As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá. # Use e gerencie WorkSpaces Pools O WorkSpaces Pools oferece áreas de trabalho virtuais não persistentes, personalizados para usuários que precisam acessar ambientes de desktop altamente selecionados hospedados em uma infraestrutura efêmera. **Topics** + [Regiões da AWS e zonas de disponibilidade para WorkSpaces piscinas](wsp-pools-regions.md) + [Gerenciar diretórios para pools WorkSpaces](manage-workspaces-pools-directory.md) + [Redes e acesso para o WorkSpaces Pools](managing-network.md) + [Criar um WorkSpaces Pool](set-up-pools-create.md) + [Administrar seus WorkSpaces Pools](managing-stacks-fleets.md) + [Como usar o Active Directory com o WorkSpaces Pools](active-directory.md) + [Pacotes e imagens para piscinas WorkSpaces](pools-images.md) + [Como monitorar o WorkSpaces Pools](configure-monitoring-reporting.md) + [Habilitar e administrar o armazenamento persistente para pools WorkSpaces](persistent-storage.md) + [Ative a persistência das configurações do aplicativo para seus usuários de WorkSpaces Pools](app-settings-persistence.md) + [Códigos de notificação de solução de problemas do WorkSpaces Pools](wsp-pools-troubleshooting.md) # Regiões da AWS e zonas de disponibilidade para WorkSpaces piscinas WorkSpaces As piscinas estão disponíveis nas seguintes opções Regiões da AWS. **nota** Para aqueles Regiões da AWS que se aplicam ao WorkSpaces Personal, consulte os [ WorkSpaces endpoints e cotas da Amazon](https://docs.aws.amazon.com/general/latest/gr/wsp.html) no guia de *Referência geral da AWS referência*. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/workspaces/latest/adminguide/wsp-pools-regions.html) # Gerenciar diretórios para pools WorkSpaces WorkSpaces Os pools usam um diretório para armazenar e gerenciar informações para você WorkSpaces e seus usuários. Nesta seção, mostramos como criar e gerenciar diretórios para WorkSpaces Pools. **Topics** + [Configure o SAML 2.0 e crie um diretório de WorkSpaces pools](create-directory-pools.md) + [Atualize os detalhes do diretório de seus WorkSpaces Pools](update-directory-pools-details.md) + [Excluir um diretório de WorkSpaces Pools](delete-directory-pools.md) # Configure o SAML 2.0 e crie um diretório de WorkSpaces pools Você pode ativar o registro e o login WorkSpaces do aplicativo cliente WorkSpaces em um WorkSpaces pool configurando a federação de identidades usando o SAML 2.0. Para fazer isso, use um perfil do AWS Identity and Access Management (IAM) e um URL em estado de retransmissão para configurar o provedor de identidades (IdP) SAML 2.0 e habilitá-lo para a AWS. Isso concede aos seus usuários federados acesso a um diretório WorkSpace Pool. O estado de retransmissão é o endpoint do WorkSpaces diretório para o qual os usuários são encaminhados após o login bem-sucedido. AWS **Importante** WorkSpaces Os pools não oferecem suporte a configurações SAML 2.0 baseadas em IP. **Topics** + [Etapa 1: considere os requisitos](#saml-directory-consider-the-requirements) + [Etapa 2: concluir os pré-requisitos](#saml-directory-complete-the-prereqs) + [Etapa 3: criar um provedor de identidades SAML no IAM](#saml-directory-create-saml-idp) + [Etapa 4: Criar diretório WorkSpace Pool](#saml-directory-create-wsp-pools-directory) + [Etapa 5: criar um perfil do IAM de federação SAML 2.0](#saml-directory-saml-federation-role-in-iam) + [Etapa 6: configurar um provedor de identidades SAML 2.0](#saml-directory-configure-saml-idp) + [Etapa 7: criar declarações para a resposta de autenticação SAML](#saml-directory-create-assertions) + [Etapa 8: configurar o estado de retransmissão da federação](#saml-directory-configure-relay-state) + [Etapa 9: Habilitar a integração com o SAML 2.0 em seu diretório WorkSpace Pool](#saml-directory-enable-saml-integration) + [Solução de problemas](#saml-pools-troubleshooting) + [Especifique os detalhes do Active Directory para seu diretório de WorkSpaces Pools](pools-service-account-details.md) ## Etapa 1: considere os requisitos Os requisitos a seguir se aplicam ao configurar o SAML para um diretório de WorkSpaces pools. + A função workspaces\$1 DefaultRole IAM deve existir em sua conta. AWS Essa função é criada automaticamente quando você usa a Configuração WorkSpaces rápida ou se você iniciou anteriormente uma WorkSpace usando Console de gerenciamento da AWS o. Ele concede à Amazon WorkSpaces permissão para acessar AWS recursos específicos em seu nome. Se a função já existir, talvez seja necessário anexar a política AmazonWorkSpacesPoolServiceAccess gerenciada a ela, que a Amazon WorkSpaces usa para acessar os recursos necessários na AWS conta dos WorkSpaces Pools. Para obter mais informações, consulte [Crie os espaços de trabalho\$1 Role DefaultRole](workspaces-access-control.md#create-default-role) e [AWS política gerenciada: AmazonWorkSpacesPoolServiceAccess](managed-policies.md#workspaces-pools-service-access). + Você pode configurar a autenticação SAML 2.0 para WorkSpaces grupos no Regiões da AWS que oferecem suporte ao recurso. Para obter mais informações, consulte [Regiões da AWS e zonas de disponibilidade para WorkSpaces piscinas](wsp-pools-regions.md). + Para usar a autenticação SAML 2.0 com WorkSpaces, o IdP deve oferecer suporte a SSO não solicitado iniciado pelo IdP com um recurso de destino de link direto ou URL de endpoint de estado de retransmissão. Exemplos IdPs desse suporte incluem ADFS, Azure AD, Duo Single Sign-On, Okta e. PingFederate PingOne Para obter mais informações, consulte a documentação do IdP. + A autenticação SAML 2.0 é suportada somente nos seguintes WorkSpaces clientes. Para os WorkSpaces clientes mais recentes, consulte a [página de download WorkSpaces do Amazon Client](https://clients.amazonworkspaces.com/). + Aplicação cliente para Windows versão 5.20.0 ou posterior + Cliente para macOS versão 5.20.0 ou posterior + Web Access ## Etapa 2: concluir os pré-requisitos Preencha os pré-requisitos a seguir antes de configurar sua conexão SAML 2.0 IdP com um diretório Pool. WorkSpaces + Configurar o IdP para estabelecer uma relação de confiança AWS. + Consulte [Integração de provedores de soluções SAML de terceiros com AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_saml_3rd-party.html) para obter mais informações sobre como configurar AWS a federação. Exemplos relevantes incluem a integração do IdP com o IAM para acessar o Console de gerenciamento da AWS. + Usar o IdP para gerar e fazer download de um documento de metadados de federação que descreva a empresa como um IdP. Este documento XML assinado é usado para estabelecer a confiança da parte dependente. Salvar este arquivo em um local para acessar posteriormente no console do IAM. + Crie um diretório WorkSpaces Pool usando o WorkSpaces console. Para obter mais informações, consulte [Como usar o Active Directory com o WorkSpaces Pools](active-directory.md). + Crie um WorkSpaces pool para usuários que possam entrar no IdP usando um tipo de diretório compatível. Para obter mais informações, consulte [Criar um WorkSpaces Pool](set-up-pools-create.md). ## Etapa 3: criar um provedor de identidades SAML no IAM Para começar, crie um IdP SAML no IAM. Esse IdP define a relação de AWS confiança entre IdP e IdP de sua organização usando o documento de metadados gerado pelo software IdP em sua organização. Para obter mais informações, consulte [Como criar e gerenciar um provedor de identidade SAML](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml.html#idp-manage-identityprovider-console) no *Guia do usuário do AWS Identity and Access Management *. Para obter informações sobre como trabalhar com o SAML IdPs no AWS GovCloud (US) Regions, consulte [AWS Identity and Access Management](https://docs.aws.amazon.com//govcloud-us/latest/UserGuide/govcloud-iam.html)o *Guia do AWS GovCloud (US) usuário*. ## Etapa 4: Criar diretório WorkSpace Pool Conclua o procedimento a seguir para criar um diretório WorkSpaces Pool. 1. Abra o WorkSpaces console em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação, selecione **Directories**. 1. Selecione **Criar diretório**. 1. Para **WorkSpace tipo**, escolha **Pool**. 1. Na seção **Origem da identidade do usuário** da página: 1. Insira um valor de espaço reservado na caixa de texto **URL de acesso do usuário**. Por exemplo, insira `placeholder` na caixa de texto. Você editará isso mais tarde, depois de configurar o direito à aplicação em seu IdP. 1. Deixe a caixa de texto **Nome do parâmetro de estado de retransmissão** em branco. Você editará isso mais tarde, depois de configurar o direito ao aplicativo em seu IdP. 1. Na seção **Informações do diretório** da página, insira um nome e uma descrição para o diretório. O nome e a descrição do diretório devem ter menos de 128 caracteres, podem conter caracteres alfanuméricos e os seguintes caracteres especiais: `_ @ # % * + = : ? . / ! \ -`. O nome e a descrição do diretório não podem começar com um caractere especial. 1. Na seção **Rede e segurança** da página: 1. Escolha uma VPC e 2 sub-redes com acesso aos recursos da rede necessários para seu aplicativo. Para maior tolerância a falhas, você deve escolher duas sub-redes em zonas de disponibilidade diferentes. 1. Escolha um grupo de segurança que permita WorkSpaces criar links de rede em sua VPC. Os grupos de segurança controlam qual tráfego de rede pode fluir WorkSpaces para sua VPC. Por exemplo, se seu grupo de segurança restringir todas as conexões HTTPS de entrada, os usuários que acessam seu portal da web não poderão carregar sites HTTPS do. WorkSpaces 1. A seção **Configuração do Active Directory** é opcional. No entanto, você deve especificar os detalhes do Active Directory (AD) durante a criação do diretório WorkSpaces Pools se planeja usar um AD com seus WorkSpaces Pools. Você não pode editar a **Configuração do Active Directory** para seu diretório WorkSpaces Pools depois de criá-lo. Para obter mais informações sobre como especificar os detalhes do AD para seu diretório WorkSpaces Pool, consulte[Especifique os detalhes do Active Directory para seu diretório de WorkSpaces Pools](pools-service-account-details.md). Depois de concluir o processo descrito nesse tópico, você deve retornar a esse tópico para concluir a criação do diretório WorkSpaces Pools. Você pode pular a seção **Configuração do Active Directory** se não planeja usar um AD com WorkSpaces seus pools. 1. Na seção **Propriedades de transmissão** da página: + Escolha o comportamento das permissões da área de transferência e insira uma cópia para o limite de caracteres local (opcional) e cole no limite de caracteres da sessão remota (opcional). + Escolha se permite ou não imprimir para um dispositivo local. + Escolha permitir ou não permitir o registro em log de diagnóstico. + Escolha permitir ou não permitir o login com cartão inteligente. Esse recurso se aplica somente se você tiver habilitado a configuração do AD anteriormente neste procedimento. 1. Na seção **Armazenamento** da página, você pode optar por habilitar as pastas iniciais. 1. Na **seção do perfil do IAM** da página, escolha um perfil do IAM para estar disponível para todas as instâncias de transmissão do desktop. Para criar uma perfil do IAM, escolha **Create a New Role**. Ao aplicar uma função do IAM da sua conta a um diretório de WorkSpace pool, você pode fazer solicitações de AWS API de um WorkSpace no WorkSpace pool sem gerenciar manualmente AWS as credenciais. Para obter mais informações, consulte [Creating a role to delegate permissions to an IAM user](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-user.html) no *Guia do usuário do AWS Identity and Access Management *. 1. Selecione **Criar diretório**. ## Etapa 5: criar um perfil do IAM de federação SAML 2.0 Realize o procedimento a seguir para criar um perfil do IAM de federação SAML 2.0 no console do IAM. 1. Abra o console do IAM em [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/secretsmanager/). 1. Selecione **Roles (Funções)** no painel de navegação. 1. Selecione Criar perfil. 1. Selecione **federação SAML 2.0** para o tipo de entidade confiável. 1. Em SAML 2.0-based provider (Provedor baseado em SAML 2.0), escolha o provedor de identidade que você criou no IAM. Para obter mais informações, consulte [Criar um provedor de identidades SAML no IAM](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml.html?). 1. Selecione **Permitir somente acesso programático** para o acesso a ser permitido. 1. Escolha ** SAML:sub\$1type** para o atributo. 1. Em **Valor**, insira `https://signin.aws.amazon.com/saml`. Esse valor restringe o acesso de perfis a solicitações de streaming de usuários do SAML que incluam uma declaração do tipo de assunto de SAML com um valor `persistent`. Se o SAML:sub\$1type for persistente, o IdP envia o mesmo valor exclusivo para o elemento `NameID` em todas as solicitações de SAML de um usuário específico. Para obter mais informações, consulte [Identificação exclusiva de usuários na federação baseada em SAML](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_saml.html#CreatingSAML-userid) no *Guia do usuário do AWS Identity and Access Management *. 1. Escolha **Próximo** para continuar. 1. Não faça alterações ou seleções na página **Adicionar permissões**. Escolha **Próximo** para continuar. 1. Digite um nome e uma descrição para o perfil. 1. Selecione **Criar perfil**. 1. Na página **Roles**, escolha a função que você criou. 1. Selecione a guia **Trust relationships (Relações de confiança)**. 1. Selecione **Edit trust policy** (Editar política de confiança). 1. Na caixa de texto **Editar política de confiança** JSON, adicione a TagSession ação **sts:** à política de confiança. Para obter mais informações, consulte [Passing session tags in AWS STS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_session-tags.html) no *Guia do usuário do AWS Identity and Access Management *. O resultado será algo semelhante a este exemplo: ![\[Um exemplo de política de confiança.\]](http://docs.aws.amazon.com/pt_br/workspaces/latest/adminguide/images/iam-saml-federation-policy-sts-tagsession.png) 1. Escolha **Atualizar política**. 1. Escolha a aba **Permissões**. 1. Na seção **Políticas de permissões** da página, escolha **Adicionar permissões** e, em seguida, escolha **Criar política em linha**. 1. Na seção **Editor de políticas** da página, escolha a opção **JSON**. 1. Na caixa de texto JSON **Editor de políticas**, insira a política a seguir. Não se esqueça de substituir: + **com o código da AWS região na qual você criou seu diretório WorkSpace Pool. + **com o ID AWS da conta. + **com o ID do diretório que você criou anteriormente. Você pode obter isso no WorkSpaces console. Para recursos em AWS GovCloud (US) Regions, use o seguinte formato para o ARN:. `arn:aws-us-gov:workspaces:::directory/` 1. Escolha Próximo. 1. Insira um nome para a política e escolha **Create policy (Criar política)**. ## Etapa 6: configurar um provedor de identidades SAML 2.0 Dependendo do seu IdP SAML 2.0, pode ser necessário atualizar manualmente o IdP para confiar na AWS como um provedor de serviços. Você faz isso baixando o `saml-metadata.xml` arquivo encontrado em [https://signin.aws.amazon.com/static/saml-metadata.xml](https://signin.aws.amazon.com/static/saml-metadata.xml) e, em seguida, enviando-o para o seu IdP. Isso atualiza os metadados do seu IdP. Para alguns IdPs, a atualização pode já estar configurada. Você pode pular esta etapa se ela já estiver configurada. Se a atualização ainda não estiver configurada no seu IdP, revise a documentação fornecida pelo IdP para obter informações sobre como atualizar os metadados. Alguns provedores dão a opção de digitar o URL do arquivo XML no painel deles e o IdP obtém e instala o arquivo para você. Outros exigem que você baixe o arquivo pelo URL e carregue-o para o painel deles. **Importante** No momento, você também pode autorizar usuários em seu IdP a acessar WorkSpaces o aplicativo que você configurou em seu IdP. Os usuários autorizados a acessar o WorkSpaces aplicativo do seu diretório não têm automaticamente um WorkSpace criado para eles. Da mesma forma, os usuários que WorkSpace criaram um para eles não estão automaticamente autorizados a acessar o WorkSpaces aplicativo. Para se conectar com êxito a uma autenticação WorkSpace usando SAML 2.0, o usuário deve ser autorizado pelo IdP e ter WorkSpace criado uma. ## Etapa 7: criar declarações para a resposta de autenticação SAML Configure as informações que seu IdP envia AWS como atributos SAML em sua resposta de autenticação. Dependendo do seu IdP, pode ser que isso já esteja configurado. Você pode pular esta etapa se ela já estiver configurada. Se ainda não estiver configurado, forneça o seguinte: + **NameID de assunto de SAML**: o identificador exclusivo do usuário que está fazendo login. Não altere o format/value deste campo. Caso contrário, o atributo da pasta inicial não funcionará conforme o esperado porque o usuário será tratado como um usuário diferente. **nota** Para WorkSpaces pools associados ao domínio, o `NameID` valor para o usuário deve ser fornecido no `domain\username` formato usando o`sAMAccountName`, ou no `username@domain.com` formato usando`userPrincipalName`, ou apenas. `userName` Se estiver usando o formato `sAMAccountName`, você pode especificar o domínio usando o nome NetBIOS ou o nome do domínio totalmente qualificado (FQDN). O formato `sAMAccountName` é necessário para cenários de confiança unidirecional do Active Directory. Para obter mais informações, consulte [Como usar o Active Directory com o WorkSpaces Pools](active-directory.md). Se apenas `userName` for fornecido, o usuário será logado no domínio primário + **Tipo de assunto de SAML (com um valor definido como `persistent`)**: definir o valor como `persistent` garante que o IdP envia o mesmo valor exclusivo para o elemento `NameID` em todas as solicitações SAML de determinado usuário. Garanta que a política do IAM inclua uma condição para permitir apenas solicitações SAML com um `sub_type` do SAML definido como `persistent`, conforme descrito na seção [Etapa 5: criar um perfil do IAM de federação SAML 2.0](#saml-directory-saml-federation-role-in-iam). + **`Attribute`elemento com o `Name` https://aws.amazon.com/SAML/ atributo definido como Attributes/Role** — Esse elemento contém um ou mais `AttributeValue` elementos que listam a função do IAM e o IdP do SAML para os quais o usuário é mapeado pelo seu IdP. A função e o IdP são especificados como um par delimitado por vírgula de. ARNs Um exemplo do valor esperado é`arn:aws:iam:::role/,arn:aws:iam:::saml-provider/`. + **`Attribute`elemento com o `Name` https://aws.amazon.com/SAML/ atributo definido como Attributes/ RoleSessionName** — Esse elemento contém um `AttributeValue` elemento que fornece um identificador para as credenciais AWS temporárias emitidas para o SSO. O valor no elemento `AttributeValue` deve ter entre 2 e 64 caracteres, pode conter apenas caracteres alfanuméricos, sublinhados e os seguintes caracteres especiais: `_ . : / = + - @`. Ele não pode conter espaços. O valor geralmente é um endereço de e-mail ou um nome de entidade principal de usuário (UPN). Não deve ser um valor que inclua um espaço, como o nome de exibição de um usuário. + **`Attribute`elemento com o `Name` atributo definido como https://aws.amazon.com/SAML/ Attributes/:Email PrincipalTag —** Esse elemento contém um elemento `AttributeValue` que fornece o endereço de e-mail do usuário. O valor deve corresponder ao endereço de e-mail WorkSpaces do usuário, conforme definido no WorkSpaces diretório. Os valores da etiqueta podem incluir combinações de letras, números, espaços e caracteres `_ . : / = + - @`. Para obter mais informações, consulte [Rules for tagging in IAM and AWS STS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_tags.html#id_tags_rules) no *Guia do usuário do AWS Identity and Access Management *. + **`Attribute`Elemento (opcional) com o `Name` https://aws.amazon.com/SAML/ atributo definido como Attributes/PrincipalTag: UserPrincipalName** — Esse elemento contém um `AttributeValue` elemento que fornece o Active Directory `userPrincipalName` para o usuário que está fazendo login. O valor deve ser fornecido no formato `username@domain.com`. Este parâmetro é usado com autenticação baseada em certificado como Nome Alternativo do Assunto no certificado do usuário final. Para obter mais informações, consulte [Autenticação baseada em certificado e pessoal WorkSpaces](certificate-based-authentication.md). + **`Attribute`Elemento (opcional) com o `Name` https://aws.amazon.com/SAML/ atributo definido como Attributes/PrincipalTag: ObjectSid (opcional)** — Esse elemento contém um `AttributeValue` elemento que fornece o identificador de segurança do Active Directory (SID) para o usuário que está fazendo login. Esse parâmetro é usado com a autenticação baseada em certificado para permitir um mapeamento forte para o usuário do Active Directory. Para obter mais informações, consulte [Autenticação baseada em certificado e pessoal WorkSpaces](certificate-based-authentication.md). + **`Attribute`Elemento (opcional) com o `Name` https://aws.amazon.com/SAML/ atributo definido como Attributes/:Domain PrincipalTag —** Esse elemento contém um elemento `AttributeValue` que fornece o nome de domínio totalmente qualificado (FQDN) do Active Directory DNS para usuários que fazem login. Esse parâmetro é usado com autenticação baseada em certificado quando o Active Directory `userPrincipalName` do usuário contém um sufixo alternativo. O valor deve ser fornecido no formato `domain.com` e deve incluir quaisquer subdomínios. + **`Attribute`Elemento (opcional) com o `Name` https://aws.amazon.com/SAML/ atributo definido como Attributes/ SessionDuration** — Esse elemento contém um `AttributeValue` elemento que especifica o tempo máximo em que uma sessão de streaming federada para um usuário pode permanecer ativa antes que a reautenticação seja necessária. O valor padrão é de `3600` segundos (60 minutos). Para obter mais informações, consulte o [SAML SessionDurationAttribute](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml_assertions.html#saml_role-session-duration) no *Guia do AWS Identity and Access Management usuário*. **nota** Embora `SessionDuration` seja um atributo opcional, recomendamos incluí-lo na resposta SAML. Se você não especificar esse atributo, a duração da sessão será definida como um valor padrão de `3600` segundos (60 minutos). WorkSpaces as sessões de desktop são desconectadas após a expiração da duração da sessão. Para obter mais informações sobre como configurar esses elementos, consulte [Configuring SAML assertions for the authentication response](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml_assertions.html) no *Guia de usuário do AWS Identity and Access Management *. Para obter informações sobre requisitos de configuração específicos do seu IdP, consulte a documentação do seu IdP. ## Etapa 8: configurar o estado de retransmissão da federação Use seu IdP para configurar o estado de retransmissão da sua federação para apontar para a URL do estado de retransmissão do diretório WorkSpaces Pool. Após a autenticação bem-sucedida AWS, o usuário é direcionado ao endpoint do diretório WorkSpaces Pool, definido como o estado de retransmissão na resposta de autenticação SAML. O URL do estado de retransmissão tem o seguinte formato: ``` https://relay-state-region-endpoint/sso-idp?registrationCode=registration-code ``` A tabela a seguir lista os endpoints do estado de retransmissão para AWS as regiões em que a autenticação WorkSpaces SAML 2.0 está disponível. AWS As regiões nas quais o recurso WorkSpaces Pools não está disponível foram removidas. | Região | Endpoint de estado de retransmissão | | --- | --- | | Região Leste dos EUA (Norte da Virgínia) | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/workspaces/latest/adminguide/create-directory-pools.html) | | Região Oeste dos EUA (Oregon) | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/workspaces/latest/adminguide/create-directory-pools.html) | | Região Ásia-Pacífico (Mumbai) | workspaces.euc-sso.ap-south-1.aws.amazon.com | | Região Ásia-Pacífico (Seul) | https://workspaces.ap-northeast-2.amazonaws.com | | Região Ásia-Pacífico (Singapura) | https://workspaces.ap-southeast-1.amazonaws.com | | Região Ásia-Pacífico (Sydney) | https://workspaces.ap-southeast-2.amazonaws.com | | Região Ásia-Pacífico (Tóquio) | https://workspaces.ap-northeast-1.amazonaws.com | | Região Canadá (Central) | workspaces.euc-sso.ca-central-1.aws.amazon.com | | Região Europa (Frankfurt) | workspaces.euc-sso.eu-central-1.aws.amazon.com | | Região Europa (Irlanda) | workspaces.euc-sso.eu-west-1.aws.amazon.com | | Região Europa (Londres) | workspaces.euc-sso.eu-west-2.aws.amazon.com | | Região América do Sul (São Paulo) | workspaces.euc-sso.sa-east-1.aws.amazon.com | | AWS GovCloud (Oeste dos EUA) | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/workspaces/latest/adminguide/create-directory-pools.html) Para obter informações sobre como trabalhar com SAML IdPs em AWS GovCloud (US) Regions, consulte o *Guia do usuário da [Amazon WorkSpaces](https://docs.aws.amazon.com/govcloud-us/latest/UserGuide/govcloud-workspaces.html)AWS GovCloud (EUA)*. | | AWS GovCloud (Leste dos EUA) | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/workspaces/latest/adminguide/create-directory-pools.html) Para obter informações sobre como trabalhar com SAML IdPs em AWS GovCloud (US) Regions, consulte o *Guia do usuário da [Amazon WorkSpaces](https://docs.aws.amazon.com/govcloud-us/latest/UserGuide/govcloud-workspaces.html)AWS GovCloud (EUA)*. | ## Etapa 9: Habilitar a integração com o SAML 2.0 em seu diretório WorkSpace Pool Conclua o procedimento a seguir para habilitar a autenticação SAML 2.0 para o diretório WorkSpaces Pool. 1. Abra o WorkSpaces console em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação, selecione **Directories**. 1. Selecione a guia **Diretórios de grupos**. 1. Selecione o ID do diretório que você quer editar. 1. Selecione **Editar** na seção **Autenticação** da página. 1. Selecione **Editar provedor de identidades SAML 2.0**. 1. Para o **URL de acesso do usuário**, que às vezes é conhecido como “URL de SSO”, substitua o valor do espaço reservado pelo URL de SSO fornecido a você pelo seu IdP. 1. No **Nome do parâmetro de link profundo do IdP**, insira o parâmetro que seja aplicável ao IdP e à aplicação que você configurou. O valor padrão é de `RelayState` se você omitir o nome do parâmetro. A tabela a seguir lista os nomes dos parâmetros de acesso do usuário URLs e do link direto que são exclusivos de vários provedores de identidade para aplicativos. [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/workspaces/latest/adminguide/create-directory-pools.html) 1. Escolha **Salvar**. **Importante** Revogar o SAML 2.0 de um usuário não desconectará diretamente sua sessão. O usuário será removidoa somente após o início do tempo limite. Eles também podem encerrá-lo usando a [ TerminateWorkspacesPoolSession](https://docs.aws.amazon.com//workspaces/latest/api/API_TerminateWorkspacesPoolSession.html)API. ## Solução de problemas As informações a seguir podem ajudá-lo a solucionar problemas específicos com seus WorkSpaces Pools. ### Estou recebendo uma mensagem “Não é possível fazer login” no cliente WorkSpaces Pools depois de concluir a autenticação SAML O `nameID` e `PrincipalTag:Email` nas declarações SAML precisam corresponder ao nome de usuário e e-mail configurados no Active Directory. Alguns IdPs podem exigir uma atualização ou reimplantação após o ajuste de determinados atributos. Se você fizer um ajuste e ele não estiver refletido na captura do SAML, consulte a documentação ou o programa de suporte do seu IdP sobre as etapas específicas necessárias para que a alteração entre em vigor. # Especifique os detalhes do Active Directory para seu diretório de WorkSpaces Pools Neste tópico, mostramos como especificar os detalhes do Active Directory (AD) na página **Criar diretório WorkSpaces Pool** do WorkSpaces console. Ao criar seu diretório WorkSpaces Pool, você deve especificar os detalhes do AD se planeja usar um AD com seus WorkSpaces Pools. Você não pode editar a **Configuração do Active Directory** para seu diretório WorkSpaces Pools depois de criá-lo. Veja a seguir um exemplo da seção **Configuração do Active Directory** da página **Criar diretório WorkSpaces Pool**. ![\[A seção Configuração do Active Directory da página Criar diretório WorkSpaces Pool\]](http://docs.aws.amazon.com/pt_br/workspaces/latest/adminguide/images/pools-wsp-active-directory-config.png) **nota** O processo completo para criar um diretório WorkSpaces Pool está descrito no [Configure o SAML 2.0 e crie um diretório de WorkSpaces pools](create-directory-pools.md) tópico. Os procedimentos descritos nesta página representam somente um subconjunto de etapas do processo completo de criação de um diretório WorkSpaces Pool. **Topics** + [Especifique a unidade organizacional e o nome de domínio do diretório para seu AD](#pools-specify-ou-and-directory-domain) + [Especifique a conta de serviço para o AD](#pools-specify-access-account) ## Especifique a unidade organizacional e o nome de domínio do diretório para seu AD Conclua o procedimento a seguir para especificar uma unidade organizacional (OU) e um nome de domínio de diretório para seu AD na página **Criar um diretório WorkSpaces Pool**. 1. Em **Unidade Organizacional**, insira a OU à qual o pool pertence. WorkSpace as contas de máquina são colocadas na unidade organizacional (OU) que você especifica para o diretório WorkSpaces Pool. **nota** O nome da OU não pode conter espaços. Se você especificar um nome de UO que contenha espaços, quando ela tentar se juntar novamente ao domínio do Active Directory, WorkSpaces não poderá alternar os objetos do computador corretamente e a reassociação ao domínio não funcionará. 1. Em **Directory Name**, informe o nome do domínio totalmente qualificado (FQDN) do domínio do Active Directory (por exemplo, `corp.example.com`). Cada AWS região pode ter somente um valor de configuração de diretório com um nome de diretório específico. + Você pode unir seus diretórios WorkSpaces Pool a domínios no Microsoft Active Directory. Você também pode usar seus domínios existentes do Active Directory, baseados na nuvem ou no local, para iniciar a associação ao domínio. WorkSpaces + Você também pode usar AWS Directory Service for Microsoft Active Directory, também conhecido como AWS Managed Microsoft AD, para criar um domínio do Active Directory. Em seguida, você pode usar esse domínio para oferecer suporte aos seus WorkSpaces recursos. + Ao WorkSpaces ingressar no seu domínio do Active Directory, você pode: + Permitir que os usuários e os aplicativos acessem os recursos do Active Directory, como impressoras e compartilhamentos de arquivos, em sessões de streaming. + Use as configurações da Group Policy (Política de grupo) disponíveis no Console de Gerenciamento de Diretiva de Grupo (GPMC) para definir a experiência do usuário final. + Transmitir aplicativos que requerem autenticação dos usuários usando suas credenciais de login do Active Directory. + Aplicar sua conformidade empresarial e políticas de segurança a suas instâncias de streaming do WorkSpaces . 1. Para a **conta de serviço**, vá para a [Especifique a conta de serviço para o AD](#pools-specify-access-account) próxima seção desta página. ## Especifique a conta de serviço para o AD Ao configurar o Active Directory (AD) para seus WorkSpaces Pools como parte do processo de criação do diretório, você deve especificar a conta de serviço do AD a ser usada para gerenciar o AD. Isso exige que você forneça as credenciais da conta de serviço, que devem ser armazenadas AWS Secrets Manager e criptografadas usando uma chave AWS Key Management Service (AWS KMS) gerenciada pelo cliente. Nesta seção, mostramos como criar a chave gerenciada pelo AWS KMS cliente e o segredo do Secrets Manager para armazenar as credenciais da sua conta de serviço do AD. ### Etapa 1: criar uma chave gerenciada pelo AWS KMS cliente Conclua o procedimento a seguir para criar uma chave gerenciada pelo AWS KMS cliente 1. Abra o AWS KMS console em [https://console.aws.amazon.com/kms](https://console.aws.amazon.com/kms). 1. Para alterar o Região da AWS, use o seletor de região no canto superior direito da página. 1. Escolha **Criar uma chave** e, em seguida, **Próximo**. 1. Em **Uso da chave**, escolha **Criptografar e descriptografar** e, em seguida, escolha **Próximo**. 1. Insira um alias para a chave, como `WorkSpacesPoolDomainSecretKey`, e escolha **Próximo**. 1. Não escolha um administrador de chave. Escolha **Próximo** para continuar. 1. Na página Definir permissões de uso da chave: Escolha **Próximo** para continuar. 1. Na seção Key Policy (Política de chaves) da página, adicione o seguinte: ``` { "Sid": "Allow access for Workspaces SP", "Effect": "Allow", "Principal": { "Service": "workspaces.amazonaws.com" }, "Action": "kms:Decrypt", "Resource": "*" } ``` O resultado será algo semelhante a este exemplo: ![\[Um exemplo de uma política AWS KMS fundamental.\]](http://docs.aws.amazon.com/pt_br/workspaces/latest/adminguide/images/kms-key-policy-for-wsp-pools-service-account.png) 1. Escolha **Terminar**. Sua chave gerenciada pelo AWS KMS cliente agora está pronta para ser usada com o Secrets Manager. Continue até a seção [Etapa 2: Crie o segredo do Secrets Manager para armazenar as credenciais da sua conta de serviço do AD](#pools-create-asm-secret) desta página. ### Etapa 2: Crie o segredo do Secrets Manager para armazenar as credenciais da sua conta de serviço do AD Complete o procedimento a seguir para criar um segredo do Secrets Manager para armazenar as credenciais da conta do serviço do AD. 1. Abra o AWS Secrets Manager console em [https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/). 