로 새 VPC 또는 기존 VPC를 구성하면 WorkSpaces Pools에서 최대 100개의 WorkSpaces가 지원됩니다. 배포에서 동시 사용자를 100명 이상 지원해야 하는 경우 [NAT 게이트웨이 구성](managing-network-internet-NAT-gateway.md)을 대신 사용하세요. + [기본 VPC, 퍼블릭 서브넷 및 보안 그룹 사용](default-vpc-with-public-subnet.md) - WorkSpaces Pools를 처음 사용하고 서비스 사용을 시작하려면 기본 퍼블릭 서브넷에서 WorkSpaces Pools를 시작할 수 있습니다. 이 옵션을 활성화하면 WorkSpaces Pools는 Amazon VPC 퍼블릭 서브넷의 인터넷 게이트웨이를 사용하여 인터넷 연결을 제공합니다. 스트리밍 인스턴스에는 인터넷에서 직접 액세스할 수 있는 퍼블릭 IP 주소가 할당됩니다. 기본 VPC는 2013년 12월 4일 이후 생성된 Amazon Web Services 계정에서 사용할 수 있습니다. 기본 VPC에는 각 가용 영역의 기본 퍼블릭 서브넷과 VPC에 연결된 인터넷 게이트웨이가 포함됩니다. VPC에는 기본 보안 그룹도 포함되어 있습니다. **참고** 기본 VPC, 퍼블릭 서브넷 및 보안 그룹을 사용하는 경우 WorkSpaces Pools에서 최대 100개의 WorkSpaces가 지원됩니다. 배포에서 동시 사용자를 100명 이상 지원해야 하는 경우 [NAT 게이트웨이 구성](managing-network-internet-NAT-gateway.md)을 대신 사용하세요. # WorkSpaces Pools를 위한 VPC 구성 WorkSpaces Pools를 설정할 때 WorkSpaces를 시작할 가상 프라이빗 클라우드(VPC)와 하나 이상의 서브넷을 지정해야 합니다. VPC는 Amazon Web Services 클라우드에서 논리적으로 격리된 고유한 영역의 가상 네트워크입니다. 서브넷은 VPC의 IP 주소 범위입니다. WorkSpaces Pools용 VPC를 구성할 때 퍼블릭 또는 프라이빗 서브넷을 지정하거나 두 유형의 서브넷을 혼합하여 지정할 수 있습니다. 퍼블릭 서브넷은 인터넷 게이트웨이를 통해 인터넷에 직접 액세스할 수 있습니다. 프라이빗 서브넷은 인터넷 게이트웨이에 대한 라우팅이 없기 때문에 인터넷 액세스를 제공하기 위해 NAT(네트워크 주소 변환) 게이트웨이 또는 NAT 인스턴스가 필요합니다. **Topics** + [WorkSpaces Pools에 대한 VPC 설정 권장 사항](vpc-setup-recommendations.md) + [프라이빗 서브넷과 NAT 게이트웨이를 사용하여 VPC 구성](managing-network-internet-NAT-gateway.md) + [퍼블릭 서브넷이 있는 새 VPC 또는 기존 VPC 구성](managing-network-default-internet-access.md) + [기본 VPC, 퍼블릭 서브넷 및 보안 그룹 사용](default-vpc-with-public-subnet.md) # WorkSpaces Pools에 대한 VPC 설정 권장 사항 WorkSpaces Pools를 만들 때 사용할 VPC와 하나 이상의 서브넷을 지정합니다. 보안 그룹을 지정하여 VPC에 대한 추가 액세스 제어를 제공할 수 있습니다. 다음 권장 사항은 VPC를 보다 효과적이고 안전하게 구성하는 데 도움이 될 수 있습니다. 또한 효과적인 WorkSpaces Pools 조정을 지원하는 환경을 구성할 수 있습니다. 효과적인 WorkSpaces Pools 규모 조정을 통해 현재 및 예상되는 WorkSpaces 사용자 수요를 충족하면서 불필요한 리소스 사용 및 관련 비용을 피할 수 있습니다. **전체 VPC 구성** + VPC 구성이 WorkSpaces Pools 규모 조정 요구 사항을 지원할 수 있는지 확인합니다. WorkSpaces Pools 규모 조정 계획을 개발할 때 한 사용자에게 하나의 WorkSpaces가 필요하다는 점에 유의하세요. 즉, WorkSpaces Pools의 크기에 따라 동시에 스트리밍할 수 있는 사용자 수가 결정됩니다. 그러므로 사용하려는 각 [인스턴스 유형](instance-types.md)에 대해 VPC가 지원할 수 있는 WorkSpaces 수가 동일한 인스턴스 유형에 대해 예상되는 동시 사용자 수보다 많아야 합니다. + WorkSpaces Pools 계정 할당량(한도라고도 함)이 예상 수요를 지원하기에 충분한지 확인합니다. 할당량 증가를 요청하려면 [https://console.aws.amazon.com/servicequotas/](https://console.aws.amazon.com/servicequotas/)에서 서비스 할당량 콘솔을 사용합니다. 기본 WorkSpaces Pools 할당량에 대한 자세한 내용은 [Amazon WorkSpaces 할당량](workspaces-limits.md) 섹션을 참조하세요. + WorkSpaces Pools의 WorkSpaces에 인터넷에 액세스할 수 있는 권한을 제공하려는 경우 스트리밍 인스턴스용 프라이빗 서브넷 2개와 퍼블릭 서브넷의 NAT 게이트웨이로 VPC를 구성하는 것이 좋습니다. NAT 게이트웨이를 사용하면 프라이빗 서브넷의 WorkSpaces가 인터넷 또는 기타 AWS 서비스에 연결할 수 있습니다. 그러나 NAT 게이트웨이는 인터넷이 이러한 WorkSpaces와의 연결을 시작하지 못하게 합니다. 또한, 인터넷 액세스를 활성화하기 위해 **기본 인터넷 액세스** 옵션을 사용하는 구성과 달리, NAT 구성은 100개가 넘는 WorkSpaces를 지원합니다. 자세한 내용은 [프라이빗 서브넷과 NAT 게이트웨이를 사용하여 VPC 구성](managing-network-internet-NAT-gateway.md) 섹션을 참조하세요. **탄력적 네트워크 인터페이스** + WorkSpaces Pools는 WorkSpaces Pools에 필요한 최대 용량과 동일한 수의 [탄력적 네트워크 인터페이스](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_ElasticNetworkInterfaces.html)(네트워크 인터페이스)를 만듭니다. 기본적으로 리전당 네트워크 인터페이스의 제한은 5000입니다. 수천 개 WorkSpaces과 같은 대규모 배포를 위한 용량을 계획할 때는 동일한 리전에서도 사용되는 Amazon EC2 인스턴스의 수를 고려하세요. **서브넷** + VPC에 둘 이상의 프라이빗 서브넷을 구성하는 경우 각각 다른 가용 영역에서 구성합니다. 이렇게 하면 내결함성이 향상되고 용량 부족 오류를 방지할 수 있습니다. 동일한 AZ에서 두 개의 서브넷을 사용하는 경우 WorkSpaces Pools에서 두 번째 서브넷을 사용하지 않기 때문에 IP 주소가 부족해질 수 있습니다. + 두 프라이빗 서브넷 모두를 통해 애플리케이션에 필요한 네트워크 리소스에 액세스할 수 있는지 확인합니다. + 예상되는 최대 동시 사용자 수를 수용할 수 있는 충분한 클라이언트 IP 주소를 허용하는 서브넷 마스크를 사용하여 각 프라이빗 서브넷을 구성합니다. 또한 예상 증가율을 고려하여 추가 IP 주소를 허용할 수 있습니다. 자세한 내용은 [IPv4의 VPC 및 서브넷 규모 조정](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Subnets.html#vpc-sizing-ipv4)을 참조하세요. + NAT와 함께 VPC를 사용하는 경우 인터넷 액세스를 위해 NAT 게이트웨이가 있는 퍼블릭 서브넷을 하나 이상(가급적 2개) 구성하세요. 프라이빗 서브넷이 위치하는 동일한 가용 영역에 퍼블릭 서브넷을 구성합니다. 내결함성을 강화하고 대규모 WorkSpaces Pools 배포에서 용량 부족 오류 가능성을 줄이려면 VPC 구성을 세 번째 가용 영역으로 확장하는 것이 좋습니다. 이 추가 가용 영역에 프라이빗 서브넷, 퍼블릭 서브넷 및 NAT 게이트웨이를 포함시킵니다. **보안 그룹** + 보안 그룹을 사용하여 VPC에 대한 추가 액세스 제어를 제공합니다. VPC에 속한 보안 그룹을 사용하면 WorkSpaces Pools 스트리밍 인스턴스와 애플리케이션에 필요한 네트워크 리소스 간의 네트워크 트래픽을 제어할 수 있습니다. 이러한 리소스에는 Amazon RDS 또는 Amazon FSx, 라이선스 서버, 데이터베이스 서버, 파일 서버 및 애플리케이션 서버와 같은 다른 AWS 서비스가 포함될 수 있습니다. + 보안 그룹은 애플리케이션에 필요한 네트워크 리소스에 대한 액세스를 제공해야 합니다. 보안 그룹에 대한 일반적인 내용은 *Amazon VPC 사용 설명서*의 [보안 그룹을 사용하여 AWS 리소스에 대한 트래픽 제어를 참조하세요](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-security-groups.html). # 프라이빗 서브넷과 NAT 게이트웨이를 사용하여 VPC 구성 WorkSpaces Pools의 WorkSpaces에 인터넷에 액세스할 수 있는 권한을 제공하려는 경우 WorkSpaces용 프라이빗 서브넷 2개와 퍼블릭 서브넷의 NAT 게이트웨이로 VPC를 구성하는 것이 좋습니다. NAT 게이트웨이와 함께 사용할 새 VPC를 생성 및 구성하거나 기존 VPC에 NAT 게이트웨이를 추가할 수 있습니다. 추가 VPC 구성 권장 사항은 [WorkSpaces Pools에 대한 VPC 설정 권장 사항](vpc-setup-recommendations.md) 섹션을 참조하세요. NAT 게이트웨이를 사용하면 프라이빗 서브넷의 WorkSpaces가 인터넷 또는 기타 AWS 서비스에 연결할 수 있지만 인터넷이 해당 WorkSpaces와의 연결을 시작하지 못합니다. 또한, WorkSpaces에 대한 인터넷 액세스를 활성화하기 위해 **기본 인터넷 액세스** 옵션을 사용하는 구성과 달리, 이 구성은 100개의 WorkSpaces에 국한되지 않습니다. NAT 게이트웨이 사용 및 이 구성에 대한 자세한 내용은 Amazon **VPC 사용 설명서의 [NAT 게이트웨이](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-nat-gateway.html) 및 [퍼블릭 및 프라이빗 서브넷이 있는 VPC(NAT)](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Scenario2.html)를 참조하세요. **Topics** + [새 VPC 생성 및 구성](create-configure-new-vpc-with-private-public-subnets-nat.md) + [기존 VPC에 NAT 게이트웨이 추가](add-nat-gateway-existing-vpc.md) + [WorkSpaces Pools에 대한 인터넷 액세스 활성화](managing-network-manual-enable-internet-access.md) # 새 VPC 생성 및 구성 이 항목에서는 VPC 마법사를 사용하여 퍼블릭 서브넷 1개와 프라이빗 서브넷 1개가 있는 VPC를 생성하는 방법에 대해 설명합니다. 이 프로세스의 일부로 마법사는 인터넷 게이트웨이와 NAT 게이트웨이를 생성합니다. 또한 퍼블릭 서브넷과 연결된 사용자 지정 라우팅 테이블을 생성하고 프라이빗 서브넷과 연결된 기본 라우팅 테이블을 업데이트합니다. NAT 게이트웨이는 VPC의 퍼블릭 서브넷에서 자동으로 생성됩니다. 마법사를 사용하여 초기 VPC 구성을 생성한 후 두 번째 프라이빗 서브넷을 추가합니다. 이 구성에 대한 자세한 내용은 **Amazon VPC 사용 설명서의 [퍼블릭 및 프라이빗 서브넷이 있는 VPC(NAT)](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Scenario2.html)를 참조하세요. **참고** VPC가 이미 있는 경우 [기존 VPC에 NAT 게이트웨이 추가](add-nat-gateway-existing-vpc.md)의 단계를 대신 완료합니다. **Topics** + [1단계: 탄력적 IP 주소 할당](#allocate-elastic-ip) + [2단계: 새 VPC 생성](#vpc-with-private-and-public-subnets-nat) + [3단계: 두 번째 프라이빗 서브넷 추가](#vpc-with-private-and-public-subnets-add-private-subnet-nat) + [4단계: 서브넷 라우팅 테이블 확인 및 이름 지정](#verify-name-route-tables) ## 1단계: 탄력적 IP 주소 할당 VPC를 만들기 전에 WorkSpaces 리전에서 탄력적 IP 주소를 할당해야 합니다. 먼저 VPC에서 사용할 탄력적 IP 주소를 할당한 다음 NAT 게이트웨이와 연결해야 합니다. 자세한 내용을 알아보려면 **Amazon VPC 사용 설명서의 [탄력적 IP 주소](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-eips.html)를 참조하세요. **참고** 사용하는 탄력적 IP 주소에 요금이 부과될 수 있습니다. 자세한 내용은 Amazon EC2 요금 페이지의 [탄력적 IP 주소](https://docs.aws.amazon.com/ec2/pricing/on-demand/#Elastic_IP_Addresses)를 참조하세요. 탄력적 IP 주소가 없는 경우 다음 단계를 완료하세요. 기존 탄력적 IP 주소를 사용하려면 해당 주소가 다른 인스턴스 또는 네트워크 인터페이스와 현재 연결되어 있지 않은지 확인합니다. **탄력적 IP 주소 할당** 1. [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/)에서 Amazon EC2 콘솔을 엽니다. 1. 탐색 창의 **네트워크 및 보안**에서 **탄력적 IP**를 선택합니다. 1. **새 주소 할당**을 선택한 다음 **할당**을 선택합니다. 1. 탄력적 IP 주소를 기록해 둡니다. 1. **탄력적 IP** 창의 오른쪽 위에서 X 아이콘을 클릭하여 창을 닫습니다. ## 2단계: 새 VPC 생성 퍼블릭 서브넷 1개와 프라이빗 서브넷 1개가 있는 새 VPC를 생성하려면 다음 단계를 수행합니다. **새 VPC 생성** 1. [https://console.aws.amazon.com/vpc/](https://docs.aws.amazon.com/vpc/)에서 Amazon VPC 콘솔을 엽니다. 1. 탐색 창에서 **VPC 대시보드**를 선택합니다. 1. **VPC 마법사 시작**을 선택합니다. 1. **1단계: VPC 구성 선택**에서 **퍼블릭 및 프라이빗 서브넷이 있는 VPC**를 선택한 후 **선택**을 선택합니다. 1. **2단계: 퍼블릭 및 프라이빗 서브넷이 있는 VPC**에서 다음과 같이 VPC를 구성합니다. + **IPv4 CIDR 블록**에 VPC의 IPv4 CIDR 블록을 지정합니다. + **IPv6 CIDR 블록**은 기본값인 **IPv6 CIDR 블록 없음**을 유지합니다. + **VPC 이름**에 VPC의 고유한 이름을 입력합니다. 1. 다음과 같이 퍼블릭 서브넷을 구성합니다. + **퍼블릭 서브넷의 IPv4 CIDR**에 서브넷의 CIDR 블록을 지정합니다. + **가용 영역**은 기본값인 **기본 설정 없음**을 유지합니다. + **퍼블릭 서브넷 이름**에 서브넷의 이름(예: `WorkSpaces Public Subnet`)을 입력합니다. 1. 다음과 같이 첫 번째 프라이빗 서브넷을 구성합니다. + **프라이빗 서브넷의 IPv4 CIDR**에 서브넷의 CIDR 블록을 지정합니다. 지정한 값을 기록해 둡니다. + **가용 영역**에서 특정 영역을 선택하고 선택한 영역을 기록해 둡니다. + **프라이빗 서브넷 이름**에 서브넷의 이름(예: `WorkSpaces Private Subnet1`)을 입력합니다. + 나머지 필드는 기본값을 유지합니다(해당할 경우). 1. **탄력적 IP 할당 ID**에서 텍스트 상자를 클릭하고 생성한 탄력적 IP 주소에 해당하는 값을 선택합니다. 이 주소가 NAT 게이트웨이에 할당됩니다. 탄력적 IP 주소가 없으면 [https://console.aws.amazon.com/vpc/](https://docs.aws.amazon.com/vpc/)에서 Amazon VPC 콘솔을 사용하여 주소를 만드세요. 1. 환경에 Amazon S3 엔드포인트가 필요한 경우에는 **서비스 엔드포인트**에서 하나를 지정합니다. S3 엔드포인트는 사용자에게 [홈 폴더](persistent-storage.md#home-folders)에 대한 액세스 권한을 제공하거나 프라이빗 네트워크의 사용자에 대해 [애플리케이션 설정 지속성](app-settings-persistence.md)을 활성화하기 위해 필요합니다. Amazon S3 엔드포인트를 지정하려면 다음을 수행합니다. 1. **엔드포인트 추가**를 선택합니다. 1. **서비스**의 목록에서 “s3"로 끝나는 항목(VPC를 생성할 리전에 해당하는 `com.amazonaws.`*리전*`.s3` 항목)을 선택합니다. 1. **서브넷**의 경우 **프라이빗 서브넷**을 선택합니다. 1. **정책**은 기본값인 **모든 액세스**를 유지합니다. 1. **DNS 호스트 이름 활성화**는 기본값인 **예**를 유지합니다. 1. **하드웨어 테넌시**는 기본값인 **기본값**을 유지합니다. 1. **VPC 생성**을 선택합니다. 1. VPC를 설정하는 데 몇 분 정도 걸립니다. VPC가 생성되면 **확인**을 선택합니다. ## 3단계: 두 번째 프라이빗 서브넷 추가 이전 단계([2단계: 새 VPC 생성](#vpc-with-private-and-public-subnets-nat))에서는 퍼블릭 서브넷 1개와 프라이빗 서브넷 1개를 포함하는 VPC를 생성했습니다. 다음 단계를 수행하여 두 번째 프라이빗 서브넷을 추가합니다. 두 번째 프라이빗 서브넷은 첫 번째 프라이빗 서브넷과 다른 가용 영역에 추가하는 것이 좋습니다. 1. 탐색 창에서 **서브넷**을 선택합니다. 1. 이전 단계에서 생성한 첫 번째 프라이빗 서브넷을 선택합니다. 서브넷 목록 아래에 있는 **설명** 탭에서 이 서브넷의 가용 영역을 기록해 둡니다. 1. 서브넷 창의 왼쪽 위에서 **서브넷 생성**을 선택합니다. 1. **이름 태그**에 프라이빗 서브넷의 이름(예: `WorkSpaces Private Subnet2`)을 입력합니다. 1. **VPC**에서 이전 단계에서 생성한 VPC를 선택합니다. 1. **가용 영역**에서 첫 번째 프라이빗 서브넷에 사용 중인 것이 아닌 다른 가용 영역을 선택합니다. 다른 가용 영역을 선택하면 내결함성이 향상되고 용량 부족 오류를 방지할 수 있습니다. 1. **IPv4 CIDR 블록**에 새 서브넷의 고유한 CIDR 블록 범위를 지정합니다. 예를 들어 첫 번째 프라이빗 서브넷의 IPv4 CIDR 블록 범위가 `10.0.1.0/24`인 경우 새 프라이빗 서브넷은 CIDR 블록 범위를 `10.0.2.0/24`로 지정할 수 있습니다. 1. **생성(Create)**을 선택합니다. 1. 서브넷이 생성되면 **닫기**를 선택합니다. ## 4단계: 서브넷 라우팅 테이블 확인 및 이름 지정 VPC를 생성 및 구성한 후 다음 단계를 완료하여 라우팅 테이블의 이름을 지정하고 다음을 확인합니다. + NAT 게이트웨이가 상주하는 서브넷과 연결된 라우팅 테이블에 인터넷 트래픽을 인터넷 게이트웨이로 가리키는 라우팅이 포함됩니다. 그러면 NAT 게이트웨이가 인터넷에 액세스할 수 있습니다. + 프라이빗 서브넷과 연결된 라우팅 테이블이 인터넷 트래픽을 NAT 게이트웨이로 가리키도록 구성됩니다. 그러면 프라이빗 서브넷의 스트리밍 인스턴스가 인터넷과 통신할 수 있습니다. 1. 탐색 창에서 **서브넷**을 선택한 후 앞서 생성한 퍼블릭 서브넷을 선택합니다(예: `WorkSpaces Public Subnet`). 1. **라우팅 테이블** 탭에서 라우팅 테이블의 ID를 선택합니다(예: `rtb-12345678`). 1. 라우팅 테이블을 선택합니다. **이름**에서 편집 아이콘(연필 모양)을 선택하고 이름(예: `workspaces-public-routetable`)을 입력한 다음 확인 표시를 선택하여 이름을 저장합니다. 1. 퍼블릭 라우팅 테이블이 선택된 상태에서, **라우팅** 탭에서 로컬 트래픽용 경로 하나와 다른 모든 트래픽을 VPC의 인터넷 게이트웨이로 전송하는 또 하나의 경로가 있는지 확인합니다. 다음 표는 이들 두 경로에 대해 설명합니다. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/workspaces/latest/adminguide/create-configure-new-vpc-with-private-public-subnets-nat.html) 1. 탐색 창에서 **서브넷**을 선택한 후 앞서 생성한 첫 번째 프라이빗 서브넷을 선택합니다(예: `WorkSpaces Private Subnet1`). 1. **라우팅 테이블** 탭에서 라우팅 테이블의 ID를 선택합니다. 1. 라우팅 테이블을 선택합니다. **이름**에서 편집 아이콘(연필 모양)을 선택하고 이름(예: `workspaces-private-routetable`)을 입력한 다음 확인 표시를 선택하여 이름을 저장합니다. 1. **경로** 탭에서 라우팅 테이블에 다음 라우팅이 포함되어 있는지 확인합니다. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/ko_kr/workspaces/latest/adminguide/create-configure-new-vpc-with-private-public-subnets-nat.html) 1. 탐색 창에서 **서브넷**을 선택한 후 앞서 생성한 두 번째 프라이빗 서브넷을 선택합니다(예: `WorkSpaces Private Subnet2`). 1. **라우팅 테이블** 탭에서 라우팅 테이블이 프라이빗 라우팅 테이블인지 확인합니다(예: `workspaces-private-routetable`). 라우팅 테이블이 다른 것이라면 **편집**을 선택하고 이 라우팅 테이블을 선택합니다. **다음 단계** WorkSpaces Pools의 WorkSpaces가 인터넷에 액세스할 수 있도록 하려면 [WorkSpaces Pools에 대한 인터넷 액세스 활성화](managing-network-manual-enable-internet-access.md)의 단계를 완료합니다. # 기존 VPC에 NAT 게이트웨이 추가 VPC를 이미 구성한 경우 다음 단계를 수행하여 VPC에 NAT 게이트웨이를 추가합니다. 새 VPC를 생성해야 하는 경우 [새 VPC 생성 및 구성](create-configure-new-vpc-with-private-public-subnets-nat.md) 섹션을 참조하세요. **기존 VPC에 NAT 게이트웨이를 추가하려면** 1. NAT 게이트웨이를 만들려면 **Amazon VPC 사용 설명서의 [NAT 게이트웨이 만들기](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-nat-gateway.html#nat-gateway-creating)에 있는 단계를 완료하세요. 1. VPC에 하나 이상의 프라이빗 서브넷이 있는지 확인합니다. 높은 가용성과 내결함성을 위해 다른 가용 영역에서 두 개의 프라이빗 서브넷을 지정하는 것이 좋습니다. 두 번째 프라이빗 서브넷을 만드는 방법에 대한 자세한 내용은 [3단계: 두 번째 프라이빗 서브넷 추가](create-configure-new-vpc-with-private-public-subnets-nat.md#vpc-with-private-and-public-subnets-add-private-subnet-nat) 섹션을 참조하세요. 1. 인터넷 바운드 트래픽을 NAT 게이트웨이로 가리키도록 하나 이상의 프라이빗 서브넷과 연결된 라우팅 테이블을 업데이트합니다. 그러면 프라이빗 서브넷의 스트리밍 인스턴스가 인터넷과 통신할 수 있습니다. 이렇게 하려면 **Amazon VPC 사용 설명서의 [라우팅 테이블 업데이트](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-nat-gateway.html#nat-gateway-create-route)에 나와 있는 단계를 완료하세요. **다음 단계** WorkSpaces Pools의 WorkSpaces가 인터넷에 액세스할 수 있도록 하려면 [WorkSpaces Pools에 대한 인터넷 액세스 활성화](managing-network-manual-enable-internet-access.md)의 단계를 완료합니다. # WorkSpaces Pools에 대한 인터넷 액세스 활성화 VPC에서 NAT 게이트웨이를 사용할 수 있게 되면 WorkSpaces Pools에 대해 인터넷 액세스를 활성화할 수 있습니다. [WorkSpaces Pools 디렉터리를 만들](https://docs.aws.amazon.com/workspaces/latest/adminguide/create-directory-pools.html) 때 인터넷 액세스를 활성화할 수 있습니다. 디렉터리를 만들 때 NAT 게이트웨이가 있는 VPC를 선택합니다. 그런 다음 **서브넷 1**의 프라이빗 서브넷을 선택하고, 선택적으로 **서브넷 2**에 대한 또 다른 프라이빗 서브넷을 선택합니다. VPC에 기존의 프라이빗 서브넷이 없는 경우 두 번째 프라이빗 서브넷을 생성해야 할 수 있습니다. WorkSpaces Pools를 시작하고, 풀의 WorkSpaces에 연결한 후 인터넷 브라우징을 하여 인터넷 연결을 테스트할 수 있습니다. # 퍼블릭 서브넷이 있는 새 VPC 또는 기존 VPC 구성 2013-12-04 이후에 Amazon Web Services 계정을 생성한 경우 각 AWS 리전에 [기본 퍼블릭 서브넷이 포함된 기본 VPC](default-vpc-with-public-subnet.md)가 있습니다. 그러나 기본이 아닌 자체 VPC를 만들거나 기존 VPC를 WorkSpaces Pools 디렉터리와 함께 사용하도록 구성할 수 있습니다. 이 항목에서는 WorkSpaces Pools에서 사용할 기본이 아닌 VPC 및 퍼블릭 서브넷을 구성하는 방법에 대해 설명합니다. VPC 및 퍼블릭 서브넷을 구성한 후 **기본 인터넷 액세스** 옵션을 활성화하여 WorkSpaces Pools의 WorkSpaces에 인터넷에 대한 액세스 권한을 제공할 수 있습니다. 이 옵션을 활성화하면 WorkSpaces Pools는 스트리밍 인스턴스에서 퍼블릭 서브넷으로 연결되는 네트워크 인터페이스에 [탄력적 IP 주소](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/elastic-ip-addresses-eip.html)를 연결하여 인터넷 연결을 활성화할 수 있습니다. 탄력적 IP 주소는 인터넷에서 접근할 수 있는 퍼블릭 IPv4 주소입니다. 그러므로 NAT 게이트웨이를 사용하여 WorkSpaces Pools의 WorkSpaces에 대한 인터넷 액세스를 제공하는 것이 좋습니다. 또한 **기본 인터넷 액세스**가 활성화되면 최대 100개의 WorkSpaces가 지원됩니다. 배포에서 동시 사용자를 100명 이상 지원해야 하는 경우 [NAT 게이트웨이 구성](managing-network-internet-NAT-gateway.md)을 대신 사용하세요. 자세한 내용은 [프라이빗 서브넷과 NAT 게이트웨이를 사용하여 VPC 구성](managing-network-internet-NAT-gateway.md)의 단계를 참조하세요. 추가 VPC 구성 권장 사항은 [WorkSpaces Pools에 대한 VPC 설정 권장 사항](vpc-setup-recommendations.md) 섹션을 참조하세요. **Topics** + [1단계: 퍼블릭 서브넷이 있는 VPC 구성](#vpc-with-public-subnet) + [2단계: WorkSpaces Pools에 대한 기본 인터넷 액세스 활성화](#managing-network-enable-default-internet-access) ## 1단계: 퍼블릭 서브넷이 있는 VPC 구성 다음 방법 중 하나를 사용하여 퍼블릭 서브넷이 있는 기본이 아닌 자체 VPC를 구성할 수 있습니다. + [단일 퍼블릭 서브넷이 있는 새 VPC 생성](#new-vpc-with-public-subnet) + [기존 VPC 구성](#existing-vpc-with-public-subnet) ### 단일 퍼블릭 서브넷이 있는 새 VPC 생성 VPC 마법사를 사용하여 새 VPC를 생성하면 마법사는 퍼블릭 서브넷과 연결된 인터넷 게이트웨이와 사용자 지정 라우팅 테이블을 생성합니다. 라우팅 테이블은 VPC 외부의 주소로 향하는 모든 트래픽을 인터넷 게이트웨이로 라우팅합니다. 이 구성에 대한 자세한 내용은 **Amazon VPC 사용 설명서의 [단일 퍼블릭 서브넷이 있는 VPC](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Scenario1.html)를 참조하세요. 1. **Amazon VPC 사용 설명서에 있는 [1단계: VPC 생성](https://docs.aws.amazon.com/vpc/latest/userguide/getting-started-ipv4.html#getting-started-create-vpc)의 단계를 완료하여 VPC를 생성합니다. 1. WorkSpaces가 인터넷에 액세스할 수 있도록 하려면 [2단계: WorkSpaces Pools에 대한 기본 인터넷 액세스 활성화](#managing-network-enable-default-internet-access)의 단계를 완료합니다. ### 기존 VPC 구성 퍼블릭 서브넷이 없는 기존 VPC를 사용하려면 새 퍼블릭 서브넷을 추가할 수 있습니다. 퍼블릭 서브넷 외에도 VPC에 연결된 인터넷 게이트웨이와 VPC 외부의 주소로 향하는 모든 트래픽을 인터넷 게이트웨이로 라우팅하는 라우팅 테이블이 있어야 합니다. 이러한 구성 요소를 구성하려면 다음 단계를 수행합니다. 1. 퍼블릭 서브넷을 추가하려면 [VPC에서 서브넷 생성](https://docs.aws.amazon.com/vpc/latest/userguide/working-with-vpcs.html#AddaSubnet)의 단계를 완료합니다. WorkSpaces Pools에서 사용할 기존 VPC를 사용합니다. VPC가 IPv6 주소 지정을 지원하도록 구성된 경우 **IPv6 CIDR 블록** 목록이 표시됩니다. **Don't assign Ipv6(IPv6 할당 안 함)**을 선택합니다. 1. 인터넷 게이트웨이를 생성하여 VPC에 연결하려면 [인터넷 게이트웨이 생성 및 연결](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Internet_Gateway.html#Add_IGW_Attach_Gateway)의 단계를 수행합니다. 1. 인터넷 게이트웨이를 통해 인터넷 트래픽을 라우팅하도록 서브넷을 구성하려면 [사용자 지정 라우팅 테이블 생성](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Internet_Gateway.html#Add_IGW_Routing)의 단계를 완료합니다. 5단계에서 **대상**에 IPv4 형식(`0.0.0.0/0`)을 사용합니다. 1. WorkSpaces와 이미지 빌더가 인터넷에 액세스할 수 있도록 하려면 [2단계: WorkSpaces Pools에 대한 기본 인터넷 액세스 활성화](#managing-network-enable-default-internet-access)의 단계를 완료합니다. ## 2단계: WorkSpaces Pools에 대한 기본 인터넷 액세스 활성화 [WorkSpaces Pools 디렉터리를 만들](https://docs.aws.amazon.com/workspaces/latest/adminguide/create-directory-pools.html) 때 인터넷 액세스를 활성화할 수 있습니다. 디렉터리를 만들 때 퍼블릭 서브넷이 있는 VPC를 선택합니다. 그런 다음 **서브넷 1**의 퍼블릭 서브넷을 선택하고, 선택적으로 **서브넷 2**에 대한 또 다른 퍼블릭 서브넷을 선택합니다. WorkSpaces Pools를 시작하고, 풀의 WorkSpaces에 연결한 후 인터넷 브라우징을 하여 인터넷 연결을 테스트할 수 있습니다. # 기본 VPC, 퍼블릭 서브넷 및 보안 그룹 사용 Amazon Web Services 계정이 2013-12-04 이후에 생성된 경우 각 AWS 리전에 기본 VPC가 있습니다. 기본 VPC에는 각 가용 영역의 기본 퍼블릭 서브넷과 VPC에 연결된 인터넷 게이트웨이가 포함됩니다. VPC에는 기본 보안 그룹도 포함되어 있습니다. WorkSpaces Pools를 처음 사용하고 서비스 사용을 시작하려는 경우 WorkSpaces Pools를 만들 때 기본 VPC와 보안 그룹을 선택한 상태로 유지할 수 있습니다. 그런 다음 기본 서브넷을 하나 이상 선택할 수 있습니다. **참고** Amazon Web Services 계정이 2013년 12월 4일 이전에 만들어진 경우 새 VPC를 만들거나 기존 VPC를 WorkSpaces Pools와 함께 사용하도록 구성해야 합니다. WorkSpaces Pools에 두 개의 프라이빗 서브넷이 있고 퍼블릭 서브넷에 NAT 게이트웨이가 있는 VPC를 수동으로 구성하는 것이 좋습니다. 자세한 내용은 [프라이빗 서브넷과 NAT 게이트웨이를 사용하여 VPC 구성](managing-network-internet-NAT-gateway.md) 섹션을 참조하세요. 또는 퍼블릭 서브넷이 있는 기본이 아닌 VPC를 구성할 수 있습니다. 자세한 내용은 [퍼블릭 서브넷이 있는 새 VPC 또는 기존 VPC 구성](managing-network-default-internet-access.md) 섹션을 참조하세요. [WorkSpaces Pools 디렉터리를 만들](https://docs.aws.amazon.com/workspaces/latest/adminguide/create-directory-pools.html) 때 인터넷 액세스를 활성화할 수 있습니다. 디렉터리를 만들 때 기본 VPC를 선택합니다. 기본 VPC 이름은 다음 형식을 사용합니다. `vpc-`*vpc-id*` (No_default_value_Name)`. 그런 다음 **서브넷 1**의 기본 퍼블릭 서브넷을 선택하고, 선택적으로 **서브넷 2**에 대한 또 다른 기본 퍼블릭 서브넷을 선택합니다. 기본 서브넷 이름은 다음 형식을 사용합니다. `subnet-`*subnet-id*` | (`*IPv4 CIDR block*`) | Default in` *availability-zone*. WorkSpaces Pools를 시작하고, 풀의 WorkSpaces에 연결한 후 인터넷 브라우징을 하여 인터넷 연결을 테스트할 수 있습니다. # WorkSpaces Pools에 대한 FedRAMP 권한 부여 또는 DoD SRG 규정 준수 구성 [연방정부의 위험 및 인증 관리 프로그램(FedRAMP)](https://aws.amazon.com/compliance/fedramp/) 또는 [미국 국방부(DoD) 클라우드 컴퓨팅 보안 요구 사항 가이드(SRG)](https://aws.amazon.com/compliance/dod/)를 준수하려면 Amazon WorkSpaces Pools를 구성하여 디렉터리 수준에서 Federal Information Processing Standards(FIPS) 엔드포인트 암호화를 사용해야 합니다. 또한 FedRAMP 권한이 있거나 DoD SRG를 준수하는 미국 AWS 리전을 사용해야 합니다. FedRAMP 권한 부여 수준(보통 또는 높음) 또는 DoD SRG 영향 수준(2, 4 또는 5)은 Amazon WorkSpaces가 사용되는 미국 AWS 리전에 따라 다릅니다. 각 리전에 적용되는 FedRAMP 승인 및 DoD SRG 준수 수준은 [규정 준수 프로그램 제공AWS 범위 내 서비스](https://aws.amazon.com/compliance/services-in-scope/)를 참조하세요. **요구 사항** + WorkSpaces Pools 디렉터리는 엔드포인트 암호화를 위해 **FIPS 140-2 검증 모드**를 사용하도록 구성해야 합니다. **참고** **FIPS 140-2 검증 모드** 설정을 사용하려면 다음을 확인하세요. WorkSpaces Pools 디렉터리는 다음 중 하나입니다. 신규 및 풀과 연결되지 않음 중지됨 상태인 기존 풀과 연결됨 풀 디렉터리가 TCP로 [https://docs.aws.amazon.com/workspaces/latest/api/API_ModifyStreamingProperties.html](https://docs.aws.amazon.com/workspaces/latest/api/API_ModifyStreamingProperties.html) 설정되어 있습니다. + [FedRAMP 권한이 있거나 DoD SRG를 준수하는 미국 AWS 리전](https://aws.amazon.com/compliance/services-in-scope/)에서 WorkSpaces Pools를 생성해야 합니다. + 사용자는 다음 WorkSpace 클라이언트 애플리케이션 중 하나에서 WorkSpace에 액세스해야 합니다. + macOS: 5.20.0 이상 + Windows: 5.20.0 이상 + 웹 액세스 **FIPS 엔드포인트 암호화를 사용하려면** 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) WorkSpaces 콘솔을 엽니다. 1. 탐색 창에서 **디렉터리**를 선택한 다음 FedRAMP 권한 부여 및 DoD SRG 규정 준수에 사용할 디렉터리를 선택합니다. 1. **디렉터리 세부 정보** 페이지에서 FIPS 암호화 모드에 대해 구성할 디렉터리를 선택합니다. 1. **엔드포인트 암호화** 섹션에서 **편집**을 선택한 다음 **FIPS 140-2 검증 모드를** 선택합니다. 1. **저장**을 선택합니다. # WorkSpaces Pools에 Amazon S3 VPC 엔드포인트 기능 사용 WorkSpaces Pools에 대한 애플리케이션 설정 지속성 또는 WorkSpaces Pools 디렉터리에 대한 홈 폴더를 활성화하면 WorkSpaces는 디렉터리에 지정한 VPC를 사용하여 Amazon Simple Storage Service(Amazon S3) 버킷에 대한 액세스를 제공합니다. 프라이빗 S3 엔드포인트에 대한 WorkSpaces Pools 액세스를 활성화하려면 다음 사용자 지정 정책을 Amazon S3용 VPC 엔드포인트에 연결합니다. 프라이빗 Amazon S3 엔드포인트에 대한 자세한 정보는 *VPC 사용 설명서*의 [VPC 엔드포인트](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints.html) 및 [Amazon S3에 대한 엔드포인트](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints-s3.html)를 참조하세요. ------ #### [ Commercial AWS 리전 ] 상용 AWS 리전의 리소스에 다음 정책을 사용합니다. ------ #### [ AWS GovCloud (US) Regions ] 상용 AWS GovCloud (US) Regions의 리소스에 다음 정책을 사용합니다. ------ # WorkSpaces Pools의 VPC에 연결 네트워크 리소스 및 인터넷에 대한 WorkSpaces Pools 연결을 활성화하려면 다음과 같이 WorkSpaces를 구성합니다. ## 네트워크 인터페이스 WorkSpaces Pools의 각 WorkSpaces에는 다음 네트워크 인터페이스가 있습니다. + 고객 네트워크 인터페이스는 VPC 내부 리소스와 인터넷에 대한 연결을 제공하며, WorkSpaces를 디렉터리에 조인하는 데 사용됩니다. + 관리 네트워크 인터페이스는 보안 WorkSpaces Pools 관리 네트워크에 연결됩니다. 이 인터페이스는 WorkSpace를 사용자의 디바이스로 대화식으로 스트리밍하는 데 사용되며, WorkSpaces에서 WorkSpaces Pools를 관리할 수 있게 해줍니다. WorkSpaces Pools는 프라이빗 IP 주소 범위(198.19.0.0/16)에서 관리 네트워크 인터페이스의 IP 주소 범위를 선택합니다. 이 범위를 VPC CIDR에 또는 VPC를 이 범위를 갖는 다른 VPC와 피어링하는 데 사용하지 마세요. 충돌이 발생하고 WorkSpaces에 접속하지 못하게 될 수 있습니다. 또한 WorkSpace에 연결된 네트워크 인터페이스를 수정하거나 삭제하지 마세요. WorkSpace에 접속하지 못하게 될 수 있습니다. ## 관리 네트워크 인터페이스 IP 주소 범위 및 포트 관리 네트워크 인터페이스 IP 주소 범위는 198.19.0.0/16입니다. 모든 WorkSpaces의 관리 네트워크 인터페이스에서 다음 포트가 열려 있어야 합니다. + 포트 8300의 인바운드 TCP. 스트리밍 연결을 설정하는 데 사용됩니다. + 포트 3128의 아웃바운드 TCP. WorkSpaces 관리에 사용됩니다. + 포트 8000 및 8443의 인바운드 TCP. 이는 WorkSpaces 관리에 사용됩니다. + 포트 8300의 인바운드 UDP. UDP를 통해 스트리밍 연결을 설정하는 데 사용됩니다. 관리 네트워크 인터페이스에서 인바운드 범위를 198.19.0.0/16으로 제한합니다. **참고** Amazon DCV BYOL Windows WorkSpaces Pools의 경우 모든 AWS 리전에서 10.0.0.0/8 IP 주소 범위가 사용됩니다. 이러한 IP 주소 범위는 BYOL WorkSpaces Pools의 관리 트래픽에 대해 선택한 /16 CIDR 블록에 추가됩니다. 일반적으로 WorkSpaces Pools는 WorkSpaces에 대해 이러한 포트를 올바르게 구성합니다. 이러한 포트를 차단하는 보안 또는 방화벽 소프트웨어가 WorkSpaces에 설치되어 있는 경우 WorkSpaces가 올바르게 작동하지 않거나 연결되지 않을 수 있습니다. IPv6을 비활성화하지 마세요. IPv6을 비활성화하면 WorkSpaces Pools가 올바르게 작동하지 않습니다. Windows용 IPv6 구성에 대한 자세한 내용은 [고급 사용자를 위한 Windows의 IPv6 구성 가이드](https://support.microsoft.com/en-us/help/929852/guidance-for-configuring-ipv6-in-windows-for-advanced-users)를 참조하세요. **참고** WorkSpaces Pools는 VPC 내의 DNS 서버를 사용하여 존재하지 않는 로컬 도메인 이름에 대한 NXDOMAIN(존재하지 않는 도메인) 응답을 반환합니다. 그러면 WorkSpaces Pools 관리형 네트워크 인터페이스가 관리 서버와 통신할 수 있습니다. Simple AD로 디렉터리를 생성하면는 사용자를 대신하여 DNS 서버로도 작동하는 두 개의 도메인 컨트롤러를 AWS Directory Service 생성합니다. 도메인 컨트롤러는 NXDOMAIN 응답을 제공하지 않으므로, WorkSpaces Pools에서 사용할 수 없습니다. ## 고객 네트워크 인터페이스 포트 + 인터넷 연결을 위해 모든 대상에 대해 다음 포트가 열려 있어야 합니다. 수정된 보안 그룹 또는 사용자 지정 보안 그룹을 사용하는 경우, 필요한 규칙을 수동으로 추가해야 합니다. 자세한 내용은 *Amazon VPC 사용 설명서*의 [보안 그룹 규칙](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_SecurityGroups.html#SecurityGroupRules)을 참조하세요. + TCP 80(HTTP) + TCP 443(HTTPS) + UDP 4195 + WorkSpaces를 디렉터리에 조인하는 경우, WorkSpaces Pools VPC와 디렉터리 컨트롤러 사이에 다음 포트가 열려 있어야 합니다. + TCP/UDP 53 - DNS + TCP/UDP 88 - Kerberos 인증 + UDP 123 - NTP + TCP 135 - RPC + UDP 137-138 - Netlogon + TCP 139 - Netlogon + TCP/UDP 389 - LDAP + TCP/UDP 445 - SMB + TCP 1024-65535 - RPC 동적 포트 전체 포트 목록은 Microsoft 설명서의 [Active Directory 및 Active Directory 도메인 서비스 포트 요구 사항](https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/dd772723(v=ws.10))을 참조하세요. + 모든 WorkSpaces에서는 EC2 메타데이터 서비스에 액세스할 수 있도록 IP 주소 `169.254.169.254`에 포트 80(HTTP)이 열려 있어야 합니다. IP 주소 범위 `169.254.0.0/16`은 관리 트래픽에 대한 WorkSpaces Pools 서비스 사용에 예약되어 있습니다. 이 범위를 제외하지 않으면 스트리밍 문제가 발생할 수 있습니다. # WorkSpaces Pools에 대한 사용자 연결 사용자는 기본 퍼블릭 인터넷 엔드포인트를 통해 WorkSpaces Pools의 WorkSpaces에 연결할 수 있습니다. 기본적으로 WorkSpaces Pools는 스트리밍 연결을 퍼블릭 인터넷을 통해 라우팅하도록 구성됩니다. 따라서 사용자를 인증하고, WorkSpaces Pools 작동에 필요한 웹 자산을 전송하려면 인터넷 연결이 필요합니다. 이러한 트래픽을 허용하려면 [허용된 도메인](allowed-domains.md) 섹션에 나열된 도메인을 허용해야 합니다. **참고** 사용자 인증을 위해 WorkSpaces Pools는 Security Assertion Markup Language 2.0(SAML 2.0)을 지원합니다. 자세한 내용은 [SAML 2.0 구성 및 WorkSpaces Pools 디렉터리 만들기](create-directory-pools.md) 섹션을 참조하세요. 다음 주제에서는 WorkSpaces Pools에 대한 사용자 연결을 활성화하는 방법에 대해 설명합니다. **Topics** + [대역폭 권장 사항](bandwidth-recommendations-user-connections.md) + [WorkSpaces Pools 사용자 디바이스에 대한 IP 주소 및 포트 요구 사항](pools-client-application-ports.md) + [허용된 도메인](allowed-domains.md) # 대역폭 권장 사항 WorkSpaces Pools의 성능을 최적화하려면 네트워크 대역폭과 지연 시간이 사용자의 요구를 충족할 수 있는지 확인합니다. WorkSpaces Pools는 NICE Desktop Cloud Visualization(DCV)을 사용하여 사용자가 다양한 네트워크 조건에서 안전하게 액세스하고 애플리케이션을 스트리밍할 수 있게 합니다. 대역폭 소비를 줄일 수 있도록 NICE DCV는 H.264 기반 비디오 압축 및 인코딩을 사용합니다. 스트리밍 세션 중에 애플리케이션의 시각적 출력이 압축되고 HTTPS를 통해 AES-256 암호화된 픽셀 스트림으로 사용자에게 스트리밍됩니다. 스트림이 수신되면 암호화되고 사용자의 로컬 화면에 출력됩니다. 사용자가 스트리밍 애플리케이션과 상호 작용할 때, NICE DCV 프로토콜은 입력을 캡처하고 HTTPS를 통해 스트리밍 애플리케이션에 다시 보냅니다. 이 과정에서 네트워크 조건이 지속적으로 측정되며 정보는 WorkSpaces Pools로 다시 전송됩니다. WorkSpaces Pools는 비디오 및 오디오 인코딩을 실시간으로 변경하여 변화하는 네트워크 조건에 동적으로 응답함으로써 다양한 애플리케이션 및 네트워크 조건에서 고품질의 스트림을 만듭니다. WorkSpaces Pools 스트리밍 세션에 권장되는 대역폭과 지연 시간은 워크로드에 따라 다릅니다. 예를 들어 그래픽 집약형 애플리케이션으로 컴퓨터 지원 설계 작업을 수행하는 사용자는 비즈니스 생산성 애플리케이션으로 문서를 작성하는 사용자보다 더 많은 대역폭과 더 짧은 지연 시간이 필요합니다. 다음 표에서는 일반적인 워크로드를 기반으로 WorkSpaces Pools 스트리밍 세션에 권장되는 네트워크 대역폭 및 지연 시간에 대한 지침을 제공합니다. 워크로드별 대역폭 권장 사항은 개별 사용자가 특정 시점에 필요할 수 있는 대역폭을 기반으로 합니다. 이 권장 사항은 지속되는 처리량에 필요한 대역폭을 반영하지 않습니다. 스트리밍 세션 동안 화면에서 약간의 픽셀만 변경된 경우, 지속되는 처리량이 훨씬 더 적습니다. 사용자가 사용할 수 있는 대역폭이 적더라도 애플리케이션을 스트리밍할 수 있지만, 프레임 속도 또는 이미지 품질은 최적이 아닐 수 있습니다. | 워크로드 | 설명 | 사용자당 권장되는 대역폭 | 권장되는 최대 왕복 지연 시간 | | --- | --- | --- | --- | | LoB(Line of Business) 애플리케이션 | 문서 작성 애플리케이션, 데이터베이스 분석 유틸리티 | 2Mbps | 150ms 미만 | | 그래픽 애플리케이션 | 컴퓨터 지원 설계 및 모델링 애플리케이션, 사진 및 비디오 편집 | 5Mbps | 100ms 미만 | | 높은 충실도 | 여러 모니터에서 충실도가 높은 데이터 세트 또는 맵 | 10Mbps | 50ms 미만 | # WorkSpaces Pools 사용자 디바이스에 대한 IP 주소 및 포트 요구 사항 WorkSpaces Pools 사용자의 디바이스는 인터넷 엔드포인트를 사용할 때 포트 443(TCP) 및 포트 4195(UDP)에서 아웃바운드 액세스를 필요로 하며, 도메인 이름 확인에 DNS 서버를 사용하는 경우에는 포트 53(UDP)에서 아웃바운드 액세스가 필요합니다. + 포트 443은 인터넷 엔드포인트를 사용할 때 WorkSpaces Pools 사용자의 디바이스와 WorkSpaces 간의 HTTPS 통신에 사용됩니다. 일반적으로 최종 사용자가 스트리밍 세션 도중 웹을 탐색할 때 웹 브라우저는 트래픽 스트리밍을 위해 높은 범위에 있는 소스 포트를 임의로 선택합니다. 따라서 이 포트에 대한 반송 트래픽이 허용되는지 확인해야 합니다. + 포트 4195는 인터넷 엔드포인트를 사용할 때 WorkSpaces Pools 사용자의 디바이스와 WorkSpaces 간의 UDP HTTPS 통신에 사용됩니다. 현재는 Windows 네이티브 클라이언트에서만 지원됩니다. VPC 엔드포인트를 사용하는 경우 UDP는 지원되지 않습니다. + 포트 53은 WorkSpaces Pools 사용자의 디바이스와 DNS 서버 간의 통신에 사용됩니다. 퍼블릭 도메인 이름을 확인할 수 있도록 DNS 서버의 IP 주소에 대해 포트가 열려 있어야 합니다. 도메인 이름 확인에 DNS 서버를 사용하지 않을 경우, 이 포트는 선택 사항입니다. # 허용된 도메인 WorkSpaces Pools 사용자가 WorkSpaces 에 액세스하려면 사용자가 WorkSpaces에 대한 액세스를 시작하는 네트워크의 다양한 도메인을 허용해야 합니다. 자세한 내용은 [WorkSpaces Personal의 IP 주소 및 포트 요구 사항](workspaces-port-requirements.md) 섹션을 참조하세요. 이 페이지는 WorkSpaces Personal에 적용되도록 지정하지만 WorkSpaces Pools에도 적용됩니다. **참고** S3 버킷 이름에 “.” 이름의 문자, 사용된 도메인은 `https://s3..amazonaws.com`입니다. S3 버킷 이름에 “.” 이름의 문자, 사용된 도메인은 `https://.s3..amazonaws.com`입니다. # WorkSpaces Pool 만들기 사용자 애플리케이션이 시작되어 스트리밍되는 풀을 설정하고 만듭니다. **참고** WorkSpaces Pool을 만들기 전에 디렉터리를 만들어야 합니다. 자세한 내용은 [SAML 2.0 구성 및 WorkSpaces Pools 디렉터리 만들기](create-directory-pools.md) 섹션을 참조하세요. **풀을 설정하고 만들려면** 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home)에서 WorkSpaces 콘솔을 엽니다. 1. 탐색 창에서 **WorkSpaces**, **Pool**을 선택합니다. 1. **WorkSpaces Pools 생성**을 선택합니다. 1. **온보딩**(선택 사항)에서 **내 사용 사례에 따라 옵션 추천**을 선택하여 사용하려는 WorkSpace 유형에 대한 추천을 받을 수 있습니다. WorkSpaces Pools를 사용하려는 경우 이 단계를 건너뛸 수 있습니다. 1. **WorkSpaces 구성**에 다음 세부 정보를 입력합니다. + **이름**에 풀의 고유 이름 식별자를 입력합니다. 특수 문자는 허용되지 않습니다. + **설명**에 풀에 대한 설명을 입력합니다(최대 256자). + **번들**의 경우 WorkSpaces에 사용할 다음 번들 유형 중에서 선택합니다. + **기본 WorkSpaces 번들 사용** - 드롭다운에서 번들 중 하나를 선택합니다. 선택한 번들 유형에 대한 자세한 내용은 **번들 세부 정보**를 선택합니다. 풀에 제공되는 번들을 비교하려면 **모든 번들 비교**를 선택합니다. + **사용자 지정 자체 번들 사용** - 이전에 만든 번들을 선택합니다. 사용자 지정 번들을 만들려면 [WorkSpaces Personal에서 사용자 지정 WorkSpace 이미지 및 번들을 만듭니다.](create-custom-bundle.md) 섹션을 참조하세요. + **실행 모드**의 경우 다음 중에서 선택하여 풀의 즉각적인 가용성과 결제 방법을 구성합니다. + **AutoStop** - 풀 인스턴스에는 선택한 번들을 기반으로 사용자에게 연결된 인스턴스에 대해서만 시간당 사용 요금이 청구됩니다. 풀 내에서 사용자와 연결되지 않은 인스턴스에는 낮은 중지된 인스턴스 시간당 요금이 청구됩니다. 사용자가 세션을 시작하면 1\$12분 정도 기다린 후 스트리밍을 시작합니다. + **AlwaysOn** - 실행 중인 모든 풀 인스턴스에는 사용자가 연결되지 않은 경우에도 해당하는 시간당 사용 요금이 청구됩니다. 이 모드는 스트리밍이 시작될 때까지 기다리지 않으려는 사용자에게 가장 적합합니다. + **최대 세션 기간(분)**에서 스트리밍 세션이 활성 상태를 유지할 수 있는 최대 시간을 선택합니다. 이 제한에 도달하기 5분 전까지도 사용자가 스트리밍 인스턴스에 연결되어 있으면 연결이 해제되기 전에 열려 있는 문서를 저장하라는 메시지가 나타납니다. 이 시간이 지나면 인스턴스가 종료되고 새 인스턴스로 교체됩니다. WorkSpaces Pools 콘솔에서 설정할 수 있는 최대 세션 지속 시간은 5760분(96시간)입니다. WorkSpaces Pools API 및 CLI를 사용하여 설정할 수 있는 최대 세션 지속 시간은 432,000초(120시간)입니다. + **연결 해제 제한 시간(분)**에서 사용자가 연결을 해제한 후 스트리밍 세션이 활성 상태로 유지되는 시간을 선택합니다. 연결 해제 또는 네트워크 중단 후 이 시간 간격 이내에 사용자가 스트리밍 세션에 다시 연결하려고 하면 이전 세션으로 연결됩니다. 그렇지 않으면 새 스트리밍 인스턴스를 사용하여 새 세션에 연결됩니다. + 사용자가 Pools 도구 모음에서 **세션 종료**를 선택하거나 **로그아웃**하여 세션을 종료할 경우에는 연결 해제 제한 시간이 적용되지 않습니다. 대신 열려 있는 문서를 저장하라는 메시지가 나타난 후 즉시 스트리밍 인스턴스에서 연결이 해제됩니다. 그리고 사용자가 사용하던 인스턴스가 종료됩니다. + 사용자가 스트리밍 세션에서 연결을 해제하고 **연결 해제 제한 시간(분)** 시간 간격이 시작되기 전까지 유휴(비활성) 상태를 유지할 수 있는 시간을 **유휴 연결 해제 제한 시간(분)**에서 선택합니다. 비활성 상태로 연결이 해제되기 전에 사용자에게 이를 알려줍니다. **연결 해제 제한 시간(분)**에 지정된 시간 간격이 경과하기 전에 사용자가 스트리밍 세션으로 다시 연결하면 이전 세션으로 연결됩니다. 그렇지 않으면 새 스트리밍 인스턴스를 사용하여 새 세션에 연결됩니다. 이 값을 0으로 설정하면 비활성화됩니다. 이 값이 비활성화되면 비활성 상태를 이유로 연결이 해제되지 않습니다. **참고** 사용자의 스트리밍 세션에서 키보드 또는 마우스 입력이 중단되면 유휴 상태로 간주됩니다. 도메인에 조인된 풀의 경우 사용자가 Active Directory 도메인 암호 또는 스마트 카드를 사용하여 로그인할 때까지 유휴 연결 해제 제한 시간 카운트다운이 시작되지 않습니다. 파일 업로드와 다운로드, 오디오 인, 오디오 아웃, 픽셀 변경은 사용자 활성 상태로 인정되지 않습니다. **유휴 연결 해제 제한 시간(분)**의 시간 간격이 경과된 후에도 사용자가 계속 유휴 상태이면 연결이 해제됩니다. + **용량 예약 정책**(선택 사항)에서 **새 용량 예약 추가**를 선택합니다. 예상되는 최소 동시 사용자 수를 기준으로 풀의 최소 및 최대 인스턴스 수를 프로비저닝할 시기의 시작 및 종료 날짜와 시간을 지정합니다. + **수동 규모 조정 정책**(선택 사항)에서 풀의 용량을 늘리거나 줄이는 데 사용할 풀의 규모 조정 정책을 지정합니다. **수동 규모 조정 정책**을 확장하여 새 규모 조정 정책을 추가합니다. **참고** 풀의 크기는 지정한 최소 및 최대 용량에 의해 제한됩니다. + **새 스케일 아웃 정책 추가**를 선택하고 지정된 용량 사용률이 지정된 임계값보다 작거나 클 경우 지정된 인스턴스를 추가할 값을 입력합니다. + **정책에 새 스케일 인 추가**를 선택하고 지정된 용량 사용률이 지정된 임계값보다 작거나 클 경우 지정된 인스턴스를 제거할 값을 입력합니다. + **태그**에서 사용할 키 페어 값을 지정합니다. 키는 "project", "owner" 또는 "environment" 등의 특정 연결 값을 가진 일반 범주일 수 있습니다. 1. **디렉터리 선택 페이지**에서 만든 디렉터리를 선택합니다. 디렉터리를 만들려면 **디렉터리 생성**을 선택합니다. 자세한 내용은 [WorkSpaces Pools 디렉터리 관리](manage-workspaces-pools-directory.md) 섹션을 참조하세요. 1. **WorkSpaces Pool 생성**을 선택합니다. # WorkSpaces Pools 관리 WorkSpaces Pools는 지정한 이미지를 실행하는 WorkSpaces로 구성됩니다. **Topics** + [실행 모드](running-mode-pools.md) + [번들](instance-types.md) + [풀 수정](modify-pool.md) + [풀 삭제](set-up-pools-finish.md) + [WorkSpaces Pools의 오토 스케일링](autoscaling.md) # WorkSpaces Pools의 실행 모드 WorkSpaces Pool의 실행 모드에 따라 즉각적인 가용성과 지불 방법이 결정됩니다. WorkSpace Pool을 생성할 때 다음 실행 모드 중에서 선택할 수 있습니다. + **AutoStop** - WorkSpaces Pools의 인스턴스는 사용자에게 연결된 인스턴스에 대해서만 선택한 번들을 기준으로 시간당 사용 요금이 청구됩니다. 사용자에게 연결되지 않은 WorkSpaces Pool 내의 인스턴스에는 낮은 중지된 인스턴스 시간당 요금이 청구됩니다. 사용자가 세션을 시작하면 1\$12분 후에 스트리밍을 시작합니다. + **AlwaysOn** - WorkSpaces Pool의 인스턴스를 실행하면 사용자가 연결되지 않은 경우에도 해당하는 시간당 사용 요금이 청구됩니다. 이 모드는 스트리밍이 시작될 때까지 기다리지 않으려는 사용자에게 가장 적합합니다. 자세한 내용은 [WorkSpaces 요금](https://aws.amazon.com/workspaces/pricing/)을 참조하세요. **Topics** + [실행 모드 수정](modify-running-mode-pool.md) # 실행 모드 수정 WorkSpaces Pools가 중지된 상태일 때 실행 모드 간에 전환할 수 있습니다. **WorkSpaces Pool 실행 모드를 수정하는 방법** 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home)에서 WorkSpaces 콘솔을 엽니다. 1. 탐색 창에서 **WorkSpaces**와 **Pools**를 선택합니다. 1. WorkSpaces Pools를 선택하여 중지된 상태인지 수정하고 확인합니다. 그런 다음 **작업** 및 **실행 모드 수정**을 선택합니다. 1. 새 실행 모드를 선택하고 **AlwaysOn** 또는 **AutoStop**을 선택한 다음 **수정**을 선택합니다. **AWS CLI를 사용하여 WorkSpaces Pool 실행 모드를 수정하는 방법** + [update-workspaces-pool](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/workspaces/update-workspaces-pool.html) 명령을 사용합니다. # WorkSpaces Pools 번들 *WorkSpaces 번들*은 운영 체제, 스토리지, 컴퓨팅 및 소프트웨어 리소스의 조합입니다. WorkSpaces를 시작할 때 요구 사항을 충족하는 번들을 선택합니다. WorkSpaces에 사용할 수 있는 기본 번들을 *퍼블릭 번들*이라고 합니다. WorkSpaces에 사용할 수 있는 다양한 퍼블릭 번들에 대한 자세한 내용은 [Amazon WorkSpaces 번들](https://aws.amazon.com/workspaces/details/#Amazon_WorkSpaces_Bundles)을 참조하세요. 다음 표에서는 각 OS에서 지원하는 라이선스, 스트리밍 프로토콜 및 번들에 대한 정보를 제공합니다. | 운영 체제 | 라이선스 | 스트리밍 프로토콜 | 지원되는 번들 | | --- | --- | --- | --- | | Windows Server 2019 | 포함 | DCV | Value, Standard, Performance, Power, PowerPro | | Windows Server 2022 | 포함 | DCV | Standard, Performance, Power, PowerPro, Graphics.G4dn, GraphicsPro.G4dn | **참고** 공급업체에서 더 이상 지원하지 않는 운영 체제 버전은 작동이 보장되지 않으며 AWS 지원에서 지원되지 않습니다. # 풀 수정 WorkSpaces Pools를 만든 후 다음을 수정할 수 있습니다. + 디렉터리 ID(WorkSpaces Pools가 중지된 경우) + 기본 세부 정보 + 번들 및 하드웨어 + 세션 연결 해제 설정 + 용량 및 규모 조정 + 조정 활동 + Tags **WorkSpaces Pools를 수정하려면** 1. 탐색 창에서 **WorkSpaces**, **Pools**를 선택합니다. 1. 편집할 풀을 선택합니다. 1. 수정하려는 섹션으로 이동하여 **편집**을 선택합니다. 1. 원하는 내용을 수정하고 **저장**을 선택합니다. # 풀 삭제 풀을 삭제하여 리소스를 확보하고 계정에 의도하지 않은 요금이 부과되지 않도록 할 수 있습니다. 사용하지 않는 실행 중인 풀을 중지하는 것이 좋습니다. **풀을 삭제하려면** 1. 탐색 창에서 **WorkSpaces**, **Pools**를 선택합니다. 1. 중지하려는 풀을 선택한 후 **중지**를 선택합니다. 풀을 중지하는 데 약 5분이 걸립니다. 1. 풀의 상태가 **중지됨**인 경우 **삭제**를 선택합니다. # WorkSpaces Pools의 오토 스케일링 오토 스케일링을 사용하면 풀의 크기를 자동으로 변경하여 사용 가능한 인스턴스의 공급을 사용자 수요에 맞게 조정할 수 있습니다. 풀의 크기에 따라 동시에 스트리밍할 수 있는 사용자 수가 결정됩니다. 각 사용자 세션에는 하나의 인스턴스가 필요합니다. 인스턴스 측면에서 풀 용량을 지정할 수 있습니다. 풀 구성 및 오토 스케일링 정책에 따라 필요한 수의 인스턴스를 사용할 수 있습니다. 다양한 사용률 지표를 기반으로 풀의 크기를 자동으로 조정하는 규모 조정 정책을 정의하고 사용 가능한 인스턴스의 수를 사용자 수요에 맞게 최적화할 수 있습니다. 또한 오토 스케일링을 끄고 풀을 고정 크기로 실행할 수도 있습니다. **참고** WorkSpaces Pools 규모 조정 계획을 수립할 때 네트워크 구성이 요구 사항을 충족하는지 확인하세요. 크기 조정을 사용할 때는 Application Auto Scaling API를 사용합니다. 오토 스케일링이 WorkSpaces Pools와 올바르게 작동하려면 Application Auto Scaling에 풀을 설명 및 업데이트하고 Amazon CloudWatch 알림을 설명할 수 있는 권한과 사용자를 대신하여 풀 용량을 수정할 수 있는 권한이 필요합니다. 다음 주제에서는 WorkSpaces Pools에 대한 오토 스케일링을 이해하고 사용하는 데 도움이 되는 정보를 제공합니다. **Topics** + [규모 조정 개념](#autoscaling-concepts) + [콘솔을 사용하여 풀 규모 조정 관리](#autoscaling-console) + [AWS CLI를 사용하여 풀 조정 관리](#autoscaling-cli) + [추가 리소스](#autoscaling-additional-resources) ## 규모 조정 개념 WorkSpaces Pools 규모 조정은 Application Auto Scaling에서 제공됩니다. 자세한 내용은 [Application Auto Scaling API Reference](https://docs.aws.amazon.com/autoscaling/application/APIReference/)(Application Auto Scaling API 레퍼런스)를 참조하세요. WorkSpaces Pools로 오토 스케일링을 효과적으로 사용하기 위해서는 다음 용어와 개념을 이해해야 합니다. **풀의 최소 용량/최소 사용자 세션** 최소 인스턴스 수입니다. 인스턴스의 수는 이 값 미만이 될 수 없으며, 규모 조정 정책에서는 풀을 이 값 미만으로 조정하지 않습니다. 예를 들어 풀의 최소 용량을 2로 설정할 경우 풀 인스턴스가 2 미만이 될 수 없습니다. **풀의 최대 용량/최대 사용자 세션** 최대 인스턴스 수입니다. 인스턴스의 수는 이 값을 초과할 수 없으며, 규모 조정 정책에서는 풀을 이 값보다 높게 조정하지 않습니다. 예를 들어 풀의 최대 용량을 10으로 설정할 경우 풀 인스턴스가 11 이상이 될 수 없습니다. **원하는 사용자 세션 용량** 실행 또는 보류 중인 총 세션 수입니다. 안정적 상태에서 풀이 지원할 수 있는 동시 스트리밍 세션의 총 수를 나타냅니다. **규모 조정 정책 작업** **규모 조정 정책 조건**이 충족될 경우 규모 조정 정책이 풀에 대해 수행하는 작업입니다. **% 용량** 또는 **인스턴스 수**를 기준으로 작업을 선택할 수 있습니다. 예를 들어, **원하는 사용자 세션 용량**이 4이고 **규모 조정 정책 작업**이 '용량 25% 추가'로 설정된 경우 **규모 조정 정책 조건**이 충족되면 **원하는 사용자 세션 용량**이 25% 증가하여 5가 됩니다. **규모 조정 정책 조건** **조정 정책 작업**에 설정된 작업을 트리거하는 조건입니다. 이 조건에는 조정 정책 지표, 비교 연산자 및 임계 값이 포함됩니다. 예를 들어 풀 사용률이 50%를 초과하는 경우 풀을 조정하려면 규모 조정 정책 조건은 '용량 사용률 > 50%'가 되어야 합니다. **규모 조정 정책 지표** 조정 정책은 이 지표에 기반합니다. 다음 지표를 조정 정책에 사용할 수 있습니다. **용량 사용률** 풀에서 사용 중인 인스턴스의 비율입니다. 이 지표를 사용하여 풀 사용량을 기반으로 풀을 조정할 수 있습니다. 예를 들어, **Scaling Policy Condition**: "용량 사용률 < 25%"일 경우 **Scaling Policy Action**: "25% 용량 제거"를 수행합니다. **가용 용량** 풀에서 사용자에게 사용할 수 있는 인스턴스의 수입니다. 이 지표를 사용하여 사용자가 스트리밍 세션을 시작하기 위해 사용할 수 있는 용량의 버퍼를 유지할 수 있습니다. 예를 들어 **Scaling Policy Condition**: "사용 가능한 용량 < 5"일 경우 **Scaling Policy Action**: "인스턴스 5개 추가"를 수행합니다. **용량 부족 오류** 용량 부족으로 인해 거부된 세션 요청 수입니다. 이 지표를 사용하여 용량 부족으로 인해 스트리밍 세션을 시작할 수 없는 사용자를 위해 새 인스턴스를 프로비저닝할 수 있습니다. 예를 들어 **조정 정책 작업**: "용량 부족 오류 > 0"일 경우 **조정 정책 작업**: "인스턴스 1개 추가"를 수행합니다. ## 콘솔을 사용하여 풀 규모 조정 관리 풀을 만드는 도중에 또는 언제든지 **풀** 탭을 사용하는 등의 두 가지 방법 중 하나로 WorkSpaces 콘솔에서 규모 조정을 설정하고 관리할 수 있습니다. 풀을 만든 후 **규모 조정 정책** 탭으로 이동하여 풀에 대한 새 규모 조정 정책을 추가합니다. 자세한 내용은 [WorkSpaces Pool 만들기](set-up-pools-create.md) 섹션을 참조하세요. 수적으로 변화하는 사용자 환경의 경우 조정 정책을 정의하여 조정이 수요에 대응하는 방식을 제어합니다. 고정된 수의 사용자가 예상되거나 규모 조정을 비활성화할 기타 이유가 있는 경우 고정된 수의 인스턴스 또는 사용자 세션이 있는 풀을 설정할 수 있습니다. 이렇게 하려면 원하는 인스턴스 수로 최소 용량을 설정합니다. 최소 용량 값 이상이 되도록 최대 용량을 조정합니다. 이렇게 하면 검증 오류가 방지되지만 풀의 규모가 조정되지 않으므로 최대 용량은 궁극적으로 무시됩니다. 