1. Selecione **Create a new secret (Criar um segredo)**. 1. Selecione **Outro tipo de segredo**. 1. Para o primeiro key/value par, insira `Service Account Name` a chave e o nome da conta de serviço para o valor, como`domain\username`. 1. Para o segundo key/value par, insira a `Service Account Password` para a chave e a senha da conta de serviço para o valor. 1. Para a chave de criptografia, escolha a chave gerenciada pelo AWS KMS cliente que você criou anteriormente e, em seguida, escolha **Avançar**. 1. Digite um nome para o segredo, como `WorkSpacesPoolDomainSecretAD`. 1. Escolha **Editar permissões** na seção **Permissões de recursos** da página. 1. Insira a seguinte política de permissão: ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": [ "workspaces.amazonaws.com" ] }, "Action": "secretsmanager:GetSecretValue", "Resource": "*" } ] } ``` ------ 1. Escolha **Salvar** para salvar a política de permissão. 1. Escolha **Próximo** para continuar. 1. Não configure a rotação automática. Escolha **Próximo** para continuar. 1. Escolha **Armazenar** para terminar de armazenar seu segredo. As credenciais da conta do serviço do AD agora estão armazenadas no Secrets Manager. Continue até a seção [Etapa 3: selecione o segredo do Secrets Manager que contém as credenciais da conta do serviço do AD](#continue-creating-pools-directory) desta página. ### Etapa 3: selecione o segredo do Secrets Manager que contém as credenciais da conta do serviço do AD Conclua o procedimento a seguir para selecionar o segredo do Secrets Manager que você criou na configuração do Active Directory para seu diretório WorkSpaces Pool. + Em **Conta de serviço**, escolha o AWS Secrets Manager segredo que contém as credenciais da sua conta de serviço. Complete as etapas a seguir para criar o segredo, caso ainda não o tenha feito. O segredo deve ser criptografado usando uma chave gerenciada pelo AWS Key Management Service cliente. Agora que você preencheu todos os campos na seção **Configuração do Active Directory** da página **Criar diretório WorkSpaces Pool**, você pode continuar a concluir a criação do seu diretório WorkSpaces Pool. Vá para [Etapa 4: Criar diretório WorkSpace Pool](create-directory-pools.md#saml-directory-create-wsp-pools-directory) para a etapa 9 do procedimento e inicie-a. # Atualize os detalhes do diretório de seus WorkSpaces Pools Você pode concluir as seguintes tarefas de gerenciamento de diretórios usando o console WorkSpaces Pools. ## Autenticação Você pode configurar opções adicionais de autenticação para seus WorkSpaces Pools. Os pools exigem autenticação SAML 2.0. **Para habilitar e configurar a autenticação SAML 2.0 Identity Provider** 1. Abra o WorkSpaces console em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação, selecione **Directories**. 1. Escolha o diretório que você deseja configurar. 1. Vá para autenticação e escolha **Editar**. 1. Selecione **Editar provedor de identidades SAML 2.0**. 1. Desmarque a caixa **Habilitar autenticação SAML 2.0**. 1. Insira o **URL de acesso do usuário** para direcionar o cliente WorkSpaces Pools durante o login federado. 1. Insira o **nome do parâmetro do link direto do IdP** (opcional). 1. Escolha **Salvar**. **Habilitar a autenticação baseada em certificado** 1. Abra o WorkSpaces console em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação, selecione **Directories**. 1. Escolha o diretório que você deseja configurar. 1. Vá para Autenticação e escolha **Editar**. 1. Escolha **Editar autenticação baseada em certificado**. 1. Desmarque a caixa **Habilitar autenticação baseada em certificado**. 1. Escolha no menu suspenso **AWS Certificate Manager (ACM) Private Certificate Authority (CA)**. 1. Escolha **Salvar**. ## Grupo de segurança Aplique um grupo de segurança aos seus WorkSpaces Pools em seu diretório. **Para configurar o grupo de segurança para seus WorkSpaces Pools** 1. Abra o WorkSpaces console em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação, selecione **Directories**. 1. Escolha o diretório que você deseja configurar. 1. Vá para o grupo de segurança e escolha **Editar**. 1. Escolha um Security group na lista. ## Configuração do Active Directory Configure seu diretório Active Directory Config com uma Unidade Organizacional (OU), nome de domínio do diretório e AWS segredo do Secrets Manager. **Para conectar ao seu Active Directory** 1. Abra o WorkSpaces console em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação, selecione **Directories**. 1. Escolha o diretório que você deseja configurar. 1. Vá para Configuração do Active Directory e escolha **Editar**. 1. Para encontrar uma Unidade Organizacional (OU), você pode começar a digitar todo ou parte do nome da OU e escolher a OU que deseja usar. **nota** (Opcional) Depois de escolher a OU, reconstrua a existente WorkSpaces para atualizar a OU. Para obter mais informações, consulte [Reconstruir um WorkSpace no WorkSpaces Personal](rebuild-workspace.md). 1. Escolha **Salvar**. **nota** O nome de domínio do diretório e o segredo do AWS Secrets Manager não podem ser editados após a criação do pool. ## Propriedades de streaming Configure como seus usuários podem transferir dados entre o dispositivo agrupado WorkSpace e o dispositivo local. **Para configurar as propriedades de streaming** 1. Abra o WorkSpaces console em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação, selecione **Directories**. 1. Escolha o diretório que você deseja configurar. 1. Acesse Propriedades de streaming e escolha **Editar**. 1. Configure as seguintes propriedades: + Permissões da área transferência + Chave mestra: escolha uma das seguintes na lista suspensa: + **Permitir copiar e colar**: permite copiar para o dispositivo local e colar na sessão remota. + **Permitir colar na sessão remota**: permite colar na sessão remota. + **Permitir cópia para um dispositivo local**: permite copiar para um dispositivo local. + Desabilitado + Escolha se permite ou não imprimir para um dispositivo local. + Escolha permitir ou não permitir o registro em log de diagnóstico. + Escolha permitir ou não permitir o login com cartão inteligente. + Para habilitar o Armazenamento de pastas pessoais, escolha **Habilitar pastas pessoais**. 1. Escolha **Salvar**. ## perfil do IAM Selecione uma função do IAM para seus WorkSpaces grupos. **Selecione um perfil do IAM.** 1. Abra o WorkSpaces console em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação, selecione **Directories**. 1. Escolha o diretório que você deseja configurar. 1. Acesse o perfil do IAM e escolha **Editar**. 1. Escolha um perfil do IAM na lista suspensa. Para criar uma nova perfil do IAM, escolha **Create a New Role**. 1. Escolha **Salvar**. ## Tags Adicione novas tags às suas WorkSpaces piscinas **Para adicionar um novo perfil** 1. Abra o WorkSpaces console em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação, selecione **Directories**. 1. Escolha o diretório que você deseja configurar. 1. Vá até Tags e escolha **Manage tags**. 1. Selecione **Add tags** e insira as tags que você deseja usar. Uma chave pode ser uma categoria geral, como "projeto", "proprietário" ou "ambiente", com valores específicos associados. 1. Escolha **Salvar alterações**. # Excluir um diretório de WorkSpaces Pools Conclua os procedimentos a seguir para excluir um diretório de WorkSpaces Pools. 1. Abra o WorkSpaces console em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação, selecione **Directories**. 1. Selecione o diretório. 1. Selecione **Ações**, **Excluir**. 1. Quando a confirmação for solicitada, insira **delete** o texto de confirmação e escolha **Excluir**. # Redes e acesso para o WorkSpaces Pools Os tópicos a seguir fornecem informações sobre como permitir que os usuários se conectem aos WorkSpaces Pools e como permitir que os WorkSpaces Pools acessem os recursos de rede e a Internet. **Topics** + [Acesso à Internet para pools do WorkSpaces](internet-access.md) + [Configurar uma VPC para WorkSpaces Pools](appstream-vpc.md) + [Configure a autorização do FedRAMP ou a conformidade com o SRG do DoD para pools WorkSpaces](fips-encryption-pools.md) + [Usando endpoints VPC do Amazon S3 para recursos de pools WorkSpaces](managing-network-vpce-iam-policy.md) + [Conexões com sua VPC para pools WorkSpaces](pools-port-requirements.md) + [Conexões de usuários com WorkSpaces pools](user-connections-to-appstream2.md) # Acesso à Internet para pools do WorkSpaces Se os WorkSpaces nos pools do WorkSpaces precisarem de acesso à internet, será possível habilitá-los de várias maneiras. Ao escolher um método para habilitar o acesso à internet, considere o número de usuários ao qual sua implantação deverá oferecer suporte e suas metas de implantação. Por exemplo: + Se a implantação precisar oferecer suporte a mais de 100 usuários simultâneos, [configure uma VPC com sub-redes privadas e um gateway NAT.](managing-network-internet-NAT-gateway.md) + Se a implantação precisar oferecer suporte a menos de 100 usuários simultâneos, você poderá [configurar uma VPC nova ou existente com uma sub-rede pública](managing-network-default-internet-access.md). + Se a implantação precisar oferecer suporte a menos de 100 usuários simultâneos e se você for iniciante no WorkSpaces Pools e quiser começar a usar o serviço, poderá [usar a VPC, a sub-rede pública e o grupo de segurança padrão](managing-network-default-internet-access.md). As seções a seguir oferecem mais informações sobre cada uma dessas opções de implantação. + [Configurar uma VPC com sub-redes privadas e um gateway NAT](managing-network-internet-NAT-gateway.md) (recomendado) — com essa configuração, você inicia seus construtores de WorkSpaces Pools em uma sub-rede privada e configura um gateway NAT em uma sub-rede pública na sua VPC. As instâncias de streaming recebem um endereço IP privado que não é acessível diretamente pela Internet. Além disso, ao contrário das configurações que usam a opção **Acesso padrão à Internet** para habilitar o acesso à Internet, a configuração NAT não se limita a 100 WorkSpaces no WorkSpaces Pools. Se sua implementação precisar dar suporte a mais de 100 usuários simultâneos, utilize essa configuração. Você pode criar e configurar uma nova VPC para usar com um gateway NAT ou adicionar um gateway NAT a uma VPC existente. + [Configurar uma VPC nova ou existente com uma sub-rede pública](managing-network-default-internet-access.md): com essa configuração, você inicia seus pools de WorkSpaces em uma sub-rede pública. Quando você habilita essa opção, o WorkSpaces Pools usa o gateway da Internet em sua sub-rede pública do Amazon VPC para fornecer a conexão com a internet. As instâncias de streaming recebem um endereço IP público acessível diretamente pela Internet. Você pode criar uma nova VPC ou configurar uma existente para essa finalidade. **nota** Ao configurar uma VPC nova ou existente com uma sub-rede pública, há suporte para um máximo de 100 WorkSpaces nos WorkSpaces Pools. Se a implantação precisar oferecer suporte a mais de 100 usuários simultâneos, use a [configuração do gateway NAT](managing-network-internet-NAT-gateway.md). + [Usar a VPC padrão, a sub-rede pública e o grupo de segurança](default-vpc-with-public-subnet.md): se você for iniciante no WorkSpaces Pools e quiser começar a usar o serviço, inicialize o WorkSpaces Pools em uma sub-rede pública padrão. Quando você habilita essa opção, o WorkSpaces Pools usa o gateway da Internet em sua sub-rede pública do Amazon VPC para fornecer a conexão com a internet. As instâncias de streaming recebem um endereço IP público acessível diretamente pela Internet. As VPCs padrão estão disponíveis em contas da Amazon Web Services criadas a partir de 4 de dezembro de 2013. A VPC padrão inclui uma sub-rede pública padrão em cada zona de disponibilidade e um gateway de Internet conectado à VPC. A VPC também inclui um grupo de segurança padrão. **nota** Quando você usa a VPC, a sub-rede pública e o grupo de segurança padrão, há suporte para um máximo de 100 WorkSpaces nos WorkSpaces Pools. Se a implantação precisar oferecer suporte a mais de 100 usuários simultâneos, use a [configuração do gateway NAT](managing-network-internet-NAT-gateway.md). # Configurar uma VPC para WorkSpaces Pools Ao configurar o WorkSpaces Pools, você deve especificar a nuvem privada virtual (VPC) e pelo menos uma sub-rede na qual executar o WorkSpaces. Uma VPC é uma rede virtual em sua própria área logicamente isolada dentro da Nuvem Amazon Web Services. Uma sub-rede é um intervalo de endereços IP na VPC. Ao configurar sua VPC para o WorkSpaces Pools, você pode especificar sub-redes públicas ou privadas ou uma combinação de ambos os tipos de sub-redes. Uma sub-rede pública tem acesso direto à Internet por meio de um gateway de Internet. Uma sub-rede privada, que não tem uma rota para um gateway de Internet, requer um gateway NAT (Network Address Translation) ou uma instância NAT para fornecer acesso à Internet. **Topics** + [Recomendações de configuração de VPC para pools WorkSpaces](vpc-setup-recommendations.md) + [Configurar uma VPC com sub-redes privadas e um gateway NAT](managing-network-internet-NAT-gateway.md) + [Configurar uma VPC nova ou existente com uma sub-rede pública](managing-network-default-internet-access.md) + [Usar a VPC padrão, a sub-rede pública e o grupo de segurança](default-vpc-with-public-subnet.md) # Recomendações de configuração de VPC para pools WorkSpaces Ao criar um WorkSpaces pool, você especifica a VPC e uma ou mais sub-redes a serem usadas. Você pode fornecer controle de acesso adicional à sua VPC especificando grupos de segurança. As recomendações a seguir podem ajudá-lo a configurar sua VPC de forma mais eficaz e segura. Além disso, eles podem ajudá-lo a configurar um ambiente que ofereça suporte ao escalonamento efetivo de WorkSpaces pools. Com o escalonamento efetivo de WorkSpaces pools, você pode atender à demanda atual e prevista dos WorkSpaces usuários, evitando o uso desnecessário de recursos e os custos associados. **Configuração geral da VPC** + Certifique-se de que sua configuração de VPC seja compatível com suas necessidades de escalabilidade de WorkSpaces pools. Ao desenvolver seu plano de escalonamento de WorkSpaces pools, lembre-se de que um usuário precisa de um WorkSpaces. Portanto, o tamanho dos seus WorkSpaces Pools determina o número de usuários que podem transmitir simultaneamente. Por esse motivo, para cada [tipo de instância](instance-types.md) que você planeja usar, certifique-se de que o número WorkSpaces que sua VPC pode suportar seja maior do que o número de usuários simultâneos previstos para o mesmo tipo de instância. + Certifique-se de que as cotas de sua conta WorkSpaces Pools (também chamadas de limites) sejam suficientes para atender à demanda prevista. Para solicitar um aumento de cota, você pode usar o console Service Quotas em. [https://console.aws.amazon.com/servicequotas/](https://console.aws.amazon.com/servicequotas/) Para obter informações sobre as cotas padrão de WorkSpaces Pools, consulte[WorkSpaces Cotas da Amazon](workspaces-limits.md). + Se você planeja fornecer acesso à Internet aos seus WorkSpaces in WorkSpaces Pools, recomendamos que você configure uma VPC com duas sub-redes privadas para suas instâncias de streaming e um gateway NAT em uma sub-rede pública. O gateway NAT permite que suas WorkSpaces sub-redes privadas se conectem à Internet ou a outros serviços. AWS No entanto, impede que a Internet inicie uma conexão com eles WorkSpaces. Além disso, diferentemente das configurações que usam a opção **Acesso padrão à Internet** para habilitar o acesso à Internet, a configuração NAT suporta mais de 100. WorkSpaces Para obter mais informações, consulte [Configurar uma VPC com sub-redes privadas e um gateway NAT](managing-network-internet-NAT-gateway.md). **Interfaces de rede elástica** + WorkSpaces Os pools criam tantas interfaces de [rede elásticas (interfaces](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_ElasticNetworkInterfaces.html) de rede) quanto a capacidade máxima desejada de seus WorkSpaces pools. Por padrão, o limite para interfaces de rede por região é 5000. Ao planejar a capacidade para implantações muito grandes, por exemplo, milhares de WorkSpaces, considere o número de instâncias do Amazon EC2 que também são usadas na mesma região. **Sub-redes** + Se você estiver configurando mais de uma sub-rede privada para sua VPC, configure cada uma em uma zona de disponibilidade diferente. Isso aumenta a tolerância a falhas e pode ajudar a evitar erros de capacidade insuficiente. Se você usar duas sub-redes na mesma AZ, poderá ficar sem endereços IP, porque os WorkSpaces pools não usarão a segunda sub-rede. + Verifique se os recursos de rede necessários para seus aplicativos podem ser acessados com ambas as sub-redes privadas. + Configure cada uma das sub-redes privadas com uma máscara de sub-rede que permita endereços IP de cliente suficientes para contabilizar o número máximo de usuários simultâneos esperados. Além disso, permita endereços IP adicionais para contabilizar o crescimento previsto. Para obter mais informações, consulte [Dimensionamento de VPC e sub-rede](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Subnets.html#vpc-sizing-ipv4) para. IPv4 + Se você estiver usando uma VPC com NAT, configure pelo menos uma sub-rede pública com um gateway NAT para acesso à Internet, de preferência duas. Configure as sub-redes públicas nas mesmas zonas de disponibilidade onde residem suas sub-redes privadas. Para aumentar a tolerância a falhas e reduzir a chance de erros de capacidade insuficientes em grandes implantações de WorkSpaces pools, considere estender sua configuração de VPC para uma terceira zona de disponibilidade. Inclua uma sub-rede privada, uma sub-rede pública e um gateway NAT nessa zona de disponibilidade adicional. **Grupos de segurança** + Use grupos de segurança para fornecer controle de acesso adicional à sua VPC. Os grupos de segurança que pertencem à sua VPC permitem que você controle o tráfego de rede entre WorkSpaces pools, instâncias de streaming e recursos de rede exigidos pelos aplicativos. Esses recursos podem incluir outros AWS serviços, como Amazon RDS ou Amazon FSx, servidores de licenças, servidores de banco de dados, servidores de arquivos e servidores de aplicativos. + Verifique se os grupos de segurança fornecem acesso aos recursos de rede que os aplicativos exigem. Para obter informações gerais sobre grupos de segurança, consulte [Controle o tráfego para seus AWS recursos usando grupos de segurança](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-security-groups.html) no Guia do *usuário da Amazon VPC*. # Configurar uma VPC com sub-redes privadas e um gateway NAT Se você planeja fornecer acesso à Internet aos seus WorkSpaces in WorkSpaces Pools, recomendamos que você configure uma VPC com duas sub-redes privadas para você WorkSpaces e um gateway NAT em uma sub-rede pública. Você pode criar e configurar uma nova VPC para usar com um gateway NAT ou adicionar um gateway NAT a uma VPC existente. Para obter recomendações adicionais de configuração da VPC, consulte [Recomendações de configuração de VPC para pools WorkSpaces](vpc-setup-recommendations.md). O gateway NAT permite que suas WorkSpaces sub-redes privadas se conectem à Internet ou a outros AWS serviços, mas impede que a Internet inicie uma conexão com elas. WorkSpaces Além disso, diferentemente das configurações que usam a opção **Acesso padrão à Internet** para habilitar o acesso à Internet WorkSpaces, essa configuração não está limitada a 100 WorkSpaces. Para obter informações sobre como usar gateways NAT e essa configuração, consulte [Gateways NAT](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-nat-gateway.html) e [Exemplo: VPC com servidores em sub-redes privadas e NAT](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Scenario2.html) no *Guia do usuário do Amazon VPC*. **Topics** + [Criar e configurar uma nova VPC](create-configure-new-vpc-with-private-public-subnets-nat.md) + [Adicionar um gateway NAT a uma VPC existente](add-nat-gateway-existing-vpc.md) + [Habilitar o acesso à Internet para WorkSpaces piscinas](managing-network-manual-enable-internet-access.md) # Criar e configurar uma nova VPC Este tópico descreve como usar o assistente da VPC para criar uma VPC com uma sub-rede pública e uma sub-rede privada. Como parte desse processo, o assistente cria um gateway de Internet e um gateway NAT. Ele também cria uma tabela de rota personalizada associada à sub-rede pública e atualiza a tabela de rota principal associada à sub-rede privada. O gateway NAT é criado automaticamente na sub-rede pública de sua VPC. Depois de usar o assistente para criar a configuração inicial da VPC, você adicionará uma segunda sub-rede privada. Para obter mais informações sobre essa configuração, consulte [Exemplo: VPC com servidores em sub-redes privadas e NAT](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Scenario2.html) no *Guia do usuário do Amazon VPC*. **nota** Se você já tiver uma VPC, conclua as etapas em [Adicionar um gateway NAT a uma VPC existente](add-nat-gateway-existing-vpc.md). **Topics** + [Etapa 1: Alocar um endereço IP elástico](#allocate-elastic-ip) + [Etapa 2: criar uma nova VPC](#vpc-with-private-and-public-subnets-nat) + [Etapa 3: Adicionar uma segunda sub-rede privada](#vpc-with-private-and-public-subnets-add-private-subnet-nat) + [Etapa 4: verificar e nomear as tabelas de rota de sub-rede](#verify-name-route-tables) ## Etapa 1: Alocar um endereço IP elástico Antes de criar sua VPC, você deve alocar um endereço IP elástico na sua região. WorkSpaces Primeiro, você deve alocar um endereço IP elástico para uso em sua VPC e, depois, associá-lo ao gateway NAT. Para obter mais informações, consulte [Endereços IP elásticos](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-eips.html) no *Guia do usuário do Amazon VPC*. **nota** Cobranças podem ser aplicadas aos endereços IP elásticos que você usa. Para obter mais informações, consulte [Endereços IP elásticos](https://docs.aws.amazon.com/ec2/pricing/on-demand/#Elastic_IP_Addresses) na página de preços do Amazon EC2. Conclua as etapas a seguir se você ainda não tiver um endereço IP elástico. Se desejar usar um endereço IP elástico existente, verifique se, no momento, ele não está associado a outra instância ou interface de rede. **Para alocar um endereço IP elástico** 1. Abra o console do Amazon EC2 em [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/). 1. No painel de navegação, em **Rede e Segurança**, escolha **Elastic IPs**. 1. Escolha **Allocate New Address (Alocar novo endereço)** e **Allocate (Alocar)**. 1. Anote o endereço IP elástico. 1. No canto superior direito do IPs painel **elástico**, clique no ícone X para fechar o painel. ## Etapa 2: criar uma nova VPC Conclua as etapas a seguir para criar uma nova VPC com uma sub-rede pública e uma sub-rede privada. **Como criar uma nova VPC** 1. Abra o console da Amazon VPC em [https://console.aws.amazon.com/vpc/](https://docs.aws.amazon.com/vpc/). 1. No painel de navegação, escolha **VPC Dashboard (Painel da VPC)**. 1. Selecione **Launch VPC Wizard (Iniciar o assistente de VPC)**. 1. Em **Step 1: Select a VPC Configuration (Etapa 1: selecionar uma configuração de VPC)**, escolha **VPC with Public and Private Subnets (VPC com sub-redes públicas e privadas)** e **Select (Selecionar)**. 1. Em **Step 2: VPC with Public and Private Subnets (VPC com sub-redes públicas e privadas)**, configure a VPC da seguinte forma: + Para o **bloco IPv4 CIDR**, especifique um bloco IPv4 CIDR para a VPC. + Para o **bloco IPv6 CIDR**, mantenha o valor padrão, **Sem bloco IPv6 CIDR.** + Em **VPC name (Nome da VPC)**, digite um nome exclusivo para a VPC. 1. Configure a sub-rede pública da seguinte forma: + Para o ** IPv4 CIDR da sub-rede pública**, especifique o bloco CIDR para a sub-rede. + Em **Availability Zone (Zona de disponibilidade)**, mantenha o valor padrão, **No Preference (Sem preferência)**. + Em **Public subnet name (Nome da sub-rede pública)**, digite um nome para a sub-rede; por exemplo, `WorkSpaces Public Subnet`. 1. Configure a primeira sub-rede privada da seguinte forma: + Para o ** IPv4 CIDR da sub-rede privada**, especifique o bloco CIDR para a sub-rede. Anote o valor especificado. + Em **Availability Zone (Zona de disponibilidade)**, selecione uma zona específica e anote a zona selecionada. + Em **Private subnet name (Nome da sub-rede privada)**, digite um nome para a sub-rede; por exemplo, `WorkSpaces Private Subnet1`. + Nos campos restantes, quando aplicável, mantenha os valores padrão. 1. Em **Elastic IP Allocation ID (ID de alocação de IP elástico)**, clique na caixa de texto e selecione o valor que corresponde ao endereço IP elástico que você criou. Esse endereço é atribuído ao gateway NAT. Se você não tiver um endereço IP elástico, crie um usando o console da Amazon VPC em. [https://console.aws.amazon.com/vpc/](https://docs.aws.amazon.com/vpc/) 1. Em **Endpoints de serviço**, se um endpoint do Amazon S3 for necessário para seu ambiente, especifique um. Um endpoint do S3 é necessário para fornecer aos usuários acesso a [pastas iniciais](persistent-storage.md#home-folders) ou para habilitar a [persistência de configurações de aplicativo](app-settings-persistence.md) para os usuários em uma rede privada. Para especificar um endpoint do Amazon S3, faça o seguinte: 1. Escolha **Add Endpoint (Adicionar endpoint)**. 1. Em **Serviço**, selecione a entrada na lista que termina com “s3" (a `com.amazonaws.` *region* `.s3` entrada que corresponde à região na qual a VPC está sendo criada). 1. Em **Subnet (Sub-rede)**, escolha **Private subnet (Sub-rede privada)**. 1. Em **Policy (Política)**, mantenha o valor padrão, **Full Access (Acesso total)**. 1. Em **Enable DNS hostnames (Habilitar nomes de host DNS)**, mantenha o valor padrão, **Yes (Sim)**. 1. Em **Hardware tenancy (Locação de hardware)**, mantenha o valor padrão, **Default (Padrão)**. 1. Escolha **Criar VPC**. 1. A configuração de sua VPC demora alguns minutos. Após a criação da VPC, escolha **OK**. ## Etapa 3: Adicionar uma segunda sub-rede privada Na etapa anterior ([Etapa 2: criar uma nova VPC](#vpc-with-private-and-public-subnets-nat)), você criou uma VPC com uma sub-rede pública e uma sub-rede privada. Execute as etapas a seguir para adicionar uma segunda sub-rede privada. Recomendamos que você adicione uma segunda sub-rede privada em uma zona de disponibilidade diferente da primeira sub-rede privada. 1. No painel de navegação, escolha **Sub-redes**. 1. Selecione a primeira sub-rede privada que você criou na etapa anterior. Na guia **Description (Descrição)**, abaixo da lista de sub-redes, anote a zona de disponibilidade dessa sub-rede. 1. No canto superior esquerdo do painel de sub-redes, escolha **Create Subnet (Criar sub-rede)**. 1. Em **Name tag (Tag de nome)**, digite um nome para a sub-rede privada; por exemplo, `WorkSpaces Private Subnet2`. 1. Em **VPC**, selecione a VPC que você criou na etapa anterior. 1. Em **Availability Zone (Zona de disponibilidade)**, selecione uma zona de disponibilidade diferente da que você está usando para sua primeira sub-rede privada. Selecionar uma zona de disponibilidade diferente aumenta a tolerância a falhas e ajuda a evitar erros de capacidade insuficiente. 1. Para o **bloco IPv4 CIDR**, especifique um intervalo exclusivo de blocos CIDR para a nova sub-rede. Por exemplo, se sua primeira sub-rede privada tiver um intervalo de blocos IPv4 CIDR de`10.0.1.0/24`, você poderá especificar um intervalo de blocos CIDR de `10.0.2.0/24` para a nova sub-rede privada. 1. Escolha **Criar**. 1. Depois que a sub-rede for criada, selecione **Close (Fechar)**. ## Etapa 4: verificar e nomear as tabelas de rota de sub-rede Depois de criar e configurar sua VPC, conclua as etapas a seguir para especificar um nome para as tabelas de rota e verificar se: + A tabela de rotas associada à sub-rede em que reside o gateway NAT inclui uma rota que aponta o tráfego da Internet para um gateway da Internet. Isso garante que seu gateway NAT possa acessar a Internet. + As tabelas de rota associadas às sub-redes privadas são configuradas para apontar o tráfego da Internet para o gateway NAT. Isso permite que as instâncias de streaming nas sub-redes privadas se comuniquem com a Internet. 1. No painel de navegação, escolha **Subnets (Sub-redes)** e selecione a sub-rede pública que você criou; por exemplo, `WorkSpaces Public Subnet`. 1. Na **Route Table (Tabela de rotas)**, escolha o ID da tabela de rotas; por exemplo, `rtb-12345678`. 1. Selecione a tabela de rotas. Em **Name (Nome)**, escolha o ícone de edição (lápis), digite um nome (como `workspaces-public-routetable`) e marque a caixa de seleção para salvar o nome. 1. Com a tabela de rotas públicas ainda selecionada, na guia **Routes (Rotas)**, verifique se há uma rota para o tráfego local e outra que envie todo o restante do tráfego para o gateway da Internet da VPC. A tabela a seguir descreve essas duas rotas: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/workspaces/latest/adminguide/create-configure-new-vpc-with-private-public-subnets-nat.html) 1. No painel de navegação, escolha **Subnets (Sub-redes)** e selecione a primeira sub-rede privada que você criou (por exemplo, `WorkSpaces Private Subnet1`). 1. Na **Tabela de rotas**, escolha o ID da tabela de rotas. 1. Selecione a tabela de rotas. Em **Name (Nome)**, escolha o ícone de edição (lápis), insira um nome (como `workspaces-private-routetable`) e marque a caixa de seleção para salvar o nome. 1. Na guia **Routes (Rotas)**, verifique se a tabela de rotas inclui as seguintes rotas: [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/pt_br/workspaces/latest/adminguide/create-configure-new-vpc-with-private-public-subnets-nat.html) 1. No painel de navegação, escolha **Subnets (Sub-redes)** e selecione a segunda sub-rede privada que você criou (por exemplo, `WorkSpaces Private Subnet2`). 1. Na guia **Routes (Rotas)**, verifique se a tabela de rotas é a privada (por exemplo, `workspaces-private-routetable`). Se a tabela de rotas for outra, escolha **Editar** e selecione essa tabela de rotas. **Próximas etapas** Para permitir que seu WorkSpaces in WorkSpaces Pools acesse a Internet, conclua as etapas em[Habilitar o acesso à Internet para WorkSpaces piscinas](managing-network-manual-enable-internet-access.md). # Adicionar um gateway NAT a uma VPC existente Se você já tiver configurado uma VPC, conclua as etapas a seguir para adicionar um gateway NAT à sua VPC. Se você precisar criar uma nova VPC, consulte [Criar e configurar uma nova VPC](create-configure-new-vpc-with-private-public-subnets-nat.md). **Para adicionar um gateway NAT a uma VPC existente** 1. Para criar o gateway NAT, conclua as etapas em [Criar um gateway NAT](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-nat-gateway.html#nat-gateway-creating) no *Guia do usuário do Amazon VPC*. 1. Verifique se a VPC tem pelo menos uma sub-rede privada. É recomendável especificar duas sub-redes privadas de diferentes zonas de disponibilidade para alta disponibilidade e tolerância a falhas. Para obter informações sobre como criar uma segunda sub-rede privada, consulte [Etapa 3: Adicionar uma segunda sub-rede privada](create-configure-new-vpc-with-private-public-subnets-nat.md#vpc-with-private-and-public-subnets-add-private-subnet-nat). 