그런 다음 해당 풀에 대한 모든 규모 조정 정책을 삭제합니다. **콘솔을 사용하여 풀 규모 조정 정책을 설정하려면** 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) WorkSpaces 콘솔을 엽니다. 1. 탐색 창에서 **Pools**를 선택합니다. 1. 풀을 선택합니다. 1. 해당 풀의 페이지에서 아래로 스크롤하여 용량과 규모 조정을 수행합니다. 1. **편집**을 선택합니다. 1. 기존 정책을 편집하고 필드에 원하는 값을 설정한 후 **저장**을 선택합니다. 정책 변경이 몇 분 내에 적용됩니다. 1. **새 일정 용량 추가**, **새 스케일 아웃 정책 추가** 또는 **새 스케일 인 정책 추가**를 선택하여 새 용량 및 규모 조정 정책을 추가할 수도 있습니다. 다음은 다섯 명의 사용자가 풀에 연결한 다음 연결을 해제할 때 규모 조정 활동의 사용량 그래프를 보여 주는 예입니다. 이 예제에서 풀은 다음 규모 조정 정책 값을 사용합니다. + 최소 용량 = 10 + 최대 용량 = 50 + 스케일 아웃 = 풀 용량 사용률이 75%를 초과하는 경우 인스턴스 5개를 추가 + 스케일 인 = 풀 용량 사용률이 25% 미만인 경우 인스턴스 6개를 제거 **참고** 세션 중에 스케일 아웃 이벤트 도중 5개의 새 인스턴스가 시작됩니다. 활성 사용자 세션이 없는 인스턴스가 충분하고 총 인스턴스 수가 최소 용량인 인스턴스 10개 미만으로 떨어지지 않는 경우 스케일 인 동안 인스턴스 6개가 회수됩니다. 사용자 세션을 실행 중인 인스턴스는 회수되지 않습니다. 실행 중인 사용자 세션이 없는 인스턴스만 회수됩니다. ## AWS CLI를 사용하여 풀 조정 관리 AWS Command Line Interface (AWS CLI)를 사용하여 풀 크기 조정을 설정하고 관리할 수 있습니다. 스케일 인 및 스케일 아웃 휴지 시간 설정과 같은 고급 기능을 사용하려면 AWS CLI를 사용합니다. 규모 조정 정책 명령을 실행하기 전에 풀을 확장 가능 대상으로 등록해야 합니다. 이렇게 하려면 다음 [register-scalable-target](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/register-scalable-target.html) 명령을 사용합니다. ``` aws application-autoscaling register-scalable-target --service-namespace workspaces \ --resource-id workspacespool/PoolId \ --scalable-dimension workspaces:workspacespool:DesiredUserSessions \ --min-capacity 1 --max-capacity 5 ``` **Topics** + [예제 1: 용량 사용률을 기반으로 규모 조정 정책 적용](#autoscaling-cli-utilization) + [예제 2: 용량 부족 오류를 기반으로 규모 조정 정책 적용](#autoscaling-cli-capacity) + [예제 3: 낮은 용량 사용률을 기반으로 규모 조정 정책 적용](#autoscaling-cli-scale-in) + [예 4: 일정에 따른 풀 용량 변경](#autoscaling-cli-schedule) + [예제 5: 목표 추적 규모 조정 정책 적용](#autoscaling-target-tracking) ### 예제 1: 용량 사용률을 기반으로 규모 조정 정책 적용 이 AWS CLI 예제에서는 사용률이 >= 75%인 경우 풀을 25% 확장하는 조정 정책을 설정합니다. 다음 [put-scaling-policy](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/put-scaling-policy.html) 명령은 사용률 기반 조정 정책을 정의합니다. ``` aws application-autoscaling put-scaling-policy -- cli-input-json file://scale-out-utilization.json ``` `scale-out-utilization.json` 파일의 내용은 다음과 같습니다. ``` { "PolicyName": "policyname", "ServiceNamespace": "workspaces", "ResourceId": "workspacespool/PoolId", "ScalableDimension": "workspaces:workspacespool:DesiredUserSessions", "PolicyType": "StepScaling", "StepScalingPolicyConfiguration": { "AdjustmentType": "PercentChangeInCapacity", "StepAdjustments": [ { "MetricIntervalLowerBound": 0, "ScalingAdjustment": 25 } ], "Cooldown": 120 } } ``` 명령이 성공하면 일부 세부 정보가 계정 및 리전에 고유한 경우에도 다음과 비슷한 출력이 표시됩니다. 이 예제에서 정책 식별자는 `e3425d21-16f0-d701-89fb-12f98dac64af`입니다. ``` {"PolicyARN": "arn:aws:autoscaling:us-west-2:123456789012:scalingPolicy:e3425d21-16f0-d701-89fb-12f98dac64af:resource/workspaces/workspacespool/PoolId:policyName/scale-out-utilization-policy"} ``` 이제 이 정책에 대한 CloudWatch 경보를 설정합니다. 사용자에게 적용되는 이름, 리전, 계정 번호 및 정책 식별자를 사용합니다. 이전 명령에서 반환된 정책 ARN을 `-- alarm-actions` 파라미터에 사용할 수 있습니다. ``` aws cloudwatch put-metric-alarm --alarm-name alarmname \ --alarm-description "Alarm when Available User Session Capacity exceeds 75 percent" \ --metric-name AvailableUserSessionCapacity \ --namespace AWS/WorkSpaces \ --statistic Average \ --period 300 \ --threshold 75 \ --comparison-operator GreaterThanOrEqualToThreshold \ --dimensions "Name=WorkSpaces pool ID,Value=PoolId" \ --evaluation-periods 1 --unit Percent \ --alarm-actions "arn:aws:autoscaling:your-region-code:account-number-without-hyphens:scalingPolicy:policyid:resource/workspaces/workspacespool/PoolId:policyName/policyname" ``` ### 예제 2: 용량 부족 오류를 기반으로 규모 조정 정책 적용 이 AWS CLI 예제에서는 풀이 `InsufficientCapacityError` 오류를 반환하는 경우 풀을 1만큼 스케일 아웃하는 조정 정책을 설정합니다. 다음 명령은 용량 부족 기반 조정 정책을 정의합니다. ``` aws application-autoscaling put-scaling-policy -- cli-input-json file://scale-out-capacity.json ``` `scale-out-capacity.json` 파일의 내용은 다음과 같습니다. ``` { "PolicyName": "policyname", "ServiceNamespace": "workspaces", "ResourceId": "workspacespool/PoolId", "ScalableDimension": "workspaces:workspacespool:DesiredUserSessions", "PolicyType": "StepScaling", "StepScalingPolicyConfiguration": { "AdjustmentType": "ChangeInCapacity", "StepAdjustments": [ { "MetricIntervalLowerBound": 0, "ScalingAdjustment": 1 } ], "Cooldown": 120 } } ``` 명령이 성공하면 일부 세부 정보가 계정 및 리전에 고유한 경우에도 다음과 비슷한 출력이 표시됩니다. 이 예제에서 정책 식별자는 `f4495f21-0650-470c-88e6-0f393adb64fc`입니다. ``` {"PolicyARN": "arn:aws:autoscaling:us-west-2:123456789012:scalingPolicy:f4495f21-0650-470c-88e6-0f393adb64fc:resource/workspaces/workspacespool/PoolId:policyName/scale-out-insufficient-capacity-policy"} ``` 이제 이 정책에 대한 CloudWatch 경보를 설정합니다. 사용자에게 적용되는 이름, 리전, 계정 번호 및 정책 식별자를 사용합니다. 이전 명령에서 반환된 정책 ARN을 `--alarm-actions` 파라미터에 사용할 수 있습니다. ``` aws cloudwatch put-metric-alarm --alarm-name alarmname \ --alarm-description "Alarm when out of capacity is > 0" \ --metric-name InsufficientCapacityError \ --namespace AWS/WorkSpaces \ --statistic Maximum \ --period 300 \ --threshold 0 \ --comparison-operator GreaterThanThreshold \ --dimensions "Name=Pool,Value=PoolId" \ --evaluation-periods 1 --unit Count \ --alarm-actions "arn:aws:autoscaling:your-region-code:account-number-without-hyphens:scalingPolicy:policyid:resource/workspaces/workspacespool/PoolId:policyName/policyname" ``` ### 예제 3: 낮은 용량 사용률을 기반으로 규모 조정 정책 적용 이 AWS CLI 예제에서는가 `UserSessionsCapacityUtilization` 낮을 때 실제 용량을 줄이기 위해 풀에서 스케일 인하는 조정 정책을 설정합니다. 다음 명령은 잉여 용량 기반 조정 정책을 정의합니다. ``` aws application-autoscaling put-scaling-policy -- cli-input-json file://scale-in-capacity.json ``` `scale-in-capacity.json` 파일의 내용은 다음과 같습니다. ``` { "PolicyName": "policyname", "ServiceNamespace": "workspaces", "ResourceId": "workspacespool/PoolId", "ScalableDimension": "workspaces:workspacespool:DesiredUserSessions", "PolicyType": "StepScaling", "StepScalingPolicyConfiguration": { "AdjustmentType": "PercentChangeInCapacity", "StepAdjustments": [ { "MetricIntervalUpperBound": 0, "ScalingAdjustment": -25 } ], "Cooldown": 360 } } ``` 명령이 성공하면 일부 세부 정보가 계정 및 리전에 고유한 경우에도 다음과 비슷한 출력이 표시됩니다. 이 예제에서 정책 식별자는 `12ab3c4d-56789-0ef1-2345-6ghi7jk8lm90`입니다. ``` {"PolicyARN": "arn:aws:autoscaling:us-west-2:123456789012:scalingPolicy:12ab3c4d-56789-0ef1-2345-6ghi7jk8lm90:resource/workspaces/workspacespool/PoolId:policyName/scale-in-utilization-policy"} ``` 이제 이 정책에 대한 CloudWatch 경보를 설정합니다. 사용자에게 적용되는 이름, 리전, 계정 번호 및 정책 식별자를 사용합니다. 이전 명령에서 반환된 정책 ARN을 `--alarm-actions` 파라미터에 사용할 수 있습니다. ``` aws cloudwatch put-metric-alarm --alarm-name alarmname \ --alarm-description "Alarm when Capacity Utilization is less than or equal to 25 percent" \ --metric-name UserSessionsCapacityUtilization \ --namespace AWS/WorkSpaces \ --statistic Average \ --period 120 \ --threshold 25 \ --comparison-operator LessThanOrEqualToThreshold \ --dimensions "Name=Pool,Value=PoolId" \ --evaluation-periods 10 --unit Percent \ --alarm-actions "arn:aws:autoscaling:your-region-code:account-number-without-hyphens:scalingPolicy:policyid:resource/workspaces/workspacespool/PoolId:policyName/policyname" ``` ### 예 4: 일정에 따른 풀 용량 변경 일정에 따라 풀 용량을 변경하면 예측 가능한 수요 변화에 따라 풀 용량을 조정할 수 있습니다. 예를 들어, 영업일이 시작될 때 동시에 스트리밍 연결을 요청하는 일정 수의 사용자를 예상할 수 있습니다. 일정에 따라 풀 용량을 변경하려면 Application Auto Scaling [PutScheduledAction](https://docs.aws.amazon.com/autoscaling/application/APIReference/API_PutScheduledAction.html) API 작업 또는 [put-scheduled-action](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/put-scheduled-action.html) AWS CLI 명령을 사용할 수 있습니다. 풀 용량을 변경하기 전에 WorkSpaces [describe-workspaces-pools](https://docs.aws.amazon.com/cli/latest/reference/workspaces/describe-workspaces-pools.html) AWS CLI 명령을 사용하여 현재 풀 용량을 나열할 수 있습니다. ``` aws workspaces describe-workspaces-pools --name PoolId ``` 현재의 풀 용량이 다음과 비슷하게 출력됩니다(JSON 형식으로 표시). ``` { "CapacityStatus": { "AvailableUserSessions": 1, "DesiredUserSessions": 1, "ActualUserSessions": 1, "ActiveUserSessions": 0 }, } ``` 그러면 `put-scheduled-action` 명령을 사용하여 풀 용량을 변경하기 위한 예약 작업을 만듭니다. 예를 들어, 다음 명령은 UTC 기준 매일 오전 9시에 최소 용량을 3으로, 최대 용량을 5로 변경합니다. **참고** cron 식의 경우 UTC를 기준으로 작업을 수행할 시기를 지정합니다. 자세한 내용은 [Cron 식](https://docs.aws.amazon.com/AmazonCloudWatch/latest/events/ScheduledEvents.html#CronExpressions) 섹션을 참조하세요. ``` aws application-autoscaling put-scheduled-action --service-namespace workspaces \ --resource-id workspacespool/PoolId \ --schedule="cron(0 9 * * ? *)" \ --scalable-target-action MinCapacity=3,MaxCapacity=5 \ --scheduled-action-name ExampleScheduledAction \ --scalable-dimension workspaces:workspacespool:DesiredUserSessions ``` 풀 용량을 변경하는 예약 작업이 성공적으로 만들어졌는지 확인하려면 [describe-scheduled-actions](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/describe-scheduled-actions.html) 명령을 실행하세요. ``` aws application-autoscaling describe-scheduled-actions --service-namespace workspaces --resource-id workspacespool/PoolId ``` 예약 작업이 성공적으로 생성되면 다음과 같은 출력이 나타납니다. ``` { "ScheduledActions": [ { "ScalableDimension": "workspaces:workspacespool:DesiredUserSessions", "Schedule": "cron(0 9 * * ? *)", "ResourceId": "workspacespool/ExamplePool", "CreationTime": 1518651232.886, "ScheduledActionARN": "", "ScalableTargetAction": { "MinCapacity": 3, "MaxCapacity": 5 }, "ScheduledActionName": "ExampleScheduledAction", "ServiceNamespace": "workspaces" } ] } ``` 자세한 내용은 [https://docs.aws.amazon.com/autoscaling/application/userguide/application-auto-scaling-scheduled-scaling.html](https://docs.aws.amazon.com/autoscaling/application/userguide/application-auto-scaling-scheduled-scaling.html)Application Auto Scaling 사용 설명서의 *예약된 조정*을 참조하세요. ### 예제 5: 목표 추적 규모 조정 정책 적용 목표 추적 규모 조정을 통해 풀에 대한 용량 사용률 수준을 지정할 수 있습니다. 대상 추적 크기 조정 정책을 생성하면 Application Auto Scaling에서 크기 조정 정책을 트리거하는 CloudWatch 경보를 자동으로 생성하고 관리합니다. 조정 정책은 필요에 따라 용량을 추가하거나 제거하여 용량 사용률을 지정한 목표 값에 또는 가깝게 유지합니다. 애플리케이션 가용성을 보장하기 위해 풀은 가능한 한 빨리 지표에 비례하여 확장되고 더 서서히 축소될 수 있습니다. 다음 [put-scaling-policy](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/put-scaling-policy.html) 명령은 WorkSpaces 풀에 대해 75% 용량 사용률을 유지하려는 목표 추적 규모 조정 정책을 정의합니다. ``` aws application-autoscaling put-scaling-policy -- cli-input-json file://config.json ``` `config.json` 파일의 내용은 다음과 같습니다. ``` { "PolicyName":"target-tracking-scaling-policy", "ServiceNamespace":"workspaces", "ResourceId":"workspacespool/PoolId", "ScalableDimension":"workspaces:workspacespool:DesiredUserSessions", "PolicyType":"TargetTrackingScaling", "TargetTrackingScalingPolicyConfiguration":{ "TargetValue":75.0, "PredefinedMetricSpecification":{ "PredefinedMetricType":"WorkSpacesAverageUserSessionsCapacityUtilization" }, "ScaleOutCooldown":300, "ScaleInCooldown":300 } } ``` 명령이 성공하면 일부 세부 정보가 계정 및 리전에 고유한 경우에도 다음과 비슷한 출력이 표시됩니다. 이 예제에서 정책 식별자는 6d8972f3-efc8-437c-92d1-6270f29a66e7입니다. ``` { "PolicyARN": "arn:aws:autoscaling:us-west-2:123456789012:scalingPolicy:6d8972f3-efc8-437c-92d1-6270f29a66e7:resource/workspaces/workspacespool/PoolId:policyName/target-tracking-scaling-policy", "Alarms": [ { "AlarmARN": "arn:aws:cloudwatch:us-west-2:123456789012:alarm:TargetTracking-workspacespool/PoolId-AlarmHigh-d4f0770c-b46e-434a-a60f-3b36d653feca", "AlarmName": "TargetTracking-workspacespool/PoolId-AlarmHigh-d4f0770c-b46e-434a-a60f-3b36d653feca" }, { "AlarmARN": "arn:aws:cloudwatch:us-west-2:123456789012:alarm:TargetTracking-workspacespool/PoolId-AlarmLow-1b437334-d19b-4a63-a812-6c67aaf2910d", "AlarmName": "TargetTracking-workspacespool/PoolId-AlarmLow-1b437334-d19b-4a63-a812-6c67aaf2910d" } ] } ``` 자세한 내용을 알아보려면 *Application Auto Scaling 사용 설명서*의 [대상 추적 규모 조정 정책](https://docs.aws.amazon.com/autoscaling/application/userguide/application-auto-scaling-target-tracking.html)을 참조하세요. ## 추가 리소스 Application Auto Scaling AWS CLI 명령 또는 API 작업 사용에 대한 자세한 내용은 다음 리소스를 참조하세요. + *AWS CLI 명령 참조*의 [application-autoscaling](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling) 섹션 + [Application Auto Scaling API 참조](https://docs.aws.amazon.com/autoscaling/application/APIReference/) + [Application Auto Scaling 사용 설명서](https://docs.aws.amazon.com/autoscaling/application/userguide/) # WorkSpaces Pools에서 Active Directory 사용 WorkSpaces Pools의 Windows WorkSpaces를 Microsoft Active Directory의 도메인에 조인하고 기존 Active Directory 도메인을 클라우드 기반 또는 온프레미스로 사용하여 도메인에 조인된 스트리밍 인스턴스를 시작할 수 있습니다. AWS Managed Microsoft AD라고도 알려진 AWS Directory Service for Microsoft Active Directory를 사용하여 WorkSpaces Pools 리소스를 지원하는 Active Directory 도메인을 만들고 사용할 수 있습니다. AWS Managed Microsoft AD 사용에 대한 자세한 내용은 *AWS Directory Service 관리 안내서*의 [Microsoft Active Directory](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/directory_microsoft_ad.html)를 참조하세요. WorkSpaces Pools를 Active Directory 도메인에 조인하여 다음을 수행할 수 있습니다. + 사용자와 애플리케이션이 스트리밍 세션에서 프린터나 파일 공유 같은 Active Directory 리소스에 액세스할 수 있습니다. + 그룹 정책 관리 콘솔(GPMC)에서 사용할 수 있는 그룹 정책 설정을 사용하여 최종 사용자 환경을 정의합니다. + 사용자가 Active Directory 로그인 자격 증명을 사용하여 인증해야 하는 애플리케이션을 스트리밍합니다. + WorkSpaces Pools의 WorkSpaces에 엔터프라이즈 규정 준수 및 보안 정책을 적용합니다. **Topics** + [Active Directory 도메인 개요](active-directory-overview.md) + [WorkSpaces Pools에서 Active Directory를 사용하기 전에](active-directory-prerequisites.md) + [인증서 기반 인증](pools-certificate-based-authentication.md) + [WorkSpaces Pools Active Directory 관리](active-directory-admin.md) + [추가 정보](active-directory-more-info.md) # Active Directory 도메인 개요 WorkSpaces Pools에서 Active Directory 도메인을 사용하려면 이러한 도메인이 함께 작동하는 방식과 완료해야 할 구성 작업을 알고 있어야 합니다. 다음 작업을 완료해야 합니다. 1. 필요 시 그룹 정책 설정을 구성하여 애플리케이션에 대한 최종 사용자 환경 및 보안 요구 사항을 정의합니다. 1. WorkSpaces Pools에서 도메인 조인 디렉터리를 만듭니다. 1. SAML 2.0 자격 증명 공급자에서 WorkSpaces Pools 애플리케이션을 만든 다음 직접 또는 Active Directory 그룹을 통해 최종 사용자에게 할당합니다. **사용자 인증 흐름** 1. 사용자가 `https://applications.exampleco.com`으로 이동합니다. 로그온 페이지에서 사용자에 대한 인증을 요청합니다. 1. 연동 서비스가 조직의 자격 증명 스토어에서 인증을 요청합니다. 1. 자격 증명 스토어가 사용자를 인증하고 인증 응답을 연동 서비스에 반환합니다. 1. 인증에 성공하면 연동 서비스가 SAML 어설션을 사용자의 브라우저에 게시합니다. 1. 사용자의 브라우저가 SAML 어설션을 AWS 로그인 SAML 엔드포인트(`https://signin.aws.amazon.com/saml`)에 게시합니다. AWS 로그인은 SAML 요청을 수신하고, 요청을 처리하고, 사용자를 인증하고, 인증 토큰을 WorkSpaces Pools 서비스로 전달합니다. 1. WorkSpaces Pools는 AWS의 인증 토큰을 사용하여 사용자에게 권한을 부여하고 애플리케이션을 브라우저에 표시합니다. 1. 사용자가 애플리케이션을 선택하면 WorkSpaces Pools 디렉터리에서 활성화된 Windows 로그인 인증 방법에 따라 Active Directory 도메인 암호를 입력하거나 스마트 카드를 선택하라는 메시지가 표시됩니다. 두 인증 방법이 모두 활성화된 경우 사용자는 도메인 암호를 입력할지 아니면 스마트 카드를 사용할지 선택할 수 있습니다. 프롬프트를 제거하고 인증서 기반 인증을 사용해서도 사용자를 인증할 수 있습니다. 1. 사용자 인증을 위해 도메인 컨트롤러에 연결됩니다. 1. 도메인 인증을 마치면 도메인 연결과 함께 사용자 세션이 시작됩니다. 사용자의 관점에서 이 프로세스는 투명합니다. 사용자는 먼저 조직의 내부 포털로 이동하고 AWS 자격 증명을 입력할 필요 없이 WorkSpaces Pools 포털로 리디렉션됩니다. Active Directory 도메인 암호 또는 스마트 카드 보안 인증 정보만 있으면 됩니다. 사용자가 이 프로세스를 시작하기 전에 먼저 필요한 권한 및 그룹 정책 설정을 사용하여 Active Directory를 구성하고 도메인에 조인된 WorkSpaces Pools 디렉터리를 만들어야 합니다. # WorkSpaces Pools에서 Active Directory를 사용하기 전에 WorkSpaces Pools에서 Microsoft Active Directory 도메인을 사용하기 전에 다음 요구 사항 및 고려 사항에 대해 알고 있어야 합니다. **Topics** + [Active Directory 도메인 환경](#active-directory-prerequisites-domain-environment) + [WorkSpaces Pools의 도메인 조인된 WorkSpaces](#active-directory-prerequisites-streaming-instances) + [그룹 정책 설정](#active-directory-prerequisites-group-policy-settings) + [스마트 카드 인증](#active-directory-prerequisites-smart-card-authentication) ## Active Directory 도메인 환경 + WorkSpaces를 조인할 Microsoft Active Directory 도메인이 필요합니다. Active Directory 도메인이 없거나 온프레미스 Active Directory 환경을 사용하려는 경우 [AWS 클라우드의 Active Directory 도메인 서비스: 빠른 시작 참조 배포를](https://docs.aws.amazon.com/quickstart/latest/active-directory-ds/) 참조하세요. + WorkSpaces Pools에서 사용할 도메인에 컴퓨터 객체를 만들고 관리할 수 있는 권한이 부여된 도메인 서비스 계정이 필요합니다. 자세한 내용은 Microsoft 설명서의 [How to Create a Domain Account in Active Directory](https://msdn.microsoft.com/en-us/library/aa545262(v=cs.70).aspx)를 참조하세요. 이 Active Directory 도메인을 WorkSpaces Pools와 연결할 때는 서비스 계정 이름과 암호를 제공하세요. WorkSpaces Pools는 이 계정을 사용하여 디렉터리에 컴퓨터 객체를 만들고 관리합니다. 자세한 내용은 [Active Directory 컴퓨터 객체를 생성 및 관리할 수 있는 권한 부여](active-directory-admin.md#active-directory-permissions) 섹션을 참조하세요. + WorkSpaces Pools에 Active Directory 도메인을 등록할 때 조직 단위(OU)의 고유 이름을 입력해야 합니다. 이를 위해 OU를 생성합니다. 기본 컴퓨터 컨테이너는 OU가 아니며 WorkSpaces Pools에서 사용할 수 없습니다. 자세한 내용은 [조직 단위의 고유 이름 찾기](active-directory-admin.md#active-directory-oudn) 섹션을 참조하세요. + WorkSpaces Pools에 사용하려는 디렉터리는 WorkSpaces가 시작되는 가상 프라이빗 클라우드(VPC)에서 정규화된 도메인 이름(FQDN)을 통해 액세스할 수 있어야 합니다. 자세한 내용은 Microsoft 설명서의 [Active Directory 및 Active Directory 도메인 서비스 포트 요구 사항](https://technet.microsoft.com/en-us/library/dd772723.aspx)을 참조하세요. ## WorkSpaces Pools의 도메인 조인된 WorkSpaces 도메인에 조인된 WorkSpaces에서 애플리케이션 스트리밍을 수행하려면 SAML 2.0 기반 사용자 페더레이션이 필요합니다. 또한 Active Directory 도메인에 조인하도록 지원하는 Windows 이미지를 사용해야 합니다. 2017년 7월 24일 이후로 게시되는 퍼블릭 이미지는 모두 Active Directory 도메인 병합을 지원합니다. ## 그룹 정책 설정 다음 그룹 정책 설정에 대한 구성을 확인합니다. 필요한 경우 WorkSpaces Pools에서 도메인 사용자 인증 및 로그인이 차단되지 않도록 이 섹션의 설명에 따라 이러한 설정을 업데이트하세요. 그렇지 않으면 사용자가 WorkSpaces에 로그인하려고 할 때 로그인이 성공하지 못할 수 있습니다. 대신 사용자에게 “알 수 없는 오류가 발생했습니다.“라는 메시지가 표시됩니다. + **컴퓨터 구성 > 관리 템플릿 > Windows 구성 요소 > Windows 로그온 옵션 > 소프트웨어 보안 주의 시퀀스 비활성화 또는 활성화** - **서비스**에 대해 이 설정을 **활성화됨**으로 설정합니다. + **컴퓨터 구성 > 관리 템플릿 > 시스템 > 로그온 > 보안 인증 정보 제공업체 제외** - `e7c1bab5-4b49-4e64-a966-8d99686f8c7c` CLSID가 나열되지 **않게 하세요. + **컴퓨터 구성 > 정책 > Windows 설정 > 보안 설정 > 로컬 정책 > 보안 옵션 > 대화형 로그온 > 대화형 로그온: 로그온을 시도하는 사용자에 대한 메시지 텍스트** - 이 값을 **정의되지 않음**으로 설정합니다. + **컴퓨터 구성 > 정책 > Windows 설정 > 보안 설정 > 로컬 정책 > 보안 옵션 > 대화형 로그온 > 대화형 로그온: 로그온을 시도하는 사용자에 대한 메시지 제목** - 이 값을 **정의되지 않음**으로 설정합니다. ## 스마트 카드 인증 WorkSpaces Pools는 Active Directory 도메인 암호 또는 스마트 카드([일반 액세스 카드(CAC)](https://www.cac.mil/Common-Access-Card) 및 [개인 신원 확인(PIV)](https://piv.idmanagement.gov/))를 WorkSpaces Pools의 WorkSpaces에 대한 Windows 로그인에 사용할 수 있도록 지원합니다. 