1. Atualize a tabela de rotas associada a uma ou mais de suas sub-redes privadas para apontar o tráfego vinculado à Internet para o gateway NAT. Isso permite que as instâncias de streaming nas sub-redes privadas se comuniquem com a Internet. Para fazer isso, conclua as etapas em [Updating Your Route Table](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-nat-gateway.html#nat-gateway-create-route) no *Guia do usuário do Amazon VPC*. **Próximas etapas** Para permitir que seu WorkSpaces in WorkSpaces Pools acesse a Internet, conclua as etapas em[Habilitar o acesso à Internet para WorkSpaces piscinas](managing-network-manual-enable-internet-access.md). # Habilitar o acesso à Internet para WorkSpaces piscinas Depois que seu gateway NAT estiver disponível em uma VPC, você poderá habilitar o acesso à Internet para WorkSpaces seus pools. Você pode ativar o acesso à Internet ao [criar o diretório WorkSpaces Pool](https://docs.aws.amazon.com/workspaces/latest/adminguide/create-directory-pools.html). Escolha a VPC com o gateway NAT ao criar o diretório. Escolha uma sub-rede privada para a **Sub-rede 1** e, se desejar, outra sub-rede privada para a **Sub-rede 2**. Se você ainda não tiver uma sub-rede privada na VPC, talvez seja necessário criar uma segunda sub-rede privada. Você pode testar sua conectividade com a Internet iniciando seu WorkSpaces Pool e, em seguida, conectando-se a um WorkSpace no pool e navegando na Internet. # Configurar uma VPC nova ou existente com uma sub-rede pública Se você criou sua conta da Amazon Web Services depois de 04/12/2013, você tem uma [VPC](default-vpc-with-public-subnet.md) padrão em cada AWS região que inclui sub-redes públicas padrão. No entanto, talvez você queira criar sua própria VPC não padrão ou configurar uma VPC existente para usar com seu diretório Pool. WorkSpaces Este tópico descreve como configurar uma VPC não padrão e uma sub-rede pública para usar com pools. WorkSpaces Depois de configurar sua VPC e sua sub-rede pública, você pode fornecer aos seus WorkSpaces WorkSpaces grupos acesso à Internet ativando a opção Acesso **padrão à Internet**. Quando você ativa essa opção, os WorkSpaces Pools habilitam a conectividade com a Internet associando um [endereço IP elástico](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/elastic-ip-addresses-eip.html) à interface de rede conectada da instância de streaming à sua sub-rede pública. Um endereço IP elástico é um IPv4 endereço público que pode ser acessado pela Internet. Por esse motivo, recomendamos que você use um gateway NAT para fornecer acesso à Internet aos seus WorkSpaces WorkSpaces pools. Além disso, quando o **Acesso Padrão à Internet** está habilitado, WorkSpaces há suporte para no máximo 100. Se a implantação precisar oferecer suporte a mais de 100 usuários simultâneos, use a [configuração do gateway NAT](managing-network-internet-NAT-gateway.md). Para obter mais informações, consulte as etapas em [Configurar uma VPC com sub-redes privadas e um gateway NAT](managing-network-internet-NAT-gateway.md). Para obter recomendações adicionais de configuração da VPC, consulte [Recomendações de configuração de VPC para pools WorkSpaces](vpc-setup-recommendations.md). **Topics** + [Etapa 1: configurar uma VPC com uma sub-rede pública](#vpc-with-public-subnet) + [Etapa 2: Habilitar o acesso padrão à Internet para seus WorkSpaces pools](#managing-network-enable-default-internet-access) ## Etapa 1: configurar uma VPC com uma sub-rede pública Você pode configurar sua própria VPC não padrão com uma sub-rede pública usando um dos seguintes métodos: + [Criar uma nova VPC com uma única sub-rede pública](#new-vpc-with-public-subnet) + [Configurar uma VPC existente](#existing-vpc-with-public-subnet) ### Criar uma nova VPC com uma única sub-rede pública Quando você usa o assistente da VPC para criar uma nova VPC, o assistente cria um gateway de Internet e uma tabela de rota personalizada associada à sub-rede pública. A tabela de rotas encaminha todo o tráfego destinado a um endereço fora da VPC para o gateway de Internet. Para obter mais informações sobre essa configuração, consulte VPC com uma única sub-rede pública no [Exemplo: VPC para um ambiente de teste](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Scenario1.html) no *Guia do usuário do Amazon VPC*. 1. Conclua as etapas em [Step 1: Create the VPC](https://docs.aws.amazon.com/vpc/latest/userguide/getting-started-ipv4.html#getting-started-create-vpc) no *Guia do usuário do Amazon VPC* para criar uma VPC. 1. Para permitir que você acesse WorkSpaces a Internet, conclua as etapas em[Etapa 2: Habilitar o acesso padrão à Internet para seus WorkSpaces pools](#managing-network-enable-default-internet-access). ### Configurar uma VPC existente Se você quiser usar uma VPC existente que não tenha sub-rede pública, poderá adicionar uma nova sub-rede pública. Além de uma sub-rede pública, você também deve ter um gateway de Internet conectado à VPC e uma tabela de rotas que encaminhe todo o tráfego destinado a um endereço fora da VPC para o gateway de Internet. Para configurar esses componentes, conclua as etapas a seguir. 1. Para adicionar uma sub-rede pública, conclua as etapas em [Criar uma sub-rede em sua VPC](https://docs.aws.amazon.com/vpc/latest/userguide/working-with-vpcs.html#AddaSubnet). Use a VPC existente que você planeja usar com WorkSpaces pools. Se sua VPC estiver configurada para oferecer suporte ao IPv6 endereçamento, a lista de **bloqueios do IPv6 CIDR** será exibida. Selecione **Don't assign Ipv6 (Não atribuir Ipv6)**. 1. Para criar e anexar um gateway de Internet à sua VPC, conclua as etapas em [Criar e anexar um gateway da Internet](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Internet_Gateway.html#Add_IGW_Attach_Gateway). 1. Para configurar uma sub-rede para encaminhar o tráfego da internet por meio do gateway da Internet, conclua as etapas em [Creating a Custom Route Table](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Internet_Gateway.html#Add_IGW_Routing). Na etapa 5, para **Destino**, use IPv4 format (`0.0.0.0/0`). 1. Para permitir que você WorkSpaces e os criadores de imagens acessem a Internet, conclua as etapas em[Etapa 2: Habilitar o acesso padrão à Internet para seus WorkSpaces pools](#managing-network-enable-default-internet-access). ## Etapa 2: Habilitar o acesso padrão à Internet para seus WorkSpaces pools Você pode ativar o acesso à Internet ao [criar o diretório WorkSpaces Pool](https://docs.aws.amazon.com/workspaces/latest/adminguide/create-directory-pools.html). Escolha a VPC com uma sub-rede pública ao criar o diretório. Em seguida, selecione uma sub-rede pública para a **sub-rede 1** e, se desejar, outra sub-rede pública para a **sub-rede 2**. Você pode testar sua conectividade com a Internet iniciando seu WorkSpaces Pool e, em seguida, conectando-se a um WorkSpace no pool e navegando na Internet. # Usar a VPC padrão, a sub-rede pública e o grupo de segurança Sua conta da Amazon Web Services, se tiver sido criada após 04/12/2013, tem uma VPC padrão em cada região. AWS A VPC padrão inclui uma sub-rede pública padrão em cada zona de disponibilidade e um gateway de Internet conectado à VPC. A VPC também inclui um grupo de segurança padrão. Se você não conhece WorkSpaces Pools e quer começar a usar o serviço, pode manter a VPC e o grupo de segurança padrão selecionados ao criar um WorkSpaces Pool. Depois, você pode selecionar pelo menos uma sub-rede padrão. **nota** Se sua conta da Amazon Web Services foi criada antes de 04/12/2013, você deve criar uma nova VPC ou configurar uma existente para usar com pools. WorkSpaces Recomendamos que você configure manualmente uma VPC com duas sub-redes privadas para seus WorkSpaces pools e um gateway NAT em uma sub-rede pública. Para obter mais informações, consulte [Configurar uma VPC com sub-redes privadas e um gateway NAT](managing-network-internet-NAT-gateway.md). Como alternativa, você pode configurar uma VPC não padrão com uma sub-rede pública. Para obter mais informações, consulte [Configurar uma VPC nova ou existente com uma sub-rede pública](managing-network-default-internet-access.md). Você pode ativar o acesso à Internet ao [criar o diretório WorkSpaces Pool](https://docs.aws.amazon.com/workspaces/latest/adminguide/create-directory-pools.html). Escolha a VPC padrão ao criar o diretório. O nome padrão da VPC usa o seguinte formato:. `vpc-` *vpc-id* ` (No_default_value_Name)` Em seguida, selecione uma sub-rede pública padrão para a **sub-rede 1** e, se desejar, outra sub-rede pública padrão para a **sub-rede 2**. Os nomes de sub-rede padrão usam o seguinte formato: `subnet-` *subnet-id* ` | (` *IPv4 CIDR block* `) | Default in`*availability-zone*. Você pode testar sua conectividade com a Internet iniciando seu WorkSpaces Pool e, em seguida, conectando-se a um WorkSpace no pool e navegando na Internet. # Configure a autorização do FedRAMP ou a conformidade com o SRG do DoD para pools WorkSpaces Para cumprir o [Programa Federal de Gerenciamento de Riscos e Autorizações (FedRAMP](https://aws.amazon.com/compliance/fedramp/)) ou [o Guia de Requisitos de Segurança de Computação em Nuvem (SRG) do Departamento de Defesa (DoD)](https://aws.amazon.com/compliance/dod/), você deve configurar os WorkSpaces Amazon Pools para usar a criptografia de endpoint do Federal Information Processing Standards (FIPS) no nível do diretório. Você também deve usar uma AWS região dos EUA que tenha autorização do FedRAMP ou seja compatível com SRG do DoD. O nível de autorização do FedRAMP (moderado ou alto) ou o nível de impacto do DoD SRG (2, 4 ou 5) depende da AWS região dos EUA na qual a Amazon está sendo usada. WorkSpaces Para obter os níveis de autorização do FedRAMP e a conformidade com o SRG do DoD aplicáveis a cada região, consulte [Serviços da AWS no escopo por programa de conformidade](https://aws.amazon.com/compliance/services-in-scope/). **Requisitos** + O diretório WorkSpaces Pools deve ser configurado para usar o **modo validado FIPS 140-2** para criptografia de endpoints. **nota** Para usar a configuração do **Modo Validado FIPS 140-2**, verifique o seguinte: O diretório WorkSpaces Pools é: Novo e não associado a um Pool Associado a um Pool existente que está no estado PARADO O diretório Pool tem [https://docs.aws.amazon.com/workspaces/latest/api/API_ModifyStreamingProperties.html](https://docs.aws.amazon.com/workspaces/latest/api/API_ModifyStreamingProperties.html) definido como TCP. + Você deve criar seus WorkSpaces pools em uma [AWS região dos EUA que tenha autorização do FedRAMP ou seja](https://aws.amazon.com/compliance/services-in-scope/) compatível com SRG do DoD. + Os usuários devem acessá-los WorkSpaces a partir de um dos seguintes aplicativos WorkSpaces cliente: + macOS: 5.20.0 ou posterior + Windows: 5.20.0 ou posterior + Web Access **Como usar a criptografia de endpoint do FIPS** 1. Abra o WorkSpaces console em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação, selecione **Diretórios** e escolha o diretório que você deseja usar para autorização do FedRAMP e conformidade com o DoD SRG. 1. Na página **Detalhes do diretório**, escolha o diretório que você deseja configurar para o modo de criptografia FIPS. 1. Na seção **Criptografia de endpoint**, escolha **Editar** e selecione **Modo validado FIPS 140-2**. 1. Escolha **Salvar**. # Usando endpoints VPC do Amazon S3 para recursos de pools WorkSpaces Quando você ativa a persistência das configurações do aplicativo para um WorkSpaces pool ou pastas base para um diretório de WorkSpaces pool, WorkSpaces usa a VPC que você especifica para seu diretório para fornecer acesso aos buckets do Amazon Simple Storage Service (Amazon S3). Para permitir que os WorkSpaces pools acessem seu endpoint privado do S3, anexe a seguinte política personalizada ao seu endpoint VPC para o Amazon S3. Para obter mais informações sobre endpoints privados do Amazon S3, consulte [Conceitos do AWS PrivateLink](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints.html) e [Endpoints de gateway para o Amazon S3](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints-s3.html) no *Guia do usuário do Amazon VPC*. ------ #### [ Commercial Regiões da AWS ] Use a política a seguir para recursos nas Regiões da AWS comerciais. ------ #### [ AWS GovCloud (US) Regions ] Use a política a seguir para recursos nas AWS GovCloud (US) Regions comerciais. ------ # Conexões com sua VPC para pools WorkSpaces Para habilitar a conectividade dos WorkSpaces Pools aos recursos de rede e à Internet, configure o seu da WorkSpaces seguinte maneira. ## Interfaces de rede Cada um WorkSpaces em WorkSpaces Pools tem as seguintes interfaces de rede: + A interface de rede do cliente fornece conectividade aos recursos dentro da sua VPC, bem como à Internet, e é usada para associá-los WorkSpaces ao seu diretório. + A interface da rede de gerenciamento está conectada a uma rede segura de gerenciamento de WorkSpaces piscinas. Ele é usado para streaming interativo do WorkSpace para o dispositivo de um usuário e para permitir que os WorkSpaces Pools gerenciem WorkSpace o. WorkSpaces O Pools seleciona o endereço IP para a interface da rede de gerenciamento no seguinte intervalo de endereços IP privados: 198.19.0.0/16. Não use esse intervalo para seu CIDR de VPC nem emparelhe seu VPC com outro VPC com esse intervalo, pois isso pode criar um conflito e fazer com que fique inacessível. WorkSpaces Além disso, não modifique nem exclua nenhuma das interfaces de rede conectadas a um WorkSpace, pois isso também pode fazer com WorkSpace que o fique inacessível. ## Intervalo de endereços IP da interface de rede de gerenciamento e portas O intervalo de endereços IP da interface de rede de gerenciamento é 198.19.0.0/16. As seguintes portas devem estar abertas na interface da rede de gerenciamento de todos WorkSpaces: + TCP de entrada na porta 8300. Usada para o estabelecimento da conexão de streaming. + TCP de saída na porta 3128. Isso é usado para gerenciamento de WorkSpaces. + TCP de entrada nas portas 8000 e 8443. Eles são usados para o gerenciamento do WorkSpaces. + UDP de entrada na porta 8300. Usada para o estabelecimento da conexão de streaming por UDP. Limite o intervalo de entrada na interface de rede de gerenciamento em 198.19.0.0/16. **nota** Para WorkSpaces pools Windows do Amazon DCV BYOL, os intervalos de endereços IP 10.0.0.0/8 são usados em todas as regiões. AWS Esses intervalos de IP são adicionais ao bloco CIDR /16 que você escolhe para gerenciar o tráfego em seus pools de WorkSpaces BYOL. Em circunstâncias normais, o WorkSpaces Pools configura corretamente essas portas para o seu WorkSpaces. Se algum software de segurança ou firewall estiver instalado em um WorkSpace que bloqueie qualquer uma dessas portas, WorkSpaces ele pode não funcionar corretamente ou estar inacessível. Não desative IPv6. Se você desativar IPv6, os WorkSpaces Pools não funcionarão corretamente. Para obter informações sobre a configuração IPv6 para Windows, consulte [Orientações para configuração IPv6 no Windows para usuários avançados](https://support.microsoft.com/en-us/help/929852/guidance-for-configuring-ipv6-in-windows-for-advanced-users). **nota** WorkSpaces Os pools dependem dos servidores DNS em sua VPC para retornar uma resposta de domínio inexistente (NXDOMAIN) para nomes de domínio locais que não existem. Isso permite que a interface de rede WorkSpaces gerenciada por Pools se comunique com os servidores de gerenciamento. Quando você cria um diretório com o Simple AD, AWS Directory Service cria dois controladores de domínio que também funcionam como servidores DNS em seu nome. Como os controladores de domínio não fornecem a resposta NXDOMAIN, eles não podem ser usados com pools. WorkSpaces ## Portas de interface de rede do cliente + Para conectividade com a Internet, as portas a seguir devem ser abertas para todos os destinos. Se você estiver usando um grupo de segurança personalizado ou modificado, você precisa adicionar as regras necessárias manualmente. Para obter mais informações, consulte [Regras de grupo de segurança](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_SecurityGroups.html#SecurityGroupRules) no *Guia do usuário do Amazon VPC*. + TCP 80 (HTTP) + TCP 443 (HTTPS) + UDP 4195 + Se você unir seu WorkSpaces a um diretório, as seguintes portas devem estar abertas entre seu WorkSpaces Pools VPC e seus controladores de diretório. + TCP/UDP 53 - DNS + TCP/UDP 88 - autenticação de Kerberos + UDP 123 - NTP + TCP 135 - RPC + UDP 137-138 - Netlogon + TCP 139 - Netlogon + TCP/UDP 389 - LDAP + TCP/UDP 445 - SMB + TCP 1024-65535 - Portas dinâmicas para o RPC Para obter uma lista completa de portas, consulte [Requisitos de portas de serviços do Active Directory e do Active Directory Domain Services](https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/dd772723(v=ws.10)) na documentação da Microsoft. + Todos WorkSpaces exigem que a porta 80 (HTTP) esteja aberta ao endereço IP para permitir `169.254.169.254` o acesso ao serviço de metadados do EC2. O intervalo de endereços IP `169.254.0.0/16` é reservado para o uso do serviço WorkSpaces Pools para gerenciamento de tráfego. A não exclusão desse intervalo pode resultar em problemas de streaming. # Conexões de usuários com WorkSpaces pools Os usuários podem se conectar WorkSpaces em WorkSpaces pools por meio do endpoint público padrão da Internet. Por padrão, os WorkSpaces Pools são configurados para rotear conexões de streaming pela Internet pública. A conectividade com a Internet é necessária para autenticar os usuários e fornecer os ativos da web que os WorkSpaces Pools precisam para funcionar. Para permitir esse tráfego, você deve inserir os domínios listados em [Domínios permitidos](allowed-domains.md). **nota** Para autenticação do usuário, os WorkSpaces Pools oferecem suporte à Security Assertion Markup Language 2.0 (SAML 2.0). Para obter mais informações, consulte [Configure o SAML 2.0 e crie um diretório de WorkSpaces pools](create-directory-pools.md). Os tópicos a seguir fornecem informações sobre como habilitar conexões de usuários com WorkSpaces Pools. **Topics** + [Recomendações de largura de banda](bandwidth-recommendations-user-connections.md) + [Requisitos de endereço IP e porta para dispositivos de usuário de WorkSpaces pools](pools-client-application-ports.md) + [Domínios permitidos](allowed-domains.md) # Recomendações de largura de banda Para otimizar o desempenho dos WorkSpaces pools, certifique-se de que a largura de banda e a latência da rede possam sustentar as necessidades dos usuários. WorkSpaces O Pools usa o NICE Desktop Cloud Visualization (DCV) para permitir que seus usuários acessem e transmitam seus aplicativos com segurança em diferentes condições de rede. Para ajudar a reduzir o consumo da largura de banda, NICE DCV usa compactação de vídeo baseada em H.264 e codificação. Durante sessões de streaming, a saída visual de aplicativos é compactada e transmitida para os usuários como um fluxo de pixel com criptografia AES-256 via HTTPS. Depois que o fluxo é recebido, ele é descriptografado e exibido na tela local dos usuários. Quando os usuários interagem com aplicativos de streaming, o protocolo NICE DCV captura a entrada e a envia de volta para os aplicativos de streaming via HTTPS. As condições da rede são constantemente medidas durante esse processo e as informações são enviadas de volta aos WorkSpaces pools. WorkSpaces Os pools respondem dinamicamente às mudanças nas condições da rede alterando a codificação de vídeo e áudio em tempo real para produzir um fluxo de alta qualidade para uma ampla variedade de aplicações e condições de rede. A largura de banda e a latência recomendadas para sessões de streaming de WorkSpaces Pools dependem da carga de trabalho. Por exemplo, um usuário que trabalha com aplicativos que usam imagens para executar tarefas de design auxiliadas por computador precisará de mais largura de banda e menos latência do que um usuário que trabalha com aplicativos de produtividade de negócios para gravar documentos. A tabela a seguir fornece orientação sobre a largura de banda e a latência de rede recomendadas para sessões de streaming de WorkSpaces pools com base em cargas de trabalho comuns. Para cada carga de trabalho, a recomendação de largura de banda é baseada no que cada usuário pode exigir em um determinado momento. A recomendação não reflete a largura de banda necessária para taxa de transferência constante. Quando apenas alguns pixels são alterados na tela durante uma sessão de streaming, a taxa de transferência constante é muito menor. Embora os usuários que têm menos largura de banda disponível ainda possam fazer streaming de seus aplicativos, a taxa de quadros ou qualidade de imagem pode não ser ideal. | Workload | Description | Largura de banda recomendada por usuário | Latência de ida e volta máxima recomendada | | --- | --- | --- | --- | | Linha de aplicativos empresariais | Aplicativos de elaboração de documentos, utilitários de análise do banco de dados | 2 Mbps | < 150 ms | | Aplicativos gráficos | Aplicativos de modelagem e design auxiliados por computador, edição de foto e vídeo | 5 Mbps | < 100 ms | | Alta fidelidade | Conjuntos de dados ou mapas de alta fidelidade em vários monitores | 10 Mbps | < 50 ms | # Requisitos de endereço IP e porta para dispositivos de usuário de WorkSpaces pools WorkSpaces Os dispositivos dos usuários de pools exigem acesso de saída na porta 443 (TCP) e na porta 4195 (UDP) ao usar os endpoints da Internet e, se você estiver usando servidores DNS para resolução de nomes de domínio, porta 53 (UDP). + A porta 443 é usada para comunicação HTTPS entre os dispositivos dos usuários do WorkSpaces Pools e WorkSpaces ao usar os endpoints da Internet. Normalmente, quando os usuários finais navegam na web durante sessões de streaming, o navegador da web seleciona aleatoriamente uma porta de origem no intervalo para streaming de tráfego. Você deve garantir que o tráfego de retorno para essa porta seja permitido. + A porta 4195 é usada para comunicação UDP HTTPS entre dispositivos de usuários de WorkSpaces Pools e WorkSpaces ao usar os endpoints da Internet. No momento, isso só é compatível com o cliente nativo do Windows. O UDP não é compatível com endpoints da VPC. + A porta 53 é usada para comunicação entre os dispositivos dos usuários do WorkSpaces Pools e seus servidores DNS. A porta deve estar aberta para os endereços IP dos seus servidores DNS, de forma que os nomes de domínio público possam ser resolvidos. Essa porta é opcional se você não estiver usando servidores DNS para resolução de nomes de domínio. # Domínios permitidos Para que os usuários do WorkSpaces Pools acessem o WorkSpaces, você deve permitir vários domínios na rede em que o usuário inicia o acesso aos WorkSpaces. Para obter mais informações, consulte [Requisitos de endereço IP e porta para o WorkSpaces Personal](workspaces-port-requirements.md). Observe que a página especifica que ela se aplica ao WorkSpaces Personal, mas também se aplica aos WorkSpaces Pools. **nota** Se o bucket do S3 tiver um caractere “.” caractere no nome, o domínio usado será `https://s3..amazonaws.com`. Se o bucket do S3 não tiver um caractere “.” caractere no nome, o domínio usado será `https://.s3..amazonaws.com`. # Criar um WorkSpaces Pool Configure e crie uma frota em que os aplicativos de usuários são executados e transmitidos. **nota** Você deve criar um diretório antes de criar um WorkSpaces Pool. Para obter mais informações, consulte [Configure o SAML 2.0 e crie um diretório de WorkSpaces pools](create-directory-pools.md). **Para configurar e criar uma pilha** 1. Abra o console do WorkSpaces em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação, selecione **WorkSpaces**, **Pool**. 1. Selecione **Create WorkSpaces Pools**. 1. Em **Integração** (opcional), você pode escolher as opções **Recomendar para mim com base no meu caso de uso** para obter recomendações sobre o tipo de WorkSpace que você deseja usar. Você pode pular esta etapa se deseja usar os WorkSpaces Pools. 1. Em **Configure WorkSpaces**, insira os seguintes detalhes: + Em **Name**, insira um identificador de nome exclusivo para o pool. Não são permitidos caracteres especiais. + Em **Description**, insira uma descrição para o pool (máximo de 256 caracteres). + Para **Bundle**, escolha o tipo de pacote que você deseja usar para seus WorkSpaces a seguir. + **Use um pacote básico do WorkSpaces**: escolha um dos pacotes no menu suspenso. Para obter mais informações sobre o tipo de pacote selecionado, escolha **Detalhes do pacote**. Para comparar pacotes oferecidos para pools, escolha **Comparar todos os pacotes**. + **Use seu próprio pacote personalizado**: escolha um pacote que você criou anteriormente. Para criar um pacote personalizado, consulte [Crie uma WorkSpaces imagem e um pacote personalizados para WorkSpaces o Personal](create-custom-bundle.md). + Para o **modo de execução**, escolha uma destas opções para configurar a disponibilidade imediata do pool e como você paga por ele: + **AutoStop**: as instâncias de pools recebem uma taxa de uso por hora, com base no pacote escolhido, somente para as instâncias conectadas aos usuários. As instâncias dentro de um pool que não estão conectadas aos usuários recebem uma taxa baixa por hora de instância parada. Quando os usuários iniciam a sessão, eles começam a transmitir após 1 a 2 minutos de espera. + **AlwaysOn**: todas as instâncias em execução de um pool recebem a taxa de uso por hora aplicável, mesmo quando os usuários não estão conectados. Esse modo é ideal para usuários que não querem esperar o início do streaming. + Em **Duração máxima da sessão em minutos**, escolha a quantidade máxima de tempo em que uma sessão de streaming pode permanecer ativa. Se os usuários ainda estão conectados a uma instância de streaming cinco minutos antes desse limite ser atingido, eles são solicitados a salvar seus documentos abertos antes de serem desconectados. Após esse período expirar, a instância é encerrada e substituída por uma nova instância. A duração máxima da sessão que pode ser definida no console do WorkSpaces Pools é de 5760 minutos (96 horas). A duração máxima da sessão que pode ser definida usando a API e a CLI do WorkSpaces Pools é de 432.000 segundos (120 horas). + Para **Disconnect timeout in minutes (Tempo limite de desconexão em minutos)**, escolha a quantidade de tempo que uma sessão de streaming permanece ativa após os usuários se desconectarem. Se os usuários tentarem se reconectar à sessão de streaming após uma desconexão ou interrupção na rede dentro desse intervalo de tempo, eles serão conectados à sessão anterior. Caso contrário, eles serão conectados a uma nova sessão com uma nova instância de streaming. + Se um usuário encerrar a sessão ao selecionar **End Session** ou **Logout** na barra de ferramentas do pools, o tempo limite de desconexão não se aplicará. Em vez disso, o usuário é solicitado a salvar os documentos abertos e, em seguida, desconectado da instância de streaming. A instância que o usuário estava usando é encerrada. + Para **Idle disconnect timeout in minutes (Tempo limite de desconexão de inatividade em minutos)**, escolha a quantidade de tempo em que os usuários podem ficar ociosos (inativos) antes de serem desconectados de sua sessão de streaming e o início do intervalo de tempo de **Disconnect timeout in minutes (Tempo limite de desconexão em minutos)**. Os usuários são notificados antes de serem desconectados devido à inatividade. Se eles tentarem reconectar-se à sessão de streaming antes do intervalo de tempo especificado em **Disconnect timeout in minutes (Tempo limite de desconexão em minutos)** terminar, eles são conectados à sessão anterior. Caso contrário, eles serão conectados a uma nova sessão com uma nova instância de streaming. Definir esse valor como 0 o desabilita. Quando esse valor estiver desabilitado, os usuários não serão desconectados devido à inatividade. **nota** Os usuários são considerados como ociosas quando param de fornecer entradas do mouse ou do teclado durante a sessão de streaming. Para pools associados a um domínio, a contagem regressiva para o tempo limite de desconexão ociosa só começará quando os usuários fizerem login com sua senha de domínio do Active Directory ou com um cartão inteligente. Uploads e downloads de arquivos, entradas de áudio, saídas de áudio e alteração de pixels não são considerados atividade do usuário. Se os usuários permanecerem ociosos depois que o intervalo de tempo em **Idle disconnect timeout in minutes (Limite de desconexão ociosa em minutos)** terminar, eles serão desconectados. + Para **Scheduled capacity policies** (opcional), escolha **Add new schedule capacity**. Indique a data e a hora de início e término para provisionar o número mínimo e máximo de instâncias para o pool com base no número mínimo de usuários simultâneos esperados. + Em **Scaling policies** (opcional), especifique as políticas de escalabilidade que os pools devem usar para aumentar e reduzir a capacidade do pool. Expanda **Manual scaling policies** para adicionar novas políticas de escalabilidade. **nota** Observe que o tamanho da frota é limitado pelas capacidades mínima e máxima especificadas. + Escolha **Add new scale out policies** e insira os valores para adicionar instâncias especificadas se a utilização da capacidade especificada for menor ou maior que o valor limite especificado. + Escolha **Add new scale out policies** e insira os valores para remover instâncias especificadas se a utilização da capacidade especificada for menor ou maior que o valor limite especificado. + Para **Tags**, especifique o valor do par de chaves que você deseja usar. Uma chave pode ser uma categoria geral, como "projeto", "proprietário" ou "ambiente", com valores específicos associados. 1. Na página **Select directory page**, escolha o diretório criado. Para criar um diretório, escolha **Create directory**. Para obter mais informações, consulte [Gerenciar diretórios para pools WorkSpaces](manage-workspaces-pools-directory.md). 1. Selecione **Create WorkSpace Pool**. # Administrar seus WorkSpaces Pools Um WorkSpaces Pool consiste em WorkSpaces que executam a imagem especificada por você. **Topics** + [Modo de execução](running-mode-pools.md) + [Bundles](instance-types.md) + [Modificar um pool](modify-pool.md) + [Excluir um grupo](set-up-pools-finish.md) + [Auto Scaling para piscinas WorkSpaces](autoscaling.md) # Modo de execução para WorkSpaces Pools O modo de execução de um WorkSpace Pool determina sua disponibilidade imediata e como você paga por ele. Você pode escolher entre os seguintes modos de execução ao criar um WorkSpaces Pool: + **AutoStop**: as instâncias de um WorkSpaces Pool recebem uma taxa de uso por hora com base no pacote escolhido, somente para as instâncias conectadas aos usuários. As instâncias dentro de um WorkSpaces Pool que não estão conectadas aos usuários recebem uma taxa baixa por hora de instância parada. Quando os usuários iniciam a sessão, eles começam a transmitir após 1 a 2 minutos. + **AlwaysOn**: as instâncias em execução de um WorkSpaces Pool recebem a taxa de uso por hora aplicável, mesmo quando os usuários não estão conectados. Esse modo é ideal para usuários que não querem esperar o início do streaming. Para obter mais informações, consulte [Preços do WorkSpaces](https://aws.amazon.com/workspaces/pricing/). **Topics** + [Modificar o modo de execução](modify-running-mode-pool.md) # Modificar o modo de execução Você pode alternar entre os modos de execução quando um Pool do WorkSpaces está parado. **Para modificar o modo de execução de um Pool do WorkSpaces** 1. Abra o console do WorkSpaces em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação, selecione **WorkSpaces** e **Pools** 1. Selecione o Pool do WorkSpaces a ser modificado e confirme que ele está parado. Em seguida, escolha **Ações** e **Modificar o modo de execução**. 1. Selecione o novo modo de execução, **AlwaysOn** ou **AutoStop**, e clique em **Salvar**. **Para modificar o modo de execução de um WorkSpace usando a AWS CLI** + Use o comando [update-workspaces-pool](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/workspaces/update-workspaces-pool.html). # WorkSpaces Pacotes de piscinas Um *WorkSpace pacote* é uma combinação de um sistema operacional e recursos de armazenamento, computação e software. Ao lançar um WorkSpace, você seleciona o pacote que atende às suas necessidades. Os pacotes padrão disponíveis para WorkSpaces são chamados de *pacotes públicos*. Para obter mais informações sobre os vários pacotes públicos disponíveis WorkSpaces, consulte [Amazon WorkSpaces Bundles](https://aws.amazon.com/workspaces/details/#Amazon_WorkSpaces_Bundles). A tabela a seguir fornece informações sobre licenciamento, protocolos de streaming e pacotes compatíveis com cada sistema operacional. | Sistema operacional | Licenças | Protocolos de streaming | Pacotes compatíveis | | --- | --- | --- | --- | | Windows Server 2019 | Incluído | DCV | Valor, padrão, desempenho, potência, PowerPro | | Windows Server 2022 | Incluído | DCV | Padrão, desempenho, potência, PowerPro gráficos.G4dn, .G4dn GraphicsPro | **nota** As versões do sistema operacional que não são mais suportadas pelo fornecedor não têm garantia de funcionamento e não são suportadas pelo AWS suporte. # Modificar um pool Depois de criar um pool de WorkSpaces, é possível modificar o seguinte: + ID do diretório (se o WorkSpaces Pool estiver parado) + Detalhes básicos + Pacote e hardware + Configurações de desconexão da sessão + Capacidade e escalabilidade + Atividades de escalabilidade + Tags **Para modificar um WorkSpaces Pool** 1. No painel de navegação, selecione **WorkSpaces**, **Pools** 1. Selecione o pool que você quer modificar. 1. Vá para a seção que você deseja modificar e escolha **Editar**. 1. Faça as modificações que deseja fazer e escolha **Salvar**. # Excluir um grupo Exclua seu pool para liberar recursos e evitar cobranças indesejadas à sua conta. É recomendável interromper qualquer frota em execução que não esteja sendo usada. **Como excluir um grupo** 1. No painel de navegação, selecione **WorkSpaces**, **Pools** 1. Selecione o pool que você deseja interromper e, em seguida, escolha **Parar**. Demora cerca de cinco minutos para parar uma frota. 1. Quando o status do pool for **Parado**, escolha **Excluir**. # Escalonamento automático para piscinas WorkSpaces O ajuste de escala automático permite que você altere o tamanho dos pools automaticamente para que o fornecimento de instâncias disponíveis corresponda à demanda do usuário. O tamanho do pool determina o número de usuários que podem fazer streaming simultaneamente. É necessária uma instância para cada sessão de usuário. Você pode especificar a capacidade do seu pool em termos de instâncias. O número necessário de instâncias será disponibilizado com base nas configurações de seu pool e nas políticas de ajuste de escala automático. Você pode definir políticas de escalabilidade que ajustem o tamanho do pool automaticamente, com base em várias métricas de utilização, e otimizem o número de instâncias disponíveis para que corresponda à demanda dos usuários. Você pode também optar por desativar o ajuste de escala automático e determinar que o pool seja executado com um tamanho fixo. **nota** Ao desenvolver seu plano de escalabilidade de WorkSpaces pools, certifique-se de que sua configuração de rede atenda aos seus requisitos. Ao usar o ajuste de escala, você pode trabalhar com a API do Application Auto Scaling. Para que o Auto Scaling funcione corretamente com WorkSpaces pools, o Application Auto Scaling requer permissão para descrever e atualizar seus pools e descrever seus alarmes da CloudWatch Amazon, além de permissões para modificar a capacidade do seu pool em seu nome. Os tópicos a seguir fornecem informações para ajudá-lo a entender e usar o Auto Scaling for WorkSpaces Pools. **Topics** + [Conceitos de escalabilidade](#autoscaling-concepts) + [Como gerenciar a escalabilidade de pool por meio do console](#autoscaling-console) + [Gerenciando o escalonamento do pool usando a AWS CLI](#autoscaling-cli) + [Recursos adicionais do](#autoscaling-additional-resources) ## Conceitos de escalabilidade WorkSpaces O escalonamento de pools é fornecido pelo Application Auto Scaling. Para obter mais informações, consulte a [Referência da API do Application Auto Scaling](https://docs.aws.amazon.com/autoscaling/application/APIReference/). Para usar o Auto Scaling com WorkSpaces Pools de forma eficaz, você deve entender os termos e conceitos a seguir. **Sessões mínimas de capacity/minimum usuário para o pool** O número mínimo de instâncias. O número de instâncias não pode ser abaixo desse valor e políticas de escalabilidade não vão dimensionar o pool abaixo desse valor. Por exemplo, se você definir a capacidade mínima de um pool como 2, ele nunca terá menos de 2 instâncias. ** capacity/maximum Máximo de sessões de usuário para o pool** O número máximo de instâncias. O número de instâncias não pode estar acima desse valor e as políticas de escalabilidade não dimensionarão seu pool acima desse valor. Por exemplo, se você definir a capacidade máxima de um pool como 10, ele nunca terá mais de 10 instâncias. **Capacidade desejada da sessão do usuário** O número total de sessões em execução ou pendentes. Isso representa o número total de sessões simultâneas de streaming às quais seu pool pode oferecer suporte em uma condição estável. **Ação da política de escalabilidade** Ação que a política de escalabilidade executa em seu pool quando a **Condição da política de escalabilidade** é atendida. Você pode escolher uma ação com base na **% de capacidade** ou no **número de instâncias**. Por exemplo, se a **Capacidade desejada da sessão do usuário** for 4 e a **Ação da política de escalabilidade** for definida como “Adicionar 25% à capacidade”, a **Capacidade desejada da sessão do usuário** é aumentada em 25% para 5, quando a **Condição da política de escalabilidade** for atendida. **Condição da política de escalabilidade** Condição que acionará um conjunto de ações em **Scaling Policy Action**. Essa condição inclui uma métrica de política de escalabilidade, um operador de comparação e um limite. Por exemplo, para dimensionar um pool se a utilização dele for superior a 50%, a condição da política de escalabilidade deverá ser "Se capacidade de utilização > 50%". **Métrica da política de escalabilidade** Sua política de dimensionamento está de acordo com essa métrica. A seguir se encontram as métricas disponíveis para as políticas de escalabilidade: **Utilização de capacidade** A porcentagem de instâncias em um pool que estão sendo usadas. Você pode usar essa métrica para dimensionar seu pool com base no respectivo uso. Por exemplo, **Scaling Policy Condition (Condição da política de escalabilidade)**: “If Capacity Utilization < 25%” (Se a capacidade de utilização < 25%) executa **Scaling Policy Action (Ação da política de escalabilidade)**: “Remove 25 % capacity” (Remover capacidade de 25%). **Capacidade disponível** O número de instâncias disponíveis em seu pool para usuários. Você pode usar essa métrica para manter um buffer na capacidade disponível para os usuários iniciarem sessões de streaming. Por exemplo, **Scaling Policy Condition (Condição da política de escalabilidade)**: “If Available Capacity < 5” (Se a capacidade disponível < 5) executa **Scaling Policy Action (Ação da política de escalabilidade)**: “Add 5 instance(s)” (Adicionar 5 instâncias). **Erro de capacidade insuficiente** O número de solicitações de sessão rejeitadas por falta de capacidade. É possível usar essa métrica para provisionar novas instâncias para usuários que não conseguem iniciar sessões de streaming devido à falta de capacidade. Por exemplo, **Scaling Policy Condition**: "If Insufficient Capacity Error > 0" executa **Scaling Policy Action**: "Add 1 instance(s)". ## Como gerenciar a escalabilidade de pool por meio do console Você pode configurar e gerenciar o escalonamento usando o WorkSpaces console de uma das duas maneiras a seguir: Durante a criação do pool ou a qualquer momento, usando a guia **Pools**. Depois de criar pools, acesse a guia **Políticas de escalabilidade** para adicionar novas políticas de escalabilidade ao seu pool. Para obter mais informações, consulte [Criar um WorkSpaces Pool](set-up-pools-create.md). Para ambientes de usuário que variam em número, defina políticas de escalabilidade para controlar como a escalabilidade deve responder à demanda. Se você espera um número fixo de usuários ou tem outros motivos para desabilitar a escalabilidade, pode configurar o pool com um número fixo de instâncias para sessões de usuário. Para fazer isso, defina a capacidade mínima para o número desejado de instâncias. Ajuste a capacidade máxima para ser, no mínimo, o valor da capacidade mínima. Isso evita erros de validação, mas a capacidade máxima acabará sendo ignorada, pois o pool não será escalado. Em seguida, exclua todas as políticas de escalabilidade desse pool. **Para definir uma política de escalabilidade de pool usando o console** 1. Abra o WorkSpaces console em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação, selecione **Pools** (Grupos). 1. Selecione o pool. 1. Na página desse pool, role a tela para baixo até capacidade e escalabilidade. 1. Escolha **Editar**. 1. Edite as políticas existentes, defina os valores desejados em seus campos e escolha **Salvar**. As alterações nas políticas entram em vigor em alguns minutos. 1. Você também pode adicionar novas políticas de capacidade e escalabilidade escolhendo **Add new schedule capacity**, **Add new scale out policy** ou **Add new scale in policy**. A seguir é apresentado um exemplo de gráfico de uso da atividade de escalabilidade quando cinco usuários conectam-se ao pool e se desconectam. Esse exemplo é de um pool que usa os seguintes valores de política de escalabilidade: + Capacidade mínima = 10 + Capacidade máxima = 50 + Aumentar a escala horizontalmente = Se a utilização da capacidade do meu pool for maior que 75%, adicione 5 instâncias + Reduzir a escala horizontalmente = Se a utilização da capacidade do meu pool for inferior a 25%, remova 6 instâncias **nota** Durante a sessão, cinco novas instâncias serão inicializadas durante um evento de aumento horizontal da escala. Durante um evento de redução de escala horizontal, 6 instâncias serão recuperadas, se houver instâncias suficientes sem sessões de usuário ativas, e o número total de instâncias não cair abaixo da capacidade mínima de 10 instâncias. As instâncias com sessões de usuário em execução não serão recuperadas. Somente instâncias sem sessões de usuário em execução serão recuperadas. ## Gerenciando o escalonamento do pool usando a AWS CLI Você pode configurar e gerenciar o escalonamento do pool usando a AWS Command Line Interface (AWS CLI). Para recursos mais avançados, como definir tempos de recarga de expansão e redução, use a CLI. AWS Antes de executar comandos de política de escalabilidade, primeiro você deve registrar seu pool como um destino escalável. Para fazer isso, use o seguinte [register-scalable-target](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/register-scalable-target.html)comando: ``` aws application-autoscaling register-scalable-target --service-namespace workspaces \ --resource-id workspacespool/PoolId \ --scalable-dimension workspaces:workspacespool:DesiredUserSessions \ --min-capacity 1 --max-capacity 5 ``` **Topics** + [Exemplo 1: aplicação de uma política de escalabilidade com base na utilização de capacidade](#autoscaling-cli-utilization) + [Exemplo 2: aplicação de uma política de escalabilidade com base em erros de capacidade insuficiente](#autoscaling-cli-capacity) + [Exemplo 3: aplicação de uma política de escalabilidade com base na baixa utilização de capacidade](#autoscaling-cli-scale-in) + [Exemplo 4: alterar a capacidade do pool com base em uma programação](#autoscaling-cli-schedule) + [Exemplo 5: como aplicar uma política de escalabilidade de rastreamento de destino](#autoscaling-target-tracking) ### Exemplo 1: aplicação de uma política de escalabilidade com base na utilização de capacidade Este exemplo de AWS CLI configura uma política de escalabilidade que expande um pool em 25% se a utilização for >= 75%. O [put-scaling-policy](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/put-scaling-policy.html)comando a seguir define uma política de escalabilidade baseada na utilização: ``` aws application-autoscaling put-scaling-policy -- cli-input-json file://scale-out-utilization.json ``` Os conteúdos do arquivo `scale-out-utilization.json` são os seguintes: ``` { "PolicyName": "policyname", "ServiceNamespace": "workspaces", "ResourceId": "workspacespool/PoolId", "ScalableDimension": "workspaces:workspacespool:DesiredUserSessions", "PolicyType": "StepScaling", "StepScalingPolicyConfiguration": { "AdjustmentType": "PercentChangeInCapacity", "StepAdjustments": [ { "MetricIntervalLowerBound": 0, "ScalingAdjustment": 25 } ], "Cooldown": 120 } } ``` Se o comando tiver êxito, o resultado será semelhante ao seguinte, embora alguns detalhes sejam exclusivos à sua conta e região. Neste exemplo, o identificador de políticas é `e3425d21-16f0-d701-89fb-12f98dac64af`. ``` {"PolicyARN": "arn:aws:autoscaling:us-west-2:123456789012:scalingPolicy:e3425d21-16f0-d701-89fb-12f98dac64af:resource/workspaces/workspacespool/PoolId:policyName/scale-out-utilization-policy"} ``` Agora, configure um CloudWatch alarme para essa política. Use os nomes, a região, o número da conta e o identificador de política que se aplicam a você. Você pode usar o ARN de política retornado pelo comando anterior para o parâmetro `-- alarm-actions`. ``` aws cloudwatch put-metric-alarm --alarm-name alarmname \ --alarm-description "Alarm when Available User Session Capacity exceeds 75 percent" \ --metric-name AvailableUserSessionCapacity \ --namespace AWS/WorkSpaces \ --statistic Average \ --period 300 \ --threshold 75 \ --comparison-operator GreaterThanOrEqualToThreshold \ --dimensions "Name=WorkSpaces pool ID,Value=PoolId" \ --evaluation-periods 1 --unit Percent \ --alarm-actions "arn:aws:autoscaling:your-region-code:account-number-without-hyphens:scalingPolicy:policyid:resource/workspaces/workspacespool/PoolId:policyName/policyname" ``` ### Exemplo 2: aplicação de uma política de escalabilidade com base em erros de capacidade insuficiente Este exemplo de AWS CLI configura uma política de escalabilidade que aumenta o pool em 1 se o pool retornar um erro. `InsufficientCapacityError` O seguinte comando define uma política de escalabilidade com base na capacidade insuficiente: ``` aws application-autoscaling put-scaling-policy -- cli-input-json file://scale-out-capacity.json ``` Os conteúdos do arquivo `scale-out-capacity.json` são os seguintes: ``` { "PolicyName": "policyname", "ServiceNamespace": "workspaces", "ResourceId": "workspacespool/PoolId", "ScalableDimension": "workspaces:workspacespool:DesiredUserSessions", "PolicyType": "StepScaling", "StepScalingPolicyConfiguration": { "AdjustmentType": "ChangeInCapacity", "StepAdjustments": [ { "MetricIntervalLowerBound": 0, "ScalingAdjustment": 1 } ], "Cooldown": 120 } } ``` Se o comando tiver êxito, o resultado será semelhante ao seguinte, embora alguns detalhes sejam exclusivos à sua conta e região. Neste exemplo, o identificador de políticas é `f4495f21-0650-470c-88e6-0f393adb64fc`. ``` {"PolicyARN": "arn:aws:autoscaling:us-west-2:123456789012:scalingPolicy:f4495f21-0650-470c-88e6-0f393adb64fc:resource/workspaces/workspacespool/PoolId:policyName/scale-out-insufficient-capacity-policy"} ``` Agora, configure um CloudWatch alarme para essa política. Use os nomes, a região, o número da conta e o identificador de política que se aplicam a você. Você pode usar o ARN de política retornado pelo comando anterior para o parâmetro `--alarm-actions`. ``` aws cloudwatch put-metric-alarm --alarm-name alarmname \ --alarm-description "Alarm when out of capacity is > 0" \ --metric-name InsufficientCapacityError \ --namespace AWS/WorkSpaces \ --statistic Maximum \ --period 300 \ --threshold 0 \ --comparison-operator GreaterThanThreshold \ --dimensions "Name=Pool,Value=PoolId" \ --evaluation-periods 1 --unit Count \ --alarm-actions "arn:aws:autoscaling:your-region-code:account-number-without-hyphens:scalingPolicy:policyid:resource/workspaces/workspacespool/PoolId:policyName/policyname" ``` ### Exemplo 3: aplicação de uma política de escalabilidade com base na baixa utilização de capacidade Este AWS CLI exemplo configura uma política de escalabilidade que se expande no pool para reduzir a capacidade real quando `UserSessionsCapacityUtilization` está baixa. O seguinte comando define uma política de escalabilidade com base na capacidade excessiva: ``` aws application-autoscaling put-scaling-policy -- cli-input-json file://scale-in-capacity.json ``` Os conteúdos do arquivo `scale-in-capacity.json` são os seguintes: ``` { "PolicyName": "policyname", "ServiceNamespace": "workspaces", "ResourceId": "workspacespool/PoolId", "ScalableDimension": "workspaces:workspacespool:DesiredUserSessions", "PolicyType": "StepScaling", "StepScalingPolicyConfiguration": { "AdjustmentType": "PercentChangeInCapacity", "StepAdjustments": [ { "MetricIntervalUpperBound": 0, "ScalingAdjustment": -25 } ], "Cooldown": 360 } } ``` Se o comando tiver êxito, o resultado será semelhante ao seguinte, embora alguns detalhes sejam exclusivos à sua conta e região. Neste exemplo, o identificador de políticas é `12ab3c4d-56789-0ef1-2345-6ghi7jk8lm90`. ``` {"PolicyARN": "arn:aws:autoscaling:us-west-2:123456789012:scalingPolicy:12ab3c4d-56789-0ef1-2345-6ghi7jk8lm90:resource/workspaces/workspacespool/PoolId:policyName/scale-in-utilization-policy"} ``` Agora, configure um CloudWatch alarme para essa política. Use os nomes, a região, o número da conta e o identificador de política que se aplicam a você. Você pode usar o ARN de política retornado pelo comando anterior para o parâmetro `--alarm-actions`. ``` aws cloudwatch put-metric-alarm --alarm-name alarmname \ --alarm-description "Alarm when Capacity Utilization is less than or equal to 25 percent" \ --metric-name UserSessionsCapacityUtilization \ --namespace AWS/WorkSpaces \ --statistic Average \ --period 120 \ --threshold 25 \ --comparison-operator LessThanOrEqualToThreshold \ --dimensions "Name=Pool,Value=PoolId" \ --evaluation-periods 10 --unit Percent \ --alarm-actions "arn:aws:autoscaling:your-region-code:account-number-without-hyphens:scalingPolicy:policyid:resource/workspaces/workspacespool/PoolId:policyName/policyname" ``` ### Exemplo 4: alterar a capacidade do pool com base em uma programação A alteração da capacidade do pool com base em uma programação permite escalar a capacidade do pool em resposta a alterações previsíveis na demanda. Por exemplo, no início de um dia útil, você pode esperar que um determinado número de usuários solicite conexões de streaming de uma só vez. Para alterar a capacidade do seu pool com base em uma programação, você pode usar a ação da [PutScheduledAction](https://docs.aws.amazon.com/autoscaling/application/APIReference/API_PutScheduledAction.html)API Application Auto Scaling ou o comando CLI [put-scheduled-action](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/put-scheduled-action.html) AWS . Antes de alterar a capacidade do pool, você pode listar a capacidade atual do pool usando o WorkSpaces [describe-workspaces-pools](https://docs.aws.amazon.com/cli/latest/reference/workspaces/describe-workspaces-pools.html) AWS comando CLI. ``` aws workspaces describe-workspaces-pools --name PoolId ``` A capacidade do pool atual será semelhante à seguinte saída (mostrada no formato JSON): ``` { "CapacityStatus": { "AvailableUserSessions": 1, "DesiredUserSessions": 1, "ActualUserSessions": 1, "ActiveUserSessions": 0 }, } ``` Em seguida, use o comando `put-scheduled-action` para criar uma ação programada para alterar a capacidade do pool. Por exemplo, o comando a seguir altera a capacidade mínima para 3 e a capacidade máxima para 5 todos os dias às 9:00 UTC. **nota** Para expressões cron, especifique quando executar a ação em UTC. Para obter mais informações, consulte [Expressões cron](https://docs.aws.amazon.com/AmazonCloudWatch/latest/events/ScheduledEvents.html#CronExpressions). ``` aws application-autoscaling put-scheduled-action --service-namespace workspaces \ --resource-id workspacespool/PoolId \ --schedule="cron(0 9 * * ? *)" \ --scalable-target-action MinCapacity=3,MaxCapacity=5 \ --scheduled-action-name ExampleScheduledAction \ --scalable-dimension workspaces:workspacespool:DesiredUserSessions ``` Para confirmar se a ação programada para alterar a capacidade do seu pool foi criada com sucesso, execute o [describe-scheduled-actions](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/describe-scheduled-actions.html)comando. ``` aws application-autoscaling describe-scheduled-actions --service-namespace workspaces --resource-id workspacespool/PoolId ``` Se a ação programada for criada com êxito, a saída será semelhante ao seguinte. ``` { "ScheduledActions": [ { "ScalableDimension": "workspaces:workspacespool:DesiredUserSessions", "Schedule": "cron(0 9 * * ? *)", "ResourceId": "workspacespool/ExamplePool", "CreationTime": 1518651232.886, "ScheduledActionARN": "", "ScalableTargetAction": { "MinCapacity": 3, "MaxCapacity": 5 }, "ScheduledActionName": "ExampleScheduledAction", "ServiceNamespace": "workspaces" } ] } ``` Para obter mais informações, consulte [Escalabilidade programada](https://docs.aws.amazon.com/autoscaling/application/userguide/application-auto-scaling-scheduled-scaling.html) no *Guia do usuário do Application Auto Scaling*. ### Exemplo 5: como aplicar uma política de escalabilidade de rastreamento de destino Com a escalabilidade de rastreamento de destino, é possível especificar um nível de utilização de capacidade para o pool. Quando você cria uma política de escalabilidade de rastreamento de metas, o Application Auto Scaling cria e CloudWatch gerencia automaticamente os alarmes que acionam a política de escalabilidade. A política de escalabilidade adiciona ou remove capacidade conforme necessário para manter a utilização da capacidade no valor de destino especificado ou próxima a ele. Para garantir a disponibilidade do aplicativo, a escala do pool é expandida horizontalmente de forma proporcional à métrica o mais rápido possível, mas é reduzida gradualmente. O [put-scaling-policy](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/put-scaling-policy.html)comando a seguir define uma política de escalabilidade de rastreamento de metas que tenta manter 75% de utilização da capacidade de um WorkSpaces pool. ``` aws application-autoscaling put-scaling-policy -- cli-input-json file://config.json ``` Os conteúdos do arquivo `config.json` são os seguintes: ``` { "PolicyName":"target-tracking-scaling-policy", "ServiceNamespace":"workspaces", "ResourceId":"workspacespool/PoolId", "ScalableDimension":"workspaces:workspacespool:DesiredUserSessions", "PolicyType":"TargetTrackingScaling", "TargetTrackingScalingPolicyConfiguration":{ "TargetValue":75.0, "PredefinedMetricSpecification":{ "PredefinedMetricType":"WorkSpacesAverageUserSessionsCapacityUtilization" }, "ScaleOutCooldown":300, "ScaleInCooldown":300 } } ``` Se o comando tiver êxito, o resultado será semelhante ao seguinte, embora alguns detalhes sejam exclusivos à sua conta e região. Neste exemplo, o identificador da política é 6d8972f3-efc8-437c-92d1-6270f29a66e7. ``` { "PolicyARN": "arn:aws:autoscaling:us-west-2:123456789012:scalingPolicy:6d8972f3-efc8-437c-92d1-6270f29a66e7:resource/workspaces/workspacespool/PoolId:policyName/target-tracking-scaling-policy", "Alarms": [ { "AlarmARN": "arn:aws:cloudwatch:us-west-2:123456789012:alarm:TargetTracking-workspacespool/PoolId-AlarmHigh-d4f0770c-b46e-434a-a60f-3b36d653feca", "AlarmName": "TargetTracking-workspacespool/PoolId-AlarmHigh-d4f0770c-b46e-434a-a60f-3b36d653feca" }, { "AlarmARN": "arn:aws:cloudwatch:us-west-2:123456789012:alarm:TargetTracking-workspacespool/PoolId-AlarmLow-1b437334-d19b-4a63-a812-6c67aaf2910d", "AlarmName": "TargetTracking-workspacespool/PoolId-AlarmLow-1b437334-d19b-4a63-a812-6c67aaf2910d" } ] } ``` Para obter mais informações, consulte [Políticas de escalabilidade de rastreamento de destino](https://docs.aws.amazon.com/autoscaling/application/userguide/application-auto-scaling-target-tracking.html) no *Guia do usuário do Application Auto Scaling*. ## Recursos adicionais do Para saber mais sobre como usar os comandos da AWS CLI do Application Auto Scaling ou as ações de API, consulte os seguintes recursos: + Seção [application-autoscaling](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling) da *Referência de comandos da AWS CLI * + [Referência à API do Application Auto Scaling](https://docs.aws.amazon.com/autoscaling/application/APIReference/) + [Guia do usuário do Application Auto Scaling](https://docs.aws.amazon.com/autoscaling/application/userguide/) # Como usar o Active Directory com o WorkSpaces Pools É possível vincular seu Windows WorkSpaces por meio do WorkSpaces Pools nos domínios do Microsoft Active Directory e usar os domínios existentes do Active Directory, sejam baseados na nuvem ou no local, para executar instâncias de streaming vinculadas a um domínio. Também é possível usar o AWS Directory Service for Microsoft Active Directory, também conhecido como AWS Managed Microsoft AD, para criar um domínio do Active Directory e usá-lo para oferecer suporte aos recursos do WorkSpaces Pools. Para obter mais informações sobre como usar o AWS Managed Microsoft AD, consulte [Microsoft Active Directory](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/directory_microsoft_ad.html) no *Guia de administração do AWS Directory Service*. Vinculando o WorkSpaces Pools ao domínio do Active Directory, é possível: + Permitir que os usuários e os aplicativos acessem os recursos do Active Directory, como impressoras e compartilhamentos de arquivos, em sessões de streaming. + Use as configurações da Group Policy (Política de grupo) disponíveis no Console de Gerenciamento de Diretiva de Grupo (GPMC) para definir a experiência do usuário final. + Transmitir aplicativos que requerem autenticação dos usuários usando suas credenciais de login do Active Directory. + Aplicar as políticas de conformidade e segurança de sua empresa ao WorkSpaces no WorkSpaces Pools. **Topics** + [Visão geral dos domínios do Active Directory](active-directory-overview.md) + [Antes de começar a usar o Active Directory com WorkSpaces pools](active-directory-prerequisites.md) + [Autenticação baseada em certificado](pools-certificate-based-authentication.md) + [WorkSpaces Administração do Active Directory de pools](active-directory-admin.md) + [Mais informações](active-directory-more-info.md) # Visão geral dos domínios do Active Directory O uso dos domínios do Active Directory com o WorkSpaces Pools exige compreensão de como eles funcionam em conjunto e das tarefas de configuração que precisam ser concluídas. Será necessário concluir as seguintes tarefas: 1. Definir as configurações da Política de grupo conforme necessário para definir a experiência do usuário final e os requisitos de segurança dos aplicativos. 1. Crie o diretório associado ao domínio no WorkSpaces Pools. 1. Criar o aplicativo do WorkSpaces Pools no provedor de identidade SAML 2.0 e atribuí-lo aos usuários finais, diretamente ou por meio de grupos do Active Directory. **Fluxo de autenticação do usuário** 1. O usuário navega até `https://applications.exampleco.com`. A página de logon solicita a autenticação do usuário. 1. O serviço de federação solicita autenticação do armazenamento de identidades da organização. 1. O armazenamento de identidades autentica o usuário e retorna a resposta de autenticação ao serviço de federação. 1. Quando uma autenticação é bem-sucedida, o serviço de federação publica a declaração SAML no navegador do usuário. 1. O navegador do usuário publica a declaração SAML no endpoint SAML do Início de Sessão da AWS (`https://signin.aws.amazon.com/saml`). AWS A página de login recebe uma solicitação SAML, processa a solicitação, autentica o usuário e encaminha o token de autenticação para o serviço do WorkSpaces Pools. 1. O uso do token de autenticação da AWS, WorkSpaces Pools autoriza o usuário e apresenta os aplicativos ao navegador. 1. O usuário escolhe uma aplicação e, dependendo do método de autenticação de login do Windows habilitado no diretório do WorkSpaces Pools, ele é solicitado a inserir sua senha de domínio do Active Directory ou escolher um cartão inteligente. Se os dois métodos de autenticação estiverem habilitados, o usuário poderá escolher entre inserir a senha do domínio ou usar o cartão inteligente. A autenticação baseada em certificado também pode ser usada para autenticar usuários, removendo o prompt. 1. O controlador de domínio é contatado para a autenticação do usuário. 1. Após a autenticação no domínio, a sessão do usuário é iniciada com a conectividade do domínio. Da perspectiva do usuário, esse processo é transparente. O usuário começa navegando até o portal interno da sua organização e é redirecionado para um portal do WorkSpaces Pools, sem precisar inserir credenciais da AWS. Só é necessário usar uma senha de domínio do Active Directory ou credenciais de cartão inteligente. Para que um usuário possa iniciar esse processo, você deve configurar o Active Directory com os direitos e as configurações da Política de grupo necessários e criar um diretório do WorkSpaces Pools vinculado ao domínio. # Antes de começar a usar o Active Directory com WorkSpaces pools Antes de usar domínios do Microsoft Active Directory com WorkSpaces pools, esteja ciente dos seguintes requisitos e considerações. **Topics** + [Ambiente de domínio do Active Directory](#active-directory-prerequisites-domain-environment) + [Associado ao domínio em grupos WorkSpaces WorkSpaces](#active-directory-prerequisites-streaming-instances) + [Configurações da política de grupo](#active-directory-prerequisites-group-policy-settings) + [Autenticação por cartão inteligente](#active-directory-prerequisites-smart-card-authentication) ## Ambiente de domínio do Active Directory + Você deve ter um domínio do Microsoft Active Directory ao qual se juntar ao seu WorkSpaces. Se você não tiver um domínio do Active Directory ou quiser usar seu ambiente local do Active Directory, consulte [Serviços de domínio do Active Directory na AWS nuvem: implantação de referência de início rápido](https://docs.aws.amazon.com/quickstart/latest/active-directory-ds/). + Você deve ter uma conta de serviço de domínio com permissões para criar e gerenciar objetos de computador no domínio que você pretende usar com WorkSpaces Pools. Para obter mais informações, consulte [Como criar uma conta de domínio no Active Directory](https://msdn.microsoft.com/en-us/library/aa545262(v=cs.70).aspx) na documentação da Microsoft. Ao associar esse domínio do Active Directory a WorkSpaces Pools, forneça o nome e a senha da conta de serviço. WorkSpaces Os pools usam essa conta para criar e gerenciar objetos de computador no diretório. Para obter mais informações, consulte [Conceder permissões para criar e gerenciar objetos de computador do Active Directory](active-directory-admin.md#active-directory-permissions). + Ao registrar seu domínio do Active Directory com WorkSpaces Pools, você deve fornecer um nome distinto de unidade organizacional (OU). Crie uma UO para essa finalidade. O contêiner Computers padrão não é uma UO e não pode ser usado por WorkSpaces pools. Para obter mais informações, consulte [Localizar o nome distinto da unidade organizacional](active-directory-admin.md#active-directory-oudn). + Os diretórios que você planeja usar com os WorkSpaces pools devem estar acessíveis por meio de seus nomes de domínio totalmente qualificados (FQDNs) por meio da nuvem privada virtual (VPC) na qual WorkSpaces você foi lançado. Para obter mais informações, consulte [Requisitos da porta do Active Directory e do Active Directory Domain Services](https://technet.microsoft.com/en-us/library/dd772723.aspx) na documentação da Microsoft. ## Associado ao domínio em grupos WorkSpaces WorkSpaces A federação de usuários baseada em SAML 2.0 é necessária para o streaming de aplicativos a partir da associação ao domínio. WorkSpaces Além disso, você deve usar uma imagem do Windows compatível com a associação a um domínio do Active Directory. Todas as imagens públicas publicadas em 24 de julho de 2017 ou depois oferecem suporte ao ingresso em um domínio do Active Directory. ## Configurações da política de grupo Verifique sua configuração para as configurações de política de grupo a seguir. Se necessário, atualize as configurações conforme descrito nesta seção para que elas não impeçam os WorkSpaces pools de autenticar e fazer login nos usuários do seu domínio. Caso contrário, quando seus usuários tentarem fazer login, WorkSpaces o login poderá não ser bem-sucedido. Em vez disso, uma mensagem é exibida, notificando os usuários de que "An unknown error occurred" (Ocorreu um erro desconhecido). + **Computer Configuration > Administrative Templates > Windows Components > Windows Logon Options > Disable or Enable software Secure Attention Sequence**: defina como **Enabled** em **Services**. + **Configuração do Computador > Modelos Administrativos > Sistema > Logon > Excluir provedores de credenciais** – Certifique-se de que os seguintes CLSID *não estejam* listados: `e7c1bab5-4b49-4e64-a966-8d99686f8c7c` + **Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options > Interactive Logon > Interactive Logon: Message text for users attempting to log on**: defina como **Not defined**. + **Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options > Interactive Logon > Interactive Logon: Message title for users attempting to log on**: defina como **Not defined**. ## Autenticação por cartão inteligente WorkSpaces Os pools oferecem suporte ao uso de senhas de domínio do Active Directory ou cartões inteligentes, como cartões inteligentes [Common Access Card (CAC)](https://www.cac.mil/Common-Access-Card) e [Personal Identity Verification (PIV)](https://piv.idmanagement.gov/) para entrar em pools do Windows. WorkSpaces WorkSpaces Para obter informações sobre como configurar seu ambiente do Active Directory para habilitar o login por cartão inteligente usando autoridades de certificação de terceiros (CAs), consulte [Diretrizes para habilitar o login por cartão inteligente com autoridades de certificação de terceiros](https://docs.microsoft.com/en-us/troubleshoot/windows-server/windows-security/enabling-smart-card-logon-third-party-certification-authorities) na documentação da Microsoft. # Autenticação baseada em certificado Você pode usar a autenticação baseada em certificado com WorkSpaces Pools associados ao Microsoft Active Directory. Isso remove o prompt de usuário para a senha do domínio do Active Directory quando um usuário faz login. Ao usar a autenticação baseada em certificado com um domínio do Active Directory, você pode: + Basear-se no seu provedor de identidades SAML 2.0 para autenticar o usuário e fornecer declarações SAML que correspondam ao usuário no Active Directory. + Criar uma experiência de autenticação única com menos prompts de usuário. + Habilitar fluxos de autenticação sem senha usando seu provedor de identidades SAML 2.0. A autenticação baseada em certificado usa Autoridade de Certificação Privada da AWS (CA Privada da AWS) recursos em seu. Conta da AWS Com CA Privada da AWS, você pode criar hierarquias de autoridade de certificação (CA) privada, incluindo raiz e subordinada. CAs Também pode criar sua própria hierarquia de CAs e emitir certificados dela para autenticar usuários internos. Para obter mais informações, consulte [O que é CA Privada da AWS](https://docs.aws.amazon.com/privateca/latest/userguide/PcaWelcome.html). Quando você usa a CA AWS privada para autenticação baseada em certificados, os WorkSpaces Pools solicitam certificados para seus usuários automaticamente na reserva de sessão para cada um WorkSpace em um Pool. WorkSpaces Ele autentica os usuários no Active Directory com um cartão inteligente virtual provisionado com os certificados. A autenticação baseada em certificado é suportada em pools associados ao domínio que executam instâncias do WorkSpaces Windows. **Topics** + [Pré-requisitos](certificate-based-authentication-prereq.md) + [Habilitar a autenticação baseada em certificado](certificate-based-authentication-enable.md) + [Gerenciar a autenticação baseada em certificado](certificate-based-authentication-manage.md) + [Permitir compartilhamento de PCA entre contas](pca-sharing.md) # Pré-requisitos Conclua as etapas a seguir antes de usar a autenticação baseada em certificado. 1. Configure o diretório do WorkSpaces Pools com a integração do SAML 2.0 para usar a autenticação baseada em certificado. Para obter mais informações, consulte [Configure o SAML 2.0 e crie um diretório de WorkSpaces pools](create-directory-pools.md). **nota** Não habilite **Smart card sign in** em seu diretório de pool se quiser usar a autenticação baseada em certificado. 1. Configure o atributo `userPrincipalName` na declaração SAML. Para obter mais informações, consulte [Etapa 7: criar declarações para a resposta de autenticação SAML](create-directory-pools.md#saml-directory-create-assertions). 