서드 파티 인증 기관(CA)을 사용하여 스마트 카드 로그인을 활성화하도록 Active Directory 환경을 구성하는 방법에 대한 자세한 내용은 Microsoft 설명서에서 [Guidelines for enabling smart card logon with third-party certification authorities](https://docs.microsoft.com/en-us/troubleshoot/windows-server/windows-security/enabling-smart-card-logon-third-party-certification-authorities)를 참조하세요. # 인증서 기반 인증 Microsoft Active Directory에 조인된 WorkSpaces Pools에서 인증서 기반 인증을 사용할 수 있습니다. 이렇게 하면 사용자가 로그인할 때 Active Directory 도메인 암호를 입력하라는 메시지가 표시되지 않습니다. Active Directory 도메인에서 인증서 기반 인증을 사용하면 다음과 같은 작업을 수행할 수 있습니다. + SAML 2.0 ID 제공업체를 통해 사용자를 인증하고 Active Directory의 사용자와 매칭하도록 SAML 어설션을 제공할 수 있습니다. + 사용자 프롬프트 수를 줄여 Single Sign-On 로그온 경험을 생성할 수 있습니다. + SAML 2.0 ID 제공업체를 사용하여 암호 없는 인증 흐름을 활성화할 수 있습니다. 인증서 기반 인증은의 AWS Private Certificate Authority (AWS Private CA) 리소스를 사용합니다 AWS 계정. 를 사용하면 루트 및 하위 CA를 포함한 사설 인증 기관(CA) 계층 구조를 생성할 AWS Private CA수 CAs. 또한 자체 CA 계층 구조를 만들고 이 계층 구조를 사용하여 내부 사용자를 인증하는 데 사용할 인증서를 발급할 수 있습니다. 자세한 내용은 [란 무엇입니까? AWS Private CA](https://docs.aws.amazon.com/privateca/latest/userguide/PcaWelcome.html)를 참조하십시오. 인증서 기반 인증에 AWS Private CA를 사용하는 경우 WorkSpaces Pools는 WorkSpaces Pools의 각 WorkSpace에 대한 세션 예약 시 사용자를 위해 인증서를 자동으로 요청합니다 WorkSpaces. 사용자는 인증서로 프로비저닝된 가상 스마트 카드를 사용하여 Active Directory에 인증됩니다. 인증서 기반 인증은 Windows 인스턴스를 실행하는 도메인에 조인된 WorkSpaces Pools에서 지원됩니다. **Topics** + [사전 조건](certificate-based-authentication-prereq.md) + [인증서 기반 인증 활성화](certificate-based-authentication-enable.md) + [인증서 기반 인증 관리](certificate-based-authentication-manage.md) + [교차 계정 PCA 공유 활성화](pca-sharing.md) # 사전 조건 인증서 기반 인증을 사용하기 전에 다음 단계를 완료하세요. 1. 인증서 기반 인증을 사용하도록 SAML 2.0 통합으로 WorkSpaces Pools 디렉터리를 구성합니다. 자세한 내용은 [SAML 2.0 구성 및 WorkSpaces Pools 디렉터리 만들기](create-directory-pools.md) 섹션을 참조하세요. **참고** 인증서 기반 인증을 사용하려는 경우 풀 디렉터리에서 **스마트 카드 로그인**을 활성화하지 마세요. 1. SAML 어설션에서 `userPrincipalName` 속성을 구성합니다. 자세한 내용은 [7단계: SAML 인증 응답을 위한 어설션 만들기](create-directory-pools.md#saml-directory-create-assertions) 섹션을 참조하세요. 1. SAML 어설션에서 `ObjectSid` 속성을 구성합니다. 이 속성을 사용하여 Active Directory 사용자와 강력한 매핑을 수행할 수 있습니다. `ObjectSid` 속성이 SAML\$1Subject `NameID`에 지정된 사용자의 Active Directory 보안 식별자(SID)와 매칭되지 않으면 인증서 기반 인증이 실패합니다. 자세한 내용은 [7단계: SAML 인증 응답을 위한 어설션 만들기](create-directory-pools.md#saml-directory-create-assertions) 섹션을 참조하세요. **참고** [Microsoft KB5014754](https://support.microsoft.com/en-us/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16)에 따르면 `ObjectSid` 속성은 2025년 9월 10일 이후 인증서 기반 인증에 필수가 됩니다. 1. SAML 2.0 구성에서 사용하는 IAM 역할 신뢰 정책에 `sts:TagSession` 권한을 추가합니다. 자세한 내용은 *AWS Identity and Access Management 사용 설명서*의 [AWS STS에서 세션 태그 전달](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_session-tags.html.html)을 참조하세요. 인증서 기반 인증을 사용하려면 이 권한이 필요합니다. 자세한 내용은 [5단계: SAML 2.0 페더레이션 IAM 역할 만들기](create-directory-pools.md#saml-directory-saml-federation-role-in-iam) 섹션을 참조하세요. 1. Active Directory에 프라이빗 인증 기관(CA)을 구성하지 않은 경우 AWS Private CA를 사용하여 만듭니다. AWS 인증서 기반 인증을 사용하려면 프라이빗 CA가 필요합니다. 자세한 내용을 알아보려면 *AWS Private Certificate Authority 사용 설명서*의 [AWS Private CA 배포 계획](https://docs.aws.amazon.com/privateca/latest/userguide/PcaPlanning.html)을 참조하세요. 많은 인증서 기반 인증 사용 사례에 가장 일반적으로 사용되는 AWS Private CA 설정은 다음과 같습니다. + **CA 유형 옵션** + **수명이 짧은 인증서 CA 사용 모드** - 인증서 기반 인증을 위한 최종 사용자 인증서를 발급하는 데만 CA를 사용하는 경우 권장됩니다. + **루트 CA를 사용한 단일 수준 계층 구조** - 기존 CA 계층 구조와 통합하려는 경우 하위 CA를 선택합니다. + **키 알고리즘 옵션** - RSA 2048 + **주체 고유 이름 옵션** - Active Directory Trusted Root Certification Authorities 저장소에서 가장 적합한 옵션을 사용하여 이 CA를 식별합니다. + **인증서 취소 옵션** - CRL 배포 **참고** 인증서 기반 인증에는 WorkSpaces Pools의 WorkSpaces와 도메인 컨트롤러 모두에서 액세스할 수 있는 온라인 CRL 배포 지점이 필요합니다. 이를 위해서는 AWS Private CA CRL 항목용으로 구성된 Amazon S3 버킷에 대한 인증되지 않은 액세스 또는 퍼블릭 액세스를 차단하는 경우 Amazon S3 버킷에 액세스할 수 있는 CloudFront 배포가 필요합니다. 이러한 옵션에 대한 자세한 내용은 *AWS Private Certificate Authority 사용 설명서*의 [인증서 취소 목록(CRL) 계획 수립](https://docs.aws.amazon.com/privateca/latest/userguide/crl-planning.html)을 참조하세요. 1. WorkSpaces Pools 인증서 기반 인증에 사용할 CA를 지정할 `euc-private-ca` 키로 프라이빗 CA에 태그를 지정하세요. 이 키는 값이 필요하지 않습니다. 자세한 정보는 *AWS Private Certificate Authority 사용 설명서*의 [프라이빗 CA의 태그 관리하기](https://docs.aws.amazon.com/privateca/latest/userguide/PcaCaTagging.html)를 참조하세요. 1. 인증서 기반 인증은 로그온에 가상 스마트 카드를 사용합니다. 자세한 내용은 [타사 인증 기관과 함께 스마트 카드 로그온을 활성화하기 위한 지침](https://learn.microsoft.com/en-us/troubleshoot/windows-server/windows-security/enabling-smart-card-logon-third-party-certification-authorities)을 참조하세요. 다음 단계를 따릅니다. 1. 도메인 컨트롤러 인증서를 사용하여 도메인 컨트롤러를 구성하여 스마트 카드 사용자를 인증합니다. Active Directory에 Active Directory Certificate Services 엔터프라이즈 CA가 구성되어 있는 경우 스마트 카드 로그온을 활성화하는 인증서가 포함된 도메인 컨트롤러가 자동으로 등록됩니다. Active Directory Certificate Services가 없는 경우 [타사 인증 기관에서 발급된 도메인 컨트롤러 인증서에 대한 요구 사항](https://learn.microsoft.com/en-US/troubleshoot/windows-server/windows-security/requirements-domain-controller)을 참조하세요. AWS 프라이빗 CA를 사용하여 도메인 컨트롤러 인증서를 만들 수 있습니다. 이렇게 하는 경우 수명이 짧은 인증서용으로 구성된 프라이빗 CA를 사용하지 마세요. **참고** AWS Managed Microsoft AD를 사용하는 경우 Amazon EC2 인스턴스에 도메인 컨트롤러 인증서 요구 사항을 충족하는 인증서 서비스를 구성할 수 있습니다. Active Directory 인증서 서비스로 구성된 AWS Managed Microsoft AD의 배포에 대한 예는 [Active Directory를 새 Amazon 가상 프라이빗 클라우드에 배포하기](https://docs.aws.amazon.com/launchwizard/latest/userguide/launch-wizard-ad-deploying-new-vpc.html)를 참조하세요. AWS Managed Microsoft AD 및 Active Directory 인증서 서비스를 사용하면 컨트롤러의 VPC 보안 그룹에서 인증서 서비스를 실행하는 Amazon EC2 인스턴스로의 아웃바운드 규칙도 생성해야 합니다. 인증서 자동 등록을 활성화하려면 TCP 포트 135와 포트 49152\$165535에 대한 보안 그룹 액세스 권한을 제공해야 합니다. 또한 Amazon EC2 인스턴스는 도메인 컨트롤러를 포함한 도메인 인스턴스로부터 동일한 포트에 대한 인바운드 액세스를 허용해야 합니다. AWS Managed Microsoft AD의 보안 그룹을 찾는 방법에 대한 자세한 내용은 [VPC 서브넷 및 보안 그룹 구성](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_tutorial_setup_trust_prepare_mad.html#tutorial_setup_trust_open_vpc)을 참조하세요. 1. AWS Private CA 콘솔에서 또는 SDK 또는 CLI를 사용하여 프라이빗 CA 인증서를 내보냅니다. 자세한 내용은 [프라이빗 인증서 내보내기](https://docs.aws.amazon.com/acm/latest/userguide/export-private.html)를 참조하세요. 1. 프라이빗 CA를 Active Directory에 게시합니다. 도메인 컨트롤러 또는 도메인에 조인된 시스템에 로그온합니다. 프라이빗 CA 인증서를 원하는 `\`에 복사하고 도메인 관리자로 다음 명령을 실행합니다. 또한 그룹 정책 및 Microsoft PKI Health Tool(PKIView)을 사용하여 CA를 게시할 수도 있습니다. 자세한 내용은 [구성 지침](https://learn.microsoft.com/en-us/troubleshoot/windows-server/windows-security/enabling-smart-card-logon-third-party-certification-authorities#configuration-instructions)을 참조하세요. ``` certutil -dspublish -f \ RootCA ``` ``` certutil -dspublish -f \ NTAuthCA ``` 명령이 성공적으로 완료되었는지 확인한 다음 프라이빗 CA 인증서 파일을 제거하세요. Active Directory 복제 설정에 따라 CA가 WorkSpaces Poolsdml 도메인 컨트롤러와 WorkSpaces에 게시하는 데 몇 분 정도 걸릴 수 있습니다. **참고** Active Directory는 도메인에 조인할 때 WorkSpaces Pools의 WorkSpaces에 대해 신뢰할 수 있는 루트 인증 기관 및 Enterprise NTAuth 저장소에 CA를 자동으로 배포해야 합니다. **참고** 인증서 기반 인증을 지원하려면 Active Directory 도메인 컨트롤러가 강력한 인증서 적용에 대한 호환 모드에 있어야 합니다. 자세한 내용은 Microsoft 지원 설명서에서 [KB5014754 - Windows 도메인 컨트롤러의 인증서 기반 인증 변경](https://support.microsoft.com/en-us/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16)을 참조하세요. AWS Managed Microsoft AD를 사용하는 경우 [디렉터리 보안 설정 구성](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_directory_settings.html)에서 자세한 내용을 확인하세요. # 인증서 기반 인증 활성화 인증서 기반 인증을 활성화하려면 다음 단계를 완료하세요. **인증서 기반 인증을 활성화하는 방법** 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) WorkSpaces 콘솔을 엽니다. 1. 탐색 창에서 **디렉터리**를 선택합니다. 1. **Pools 디렉터리** 탭을 선택합니다. 1. 구성할 디렉터리를 선택합니다. 1. 페이지의 **인증** 섹션에서 **편집**을 선택합니다. 1. 페이지의 **인증서 기반 인증** 섹션에서 **인증서 기반 인증 편집**을 선택합니다. 1. **인증서 기반 인증 활성화**를 선택합니다. 1. **AWS Certificate Manager (ACM) 프라이빗 인증 기관(CA)** 드롭다운에서 인증서를 선택합니다. 드롭다운에 나타나려면 프라이빗 CA를 동일한 AWS 계정 및 AWS 리전에 저장해야 합니다. 또한 프라이빗 CA에 이름이 `euc-private-ca`인 키를 태그해야 합니다. 1. 폴백에서 디렉터리 로그를 구성합니다. 폴백을 사용하면 인증서 기반 인증에 실패한 경우 사용자가 AD 도메인 암호를 사용하여 로그인할 수 있습니다. 사용자가 도메인 비밀번호를 알고 있는 경우에만 권장되는 방법입니다. 폴백을 해제하면 잠금 화면이나 Windows 로그오프가 발생할 경우 세션에서 사용자 연결을 끊을 수 있습니다. 폴백이 켜져 있는 경우 세션은 사용자에게 AD 도메인 암호를 입력하라는 메시지를 표시합니다. 1. **저장**을 선택합니다. 인증서 기반 인증이 이제 활성화되었습니다. 사용자가 도메인 조인된 WorkSpaces를 사용하여 SAML 2.0으로 WorkSpaces Pools 디렉터리에 인증하면 더 이상 도메인 암호에 대한 프롬프트가 표시되지 않습니다. 인증서 기반 인증을 위해 활성화된 세션에 연결할 때 **인증서 기반 인증으로 연결** 메시지가 표시됩니다. # 인증서 기반 인증 관리 인증서 기반 인증을 활성화한 후 다음 작업을 검토하세요. ## 프라이빗 CA 인증서 일반적인 구성에서 프라이빗 CA 인증서의 유효 기간은 10년입니다. 프라이빗 CA를 만료된 인증서로 교체하거나 프라이빗 CA를 새 유효 기간으로 재발급하는 방법에 대한 자세한 내용은 [프라이빗 CA 수명 주기 관리](https://docs.aws.amazon.com/privateca/latest/userguide/ca-lifecycle.html)를 참조하세요. ## 최종 사용자 인증서 WorkSpaces Pools 인증서 기반 인증을 AWS Private Certificate Authority 위해에서 발급한 최종 사용자 인증서는 갱신 또는 취소가 필요하지 않습니다. 이러한 인증서는 수명이 짧습니다. WorkSpaces Pools는 새 세션마다 새 인증서를 자동으로 발급하거나, 기간이 긴 세션의 경우 24시간마다 새 인증서를 발급합니다. WorkSpaces Pools 세션은 이러한 최종 사용자 인증서의 사용을 관리합니다. 세션을 종료하면 WorkSpaces Pools가 해당 인증서 사용을 중지합니다. 이러한 최종 사용자 인증서의 유효 기간은 일반적인 AWS Private Certificate Authority CRL 배포보다 짧습니다. 따라서 최종 사용자 인증서를 취소할 필요가 없으며 CRL에 표시되지 않습니다. ## 감사 보고서 프라이빗 CA가 발급 또는 취소한 모든 인증서를 나열하는 감사 보고서를 만들 수 있습니다. 자세한 내용은 [프라이빗 CA에서 감사 보고서 사용](https://docs.aws.amazon.com/privateca/latest/userguide/PcaAuditReport.html)을 참조하세요. ## 로깅 및 모니터링 CloudTrail을 사용하여 WorkSpaces Pools의 프라이빗 CA에 대한 API 직접 호출을 기록할 수 있습니다. 자세한 내용은 *AWS CloudTrail 사용 설명서*의 [What Is AWS CloudTrail?](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html) 및 *AWS Private Certificate Authority 사용 설명서*의 [CloudTrail 사용](https://docs.aws.amazon.com/privateca/latest/userguide/PcaCtIntro.html)을 참조하세요. CloudTrail 이벤트 기록에서 WorkSpaces Pools **EcmAssumeRoleSession** 사용자 이름으로 만든 **acm-pca.amazonaws.com** 이벤트 소스의 **GetCertificate** 및 **IssueCertificate**이벤트 이름을 볼 수 있습니다. 이러한 이벤트는 모든 WorkSpaces Pools 인증서 기반 인증 요청에 대해 기록됩니다. 자세한 내용은AWS CloudTrail 사용 설명서**에서 [CloudTrail 이벤트 기록을 사용하여 이벤트 보기](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html)를 참조하세요. # 교차 계정 PCA 공유 활성화 프라이빗 CA(PCA) 교차 계정 공유는 중앙 집중식 CA를 사용할 수 있는 권한을 다른 계정에 부여하는 기능을 제공합니다. CA는 권한을 관리하기 위해 [AWS Resource Access Manager](https://aws.amazon.com/ram/)(RAM)를 사용하여 인증서를 만들고 발급할 수 있습니다. 이렇게 하면 모든 계정에서 프라이빗 CA를 사용할 필요가 없습니다. 프라이빗 CA 교차 계정 공유는 동일한 내에서 WorkSpaces 애플리케이션 인증서 기반 인증(CBA)과 함께 사용할 수 있습니다AWS 리전. WorkSpaces Pools CBA에서 공유 프라이빗 CA 리소스를 사용하려면 다음 단계를 완료하세요. 1. 중앙 집중식에서 CBA용 프라이빗 CA를 구성합니다AWS 계정. 자세한 내용은 [인증서 기반 인증 및 WorkSpaces Personal](certificate-based-authentication.md) 단원을 참조하십시오. 1. WorkSpaces Pools 리소스AWS 계정가 CBA를 사용하는 리소스와 프라이빗 CA를 공유합니다. 이렇게 하려면 [AWSRAM을 사용하여 ACM Private CA 교차 계정을 공유하는 방법의 단계를 따르세요](https://aws.amazon.com/blogs/security/how-to-use-aws-ram-to-share-your-acm-private-ca-cross-account/). 인증서를 만들기 위해 3단계를 완료할 필요는 없습니다. 프라이빗 CA를 개별 AWS 계정와 공유하거나 AWS Organizations를 통해 공유할 수 있습니다. 개별 계정과 공유하는 경우 AWS Resource Access Manager콘솔 또는 APIs. 공유를 구성할 때 AWS Resource Access Manager리소스 계정의 프라이빗 CA에 대한 리소스 공유가 `AWSRAMBlankEndEntityCertificateAPICSRPassthroughIssuanceCertificateAuthority` 관리형 권한 템플릿을 사용하고 있는지 확인합니다. 이 템플릿은 CBA 인증서를 발급할 때 WorkSpaces Pools 서비스 역할에서 사용하는 PCA 템플릿과 일치합니다. 1. 공유가 성공하면 리소스 계정의 프라이빗 CA 콘솔을 사용하여 공유 프라이빗 CA를 봅니다. 1. API 또는 CLI를 사용하여 WorkSpaces Pools 디렉터리에서 프라이빗 CA ARN을 CBA와 연결합니다. 현재 WorkSpaces Pools 콘솔은 공유 프라이빗 CA ARN 선택을 지원하지 않습니다. 자세한 내용은 [Amazon WorkSpaces Service API 참조](https://docs.aws.amazon.com/workspaces/latest/api/welcome.html)를 참조하세요. # WorkSpaces Pools Active Directory 관리 WorkSpaces Pools로 Active Directory를 설정 및 사용하려면 다음 관리 작업을 수행해야 합니다. **Topics** + [Active Directory 컴퓨터 객체를 생성 및 관리할 수 있는 권한 부여](#active-directory-permissions) + [조직 단위의 고유 이름 찾기](#active-directory-oudn) + [사용자 지정 이미지에 대한 로컬 관리자 권한 부여](#active-directory-image-builder-local-admin) + [사용자 유휴 시 스트리밍 세션 잠금](#active-directory-session-lock) + [도메인 신뢰를 사용하도록 WorkSpaces Pools 구성](#active-directory-domain-trusts) ## Active Directory 컴퓨터 객체를 생성 및 관리할 수 있는 권한 부여 WorkSpaces Pools에서 Active Directory 컴퓨터 객체 작업을 실행하려면 충분한 권한이 부여된 계정이 필요합니다. 가장 좋은 방법은 필요한 최소 권한만을 가진 계정을 사용하는 것입니다. Active Directory 조직 단위(OU)의 최소 권한은 다음과 같습니다. + 컴퓨터 객체 생성 + 암호 변경 + 암호 재설정 + 설명 쓰기 권한을 설정하려면 먼저 다음 작업을 수행해야 합니다. + 도메인에 조인되는 컴퓨터 또는 EC2 인스턴스에 대한 액세스 권한을 확보합니다. + Active Directory User and Computers MMC 스냅인을 설치합니다. 자세한 내용은 Microsoft 설명서의 [Windows 7용 원격 서버 관리 도구의 설치 또는 제거](https://technet.microsoft.com/en-us/library/ee449483.aspx)를 참조하세요. + OU 보안 설정을 수정할 수 있는 권한이 부여된 도메인 사용자로 로그인합니다. + 권한을 위임할 사용자, 서비스 계정 또는 그룹을 생성하거나 식별합니다. **최소 권한을 설정하려면** 1. 도메인에서 또는 도메인 컨트롤러에서 **Active Directory 사용자 및 컴퓨터**를 엽니다. 1. 왼쪽 탐색 창에서 도메인 조인 권한을 부여할 첫 번째 OU를 선택하고 컨텍스트(마우스 오른쪽 버튼 클릭) 메뉴를 연 다음 **제어 위임**을 선택합니다. 1. **제어 위임 마법사** 페이지에서 **다음**과 **추가**를 차례대로 선택합니다. 1. **사용자, 컴퓨터 또는 그룹 선택**에서 사전 생성된 사용자, 서비스 계정 또는 그룹을 선택한 다음 **확인**을 선택합니다. 1. **위임할 작업** 페이지에서 **위임할 사용자 지정 작업 만들기**를 선택하고 **다음**을 선택합니다. 1. **폴더의 다음 객체만**과 **컴퓨터 객체**를 차례대로 선택합니다. 1. **이 폴더에서 선택한 객체 생성**과 **다음**을 차례대로 선택합니다. 1. **권한**에서 **읽기**, **쓰기**, **비밀번호 변경**, **비밀번호 초기화**, **다음**을 차례대로 선택합니다. 1. **제어 위임 마법사 완료** 페이지에서 정보를 확인하고 **완료**를 선택합니다. 1. 이러한 권한이 필요한 OU가 더 있는 경우에는 2\$19단계를 반복합니다. 그룹에 권한을 위임한 경우에는 강력한 암호로 사용자 또는 서비스 계정을 생성한 다음 이 계정을 그룹에 추가합니다. 그러면 이 계정은 WorkSpaces를 디렉터리에 연결할 수 있는 충분한 권한을 갖게 됩니다. WorkSpaces Pools 디렉터리 구성을 만들 때도 이 계정을 사용할 수 있습니다. ## 조직 단위의 고유 이름 찾기 WorkSpaces Pools에 Active Directory 도메인을 등록할 때 조직 단위(OU)의 고유 이름을 입력해야 합니다. 이를 위해 OU를 생성합니다. 기본 컴퓨터 컨테이너는 OU가 아니며 WorkSpaces Pools에서 사용할 수 없습니다. 다음은 고유 이름을 가져오는 방법을 나타낸 절차입니다. **참고** 고유 이름은 **OU=**로 시작해야 하며 그렇지 않은 경우 컴퓨터 객체에 사용할 수 없습니다. 이 절차를 완료하기 전에 먼저 다음을 수행해야 합니다. + 도메인에 조인되는 컴퓨터 또는 EC2 인스턴스에 대한 액세스 권한을 확보합니다. + Active Directory User and Computers MMC 스냅인을 설치합니다. 자세한 내용은 Microsoft 설명서의 [Windows 7용 원격 서버 관리 도구의 설치 또는 제거](https://technet.microsoft.com/en-us/library/ee449483.aspx)를 참조하세요. + OU 보안 속성을 읽을 수 있는 권한이 부여된 도메인 사용자로 로그인합니다. **OU의 고유 이름을 찾으려면** 1. 도메인에서 또는 도메인 컨트롤러에서 **Active Directory 사용자 및 컴퓨터**를 엽니다. 1. **보기** 아래에서 **고급 기능**이 활성화되어 있는지 확인합니다. 1. 왼쪽 탐색 창에서 WorkSpaces 컴퓨터 객체에 사용할 첫 번째 OU를 선택하고 컨텍스트(오른쪽 클릭) 메뉴를 연 다음 **속성**을 선택합니다. 1. **속성 편집기**를 선택합니다. 1. **속성** 아래 있는 **distinguishedName**에서 **보기**를 선택합니다. 1. **값**에서 고유 이름을 선택하고 컨텍스트 메뉴를 연 다음 **복사**를 선택합니다. ## 사용자 지정 이미지에 대한 로컬 관리자 권한 부여 기본적으로 Active Directory 도메인 사용자는 이미지에 대한 로컬 관리자 권한이 없습니다. 하지만 이러한 권한은 디렉터리에서 그룹 정책 기본 설정을 사용하여 부여하거나, 또는 이미지의 로컬 관리자 계정에서 수동으로 부여할 수 있습니다. 도메인 사용자에게 로컬 관리자 권한을 부여하면 사용자가 WorkSpaces Pools에서 애플리케이션을 설치하고 사용자 지정 이미지를 만들 수 있습니다. **Topics** + [그룹 정책 기본 설정 사용](#group-policy) + [WorkSpace의 로컬 관리자 그룹을 사용하여 이미지 만들기](#manual-procedure) ### 그룹 정책 기본 설정 사용 그룹 정책 기본 설정을 사용하여 Active Directory 사용자 또는 그룹과 지정된 OU의 모든 컴퓨터 객체에 로컬 관리자 권한을 부여할 수 있습니다. 로컬 관리자 권한을 부여할 Active Directory 사용자나 그룹이 이미 존재해야 합니다. 그룹 정책 기본 설정을 사용하려면 먼저 다음을 수행해야 합니다. + 도메인에 조인되는 컴퓨터 또는 EC2 인스턴스에 대한 액세스 권한을 확보합니다. + 그룹 정책 관리 콘솔(GPMC) MMC 스냅인을 설치합니다. 자세한 내용은 Microsoft 설명서의 [Windows 7용 원격 서버 관리 도구의 설치 또는 제거](https://technet.microsoft.com/en-us/library/ee449483.aspx)를 참조하세요. + 권한을 가진 도메인 사용자로 로그인하여 그룹 정책 객체(GPO)를 생성합니다. GPO를 해당 OU에 연결합니다. **그룹 정책 기본 설정을 사용하여 로컬 관리자 권한을 부여하려면** 1. 디렉터리 또는 도메인 컨트롤러에서 명령 프롬프트를 관리자로 열고 `gpmc.msc`를 입력한 다음 ENTER를 누릅니다. 1. 왼쪽 콘솔 트리에서 새 GPO를 생성할 OU를 선택하거나 기존 GPO를 사용하고 나서, 다음 중 하나를 수행합니다. + 컨텍스트(마우스 오른쪽 버튼 클릭) 메뉴를 열어서 **Create a GPO in this domain, Link it here**(이 도메인에서 GPO 생성, 여기에 연결)를 선택하여 새 GPO를 생성합니다. **이름**에 이 GPO를 설명하는 이름을 입력합니다. + 기존 GPO를 선택합니다. 1. GPO의 컨텍스트 메뉴를 열고 **편집**을 선택합니다. 1. 콘솔 트리에서 **컴퓨터 구성**, **기본 설정**, **Windows 설정**, **제어판 설정** 및 **로컬 사용자 및 그룹**을 선택합니다. 1. **로컬 사용자 및 그룹**을 선택하고 컨텍스트 메뉴를 연 다음, **새로 만들기**, **로컬 그룹**을 차례로 선택합니다. 1. **작업**에서 **업데이트**를 선택합니다. 1. **그룹 이름**에서 **관리자(내장형)**를 선택합니다. 1. **멤버**에서 **추가...**를 선택하고 스트리밍 인스턴스에 대한 로컬 관리자 권한을 할당할 Active Directory 사용자 계정 또는 그룹을 지정합니다. **작업**에서 **이 그룹에 추가**와 **확인**을 차례대로 선택합니다. 1. 이 GPO를 다른 OU에 적용하려면 다른 OU를 선택하고 컨텍스트 메뉴를 연 다음 **기존 GPO 연결**을 선택합니다. 1. 2단계에서 지정한 새 GPO 또는 기존 GPO 이름을 사용하여 스크롤해서 해당 GPO 위치로 이동하고 나서 **확인**을 선택합니다. 1. 이 기본 설정을 지정해야 하는 추가 OU에 대해 9단계와 10단계를 반복합니다. 1. **확인**을 선택하여 **새 로컬 그룹 속성** 대화 상자를 닫습니다. 1. **확인**을 다시 선택하여 GPMC를 닫습니다. 새 기본 설정을 GPO에 적용하려면 실행 중인 모든 이미지 빌더나 플릿을 중지했다가 다시 시작해야 합니다. 8단계에서 지정한 Active Directory 사용자 및 그룹에 GPO가 연결된 OU의 이미지 빌더 및 플릿에 대한 로컬 관리자 권한이 자동으로 부여됩니다. ### WorkSpace의 로컬 관리자 그룹을 사용하여 이미지 만들기 이미지에 대한 Active Directory 사용자 또는 그룹 로컬 관리자 권한을 부여하려면 이미지의 로컬 관리자 그룹에 이러한 사용자나 그룹을 수동으로 추가합니다. 단, 로컬 관리자 권한을 부여할 Active Directory 사용자 또는 그룹이 사전에 존재해야 합니다. 1. 이미지를 빌드하는 데 사용하는 WorkSpace에 연결합니다. WorkSpace가 실행 중이고 도메인에 조인되어 있어야 합니다. 1. **시작**, **관리 도구**를 차례로 선택하고 나서 **컴퓨터 관리**를 두 번 클릭합니다. 1. 왼쪽 탐색 창에서 **로컬 사용자 및 그룹**을 선택하고 **그룹** 폴더를 엽니다. 1. **관리자** 그룹을 열고 **추가...**를 선택합니다. 1. 로컬 관리자 권한을 할당할 Active Directory 사용자 또는 그룹을 모두 선택한 다음 **확인**을 선택합니다. **확인**을 다시 선택하여 **관리자 속성** 대화 상자를 닫습니다. 1. 컴퓨터 관리를 닫습니다. 1. Active Directory 사용자로 로그인하고 사용자가 WorkSpaces에 대한 로컬 관리자 권한이 있는지 여부를 테스트하려면 **관리자 명령**을 선택하고 **사용자 전환**을 선택한 다음 관련 사용자의 자격 증명을 입력합니다. ## 사용자 유휴 시 스트리밍 세션 잠금 WorkSpaces Pools는 사용자가 일정 시간 동안 유휴 상태로 있고 난 후 GPMC에서 구성하는 설정에 의존하여 스트리밍 세션을 잠급니다. GPMC를 사용하려면 먼저 다음을 수행해야 합니다. + 도메인에 조인되는 컴퓨터 또는 EC2 인스턴스에 대한 액세스 권한을 확보합니다. + GPMC를 설치합니다. 자세한 내용은 Microsoft 설명서의 [Windows 7용 원격 서버 관리 도구의 설치 또는 제거](https://technet.microsoft.com/en-us/library/ee449483.aspx)를 참조하세요. + GPO 생성 권한이 있는 도메인 사용자로 로그인합니다. GPO를 해당 OU에 연결합니다. **사용자 유휴 시 스트리밍 인스턴스를 자동으로 잠그려면** 1. 디렉터리 또는 도메인 컨트롤러에서 명령 프롬프트를 관리자로 열고 `gpmc.msc`를 입력한 다음 ENTER를 누릅니다. 1. 왼쪽 콘솔 트리에서 새 GPO를 생성할 OU를 선택하거나 기존 GPO를 사용하고 나서, 다음 중 하나를 수행합니다. + 컨텍스트(마우스 오른쪽 버튼 클릭) 메뉴를 열어서 **Create a GPO in this domain, Link it here**(이 도메인에서 GPO 생성, 여기에 연결)를 선택하여 새 GPO를 생성합니다. **이름**에 이 GPO를 설명하는 이름을 입력합니다. + 기존 GPO를 선택합니다. 1. GPO의 컨텍스트 메뉴를 열고 **편집**을 선택합니다. 1. **사용자 구성**에서 **정책**, **관리 템플릿**, **제어판**을 차례로 확장하고 나서 **개인 설정**을 선택합니다. 1. **화면 보호기 사용**을 두 번 클릭합니다. 1. **화면 보호기 사용** 정책 설정에서 **사용**을 선택합니다. 1. **적용**을 선택하고 **확인**을 선택합니다. 1. **특정 화면 보호기 강제 적용**을 두 번 클릭합니다. 1. **특정 화면 보호기 강제 적용** 정책 설정에서 **사용**을 선택합니다. 1. **화면 보호기 실행 파일**에 **scrnsave.scr**을 입력합니다. 이 설정이 활성화되면 사용자의 바탕 화면에 검은색 화면 보호기가 표시됩니다. 1. **적용**을 선택하고 **확인**을 선택합니다. 1. **Password protect the screen saver**(화면 보호기 암호로 보호)를 두 번 클릭합니다. 1. **Password protect the screen saver**(화면 보호기 암호로 보호) 정책 설정에서 **사용**을 선택합니다. 1. **적용**을 선택하고 **확인**을 선택합니다. 1. **화면 보호기 시간 제한**을 두 번 클릭합니다. 1. **화면 보호기 시간 제한** 정책 설정에서 **사용**을 선택합니다. 1. **초**에 화면 보호기가 적용되기 전 사용자가 유휴 상태로 있어야 하는 기간을 지정합니다. 유휴 시간을 10분으로 설정하려면 600초를 지정합니다. 1. **적용**을 선택하고 **확인**을 선택합니다. 1. 콘솔 트리의 **사용자 구성**에서 **정책**, **관리 템플릿**, **시스템**을 차례로 확장한 다음 **Ctrl\$1Alt\$1Del 옵션**을 선택합니다. 1. **컴퓨터 잠금 사용 안 함**을 두 번 클릭합니다. 1. **컴퓨터 잠금 사용 안 함** 정책 설정에서 **사용 안 함**을 선택합니다. 1. **적용**을 선택하고 **확인**을 선택합니다. ## 도메인 신뢰를 사용하도록 WorkSpaces Pools 구성 WorkSpaces Pools는 Active Directory 도메인 환경을 지원합니다. 이 도메인 환경에서는 파일 서버, 애플리케이션, 컴퓨터 객체 같은 네트워크 리소스가 한 도메인에 속하고, 사용자 객체가 다른 도메인에 속합니다. 컴퓨터 객체 작업에 사용되는 도메인 서비스 계정은 WorkSpaces Pools 컴퓨터 객체와 동일한 도메인에 속하지 않아도 됩니다. 디렉터리 구성을 생성할 때는 파일 서버, 애플리케이션, 컴퓨터 객체 및 기타 네트워크 리소스가 상주하는 Active Directory 도메인의 컴퓨터 객체를 관리할 수 있는 권한을 가진 서비스 계정을 지정합니다. 최종 사용자의 Active Directory 계정은 다음과 같은 경우에 "인증 허용(Allowed to Authenticate)" 권한이 필요합니다. + WorkSpaces Pools 컴퓨터 객체 + 도메인에 대한 도메인 컨트롤러 자세한 내용은 [Active Directory 컴퓨터 객체를 생성 및 관리할 수 있는 권한 부여](#active-directory-permissions) 섹션을 참조하세요. # 추가 정보 이 주제에 대한 자세한 내용은 다음 리소스를 참조하세요. + [Microsoft Active Directory](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/directory_microsoft_ad.html) - Directory Service 사용에 대한 정보 # WorkSpaces Pools의 번들 및 이미지 *WorkSpaces 번들*은 운영 체제, 스토리지, 컴퓨팅 및 소프트웨어 리소스의 조합입니다. WorkSpaces를 시작할 때 요구 사항을 충족하는 번들을 선택합니다. WorkSpaces에 사용할 수 있는 기본 번들을 *퍼블릭 번들*이라고 합니다. WorkSpaces에 사용할 수 있는 다양한 퍼블릭 번들에 대한 자세한 내용은 [Amazon WorkSpaces 번들](https://aws.amazon.com/workspaces/details/#Amazon_WorkSpaces_Bundles)을 참조하세요. Windows WorkSpace를 시작하고 사용자 지정한 경우 WorkSpaces Pools에서 사용할 수 있는 사용자 지정 이미지를 해당 WorkSpace에서 만들 수 있습니다. Linux는 WorkSpaces Pools에서 지원되지 않습니다. *사용자 지정 이미지*에는 WorkSpace에 대한 OS, 소프트웨어 및 설정만 포함됩니다. WorkSpaces를 실행할 수 있는 하드웨어 및 사용자 지정 이미지가 통합된 것이 *사용자 지정 번들*입니다. 사용자 지정 이미지를 생성한 후, 사용자 지정 WorkSpace 이미지와 선택한 스토리지 구성 및 기본 컴퓨팅을 결합하는 사용자 지정 번들을 빌드할 수 있습니다. 새 WorkSpaces Pools를 만들 때 이 사용자 지정 번들을 지정하면 풀의 새 WorkSpaces가 동일한 일관된 구성(하드웨어 및 소프트웨어)을 갖도록 할 수 있습니다. WorkSpaces에서 소프트웨어 업데이트를 수행하고 추가 소프트웨어를 설치해야 하는 경우, 사용자 지정 번들을 업데이트하고 이를 사용하여 WorkSpaces를 다시 빌드할 수 있습니다. WorkSpaces Pools는 여러 가지 운영 체제(OS), 스트리밍 프로토콜 및 번들을 지원합니다. 다음 표에서는 각 OS에서 지원하는 라이선스, 스트리밍 프로토콜 및 번들에 대한 정보를 제공합니다. | 운영 체제 | 라이선스 | 스트리밍 프로토콜 | 지원되는 번들 | 수명 주기 정책/사용 중지 날짜 | | --- | --- | --- | --- | --- | | Windows Server 2019 | 포함 | DCV | Value, Standard, Performance, Power, PowerPro | [2029년 1월 9일](https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2019) | | Windows Server 2022 | 포함 | DCV | Standard, Performance, Power, PowerPro, Graphics.G4dn, GraphicsPro.G4dn | [2031년 10월 14일](https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2022) | **참고** 공급업체에서 더 이상 지원하지 않는 운영 체제 버전은 작동이 보장되지 않으며 AWS 지원에서 지원되지 않습니다. **Topics** + [WorkSpaces Pools의 번들 옵션](pools-custom-images-bundles.md) + [WorkSpaces Pools용 사용자 지정 이미지 및 번들 만들기](pools-images-custom-image.md) + [WorkSpaces Pools용 사용자 지정 이미지 및 번들 관리](pools-images-managing.md) + [세션 스크립트를 사용하여 사용자의 스트리밍 환경 관리](pools-images-session-scripts.md) # WorkSpaces Pools의 번들 옵션 WorkSpaces Pool과 함께 사용할 번들을 선택하기 전에, 선택하려는 번들이 WorkSpaces의 프로토콜, 운영 체제, 네트워크 및 컴퓨팅 유형과 호환되는지 확인하세요. 사용자의 일상 작업을 복제하는 애플리케이션을 실행하고 사용하여 테스트 환경에서 선택하려는 번들의 성능을 테스트하는 것이 좋습니다. 프로토콜에 대한 자세한 내용은 [WorkSpaces Personal용 프로토콜](amazon-workspaces-networking.md#amazon-workspaces-protocols)를 참조하세요. 네트워크에 대한 자세한 내용은 [WorkSpaces Personal용 클라이언트 네트워크 요구 사항](workspaces-network-requirements.md) 섹션을 참조하세요. 다음 퍼블릭 번들은 WorkSpaces Pools와 함께 사용할 수 있습니다. WorkSpaces의 번들에 대한 자세한 내용은 [Amazon WorkSpaces 번들](https://aws.amazon.com/workspaces/details/#Amazon_WorkSpaces_Bundles)을 참조하세요. Value, Standard, Performance, Power, PowerPro ## Value 번들 이 번들은 다음과 같은 경우에 적합합니다. + 기본 텍스트 편집 및 데이터 입력 + 사용량이 적은 웹 브라우징 + 인스턴트 메시징 이 번들은 워드 프로세싱, 오디오 및 화상 회의, 화면 공유, 소프트웨어 개발 도구, 비즈니스 인텔리전스 애플리케이션, 그래픽 애플리케이션에는 권장되지 않습니다. ## Standard 번들 이 번들은 다음과 같은 경우에 적합합니다. + 기본 텍스트 편집 및 데이터 입력 + 웹 브라우징 + 인스턴트 메시징 + 이메일 이 번들은 오디오 및 화상 회의, 화면 공유, 워드 프로세싱, 소프트웨어 개발 도구, 비즈니스 인텔리전스 애플리케이션, 그래픽 애플리케이션에는 권장되지 않습니다. ## Performance 번들 이 번들은 다음과 같은 경우에 적합합니다. + 웹 브라우징 + 워드 프로세싱 + 인스턴트 메시징 + 이메일 + 스프레드시트 + 오디오 프로세싱 + 코스웨어 이 번들은 화상 회의, 화면 공유, 소프트웨어 개발 도구, 비즈니스 인텔리전스 애플리케이션, 그래픽 애플리케이션에는 권장되지 않습니다. ## Power 번들 이 번들은 다음과 같은 경우에 적합합니다. + 웹 브라우징 + 워드 프로세싱 + 이메일 + 인스턴트 메시징 + 스프레드시트 + 오디오 프로세싱 + 소프트웨어 개발(통합 개발 환경(IDE)) + 초급에서 중급 수준의 데이터 프로세싱 + 오디오 및 화상 회의 이 번들은 화면 공유, 소프트웨어 개발 도구, 비즈니스 인텔리전스 애플리케이션, 그래픽 애플리케이션에는 권장되지 않습니다. ## PowerPro 번들 이 번들은 다음과 같은 경우에 적합합니다. + 웹 브라우징 + 워드 프로세싱 + 이메일 + 인스턴트 메시징 + 스프레드시트 + 오디오 프로세싱 + 소프트웨어 개발(통합 개발 환경(IDE)) + 데이터 웨어하우징 + 비즈니스 인텔리전스 애플리케이션 + 오디오 및 화상 회의 이 번들은 기계 학습 모델 훈련 및 그래픽 애플리케이션에는 권장되지 않습니다. ## Graphics.g4dn 번들 이 번들은 WorkSpaces를 위한 높은 수준의 그래픽 성능과 보통 수준의 CPU 성능 및 메모리를 제공하며 다음과 같은 경우에 적합합니다. + 웹 브라우징 + 워드 프로세싱 + 이메일 + 스프레드시트 + 인스턴트 메시징 + 오디오 회의 + 소프트웨어 개발(통합 개발 환경(IDE)) + 초급에서 중급 수준의 데이터 프로세싱 + 데이터 웨어하우징 + 비즈니스 인텔리전스 애플리케이션 + 그래픽 디자인 + 컴퓨터 지원 설계/컴퓨터 지원 제조(CAD/CAM) 이 번들은 오디오 및 화상 회의, 3D 렌더링 및 실사 수준의 디자인 및 기계 학습 모델 훈련에는 권장되지 않습니다. ## GraphicsPro.g4dn 번들 이 번들은 WorkSpaces를 위한 높은 수준의 그래픽 성능과 CPU 성능, 메모리를 제공하며 다음과 같은 경우에 적합합니다. + 웹 브라우징 + 워드 프로세싱 + 이메일 + 스프레드시트 + 인스턴트 메시징 + 오디오 회의 + 소프트웨어 개발(통합 개발 환경(IDE)) + 초급에서 중급 수준의 데이터 프로세싱 + 데이터 웨어하우징 + 비즈니스 인텔리전스 애플리케이션 + 그래픽 디자인 + 컴퓨터 지원 설계/컴퓨터 지원 제조(CAD/CAM) + 비디오 트랜스코딩 + 3D 렌더링 + 실사 수준의 디자인 + 게임 스트리밍 + 기계 학습(ML) 모델 훈련 및 ML 추론 이 번들은 오디오 및 비디오 컨퍼런싱에는 권장되지 않습니다. # WorkSpaces Pools용 사용자 지정 이미지 및 번들 만들기 WorkSpaces Pools는 Windows 이미지 및 번들만 지원합니다. Windows 또는 WorkSpace를 시작하고 사용자 지정한 경우, 해당 WorkSpace에서 사용자 지정 이미지 및 사용자 지정 번들을 생성할 수 있습니다. *사용자 지정 이미지*에는 WorkSpace에 대한 OS, 소프트웨어 및 설정만 포함됩니다. WorkSpaces를 실행할 수 있는 하드웨어 및 사용자 지정 이미지가 통합된 것이 *사용자 지정 번들*입니다. 사용자 지정 이미지를 생성한 후, 사용자 지정 이미지와 선택한 스토리지 구성 및 기본 컴퓨팅을 결합하는 사용자 지정 번들을 빌드할 수 있습니다. 새 WorkSpaces를 시작할 때 이 사용자 지정 번들을 지정하면 새 WorkSpaces가 동일한 일관된 구성(하드웨어 및 소프트웨어)을 갖도록 할 수 있습니다. 동일한 사용자 지정 이미지를 이용해 각 번들에 대해 서로 다른 컴퓨팅 및 스토리지 옵션을 선택하여 다양한 사용자 지정 번들을 생성할 수 있습니다. **중요** 사용자 지정 번들 스토리지 볼륨은 이미지 스토리지 볼륨보다 작을 수 없습니다. 사용자 지정 번들은 만들어진 퍼블릭 번들과 같은 비용이 듭니다. 요금에 대한 자세한 내용은 [Amazon WorkSpaces 요금](https://aws.amazon.com/workspaces/pricing/)을 참조하세요. **Topics** + [Windows 사용자 지정 이미지 생성 시 적용되는 요구 사항](#pools-windows_custom_image_requirements) + [모범 사례](#pools-custom_image_best_practices) + [1단계: 이미지 검사기 실행](#pools-run_image_checker) + [2단계: 사용자 지정 이미지 및 사용자 지정 번들 생성](#pools-create_custom_image_bundle) + [Windows WorkSpaces 사용자 지정 이미지에 포함된 항목](#pools-image_creation_windows) ## Windows 사용자 지정 이미지 생성 시 적용되는 요구 사항 **참고** Windows는 현재 1GB를 1,073,741,824바이트로 정의합니다. WorkSpace 이미지를 만들기 위해 C 드라이브에 12,884,901,888바이트(또는 12GiB) 이상의 여유 공간이 있어야 하고 사용자 프로필이 10,737,418,240바이트(또는 10GiB) 미만인지 확인해야 합니다. + WorkSpace의 상태가 **사용 가능**이어야 하며 수정 상태가 **없음**이어야 합니다. + WorkSpaces 이미지에 있는 모든 애플리케이션과 사용자 프로필은 Microsoft Sysprep과 호환 가능해야 합니다. + 이미지에 포함할 모든 애플리케이션을 `C` 드라이브에 설치해야 합니다. + WorkSpaces에서 실행되는 모든 애플리케이션 서비스는 도메인 사용자 자격 증명 대신 로컬 시스템 계정을 사용해야 합니다. 예를 들어 도메인 사용자의 자격 증명을 사용하여 Microsoft SQL Server Express 설치를 실행할 수 없습니다. + WorkSpace는 암호화하면 안 됩니다. 암호화된 WorkSpace에서의 이미지 생성은 현재 지원되지 않습니다. + 다음 구성 요소가 이미지에 필요합니다. 이러한 구성 요소가 없으면 이미지에서 실행하는 WorkSpaces가 제대로 작동하지 않습니다. 자세한 내용은 [WorkSpaces Personal에 대한 필수 구성 및 서비스 구성 요소](required-service-components.md) 섹션을 참조하세요. + Windows PowerShell 버전 3.0 이상 + 원격 데스크톱 서비스 + AWS PV 드라이버 + Windows 원격 관리(WinRM) + Teradici PCoIP 에이전트 및 드라이버 + STXHD 에이전트 및 드라이버 + AWS 및 WorkSpaces 인증서 + Skylight 에이전트 + WorkSpaces Pools는 200GB의 최대 번들/이미지 루트 볼륨 크기만 지원합니다. Windows 사용자 지정 이미지를 생성할 때 루트 볼륨 크기가 200GB인지 확인합니다. ## 모범 사례 WorkSpaces에서 이미지를 생성하기 전에 다음을 수행합니다. + 프로덕션 환경에 연결되지 않은 별도의 VPC를 사용합니다. + 프라이빗 서브넷에서 WorkSpace를 배포하고 아웃바운드 트래픽에 NAT 인스턴스를 사용합니다. + 작은 Simple AD 디렉터리를 사용합니다. + 소스 WorkSpace에 가장 작은 볼륨 크기를 사용하고 사용자 지정 번들을 생성할 때 필요에 따라 볼륨 크기를 조정합니다. + WorkSpace에 모든 운영 체제 업데이트(Windows 기능/버전 업데이트 제외) 및 모든 애플리케이션 업데이트를 설치합니다. + WorkSpaces에서 번들에 포함되면 안 되는 캐싱된 데이터(예: 브라우저 기록, 캐싱된 파일, 브라우저 쿠키)를 삭제합니다. + WorkSpaces에서 번들에 포함되면 안 되는 구성 설정(예: 이메일 프로필)을 삭제합니다. + DHCP를 사용하여 동적 IP 주소 설정으로 전환합니다. + 리전에 허용된 WorkSpace 이미지의 할당량을 초과하지 않았는지 확인합니다. 기본적으로 리전당 40개의 WorkSpace 이미지가 허용됩니다. 이 할당량에 도달한 경우 이미지를 생성하려고 시도하면 실패합니다. 할당량 증가를 요청하려면 [WorkSpaces Limits 양식](https://console.aws.amazon.com/support/home#/case/create?issueType=service-limit-increase&limitType=workspaces)을 사용하세요. + 암호화된 WorkSpace에서 이미지를 생성하고 있지 않은지 확인합니다. 암호화된 WorkSpace에서의 이미지 생성은 현재 지원되지 않습니다. + WorkSpace에 안티바이러스 소프트웨어가 실행 중인 경우 이미지를 생성할 때 이 소프트웨어를 비활성화합니다. + WorkSpace에 방화벽이 활성화된 경우 방화벽이 필요한 포트를 차단하고 있지 않은지 확인합니다. 자세한 내용은 [WorkSpaces Personal의 IP 주소 및 포트 요구 사항](workspaces-port-requirements.md) 섹션을 참조하세요. + Windows WorkSpaces의 경우 이미지를 생성하기 전에 그룹 정책 객체(GPO)를 구성하지 마세요. + Windows WorkSpaces의 경우 이미지를 생성하기 전에 기본 사용자 프로필(`C:\Users\Default`)을 사용자 지정하지 마세요. 이미지 생성 후에 GPO를 통해 사용자 프로필을 사용자 지정하고 적용하는 것이 좋습니다. GPO는 쉽게 수정하거나 롤백할 수 있으므로 기본 사용자 프로필에 수행된 사용자 지정보다 오류가 발생할 가능성이 낮습니다. + WorkSpaces에서 ENA, NVMe 및 PV 드라이버와 같은 네트워킹 종속성 드라이버를 업데이트해야 합니다. 최소 6개월에 한 번 이 작업을 수행해야 합니다. 자세한 내용은 [Elastic Network Adapter(ENA) 드라이버 설치 또는 업그레이드](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/enhanced-networking-ena.html#ena-adapter-driver-install-upgrade-win), [Windows 인스턴스용AWS NVMe 드라이버](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/aws-nvme-drivers.html) 및 [Windows 인스턴스의 PV 드라이버 업그레이드](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/Upgrading_PV_drivers.html)를 참조하세요. + EC2Config, EC2Launch 및 EC2Launch V2 에이전트를 최신 버전으로 주기적으로 업데이트해야 합니다. 최소 6개월에 한 번 이 작업을 수행해야 합니다. 자세한 내용은 [EC2Config 및 EC2Launch 업데이트](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/migrating-latest-types.html#upgdate-ec2config-ec2launch)를 참조하세요. ## 1단계: 이미지 검사기 실행 Windows WorkSpace가 이미지 만들기 요구 사항을 충족하는지 확인하려면 이미지 검사기 애플리케이션을 실행하는 것이 좋습니다. 이미지 검사기는 이미지를 생성하는 데 사용하려는 WorkSpace에서 일련의 테스트를 수행하고 발견된 문제를 해결하는 방법에 대한 지침을 제공합니다. 이미지 검사기는 Windows WorkSpaces에서만 사용할 수 있습니다. **중요** WorkSpace는 이미지 생성에 사용하기 전에 이미지 검사기에서 실행하는 모든 테스트를 통과해야 합니다. 이미지 검사기를 실행하기 전에 최신 Windows 보안 및 누적 업데이트가 WorkSpace에 설치되어 있는지 확인합니다. 이미지 검사기를 가져오려면 다음 중 하나를 수행합니다. + [WorkSpace를 재부팅합니다](reboot-workspaces.md). 이미지 검사기는 재부팅하는 동안 자동으로 다운로드되고 `C:\Program Files\Amazon\ImageChecker.exe`에 설치됩니다. + [https://tools.amazonworkspaces.com/ImageChecker.zip](https://tools.amazonworkspaces.com/ImageChecker.zip) 에서 Amazon WorkSpaces 이미지 검사기를 다운로드하고 `ImageChecker.exe` 파일을 추출합니다. 이 파일을 `C:\Program Files\Amazon\`에 복사합니다. **이미지 검사기를 실행하려면** 1. `C:\Program Files\Amazon\ImageChecker.exe` 파일을 엽니다. 1. **Amazon WorkSpaces Image Checker** 대화 상자에서 **실행**을 선택합니다. 1. 각 테스트가 완료된 후 테스트의 상태를 볼 수 있습니다. 테스트의 상태가 **실패**인 경우 **정보**를 선택하여 실패의 원인이 된 문제를 해결하는 방법에 대한 정보를 표시합니다. 이러한 문제를 해결하는 방법에 대한 자세한 내용은 [이미지 검사기에서 감지한 문제 해결을 위한 팁](#pools-image_checker_tips) 섹션을 참조하세요. 테스트가 **경고** 상태를 표시하는 경우 **모든 경고 수정** 버튼을 선택합니다. 이 도구는 이미지 검사기가 위치해 있는 동일한 디렉터리에 출력 로그 파일을 생성합니다. 이 파일의 기본 위치는 `C:\Program Files\Amazon\ImageChecker_yyyyMMddhhmmss.log`입니다. 이 로그 파일을 삭제하지 마세요. 문제가 발생하는 경우 이러한 로그 파일이 문제 해결에 도움이 될 수 있습니다. 1. 해당하는 경우 테스트 실패 및 경고의 원인이되는 문제를 해결하고 WorkSpace가 모든 테스트를 통과할 때까지 이미지 검사기 실행 프로세스를 반복합니다. 이미지를 생성하기 전에 모든 실패 및 경고를 해결해야 합니다. 1. WorkSpace에서 모든 테스트를 통과하면 **검증 성공** 메시지가 표시됩니다. 이제 사용자 지정 번들을 생성할 준비가 되었습니다. ### 이미지 검사기에서 감지한 문제 해결을 위한 팁 이미지 검사기에서 감지한 문제를 해결하기 위한 다음 팁을 고려하는 것 외에도 `C:\Program Files\Amazon\ImageChecker_yyyyMMddhhmmss.log`에서 이미지 검사기 로그 파일을 검토해야 합니다. #### PowerShell 버전 3.0 이상을 설치해야 합니다. 최신 버전의 [Microsoft Windows PowerShell](https://docs.microsoft.com/powershell)을 설치합니다. **중요** **RemoteSigned** 스크립트를 허용하도록 WorkSpace에 대한 PowerShell 실행 정책을 설정해야 합니다. 실행 정책을 확인하려면 **Get-ExecutionPolicy** PowerShell 명령을 실행합니다. 실행 정책이 **Unrestricted** 또는 **RemoteSigned**로 설정되지 않은 경우 **Set-ExecutionPolicy –ExecutionPolicy RemoteSigned** 명령을 실행하여 실행 정책의 값을 변경합니다. **RemoteSigned** 설정을 사용하면 이미지를 생성하는 데 필요한 Amazon WorkSpaces에 스크립트를 실행할 수 있습니다. #### C 및 D 드라이브만 있을 수 있습니다. 이미징에 사용되는 WorkSpace에는 `C` 및 `D` 드라이브만 있을 수 있습니다. 가상 드라이브를 포함한 기타 모든 드라이브를 제거합니다. #### Windows Update로 인해 보류 중인 재부팅을 감지할 수 없음 + 보안 또는 누적 업데이트 설치를 완료하기 위해 Windows를 재부팅할 때까지 이미지 생성 프로세스를 실행할 수 없습니다. Windows를 재부팅하여 이러한 업데이트를 적용하고 보류 중인 기타 Windows 보안 또는 누적 업데이트를 설치할 필요가 없는지 확인합니다. + 한 버전의 Windows 10에서 더 최신 버전의 Windows 10으로 업그레이드(Windows 기능/버전 업그레이드)를 수행한 Windows 10 시스템에서는 이미지 생성이 지원되지 않습니다. 그러나 Windows 누적 업데이트 또는 보안 업데이트는 WorkSpaces 이미지 생성 프로세스에서 지원됩니다. #### Sysprep 파일이 있어야 하며 비워 둘 수 없습니다. Sysprep 파일에 문제가 있는 경우 [AWS Support Center](https://console.aws.amazon.com/support/home#/)에 문의하여 EC2Config 또는 EC2Launch를 복구합니다. #### 사용자 프로필 크기는 10GB 미만이어야 합니다. Windows 7 WorkSpaces의 경우 사용자 프로필(`D:\Users\username`)이 총 10GB 미만이어야 합니다. 필요에 따라 파일을 제거하여 사용자 프로필의 크기를 줄입니다. #### C 드라이브에는 충분한 사용 가능한 공간이 있어야 합니다. Windows 7 WorkSpaces의 경우 `C` 드라이브에 최소 12GB의 사용 가능한 공간이 있어야 합니다. 필요에 따라 파일을 제거하여 `C` 드라이브의 공간을 확보합니다. Windows 10 WorkSpaces의 경우 `FAILED` 메시지를 수신하고 디스크 공간이 2GB를 초과하면 무시하세요. #### 도메인 계정에서 서비스를 실행할 수 없습니다. 이미지 생성 프로세스를 실행하려는 경우 WorkSpace의 어떤 서비스도 도메인 계정에서 실행할 수 없습니다. 모든 서비스는 로컬 계정에서 실행해야 합니다. **로컬 계정에서 서비스를 실행하려면** 1. `C:\Program Files\Amazon\ImageChecker_yyyyMMddhhmmss.log`를 열고 도메인 계정에서 실행 중인 서비스 목록을 찾습니다. 1. Windows 검색 상자에 **services.msc**를 입력하여 Windows Services Manager를 엽니다. 1. **로그온 계정**에서, 도메인 계정에서 실행 중인 서비스를 찾습니다. (**로컬 시스템**, **로컬 서비스** 또는 **네트워크 서비스**로 실행 중인 서비스는 이미지 생성을 방해하지 않습니다.) 1. 도메인 계정에서 실행 중인 서비스를 선택한 다음 **작업**, **속성**을 선택합니다. 1. **로그온** 탭을 엽니다. **로그온 계정**에서 **로컬 시스템 계정**을 선택합니다. 1. **확인**을 선택합니다. #### DHCP를 사용하도록 WorkSpace가 구성되어 있어야 합니다. 정적 IP 주소 대신 DHCP를 사용하도록 WorkSpace의 모든 네트워크 어댑터를 구성해야 합니다. **DHCP를 사용하도록 모든 네트워크 어댑터를 설정하려면** 1. Windows 검색 상자에 **control panel**을 입력하여 제어판을 엽니다. 1. **네트워크 및 인터넷**을 선택합니다. 1. **네트워크 및 공유 센터**를 선택합니다. 1. **어댑터 설정 변경**을 선택하고 어댑터를 선택합니다. 1. **이 연결의 설정 변경**을 선택합니다. 1. **네트워킹** 탭에서 **인터넷 프로토콜 버전 4(TCP/IPv4)**를 선택한 다음 **속성**을 선택합니다. 1. **인터넷 프로토콜 버전 4(TCP/IPv4) 속성** 대화 상자에서 **IP 주소 자동으로 가져오기**를 선택합니다. 1. **확인**을 선택합니다. 1. WorkSpace의 모든 네트워크 어댑터에 대해 이 프로세스를 반복합니다. #### 원격 데스크톱 서비스가 활성화되어 있어야 합니다. 이미지 생성 프로세스를 수행하려면 원격 데스크톱 서비스를 활성화해야 합니다. **원격 데스크톱 서비스를 활성화하려면** 1. Windows 검색 상자에 **services.msc**를 입력하여 Windows Services Manager를 엽니다. 1. **이름** 열에서 **원격 데스크톱 서비스**를 찾습니다. 1. **원격 데스크톱 서비스**를 선택한 다음 **작업**, **속성**을 선택합니다. 1. **일반** 탭에서 **시작 유형**에 대해 **수동** 또는 **자동**을 선택합니다. 1. **확인**을 선택합니다. #### 사용자 프로필이 있어야 합니다. 이미지를 생성하는 데 사용하는 WorkSpace에는 사용자 프로필(`D:\Users\username`)이 있어야 합니다. 이 테스트가 실패하면 [AWS Support Center](https://console.aws.amazon.com/support/home#/)에 문의하여 도움을 받으세요. #### 환경 변수 경로가 올바르게 구성되어 있어야 합니다. 로컬 시스템의 환경 변수 경로에 System32 및 Windows PowerShell에 대한 항목이 누락되었습니다. 이러한 항목은 이미지 생성을 실행하는 데 필요합니다. **환경 변수 경로를 구성하려면** 1. Windows 검색 상자에 **environment variables**를 입력한 다음 **시스템 환경 변수 편집**을 선택합니다. 1. **시스템 속성** 대화 상자에서 **고급** 탭을 선택한 다음 **환경 변수**를 선택합니다. 1. **환경 변수** 대화 상자의 **시스템 변수**에서 **경로** 항목을 선택한 다음 **편집**을 선택합니다. 1. **새로 만들기**를 선택하고 다음 경로를 추가합니다. `C:\Windows\System32` 1. **새로 만들기**를 다시 선택하고 다음 경로를 추가합니다. `C:\Windows\System32\WindowsPowerShell\v1.0\` 1. **확인**을 선택합니다. 1. WorkSpace를 다시 시작합니다. **작은 정보** 환경 변수 경로에 항목이 표시되는 순서가 중요합니다. 올바른 순서를 결정하기 위해, WorkSpace의 환경 변수 경로를 새로 만든 WorkSpace 또는 새 Windows 인스턴스의 환경 변수 경로와 비교할 수 있습니다. #### Windows 모듈 설치 관리자가 활성화되어 있어야 합니다. 이미지 생성 프로세스를 수행하려면 Windows 모듈 설치 관리자 서비스를 활성화해야 합니다. **Windows 모듈 설치 관리자 서비스를 활성화하려면** 1. Windows 검색 상자에 **services.msc**를 입력하여 Windows Services Manager를 엽니다. 1. **이름** 열에서 **Windows Modules Installer**를 찾습니다. 1. **Windows Modules Installer**를 선택한 다음 **작업**, **속성**을 선택합니다. 1. **일반** 탭에서 **시작 유형**에 대해 **수동** 또는 **자동**을 선택합니다. 1. **확인**을 선택합니다. #### Amazon SSM Agent가 비활성화되어 있어야 합니다. 이미지 생성 프로세스를 수행하려면 Amazon SSM Agent 서비스를 비활성화해야 합니다. **Amazon SSM Agent 서비스를 비활성화하려면** 1. Windows 검색 상자에 **services.msc**를 입력하여 Windows Services Manager를 엽니다. 1. **이름** 열에서 **Amazon SSM Agent**를 찾습니다. 1. **Amazon SSM Agent**를 선택한 다음 **작업**, **속성**을 선택합니다. 1. **일반** 탭에서 **시작 유형**에 대해 **비활성**을 선택합니다. 1. **확인**을 선택합니다. #### SSL3 및 TLS 버전 1.2가 활성화되어 있어야 합니다. Windows용 SSL/TLS를 구성하려면 Microsoft Windows 설명서에서 [TLS 1.2를 활성화하는 방법](https://docs.microsoft.com/configmgr/core/plan-design/security/enable-tls-1-2)을 참조하세요. #### WorkSpace에는 사용자 프로필이 하나만 있을 수 있습니다. 이미지를 생성하는 데 사용하는 WorkSpace에는 WorkSpaces 사용자 프로필(`D:\Users\username`)이 하나만 있을 수 있습니다. WorkSpace의 의도한 사용자에 속하지 않는 사용자 프로필을 삭제합니다. 이미지 생성이 작동하려면 WorkSpace에는 세 개의 사용자 프로필만 있어야 합니다. + WorkSpace의 의도한 사용자의 사용자 프로필(`D:\Users\username`) + 기본 사용자 프로필(기본 프로필이라고도 함) + 관리자 사용자 프로필 추가 사용자 프로필이 있는 경우 Windows 제어판에서 고급 시스템 속성을 통해 삭제할 수 있습니다. **사용자 프로필을 삭제하려면** 1. 고급 시스템 속성에 액세스하려면 다음 중 하나를 수행합니다. + **Windows 키\$1일시 중지/중단**을 누른 다음 **제어판** 왼쪽 창의 **고급 시스템 설정** > **시스템 및 보안** > **시스템** 대화 상자를 선택합니다. + Windows 검색 상자에 **control panel**을 입력합니다. 제어판에서 **시스템 및 보안**을 선택한 다음 시스템을 선택하고 **제어판** 왼쪽 창의 **고급 시스템 설정** > **시스템 및 보안** > **시스템** 대화 상자를 선택합니다. 1. **시스템 속성** 대화 상자의 **고급** 탭에 있는 **사용자 프로필**에서 **설정**을 선택합니다. 1. 관리자 프로필, 기본 프로필 및 의도한 WorkSpaces 사용자의 프로필 외의 프로필이 나열된 경우 해당 추가 프로필을 선택하고 **삭제**를 선택합니다. 1. 프로필을 삭제할 것인지 묻는 메시지가 나타나면 **예**를 선택합니다. 1. 필요한 경우 3단계와 4단계를 반복하여 WorkSpace에 속하지 않는 다른 모든 프로파일을 제거합니다. 1. **확인**을 두 번 선택하고 제어판을 닫습니다. 1. WorkSpace를 다시 시작합니다. #### AppX 패키지는 스테이징된 상태일 수 없습니다. 하나 이상의 AppX 패키지가 스테이징된 상태에 있습니다. 이로 인해 이미지를 생성하는 중에 Sysprep 오류가 발생할 수 있습니다. **스테이징된 AppX 패키지를 모두 제거하려면** 1. Windows 검색 상자에 **powershell**을 입력합니다. **관리자 권한으로 실행**을 선택합니다. 1. “이 앱이 디바이스를 변경할 수 있도록 허용하시겠습니까?“라고 묻는 메시지가 나타나면 **예**를 선택합니다. 