1. Configure o atributo `ObjectSid` na declaração SAML. Você pode usar esse atributo para realizar um mapeamento robusto com o usuário do Active Directory. A autenticação baseada em certificado falhará se o atributo `ObjectSid` não corresponder ao identificador de segurança (SID) do Active Directory do usuário especificado no `NameID` de SAML\$1Subject. Para obter mais informações, consulte [Etapa 7: criar declarações para a resposta de autenticação SAML](create-directory-pools.md#saml-directory-create-assertions). **nota** De acordo com o [Microsoft KB5014754](https://support.microsoft.com/en-us/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16), o atributo `ObjectSid` se tornará obrigatório para autenticação baseada em certificado após 10 de setembro de 2025. 1. Adicione a permissão `sts:TagSession` à política de confiança do perfil do IAM que você usa com sua configuração do SAML 2.0. Para receber mais informações, consulte [Passar tags de sessão no AWS STS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_session-tags.html.html) no *Guia do usuário do AWS Identity and Access Management*. Essa permissão é necessária para usar a autenticação baseada em certificado. Para obter mais informações, consulte [Etapa 5: criar um perfil do IAM de federação SAML 2.0](create-directory-pools.md#saml-directory-saml-federation-role-in-iam). 1. Crie uma autoridade de certificação (CA) privada usando o AWS Private CA, caso ainda não tenha uma configurada com seu Active Directory. O AWS Private CA é necessário para usar a autenticação baseada em certificado. Para obter mais informações, consulte [Planning your CA Privada da AWS deployment](https://docs.aws.amazon.com/privateca/latest/userguide/PcaPlanning.html) no *Guia do Usuário do Autoridade de Certificação Privada da AWS*. As seguintes configurações do AWS Private CA são comuns para muitos casos de uso de autenticação baseada em certificado: + **Opções de tipos de CA** + **Modo de uso de CA de certificados de curta duração**: recomendado se a CA emitir apenas certificados de usuário final para autenticação baseada em certificado. + **Hierarquia de nível único com uma CA raiz**: escolha uma CA subordinada para integrá-la a uma hierarquia de CAs existente. + **Opções de algoritmos de chave**: RSA 2048 + **Opções de nome distinto de assunto**: use as opções mais apropriadas para identificar essa CA em seu repositório de Autoridades de Certificação Raiz Confiáveis do Active Directory. + **Opções de revogação de certificado**: distribuição de CRL **nota** A autenticação baseada em certificado requer um ponto de distribuição de CRL on-line acessível pelo WorkSpaces no WorkSpaces Pools e pelo controlador do domínio. Isso requer acesso não autenticado ao bucket do Amazon S3 configurado para entradas de CRL do AWS Private CA ou uma distribuição do CloudFront com acesso ao bucket do Amazon S3 caso ele bloqueie o acesso público. Para obter mais informações sobre essas opções, consulte [Planning a certificate revocation list (CRL)](https://docs.aws.amazon.com/privateca/latest/userguide/crl-planning.html) no *Guia do Usuário do Autoridade de Certificação Privada da AWS*. 1. Marque sua CA privada com uma chave denominada `euc-private-ca` a fim de designar a CA para uso com a autenticação baseada em certificado do WorkSpaces Pools. Essa chave não requer um valor. Para obter mais informações, consulte [Managing tags for your private CA](https://docs.aws.amazon.com/privateca/latest/userguide/PcaCaTagging.html) no *Guia do usuário do Autoridade de Certificação Privada da AWS*. 1. A autenticação baseada em certificado usa cartões inteligentes virtuais para fazer login. Para obter mais informações, consulte [Diretrizes para habilitar o logon de cartão inteligente com autoridades de certificação de terceiros](https://learn.microsoft.com/en-us/troubleshoot/windows-server/windows-security/enabling-smart-card-logon-third-party-certification-authorities). Siga estas etapas: 1. Configure controladores de domínio com um certificado de controlador de domínio para autenticar usuários de cartões inteligentes. Se você tiver uma CA corporativa dos Serviços de Certificados do Active Directory configurada em seu Active Directory, ela inscreverá automaticamente os controladores de domínio com certificados que permitem o login por cartão inteligente. Se você não tiver os Serviços de Certificados do Active Directory, consulte [Requisitos para certificados de controlador de domínio de uma AC de terceiros](https://learn.microsoft.com/en-US/troubleshoot/windows-server/windows-security/requirements-domain-controller). Você pode criar um certificado de controlador de domínio com o AWS Private CA. Se fizer isso, não use uma CA privada configurada para certificados de curta duração. **nota** Se você usa o AWS Managed Microsoft AD, pode configurar os Serviços de Certificados em uma instância do Amazon EC2 que atenda aos requisitos de certificados de controlador de domínio. Para conferir exemplos de implantações do AWS Managed Microsoft AD configurado com os Serviços de Certificados do Active Directory, consulte [Deploy Active Directory to a new Amazon Virtual Private Cloud](https://docs.aws.amazon.com/launchwizard/latest/userguide/launch-wizard-ad-deploying-new-vpc.html). Com o AWS Managed Microsoft AD e os Serviços de Certificados do Active Directory, você também deve criar regras de saída do grupo de segurança da VPC do controlador para a instância do Amazon EC2 que executa os Serviços de Certificados. Você deve fornecer ao grupo de segurança acesso à porta TCP 135 e às portas 49152 a 65535 para habilitar o registro automático de certificados. A instância do Amazon EC2 também deve permitir acesso de entrada nessas mesmas portas das instâncias do domínio, incluindo controladores de domínio. Para obter mais informações sobre como localizar o grupo de segurança para o AWS Managed Microsoft AD, consulte [Configurar suas sub-redes VPC e grupos de segurança](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_tutorial_setup_trust_prepare_mad.html#tutorial_setup_trust_open_vpc). 1. No console do AWS Private CA, ou com o SDK ou a CLI, exporte o certificado de CA privada. Para obter mais informações, consulte [Exportação de um certificado privado](https://docs.aws.amazon.com/acm/latest/userguide/export-private.html). 1. Publique a CA privada no Active Directory. Faça login em um controlador de domínio ou em uma máquina associada a um domínio. Copie o certificado de CA privada para qualquer `\` e execute os comandos a seguir como administrador de domínio. Você também pode usar uma política de grupo e a Microsoft PKI Health Tool (PKIView) para publicar a CA. Para obter mais informações, consulte [Instruções de configuração](https://learn.microsoft.com/en-us/troubleshoot/windows-server/windows-security/enabling-smart-card-logon-third-party-certification-authorities#configuration-instructions). ``` certutil -dspublish -f \ RootCA ``` ``` certutil -dspublish -f \ NTAuthCA ``` Verifique se os comandos são concluídos com êxito, depois remova o arquivo do certificado de CA privada. Dependendo das configurações de replicação do Active Directory, pode levar vários minutos para que a CA seja publicada nos controladores de domínio e no WorkSpaces do WorkSpaces Pools. **nota** O Active Directory deve distribuir a CA às Autoridades de Certificação Raiz Confiáveis e aos repositórios Enterprise NTAuth automaticamente para o WorkSpaces no WorkSpaces Pools quando ela se associa ao domínio. **nota** Os controladores de domínio do Active Directory devem estar no modo de compatibilidade para que a imposição do certificado ofereça suporte à autenticação baseada em certificados. Para obter mais informações, consulte [KB5014754: Alterações na autenticação baseada em certificado em controladores de domínio do Windows](https://support.microsoft.com/en-us/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16) na documentação do Suporte Microsoft. Se você estiver usando o Microsoft AD AWS gerenciado, consulte [Definir as configurações de segurança do diretório](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_directory_settings.html) para obter mais informações. # Habilitar a autenticação baseada em certificado Conclua as etapas a seguir para habilitar a autenticação baseada em certificado. **Como habilitar a autenticação baseada em certificado** 1. Abra o WorkSpaces console em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação, selecione **Directories**. 1. Selecione a guia **Diretórios de grupos**. 1. Escolha o diretório que você deseja configurar. 1. Selecione **Editar** na seção **Autenticação** da página. 1. Selecione **Editar autenticação baseada em certificado** na seção **Autenticação baseada em certificado** da página. 1. Selecione **Enable Certificate-Based Authentication**. 1. Selecione o certificado no menu suspenso **AWS Certificate Manager (ACM) Private Certificate Authority (CA)**. Para aparecer no menu suspenso, você deve armazenar a CA privada na mesma Conta da AWS e Região da AWS. Você também deve marcar a CA privada com uma chave chamada `euc-private-ca`. 1. Configure o fallback de login no diretório. O fallback permite que os usuários façam login usando sua senha do domínio do AD se a autenticação baseada em certificado não for bem-sucedida. Isso é recomendado somente nos casos em que os usuários conhecem sua senha do domínio. Quando o fallback estiver desativado, uma sessão poderá desconectar o usuário se ocorrer uma tela de bloqueio ou um desligamento do Windows. Se o fallback estiver ativado, a sessão solicitará ao usuário a senha do domínio do AD. 1. Escolha **Salvar**. A autenticação baseada em certificado está habilitada. Quando os usuários se autenticarem com o SAML 2.0 em um diretório WorkSpaces Pools usando a associação ao domínio WorkSpaces, eles não receberão mais uma solicitação para a senha do domínio. Os usuários verão uma mensagem **Conexão com autenticação baseada em certificado** ao conectar-se a uma sessão habilitada para autenticação baseada em certificado. # Gerenciar a autenticação baseada em certificado Depois de habilitar a autenticação baseada em certificado, revise as tarefas a seguir. ## Certificado de CA privada Em uma configuração típica, o certificado de CA privada tem um período de validade de 10 anos. Para obter mais informações sobre como substituir uma CA privada por um certificado expirado ou reemitir a CA privada com um novo período de validade, consulte [Gerenciar o ciclo de vida da CA privada](https://docs.aws.amazon.com/privateca/latest/userguide/ca-lifecycle.html). ## Certificados de usuário final Os certificados de usuário final emitidos Autoridade de Certificação Privada da AWS pela WorkSpaces For Pools com autenticação baseada em certificados não exigem renovação ou revogação. Esses certificados são de curta duração. WorkSpaces Os pools emitem automaticamente um novo certificado para cada nova sessão ou a cada 24 horas para sessões de longa duração. A sessão WorkSpaces Pools rege o uso desses certificados de usuário final. Se você encerrar uma sessão, os WorkSpaces Pools deixarão de usar esse certificado. Esses certificados de usuário final têm um período de validade mais curto do que uma distribuição típica de Autoridade de Certificação Privada da AWS CRL. Como resultado, os certificados de usuário final não precisam ser revogados e não aparecerão em uma CRL. ## Relatórios de auditoria Você pode criar um relatório de auditoria para listar todos os certificados que sua CA privada emitiu ou revogou. Para obter mais informações, consulte [Como usar relatórios de auditoria com sua CA privada](https://docs.aws.amazon.com/privateca/latest/userguide/PcaAuditReport.html). ## Registro em log e monitoramento Você pode usar CloudTrail para gravar chamadas de API para uma CA privada por WorkSpaces grupos. Para obter mais informações, consulte [O que é AWS CloudTrail?](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html) no *Guia AWS CloudTrail do usuário* e [Usando CloudTrail](https://docs.aws.amazon.com/privateca/latest/userguide/PcaCtIntro.html) no *Guia do Autoridade de Certificação Privada da AWS usuário*. No Histórico de CloudTrail eventos, você pode visualizar **GetCertificate**os nomes dos **IssueCertificate**eventos da fonte de eventos **acm-pca.amazonaws.com** criados pelo nome de usuário do Pools. WorkSpaces **EcmAssumeRoleSession** Esses eventos serão registrados para cada solicitação de autenticação baseada em certificado de WorkSpaces Pools. Para obter mais informações, consulte [Visualização de CloudTrail eventos com histórico](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html) de eventos no *Guia AWS CloudTrail do usuário*. # Permitir compartilhamento de PCA entre contas O compartilhamento entre contas de CA privada (PCA) oferece a capacidade de conceder permissões para que outras contas usem uma CA centralizada. A CA pode gerar e emitir certificados usando o [AWS Resource Access Manager](https://aws.amazon.com/ram/) (RAM) para gerenciar as permissões. Isso elimina a necessidade de uma CA privada em todas as contas. O compartilhamento entre contas de CA privada pode ser usado com a Autenticação Baseada em Certificado de WorkSpaces Aplicativos (CBA) dentro da mesma. Região da AWS Para usar um recurso compartilhado de CA privada com WorkSpaces Pools CBA, conclua as seguintes etapas: 1. Configure a CA privada para CBA de forma centralizadaConta da AWS. Para obter mais informações, consulte [Autenticação baseada em certificado e pessoal WorkSpaces](certificate-based-authentication.md). 1. Compartilhe a CA privada com o recurso Contas da AWS em que os recursos dos WorkSpaces pools utilizam o CBA. Para fazer isso, siga as etapas em [Como usar a AWS RAM para compartilhar sua CA privada do ACM entre](https://aws.amazon.com/blogs/security/how-to-use-aws-ram-to-share-your-acm-private-ca-cross-account/) contas. Você não precisa concluir a etapa 3 para criar um certificado. Você pode compartilhar a CA privada com Contas da AWS individuais ou compartilhar por meio do AWS Organizations. Se você compartilha com contas individuais, precisa aceitar a CA privada compartilhada em sua conta de recurso usando o AWS Resource Access Manager console ou APIs. Ao configurar o compartilhamento, confirme se o compartilhamento de AWS Resource Access Manager recursos da CA privada na conta do recurso está usando o modelo de permissão `AWSRAMBlankEndEntityCertificateAPICSRPassthroughIssuanceCertificateAuthority` gerenciada. Esse modelo se alinha ao modelo de PCA usado pela função de serviço WorkSpaces Pools ao emitir certificados CBA. 1. Depois que o compartilhamento for bem-sucedido, visualize a CA privada compartilhada usando o console da CA privada na conta do recurso. 1. Use a API ou a CLI para associar o ARN privado da CA ao CBA em seu diretório de pools. WorkSpaces No momento, o console WorkSpaces Pools não oferece suporte à seleção de CA privada compartilhada ARNs. Para obter mais informações, consulte a [Amazon WorkSpaces Service API Reference](https://docs.aws.amazon.com/workspaces/latest/api/welcome.html). # WorkSpaces Administração do Active Directory de pools Configurar e usar o Active Directory com WorkSpaces pools envolve as seguintes tarefas administrativas. **Topics** + [Conceder permissões para criar e gerenciar objetos de computador do Active Directory](#active-directory-permissions) + [Localizar o nome distinto da unidade organizacional](#active-directory-oudn) + [Concessão de direitos de administrador local em imagens personalizadas](#active-directory-image-builder-local-admin) + [Bloquear a sessão de streaming quando o usuário está ocioso](#active-directory-session-lock) + [Configurando WorkSpaces pools para usar relações de confiança de domínio](#active-directory-domain-trusts) ## Conceder permissões para criar e gerenciar objetos de computador do Active Directory Para permitir que os WorkSpaces Pools executem operações de objetos de computador do Active Directory, você precisa de uma conta com permissões suficientes. Como uma melhor prática, use uma conta que tenha apenas os privilégios mínimos necessários. As permissões mínimas da unidade organizacional (UO) do Active Directory são as seguintes: + Criar objetos de computador + Alterar senha + Redefinir senha + Gravar descrição Antes de configurar as permissões, é necessário fazer o seguinte: + Obter acesso a um computador ou a uma instância do EC2 ingressada no domínio. + Instale o usuário do Active Directory e o snap-in do MMC de Computadores. Para obter mais informações, consulte [Instalar ou remover ferramentas de administração de servidores remotos para Windows 7](https://technet.microsoft.com/en-us/library/ee449483.aspx) na documentação da Microsoft. + Faça login como um usuário do domínio com as permissões apropriadas para modificar as configurações de segurança da UO. + Crie ou identifique o usuário, a conta de serviço ou o grupo ao qual delegar permissões. **Para configurar permissões mínimas** 1. Abra **Active Directory Users and Computers** (Usuários e computadores do Active Directory) em seu domínio ou no controlador de domínio. 1. No painel de navegação à esquerda, selecione a primeira UO para a qual fornecer privilégios de ingresso no domínio, abra o menu de contexto (clique com o botão direito do mouse) e selecione **Delegate Control** (Delegar controle). 1. Na página **Delegation of Control Wizard**, selecione **Next**, **Add**. 1. Em **Select Users, Computers, or Groups**, selecione o usuário, a conta do serviço ou o grupo pré-criado e escolha **OK**. 1. Na página **Tasks to Delegate** (Tarefas para delegar), selecione **Create a custom task to delegate** (Criar uma tarefa personalizada para delegar) e, em seguida, selecione **Next** (Avançar). 1. Selecione **Only the following objects in the folder**, **Computer objects**. 1. Selecione **Create selected objects in this folder**, **Next**. 1. Em **Permissions**, selecione **Read**, **Write**, **Change Password**, **Reset Password**, **Next**. 1. Na página **Completing the Delegation of Control Wizard**, verifique as informações e selecione **Finish**. 1. Repita as etapas de 2 a 9 para qualquer outra OUs que exija essas permissões. Se você delegou permissões a um grupo, crie um usuário ou conta de serviço com uma senha forte e adicione essa conta ao grupo. Essa conta terá então privilégios suficientes para conectá-la WorkSpaces ao diretório. Use essa conta ao criar a configuração do diretório WorkSpaces Pools. ## Localizar o nome distinto da unidade organizacional Ao registrar seu domínio do Active Directory com WorkSpaces Pools, você deve fornecer um nome distinto de unidade organizacional (OU). Crie uma UO para essa finalidade. O contêiner Computers padrão não é uma UO e não pode ser usado por WorkSpaces pools. O procedimento a seguir mostra como obter esse nome. **nota** O nome distinto deve começar com **OU=** ou não poderá ser usado para objetos de computador. Para concluir esse procedimento, primeiro, é necessário fazer o seguinte: + Obter acesso a um computador ou a uma instância do EC2 ingressada no domínio. + Instale o usuário do Active Directory e o snap-in do MMC de Computadores. Para obter mais informações, consulte [Instalar ou remover ferramentas de administração de servidores remotos para Windows 7](https://technet.microsoft.com/en-us/library/ee449483.aspx) na documentação da Microsoft. + Faça login como um usuário do domínio com as permissões apropriadas para ler as propriedades de segurança da UO. **Para localizar o nome distinto de uma UO** 1. Abra **Active Directory Users and Computers** (Usuários e computadores do Active Directory) em seu domínio ou no controlador de domínio. 1. Em **View**, verifique se a opção **Advanced Features** está habilitada. 1. **No painel de navegação esquerdo, selecione a primeira UO a ser usada para objetos de WorkSpaces computador, abra o menu de contexto (clique com o botão direito do mouse) e escolha Propriedades.** 1. Selecione **Atribuir Editor**. 1. Em **Attributes**, em **distinguishedName**, selecione **View**. 1. Em **Value** (Valor), selecione o nome distinto, abra o menu de contexto e selecione **Copy** (Copiar). ## Concessão de direitos de administrador local em imagens personalizadas Por padrão, os usuários do domínio do Active Directory não têm direitos de administrador local nas imagens. É possível conceder esses direitos usando as preferências da Política de grupo no diretório ou, manualmente, usando a conta do administrador local em uma imagem. A concessão de direitos de administrador local a um usuário do domínio permite que esse usuário instale aplicativos e crie imagens personalizadas em WorkSpaces pools. **Topics** + [Uso de preferências da Política de grupo](#group-policy) + [Usando o grupo Administradores local no WorkSpace para criar imagens](#manual-procedure) ### Uso de preferências da Política de grupo As preferências da Política de grupo podem ser usadas para conceder direitos de administrador local a usuários ou grupos do Active Directory e a todos os objetos de computador na UO especificada. Os usuários ou grupos do Active Directory aos quais você deseja conceder permissões de administrador local já devem existir. Para usar as preferências da Política do grupo, você precisa fazer o seguinte primeiro: + Obter acesso a um computador ou a uma instância do EC2 ingressada no domínio. + Instalar o snap-in do MMC do Console de Gerenciamento de Diretiva de Grupo (GPMC). Para obter mais informações, consulte [Instalar ou remover ferramentas de administração de servidores remotos para Windows 7](https://technet.microsoft.com/en-us/library/ee449483.aspx) na documentação da Microsoft. + Faça login como um usuário do domínio com permissões para criar objetos de Política de Grupo (GPOs). Link GPOs para o apropriado OUs. **Para usar as preferências da Política de grupo para conceder permissões de administrador local** 1. Em seu diretório ou em um controlador de domínio, abra o prompt de comando como um administrador, digite `gpmc.msc` e pressione ENTER. 1. Na árvore do console à esquerda, selecione a UO onde criará um novo GPO ou use um GPO existente e, em seguida, execute uma das seguintes ações: + Crie um novo GPO abrindo o menu de contexto (clique com o botão direito do mouse) e selecionando **Create a GPO in this domain, Link it here** (Criar um GPO neste domínio e vinculá-lo aqui). Em **Name**, forneça um nome descritivo para esse GPO. + Selecione um GPO existente. 1. Abra o menu de contexto do GPO e selecione **Edit** (Editar). 1. Na árvore do console, selecione **Computer Configuration** (Configuração do computador), **Preferences** (Preferências), **Windows Settings** (Configurações do Windows), **Control Panel Settings** (Configurações do Painel de controle) e **Local Users and Groups** (Usuários e grupos locais). 1. Selecione os **Local Users and Groups** (Usuários e grupos locais) marcados, abra o menu de contexto e selecione **New** (Novo), **Local group** (Grupo local). 1. Em **Action**, selecione **Update**. 1. Em **Group name**, selecione **Administrators (built-in)**. 1. Em **Members**, selecione **Add...** e especifique os usuários ou grupos do Active Directory aos quais atribuir direitos de administrador local na instância de streaming. Em **Action**, selecione **Add to this group** e selecione **OK**. 1. Para aplicar esse GPO a outro OUs, selecione a OU adicional, abra o menu de contexto e escolha **Vincular um GPO existente**. 1. Usando o nome do GPO novo ou existente especificado na etapa 2, role até encontrar o GPO e, em seguida, clique em **OK**. 1. Repita as etapas 9 e 10 para obter outras OUs que devem ter essa preferência. 1. Clique em **OK** para fechar a caixa de diálogo **New Local Group Properties** (Propriedades do novo grupo local). 1. Clique em **OK** novamente para fechar o GPMC. Para aplicar a nova preferência ao GPO, interrompa e reinicie todos os construtores de imagens ou frotas em execução. Os usuários e grupos do Active Directory especificados na etapa 8 recebem automaticamente os direitos de administrador local nas frotas e nos construtores de imagens na UO à qual o GPO está vinculado. ### Usando o grupo Administradores local no WorkSpace para criar imagens Para conceder direitos de administrador local aos usuários ou grupos do Active Directory a uma imagem, você pode adicionar esses usuários ou grupos ao grupo de administradores locais na imagem. Os usuários ou grupos do Active Directory aos quais conceder direitos de administrador local já devem existir. 1. Conecte-se ao WorkSpace que você usa para criar imagens. O WorkSpace deve estar em execução e associado ao domínio. 1. Selecione **Start** (Iniciar), **Administrative Tools** (Ferramentas administrativas) e, em seguida, clique duas vezes em **Computer Management** (Gerenciamento de computador). 1. No painel de navegação à esquerda, selecione **Local Users and Groups** e abra a pasta **Groups**. 1. Abra o grupo **Administrators** e selecione **Add...**. 1. Selecione todos os usuários ou grupos do Active Directory aos quais atribuir direitos de administrador local e selecione **OK**. Clique em **OK** novamente para fechar a caixa de diálogo **Administrator Properties** (Propriedades de administrador). 1. Feche o Computer Management (Gerenciamento de computador). 1. Para fazer login como usuário do Active Directory e testar se esse usuário tem direitos de administrador local no WorkSpaces, escolha **Admin Commands**, **Switch user** e insira as credenciais do usuário relevante. ## Bloquear a sessão de streaming quando o usuário está ocioso WorkSpaces Os pools dependem de uma configuração que você define no GPMC para bloquear a sessão de streaming depois que o usuário estiver ocioso por um determinado período de tempo. Para usar o GPMC, primeiro, você precisa fazer o seguinte: + Obter acesso a um computador ou a uma instância do EC2 ingressada no domínio. + Instalar o GPMC. Para obter mais informações, consulte [Instalar ou remover ferramentas de administração de servidores remotos para Windows 7](https://technet.microsoft.com/en-us/library/ee449483.aspx) na documentação da Microsoft. + Faça login como usuário do domínio com permissões para criar GPOs. Link GPOs para o apropriado OUs. **Para bloquear automaticamente a instância de streaming quando o usuário está ocioso** 1. Em seu diretório ou em um controlador de domínio, abra o prompt de comando como um administrador, digite `gpmc.msc` e pressione ENTER. 1. Na árvore do console à esquerda, selecione a UO onde criará um novo GPO ou use um GPO existente e, em seguida, execute uma das seguintes ações: + Crie um novo GPO abrindo o menu de contexto (clique com o botão direito do mouse) e selecionando **Create a GPO in this domain, Link it here** (Criar um GPO neste domínio e vinculá-lo aqui). Em **Name**, forneça um nome descritivo para esse GPO. + Selecione um GPO existente. 1. Abra o menu de contexto do GPO e selecione **Edit** (Editar). 1. Em **User Configuration** (Configuração do usuário), expanda **Policies** (Políticas), **Administrative Templates** (Modelos administrativos), **Control Panel** (Painel de controle) e, em seguida, selecione **Personalization** (Personalização). 1. Clique duas vezes em **Enable screen saver** (Habilitar proteção de tela). 1. Na configuração **Enable screen saver** (Habilitar proteção de tela) da política, escolha **Enabled** (Ativado). 1. Escolha **Apply** e, em seguida, escolha **OK**. 1. Clique duas vezes em **Force specific screen saver** (Forçar proteção de tela específica). 1. Na configuração **Force specific screen saver** (Forçar proteção de tela específica) da política, escolha **Enabled** (Ativado). 1. Em **Screen saver executable name (Nome do arquivo executável da proteção de tela)**, digite **scrnsave.scr**. Quando essa configuração é habilitada, o sistema exibirá uma proteção de tela preta na área de trabalho do usuário. 1. Escolha **Apply** e, em seguida, escolha **OK**. 1. Clique duas vezes em **Password protect the screen saver** (Proteger a proteção de tela com senha). 1. Na configuração **Password protect the screen saver** (Proteger a proteção de tela com senha) da política, escolha **Enabled** (Ativado). 1. Escolha **Apply** e, em seguida, escolha **OK**. 1. Clique duas vezes em **Screen saver timeout** (Tempo limite da proteção de tela). 1. Na configuração **Screen saver timeout** (Tempo limite da proteção de tela) da política, escolha **Enabled** (Ativado). 1. Em **Seconds** (Segundos), especifique o período em que os usuários devem estar ociosos para que a proteção de tela seja aplicada. Para definir o tempo de inatividade como 10 minutos, especifique 600 segundos. 1. Escolha **Apply** e, em seguida, escolha **OK**. 1. Na árvore do console, em **User Configuration** (Configuração do usuário), expanda **Policies** (Políticas), **Administrative Templates** (Modelos administrativos), **System** (Sistema) e, em seguida, clique em **Ctrl\$1Alt\$1Del Options** (Opções de Ctrl\$1Alt\$1Del). 1. Clique duas vezes em **Remove Lock Computer** (Remover bloquear computador). 1. Na configuração de **Remove Lock Computer** (Remover bloquear computador) da política, selecione **Disabled** (Desabilitado). 