1. Windows PowerShell 창에서 다음 명령을 입력하여 스테이징된 AppX 패키지를 모두 나열하고, 각 명령 다음에는 Enter 키를 누릅니다. ``` $workSpaceUserName = $env:username ``` ``` $allAppxPackages = Get-AppxPackage -AllUsers ``` ``` $packages = $allAppxPackages | Where-Object { ` (($_.PackageUserInformation -like "*S-1-5-18*" -and !($_.PackageUserInformation -like "*$workSpaceUserName*")) -and ` ($_.PackageUserInformation -like "*Staged*" -or $_.PackageUserInformation -like "*Installed*")) -or ` ((!($_.PackageUserInformation -like "*S-1-5-18*") -and $_.PackageUserInformation -like "*$workSpaceUserName*") -and ` $_.PackageUserInformation -like "*Staged*") } ``` 1. 승격된 SYSTEM 권한으로 다음 명령을 실행하여 스테이징된 모든 AppX 패키지 프로비저닝 항목을 제거하고 Enter 키를 누릅니다. ``` $packages | Remove-AppxPackage -ErrorAction SilentlyContinue ``` 1. 이미지 검사기를 다시 실행합니다. 이 테스트가 여전히 실패하면 다음 명령을 입력하여 AppX 패키지를 모두 제거하고, 각 명령 다음에는 Enter 키를 누릅니다. ``` Get-AppxProvisionedPackage -Online | Remove-AppxProvisionedPackage -Online -ErrorAction SilentlyContinue ``` ``` Get-AppxPackage -AllUsers | Remove-AppxPackage -ErrorAction SilentlyContinue ``` #### Windows가 이전 버전에서 업그레이드되지 않았어야 합니다. 한 버전의 Windows 10에서 더 최신 버전의 Windows 10으로 업그레이드(Windows 기능/버전 업그레이드)를 수행한 Windows 시스템에서는 이미지 생성이 지원되지 않습니다. 이미지를 생성하려면 Windows 기능/버전 업그레이드가 수행되지 않은 WorkSpace를 사용합니다. #### Windows 초기화 횟수는 0이 아니어야 합니다. 초기화 기능을 사용하면 Windows 평가판의 정품 인증 기간을 연장할 수 있습니다. 이미지 생성 프로세스에서는 초기화 횟수가 0이외의 값이어야 합니다. **Windows 초기화 횟수를 확인하려면** 1. Windows **시작** 메뉴에서 **Windows 시스템**을 선택한 다음 **명령 프롬프트**를 선택합니다. 1. 명령 프롬프트 창에 다음 명령을 입력한 다음 Enter 키를 누릅니다. `cscript C:\Windows\System32\slmgr.vbs /dlv` 초기화 횟수를 0 이외의 값으로 재설정하려면 Microsoft Windows 설명서의 [Windows 설치 Sysprep(일반화)](https://docs.microsoft.com/windows-hardware/manufacture/desktop/sysprep--generalize--a-windows-installation)을 참조하세요. #### 기타 문제 해결 팁 WorkSpace가 이미지 검사기에서 실행한 모든 테스트를 통과했지만 여전히 WorkSpace에서 이미지를 생성할 수 없는 경우 다음 사항을 확인하세요. + WorkSpace가 **도메인 게스트** 그룹 내의 사용자에게 할당되지 않았는지 확인합니다. 도메인 계정이 있는지 확인하려면 다음 PowerShell 명령을 실행합니다. ``` Get-WmiObject -Class Win32_Service | Where-Object { $_.StartName -like "*$env:USERDOMAIN*" } ``` + 일부 그룹 정책 객체(GPO)는 Windows 인스턴스 구성 중에 EC2Config 서비스 또는 EC2Launch 스크립트에서 요청할 때 RDP 인증서 지문에 대한 액세스를 제한합니다. 이미지를 생성하기 전에, 상속이 차단되고 GPO가 적용되지 않은 새 조직 단위(OU)로 WorkSpace를 이동합니다. + Windows 원격 관리(WinRM) 서비스가 자동으로 시작되도록 구성되어 있는지 확인합니다. 해결 방법: 1. Windows 검색 상자에 `services.msc`를 입력하여 Windows Services Manager를 엽니다. 1. **이름** 열에서 **Windows Remote Management (WS-Management)**를 찾습니다. 1. **Windows Remote Management (WS-Management)**를 선택한 다음 **작업**, **속성**을 선택합니다. 1. **일반** 탭에서 **시작 유형**에 대해 **자동**을 선택합니다. 1. **확인**을 선택합니다. ## 2단계: 사용자 지정 이미지 및 사용자 지정 번들 생성 WorkSpace 이미지를 확인한 후 다음 절차를 완료하여 WorkSpaces 콘솔을 사용하여 사용자 지정 이미지 및 사용자 지정 번들을 만듭니다. 프로그래밍 방식으로 이미지를 만들려면 CreateWorkspaceImage API 작업을 사용하세요. 자세한 내용은 *Amazon WorkSpaces API 참조*의 [CreateWorkspaceImage](https://docs.aws.amazon.com/workspaces/latest/api/API_CreateWorkspaceImage.html)를 참조하세요. 프로그래밍 방식으로 번들을 생성하려면 **CreateWorkspaceBundle** API 작업을 사용하세요. 자세한 내용을 알아보려면 *Amazon WorkSpaces API 참조*의 [CreateWorkspaceBundle](https://docs.aws.amazon.com/workspaces/latest/api/API_CreateWorkspaceBundle.html)을 참조하세요. **WorkSpaces 콘솔을 사용하여 사용자 지정 이미지 및 사용자 지정 번들을 만들려면** 1. 여전히 WorkSpaces에 연결되어 있는 경우 WorkSpaces 클라이언트 애플리케이션에서 **Amazon WorkSpaces**, **연결 해제**를 선택하여 연결을 끊습니다. 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) WorkSpaces 콘솔을 엽니다. 1. 탐색 창에서 **WorkSpaces**를 선택합니다. 1. WorkSpace를 선택하여 세부 정보 페이지를 열고 **이미지 생성**을 선택합니다. WorkSpaces의 상태가 **중지됨**인 경우 **작업**, **WorkSpaces 시작**을 선택하여 먼저 시작한 후 **작업**, **이미지 생성**을 선택합니다. 1. 계속하기 전에 WorkSpace를 재부팅(다시 시작)하라는 메시지가 표시됩니다. WorkSpaces를 재부팅하면 Amazon WorkSpaces 소프트웨어가 최신 버전으로 업데이트됩니다. 메시지를 닫고 [WorkSpaces Personal에서 WorkSpaces 재부팅](reboot-workspaces.md)에 설명된 단계에 따라 WorkSpace를 재부팅합니다. 완료되면 이 절차의 [Step 4](create-custom-bundle.md#step_create_image)를 반복하되 이번에는 재부팅 메시지가 나타나면 **다음**을 선택합니다. 이미지를 생성하려면 WorkSpace의 상태가 **사용 가능**이어야 하며 수정 상태가 **없음**이어야 합니다. 1. 이미지를 식별하는 데 도움이 되는 이미지 이름과 설명을 입력하고 **이미지 생성**을 선택합니다. 이미지가 생성되는 동안에는 WorkSpaces의 상태가 **일시 중지됨** 상태이므로 WorkSpace를 사용할 수 없습니다. 설명에 대시(`-`) 특수 문자를 사용하지 마세요. 오류가 발생합니다. 1. 탐색 창에서 **이미지**를 선택합니다. WorkSpace의 상태가 **사용 가능**으로 변경되면 이미지가 완료된 것입니다. 최대 45분이 걸릴 수 있습니다. 1. 이미지를 선택하고 **작업**, **번들 생성**을 선택합니다. 1. 번들 이름과 설명을 입력하고 다음 작업을 수행합니다. + **번들 하드웨어 유형**에서 이 사용자 지정 번들에서 WorkSpaces를 시작할 때 사용할 하드웨어를 선택합니다. + 루트 볼륨에 사용 가능한 기본 크기 조합은 WorkSpace당 200GB입니다. 1. 번들이 생성되었는지 확인하려면 **번들**을 생성하고 번들이 목록에 있는지 확인합니다. ## Windows WorkSpaces 사용자 지정 이미지에 포함된 항목 Windows WorkSpace에서 이미지를 생성하는 경우 `C` 드라이브의 전체 내용이 포함됩니다. + 연락처 + 다운로드 + 음악 + 사진 + 저장된 게임 + 비디오 + 팟캐스트 + 가상 머신 + .virtualbox + 추적 + appdata\$1local\$1temp + appdata\$1roaming\$1apple computer\$1mobilesync\$1 + appdata\$1roaming\$1apple computer\$1logs\$1 + appdata\$1roaming\$1apple computer\$1itunes\$1iphone software updates\$1 + appdata\$1roaming\$1macromedia\$1flash player\$1macromedia.com\$1support\$1flashplayer\$1sys\$1 + appdata\$1roaming\$1macromedia\$1flash player\$1\$1sharedobjects\$1 + appdata\$1roaming\$1adobe\$1flash player\$1assetcache\$1 + appdata\$1roaming\$1microsoft\$1windows\$1recent\$1 + appdata\$1roaming\$1microsoft\$1office\$1recent\$1 + appdata\$1roaming\$1microsoft office\$1live meeting + appdata\$1roaming\$1microsoft shared\$1livemeeting shared\$1 + appdata\$1roaming\$1mozilla\$1firefox\$1crash reports\$1 + appdata\$1roaming\$1mcafee\$1common framework\$1 + appdata\$1local\$1microsoft\$1feeds cache + appdata\$1local\$1microsoft\$1windows\$1temporary internet files\$1 + appdata\$1local\$1microsoft\$1windows\$1history\$1 + appdata\$1local\$1microsoft\$1internet explorer\$1domstore\$1 + appdata\$1local\$1microsoft\$1internet explorer\$1imagestore\$1 + appdata\$1locallow\$1microsoft\$1internet explorer\$1iconcache\$1 + appdata\$1locallow\$1microsoft\$1internet explorer\$1domstore\$1 + appdata\$1locallow\$1microsoft\$1internet explorer\$1imagestore\$1 + appdata\$1local\$1microsoft\$1internet explorer\$1recovery\$1 + appdata\$1local\$1mozilla\$1firefox\$1profiles\$1 # WorkSpaces Pools용 사용자 지정 이미지 및 번들 관리 사용자 지정 이미지 및 번들을 관리하는 프로세스는 WorkSpaces Personal과 WorkSpaces Pools 간에 동일합니다. 이미지 및 번들 관리 방법에 대한 자세한 내용은 이 가이드의 WorkSpaces Personal 섹션에 있는 다음 설명서를 참조하세요. **참고** WorkSpaces Personal에 사용할 수 있는 사용자 지정 번들과 WorkSpaces Pools에 사용할 수 있는 사용자 지정 번들의 주요 차이점은 사용할 수 있는 운영 체제와 기본 퍼블릭 번들입니다. WorkSpaces Pools에서 지원되는 운영 체제 및 번들은 [ WorkSpaces Pools 번들번들 WorkSpaces Pools 번들에 대해 알아봅니다. *WorkSpaces 번들*은 운영 체제, 스토리지, 컴퓨팅 및 소프트웨어 리소스의 조합입니다. WorkSpaces를 시작할 때 요구 사항을 충족하는 번들을 선택합니다. WorkSpaces에 사용할 수 있는 기본 번들을 *퍼블릭 번들*이라고 합니다. WorkSpaces에 사용할 수 있는 다양한 퍼블릭 번들에 대한 자세한 내용은 [Amazon WorkSpaces 번들](https://aws.amazon.com/workspaces/details/#Amazon_WorkSpaces_Bundles)을 참조하세요. 다음 표에서는 각 OS에서 지원하는 라이선스, 스트리밍 프로토콜 및 번들에 대한 정보를 제공합니다. | 운영 체제 | 라이선스 | 스트리밍 프로토콜 | 지원되는 번들 | | --- | --- | --- | --- | | Windows Server 2019 | 포함 | DCV | Value, Standard, Performance, Power, PowerPro | | Windows Server 2022 | 포함 | DCV | Standard, Performance, Power, PowerPro, Graphics.G4dn, GraphicsPro.G4dn | 공급업체에서 더 이상 지원하지 않는 운영 체제 버전은 작동이 보장되지 않으며 AWS 지원에서 지원되지 않습니다. ](instance-types.md#instance-types.title) 섹션을 참조하세요. + [WorkSpaces Personal에 대한 사용자 지정 번들 업데이트](update-custom-bundle.md). + [WorkSpaces Personal에서 사용자 지정 이미지 복사](copy-custom-image.md). + [WorkSpaces Personal에서 사용자 지정 이미지 공유 또는 공유 해제](share-custom-image.md). + [WorkSpaces Personal에서 사용자 지정 번들 또는 이미지 삭제](delete_bundle.md). # 세션 스크립트를 사용하여 사용자의 스트리밍 환경 관리 WorkSpaces Pools는 인스턴스상 세션 스크립트를 제공합니다. 이러한 스크립트를 사용하여 사용자의 스트리밍 세션에서 특정 이벤트가 발생했을 때 자체 사용자 지정 스크립트를 실행할 수 있습니다. 예를 들어 사용자 지정 스크립트를 사용하여 사용자의 스트리밍 세션이 시작되기 전에 WorkSpaces Pools 환경을 준비할 수 있습니다. 또한 사용자 지정 스크립트를 사용하여 사용자가 스트리밍 세션을 완료한 후 스트리밍 인스턴스를 정리할 수도 있습니다. 세션 스크립트는 WorkSpace 이미지 내에 지정됩니다. 이러한 스크립트는 사용자 컨텍스트 또는 시스템 컨텍스트 내에서 실행됩니다. 세션 스크립트가 표준 출력을 사용하여 정보, 오류 또는 디버깅 메시징을 쓰는 경우, Amazon Web Services 계정 내의 Amazon S3 버킷에 이러한 것을 저장할 수도 있습니다. **Topics** + [스트리밍 세션이 시작되기 전에 스크립트 실행](#run-scripts-before-streaming-sessions-begin) + [스트리밍 세션이 종료된 후 스크립트 실행](#run-scripts-after-streaming-sessions-end) + [세션 스크립트 생성 및 지정](#create-specify-session-scripts) + [세션 스크립트 구성 파일](#session-script-configuration-file) + [Windows PowerShell 파일 사용](#using-powershell-files-with-session-scripts) + [세션 스크립트 출력 로깅](#logging-session-output) + [세션 스크립트와 함께 영구 스토리지 사용](#use-storage-connectors-with-session-scripts) + [세션 스크립트 로그를 저장하기 위해 Amazon S3 버킷 스토리지 활성화](#enable-S3-bucket-storage-session-script-logs) ## 스트리밍 세션이 시작되기 전에 스크립트 실행 사용자의 애플리케이션이 시작되고 스트리밍 세션이 시작되기 전에 최대 60초 동안 스크립트가 실행되도록 구성할 수 있습니다. 그렇게 하면 사용자가 애플리케이션 스트리밍을 시작하기 전에 WorkSpaces Pools 환경을 사용자 지정할 수 있습니다. 세션 스크립트가 실행되면 사용자에게 로딩 회전자가 표시됩니다. 스크립트가 성공적으로 완료되거나 최대 대기 시간이 경과하면, 사용자의 스트리밍 세션이 시작됩니다. 스크립트가 성공적으로 완료되지 않은 경우 사용자에게 오류 메시지가 표시됩니다. 그러나 사용자의 스트리밍 세션 사용이 방해되지는 않습니다. Windows 인스턴스에서 파일 이름을 지정할 때 이중 백슬래시를 사용해야 합니다. 예제: ``` C:\\Scripts\\Myscript.bat ``` 이중 백슬래시를 사용하지 않으면 `.json` 파일이 잘못 포맷되었다는 오류가 표시됩니다. **참고** 스크립트가 성공적으로 완료되면 스크립트는 값 0을 반환합니다. 스크립트가 0 이외의 값을 반환하면, WorkSpaces가 사용자에게 오류 메시지를 표시합니다. 스트리밍 세션이 시작되기 전에 스크립트를 실행하면, 다음 프로세스가 발생합니다. 1. 사용자가 도메인에 조인되지 않은 WorkSpaces Pools의 WorkSpaces에 연결합니다. SAML 2.0을 사용하여 연결합니다. 1. 다음 중 하나가 발생합니다. + 사용자에게 애플리케이션 설정 지속성이 활성화된 경우, 사용자의 사용자 지정 및 Windows 설정을 저장하는 애플리케이션 설정 VHD(가상 하드 디스크) 파일이 다운로드 및 탑재됩니다. 이 경우 Windows 사용자 로그인이 필요합니다. 애플리케이션 설정 지속성에 대한 자세한 내용은 [WorkSpaces Pools 사용자에 대한 애플리케이션 설정 지속성 활성화](app-settings-persistence.md) 섹션을 참조하세요. + 애플리케이션 설정 지속성이 활성화되지 않은 경우, Windows 사용자가 이미 로그인한 것입니다. 1. 세션 스크립트가 시작됩니다. 사용자에게 영구 스토리지가 활성화된 경우, 스토리지 커넥터 탑재도 시작됩니다. 영구 스토리지에 대한 자세한 내용은 [WorkSpaces Pools에 대한 영구 스토리지 활성화 및 관리](persistent-storage.md) 섹션을 참조하세요. **참고** 스트리밍 세션을 시작하기 위해 스토리지 커넥터 탑재를 완료할 필요는 없습니다. 스토리지 커넥터 탑재가 완료되기 전에 세션 스크립트가 완료되면, 스트리밍 세션이 시작됩니다. 스토리지 커넥터의 장착 상태 모니터링에 대한 자세한 내용은 [세션 스크립트와 함께 영구 스토리지 사용](#use-storage-connectors-with-session-scripts) 섹션을 참조하세요. 1. 세션 스크립트가 완료되거나 시간 초과됩니다. 1. 사용자의 스트리밍 세션이 시작됩니다. ## 스트리밍 세션이 종료된 후 스크립트 실행 사용자의 스트리밍 세션이 종료된 후 스크립트가 실행되도록 구성할 수도 있습니다. 예를 들어, 사용자가 WorkSpaces 클라이언트 도구 모음에서 **세션 종료**를 선택하거나 세션에 허용된 최대 지속 시간에 도달했을 때 스크립트를 실행할 수 있습니다. 또한 이러한 세션 스크립트를 사용하여 스트리밍 인스턴스가 종료되기 전에 WorkSpaces 환경을 정리할 수도 있습니다. 예를 들어 스크립트를 사용하여 파일 잠금을 풀거나 로그 파일을 업로드할 수 있습니다. 스트리밍 세션이 종료된 후 스크립트를 실행하면, 다음 프로세스가 발생합니다. 1. 사용자의 WorkSpaces 스트리밍 세션이 종료됩니다. 1. 세션 종료 스크립트가 시작됩니다. 1. 세션 종료 스크립트가 완료되거나 시간 초과됩니다. 1. Windows 사용자 로그아웃이 발생합니다. 1. 해당하는 경우 다음 중 하나 또는 둘 모두가 동시에 발생합니다. + 사용자에게 애플리케이션 설정 지속성이 활성화된 경우, 사용자의 사용자 지정 및 Windows 설정을 저장하는 애플리케이션 설정 VHD 파일이 탑재 해제되고 계정의 Amazon S3 버킷에 업로드됩니다. + 사용자에게 영구 스토리지가 활성화된 경우, 스토리지 커넥터가 최종 동기화를 완료하고 탑재 해제됩니다. 1. WorkSpace가 종료됩니다. ## 세션 스크립트 생성 및 지정 다음 절차를 완료하여 WorkSpaces Pools에서 WorkSpaces에 대한 세션 스크립트를 만들고 지정합니다. 1. 사용자 지정 이미지를 만들 Windows WorkSpaces에 연결합니다. 1. `/AWSEUC/SessionScripts` 디렉터리가 아직 없으면 생성합니다. 1. [세션 스크립트 구성 템플릿](https://docs.aws.amazon.com/workspaces/latest/adminguide/pools-images-session-scripts.html#session-script-configuration-file)을 사용하여 구성 파일이 아직 없는 `/AWSEUC/SessionScripts/config.json` 경우 해당 파일을 생성합니다. 1. `C:\AWSEUC\SessionScripts`로 이동하여 `config.json` 구성 파일을 엽니다. 세션 스크립트 파라미터에 대한 자세한 내용은 [세션 스크립트 구성 파일](#session-script-configuration-file) 섹션을 참조하세요. 1. 변경을 완료한 후, `config.json` 파일을 저장하고 닫습니다. 1. 단계를 완료하여 WorkSpace에서 이미지를 만듭니다. 자세한 내용은 [WorkSpaces Pools용 사용자 지정 이미지 및 번들 만들기](pools-images-custom-image.md) 섹션을 참조하세요. ## 세션 스크립트 구성 파일 Linux 인스턴스에서 세션 스크립트 구성 파일을 찾으려면 `C:\AWSEUC\SessionScripts\config.json`으로 이동하세요. 파일 형식은 다음과 같습니다. **참고** 구성 파일은 .JSON 형식입니다. 이 파일에 입력하는 텍스트가 유효한 JSON 형식인지 확인합니다. ``` { "SessionStart": { "executables": [ { "context": "system", "filename": "", "arguments": "", "s3LogEnabled": true }, { "context": "user", "filename": "", "arguments": "", "s3LogEnabled": true } ], "waitingTime": 30 }, "SessionTermination": { "executables": [ { "context": "system", "filename": "", "arguments": "", "s3LogEnabled": true }, { "context": "user", "filename": "", "arguments": "", "s3LogEnabled": true } ], "waitingTime": 30 } } ``` 세션 스크립트 구성 파일에서 다음 파라미터를 사용할 수 있습니다. **`SessionStart/SessionTermination `** 객체의 이름을 기반으로 적절한 세션 이벤트에서 실행할 세션 스크립트입니다. **유형**: 문자열 **필수 항목 여부**: 아니요 **허용된 값:** **SessionStart**, **SessionTermination** **`WaitingTime`** 세션 스크립트의 최대 기간(초)입니다. **유형**: 정수 **필수 항목 여부**: 아니요 **제약:** 최대 지속 기간은 60초입니다. 세션 스크립트가 이 기간 내에 완료되지 않으면 중지됩니다. 스크립트를 계속 실행해야 하는 경우 별도의 프로세스로 시작하세요. **`Executables`** 실행할 세션 스크립트에 대한 세부 정보입니다. **유형**: 문자열 **필수 항목 여부:** 예 **제약:** 세션 이벤트당 실행할 수 있는 최대 스크립트 수는 2개입니다(사용자 컨텍스트용 하나와 시스템 컨텍스트용 하나). **`Context`** 세션 스크립트를 실행할 컨텍스트입니다. **유형**: 문자열 **필수 항목 여부:** 예 **허용된 값:** **user**, **system** **`Filename`** 실행할 세션 스크립트의 전체 경로입니다. 이 파라미터가 지정되지 않은 경우, 세션 스크립트가 실행되지 않습니다. **유형**: 문자열 **필수 항목 여부**: 아니요 **제약:** 파일 이름 및 전체 경로의 최대 길이는 1,000자입니다. **허용된 값:** **.bat**, **.exe**, **.sh** Windows PowerShell 파일을 사용할 수도 있습니다. 자세한 내용은 [Windows PowerShell 파일 사용](#using-powershell-files-with-session-scripts) 섹션을 참조하세요. **`Arguments`** 세션 스크립트 또는 실행 파일의 인수입니다. **유형**: 문자열 **필수 항목 여부**: 아니요 **길이 제한:** 최대 길이는 1,000자입니다. **`S3LogEnabled`** 이 파라미터의 값이 **True**로 설정되어 있으면, 세션 스크립트가 생성하는 로그를 저장하기 위해 Amazon Web Services 계정 내에 S3 버킷이 생성됩니다. 기본적으로 이 값은 **True**로 설정됩니다. 자세한 내용은 이 주제 뒷부분의 *세션 스크립트 출력 로깅* 섹션을 참조하세요. **유형**: 부울 **필수 항목 여부**: 아니요 **허용된 값:** **True**, **False** ## Windows PowerShell 파일 사용 Windows PowerShell 파일을 사용하려면 `filename` 파라미터에서 PowerShell 파일의 전체 경로를 지정합니다. ``` "filename": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe", ``` 그런 다음 **arguments** 파라미터에서 세션 스크립트를 지정합니다. ``` "arguments": "-File \"C:\\path\\to\\session\\script.ps1\"", ``` 마지막으로 PowerShell 실행 정책이 PowerShell 파일이 실행되도록 허용하는지 확인합니다. ## 세션 스크립트 출력 로깅 구성 파일에서 이 옵션이 활성화된 경우, WorkSpaces Pools는 표준 출력에 작성된 세션 스크립트에서 출력을 자동으로 캡처합니다. 이 출력은 계정의 Amazon S3 버킷에 업로드됩니다. 문제 해결 또는 디버깅을 위해 로그 파일을 검토할 수 있습니다. **참고** 세션 스크립트가 값을 반환하거나 **WaitingTime**에 설정된 값이 경과되면 둘 중 더 빠른 시간을 기준으로 로그 파일이 업로드됩니다. ## 세션 스크립트와 함께 영구 스토리지 사용 WorkSpaces 영구 스토리지가 활성화되면 세션 시작 스크립트가 실행될 때 스토리지가 마운트되기 시작합니다. 스크립트가 마운트된 영구 스토리지를 사용하는 경우 커넥터를 사용할 수 있을 때까지 기다릴 수 있습니다. WorkSpaces는 Windows WorkSpaces의 Windows 레지스트리에 있는 스토리지 커넥터의 마운트 상태를 다음 키에서 유지합니다. ``` HKEY_LOCAL_MACHINE\SOFTWARE\Amazon\AWSEUC\Storage\\ ``` 레지스트리 키 값은 다음과 같습니다. + 제공된 사용자 이름 - 액세스 모드를 통해 제공되는 사용자 ID입니다. 액세스 모드와 각 모드의 값은 다음과 같습니다. + 사용자 풀 - 사용자의 이메일 주소입니다. + 스트리밍 URL - UserID입니다. + SAML - NameID입니다. 사용자 이름에 슬래시가 포함된 경우(예를 들어 도메인 사용자의 SAMAccountName), 슬래시는 "-" 문자로 대체됩니다. + 스토리지 커넥터 - 사용자가 사용할 수 있는 영구 스토리지 옵션용 커넥터입니다. 스토리지 커넥터 값은 다음과 같습니다. + HomeFolder 각 스토리지 커넥터 레지스트리 키에는 **MountStatus** DWORD 값이 포함되어 있습니다. 다음 표에는 **MountStatus**에 사용할 수 있는 값이 나와 있습니다. **참고** 이러한 레지스트리 키를 보려면 Microsoft .NET Framework 버전 4.7.2 이상이 이미지에 설치되어 있어야 합니다. | 값 | 설명 | | --- | --- | | 0 | 이 사용자에게 스토리지 커넥터가 활성화되어 있지 않음 | | 1 | 스토리지 커넥터 탑재를 진행 중 | | 2 | 스토리지 커넥터가 탑재됨 | | 3 | 스토리지 커넥터 탑재에 실패함 | | 4 | 스토리지 커넥터 탑재가 활성화되어 있지만 아직 탑재되지 않음 | ## 세션 스크립트 로그를 저장하기 위해 Amazon S3 버킷 스토리지 활성화 세션 스크립트 구성에서 Amazon S3 로깅을 활성화하면, WorkSpaces Pools가 세션 스크립트에서 표준 출력을 캡처합니다. 출력은 Amazon Web Services 계정 내 S3 버킷에 주기적으로 업로드됩니다. 모든 AWS 리전에 대해 WorkSpaces Pools는 계정 및 리전에 고유한 버킷을 계정에 생성합니다. 이러한 S3 버킷을 관리하기 위해 구성 작업을 수행하지 않아도 됩니다. WorkSpaces 서비스에서 모두 관리합니다. 각 버킷에 저장된 로그 파일은 전송 중에는 Amazon S3의 SSL 엔드포인트를 이용하고, 정지 상태일 때는 Amazon S3 관리형 암호화 키를 이용하여 암호화됩니다. 버킷의 이름은 다음과 같은 특정 형식으로 지정됩니다. ``` wspool-logs---random-identifier ``` **``** 세션 스크립트 로그에 대해 활성화된 Amazon S3 버킷 스토리지를 사용하여 WorkSpaces Pools가 생성되는 AWS 리전 코드입니다. **``** Amazon Web Services 계정 식별자입니다. 임의의 ID를 통해 해당 리전의 다른 버킷과 충돌이 없도록 보장합니다. 버킷 이름의 첫 번째 부분인 `wspool-logs`은 계정이나 리전 간에 변경되지 않습니다. 예를 들어 계정 번호 `123456789012`에서 미국 서부(오리건) 리전(`us-west-2`)의 이미지에 세션 스크립트를 지정하면, WorkSpaces Pools는 표시된 이름을 사용하여 해당 리전의 계정 내에 Amazon S3 버킷을 만듭니다. 충분한 권한이 있는 관리자만 이 버킷을 삭제할 수 있습니다. ``` wspool-logs-us-west-2-1234567890123-abcdefg ``` 세션 스크립트를 비활성화해도 S3 버킷에 저장된 로그 파일이 삭제되지 않습니다. 로그 파일을 영구적으로 삭제하려면 사용자 또는 적절한 권한이 있는 다른 관리자가 Amazon S3 콘솔이나 API를 이용해 이를 수행해야 합니다. WorkSpaces Pools에는 실수로 버킷을 삭제하는 것을 방지하는 버킷 정책이 추가되었습니다. 세션 스크립트가 활성화되면 시작되는 각 스트리밍 세션에 고유한 폴더가 생성됩니다. 계정 내 S3 버킷에 로그 파일이 저장되는 폴더의 경로는 다음 구조를 사용합니다. ``` //////SessionScriptsLogs/ ``` ****** 세션 스크립트가 저장되는 S3 버킷의 이름입니다. 이름 형식은 본 섹션의 앞부분에서 설명했습니다. ****** 세션이 시작된 스택 이름입니다. ****** 세션 스크립트를 실행 중인 WorkSpaces Pools 이름입니다. ****** 사용자의 ID 메서드입니다. `custom`은 WorkSpaces API 또는 CLI용이며, `federated`는 SAML용, `userpool`은 사용자 풀의 사용자용입니다. ****** 사용자별 폴더 이름입니다. 이 이름은 사용자 식별자에서 생성한 소문자 SHA-256 해시 16진법 문자열을 이용해 생성됩니다. ****** 사용자의 스트리밍 세션의 식별자입니다. 각 사용자 스트리밍 세션은 고유한 ID를 생성합니다. ****** 세션 스크립트 로그를 생성한 이벤트입니다. 이벤트 값은 `SessionStart` 및 `SessionTermination`입니다. 다음 폴더 구조 예는 test-stack 및 test-fleet에서 시작된 스트리밍 세션에 적용됩니다. 세션은 ID가 `testuser@mydomain.com`인 사용자 AWS 계정 ID의 API`123456789012`와 미국 서부(오레곤) 리전()`test-stack`의 설정 그룹을 사용합니다.`us-west-2` ``` wspool-logs-us-west-2-1234567890123-abcdefg/test-stack/test-fleet/custom/a0bcb1da11f480d9b5b3e90f91243143eac04cfccfbdc777e740fab628a1cd13/05yd1391-4805-3da6-f498-76f5x6746016/SessionScriptsLogs/SessionStart/ ``` 이 폴더 구조 예에는 사용자 컨텍스트 세션 시작 스크립트용 로그 파일 하나와, 시스템 컨텍스트 세션 시작 스크립트용 로그 파일 하나가 포함되어 있습니다(해당하는 경우). # WorkSpaces Pools 모니터링 모니터링은 WorkSpaces Pools의 신뢰성, 가용성 및 성능을 유지하는 데 중요한 부분입니다. **Topics** + [WorkSpaces Pools 지표 및 차원](monitoring-with-cloudwatch.md) # WorkSpaces Pools 지표 및 차원 Amazon WorkSpaces는 다음과 같은 WorkSpaces Pools 지표 및 차원 정보를 Amazon CloudWatch에 전송합니다. WorkSpaces Pools는 지표를 1분마다 한 번씩 CloudWatch에 보냅니다. `AWS/Workspaces` 네임스페이스에는 다음과 같은 지표가 포함됩니다. ## Pools 사용량 지표 | 지표 | 설명 | | --- | --- | | ActiveUserSessionCapacity | 현재 스트리밍 세션에 사용 중인 사용자 세션 수입니다. 단위: 개 유효 통계: 평균, 최소, 최대 | | ActualUserSessionCapacity | 스트리밍할 수 있거나 현재 스트리밍 중인 풀 세션의 총 수입니다. 
ActualUserSessionCapacity = AvailableUserSessionCapacity + ActiveUserSessionCapacity
단위: 개 유효 통계: 평균, 최소, 최대 | | AvailableUserSessionCapacity | 현재 사용자 스트리밍에 사용할 수 있는 유휴 풀 세션 수입니다. 
AvailableUserSessionCapacity = ActualUserSessionCapacity - ActiveUserSessionCapacity
단위: 개 유효 통계: 평균, 최소, 최대 | | PendingUserSessionCapacity | 풀에 프로비저닝되는 세션 수입니다. 프로비저닝이 완료된 후 풀에서 지원할 수 있는 추가 스트리밍 세션 수를 나타냅니다. 단위: 개 유효 통계: 평균, 최소, 최대 | | UserSessionsCapacityUtilization | 풀에서 사용 중인 세션의 비율입니다(다음 식으로 계산). 
UserSessionCapacityUtilization = (ActiveUserSessionCapacity / ActualUserSessionCapacity) * 100
이 지표를 모니터링할 경우 풀의 원하는 용량 값의 증가 또는 감소를 결정할 수 있습니다. 단위: 백분율 유효 통계: 평균, 최소, 최대 | | DesiredUserSessionCapacity | 실행 또는 보류 중인 총 세션 수입니다. 안정적 상태에서 풀이 지원할 수 있는 동시 스트리밍 세션의 총 수를 나타냅니다. 
DesiredUserSessionCapacity = ActualUserSessionCapacity + PendingUserSessionCapacity
단위: 개 유효 통계: 평균, 최소, 최대 | | InsufficientCapacityError | 용량 부족으로 인해 거부된 세션 요청 수입니다. 이 지표를 사용하여 스트리밍 세션을 대기 중인 사용자에 대한 알림을 받는 경보를 설정할 수 있습니다. 단위: 개 유효한 통계: Average, Minimum, Maximum, Sum | # WorkSpaces Pools에 대한 영구 스토리지 활성화 및 관리 WorkSpaces Pools는 영구 스토리지를 위한 홈 폴더를 지원합니다. WorkSpaces Pools 관리자는 다음 작업을 수행하여 사용자에 대해 영구 스토리지를 활성화 및 관리하는 방법을 이해해야 합니다. **Topics** + [WorkSpaces Pools 사용자에 대해 홈 폴더 활성화 및 관리](#home-folders) ## WorkSpaces Pools 사용자에 대해 홈 폴더 활성화 및 관리 WorkSpaces Pools에 대해 홈 폴더를 활성화하면 사용자가 스트리밍 세션 동안 영구 스토리지 폴더에 액세스할 수 있습니다. 사용자가 해당 홈 폴더를 액세스하기 위해 추가로 설정해야 하는 구성은 없습니다. 사용자가 자신의 홈 폴더에 저장한 데이터는 Amazon Web Services 계정의 Amazon Simple Storage Service 버킷에 자동으로 백업되며 해당 사용자의 후속 세션에서 사용할 수 있습니다. 파일과 폴더는 Amazon S3의 SSL 엔드포인트를 사용하여 전송 시 암호화됩니다. 파일과 폴더는 Amazon S3 관리형 암호화 키를 사용하여 저장 중 암호화됩니다. 홈 폴더는 다음과 같은 기본 위치에 있는 WorkSpaces Pools의 WorkSpaces에 저장됩니다. + 단일 세션의 경우 도메인에 조인되지 않은 Windows WorkSpaces: `C:\Users\PhotonUser\My Files\Home Folder` + 도메인 조인된 Windows WorkSpaces: `C:\Users\%username%\My Files\Home Folder` 관리자는 홈 폴더에 저장하도록 애플리케이션을 구성하려는 경우, 해당 경로를 사용합니다. 경우에 따라 일부 애플리케이션이 홈 폴더를 파일 탐색기의 최상위 폴더로 표시하는 리디렉션을 인식하지 못해 사용자가 홈 폴더를 찾지 못할 수 있습니다. 이 경우 사용자는 파일 탐색기에서 동일한 디렉터리로 이동하여 홈 폴더에 액세스할 수 있습니다. **Topics** + [컴퓨팅 집약적 애플리케이션과 관련된 파일 및 디렉터리](#storage-solutions-files-directories-associated-with-compute-intensive-applications) + [WorkSpaces Pools 사용자에 대해 홈 폴더 활성화](#enable-home-folders) + [홈 폴더 관리](#home-folders-admin) ### 컴퓨팅 집약적 애플리케이션과 관련된 파일 및 디렉터리 WorkSpaces Pools 스트리밍 세션 중에는 컴퓨팅 집약적 애플리케이션과 관련된 대용량 파일 및 디렉터리를 영구 스토리지에 저장하는 데 걸리는 시간이 기본 생산성 애플리케이션에 필요한 파일 및 디렉터리를 저장하는 것보다 더 오래 걸릴 수 있습니다. 예를 들어, 애플리케이션이 대량의 데이터를 저장하거나 동일한 파일을 자주 수정하는 경우 단일 쓰기 작업을 수행하는 애플리케이션에서 만든 파일을 저장하는 것보다 시간이 더 오래 걸릴 수 있습니다. 또한 여러 개의 작은 파일을 저장하는 데 시간이 더 오래 걸릴 수도 있습니다. 사용자가 컴퓨팅 집약적인 애플리케이션과 연결된 파일 및 디렉터리를 저장하고 WorkSpaces Pools 영구 스토리지 옵션이 예상대로 작동하지 않는 경우 Amazon FSx for Windows File Server 또는 AWS Storage Gateway 파일 게이트웨이와 같은 서버 메시지 블록(SMB) 솔루션을 사용하는 것이 좋습니다. 다음은 이러한 SMB 솔루션과 함께 사용하는 것이 더 적합한 컴퓨팅 집약적 애플리케이션과 관련된 파일 및 디렉터리의 예입니다. + 통합 개발 환경(IDE)용 Workspace 폴더 + 로컬 데이터베이스 파일 + 그래픽 시뮬레이션 애플리케이션으로 만든 스크래치 스페이스 폴더 자세한 내용은 *AWS Storage Gateway 사용 설명서*의 [파일 게이트웨이](https://docs.aws.amazon.com/storagegateway/latest/userguide/StorageGatewayConcepts.html#file-gateway-concepts)를 참조하세요. ### WorkSpaces Pools 사용자에 대해 홈 폴더 활성화 홈 폴더를 활성화하기 전에 다음을 수행해야 합니다. + Amazon S3 작업에 대한 올바른 AWS Identity and Access Management (IAM) 권한이 있는지 확인합니다. + 2017년 5월 18일 또는 그 이후에 릴리스된 AWS 기본 이미지에서 생성된 이미지를 사용합니다. + 인터넷 액세스 또는 Amazon S3용 Virtual Private Cloud(VPC) 엔드포인트를 구성하여 VPC에서 Amazon S3에 대한 네트워크 연결을 활성화합니다. 자세한 내용은 [WorkSpaces Pools를 위한 네트워킹 및 액세스](managing-network.md) 및 [WorkSpaces Pools에 Amazon S3 VPC 엔드포인트 기능 사용](managing-network-vpce-iam-policy.md) 섹션을 참조하세요. 디렉터리를 생성하는 동안( 참조[SAML 2.0 구성 및 WorkSpaces Pools 디렉터리 만들기](create-directory-pools.md)) 또는 디렉터리를 생성한 후 for WorkSpaces Pools AWS Management Console 를 사용하여 홈 폴더를 활성화하거나 비활성화할 수 있습니다. 각 AWS 리전에서 홈 폴더는 Amazon S3 버킷에서 백업합니다. AWS 리전의 WorkSpaces Pools 디렉토리에 대해 홈 폴더를 처음 활성화하면 해당 서비스는 동일한 리전의 계정에 Amazon S3 버킷을 만듭니다. 모든 사용자 및 해당 리전의 모든 디렉터리에 대한 홈 폴더의 콘텐츠를 저장하는 데 동일한 버킷이 사용됩니다. 자세한 내용은 [Amazon S3 버킷 스토리지](#home-folders-s3) 섹션을 참조하세요. **디렉터리를 만들 때 홈 폴더를 활성화하려면** + [SAML 2.0 구성 및 WorkSpaces Pools 디렉터리 만들기](create-directory-pools.md)의 단계를 수행하고, **홈 폴더 활성화**가 선택되어 있는지 확인합니다. **기존 디렉터리에 대한 홈 폴더를 활성화하려면** 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) WorkSpaces 콘솔을 엽니다. 1. 왼쪽 탐색 창에서 **디렉터리**를 선택하고, 홈 폴더를 활성화할 디렉터리를 선택합니다. 1. 디렉터리 목록 아래에서 **스토리지**를 선택하고 **홈 폴더 활성화**를 선택합니다. 1. **Enable Home Folders(홈 폴더 활성화)** 대화 상자에서 **활성화**를 선택합니다. ### 홈 폴더 관리 **Topics** + [홈 폴더 비활성화](#home-folders-admin-disabling) + [Amazon S3 버킷 스토리지](#home-folders-s3) + [홈 폴더 콘텐츠 동기화](#home-folders-content-synchronization) + [Home 폴더 형식](#home-folders-admin-folders) + [추가 리소스](#home-folders-admin-additional) #### 홈 폴더 비활성화 홈 폴더에 이미 저장된 사용자 콘텐츠를 그대로 유지한 채 디렉터리에 대한 홈 폴더를 비활성화할 수 있습니다. 디렉터리에 대한 홈 폴더를 비활성화하면 다음과 같은 효과가 있습니다. + 디렉터리의 활성 스트리밍 세션에 연결된 사용자가 오류 메시지를 받습니다. 해당 홈 폴더에 콘텐츠를 더 이상 저장할 수 없다는 정보를 받게 됩니다. + 홈 폴더를 비활성화는 디렉터리를 사용하는 새로운 세션에서 홈 폴더가 나타나지 않습니다. + 디렉터리 하나의 홈 폴더를 비활성화해도 다른 디렉터리의 홈 폴더는 비활성화되지 않습니다. + 홈 폴더가 모든 디렉터리에 대해 비활성화된 경우에도 WorkSpaces Pools는 사용자 콘텐츠를 삭제하지 않습니다. 디렉터리에 대한 홈 폴더 액세스를 복원하려면 이전 주제에서 설명한 단계에 따라 홈 폴더를 다시 활성화합니다. **디렉터리를 만들 때 홈 폴더를 비활성화하려면** + [SAML 2.0 구성 및 WorkSpaces Pools 디렉터리 만들기](create-directory-pools.md)의 단계를 수행하고, **홈 폴더 활성화**가 선택 취소되어 있는지 확인합니다. **기존 디렉터리에 대한 홈 폴더를 비활성화하려면** 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) WorkSpaces 콘솔을 엽니다. 1. 왼쪽 탐색 창에서 **디렉터리**를 선택하고, 홈 폴더를 활성화할 디렉터리를 선택합니다. 1. 디렉터리 목록 아래에서 **스토리지**를 선택하고 **홈 폴더 활성화**를 지웁니다. 1. **Disable Home Folders(홈 폴더 비활성화)** 대화 상자에 `CONFIRM`(대/소문자 구분)을 입력하여 선택을 확인한 후 **비활성화**를 선택합니다. #### Amazon S3 버킷 스토리지 WorkSpaces Pools는 계정에 만들어진 Amazon S3 버킷을 사용하여 홈 폴더에 저장된 사용자 콘텐츠를 관리합니다. 모든 AWS 리전에 대해 WorkSpaces Pools는 계정에 버킷을 생성합니다. 해당 리전에 있는 디렉터리의 스트리밍 세션에서 만들어진 모든 사용자 콘텐츠는 해당 버킷에 저장됩니다. 버킷은 관리자의 입력이나 구성 작업 없이 서비스에서 종합 관리합니다. 버킷의 이름은 다음과 같은 특정 형식으로 지정됩니다. ``` wspool-home-folder--- ``` 여기서 ``는 디렉터리가 생성되는 AWS 리전 코드이고 ``는 Amazon Web Services 계정 ID이고 *>random-identifier<*는 WorkSpaces 서비스에서 생성된 무작위 식별자 번호입니다. 버킷 이름의 첫 번째 부분인 `wspool-home-folder-`은 계정이나 리전 간에 변경되지 않습니다. 예를 들어 계정 번호 123456789012에서 미국 서부(오리건) 리전(us-west-2)의 디렉터리에 대해 홈 폴더를 활성화하면 이 서비스는 해당 리전에 표시된 이름을 사용하여 해당 리전에 Amazon S3 버킷을 만듭니다. 충분한 권한이 있는 관리자만 이 버킷을 삭제할 수 있습니다. ``` wspool-home-folder-us-west-2-123456789012 ``` 앞서 설명한 것처럼 디렉터리에 대한 홈 폴더를 비활성화해도 Amazon S3 버킷에 저장된 사용자 콘텐츠는 삭제되지 않습니다. 사용자 콘텐츠를 영구적으로 삭제하려면 적절한 액세스 권한이 있는 관리자가 Amazon S3 콘솔에서 삭제해야 합니다. WorkSpaces Pools에는 실수로 버킷을 삭제하는 것을 방지하는 버킷 정책이 추가되었습니다. #### 홈 폴더 콘텐츠 동기화 홈 폴더를 활성화하면 WorkSpaces Pools는 각 사용자가 콘텐츠를 저장할 고유한 폴더를 만듭니다. 폴더는 Amazon Web Services 계정 및 리전의 S3 버킷 내 사용자 이름 해시를 사용하는 고유한 Amazon S3 접두사로 생성됩니다. WorkSpaces Pools는 Amazon S3에 홈 폴더를 만든 후 해당 폴더에 있는 액세스된 콘텐츠를 S3 버킷에서 WorkSpace로 복사합니다. 이를 통해 사용자는 스트리밍 세션 중에 WorkSpaces Pools의 WorkSpace에서 홈 폴더 콘텐츠에 빠르게 액세스할 수 있습니다. S3 버킷에 있는 사용자의 홈 폴더 콘텐츠에 대한 변경 사항과 WorkSpaces Pools 내 WorkSpace의 홈 폴더 콘텐츠에 사용자가 수행한 변경은 다음과 같이 Amazon S3와 WorkSpaces Pools 간에 동기화됩니다. 1. 사용자의 WorkSpaces Pools 스트리밍 세션이 시작될 때 WorkSpaces Pools는 Amazon Web Services 계정 및 리전의 Amazon S3 버킷에 해당 사용자를 위해 저장된 홈 폴더 파일을 카탈로그로 작성합니다. 1. 사용자의 홈 폴더 콘텐츠는 스트리밍하는 WorkSpaces Pools의 WorkSpace에도 저장됩니다. 사용자가 WorkSpace의 홈 폴더에 액세스하면 카탈로그 파일 목록이 표시됩니다. 1. WorkSpaces Pools는 사용자가 스트리밍 세션 중에 스트리밍 애플리케이션을 사용하여 파일을 연 후에만 S3 버킷에서 WorkSpace로 파일을 다운로드합니다. 1. WorkSpaces Pools가 WorkSpace에 파일을 다운로드하면 파일에 액세스한 후 동기화가 발생합니다. 1. 사용자가 스트리밍 세션 중에 파일을 변경하면 WorkSpaces Pools는 주기적으로 또는 스트리밍 세션이 끝날 때 WorkSpace에서 S3 버킷으로 새 버전의 파일을 업로드합니다. 하지만 스트리밍 세션 중에는 S3 버킷에서 파일이 다시 다운로드되지 않습니다. 다음 섹션에서는 Amazon S3에서 사용자의 홈 폴더 파일을 추가, 교체 또는 제거할 때의 동기화 동작을 설명합니다. **Topics** + [Amazon S3의 사용자 홈 폴더에 추가하는 파일 동기화](#home-folders-content-synchronization-content-added-to-user-home-folder-in-S3) + [Amazon S3의 사용자 홈 폴더에 교체하는 파일 동기화](#home-folders-content-synchronization-content-replaced-in-user-home-folder-S3) + [Amazon S3의 사용자 홈 폴더에서 제거하는 파일 동기화](#home-folders-content-synchronization-content-removed-from-user-home-folder-S3) ##### Amazon S3의 사용자 홈 폴더에 추가하는 파일 동기화 S3 버킷의 사용자 홈 폴더에 새 파일을 추가하면 WorkSpaces Pools가 파일을 카탈로그로 작성하여 몇 분 내에 사용자 홈 폴더의 파일 목록에 표시합니다. 하지만 사용자가 스트리밍 세션 중에 애플리케이션으로 파일을 열 때까지는 파일이 S3 버킷에서 WorkSpace로 다운로드되지 않습니다. ##### Amazon S3의 사용자 홈 폴더에 교체하는 파일 동기화 스트리밍 세션 중에 사용자가 WorkSpaces Pools 내 WorkSpace의 홈 폴더에 있는 파일을 열고 관리자가 해당 사용자의 활성 스트리밍 세션 중에 S3 버킷에 있는 해당 사용자의 홈 폴더에 있는 동일한 파일을 새 버전으로 교체하는 경우 새 버전의 파일이 WorkSpace로 즉시 다운로드되지 않습니다. 새 버전은 사용자가 새 스트리밍 세션을 시작하고 파일을 다시 연 후에만 S3 버킷에서 WorkSpace로 다운로드됩니다. ##### Amazon S3의 사용자 홈 폴더에서 제거하는 파일 동기화 스트리밍 세션 중에 사용자가 WorkSpaces Pools의 WorkSpace에서 홈 폴더에 있는 파일을 열고 해당 사용자의 활성 스트리밍 세션 중에 S3 버킷의 홈 폴더에서 해당 파일을 제거하면 사용자가 다음 중 하나를 수행한 후에 해당 파일이 WorkSpace에서 제거됩니다. + 홈 폴더를 다시 엽니다. + 홈 폴더를 새로 고칩니다. #### Home 폴더 형식 다음 섹션에서 설명한 것처럼 사용자 폴더의 계층 구조는 사용자가 스트리밍 세션을 시작하는 방법에 따라 다릅니다. ##### SAML 2.0 SAML 연동을 사용하여 생성된 세션의 경우 사용자 폴더 구조는 다음과 같습니다. ``` bucket-name/user/federated/user-id-SHA-256-hash/ ``` 여기서 `user-id-SHA-256-hash`는 SAML 연동 요청에서 전달된 `NameID` SAML 속성 값으로 생성된 소문자 SHA-256 16진수 문자열을 사용하여 만든 폴더 이름입니다. 서로 다른 두 도메인에 속한 동일한 이름을 가진 사용자를 구별하려면 `domainname\username` 형식의 `NameID`를 통해 SAML 요청을 보냅니다. 자세한 내용은 [SAML 2.0 구성 및 WorkSpaces Pools 디렉터리 만들기](create-directory-pools.md) 섹션을 참조하세요. 다음 예제 폴더 구조는 미국 서부(오리건) 리전의 `NameID` SAMPLEDOMAIN\$1testuser, 계정 ID 123456789012의 SAML 연동을 사용하여 세션 액세스에 적용됩니다. ``` wspool-home-folder-us-west-2-123456789012/user/federated/8dd9a642f511609454d344d53cb861a71190e44fed2B8aF9fde0C507012a9901 ``` NameID 문자열의 일부 또는 전체가 대문자일 경우(예시에서 *SAMPLEDOMAIN* 도메인 이름), WorkSpaces Pools는 문자열에서 사용된 대문자를 기준으로 해시 값을 만듭니다. 이 예제를 사용하여 SAMPLEDOMAIN\$1testuser의 해시 값은 8DD9A642F511609454D344D53CB861A71190E44FED2B8AF9FDE0C507012A9901입니다. 해당 사용자의 폴더에서 이 값은 8dd9a642f511609454d344d53cb861a71190e44fed2B8aF9fde0C507012a9901과 같이 소문자로 표시됩니다. 온라인에서 사용할 수 있는 웹 사이트 또는 오픈 소스 코딩 라이브러리를 사용하여 `NameID`의 SHA-256 해시 값을 생성함으로써 사용자의 폴더를 식별할 수 있습니다. #### 추가 리소스 Amazon S3 버킷 관리에 대한 자세한 내용과 모범 사례는 **Amazon Simple Storage Service 사용 설명서에서 다음 주제를 참조하세요. + Amazon S3 정책을 통해 사용자에게 사용자 데이터에 대한 오프라인 액세스 권한을 제공할 수 있습니다. 자세한 내용은 **IAM 사용 설명서에서 [Amazon S3: IAM 사용자가 프로그램 방식으로 콘솔에서 자신의 S3 홈 디렉터리에 액세스하도록 허용](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_examples_s3_home-directory-console.html)을 참조하세요. + WorkSpaces Pools가 사용하는 Amazon S3 버킷에 저장된 콘텐츠에 대해 파일 버전 관리를 활성화할 수 있습니다. 자세한 내용은 [버전 관리 사용](https://docs.aws.amazon.com/AmazonS3/latest/userguide/Versioning.html)을 참조하세요. # WorkSpaces Pools 사용자에 대한 애플리케이션 설정 지속성 활성화 WorkSpaces Pools는 Windows 기반 디렉터리에 대한 영구 애플리케이션 설정을 지원합니다. 다시 말해 사용자의 애플리케이션 사용자 지정 및 Windows 설정이 각 스트리밍 세션 후에 자동으로 저장되고 다음 세션 중에 적용됩니다. 사용자가 구성할 수 있는 지속적 애플리케이션 설정의 예에는 브라우저 즐겨찾기, 설정, 웹페이지 세션, 애플리케이션 연결 프로필, 플러그인, UI 사용자 지정 등이 포함됩니다. 이러한 설정은 애플리케이션 설정 지속성이 활성화된 AWS 리전 내에서 계정의 Amazon Simple Storage Service(Amazon S3) 버킷에 저장됩니다. 이러한 설정은 각 WorkSpaces Pools 스트리밍 세션에서 사용할 수 있습니다. **참고** 표준 Amazon S3 요금이 S3 버킷에 저장된 데이터에 적용될 수 있습니다. 자세한 내용은 [Amazon S3 요금](https://aws.amazon.com/s3/pricing/)을 참조하세요. **Topics** + [애플리케이션 설정 지속성 작동 원리](how-it-works-app-settings-persistence.md) + [애플리케이션 설정 지속성 활성화](enabling-app-settings-persistence.md) + [사용자의 애플리케이션 설정용 VHD 관리](administer-app-settings-vhds.md) # 애플리케이션 설정 지속성 작동 원리 지속적 애플리케이션 설정은 가상 하드 디스크(VHD) 파일에 저장됩니다. 이 파일은 애플리케이션 설정 지속성이 활성화된 디렉터리에서 사용자가 애플리케이션을 처음 스트리밍할 때 만들어집니다. 디렉터리에 연결된 WorkSpaces Pools가 기본 애플리케이션 및 Windows 설정이 포함된 이미지에 기반하는 경우, 사용자의 첫 스트리밍 세션에 기본 설정이 사용됩니다. 스트리밍 세션이 끝나면 VHD 마운트가 해제되고 계정 내의 Amazon S3 버킷에 업로드됩니다. 버킷은 AWS 리전의 디렉터리에 대해 영구 애플리케이션 설정을 처음 활성화할 때 생성됩니다. 버킷은 AWS 계정과 리전에 고유합니다. VHD는 전송 중에는 Amazon S3 SSL 엔드포인트를 사용하여 암호화되고, 저장 중에는 [AWS 관리형 CMK](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#aws-managed-cmk)를 사용하여 암호화됩니다. VHD는 `C:\Users\%username%` 및 `D:\%username%` 모두에서 WorkSpace에 마운트됩니다. WorkSpace가 Active Directory 도메인에 조인되어 있지 않은 경우, Windows 사용자 이름은 PhotonUser입니다. WorkSpace가 Active Directory 도메인에 조인되어 있는 경우, Windows 사용자 이름은 로그인된 사용자의 사용자 이름입니다. 애플리케이션 설정 지속성은 여러 운영 체제 버전에서 작동하지 않습니다. 예를 들어, Windows Server 2019 이미지를 사용하는 WorkSpaces Pools에 대해 애플리케이션 설정 지속성을 활성화하는 경우 다른 운영 체제(예: Windows Server 2022)를 실행하는 이미지를 사용하도록 WorkSpaces Pools를 업데이트하면 이전 스트리밍 세션의 설정은 해당 디렉토리의 사용자에게 저장되지 않습니다. 대신에 새 이미지를 사용하도록 WorkSpaces Pools를 업데이트한 후 사용자가 WorkSpace에서 스트리밍 세션을 시작하면 새 Windows 사용자 프로필이 만들어집니다. 그러나 해당 이미지의 동일한 운영 체제에 업데이트를 적용하면 이전 스트리밍 세션의 사용자의 사용자 지정과 설정이 저장됩니다. 동일한 운영 체제 업데이트를 이미지에 적용하면 사용자가 WorkSpace에서 스트리밍 세션을 시작할 때 동일한 Windows 사용자 프로필이 사용됩니다. **중요** WorkSpace가 Microsoft Active Directory 도메인에 조인되어 있는 경우에만 ​WorkSpaces Pools는 [Microsoft Data Protection API](https://docs.microsoft.com/en-us/windows/desktop/seccng/cng-dpapi)를 이용하는 애플리케이션을 지원합니다. WorkSpace가 Active Directory 도메인에 조인되어 있지 않은 경우 Windows 사용자 PhotonUser는 각 WorkSpace에서 다릅니다. DPAPI 보안 모델이 작동하는 방식으로 인해, 사용자의 암호는 이 시나리오에서 DPAPI를 사용하는 애플리케이션에 대해 유지되지 않습니다. WorkSpace가 Active Directory 도메인에 조인되어 있고 사용자가 도메인 사용자인 경우, Windows 사용자 이름은 로그인한 사용자의 사용자 이름이고 사용자의 암호는 DPAPI를 사용하는 애플리케이션에 대해 유지됩니다. WorkSpaces Pools는 다음 폴더를 제외하고 이 경로에 있는 모든 파일과 폴더를 자동으로 저장합니다. + 연락처 + 바탕 화면 + 문서 + 다운로드 + 링크 + 사진 + 저장된 게임 + 검색 + 비디오 이러한 폴더 외부에서 만들어진 파일과 폴더는 VHD 내에 저장되며 Amazon S3에 동기화됩니다. VHD 최대 크기 기본값은 풀의 경우 5GB입니다. 저장된 VHD의 크기는 포함된 파일 및 폴더의 총 크기입니다. WorkSpaces Pools는 사용자의 `HKEY_CURRENT_USER` 레지스트리 하이브를 자동으로 저장합니다. 새 사용자(Amazon S3에 프로필이 없는 사용자)의 경우 WorkSpaces Pools는 기본 프로필을 사용하여 초기 프로필을 만듭니다. 이 프로필은 이미지 빌더의 `C:\users\default`에 만들어집니다. **참고** 스트리밍 세션을 시작하기 전에 전체 VHD를 WorkSpace로 다운로드해야 합니다. 따라서 대량의 데이터가 포함된 VHD는 스트리밍 세션의 시작을 지연시킬 수 있습니다. 자세한 내용은 [애플리케이션 설정 지속성 활성화 모범 사례](enabling-app-settings-persistence.md#best-practices-app-settings-persistence) 섹션을 참조하세요. 애플리케이션 설정 지속성을 활성화할 때 설정 그룹을 지정해야 합니다. 