1. Escolha **Apply** e, em seguida, escolha **OK**. ## Configurando WorkSpaces pools para usar relações de confiança de domínio WorkSpaces Os pools oferecem suporte a ambientes de domínio do Active Directory em que recursos de rede, como servidores de arquivos, aplicativos e objetos de computador, residem em um domínio e os objetos de usuário residem em outro. A conta de serviço de domínio usada para operações de objetos de computador não precisa estar no mesmo domínio que os objetos de computador WorkSpaces Pools. Ao criar a configuração do diretório, especifique uma conta de serviço que tenha as permissões adequadas para gerenciar objetos de computador no domínio do Active Directory onde residem os servidores de arquivos, aplicativos, objetos de computador e outros recursos de rede. Suas contas de usuário final do Active Directory devem ter as permissões “Allowed to Authenticate” (Permissão para Autenticar) referentes ao seguinte: + WorkSpaces Agrupa objetos de computador + Controladores de domínio do domínio Para obter mais informações, consulte [Conceder permissões para criar e gerenciar objetos de computador do Active Directory](#active-directory-permissions). # Mais informações Para obter mais informações relacionadas a este tópico, consulte os recursos a seguir: + [Microsoft Active Directory](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/directory_microsoft_ad.html): informações sobre como usar o Directory Service. # Pacotes e imagens para piscinas WorkSpaces Um *WorkSpace pacote* é uma combinação de um sistema operacional e recursos de armazenamento, computação e software. Ao lançar um WorkSpace, você seleciona o pacote que atende às suas necessidades. Os pacotes padrão disponíveis para WorkSpaces são chamados de *pacotes públicos*. Para obter mais informações sobre os vários pacotes públicos disponíveis WorkSpaces, consulte [Amazon WorkSpaces Bundles](https://aws.amazon.com/workspaces/details/#Amazon_WorkSpaces_Bundles). Se você iniciou um Windows WorkSpace e o personalizou, você pode criar uma imagem personalizada a partir dele WorkSpace para uso com o WorkSpaces Pool. O Linux não é suportado no WorkSpaces Pool. Uma *imagem personalizada* contém somente o sistema operacional, o software e as configurações do WorkSpace. Um *pacote personalizado* é uma combinação dessa imagem personalizada e do hardware a partir do qual um WorkSpace pode ser iniciado. Depois de criar uma imagem personalizada, você pode criar um pacote personalizado que combina a WorkSpace imagem personalizada e a configuração subjacente de computação e armazenamento selecionada. Em seguida, você pode especificar esse pacote personalizado ao criar novos WorkSpaces pools para garantir que os novos WorkSpaces no pool tenham a mesma configuração consistente (hardware e software). Se precisar realizar atualizações de software ou instalar software adicional no seu WorkSpaces, você pode atualizar seu pacote personalizado e usá-lo para reconstruir seu. WorkSpaces WorkSpaces Os pools oferecem suporte a vários sistemas operacionais (SO), protocolos de streaming e pacotes diferentes. A tabela a seguir fornece informações sobre licenciamento, protocolos de streaming e pacotes compatíveis com cada sistema operacional. | Sistema operacional | Licenças | Protocolos de streaming | Pacotes compatíveis | Política de ciclo de vida/data de retirada | | --- | --- | --- | --- | --- | | Windows Server 2019 | Incluído | DCV | Valor, padrão, desempenho, potência, PowerPro | [9 de janeiro de 2029](https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2019) | | Windows Server 2022 | Incluído | DCV | Padrão, desempenho, potência, PowerPro gráficos.G4dn, .G4dn GraphicsPro | [14 de outubro de 2031](https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2022) | **nota** As versões do sistema operacional que não são mais suportadas pelo fornecedor não têm garantia de funcionamento e não são suportadas pelo AWS suporte. **Topics** + [Opções de pacote para WorkSpaces Pools](pools-custom-images-bundles.md) + [Crie uma imagem e um pacote personalizados para piscinas WorkSpaces](pools-images-custom-image.md) + [Gerencie imagens e pacotes personalizados para piscinas WorkSpaces](pools-images-managing.md) + [Usar scripts de sessão para gerenciar a experiência de streaming dos usuários](pools-images-session-scripts.md) # Opções de pacote para WorkSpaces Pools Antes de selecionar um pacote para usar com o WorkSpaces Pool, garanta que ele é compatível com o protocolo, o sistema operacional, a rede e o tipo de computação do seu WorkSpaces. Recomendamos testar a performance dos pacotes que você deseja escolher em um ambiente de teste, executando e usando aplicações que repliquem as tarefas diárias dos usuários. Para obter mais informações sobre protocolos, consulte [Protocolos para WorkSpaces uso pessoal](amazon-workspaces-networking.md#amazon-workspaces-protocols). Para obter mais informações sobre redes consulte [Requisitos de rede de clientes do WorkSpaces Personal](workspaces-network-requirements.md). Os pacotes públicos a seguir podem ser usados com o WorkSpaces Pool. Para obter informações sobre pacotes do WorkSpaces, consulte [Pacotes do Amazon WorkSpaces](https://aws.amazon.com/workspaces/details/#Amazon_WorkSpaces_Bundles). Value, Standard, Performance, Power, PowerPro ## Pacote Value Esse pacote é ideal para: + Edição básica de texto e entrada de dados + Navegação na web com uso leve + Mensagens instantâneas Esse pacote não é recomendado para processamento de texto, audioconferência, videoconferência, compartilhamento de tela, ferramenta de desenvolvimento de software, aplicações de business intelligence e aplicações gráficas. ## Pacote Standard Esse pacote é ideal para: + Edição básica de texto e entrada de dados + Navegação na web + Mensagens instantâneas + E-mail Esse pacote não é recomendado para audioconferência, videoconferência, compartilhamento de tela, processamento de texto, ferramenta de desenvolvimento de software, aplicações de business intelligence e aplicações gráficas ## Pacote Performance Esse pacote é ideal para: + Navegação na web + Processamento de texto + Mensagens instantâneas + E-mail + Planilhas + Processamento de áudio + Material didático eletrônico Esse pacote não é recomendado para videoconferência, compartilhamento de tela, ferramenta de desenvolvimento de software, aplicações de business intelligence e aplicações gráficas ## Pacote Power Esse pacote é ideal para: + Navegação na web + Processamento de texto + E-mail + Mensagens instantâneas + Planilhas + Processamento de áudio + Desenvolvimento de software (ambiente de desenvolvimento integrado [IDE]) + Processamento de dados em nível básico e médio + Audioconferência e videoconferência Esse pacote não é recomendado para compartilhamento de tela, ferramenta de desenvolvimento de software, aplicações de business intelligence e aplicações gráficas. ## Pacote PowerPro Esse pacote é ideal para: + Navegação na web + Processamento de texto + E-mail + Mensagens instantâneas + Planilhas + Processamento de áudio + Desenvolvimento de software (ambiente de desenvolvimento integrado [IDE]) + Data warehousing + Aplicações de business intelligence + Audioconferência e videoconferência Esse pacote não é recomendado para treinamento de modelos de machine learning e aplicações gráficas ## Pacote Graphics.g4dn Esse pacote oferece um alto nível de performance gráfica e um nível moderado de performance de CPU e memória para WorkSpaces, sendo ideal para: + Navegação na web + Processamento de texto + E-mail + Planilhas + Mensagens instantâneas + Audioconferência + Desenvolvimento de software (ambiente de desenvolvimento integrado [IDE]) + Processamento de dados em nível básico e médio + Data warehousing + Aplicações de business intelligence + Design gráfico + CAD/CAM (projeto auxiliado por computador/manufatura auxiliada por computador) Esse pacote não é recomendado para audioconferência, videoconferência, renderização 3D, design fotorrealista e treinamento de modelos de machine learning ## Pacote GraphicsPro.g4dn Esse pacote oferece um alto nível de performance gráfica, performance de CPU e memória para WorkSpaces, sendo ideal para: + Navegação na web + Processamento de texto + E-mail + Planilhas + Mensagens instantâneas + Audioconferência + Desenvolvimento de software (ambiente de desenvolvimento integrado [IDE]) + Processamento de dados em nível básico e médio + Data warehousing + Aplicações de business intelligence + Design gráfico + CAD/CAM (projeto auxiliado por computador/manufatura auxiliada por computador) + Transcodificação de vídeo + Renderização 3D + Design fotorrealista + Streaming de jogos + Treinamento de modelos de machine learning (ML) inferência de ML Esse pacote não é recomendado para audioconferência e videoconferência. # Crie uma imagem e um pacote personalizados para piscinas WorkSpaces WorkSpaces O Pool suporta somente imagens e pacotes do Windows. Se você lançou um Windows ou WorkSpace o personalizou, você pode criar uma imagem personalizada e pacotes personalizados a partir dele. WorkSpace Uma *imagem personalizada* contém somente o sistema operacional, o software e as configurações do WorkSpace. Um *pacote personalizado* é uma combinação dessa imagem personalizada e do hardware a partir do qual um WorkSpace pode ser iniciado. Depois de criar uma imagem personalizada, será possível criar um pacote personalizado que combine a imagem personalizada e a configuração de computação e armazenamento subjacente selecionada. Em seguida, você pode especificar esse pacote personalizado ao iniciar um novo WorkSpaces para garantir que o novo WorkSpaces tenha a mesma configuração consistente (hardware e software). É possível usar a mesma imagem personalizada para criar vários pacotes personalizados selecionando diferentes opções de computação e armazenamento para cada pacote. **Importante** Os volumes de armazenamento de pacotes personalizados não podem ser menores do que os volumes de armazenamento de imagens. Os pacotes personalizados custam o mesmo que os pacotes públicos pelos quais são criados. Para obter mais informações sobre preços, consulte [Amazon WorkSpaces Pricing](https://aws.amazon.com/workspaces/pricing/). **Topics** + [Requisitos para criar imagens personalizadas do Windows](#pools-windows_custom_image_requirements) + [Práticas recomendadas](#pools-custom_image_best_practices) + [Etapa 1: Executar o Verificador de Imagens](#pools-run_image_checker) + [Etapa 2: criar uma imagem personalizada e um pacote personalizado](#pools-create_custom_image_bundle) + [O que está incluído nas imagens WorkSpaces personalizadas do Windows](#pools-image_creation_windows) ## Requisitos para criar imagens personalizadas do Windows **nota** Atualmente, o Windows define 1 GB como 1.073.741.824 bytes. Você deve garantir que eles tenham mais de 12.884.901.888 bytes (ou 12 GiB) livres na unidade C e que o perfil do usuário tenha menos de 10.737.418.240 bytes (ou 10 GiB) para criar uma imagem de a. WorkSpace + O status do WorkSpace deve ser **Disponível** e seu estado de modificação deve ser **Nenhum**. + Todos os aplicativos e perfis de usuário em WorkSpaces imagens devem ser compatíveis com o Microsoft Sysprep. + Todas as aplicações a serem incluídas na imagem devem ser instaladas na unidade `C`. + Todos os serviços de aplicativos executados no WorkSpace devem usar uma conta do sistema local em vez de credenciais de usuário do domínio. Por exemplo, você não pode ter uma instalação do Microsoft SQL Server Express em execução com as credenciais de um usuário do domínio. + Eles não WorkSpace devem ser criptografados. A criação de imagens a partir de uma imagem criptografada não WorkSpace é suportada atualmente. + Os componentes a seguir são necessários em uma imagem. Sem esses componentes, o WorkSpaces que você inicia a partir da imagem não funcionará corretamente. Para obter mais informações, consulte [Componentes de configuração e serviço necessários para o WorkSpaces Personal](required-service-components.md). + Windows PowerShell versão 3.0 ou posterior + Serviços de desktop remoto + AWS Controladores fotovoltaicos + Gerenciamento remoto do Windows (WinRM) + Agentes e motoristas da Teradici PCo IP + Agentes e drivers do STXHD + AWS e WorkSpaces certificados + Agente do Skylight + WorkSpaces Os pools suportam apenas um tamanho máximo de volume raiz de pacote/imagem de 200 GB. Ao criar uma imagem personalizada do Windows, verifique se ela está abaixo do tamanho do volume raiz de 200 GB. ## Práticas recomendadas Antes de criar uma imagem a partir de um WorkSpace, faça o seguinte: + Use uma VPC separada que não esteja conectada ao ambiente de produção. + Implemente o WorkSpace em uma sub-rede privada e use uma instância NAT para tráfego de saída. + Use um pequeno diretório do Simple AD. + Use o menor tamanho de volume para a fonte e WorkSpace, em seguida, ajuste o tamanho do volume conforme necessário ao criar o pacote personalizado. + Instale todas as atualizações do sistema operacional (exceto as atualizações de recursos/versões do Windows) e todas as atualizações de aplicativos no. WorkSpace + Exclua dados em cache do WorkSpace que não devem ser incluídos no pacote (por exemplo, histórico do navegador, arquivos em cache e cookies do navegador). + Exclua as configurações WorkSpace que não devem ser incluídas no pacote (por exemplo, perfis de e-mail). + Alterne para configurações de endereço IP dinâmico usando DHCP. + Verifique se você não excedeu sua cota de WorkSpace imagens permitidas em uma região. Por padrão, você tem permissão para 40 WorkSpace imagens por região. Se você atingiu essa cota, ocorrerão falhas em novas tentativas de criar uma imagem. Para solicitar um aumento de cota, use o [formulário Limites do WorkSpaces ](https://console.aws.amazon.com/support/home#/case/create?issueType=service-limit-increase&limitType=workspaces). + Verifique se você não está tentando criar uma imagem a partir de uma imagem criptografada WorkSpace. A criação de imagens a partir de uma imagem criptografada não WorkSpace é suportada atualmente. + Se você estiver executando algum software antivírus no WorkSpace, desative-o enquanto estiver tentando criar uma imagem. + Se você tiver um firewall habilitado no seu WorkSpace, verifique se ele não está bloqueando nenhuma porta necessária. Para obter mais informações, consulte [Requisitos de endereço IP e porta para o WorkSpaces Personal](workspaces-port-requirements.md). + Para Windows WorkSpaces, não configure nenhum Objeto de Política de Grupo (GPOs) antes da criação da imagem. + Para Windows WorkSpaces, não personalize o perfil de usuário padrão (`C:\Users\Default`) antes de criar uma imagem. Recomendamos fazer todas as personalizações no perfil do usuário e aplicá-las após a criação da imagem. GPOs GPOs podem ser facilmente modificadas ou revertidas e, portanto, são menos propensas a erros do que as personalizações feitas no perfil de usuário padrão. + Certifique-se de atualizar os drivers de dependência de rede, como ENA, NVMe, e drivers PV em seu. WorkSpaces Você deve fazer isso pelo menos uma vez a cada 6 meses. Para obter mais informações, consulte [Install or upgrade Elastic Network Adapter (ENA) driver ](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/enhanced-networking-ena.html#ena-adapter-driver-install-upgrade-win), [Drivers do AWS NVMe for Windows instances](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/aws-nvme-drivers.html) e [Upgrade PV drivers on Windows instances](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/Upgrading_PV_drivers.html). + Certifique-se de atualizar periodicamente os agentes EC2 Config, EC2 Launch e EC2 Launch V2 para as versões mais recentes. Você deve fazer isso pelo menos uma vez a cada 6 meses. Para obter mais informações, consulte [Update EC2 Config and EC2](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/migrating-latest-types.html#upgdate-ec2config-ec2launch) Launch. ## Etapa 1: Executar o Verificador de Imagens Para confirmar se o Windows WorkSpace atende aos requisitos de criação de imagens, recomendamos executar o aplicativo Image Checker. O Image Checker executa uma série de testes sobre o WorkSpace que você deseja usar para criar sua imagem e fornece orientação sobre como resolver quaisquer problemas encontrados. O Image Checker está disponível somente para Windows WorkSpaces. **Importante** Eles WorkSpace devem passar por todos os testes executados pelo Image Checker antes de poder usá-lo para criar imagens. Antes de executar o Image Checker, verifique se as atualizações cumulativas e de segurança mais recentes do Windows estão instaladas no seu. WorkSpace Para obter o Verificador de Imagens, siga um destes procedimentos: + [Reinicie seu. WorkSpace](reboot-workspaces.md) O Verificador de imagens é baixado automaticamente durante a reinicialização e instalado em `C:\Program Files\Amazon\ImageChecker.exe`. + Faça o download do Amazon WorkSpaces Image Checker em [https://tools.amazonworkspaces.comImageChecker/.zip ](https://tools.amazonworkspaces.com/ImageChecker.zip) e extraia o arquivo. `ImageChecker.exe` Copie esse arquivo em `C:\Program Files\Amazon\`. **Como executar o Verificador de Imagens** 1. Abra o arquivo `C:\Program Files\Amazon\ImageChecker.exe`. 1. Na caixa de diálogo **Amazon WorkSpaces Image Checker**, escolha **Executar**. 1. Após a conclusão de cada teste, você pode visualizar o status do teste. Para qualquer teste com o status **Com falha**, selecione **Informações** para exibir informações sobre como resolver o problema que provocou a falha. Para obter mais informações sobre como resolver esses problemas, consulte [Dicas para resolver problemas detectados pelo Verificador de Imagens](#pools-image_checker_tips). Se algum teste exibir o status **AVISO**, selecione o botão **Corrigir todos os avisos**. A ferramenta gera um arquivo de log de saída no mesmo diretório onde o Verificador de Imagens está localizado. Por padrão, esse arquivo está localizado em `C:\Program Files\Amazon\ImageChecker_yyyyMMddhhmmss.log`. Não exclua esse arquivo de log. Se ocorrer um problema, esse arquivo de log poderá ser útil na solução de problemas. 1. Se aplicável, resolva quaisquer problemas que causem falhas e avisos no teste e repita o processo de execução do Image Checker até que WorkSpace ele passe em todos os testes. Todas as falhas e avisos devem ser resolvidos para que você possa criar uma imagem. 1. Depois de WorkSpace passar em todos os testes, você verá uma mensagem de **validação bem-sucedida**. Agora você está pronto para criar um pacote personalizado. ### Dicas para resolver problemas detectados pelo Verificador de Imagens Além de consultar as dicas a seguir para resolver problemas detectados pelo Verificador de imagens, verifique o arquivo de log do Verificador de imagens em `C:\Program Files\Amazon\ImageChecker_yyyyMMddhhmmss.log`. #### PowerShell a versão 3.0 ou posterior deve ser instalada Instale a versão mais recente do [Microsoft Windows PowerShell](https://docs.microsoft.com/powershell). **Importante** A política de PowerShell execução de um WorkSpace deve ser definida para permitir **RemoteSigned**scripts. Para verificar a política de execução, execute o ExecutionPolicy PowerShell comando **Get-**. Se a política de execução não estiver definida como **Irrestrita** ou **RemoteSigned**, execute o ExecutionPolicy RemoteSigned comando **Set- ExecutionPolicy —** para alterar o valor da política de execução. A **RemoteSigned**configuração permite a execução de scripts na Amazon WorkSpaces, o que é necessário para criar uma imagem. #### Somente as unidades C e D podem estar presentes Somente as `D` unidades `C` e podem estar presentes em uma WorkSpace que é usada para geração de imagens. Remova todas as outras unidades, incluindo unidades virtuais. #### Nenhuma reinicialização pendente devido às atualizações do Windows pode ser detectada + O processo de criação de imagem não pode ser executado até que o Windows seja reinicializado para concluir a instalação de atualizações de segurança ou cumulativas. Reinicie o Windows para aplicar essas atualizações e certifique-se de que nenhuma outra atualização de segurança ou cumulativa do Windows precise ser instalada. + A criação de imagens não é suportada em sistemas Windows 10 que foram atualizados de uma versão do Windows 10 para uma versão mais recente do Windows 10 (uma feature/version atualização do Windows). No entanto, as atualizações cumulativas ou de segurança do Windows são suportadas pelo processo de criação de WorkSpaces imagens. #### O arquivo Sysprep deve existir e não pode estar em branco Se houver problemas com seu arquivo Sysprep, entre em contato com o [AWS Support Centro para reparar](https://console.aws.amazon.com/support/home#/) seu EC2 Config ou Launch. EC2 #### O tamanho do perfil do usuário deve ser inferior a 10 GB Para o Windows 7 WorkSpaces, o perfil do usuário (`D:\Users\username`) deve ter menos de 10 GB no total. Remova os arquivos conforme necessário para reduzir o tamanho do perfil do usuário. #### A unidade C deve ter espaço livre suficiente Para o Windows 7 WorkSpaces, você deve ter pelo menos 12 GB de espaço livre na unidade`C`. Remova os arquivos conforme necessário para liberar espaço na unidade `C`. Para o Windows 10 WorkSpaces, ignore se você receber uma `FAILED` mensagem e o espaço em disco estiver acima de 2 GB. #### Nenhum serviço pode estar em execução em uma conta de domínio Para executar o processo de criação de imagem, nenhum serviço no WorkSpace pode ser executado em uma conta de domínio. Todos os serviços devem estar em execução em uma conta local. **Como executar serviços em uma conta local** 1. Abra `C:\Program Files\Amazon\ImageChecker_yyyyMMddhhmmss.log` e localize a lista de serviços que estão em execução em uma conta de domínio. 1. Na caixa de pesquisa do Windows, digite **services.msc** para abrir o Gerenciador de Serviços do Windows. 1. Em **Fazer login como**, procure os serviços que estão em execução em contas de domínio. (Os serviços executados como **Sistema local**, **Local Service Serviço local** ou **Serviço de rede** não interferem na criação de imagens.) 1. Selecione um serviço que esteja em execução em uma conta de domínio e escolha **Ação**, **Propriedades**. 1. Abra a guia **Fazer login**. Em **Fazer login como**, escolha **Conta do sistema local**. 1. Escolha **OK**. #### O WorkSpace deve ser configurado para usar DHCP Você deve configurar todos os adaptadores de rede no WorkSpace para usar DHCP em vez de endereços IP estáticos. **Como definir todos os adaptadores de rede para usar DHCP** 1. Na caixa de pesquisa do Windows, digite **control panel** para abrir o Painel de Controle. 1. Escolha **Rede e Internet**. 1. Escolha **Central de Rede e Compartilhamento**. 1. Escolha **Alterar as configurações do adaptador** e selecione um adaptador. 1. Escolha **Alterar as configurações desta conexão**. 1. **Na guia **Rede**, selecione **Protocolo de Internet Versão 4 (TCP/IPv4)** e escolha Propriedades.** 1. Na caixa de diálogo **Propriedades do Protocolo de Internet Versão 4 (TCP/IPv4)**, selecione **Obter um endereço IP automaticamente**. 1. Escolha **OK**. 1. Repita esse processo para todos os adaptadores de rede no WorkSpace. #### Os Serviços de área de trabalho remota devem estar habilitados O processo de criação de imagem requer que os Serviços de área de trabalho remota sejam habilitados. **Como habilitar os Serviços de área de trabalho remota** 1. Na caixa de pesquisa do Windows, digite **services.msc** para abrir o Gerenciador de Serviços do Windows. 1. Na coluna **Nome** localize **Serviços de área de trabalho remota**. 1. Selecione **Serviços de área de trabalho remota** e, depois, escolha **Ação**, **Propriedades**. 1. Na guia **Geral**, em **Tipo de inicialização**, escolha **Manual** ou **Automático**. 1. Escolha **OK**. #### Deve existir um perfil do usuário O WorkSpace que você está usando para criar imagens deve ter um perfil de usuário (`D:\Users\username`). Se ocorrer uma falha nesse teste, entre em contato com o [AWS Support Center](https://console.aws.amazon.com/support/home#/) para obter assistência. #### O caminho da variável de ambiente deve ser configurado corretamente O caminho da variável de ambiente para a máquina local não tem entradas para System32 e para Windows PowerShell. Essas entradas são necessárias para a execução do processo de criação de imagem. **Como configurar o caminho da variável de ambiente** 1. Na caixa de pesquisa do Windows, insira **environment variables** e escolha **Editar as variáveis de ambiente do sistema**. 1. Na caixa de diálogo **Propriedades do sistema**, abra a guia **Avançado** e escolha **Variáveis de ambiente**. 1. Na caixa de diálogo **Variáveis de ambiente**, em **Variáveis de sistema**, selecione a entrada **Caminho** e escolha **Editar**. 1. Escolha **Novo** e adicione o seguinte caminho: `C:\Windows\System32` 1. Escolha **Novo** novamente e adicione o seguinte caminho: `C:\Windows\System32\WindowsPowerShell\v1.0\` 1. Escolha **OK**. 1. Reinicie WorkSpace o. **dica** A ordem em que os itens aparecem no caminho da variável de ambiente é importante. Para determinar a ordem correta, talvez você queira comparar o caminho da sua variável de ambiente WorkSpace com um de uma instância recém-criada WorkSpace ou nova do Windows. #### O instalador de módulos do Windows deve estar habilitado O processo de criação de imagem requer que o serviço Instalador de módulos do Windows esteja habilitado. **Como habilitar o serviço Instalador de módulos do Windows** 1. Na caixa de pesquisa do Windows, digite **services.msc** para abrir o Gerenciador de Serviços do Windows. 1. Na coluna **Nome**, localize **Instalador de módulos do Windows**. 1. Selecione **Instalador de módulos do Windows** e, depois, escolha **Ação**, **Propriedades**. 1. Na guia **Geral**, em **Tipo de inicialização**, escolha **Manual** ou **Automático**. 1. Escolha **OK**. #### O Amazon SSM Agent deve ser desativado O processo de criação de imagem requer que o serviço Amazon SSM Agent seja desativado. **Como desabilitar o serviço Amazon SSM Agent** 1. Na caixa de pesquisa do Windows, digite **services.msc** para abrir o Gerenciador de Serviços do Windows. 1. Na coluna **Nome**, localize o **Amazon SSM Agent**. 1. Selecione **Amazon SSM Agent** e, depois, escolha **Ação**, **Propriedades**. 1. Na guia **Geral**, em **Tipo de inicialização**, escolha **Desativado**. 1. Escolha **OK**. #### SSL3 e a versão 1.2 do TLS deve estar ativada Para configurar SSL/TLS para Windows, consulte [Como habilitar o TLS 1.2](https://docs.microsoft.com/configmgr/core/plan-design/security/enable-tls-1-2) na documentação do Microsoft Windows. #### Somente um perfil de usuário pode existir no WorkSpace Só pode haver um perfil de WorkSpaces usuário (`D:\Users\username`) no WorkSpace que você está usando para criar imagens. Exclua todos os perfis de usuário que não pertençam ao usuário pretendido do WorkSpace. Para que a criação de imagens funcione, você só WorkSpace pode ter três perfis de usuário nela: + O perfil de usuário do usuário pretendido do WorkSpace (`D:\Users\username`) + O perfil do usuário padrão (também conhecido como perfil padrão) + O perfil do usuário Administrador Se houver perfis do usuário adicionais, será possível excluí-los por meio das propriedades avançadas do sistema no Painel de Controle do Windows. **Como excluir um perfil do usuário** 1. Para acessar as propriedades avançadas do sistema, siga um destes procedimentos: + Pressione a tecla Windows\$1Pause Break e escolha Configurações avançadas do sistema no painel esquerdo da caixa de diálogo Painel de Controle > Sistema e Segurança > Sistema. + Na caixa de pesquisa do Windows, digite **control panel**. No Painel de Controle, escolha Sistema e Segurança, escolha Sistema e, depois, selecione **Configurações avançadas do sistema** no painel esquerdo da caixa de diálogo **Painel de Controle** > **Sistema e Segurança** > **Sistema**. 1. Na caixa de diálogo **Propriedades do sistema** na guia **Avançado** escolha **Configurações** em **Perfis do usuário**. 1. Se houver algum perfil listado que não seja o perfil do administrador, o perfil padrão e o perfil do WorkSpaces usuário pretendido, selecione esse perfil adicional e escolha **Excluir**. 1. Quando perguntado se deseja excluir o perfil, escolha **Sim**. 1. Se necessário, repita as etapas 3 e 4 para remover quaisquer outros perfis que não pertençam ao WorkSpace. 1. Escolha **OK** duas vezes e feche o Painel de Controle. 1. Reinicie WorkSpace o. #### Nenhum pacote AppX pode estar em um estado de preparo Um ou mais pacotes AppX estão em um estado de preparo. Isso pode causar um erro de Sysprep durante a criação da imagem. **Como remover todos os pacotes do AppX preparados** 1. Na caixa de pesquisa do Windows, digite **powershell**. Escolha **Executar como administrador**. 1. Quando perguntado “Deseja permitir que este aplicativo faça alterações no dispositivo?”, escolha **Sim**. 1. Na PowerShell janela do Windows, digite os seguintes comandos para listar todos os pacotes AppX preparados e pressione Enter após cada um. ``` $workSpaceUserName = $env:username ``` ``` $allAppxPackages = Get-AppxPackage -AllUsers ``` ``` $packages = $allAppxPackages | Where-Object { ` (($_.PackageUserInformation -like "*S-1-5-18*" -and !($_.PackageUserInformation -like "*$workSpaceUserName*")) -and ` ($_.PackageUserInformation -like "*Staged*" -or $_.PackageUserInformation -like "*Installed*")) -or ` ((!($_.PackageUserInformation -like "*S-1-5-18*") -and $_.PackageUserInformation -like "*$workSpaceUserName*") -and ` $_.PackageUserInformation -like "*Staged*") } ``` 1. Execute o comando a seguir com privilégios SYSTEM elevados para remover todas as entradas de provisionamento do pacote AppX preparadas e pressione Enter. ``` $packages | Remove-AppxPackage -ErrorAction SilentlyContinue ``` 1. Execute o Verificador de imagens novamente. Se este teste ainda falhar, digite os comandos a seguir para remover todos os pacotes AppX e pressione Enter após cada um. ``` Get-AppxProvisionedPackage -Online | Remove-AppxProvisionedPackage -Online -ErrorAction SilentlyContinue ``` ``` Get-AppxPackage -AllUsers | Remove-AppxPackage -ErrorAction SilentlyContinue ``` #### O Windows não pode ter sido atualizado de uma versão anterior A criação de imagens não é suportada em sistemas Windows que foram atualizados de uma versão do Windows 10 para uma versão mais recente do Windows 10 (uma feature/version atualização do Windows). Para criar imagens, use uma WorkSpace que não tenha passado por uma feature/version atualização do Windows. #### A contagem de rearmação do Windows não deve ser 0 O atributo rearmar permite que você estenda o período de ativação para a versão de avaliação do Windows. O processo de criação de imagem requer que a contagem de rearmação seja um valor diferente de 0. **Como verificar a contagem de rearmação do Windows** 1. No menu **Iniciar** do Windows, escolha **Sistema Windows** e selecione **Prompt de comando**. 1. Na janela Prompt de comando, digite o comando a seguir e depois pressione Enter. `cscript C:\Windows\System32\slmgr.vbs /dlv` Para redefinir a contagem de rearmação como um valor diferente de 0, consulte [ Sysprep (Generalize) uma instalação do Windows](https://docs.microsoft.com/windows-hardware/manufacture/desktop/sysprep--generalize--a-windows-installation) na documentação do Microsoft Windows. #### Outras dicas de solução de problemas Se você WorkSpace passar em todos os testes executados pelo Image Checker, mas ainda não conseguir criar uma imagem a partir do WorkSpace, verifique os seguintes problemas: + Certifique-se de que WorkSpace não esteja atribuído a um usuário dentro de um grupo de **convidados do domínio**. Para verificar se há alguma conta de domínio, execute o PowerShell comando a seguir. ``` Get-WmiObject -Class Win32_Service | Where-Object { $_.StartName -like "*$env:USERDOMAIN*" } ``` + Alguns Objetos de Política de Grupo (GPOs) restringem o acesso à impressão digital do certificado RDP quando ela é solicitada pelo serviço EC2 Config ou pelos scripts EC2 Launch durante a configuração da instância do Windows. Antes de tentar criar uma imagem, mova-a WorkSpace para uma nova unidade organizacional (OU) com herança bloqueada e não GPOs aplicada. + Verifique se o serviço Gerenciamento Remoto do Windows (WinRM) está configurado para ser iniciado automaticamente. Faça o seguinte: 1. Na caixa de pesquisa do Windows, digite `services.msc` para abrir o Gerenciador de Serviços do Windows. 1. Na coluna **Nome** localize **Gerenciamento Remoto do Windows (WS-Management)**. 1. Selecione **Gerenciamento Remoto do Windows (WS-Management)** e escolha **Ação**, **Propriedades**. 1. Na guia **Geral**, em **Tipo de inicialização**, escolha **Automático**. 1. Escolha **OK**. ## Etapa 2: criar uma imagem personalizada e um pacote personalizado Depois de validar sua WorkSpace imagem, conclua o procedimento a seguir para criar sua imagem personalizada e seu pacote personalizado usando o WorkSpaces console. Para criar uma imagem programaticamente, use a ação da CreateWorkspaceImage API. Para obter mais informações, consulte [ CreateWorkspaceImage](https://docs.aws.amazon.com/workspaces/latest/api/API_CreateWorkspaceImage.html)a *Amazon WorkSpaces API Reference*. Para criar um pacote de forma programática, use a ação da API **CreateWorkspaceBundle**. Para obter mais informações, consulte [ CreateWorkspaceBundle](https://docs.aws.amazon.com/workspaces/latest/api/API_CreateWorkspaceBundle.html)a *Amazon WorkSpaces API Reference*. **Para criar uma imagem personalizada e um pacote personalizado usando o console WorkSpaces** 1. Se você ainda estiver conectado ao WorkSpace, desconecte escolhendo **Amazon WorkSpaces** e **Disconnect** no aplicativo WorkSpaces cliente. 1. Abra o WorkSpaces console em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação, escolha **WorkSpaces**. 1. Selecione a WorkSpace para abrir sua página de detalhes e escolha **Criar imagem**. Se o status do WorkSpace for **Parado**, você deverá iniciá-lo primeiro (escolha **Ações**, **Iniciar WorkSpaces**) antes de escolher **Ações**, **Criar imagem**. 1. Uma mensagem é exibida solicitando que você reinicie (reinicie) o seu WorkSpace antes de continuar. Reiniciando suas WorkSpace atualizações, seu WorkSpaces software Amazon para a versão mais recente. Reinicie o seu WorkSpace fechando a mensagem e seguindo as etapas em[Reinicializar um WorkSpace no WorkSpaces Personal](reboot-workspaces.md). Quando terminar, repita a [Step 4](create-custom-bundle.md#step_create_image) desse procedimento, mas desta vez selecione **Próximo** quando a mensagem de reinicialização for exibida. Para criar uma imagem, o status do WorkSpace deve ser **Disponível** e seu estado de modificação deve ser **Nenhum**. 1. Insira um nome de imagem e uma descrição que o ajudarão a identificar a imagem e escolha **Criar imagem**. Enquanto a imagem está sendo criada, o status do WorkSpace é **Suspenso** e indisponível. WorkSpace Não use um caractere especial traço (`-`) na descrição. Isso causará um erro. 1. No painel de navegação, selecione **Imagens**. A imagem estará completa quando o status das WorkSpace alterações for alterado para **Disponível** (isso pode levar até 45 minutos). 1. Selecione a imagem e escolha **Ações**, **Criar pacote**. 1. Insira o nome de um pacote e uma descrição. Depois, faça o seguinte: + Para o **tipo de hardware de pacote**, escolha o hardware a ser usado ao iniciar WorkSpaces a partir desse pacote personalizado. + As combinações de tamanho padrão disponíveis para o volume raiz são 200 GB por WorkSpace. 