설정 그룹은 저장된 애플리케이션 설정 중 이 디렉터리에서의 스트리밍 세션에 사용되는 설정을 결정합니다. WorkSpaces Pools는 AWS 계정의 S3 버킷 내에 별도로 저장되는 설정 그룹에 대한 새 VHD 파일을 생성합니다. 설정 그룹이 디렉터리 간에 공유되는 경우, 각 디렉터리에서 동일한 애플리케이션 설정이 사용됩니다. 디렉터리에 고유한 애플리케이션 설정이 필요한 경우, 해당 디렉터리에 고유한 설정 그룹을 지정합니다. # 애플리케이션 설정 지속성 활성화 **Topics** + [애플리케이션 설정 지속성 활성화 사전 조건](#prerequisites-app-settings-persistence) + [애플리케이션 설정 지속성 활성화 모범 사례](#best-practices-app-settings-persistence) + [애플리케이션 설정 지속성을 활성화하는 방법](#howto-enable-app-settings-persistence) ## 애플리케이션 설정 지속성 활성화 사전 조건 애플리케이션 설정 지속성을 활성화하려면 먼저 다음을 수행해야 합니다. + 2017년 12월 7일 또는 그 이후에에서 게시한 기본 이미지 AWS 에서 생성된 이미지를 사용합니다. + 인터넷 액세스 또는 Amazon S3용 Virtual Private Cloud(VPC) 엔드포인트를 구성하여 VPC에서 Amazon S3에 대한 네트워크 연결을 활성화합니다. 자세한 내용은 [WorkSpaces Pools를 위한 네트워킹 및 액세스](managing-network.md)의 *Home 폴더 및 VPC 엔드포인트* 섹션을 참조하세요. ## 애플리케이션 설정 지속성 활성화 모범 사례 WorkSpaces에 인터넷 액세스를 제공하지 않고 애플리케이션 설정 지속성을 활성화하려면 VPC 엔드포인트를 사용합니다. 이 엔드포인트는 WorkSpaces Pools의 WorkSpaces가 연결된 VPC에 있어야 합니다. 엔드포인트에 대한 WorkSpaces Pools 액세스를 활성화하려면 사용자 지정 정책을 연결해야 합니다. 사용자 지정 정책을 만드는 방법에 대한 자세한 내용은 [WorkSpaces Pools를 위한 네트워킹 및 액세스](managing-network.md)의 *Home 폴더 및 VPC 엔드포인트* 섹션을 참조하세요. 프라이빗 Amazon S3 엔드포인트에 대한 자세한 정보는 *VPC 사용 설명서*의 [VPC 엔드포인트](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints.html) 및 [Amazon S3에 대한 엔드포인트](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints-s3.html)를 참조하세요. ## 애플리케이션 설정 지속성을 활성화하는 방법 디렉터리를 만드는 동안 또는 디렉터리를 만든 후 WorkSpaces 콘솔을 사용하여 애플리케이션 설정 지속성을 활성화하거나 비활성화할 수 있습니다. AWS 리전마다 애플리케이션 설정 지속성이 계정의 S3 버킷에 저장됩니다. AWS 리전의 디렉터리에 대해 애플리케이션 설정 지속성을 처음 활성화하면 WorkSpaces Pools는 동일한 리전의 AWS 계정에 S3 버킷을 생성합니다. 동일한 버킷은 해당 AWS 리전의 모든 사용자 및 모든 디렉터리에 대한 애플리케이션 설정 VHD 파일을 저장합니다. 자세한 내용은 [사용자의 애플리케이션 설정용 VHD 관리](administer-app-settings-vhds.md)의 *Amazon S3 버킷 스토리지* 섹션을 참조하세요. **디렉터리 만들기 중에 애플리케이션 설정 지속성을 활성화하려면** + [SAML 2.0 구성 및 WorkSpaces Pools 디렉터리 만들기](create-directory-pools.md)의 단계를 수행하고, **애플리케이션 설정 지속성 활성화**가 선택되어 있는지 확인합니다. **기존 디렉터리에 대해 애플리케이션 설정 지속성을 활성화하려면** 1. [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) WorkSpaces 콘솔을 엽니다. 1. 왼쪽 탐색 창에서 **풀**을 선택하고, 애플리케이션 지속성을 활성화할 풀을 선택합니다. 1. 페이지의 **설정** 섹션에서 **편집**을 선택합니다. 1. 페이지의 **애플리케이션 지속성** 섹션에서 **애플리케이션 설정 지속성 활성화**를 선택합니다. 1. **변경 사항 저장**을 선택합니다. 이제 새 스트리밍 세션에서 애플리케이션 설정 지속성이 활성화되었습니다. # 사용자의 애플리케이션 설정용 VHD 관리 **Topics** + [Amazon S3 버킷 스토리지](#app-persistence-s3-buckets) + [사용자의 애플리케이션 설정 재설정](#app-persistence-s3-reset) + [Amazon S3 객체 버전 관리 활성화 및 사용자의 애플리케이션 설정 되돌리기](#app-persistence-enable-versions-revert-settings) + [애플리케이션 설정 VHD 크기 늘리기](#app-persistence-increase-VHD-size) ## Amazon S3 버킷 스토리지 애플리케이션 설정 지속성을 활성화하면 사용자의 애플리케이션 사용자 지정 및 Windows 설정이 AWS 계정에 생성된 Amazon S3 버킷에 저장된 가상 하드 디스크(VHD) 파일에 자동으로 저장됩니다. 모든 AWS 리전에 대해 WorkSpaces Pools는 사용자의 계정과 리전에 고유한 버킷을 계정 내에 만듭니다. 사용자가 구성한 모든 애플리케이션 설정은 해당 리전의 버킷에 저장됩니다. S3 버킷 관리를 위해 구성 작업을 할 필요는 없습니다. S3 버킷은 WorkSpaces Pools 서비스로 완전히 관리됩니다. 각 버킷에 저장된 VHD 파일은 전송 중에는 Amazon S3의 SSL 엔드포인트를 사용하여 암호화되고, 저장 중에는 [AWS 관리형 CMK](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#aws-managed-cmk)를 사용하여 암호화됩니다. 버킷의 이름은 다음과 같은 특정 형식으로 지정됩니다. ``` wspool-app-settings--- ``` ***region-code*** 애플리케이션 설정 지속성을 사용하여 디렉터리가 생성되는 AWS 리전 코드입니다. ***account-id-without-hyphens*** AWS 계정 ID입니다. 해당 리전의 다른 버킷과 충돌이 없음을 보여주는 무작위 식별자입니다. 버킷 이름의 첫 번째 부분인 `wspool-app-settings`은 계정이나 리전 간에 변경되지 않습니다. 예를 들어 계정 번호 123456789012에서 미국 서부(오리건) 리전(us-west-2)의 디렉터리에 대해 애플리케이션 설정 지속성을 활성화하면 WorkSpaces Pools는 해당 리전의 계정 내에 표시된 이름으로 Amazon S3 버킷을 만듭니다. 충분한 권한이 있는 관리자만 이 버킷을 삭제할 수 있습니다. ``` wspool-app-settings-us-west-2-1234567890123-abcdefg ``` 애플리케이션 설정 지속성을 비활성화해도 S3 버킷에 저장된 VHD는 삭제되지 않습니다. 설정 VHD를 영구적으로 삭제하려면 사용자 또는 적절한 권한이 있는 다른 관리자가 Amazon S3 콘솔이나 API를 이용해 이를 수행해야 합니다. WorkSpaces Pools에는 실수로 버킷을 삭제하는 것을 방지하는 버킷 정책이 추가되었습니다. 애플리케이션 설정 지속성을 활성화하면, 각 설정 그룹에 설정 VHD를 저장하는 고유 폴더가 생성됩니다. 다음 섹션에서 설명한 것처럼 S3 버킷 내 폴더의 계층 구조는 사용자가 스트리밍 세션을 시작하는 방법에 따라 다릅니다. 계정 내 S3 버킷에 설정 VHD가 저장되는 폴더의 경로는 다음 구조를 사용합니다. ``` bucket-name/Windows/prefix/settings-group/access-mode/user-id-SHA-256-hash ``` ***bucket-name*** 사용자의 애플리케이션 설정이 저장되는 S3 버킷의 이름입니다. 이름 형식은 본 섹션의 앞부분에서 설명했습니다. ***접두사*** Windows 버전별 접두사. Windows Server 2012 R2의 v4를 예로 들 수 있습니다. ***settings-group*** 설정 그룹 값입니다. 이 값은 같은 애플리케이션 설정을 공유하는 하나 이상의 디렉터리에 적용됩니다. ***access-mode*** 사용자의 ID 메서드입니다. `custom`은 WorkSpaces Pools API 또는 CLI용이며, `federated`는 SAML용, `userpool`은 사용자 풀 사용자용입니다. ***user-id-SHA-256-hash*** 사용자별 폴더 이름입니다. 이 이름은 사용자 ID에서 생성한 소문자 SHA-256 해시 16진법 문자열을 이용해 생성됩니다. 다음 예제 폴더 구조는 사용자 ID가 , AWS 계정 ID가 `testuser@mydomain.com`, 미국 서부(오레곤) 리전(us-west-2)의 `123456789012`설정 그룹이 있는 API 또는 CLI를 사용하여 액세스하는 스트리밍 세션`test-stack`에 적용됩니다. ``` wspool-app-settings-us-west-2-1234567890123-abcdefg/Windows/v4/test-stack/custom/a0bcb1da11f480d9b5b3e90f91243143eac04cfccfbdc777e740fab628a1cd13 ``` 온라인에서 사용할 수 있는 웹 사이트 또는 오픈 소스 코딩 라이브러리를 사용하여 사용자 ID의 소문자 SHA-256 해시 값을 생성함으로써 사용자의 폴더를 식별할 수 있습니다. ## 사용자의 애플리케이션 설정 재설정 사용자의 애플리케이션 설정을 재설정하려면 AWS 계정의 S3 버킷에서 VHD 및 관련 메타데이터 파일을 찾아 삭제해야 합니다. 사용자의 활성 스트리밍 세션 도중에는 이 작업을 해선 안 됩니다. 사용자의 VHD와 메타데이터 파일을 삭제하면, 애플리케이션 설정 지속성을 활성화한 스트리밍 인스턴스에서 사용자가 세션을 시작할 때 WorkSpaces Pools는 해당 사용자에 대한 새로운 설정을 만듭니다. **사용자 애플리케이션 설정 재설정 방법** 1. [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/)에서 S3 콘솔을 엽니다. 1. **버킷 이름** 목록에서 재설정할 애플리케이션 설정 VHD가 있는 S3 버킷을 선택합니다. 1. VHD가 포함된 폴더를 찾습니다. S3 버킷 폴더 구조로 이동하는 자세한 방법은 이번 주제의 앞쪽에 있는 *Amazon S3 버킷 스토리지*를 참조하세요. 1. **이름** 목록에서 VHD 및 REG 옆에 있는 확인란을 선택하고 **더 보기**를 선택한 다음 **삭제**를 선택합니다. 1. **객체 삭제** 대화 상자에서 VHD 및 REG가 목록에 있는지 확인한 다음 **삭제**를 선택합니다. 다음에 사용자가 해당 설정 그룹을 통해 애플리케이션 설정 지속성이 활성화된 풀에서 스트리밍하면 새 애플리케이션 설정 VHD가 만들어집니다. 이 VHD는 세션 종료 시 S3 버킷에 저장됩니다. ## Amazon S3 객체 버전 관리 활성화 및 사용자의 애플리케이션 설정 되돌리기 Amazon S3 객체 버전 관리와 수명 주기 정책을 이용해 사용자가 변경하는 애플리케이션 설정을 관리할 수 있습니다. Amazon S3 객체 버전 관리를 이용하면 설정 VHD의 모든 버전을 보존, 검색, 복원할 수 있습니다. 따라서 의도하지 않은 사용자 작업 및 애플리케이션 장애 모두로부터 객체를 쉽게 복구할 수 있습니다. 버전 관리를 활성화하면, 세션 스트리밍이 끝날 때마다 새로운 버전의 애플리케이션 설정 VHD가 Amazon S3에 동기화됩니다. 새 버전은 이전 버전을 덮어쓰지 않으며, 따라서 사용자 설정에 문제가 있다면 이전 버전 VHD로 되돌릴 수 있습니다. **참고** 모든 애플리케이션 설정 VHD 버전은 별도의 객체로 Amazon S3에 저장되며 그에 따라 비용이 청구됩니다. 객체 버전 관리는 S3 버킷에서 기본으로 활성화되지 않으며, 사용자가 명시적으로 활성화해야 합니다. **애플리케이션 설정 VHD의 객체 버전 관리 활성화 방법** 1. [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/)에서 S3 콘솔을 엽니다. 1. **버킷 이름** 목록에서 객체 버전 관리를 활성화할 애플리케이션 설정 VHD가 있는 S3 버킷을 선택합니다. 1. **속성**을 선택합니다. 1. **버전 관리**를 선택하고 **버전 관리 가능**을 선택한 다음 **저장**를 선택합니다. 애플리케이션 설정 VHD의 구버전을 만료하려면 Amazon S3 수명 주기 정책을 사용하면 됩니다. 자세한 내용은 *Amazon Simple Storage Service 사용 설명서*의 [S3 버킷에 대한 수명 주기 정책을 생성하려면 어떻게 해야 하나요?](https://docs.aws.amazon.com/AmazonS3/latest/user-guide/create-lifecycle.html) 섹션을 참조하세요. **사용자 애플리케이션 설정 VHD를 되돌리는 방법** 해당하는 S3 버킷에서 VHD 새 버전을 삭제하면 사용자 애플리케이션 설정 VHD 이전 버전으로 되돌릴 수 있습니다. 사용자에게 활성 스트리밍 세션이 있을 때는 이 작업을 수행하지 마세요. 1. [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/)에서 S3 콘솔을 엽니다. 1. **버킷 이름** 목록에서 되돌릴 사용자 애플리케이션 설정 VHD가 있는 S3 버킷을 선택합니다. 1. VHD가 포함된 폴더를 찾아 선택합니다. S3 버킷 폴더 구조로 이동하는 자세한 방법은 이번 주제의 앞쪽에 있는 *Amazon S3 버킷 스토리지*를 참조하세요. 폴더를 선택하면 설정 VHD와 관련된 메타데이터 파일이 표시됩니다. 1. VHD 및 메타데이터 파일 버전 목록을 표시하려면 **표시**를 선택합니다. 1. 되돌릴 VHD 버전을 찾습니다. 1. **이름** 목록에서 새 버전의 VHD 및 관련 메타데이터 파일 옆에 있는 확인란을 선택하고 **더 보기**를 선택한 다음 **삭제**를 선택합니다. 1. 되돌릴 애플리케이션 설정 VHD와 관련된 메타데이터 파일이 최신 버전인지 확인합니다. 다음에 사용자가 적용 가능한 설정 그룹을 통해 애플리케이션 설정 지속성이 활성화된 풀에서 스트리밍할 때 사용자 설정의 되돌린 버전이 표시됩니다. ## 애플리케이션 설정 VHD 크기 늘리기 VHD 최대 크기 기본값은 풀의 경우 5GB입니다. 사용자가 애플리케이션 설정을 위한 추가 공간을 요구한다면, 적용 가능한 애플리케이션 설정 VHD를 Windows가 설치된 컴퓨터로 다운로드해 확장하면 됩니다. 그런 다음 S3 버킷의 현재 VHD를 더 큰 VHD로 교체하세요. 사용자에게 활성 스트리밍 세션이 있을 때는 이 작업을 수행하지 마세요. **참고** 가상 하드 디스크(VHD)의 물리적 크기를 줄이려면 세션을 종료하기 전에 휴지통을 지웁니다. 또한 업로드 및 다운로드 시간을 줄이고 전반적인 사용자 경험을 개선합니다. **애플리케이션 설정 VHD의 크기를 늘리는 방법** **참고** 애플리케이션을 스트리밍하려면 사용자는 전체 VHD를 다운로드해야 합니다. 애플리케이션 설정 VHD의 크기를 늘리면 사용자가 애플리케이션 스트리밍 세션을 시작하는 데 걸리는 시간이 증가할 수 있습니다. 1. [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/)에서 S3 콘솔을 엽니다. 1. **버킷 이름** 목록에서 확장할 애플리케이션 설정 VHD가 있는 S3 버킷을 선택합니다. 1. VHD가 포함된 폴더를 찾아 선택합니다. S3 버킷 폴더 구조를 탐색하는 방법에 대한 자세한 내용은 이 주제의 앞쪽에 있는 [Amazon S3 버킷 스토리지](#app-persistence-s3-buckets) 섹션을 참조하세요. 폴더를 선택하면 설정 VHD와 관련된 메타데이터 파일이 표시됩니다. 1. `Profile.vhdx` 파일을 Windows가 설치된 컴퓨터의 디렉터리에 다운로드합니다. 다운로드가 끝나도 브라우저를 닫지 마세요. 확장된 VHD를 업로드할 때 브라우저를 다시 사용해야 합니다. 1. Diskpart를 이용해 VHD 크기를 7GB까지 늘리려면 관리자로 명령 프롬프트 창을 열고 다음 명령을 입력합니다. ``` diskpart ``` ``` select vdisk file="C:\path\to\application\settings\profile.vhdx" ``` ``` expand vdisk maximum=7000 ``` 1. 이후 다음 Diskpart 명령어를 입력해 VHD를 찾아 연결한 다음, 볼륨 목록을 표시합니다. ``` elect vdisk file="C:\path\to\application\settings\profile.vhdx" ``` ``` attach vdisk ``` ``` list volume ``` 출력 항목에서 'AwsEucUsers' 레이블이 있는 볼륨 숫자를 기록해둡니다. 다음 단계에서 이 볼륨을 선택해 확대해야 합니다. 1. 목록 볼륨 출력의 숫자가 ``인 다음 명령을 입력합니다. ``` select volume ``` 1. 다음 명령을 입력합니다. ``` extend ``` 1. 다음 명령을 입력해 VHD의 파티션 크기가 예상대로 증가했음을(이 예제에서는 7GB) 확인합니다. ``` diskpart ``` ``` select vdisk file="C:\path\to\application\settings\profile.vhdx" ``` ``` list volume ``` 1. 다음 명령을 입력해 VHD를 업로드할 수 있도록 분리합니다. ``` detach vdisk ``` 1. Amazon S3 콘솔을 이용해 브라우저로 돌아온 다음 **업로드**, **파일 추가**를 선택한 후 확장한 VHD를 선택합니다. 1. **업로드**를 선택합니다. VHD가 업로드된 후 다음에 사용자가 해당 설정 그룹을 통해 애플리케이션 설정 지속성이 활성화된 풀에서 스트리밍하면 더 큰 애플리케이션 설정 VHD를 사용할 수 있습니다. # WorkSpaces Pools 문제 해결 알림 코드 다음은 WorkSpaces에서 Active Directory를 설정하여 사용하는 동안 발생할 수 있는 도메인 조인 관련 문제에 대한 알림 코드와 해결 방법입니다. **DOMAIN\$1JOIN\$1ERROR\$1ACCESS\$1DENIED** **메시지**: 액세스가 거부되었습니다. **해결 방법**: 디렉터리에서 지정한 서비스 계정에 컴퓨터 객체를 만들거나, 혹은 기존 객체를 재사용할 수 있는 권한이 없습니다. 권한을 확인하고 WorkSpaces 풀을 시작합니다. **DOMAIN\$1JOIN\$1ERROR\$1LOGON\$1FAILURE** **메시지**: 사용자 이름 또는 암호가 잘못되었습니다. **해결 방법**: 디렉터리에서 지정한 서비스 계정의 사용자 이름 또는 암호가 잘못되었습니다. 디렉터리에 구성된 AWS Secrets Manager 보안 암호의 자격 증명을 업데이트하고 WorkSpaces 풀을 다시 시작합니다. **DOMAIN\$1JOIN\$1NERR\$1PASSWORD\$1EXPIRED** **메시지**: 이 사용자의 암호가 만료되었습니다. **해결 방법**: AWS Secrets Manager 보안 암호의 서비스 계정 암호가 만료되었습니다. 먼저 WorkSpaces 풀을 중지합니다. 그런 다음 WorkSpaces 디렉터리에 지정된 보안 암호의 암호를 변경합니다. 그런 다음 WorkSpaces 풀을 시작합니다. **DOMAIN\$1JOIN\$1ERROR\$1DS\$1MACHINE\$1ACCOUNT\$1QUOTA\$1EXCEEDED** **메시지**: 컴퓨터를 도메인에 병합할 수 없습니다. 이 도메인에서 생성할 수 있는 최대 컴퓨터 계정 수를 초과하였습니다. 제한 수를 재설정하거나 상향 조정할 수 있도록 시스템 관리자에게 문의하세요. **해결 방법**: 디렉터리에서 지정한 서비스 계정에 컴퓨터 객체를 만들거나, 혹은 기존 객체를 재사용할 수 있는 권한이 없습니다. 권한을 확인하고 WorkSpaces 풀을 시작합니다. **DOMAIN\$1JOIN\$1ERROR\$1INVALID\$1PARAMETER** **메시지**: 파라미터가 잘못되었습니다. 이 오류 코드는 `LpName` 파라미터가 NULL이거나, `NameType` 파라미터가 `NetSetupUnknown` 또는 알 수 없는 이름 형식으로 지정된 경우에 반환됩니다. **해결 방법**: 이 오류는 OU의 고유 이름이 잘못되었을 때 발생할 수 있습니다. OU를 확인하고 다시 시도하세요. 그래도 이 오류가 계속 발생하면 AWS Support에 문의하세요. 자세한 내용은 [AWS Support Center](https://console.aws.amazon.com/support/home#/)를 참조하세요. **DOMAIN\$1JOIN\$1ERROR\$1MORE\$1DATA** **메시지**: 더 많은 데이터를 사용할 수 있습니다. **해결 방법**: 이 오류는 OU의 고유 이름이 잘못되었을 때 발생할 수 있습니다. OU를 확인하고 다시 시도하세요. 그래도 이 오류가 계속 발생하면 AWS Support에 문의하세요. 자세한 내용은 [AWS Support Center](https://console.aws.amazon.com/support/home#/)를 참조하세요. **DOMAIN\$1JOIN\$1ERROR\$1NO\$1SUCH\$1DOMAIN** **메시지**: 지정된 도메인이 존재하지 않거나 해당 주소를 찾을 수 없습니다. **해결 방법**: 스트리밍 인스턴스가 Active Directory 도메인을 찾을 수 없습니다. 네트워크 연결을 유지하려면 VPC, 서브넷 및 보안 그룹 설정을 확인하세요. **DOMAIN\$1JOIN\$1NERR\$1WORKSTATION\$1NOT\$1STARTED** **메시지**: 워크스테이션 서비스가 시작되지 않았습니다. **해결 방법**: 워크스테이션 서비스를 시작하는 도중 오류가 발생했습니다. 이미지에서 서비스가 활성화되어 있는지 확인하세요. 그래도 이 오류가 계속 발생하면 AWS Support에 문의하세요. 자세한 내용은 [AWS Support Center](https://console.aws.amazon.com/support/home#/)를 참조하세요. **DOMAIN\$1JOIN\$1ERROR\$1NOT\$1SUPPORTED** **메시지**: 지원되지 않는 요청입니다. 이 오류는 원격 컴퓨터가 `lpServer` 파라미터에 지정되어 있을 때 반환됩니다. 이 호출은 원격 컴퓨터에서 지원되지 않기 때문입니다. **해결 방법**: AWS Support에 지원을 요청하세요. 자세한 내용은 [AWS Support Center](https://console.aws.amazon.com/support/home#/)를 참조하세요. **DOMAIN\$1JOIN\$1ERROR\$1FILE\$1NOT\$1FOUND** **메시지**: 시스템이 지정된 파일을 찾을 수 없습니다. **해결 방법**: 이 오류는 잘못된 조직 단위(OU)의 고유 이름을 입력한 경우 발생합니다. 고유 이름은 **OU=**로 시작해야 합니다. OU 고유 이름을 확인한 후 다시 시도하세요. **DOMAIN\$1JOIN\$1INTERNAL\$1SERVICE\$1ERROR** **메시지**: 계정이 이미 있습니다. **해결 방법**: 이 오류는 다음 시나리오에서 발생할 수 있습니다. + 권한과 관련된 문제가 아닌 경우 Netdom 로그에서 오류를 확인하고 올바른 OU를 제공했는지 확인하세요. + 디렉터리에서 지정한 서비스 계정에 컴퓨터 객체를 만들거나, 혹은 기존 객체를 재사용할 수 있는 권한이 없습니다. 이 경우 권한을 확인하고 WorkSpaces 풀을 시작합니다. + WorkSpaces에서 컴퓨터 객체를 만든 후 객체가 만들어진 OU에서 객체가 이동됩니다. 이 경우 첫 번째 WorkSpaces 풀이 성공적으로 만들어지지만 컴퓨터 객체를 사용하는 새 WorkSpaces 풀은 모두 실패합니다. Active Directory가 지정된 OU에서 컴퓨터 객체를 검색하고 같은 이름의 객체가 도메인의 다른 위치에 있음을 감지하면 도메인 가입이 성공하지 못합니다. + WorkSpaces 디렉터리에서 지정된 OU 이름에는 디렉터리에서 쉼표 앞 또는 뒤에 공백이 포함됩니다. 이 경우 WorkSpaces 풀이 Active Directory 도메인에 다시 조인하려고 하면 WorkSpaces가 컴퓨터 객체를 올바르게 순환할 수 없어 도메인 다시 조인이 성공하지 못합니다. WorkSpaces 풀에 대한 문제를 해결하려면 다음 작업을 수행합니다. 1. WorkSpaces 풀을 중지합니다. 1. WorkSpaces 풀에 대한 Active Directory 도메인 설정을 편집하여 WorkSpaces 풀이 조인된 디렉터리 및 Directory OU를 제거합니다. 1. WorkSpaces 디렉터리를 업데이트하여 공백이 포함되지 않은 OU를 지정합니다. 1. WorkSpaces 풀의 Active Directory 도메인 설정을 편집하여 업데이트된 Directory OU로 디렉터리를 지정합니다. WorkSpaces 풀에 대한 문제를 해결하려면 다음 작업을 수행합니다. 1. WorkSpaces 풀을 삭제합니다. 1. WorkSpaces 디렉터리를 업데이트하여 공백이 포함되지 않은 OU를 지정합니다. 1. 새 WorkSpaces 풀을 만들고 업데이트된 Directory OU를 사용하여 디렉터리를 지정합니다. **WORKSPACES\$1POOL\$1SESSION\$1RESERVATION\$1ERROR** **메시지**: 현재 WorkSpaces 풀과 연결된 서브넷의 가용 영역 [us-west-1]에서 요청된 세션을 위한 용량이 충분하지 않습니다. 시스템에서 추가 용량을 프로비전하기 위한 작업이 진행 중입니다. 한편, 다음 AZ[us-west-2, us-west-3] 중 하나를 사용하여 다른 서브넷을 변경하거나 연결합니다. **해결 방법**: EC2의 용량이 충분할 때까지 기다리거나 디렉터리의 다른 AZ에서 서브넷을 업데이트합니다. **INSUFFICIENT\$1CAPACITY\$1ERROR\$1WORKSPACES\$1POOL\$1AZ** **메시지**: 현재 가용 영역(AZ)[<영향을 받은 AZ>]에서 요청된 세션에 충분한 용량이 없습니다. 시스템에서 추가 용량을 프로비전하기 위한 작업이 진행 중입니다. 한편 다른 AZ를 사용하여 다른 서브넷을 변경하거나 WorkSpaces 풀에 연결합니다. **해결 방법**: Amazon EC2의 용량이 충분할 때까지 기다리거나 디렉터리의 다른 AZ에서 서브넷을 업데이트합니다. **INVALID\$1CUSTOMER\$1SUBNET\$1CIDR\$1BLOCK** **메시지**: 서브넷에 사용할 수 없는 CIDR 범위의 사용이 포함되어 있습니다. 현재 /18 범위를 벗어나 서브넷을 업데이트하세요. **해결 방법**: EC2의 용량이 충분할 때까지 기다리거나 디렉터리의 다른 AZ에서 서브넷을 업데이트합니다.