1. Para confirmar que o pacote foi criado, escolha **Pacotes** e verifique se o pacote está listado. ## O que está incluído nas imagens WorkSpaces personalizadas do Windows Quando você cria uma imagem a partir de um Windows WorkSpace, todo o conteúdo da `C` unidade é incluído. + Contatos + Downloads + Música + Imagens + Jogos salvos + Vídeos + Podcasts + Máquinas virtuais + .virtualbox + Rastreamento + appdata\$1local\$1temp + appdata\$1roaming\$1apple computer\$1mobilesync\$1 + appdata\$1roaming\$1apple computer\$1logs\$1 + appdata\$1roaming\$1apple computer\$1itunes\$1iphone software updates\$1 + appdata\$1roaming\$1macromedia\$1flash player\$1macromedia.com\$1support\$1flashplayer\$1sys\$1 + appdata\$1roaming\$1macromedia\$1flash player\$1\$1sharedobjects\$1 + appdata\$1roaming\$1adobe\$1flash player\$1assetcache\$1 + appdata\$1roaming\$1microsoft\$1windows\$1recent\$1 + appdata\$1roaming\$1microsoft\$1office\$1recent\$1 + appdata\$1roaming\$1microsoft office\$1live meeting + appdata\$1roaming\$1microsoft shared\$1livemeeting shared\$1 + appdata\$1roaming\$1mozilla\$1firefox\$1crash reports\$1 + appdata\$1roaming\$1mcafee\$1common framework\$1 + appdata\$1local\$1microsoft\$1feeds cache + appdata\$1local\$1microsoft\$1windows\$1temporary internet files\$1 + appdata\$1local\$1microsoft\$1windows\$1history\$1 + appdata\$1local\$1microsoft\$1internet explorer\$1domstore\$1 + appdata\$1local\$1microsoft\$1internet explorer\$1imagestore\$1 + appdata\$1locallow\$1microsoft\$1internet explorer\$1iconcache\$1 + appdata\$1locallow\$1microsoft\$1internet explorer\$1domstore\$1 + appdata\$1locallow\$1microsoft\$1internet explorer\$1imagestore\$1 + appdata\$1local\$1microsoft\$1internet explorer\$1recovery\$1 + appdata\$1local\$1mozilla\$1firefox\$1profiles\$1 # Gerencie imagens e pacotes personalizados para piscinas WorkSpaces O processo para gerenciar imagens e pacotes personalizados é o mesmo entre WorkSpaces Personal e WorkSpaces Pool. Para obter mais informações sobre como gerenciar imagens e pacotes, consulte a documentação a seguir na seção WorkSpaces Pessoal deste guia: **nota** A principal diferença entre os pacotes personalizados que você pode usar para o WorkSpaces Personal e os que você pode usar para o WorkSpaces Pool é o sistema operacional e o pacote público básico que podem ser usados. Para os sistemas operacionais e pacotes compatíveis com o WorkSpaces Pool, consulte[ WorkSpaces Pacotes de piscinasBundles Saiba mais sobre os pacotes WorkSpaces Pools. Um *WorkSpace pacote* é uma combinação de um sistema operacional e recursos de armazenamento, computação e software. Ao lançar um WorkSpace, você seleciona o pacote que atende às suas necessidades. Os pacotes padrão disponíveis para WorkSpaces são chamados de *pacotes públicos*. Para obter mais informações sobre os vários pacotes públicos disponíveis WorkSpaces, consulte [Amazon WorkSpaces Bundles](https://aws.amazon.com/workspaces/details/#Amazon_WorkSpaces_Bundles). A tabela a seguir fornece informações sobre licenciamento, protocolos de streaming e pacotes compatíveis com cada sistema operacional. | Sistema operacional | Licenças | Protocolos de streaming | Pacotes compatíveis | | --- | --- | --- | --- | | Windows Server 2019 | Incluído | DCV | Valor, padrão, desempenho, potência, PowerPro | | Windows Server 2022 | Incluído | DCV | Padrão, desempenho, potência, PowerPro gráficos.G4dn, .G4dn GraphicsPro | As versões do sistema operacional que não são mais suportadas pelo fornecedor não têm garantia de funcionamento e não são suportadas pelo AWS suporte. ](instance-types.md#instance-types.title). + [Atualizar um pacote personalizado para o WorkSpaces Personal](update-custom-bundle.md). + [Copiar uma imagem personalizada em WorkSpaces Pessoal](copy-custom-image.md). + [Compartilhar ou cancelar o compartilhamento de uma imagem personalizada do WorkSpaces Personal](share-custom-image.md). + [Excluir uma imagem ou um pacote personalizado no WorkSpaces Personal](delete_bundle.md). # Usar scripts de sessão para gerenciar a experiência de streaming dos usuários WorkSpaces O pool fornece scripts de sessão na instância. Você pode usar esses scripts para executar seus próprios scripts personalizados quando eventos específicos ocorrerem em sessões de streaming dos usuários. Por exemplo, você pode usar scripts personalizados para preparar seu ambiente de WorkSpaces pools antes do início das sessões de streaming dos usuários. Você também pode usar scripts personalizados para limpar instâncias de streaming depois que os usuários concluem as sessões de streaming. Os scripts de sessão são especificados em uma WorkSpace imagem. Esses scripts são executados no contexto do usuário ou do sistema. Se os scripts de sessão usarem a saída padrão para gravar informações, erro ou mensagens de depuração, opcionalmente, eles poderão ser salvos em um bucket do Amazon S3 na sua conta da Amazon Web Services. **Topics** + [Executar scripts antes de iniciar sessões de streaming](#run-scripts-before-streaming-sessions-begin) + [Executar scripts após sessões de streaming](#run-scripts-after-streaming-sessions-end) + [Criar e especificar scripts de sessão](#create-specify-session-scripts) + [Arquivo de configuração de scripts de sessão](#session-script-configuration-file) + [Usando PowerShell arquivos do Windows](#using-powershell-files-with-session-scripts) + [Registro da saída do script de sessão](#logging-session-output) + [Use armazenamento persistente com scripts de sessão](#use-storage-connectors-with-session-scripts) + [Habilitar o armazenamento de buckets do Amazon S3 para logs de script de sessão](#enable-S3-bucket-storage-session-script-logs) ## Executar scripts antes de iniciar sessões de streaming Você pode configurar seus scripts para serem executados, no máximo, 60 segundos antes de iniciar aplicativos de seus usuários e as sessões de streaming começarem. Isso permite que você personalize o ambiente de WorkSpaces pools antes que os usuários comecem a transmitir seus aplicativos. Quando os scripts de sessão forem executados, um símbolo giratório de carregamento será exibido para os usuários. Quando os scripts forem concluídos ou o tempo de espera máximo expirar, a sessão de streaming dos usuários começará. Se seus scripts não forem concluídos, uma mensagem de erro será exibida para os usuários. No entanto, os usuários não podem usar a sessão de streaming. Ao especificar um nome de arquivo em uma instância do Windows, você deve usar duas barras invertidas. Por exemplo: ``` C:\\Scripts\\Myscript.bat ``` Se você não usar uma barra invertida dupla, um erro será exibido para notificá-lo de que o arquivo `.json` está formatado incorretamente. **nota** Quando os scripts forem concluídos, eles deverão retornar um valor 0. Se seus scripts retornarem um valor diferente de 0, WorkSpaces exibirá a mensagem de erro para o usuário. Quando você executar scripts após sessões de streaming, o seguinte processo ocorrerá: 1. Seus usuários se conectam a um WorkSpace WorkSpaces pool que não está associado a um domínio. Eles se conectam usando o SAML 2.0. 1. Acontecerá um dos cenários a seguir: + Se a persistência de configurações de aplicativo estiver habilitada para os usuários, o arquivo de disco rígido virtual (VHD) que armazena as personalizações dos usuários e configurações do Windows será baixado e montado. Nesse caso, é necessário que o usuário faça login no Windows. Para obter informações sobre persistência de configurações de aplicativo, consulte [Ative a persistência das configurações do aplicativo para seus usuários de WorkSpaces Pools](app-settings-persistence.md). + Se a persistência de configurações de aplicativo não estiver habilitada, o usuário do Windows já está conectado. 1. Os scripts de sessão são iniciados. Se o armazenamento persistente estiver habilitado para os usuários, a montagem do conector de armazenamento também será iniciada. Para obter informações sobre armazenamento persistente, consulte [Habilitar e administrar o armazenamento persistente para pools WorkSpaces](persistent-storage.md). **nota** A montagem do conector de armazenamento não precisa terminar para a sessão de streaming iniciar. Se os scripts de sessão forem concluídos antes que a montagem do conector de armazenamento termine, a sessão de streaming será iniciada. Para obter informações sobre como monitorar o status de montagem de conectores de armazenamento, consulte [Use armazenamento persistente com scripts de sessão](#use-storage-connectors-with-session-scripts). 1. Os scripts de sessão terminam ou atingem o tempo limite. 1. A sessão de streaming dos usuários é iniciada. ## Executar scripts após sessões de streaming Você também pode configurar seus scripts para execução após sessões de streaming dos usuários. Por exemplo, você pode executar um script quando os usuários **selecionam Encerrar sessão** na barra de ferramentas do WorkSpaces cliente ou quando atingirem a duração máxima permitida para a sessão. Você também pode usar esses scripts de sessão para limpar o ambiente do WorkSpaces antes que uma instância de streaming seja encerrada. Por exemplo, você pode usar scripts para liberar bloqueios de arquivo ou fazer upload de arquivos de log. Quando você executar scripts após sessões de streaming, o seguinte processo ocorrerá: 1. A sessão de WorkSpaces streaming dos seus usuários termina. 1. Os scripts de encerramento de sessão são iniciados. 1. Os scripts de encerramento de sessão terminam ou atingem o tempo limite. 1. O logout de usuário do Windows ocorre. 1. Um ou os dois itens a seguir ocorrem em paralelo, se aplicável: + Se a persistência das configurações de aplicações estiver habilitada para os usuários, o arquivo VHD das configurações de aplicações que armazena as personalizações dos usuários e as configurações do Windows será desmontado e carregado em um bucket do Amazon S3 em sua conta. + Se o armazenamento persistente estiver habilitado para os usuários, o conector de armazenamento fará uma sincronização final e será desmontado. 1. O WorkSpace está encerrado. ## Criar e especificar scripts de sessão Conclua o procedimento a seguir para criar e especificar scripts de sessão para você WorkSpaces em um WorkSpaces pool. 1. Conecte-se ao Windows a WorkSpaces partir do qual você está criando uma imagem personalizada. 1. Crie o diretório `/AWSEUC/SessionScripts` caso ele ainda não exista. 1. Crie um arquivo de configuração `/AWSEUC/SessionScripts/config.json` caso ele ainda não exista, usando o [modelo de configuração do script de sessão](https://docs.aws.amazon.com/workspaces/latest/adminguide/pools-images-session-scripts.html#session-script-configuration-file). 1. Navegue até `C:\AWSEUC\SessionScripts` e abra o arquivo de configuração `config.json`. Para obter mais informações sobre parâmetros de script de sessão, consulte [Arquivo de configuração de scripts de sessão](#session-script-configuration-file). 1. Depois de fazer as alterações, salve e feche o arquivo `config.json`. 1. Conclua as etapas para criar uma imagem a partir do WorkSpace. Para obter mais informações, consulte [Crie uma imagem e um pacote personalizados para piscinas WorkSpaces](pools-images-custom-image.md). ## Arquivo de configuração de scripts de sessão Para localizar o arquivo de configuração dos scripts de sessão em uma instância do Windows, navegue até `C:\AWSEUC\SessionScripts\config.json`. O arquivo é formatado da maneira a seguir. **nota** O arquivo de configuração está no formato .json. Verifique se qualquer texto que você digitar nesse arquivo está no formato .json válido. ``` { "SessionStart": { "executables": [ { "context": "system", "filename": "", "arguments": "", "s3LogEnabled": true }, { "context": "user", "filename": "", "arguments": "", "s3LogEnabled": true } ], "waitingTime": 30 }, "SessionTermination": { "executables": [ { "context": "system", "filename": "", "arguments": "", "s3LogEnabled": true }, { "context": "user", "filename": "", "arguments": "", "s3LogEnabled": true } ], "waitingTime": 30 } } ``` Você pode usar os seguintes parâmetros no arquivo de configuração de scripts de sessão. **`SessionStart/SessionTermination `** Os scripts de sessão devem ser executados no evento de sessão apropriado com base no nome do objeto. **Tipo:** string **Obrigatório**: não **Valores permitidos:** **SessionStart**, **SessionTermination** **`WaitingTime`** A duração máxima dos scripts de sessão em segundos. **Tipo**: inteiro **Obrigatório**: não **Restrições:** a duração máxima é de 60 segundos. Se os scripts de sessão não forem concluídos dentro desse período, eles serão interrompidos. Se você precisar que um script continue em execução, inicie-o como um processo separado. **`Executables`** Os detalhes dos scripts de sessão para executar. **Tipo:** string **Obrigatório**: Sim **Restrições:** o número máximo de scripts que podem ser executados por evento de sessão é 2 (um para o contexto do usuário e um para o contexto do sistema). **`Context`** O contexto no qual executar o script de sessão. **Tipo:** string **Obrigatório**: Sim **Valores permitidos:** **user**, **system** **`Filename`** O caminho completo para o script de sessão a ser executado. Se esse parâmetro não for especificado, o script de sessão não será executado. **Tipo:** string **Obrigatório**: não **Restrições:** o comprimento máximo do nome do arquivo e do caminho completo é 1.000 caracteres. **Valores permitidos:** **.bat**, **.exe**, **.sh** Você também pode usar PowerShell arquivos do Windows. Para obter mais informações, consulte [Usando PowerShell arquivos do Windows](#using-powershell-files-with-session-scripts). **`Arguments`** Os argumentos do script de sessão ou arquivo executável. **Tipo:** string **Obrigatório**: não **Restrições de tamanho**: o comprimento máximo é de 1.000 caracteres. **`S3LogEnabled`** Quando o valor desse parâmetro for definido como **True**, um bucket do S3 será criado em sua conta da Amazon Web Services para armazenar os logs criados pelo script de sessão. Por padrão, esse valor é definido como **True**. Para obter mais informações, consulte a seção *Registro da saída do script de sessão* mais adiante neste tópico. **Tipo**: booliano **Obrigatório**: não **Valores permitidos:** **True**, **False** ## Usando PowerShell arquivos do Windows Para usar PowerShell arquivos do Windows, especifique o caminho completo para o PowerShell arquivo no `filename` parâmetro: ``` "filename": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe", ``` Em seguida, especifique seu script de sessão no parâmetro **arguments**: ``` "arguments": "-File \"C:\\path\\to\\session\\script.ps1\"", ``` Por fim, verifique se a Política de PowerShell Execução permite que seu PowerShell arquivo seja executado. ## Registro da saída do script de sessão Quando essa opção está habilitada no arquivo de configuração, o WorkSpaces Pool captura automaticamente a saída do script de sessão que é gravado na saída padrão. Essa saída é carregada em um bucket do Amazon S3 em sua conta. Você pode analisar os arquivos de log para solução de problemas ou para fins de depuração. **nota** Os arquivos de log são carregados quando o script de sessão retorna um valor ou o valor definido em **WaitingTime** é atingido, o que ocorrer primeiro. ## Use armazenamento persistente com scripts de sessão Quando o armazenamento WorkSpaces persistente está ativado, o armazenamento começa a ser montado quando os scripts de início da sessão são executados. Se seu script depende da montagem do armazenamento persistente, você pode esperar que os conectores estejam disponíveis. WorkSpaces mantém o status de montagem dos conectores de armazenamento no registro do Windows no Windows WorkSpaces, na seguinte chave: ``` HKEY_LOCAL_MACHINE\SOFTWARE\Amazon\AWSEUC\Storage\\ ``` Os valores de chave de registro são os seguintes: + Nome de usuário fornecido: o ID de usuário fornecido por meio do modo de acesso. Os modos de acesso e um valor para cada modo são os seguintes: + Grupo de usuários: o endereço de e-mail do usuário. + URL de streaming: o UserID. + SAML: o NameID. Se o nome do usuário incluir uma barra (por exemplo, o SAMAccount nome de um usuário do domínio), a barra será substituída por um caractere “-”. + Conector de armazenamento: o conector habilitado para a opção de armazenamento persistente do usuário. Os valores de conector de armazenamento são os seguintes: + HomeFolder Cada chave de registro do conector de armazenamento contém um valor **MountStatus**DWORD. A tabela a seguir lista os valores possíveis para **MountStatus**. **nota** Para visualizar essas chaves de registro, é necessário ter o Microsoft .NET Framework versão 4.7.2 ou posterior instalado em sua imagem. | Valor | Description | | --- | --- | | 0 | Conector de armazenamento não ativado para esse usuário | | 1 | A montagem do conector de armazenamento está em andamento | | 2 | Conector de armazenamento montado com êxito | | 3 | Falha na montagem do conector de armazenamento | | 4 | A montagem do conector de armazenamento está habilitada, mas ainda não ocorreu | ## Habilitar o armazenamento de buckets do Amazon S3 para logs de script de sessão Quando você ativa o login do Amazon S3 na configuração do script da sessão, o WorkSpaces Pool captura a saída padrão do script da sessão. A saída é carregada periodicamente em um bucket do S3 na sua conta da Amazon Web Services. Para cada AWS região, o WorkSpaces Pool cria um bucket em sua conta que é exclusivo para sua conta e para a região. Você não precisa executar tarefas para gerenciar esses buckets do S3. Eles são totalmente gerenciados pelo WorkSpaces serviço. Os arquivos de log armazenados em cada bucket são criptografados em trânsito usando endpoints SSL do Amazon S3 e em repouso usando chaves de criptografia gerenciadas pelo Amazon S3. Os buckets são nomeados em um formato específico da seguinte forma: ``` wspool-logs---random-identifier ``` **``** Esse é o código da AWS região em que o WorkSpaces pool é criado com o armazenamento de bucket do Amazon S3 habilitado para logs de script de sessão. **``** O identificador de sua conta da Amazon Web Services. O ID aleatório garante que não haja conflitos com outros buckets na região. A primeira parte do nome do bucket, `wspool-logs`, não é alterada entre contas ou regiões. Por exemplo, se você especificar scripts de sessão em uma imagem na região Oeste dos EUA (Oregon) (`us-west-2`) no número da conta`123456789012`, o WorkSpaces Pool cria um bucket Amazon S3 dentro da sua conta nessa região com o nome exibido. Somente um administrador com permissões suficientes pode excluir esse bucket. ``` wspool-logs-us-west-2-1234567890123-abcdefg ``` Desabilitar os scripts de seção não exclui nenhum arquivo de log armazenado no bucket do S3. Para excluir permanentemente os arquivos de log, você ou outro administrador com permissões adequadas deve fazer isso usando o console ou a API do Amazon S3. WorkSpaces Os pools adicionam uma política de bucket que evita a exclusão acidental do bucket. Quando os scripts de sessão são habilitados, uma pasta exclusiva é criada para cada sessão de streaming que é iniciada. O caminho para a pasta em que os arquivos de log são armazenados no bucket do S3 em sua conta usa a seguinte estrutura: ``` //////SessionScriptsLogs/ ``` ****** O nome do bucket do S3 no qual os scripts de sessão são armazenados. O formato do nome é descrito anteriormente nesta seção. ****** O nome da pilha da qual a sessão veio. ****** O nome do WorkSpaces Pool em que o script da sessão está sendo executado. ****** O método de identidade do usuário: `custom` para a WorkSpaces API ou CLI, `federated` para SAML e `userpool` para usuários no grupo de usuários. ****** O nome da pasta específica do usuário. Esse nome é criado usando um hash hexadecimal SHA-256 em minúsculas gerado a partir da string de identificador de usuário. ****** O identificador da sessão de streaming do usuário. Cada sessão de streaming de usuário gera um ID exclusivo. ****** O evento que gerou o log de script de sessão. Os valores de evento são: `SessionStart` e `SessionTermination`. A estrutura da pasta de exemplo a seguir aplica-se a uma sessão de streaming iniciada na pilha de teste e na frota de teste. A sessão usa a API do ID do usuário`testuser@mydomain.com`, de um Conta da AWS ID de`123456789012`, e o grupo de configurações `test-stack` na região Oeste dos EUA (Oregon) (`us-west-2`): ``` wspool-logs-us-west-2-1234567890123-abcdefg/test-stack/test-fleet/custom/a0bcb1da11f480d9b5b3e90f91243143eac04cfccfbdc777e740fab628a1cd13/05yd1391-4805-3da6-f498-76f5x6746016/SessionScriptsLogs/SessionStart/ ``` Essa estrutura de pasta de exemplo contém um arquivo de log para um script de início de sessão do contexto do usuário e um arquivo de log para um script de início de sessão do contexto do sistema, se aplicável. # Como monitorar o WorkSpaces Pools O monitoramento é uma parte importante para manter a confiabilidade, a disponibilidade e o desempenho do WorkSpaces Pools. **Topics** + [WorkSpaces Métricas e dimensões de grupos](monitoring-with-cloudwatch.md) # WorkSpaces Métricas e dimensões de grupos WorkSpaces A Amazon envia as seguintes métricas de WorkSpaces grupos e informações de dimensões para a Amazon CloudWatch. WorkSpaces Os pools enviam métricas para CloudWatch uma vez a cada minuto. O namespace `AWS/Workspaces` inclui as métricas a seguir. ## Métricas de uso de pools | Métrica | Description | | --- | --- | | ActiveUserSessionCapacity | O número de sessões de usuário que estão sendo usadas para streaming. Unidades: contagem Estatísticas válidas: média, mínimo, máximo | | ActualUserSessionCapacity | O número total de sessões de pool que estão disponíveis para streaming ou que estão em streaming. 
ActualUserSessionCapacity = AvailableUserSessionCapacity + ActiveUserSessionCapacity
Unidades: contagem Estatísticas válidas: média, mínimo, máximo | | AvailableUserSessionCapacity | O número de sessões de pool ociosas disponíveis para streaming de usuário. 
AvailableUserSessionCapacity = ActualUserSessionCapacity - ActiveUserSessionCapacity
Unidades: contagem Estatísticas válidas: média, mínimo, máximo | | PendingUserSessionCapacity | O número de sessões que estão sendo provisionadas para seu pool. Representa o número adicional de sessões de streaming a que o pool pode oferecer suporte após a conclusão do provisionamento. Unidades: contagem Estatísticas válidas: média, mínimo, máximo | | UserSessionsCapacityUtilization | A porcentagem de sessões que estão sendo usadas em um pool, com base na fórmula a seguir. 
UserSessionCapacityUtilization = (ActiveUserSessionCapacity / ActualUserSessionCapacity) * 100
O monitoramento dessa métrica ajuda nas decisões sobre como aumentar ou diminuir o valor da capacidade desejada de um pool. Unidades: percentual Estatísticas válidas: média, mínimo, máximo | | DesiredUserSessionCapacity | O número total de sessões em execução ou pendentes. Isso representa o número total de sessões simultâneas de streaming às quais seu pool pode oferecer suporte em uma condição estável. 
DesiredUserSessionCapacity = ActualUserSessionCapacity + PendingUserSessionCapacity
Unidades: contagem Estatísticas válidas: média, mínimo, máximo | | InsufficientCapacityError | O número de solicitações de sessão rejeitadas por falta de capacidade. Você pode definir alarmes que usam essa métrica para notificar a respeito de usuários que aguardam sessões de streaming. Unidades: contagem Estatísticas válidas: Média, Mínimo, Máximo, Soma | # Habilitar e administrar o armazenamento persistente para pools WorkSpaces WorkSpaces Os pools oferecem suporte a pastas pessoais para armazenamento persistente. Como administrador de WorkSpaces pools, você deve entender como realizar as seguintes tarefas para habilitar e administrar o armazenamento persistente para seus usuários. **Topics** + [Habilite e administre pastas pessoais para seus usuários de WorkSpaces pools](#home-folders) ## Habilite e administre pastas pessoais para seus usuários de WorkSpaces pools Quando você ativa as pastas iniciais para WorkSpaces Pools, os usuários podem acessar uma pasta de armazenamento persistente durante as sessões de streaming. Não é necessária nenhuma configuração adicional para que os usuários acessem a pasta base. Os dados armazenados por usuários na pasta base são copiados automaticamente para backup em um bucket do Amazon Simple Storage Service na sua conta da Amazon Web Services e são disponibilizados para esses usuários em sessões subsequentes. Os arquivos e as pastas são criptografados em trânsito usando endpoints SSL do Amazon S3. Os arquivos e as pastas são criptografados em repouso usando chaves de criptografia gerenciadas pelo Amazon S3. As pastas pessoais são armazenadas WorkSpaces em WorkSpaces grupos nos seguintes locais padrão: + Para sessão única, non-domain-joined Windows WorkSpaces: `C:\Users\PhotonUser\My Files\Home Folder` + Windows associado a um domínio: WorkSpaces `C:\Users\%username%\My Files\Home Folder` Como administrador, use o caminho aplicável se você configurar suas aplicações para salvar na pasta base. Em alguns casos, os usuários podem não conseguir encontrar as pastas base, pois alguns aplicativos não reconhecem o redirecionamento que exibe a pasta base como uma pasta de nível superior no Explorador de Arquivos. Se esse for o caso, os usuários podem acessar suas pastas base navegando até o mesmo diretório no Explorador de arquivos. **Topics** + [Arquivos e diretórios associados a aplicações de computação intensiva](#storage-solutions-files-directories-associated-with-compute-intensive-applications) + [Habilite pastas pessoais para os usuários de seus WorkSpaces pools](#enable-home-folders) + [Administrar as pastas base](#home-folders-admin) ### Arquivos e diretórios associados a aplicações de computação intensiva Durante as sessões de streaming do WorkSpaces Pools, salvar arquivos e diretórios grandes associados a aplicativos de computação intensiva no armazenamento persistente pode levar mais tempo do que salvar arquivos e diretórios necessários para aplicativos básicos de produtividade. Por exemplo, pode levar mais tempo para que as aplicações salvem uma grande quantidade de dados ou modifiquem os mesmos arquivos com frequência do que para salvar arquivos criados por aplicações que executam uma única ação de gravação. Também pode levar mais tempo para salvar muitos arquivos pequenos. Se seus usuários salvam arquivos e diretórios associados a aplicativos de uso intensivo de computação e as opções de armazenamento persistente de WorkSpaces pools não estão funcionando conforme o esperado, recomendamos que você use uma solução Server Message Block (SMB), como Amazon FSx for Windows File Server ou um gateway de arquivos. AWS Storage Gateway Veja a seguir exemplos de arquivos e diretórios associados a aplicações de computação intensiva que são mais adequados para uso com essas soluções de SMB: + Pastas de espaço de trabalho para ambientes de desenvolvimento integrados () IDEs + Arquivos de bancos de dados locais + Pastas de espaço de rascunho criadas por aplicações de simulação gráfica Para obter mais informações, consulte [Gateways de arquivos](https://docs.aws.amazon.com/storagegateway/latest/userguide/StorageGatewayConcepts.html#file-gateway-concepts) no *Guia do usuário do AWS Storage Gateway *. ### Habilite pastas pessoais para os usuários de seus WorkSpaces pools Antes de habilitar as pastas base, é necessário fazer o seguinte: + Verifique se você tem as permissões AWS Identity and Access Management (IAM) corretas para as ações do Amazon S3. + Use uma imagem criada a partir de uma imagem AWS base lançada em ou após 18 de maio de 2017. + Habilite a conectividade de rede para o Amazon S3 da sua nuvem privada virtual (VPC) configurando o acesso à internet ou um endpoint da VPC para o Amazon S3. Para obter mais informações, consulte [Redes e acesso para o WorkSpaces Pools](managing-network.md) e [Usando endpoints VPC do Amazon S3 para recursos de pools WorkSpaces](managing-network-vpce-iam-policy.md). Você pode ativar ou desativar as pastas base ao criar um diretório (consulte[Configure o SAML 2.0 e crie um diretório de WorkSpaces pools](create-directory-pools.md)) ou depois que o diretório for criado usando o Console de gerenciamento da AWS for WorkSpaces Pools. Para cada região da AWS , as pastas base são copiadas para backup por um bucket do Amazon S3. Na primeira vez que você habilita pastas iniciais para um diretório de WorkSpaces pools em uma AWS região, o serviço cria um bucket do Amazon S3 em sua conta na mesma região. O mesmo bucket é usado para armazenar o conteúdo das pastas base para todos os usuários e todas as pilhas dessa região. Para obter mais informações, consulte [Armazenamento em bucket do Amazon S3](#home-folders-s3). **Para habilitar as pastas base ao criar uma pilha** + Siga as etapas em [Configure o SAML 2.0 e crie um diretório de WorkSpaces pools](create-directory-pools.md) e verifique se a opção **Enable Home Folders (Habilitar pastas base)** está selecionada. **Para habilitar as pastas base de uma pilha existente** 1. Abra o WorkSpaces console em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação à esquerda, selecione **Directories** e selecione o diretório para o qual as pastas base serão habilitadas. 1. Abaixo da lista de diretórios, escolha **Storage** e marque **Enable Home Folders**. 1. Na caixa de diálogo **Enable Home Folders (Habilitar pastas base)**, selecione **Enable (Habilitar)**. ### Administrar as pastas base **Topics** + [Desabilitar pastas base](#home-folders-admin-disabling) + [Armazenamento em bucket do Amazon S3](#home-folders-s3) + [Sincronização do conteúdo da pasta base](#home-folders-content-synchronization) + [Formatos de pastas base](#home-folders-admin-folders) + [Recursos adicionais](#home-folders-admin-additional) #### Desabilitar pastas base Você pode desabilitar as pastas base de uma pilha sem perder o conteúdo de usuários já armazenado nelas. Desabilitar as pastas base de uma pilha tem os seguintes efeitos: + Os usuários que estão conectados a sessões de streaming ativas para a pilha recebem uma mensagem de erro. Eles são informados de que não poderão mais armazenar conteúdo na pasta base. + As pastas base não serão exibidas para novas sessões que usam a pilha com pastas base desabilitadas. + Desabilitar as pastas base para uma pilha não as desabilita para outras pilhas. + Mesmo que as pastas base estejam desativadas para todos os diretórios, os WorkSpaces Pools não excluem o conteúdo do usuário. Para restaurar o acesso às pastas base da pilha, habilite as pastas base novamente seguindo as etapas descritas no tópico anterior. **Para desabilitar as pastas base ao criar uma pilha** + Siga as etapas em [Configure o SAML 2.0 e crie um diretório de WorkSpaces pools](create-directory-pools.md) e verifique se a opção **Enable Home Folders (Habilitar pastas base)** está desmarcada. **Para desabilitar as pastas base de uma pilha existente** 1. Abra o WorkSpaces console em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação à esquerda, selecione **Directories** e selecione o diretório para o qual as pastas base serão habilitadas. 1. Abaixo da lista de diretórios, escolha **Storage** e desmarque **Enable Home Folders**. 1. Na caixa de diálogo **Disable Home Folders (Desabilitar pastas base)**, digite `CONFIRM` (diferencia maiúsculas de minúsculas) para confirmar sua escolha e, em seguida, selecione **Disable (Desabilitar)**. #### Armazenamento em bucket do Amazon S3 WorkSpaces O Pools gerencia o conteúdo do usuário armazenado nas pastas iniciais usando buckets do Amazon S3 criados em sua conta. Para cada AWS região, o WorkSpaces Pools cria um bucket na sua conta. Todo o conteúdo dos usuários gerado de sessões de streaming de pilhas naquela região é armazenado nesse bucket. Os buckets são totalmente gerenciados pelo serviço, sem nenhuma entrada ou configuração de um administrador. Os buckets são nomeados em um formato específico da seguinte forma: ``` wspool-home-folder--- ``` Onde `` está o código da AWS região na qual o diretório é criado e `` é o ID da sua conta da Amazon Web Services e *>random-identifier<* é um número identificador aleatório gerado pelo WorkSpaces serviço. A primeira parte do nome do bucket, `wspool-home-folder-`, não é alterada entre contas ou regiões. Por exemplo, se você habilitar as pastas base para pilhas na região Oeste dos EUA (Oregon) (us-west-2) no número de conta 123456789012, o serviço criará um bucket do Amazon S3 nessa região com o nome exibido. Somente um administrador com permissões suficientes pode excluir esse bucket. ``` wspool-home-folder-us-west-2-123456789012 ``` Conforme mencionado anteriormente, desabilitar as pastas base para pilhas não exclui nenhum conteúdo dos usuários armazenado no bucket do Amazon S3. A exclusão permanente do conteúdo do usuário deve ser feita por um administrador com acesso adequado para fazer isso no console do Amazon S3. WorkSpaces Os pools adicionam uma política de bucket que evita a exclusão acidental do bucket. #### Sincronização do conteúdo da pasta base Quando as pastas pessoais estão habilitadas, os WorkSpaces Pools criam uma pasta exclusiva para cada usuário na qual armazenar seu conteúdo. A pasta é criada como um prefixo exclusivo do Amazon S3 que usa um hash do nome de usuário em um bucket do S3 para sua conta e região da Amazon Web Services. Depois que o WorkSpaces Pools cria a pasta inicial no Amazon S3, ele copia o conteúdo acessado nessa pasta do bucket do S3 para o. WorkSpace Isso permite que o usuário acesse o conteúdo da pasta inicial rapidamente, do WorkSpace WorkSpace Pool, durante a sessão de streaming. As alterações que você faz no conteúdo da pasta inicial de um usuário em um bucket do S3 e que o usuário faz no conteúdo da pasta inicial WorkSpace em um WorkSpace pool são sincronizadas entre o Amazon S3 WorkSpaces e os pools da seguinte forma. 1. No início da sessão de streaming de WorkSpaces Pools de um usuário, WorkSpaces Pools cataloga os arquivos da pasta inicial que são armazenados para esse usuário no bucket do Amazon S3 para sua conta e região da Amazon Web Services. 1. O conteúdo da pasta inicial do usuário também é armazenado WorkSpace nos WorkSpaces Pools dos quais ele transmite. Quando um usuário acessa sua pasta pessoal no WorkSpace, a lista de arquivos catalogados é exibida. 1. WorkSpaces Os pools baixam um arquivo do bucket do S3 para o WorkSpace somente depois que o usuário usa um aplicativo de streaming para abrir o arquivo durante a sessão de streaming. 1. Depois que o WorkSpaces Pools baixa o arquivo para o WorkSpace, a sincronização ocorre depois que o arquivo é acessado 1. Se o usuário alterar o arquivo durante a sessão de streaming, o WorkSpaces Pools fará o upload da nova versão do arquivo WorkSpace para o bucket do S3 periodicamente ou no final da sessão de streaming. No entanto, o arquivo não será baixado do bucket do S3 novamente durante a sessão de streaming. As seções a seguir descrevem o comportamento de sincronização quando você adiciona, substitui ou remove o arquivo da pasta base de um usuário no Amazon S3. **Topics** + [Sincronização de arquivos adicionados à pasta base de um usuário no Amazon S3](#home-folders-content-synchronization-content-added-to-user-home-folder-in-S3) + [Sincronização de arquivos substituídos na pasta base de um usuário no Amazon S3](#home-folders-content-synchronization-content-replaced-in-user-home-folder-S3) + [Sincronização de arquivos removidos da pasta base de um usuário no Amazon S3](#home-folders-content-synchronization-content-removed-from-user-home-folder-S3) ##### Sincronização de arquivos adicionados à pasta base de um usuário no Amazon S3 Se você adicionar um novo arquivo à pasta inicial de um usuário em um bucket do S3, o WorkSpaces Pools cataloga o arquivo e o exibe na lista de arquivos na pasta inicial do usuário em alguns minutos. No entanto, o arquivo não é baixado do bucket do S3 para o WorkSpace até que o usuário abra o arquivo com um aplicativo durante a sessão de streaming. ##### Sincronização de arquivos substituídos na pasta base de um usuário no Amazon S3 Se um usuário abrir um arquivo em sua pasta inicial no WorkSpace Pool durante a sessão de streaming e você substituir o mesmo arquivo em sua pasta inicial em um bucket do S3 por uma nova versão durante a sessão de streaming ativa desse usuário, a nova versão do arquivo não será baixada imediatamente para o. WorkSpace WorkSpace A nova versão é baixada do bucket do S3 para o WorkSpace somente depois que o usuário inicia uma nova sessão de streaming e abre o arquivo novamente. ##### Sincronização de arquivos removidos da pasta base de um usuário no Amazon S3 Se um usuário abrir um arquivo em sua pasta inicial no WorkSpace Pool durante a sessão de streaming e você remover o arquivo da pasta inicial em um bucket do S3 durante a sessão de streaming ativa desse usuário, o arquivo será removido do WorkSpace depois que o usuário fizer uma das seguintes ações: WorkSpace + Abrir a pasta base novamente + Atualizar a pasta base #### Formatos de pastas base A hierarquia da pasta de um usuário depende de como esse usuário inicia uma sessão de streaming, conforme descrito nas seções a seguir. ##### SAML 2.0 Para sessões criadas usando a federação do SAML, a estrutura da pasta do usuário é a seguinte: ``` bucket-name/user/federated/user-id-SHA-256-hash/ ``` Nesse caso, `user-id-SHA-256-hash` é o nome da pasta criada usando uma string hexadecimal hash SHA-256 em letras minúsculas gerada do valor do atributo do SAML `NameID` repassado na solicitação de federação do SAML. Para diferenciar os usuários que possuem o mesmo nome mas que pertencem a dois domínios diferentes, envie a solicitação do SAML com `NameID` no formato `domainname\username`. Para obter mais informações, consulte [Configure o SAML 2.0 e crie um diretório de WorkSpaces pools](create-directory-pools.md). A estrutura da pasta de exemplo a seguir aplica-se ao acesso de sessão usando a federação SAML com `NameID` SAMPLEDOMAIN\$1testuser, ID de conta 123456789012 na região Oeste dos EUA (Oregon): ``` wspool-home-folder-us-west-2-123456789012/user/federated/8dd9a642f511609454d344d53cb861a71190e44fed2B8aF9fde0C507012a9901 ``` Quando parte ou toda a string nameID é capitalizada (como o *SAMPLEDOMAIN* nome do domínio está no exemplo) WorkSpaces , Pools gera o valor de hash com base na capitalização usada na string. Usando esse exemplo, o valor de hash para SAMPLEDOMAIN\$1 testuser é 8 DD9 A642F511609454D344D53 A71190E44 B8 C507012A9901CB861. FED2 AF9 FDE0 Na pasta desse usuário, esse valor é exibido em letas minúsculas, da seguinte forma: 8dd9a642f511609454d344d53cb861a71190e44fed2B8aF9fde0C507012a9901. Você pode identificar a pasta de um usuário gerando o valor de hash SHA-256 de `NameID` usando sites ou bibliotecas de código fonte aberto disponíveis online. #### Recursos adicionais Para obter mais informações sobre como gerenciar buckets do Amazon S3 buckets e práticas recomendadas, consulte os tópicos a seguir no *Guia do usuário do Amazon Simple Storage Service*: + Você pode fornecer acesso off-line aos dados de seus usuários com as políticas do Amazon S3. Para obter mais informações, consulte [Amazon S3: permite que usuários do IAM acessem seus diretórios base do S3 de forma programática e no console](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_examples_s3_home-directory-console.html) no *Guia do usuário do IAM*. + Você pode habilitar o controle de versão de arquivos para conteúdo armazenado em buckets do Amazon S3 usados por pools. WorkSpaces Para obter mais informações, consulte [Usar versionamento](https://docs.aws.amazon.com/AmazonS3/latest/userguide/Versioning.html). # Ative a persistência das configurações do aplicativo para seus usuários de WorkSpaces Pools WorkSpaces Os pools oferecem suporte a configurações persistentes de aplicativos para diretórios baseados no Windows. Isso significa que as personalizações de aplicativos dos usuários e configurações do Windows são salvas automaticamente após cada sessão de streaming e aplicados durante a próxima sessão. Exemplos de configurações persistentes do aplicativo que os usuários podem configurar incluem, entre outros, favoritos do navegador, configurações, sessões de página da web, perfis de conexão de aplicativos, plug-ins e personalizações de interface. Essas configurações são salvas em um bucket do Amazon Simple Storage Service (Amazon S3) em sua conta, dentro da região na qual a persistência AWS das configurações do aplicativo está habilitada. Eles estão disponíveis em cada sessão de streaming do WorkSpaces Pools. **nota** Cobranças padrão do Amazon S3 podem ser aplicadas a dados armazenados no bucket do S3. Para obter mais informações, consulte [Preços do Amazon S3](https://aws.amazon.com/s3/pricing/). **Topics** + [Como a persistência de configurações de aplicativo funciona](how-it-works-app-settings-persistence.md) + [Como habilitar a persistência de configurações de aplicativo](enabling-app-settings-persistence.md) + [Administre as configurações do aplicativo VHDs para seus usuários](administer-app-settings-vhds.md) # Como a persistência de configurações de aplicativo funciona Configurações persistentes de aplicativo são salvas em um arquivo de disco rígido virtual (VHD). Esse arquivo é criado na primeira vez que o usuário transmite um aplicativo de um diretório em que a persistência de configurações de aplicativo é habilitada. Se o WorkSpace Pool associado ao diretório for baseado em uma imagem que contém configurações padrão do aplicativo e do Windows, as configurações padrão serão usadas para a primeira sessão de streaming do usuário. Quando a sessão de streaming termina, o VHD é desmontado e carregado em um bucket do Amazon S3 dentro de sua conta. O bucket é criado quando você ativa as configurações persistentes do aplicativo pela primeira vez para um diretório em uma AWS região. O bucket é exclusivo para sua AWS conta e para a região. [O VHD é criptografado em trânsito usando endpoints SSL do Amazon S3 e em repouso usando Managed.AWS CMKs](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#aws-managed-cmk) O VHD é montado WorkSpace em ambos `C:\Users\%username%` e. `D:\%username%` Se você não WorkSpace estiver associado a um domínio do Active Directory, o nome de usuário do Windows será PhotonUser. Se você WorkSpace estiver associado a um domínio do Active Directory, o nome de usuário do Windows será o do usuário conectado. A persistência de configurações de aplicativo não funciona em versões de sistemas operacionais diferentes. Por exemplo, se você habilitar a persistência das configurações do aplicativo para um WorkSpace Pool que usa uma imagem do Windows Server 2019, se você atualizar o WorkSpace Pool para usar uma imagem que executa um sistema operacional diferente (como o Windows Server 2022), as configurações das sessões de streaming anteriores não serão salvas para os usuários do diretório. Em vez disso, depois de atualizar o WorkSpace Pool para usar a nova imagem, quando os usuários iniciam uma sessão de streaming a partir de um WorkSpace, um novo perfil de usuário do Windows é criado. No entanto, se você aplicar uma atualização para o mesmo sistema operacional da imagem, as personalizações dos usuários e as configurações de sessões de streaming anteriores serão salvas. Quando as atualizações do mesmo sistema operacional são aplicadas a uma imagem, o mesmo perfil de usuário do Windows é usado quando os usuários iniciam uma sessão de streaming a partir do WorkSpace. **Importante** WorkSpaces Os pools oferecem suporte a aplicativos que dependem da [API de Proteção de Dados da Microsoft](https://docs.microsoft.com/en-us/windows/desktop/seccng/cng-dpapi) somente quando associados WorkSpace a um domínio do Microsoft Active Directory. Nos casos em que a não WorkSpace está associado a um domínio do Active Directory, o usuário do Windows, PhotonUser, é diferente em cada um WorkSpace. Devido à maneira como o modelo de segurança da DPAPI funciona, as senhas dos usuários não persistem para aplicativos que usam a DPAPI nesse cenário. Nos casos em que WorkSpaces estão associados a um domínio do Active Directory e o usuário é um usuário do domínio, o nome de usuário do Windows é o do usuário conectado e as senhas dos usuários persistem para aplicativos que usam DPAPI. WorkSpaces Os pools salvam automaticamente todos os arquivos e pastas nesse caminho, exceto as seguintes pastas: + Contatos + Área de Trabalho + Documentos + Downloads + Links + Imagens + Jogos salvos + Pesquisas + Vídeos Os arquivos e pastas criados fora dessas pastas são salvos no VHD e sincronizados ao Amazon S3. O tamanho máximo de VHD padrão é 5 GB para Pools. O tamanho do VHD salvo é o tamanho total dos arquivos e pastas que ele contém. WorkSpaces Os pools salvam automaticamente a `HKEY_CURRENT_USER` seção de registro para o usuário. Para novos usuários (usuários cujos perfis não existem no Amazon S3), o WorkSpaces Pools cria o perfil inicial usando o perfil padrão. Esse perfil é criado no seguinte local no construtor de imagens: `C:\users\default`. **nota** O VHD inteiro deve ser baixado para o WorkSpace antes que uma sessão de streaming possa começar. Por esse motivo, um VHD que contém uma grande quantidade de dados pode atrasar o início da sessão de streaming. Para obter mais informações, consulte [Melhores práticas para habilitar a persistência de configurações de aplicativo](enabling-app-settings-persistence.md#best-practices-app-settings-persistence). Quando você habilitar a persistência de configurações do aplicativo, você deve especificar um grupo de configurações. O grupo de configurações determina quais configurações salvas do aplicativo são usadas para uma sessão de streaming desse diretório. WorkSpaces Os pools criam um novo arquivo VHD para o grupo de configurações que é armazenado separadamente no bucket do S3 em sua AWS conta. Se o grupo de configurações for compartilhado entre diretórios, as mesmas configurações do aplicativo são usadas em cada diretório. Se um diretório exigir suas próprias configurações de aplicativo, especifique um grupo de configurações exclusivo para o diretório. # Como habilitar a persistência de configurações de aplicativo **Topics** + [Pré-requisitos para habilitar a persistência de configurações de aplicativo](#prerequisites-app-settings-persistence) + [Melhores práticas para habilitar a persistência de configurações de aplicativo](#best-practices-app-settings-persistence) + [Como habilitar persistência de configurações de aplicativo](#howto-enable-app-settings-persistence) ## Pré-requisitos para habilitar a persistência de configurações de aplicativo Para habilitar a persistência de configurações do aplicativo, você deve primeiro fazer o seguinte: + Use uma imagem criada a partir de uma imagem base publicada AWS em ou após 7 de dezembro de 2017. + Habilite a conectividade de rede para o Amazon S3 da sua nuvem privada virtual (VPC) configurando o acesso à internet ou um endpoint da VPC para o Amazon S3. Para obter mais informações, consulte a seção *Pastas base e VPC endpoints* em [Redes e acesso para o WorkSpaces Pools](managing-network.md). ## Melhores práticas para habilitar a persistência de configurações de aplicativo Para habilitar a persistência das configurações do aplicativo sem fornecer acesso à Internet WorkSpaces, use um VPC endpoint. Esse endpoint deve estar na VPC à qual WorkSpaces seus pools estão WorkSpaces conectados. Você deve anexar uma política personalizada para permitir que os WorkSpaces Pools acessem o endpoint. Para obter informações sobre como criar a política personalizada, consulte a seção *Pastas base e VPC endpoints* em [Redes e acesso para o WorkSpaces Pools](managing-network.md). Para obter mais informações sobre endpoints privados do Amazon S3, consulte [Conceitos do AWS PrivateLink](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints.html) e [Endpoints de gateway para o Amazon S3](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints-s3.html) no *Guia do usuário do Amazon VPC*. ## Como habilitar persistência de configurações de aplicativo Você pode ativar ou desativar a persistência das configurações do aplicativo ao criar um diretório ou após a criação do diretório usando o WorkSpaces console. Para cada região da AWS , as configurações persistentes de aplicações são armazenadas em um bucket do S3 na sua conta. Na primeira vez que você ativa a persistência das configurações do aplicativo para um diretório em uma AWS região, o WorkSpaces Pools cria um bucket do S3 em sua AWS conta na mesma região. O mesmo bucket armazena o arquivo VHD de configurações do aplicativo para todos os usuários e todos os diretórios dessa AWS região. Para obter mais informações, consulte *Amazon S3 Bucket Storage* em [Administre as configurações do aplicativo VHDs para seus usuários](administer-app-settings-vhds.md). **Para habilitar persistência de configurações de aplicativo enquanto cria um diretório** + Siga as etapas em [Configure o SAML 2.0 e crie um diretório de WorkSpaces pools](create-directory-pools.md), e garanta que **Enable Application Settings Persistence (Habilitar persistência de configurações de aplicativo)** está selecionado. **Para habilitar persistência de configurações de aplicativo para um diretório existente** 1. Abra o WorkSpaces console em [https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home). 1. No painel de navegação à esquerda, selecione **Pools** e selecione o pool para o qual habilitará a persistência do aplicativo. 1. Selecione **Edite** na seção de **Configurações** da página. 1. Na seção **Persistência do Aplicativo** da página, escolha **Habilitar persistência de configurações de aplicativo**. 1. Escolha **Salvar alterações**. Novas sessões de streaming agora têm a persistência das configurações do aplicativo habilitada. # Administre as configurações do aplicativo VHDs para seus usuários **Topics** + [Armazenamento em bucket do Amazon S3](#app-persistence-s3-buckets) + [Redefinir as configurações de aplicativo de um usuário](#app-persistence-s3-reset) + [Habilitar o versionamento de objetos do Amazon S3 e reverter as configurações de aplicações do usuário](#app-persistence-enable-versions-revert-settings) + [Aumentar o tamanho das configurações de aplicativo VHD](#app-persistence-increase-VHD-size) ## Armazenamento em bucket do Amazon S3 Quando você ativa a persistência das configurações do aplicativo, as personalizações do aplicativo dos seus usuários e as configurações do Windows são salvas automaticamente em um arquivo de disco rígido virtual (VHD) que é armazenado em um bucket do Amazon S3 criado em sua conta. AWS Para cada AWS região, o WorkSpaces Pools cria um bucket em sua conta que é exclusivo para sua conta e para a região. Todas as configurações do aplicativo configurado por seus usuários são armazenadas no bucket dessa região. Você não precisa realizar nenhuma tarefa de configuração para gerenciar esses buckets do S3; eles são totalmente gerenciados pelo serviço WorkSpaces Pools. [O arquivo VHD armazenado em cada bucket é criptografado em trânsito usando os endpoints SSL do Amazon S3 e em repouso usando o Managed.AWS CMKs](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#aws-managed-cmk) Os buckets são nomeados em um formato específico da seguinte forma: ``` wspool-app-settings--- ``` ***region-code*** Esse é o código da AWS região em que o diretório é criado com a persistência das configurações do aplicativo. ***account-id-without-hyphens*** O ID AWS da sua conta. O identificador aleatório garante que não haja conflitos com outros buckets na região. A primeira parte do nome do bucket, `wspool-app-settings`, não é alterada entre contas ou regiões. Por exemplo, se você ativar a persistência das configurações do aplicativo para diretórios na região Oeste dos EUA (Oregon) (us-west-2) na conta número 123456789012, WorkSpaces Pools cria um bucket do Amazon S3 dentro da sua conta nessa região com o nome exibido. Somente um administrador com permissões suficientes pode excluir esse bucket. ``` wspool-app-settings-us-west-2-1234567890123-abcdefg ``` A desativação da persistência das configurações do aplicativo não exclui nenhuma VHDs armazenada no bucket do S3. Para excluir permanentemente as configurações VHDs, você ou outro administrador com permissões adequadas deve fazer isso usando o console ou a API do Amazon S3. WorkSpaces Os pools adicionam uma política de bucket que evita a exclusão acidental do bucket. Quando a persistência das configurações do aplicativo estiver habilitada, uma pasta exclusiva será criada para cada grupo de configurações para armazenar o VHD de configurações. A hierarquia da pasta no bucket do S3 depende de como o usuário ativa uma sessão de streaming, conforme descrito na seção a seguir. O caminho para a pasta em que o VHD de configurações é armazenado no bucket do S3 em sua conta usa a seguinte estrutura: ``` bucket-name/Windows/prefix/settings-group/access-mode/user-id-SHA-256-hash ``` ***bucket-name*** O nome do bucket do S3 no qual as configurações do aplicativo dos usuários são armazenadas. O formato do nome é descrito anteriormente nesta seção. ***prefix*** O prefixo específico da versão do Windows. Por exemplo, v4 para Windows Server 2012 R2. ***settings-group*** O valor do grupo de configurações. Esse valor é aplicado a um ou mais diretórios que compartilham as mesmas configurações do aplicativo. ***access-mode*** O método de identidade do usuário: `custom` para a API ou CLI de WorkSpaces grupos de grupos de usuários, `federated` para SAML e `userpool` para usuários de grupos de usuários. ***user-id-SHA-256-hash*** O nome da pasta específica do usuário. Esse nome é criado usando um hash hexadecimal SHA-256 em minúsculas gerado a partir da string de ID de usuário. O exemplo de estrutura de pastas a seguir se aplica a uma sessão de streaming que é acessada usando a API ou a CLI com um ID de usuário`testuser@mydomain.com`, um Conta da AWS ID de `123456789012` e o grupo de configurações `test-stack` na região Oeste dos EUA (Oregon) (us-west-2): ``` wspool-app-settings-us-west-2-1234567890123-abcdefg/Windows/v4/test-stack/custom/a0bcb1da11f480d9b5b3e90f91243143eac04cfccfbdc777e740fab628a1cd13 ``` Você pode identificar a pasta de um usuário gerando o valor de hash SHA-256 de ID de usuário em letras minúsculas usando sites ou bibliotecas de código aberto disponíveis online. ## Redefinir as configurações de aplicativo de um usuário Para redefinir as configurações do aplicativo de um usuário, você deve encontrar e excluir o VHD e o arquivo de metadados associado do bucket do S3 em sua conta. AWS Certifique-se de não fazer isso durante uma sessão de streaming ativa do usuário. Depois de excluir o VHD do usuário e o arquivo de metadados, na próxima vez que o usuário iniciar uma sessão de uma instância de streaming com a persistência das configurações do aplicativo ativada, o WorkSpaces Pools criará um novo VHD de configurações para esse usuário. **Para redefinir as configurações de aplicativo de um usuário** 1. Abra o console do Amazon S3 em [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/). 1. Na lista **Nome do bucket**, escolha o nome do bucket do S3 que contém o VHD das configurações do aplicativo que você deseja redefinir. 1. Localize a pasta que contém o VHD. Para obter mais informações sobre como navegar na estrutura de pastas do bucket do S3, consulte *Armazenamento do bucket do Amazon S3* anteriormente neste tópico. 1. Na lista **Nome**, marque a caixa de seleção ao lado do VHD e REG, selecione **Mais** e **Excluir**. 1. Na caixa de diálogo **Excluir objetos**, verifique se o VHD e o REG estão listados e selecione **Excluir**. Na próxima vez que o usuário transmitir de um pool em que a persistência de configurações de aplicativo está ativada com o pool de configurações aplicável, um novo VHD de configuração de aplicativo é criado. Este VHD é salvo no bucket do S3 no final da sessão. ## Habilitar o versionamento de objetos do Amazon S3 e reverter as configurações de aplicações do usuário Você pode usar o versionamento de objetos e as políticas de ciclo de vida do Amazon S3 para gerenciar as configurações de aplicações do usuário quando os usuários as alteram. Com o versionamento de objetos do Amazon S3, você pode preservar, recuperar e restaurar cada versão do VHD de configurações. Isso permite que você se recupere de ações não intencionais de usuário e de falhas do aplicativo. Quando o versionamento é habilitado, após cada sessão de streaming, uma nova versão do VHD de configurações de aplicações é sincronizada ao Amazon S3. A nova versão não sobrepõe a versão anterior, então se ocorrer um problema com as configurações de seus usuários, você poderá reverter para uma versão anterior do VHD. **nota** Cada versão do VHD de configurações de aplicações é salva no Amazon S3 como um objeto separado e é cobrada de acordo. O versionamento de objeto não está habilitado por padrão em seu bucket do S3, então você deve habilitá-lo de forma explicita. **Para habilitar o versionamento de objeto para seu VHD de configurações de aplicativo** 1. Abra o console do Amazon S3 em [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/). 1. Na lista **Nome do bucket**, escolha o bucket do S3 que contém o VHD de configurações do aplicativo para o qual deseja habilitar o versionamento de objeto. 1. Escolha **Properties**. 1. Escolha **Versionamento** ou **Habilitar versionamento** e, em seguida, escolha **Salvar**. Para expirar versões mais antigas das configurações do seu aplicativo VHDs, você pode usar as políticas de ciclo de vida do Amazon S3. Para obter informações, consulte [Gerenciando seu ciclo de vida de armazenamento](https://docs.aws.amazon.com/AmazonS3/latest/user-guide/create-lifecycle.html) no *Guia do usuário do Amazon Simple Storage Service*. **Para reverter VHD de configurações de aplicativo do usuário** Você pode reverter para uma versão anterior das configurações de aplicativo do usuário VHD, excluindo as versões mais recentes do VHD aplicáveis a partir do bucket do S3. Não faça isso quando o usuário tiver uma sessão de streaming ativa. 1. Abra o console do Amazon S3 em [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/). 1. Na lista **Nome do bucket**, escolha o bucket do S3 que contém as configurações de aplicativo do usuário das versões de VHD para a qual deseja reverter. 1. Localize e selecione a pasta que contém o VHD. Para obter mais informações sobre como navegar na estrutura de pastas do bucket do S3, consulte *Armazenamento do bucket da Amazon S3* anteriormente neste tópico. Quando você seleciona a pasta, as configurações de de arquivo VHD e metadados associados são exibidos. 1. Para exibir uma lista de versões de arquivo VHD e metadados, escolhe **Exibir**. 1. Localize a versão do VHD para revertê-la. 1. Na lista **Nome**, marque as caixas de seleção próximas às versões mais recentes dos arquivos associados de VHD e metadados, escolha **Mais**, e depois escolha **Excluir**. 1. Verifique se as configurações da aplicativo VHD que você deseja reverter e o arquivo de metadados associado estão nas versões mais recentes destes arquivos. A próxima vez que o usuário transmitir a partir de um pool no qual a persistência de configurações de aplicativo está ativada com o pool de configurações aplicável, a versão revertida das configurações do usuário é exibida. ## Aumentar o tamanho das configurações de aplicativo VHD O tamanho máximo de VHD padrão é 5 GB para Pools. Se um usuário precisar de espaço adicional para configurações da aplicativo, você pode baixar as configurações do aplicativo VHD aplicável para um computador Windows para expandi-lo. Em seguida, substitua o VHD atual no bucket do S3 pelo maior. Não faça isso quando o usuário tiver uma sessão de streaming ativa. **nota** Para reduzir o tamanho físico do disco rígido virtual (VHD), limpe a lixeira antes de encerrar uma sessão. Isso também reduz os tempos de upload e download e melhora a experiência geral do usuário. **Para aumentar o tamanho das configurações da aplicativo VHD** **nota** O VHD completo deve ser baixado antes que um usuário possa transmitir aplicativos. Aumentar o tamanho das configurações de aplicativo VHD pode aumentar o tempo que leva para os usuários iniciarem as sessões de streaming da aplicativo. 1. Abra o console do Amazon S3 em [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/). 1. Na lista **Nome do bucket**, escolha o nome do bucket S3 que contém as configurações de aplicativo da VHD a serem expandidas. 1. Localize e selecione a pasta que contém o VHD. Para obter mais informações sobre como navegar na estrutura de pastas do bucket do S3, consulte [Armazenamento em bucket do Amazon S3](#app-persistence-s3-buckets) anteriormente neste tópico. Quando você seleciona a pasta, as configurações de de arquivo VHD e metadados associados são exibidos. 1. Faça download do arquivo `Profile.vhdx` para um diretório no computador com Windows. Não feche o navegador depois que o download for concluído, porque você vai usar o navegador novamente mais tarde para carregar o VHD expandido. 1. Para usar o Diskpart para aumentar o tamanho do VHD para 7 GB, abra o prompt de comando como administrador e digite os seguintes comandos. ``` diskpart ``` ``` select vdisk file="C:\path\to\application\settings\profile.vhdx" ``` ``` expand vdisk maximum=7000 ``` 1. Em seguida, digite os seguintes comandos Diskpart para localizar e anexar o VHD e exibir a lista de volumes: ``` elect vdisk file="C:\path\to\application\settings\profile.vhdx" ``` ``` attach vdisk ``` ``` list volume ``` Na saída, anote o número do volume com a etiqueta "AwsEucUsers”. Na próxima etapa, selecione esse volume para que você possa ampliá-lo. 1. Digite o comando a seguir, em que `` é o número na saída do volume da lista. ``` select volume ``` 1. Digite o seguinte comando: ``` extend ``` 1. Digite os comandos a seguir para confirmar se o tamanho da partição no VHD foi aumentado como esperado (7 GB, neste exemplo): ``` diskpart ``` ``` select vdisk file="C:\path\to\application\settings\profile.vhdx" ``` ``` list volume ``` 1. Digite o comando a seguir para desanexar o VHD para que ele possa ser carregado: ``` detach vdisk ``` 1. Volte ao navegador com o console do Amazon S3, escolha **Carregar** e **Adicionar arquivos**, depois selecione o VHD aumentado. 1. Escolha **Carregar**. Depois do VHD ser carregado, a próxima vez que o usuário transmitir a partir de um pool em que a persistência de configurações de aplicativo está ativada com o pool de configurações aplicável, são disponibilizadas as configurações maiores de aplicativos de VHD. # Códigos de notificação de solução de problemas do WorkSpaces Pools Veja a seguir os códigos de notificação e as etapas de resolução de problemas de ingresso no domínio que você pode encontrar ao configurar e usar o Active Directory com o WorkSpaces. **DOMAIN\$1JOIN\$1ERROR\$1ACCESS\$1DENIED** **Mensagem**: Access is denied. **Resolução**: a conta de serviço especificada no diretório não tem permissões para criar o objeto do computador ou reutilizar um objeto existente. Valide as permissões e inicie o WorkSpaces Pool. **DOMAIN\$1JOIN\$1ERROR\$1LOGON\$1FAILURE** **Mensagem**: The username or password is incorrect. **Resolução**: a conta de serviço especificada no diretório tem um nome de usuário ou senha inválido. Atualize as credenciais no segredo do AWS Secrets Manager configurado no diretório e inicie o WorkSpaces Pool novamente. **DOMAIN\$1JOIN\$1NERR\$1PASSWORD\$1EXPIRED** **Mensagem**: The password of this user has expired. **Resolução**: a senha da conta de serviço no segredo do AWS Secrets Manager expirou. Primeiro, interrompa o WorkSpaces Pool. Em seguida, altere a senha do segredo especificado no diretório WorkSpaces. Em seguida, inicie o WorkSpaces Pool. **DOMAIN\$1JOIN\$1ERROR\$1DS\$1MACHINE\$1ACCOUNT\$1QUOTA\$1EXCEEDED** **Mensagem**: Your computer could not be joined to the domain. Você excedeu o número máximo de contas de computadores que você tem permissão para criar neste domínio. Entre em contato com o administrador do sistema para redefinir ou aumentar esse limite. **Resolução**: a conta de serviço especificada no diretório não tem permissões para criar o objeto do computador ou reutilizar um objeto existente. Valide as permissões e inicie o WorkSpaces Pool. **DOMAIN\$1JOIN\$1ERROR\$1INVALID\$1PARAMETER** **Mensagem**: A parameter is incorrect. Esse erro será retornado se o parâmetro `LpName` for NULL ou o parâmetro `NameType` for especificado como `NetSetupUnknown` ou um tipo de nome desconhecido. **Resolução**: esse erro pode ocorrer quando o nome distinto da UO estiver incorreto. Valide a UO e tente novamente. Se você continuar a encontrar esse erro, entre em contato com o AWS Support. Para obter mais informações, consulte o [AWS Support Center](https://console.aws.amazon.com/support/home#/). **DOMAIN\$1JOIN\$1ERROR\$1MORE\$1DATA** **Mensagem**: More data is available. **Resolução**: esse erro pode ocorrer quando o nome distinto da UO estiver incorreto. Valide a UO e tente novamente. Se você continuar a encontrar esse erro, entre em contato com o AWS Support. Para obter mais informações, consulte o [AWS Support Center](https://console.aws.amazon.com/support/home#/). **DOMAIN\$1JOIN\$1ERROR\$1NO\$1SUCH\$1DOMAIN** **Mensagem**: The specified domain either does not exist or could not be contacted. **Resolução**: a instância de streaming não pôde entrar em contato com seu domínio do Active Directory. Para garantir a conectividade da rede, confirme as configurações da VPC, da sub-rede e do security group. **DOMAIN\$1JOIN\$1NERR\$1WORKSTATION\$1NOT\$1STARTED** **Mensagem**: The Workstation service has not been started. **Resolução**: ocorreu um erro ao iniciar o serviço da estação de trabalho. Verifique se o serviço está habilitado em sua imagem. Se você continuar a encontrar esse erro, entre em contato com o AWS Support. Para obter mais informações, consulte o [AWS Support Center](https://console.aws.amazon.com/support/home#/). **DOMAIN\$1JOIN\$1ERROR\$1NOT\$1SUPPORTED** **Mensagem**: The request is not supported. Esse erro é retornado quando um computador remoto foi especificado no parâmetro `lpServer` e essa chamada não tiver suporte no computador remoto. **Resolução**: entre em contato com o AWS Support para obter assistência. Para obter mais informações, consulte o [AWS Support Center](https://console.aws.amazon.com/support/home#/). **DOMAIN\$1JOIN\$1ERROR\$1FILE\$1NOT\$1FOUND** **Mensagem**: The system cannot find the file specified. **Resolução**: esse erro ocorre quando um nome distinto de uma unidade organizacional (UO) inválida é fornecido. O nome distinto deve iniciar com **OU=**. Valide o nome distinto da UO e tente novamente. **DOMAIN\$1JOIN\$1INTERNAL\$1SERVICE\$1ERROR** **Mensagem**: a conta já existe. **Resolução**: esse erro pode ocorrer nos seguintes cenários: + Se o problema não estiver relacionado a permissões, verifique se há erros nos logs da Netdom e garanta que você forneceu a UO correta. + A conta de serviço especificada na configuração do diretório não tem permissões para criar o objeto do computador ou reutilizar um objeto existente. Se for esse o caso, valide as permissões e inicie o criador de imagens ou WorkSpaces Pool. + Depois que o WorkSpaces cria o objeto do computador, esse objeto é movido da UO na qual foi criado. Nesse caso, o primeiro WorkSpaces Pool é criado com êxito, mas qualquer novo WorkSpaces Pool que usa o objeto do computador falha. Quando o Active Directory procura o objeto do computador na UO especificada e detecta que existe um objeto com o mesmo nome em outro local do domínio, o ingresso no domínio não tem êxito. + O nome da UO especificada no diretório do WorkSpaces inclui espaços antes ou depois das vírgulas no diretório. Nesse caso, quando um WorkSpaces Pool tenta se associar novamente ao domínio do Active Directory, o WorkSpaces não poderá alternar os objetos de computador corretamente e a reassociação ao domínio não será bem-sucedida. Para resolver esse problema em um WorkSpaces Pool, faça o seguinte: 1. Pare o WorkSpaces Pool. 1. Edite as configurações de domínio do Active Directory do WorkSpaces Pool para remover o diretório e a UO de diretório às quais o WorkSpaces Pool está associado. 1. Atualize o diretório do WorkSpaces para especificar uma UO que não contenha espaços. 1. Edite as configurações de domínio do Active Directory para o WorkSpaces Pool a fim de especificar o diretório com a UO de diretório atualizada. Para resolver esse problema em um WorkSpaces Pool, faça o seguinte: 1. Exclua o o grupo do WorkSpaces. 1. Atualize o diretório do WorkSpaces para especificar uma UO que não contenha espaços. 1. Crie outro WorkSpaces Pool e especifique o diretório com a UO de diretório atualizada. **WORKSPACES\$1POOL\$1SESSION\$1RESERVATION\$1ERROR** **Mensagem**: atualmente, não temos capacidade suficiente para as sessões solicitadas nas zonas de disponibilidade [us-west-1] para sub-redes associadas ao seu WorkSpaces Pool. Nosso sistema estará trabalhando no provisionamento de capacidade adicional. Enquanto isso, altere ou associe uma sub-rede diferente usando uma das seguintes AZs [us-west-2, us-west-3]. **Resolução**: espere até que o EC2 tenha capacidade suficiente ou atualize sub-redes em outras AZs no diretório. **CAPACIDADE\$1INSUFICIENT\$1ERROR\$1WORKSPACES\$1POOL\$1AZ** **Mensagem**: no momento, não temos capacidade suficiente para as sessões solicitadas na zona de disponibilidade (AZs) []. Nosso sistema estará trabalhando no provisionamento de capacidade adicional. Enquanto isso, altere ou associe outra sub-rede usando outras AZs ao seu WorkSpaces Pool. **Resolução**: espere até que o Amazon EC2 tenha capacidade suficiente ou atualize sub-redes em outras AZs no diretório. **INVALID\$1CUSTOMER\$1SUBNET\$1CIDR\$1BLOCK** **Mensagem**: sua sub-rede inclui o uso de um intervalo CIDR indisponível. Atualize suas sub-redes fora do intervalo atual de /18.”. **Resolução**: espere até que o EC2 tenha capacidade suficiente ou atualize sub-redes em outras AZs no diretório.