本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。 # 使用和管理 WorkSpaces 集區 WorkSpaces 集區提供非持久性虛擬桌面，專為需要存取暫時性基礎設施上託管之高度固化桌面環境的使用者量身打造。 **Topics** + [AWS 區域 WorkSpaces 集區的 和可用區域](wsp-pools-regions.md) + [管理 WorkSpaces 集區的目錄](manage-workspaces-pools-directory.md) + [WorkSpaces 集區的聯網和存取](managing-network.md) + [建立 WorkSpaces 集區](set-up-pools-create.md) + [管理 WorkSpaces 集區](managing-stacks-fleets.md) + [搭配 WorkSpaces 集區使用 Active Directory](active-directory.md) + [WorkSpaces 集區的套件和映像](pools-images.md) + [監控 WorkSpaces 集區](configure-monitoring-reporting.md) + [啟用和管理 WorkSpaces 集區的持久性儲存](persistent-storage.md) + [為您的 WorkSpaces 集區使用者啟用應用程式設定持續性](app-settings-persistence.md) + [WorkSpaces 集區疑難排解通知代碼](wsp-pools-troubleshooting.md) # AWS 區域 WorkSpaces 集區的 和可用區域 下列提供 WorkSpaces 集區 AWS 區域。 **注意** 如需適用於 WorkSpaces Personal AWS 區域 的 ，請參閱《 *AWS 一般參考 參考指南*》中的 [Amazon WorkSpaces 端點和配額](https://docs.aws.amazon.com/general/latest/gr/wsp.html)。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/workspaces/latest/adminguide/wsp-pools-regions.html) # 管理 WorkSpaces 集區的目錄 WorkSpaces 集區使用目錄來存放和管理 WorkSpaces 和使用者的資訊。在本節中，我們會示範如何建立和管理 WorkSpaces 集區的目錄。 **Topics** + [設定 SAML 2.0 並建立 WorkSpaces 集區目錄](create-directory-pools.md) + [更新 WorkSpaces 集區的目錄詳細資訊](update-directory-pools-details.md) + [刪除 WorkSpaces 集區目錄](delete-directory-pools.md) # 設定 SAML 2.0 並建立 WorkSpaces 集區目錄 您可以使用 SAML 2.0 設定聯合身分，在 WorkSpaces 集 WorkSpaces 區中啟用 WorkSpaces 用戶端應用程式註冊和登入 WorkSpaces。若要這樣做，您可以使用 AWS Identity and Access Management (IAM) 角色和轉送狀態 URL 來設定您的 SAML 2.0 身分提供者 (IdP) 並為其啟用 AWS。這可讓您的聯合身分使用者存取 WorkSpace 集區目錄。轉送狀態是 WorkSpaces 目錄端點，使用者在成功登入 AWS後會轉送至該端點。 **重要** WorkSpaces 集區不支援 IP 型 SAML 2.0 組態。 **Topics** + [步驟 1：考慮需求](#saml-directory-consider-the-requirements) + [步驟 2：完成事前準備](#saml-directory-complete-the-prereqs) + [步驟 3：在 IAM 中建立 SAML 身分提供者](#saml-directory-create-saml-idp) + [步驟 4：建立 WorkSpace 集區目錄](#saml-directory-create-wsp-pools-directory) + [步驟 5：建立 SAML 2.0 聯合 IAM 角色](#saml-directory-saml-federation-role-in-iam) + [步驟 6：設定 SAML 2.0 身分提供者](#saml-directory-configure-saml-idp) + [步驟 7：為 SAML 身分驗證回應建立宣告](#saml-directory-create-assertions) + [步驟 8：設定聯合的轉送狀態](#saml-directory-configure-relay-state) + [步驟 9：在 WorkSpace 集區目錄上啟用與 SAML 2.0 的整合](#saml-directory-enable-saml-integration) + [疑難排解](#saml-pools-troubleshooting) + [為您的 WorkSpaces 集區目錄指定 Active Directory 詳細資訊](pools-service-account-details.md) ## 步驟 1：考慮需求 設定 WorkSpaces 集區目錄的 SAML 時，適用下列要求。 + workspaces\$1DefaultRole IAM 角色必須存在於您的帳戶中 AWS 。當您使用 WorkSpaces 快速設定或先前使用 啟動 WorkSpace 時，會自動建立此角色 AWS 管理主控台。它授予 Amazon WorkSpaces 代表您存取特定 AWS 資源的許可。如果角色已存在，您可能需要將 AmazonWorkSpacesPoolServiceAccess 受管政策連接至該角色，Amazon WorkSpaces 會使用此政策來存取 WorkSpaces 集區 AWS 帳戶中的必要資源。如需詳細資訊，請參閱[建立 workspaces\$1DefaultRole 角色](workspaces-access-control.md#create-default-role)及[AWS 受管政策：AmazonWorkSpacesPoolServiceAccess](managed-policies.md#workspaces-pools-service-access)。 + 您可以在支援 功能的 中為 WorkSpaces 集區設定 SAML 2 AWS 區域 .0 身分驗證。如需詳細資訊，請參閱[AWS 區域 WorkSpaces 集區的 和可用區域](wsp-pools-regions.md)。 + 若要搭配 WorkSpaces 使用 SAML 2.0 身分驗證，IdP 必須使用深層連結目標資源或轉送狀態端點 URL 來支援未經請求的 IdP 起始 SSO。支援此功能的 IdPs 範例包括 ADFS、Azure AD、Duo Single Sign-On、Okta、PingFederate 和 PingOne。如需詳細資訊，請參閱 IdP 文件。 + 只有下列 WorkSpaces 用戶端才支援 SAML 2.0 身分驗證。如需最新的 WorkSpaces 用戶端，請參閱 [Amazon WorkSpaces 用戶端下載頁面](https://clients.amazonworkspaces.com/)。 + Windows 用戶端應用程式 5.20.0 版或更新版本 + macOS 用戶端 5.20.0 版或更新版本 + Web Access ## 步驟 2：完成事前準備 在設定 SAML 2.0 IdP 連線至 WorkSpaces 集區目錄之前，請先完成下列先決條件。 + 設定 IdP 來與 AWS建立信任關係 + 如需設定聯合的詳細資訊，請參閱[將第三方 SAML 解決方案供應商與 整合 AWS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_saml_3rd-party.html)。 AWS 相關範例包括 IdP 與 IAM 整合以存取 AWS 管理主控台。 + 使用 IdP 來產生並下載聯合中繼資料文件，以將您的組織描述為 IdP。這份簽章的 XML 文件是用來建立轉送方信任關係。請將這個檔案儲存到日後可從 IAM 主控台存取更新版本的位置。 + 使用 WorkSpaces 主控台建立 WorkSpaces 集區目錄。如需詳細資訊，請參閱[搭配 WorkSpaces 集區使用 Active Directory](active-directory.md)。 + 為可以使用支援的目錄類型登入 IdP 的使用者建立 WorkSpaces 集區。如需詳細資訊，請參閱[建立 WorkSpaces 集區](set-up-pools-create.md)。 ## 步驟 3：在 IAM 中建立 SAML 身分提供者 若要開始使用，您必須在 IAM 中建立 SAML IdP。此 IdP 使用組織中 IdP 軟體產生的中繼資料文件來定義組織的 IdP 對AWS 信任關係。如需詳細資訊，請參閱*AWS Identity and Access Management 《 使用者指南*》中的[建立和管理 SAML 身分提供者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml.html#idp-manage-identityprovider-console)。如需有關在 中使用 SAML IdPs 的資訊 AWS GovCloud (US) Regions，請參閱*AWS GovCloud (US) 《 使用者指南*[AWS Identity and Access Management](https://docs.aws.amazon.com//govcloud-us/latest/UserGuide/govcloud-iam.html)》中的 。 ## 步驟 4：建立 WorkSpace 集區目錄 完成下列程序以建立 WorkSpaces 集區目錄。 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在導覽窗格中選擇**目錄**。 1. 選擇**建立目錄**。 1. 針對 **WorkSpace 類型**，選擇**集區**。 1. 在頁面**的使用者身分來源**區段中： 1. 在**使用者存取 URL** 文字方塊中輸入預留位置值。例如，在文字方塊`placeholder`中輸入 。稍後您會在 IdP 中設定應用程式權利後編輯此項目。 1. 將**轉送狀態參數名稱**文字方塊保留空白。稍後您會在 IdP 中設定應用程式權利後編輯此項目。 1. 在頁面的**目錄資訊**區段中，輸入目錄的名稱和描述。目錄名稱和描述必須小於 128 個字元，可包含英數字元和下列特殊字元：`_ @ # % * + = : ? . / ! \ -`。目錄名稱和描述不能以特殊字元開頭。 1. 在頁面**的聯網和安全性**區段中： 1. 選擇可存取應用程式所需網路資源的 VPC 和 2 個子網路。為了提高容錯能力，您應該選擇不同可用區域中的兩個子網路。 1. 選擇允許 WorkSpaces 在 VPC 中建立網路連結的安全群組。安全群組控制允許哪些網路流量從 WorkSpaces 流向 VPC。例如，如果您的安全群組限制所有傳入 HTTPS 連線，存取 Web 入口網站的使用者將無法從 WorkSpaces 載入 HTTPS 網站。 1. **Active Directory Config **區段是選用的。不過，如果您計劃搭配 WorkSpaces 集區使用 AD，則應在建立 WorkSpaces 集區目錄期間指定 Active Directory (AD) 詳細資訊。您無法在建立 WorkSpaces 集區目錄之後編輯其 **Active Directory Config**。如需為 WorkSpaces 集區目錄指定 AD 詳細資訊的詳細資訊，請參閱 [為您的 WorkSpaces 集區目錄指定 Active Directory 詳細資訊](pools-service-account-details.md)。完成該主題中概述的程序後，您應該返回此主題以完成建立 WorkSpaces 集區目錄。 如果您不打算搭配 WorkSpaces 集區使用 AD，則可以略過 **Active Directory Config** 區段。 1. 在頁面的**串流屬性**區段中： + 選擇剪貼簿許可行為，然後輸入複製到本機字元限制 （選用），然後貼到遠端工作階段字元限制 （選用）。 + 選擇允許或不允許列印到本機裝置。 + 選擇允許或不允許診斷記錄。 + 選擇允許或不允許智慧卡登入。此功能僅適用於您先前在此程序中啟用 AD 組態的情況。 1. 在頁面的**儲存**區段中，您可以選擇啟用主資料夾。 1. 在頁面的 **IAM 角色區段**中，選擇要供所有桌面串流執行個體使用的 IAM 角色。若要建立新的 IAM 角色，請選擇**建立新的 IAM 角色**。 當您將 IAM 角色從您的帳戶套用到 WorkSpace 集區目錄時，您可以從 WorkSpace 集區中的 WorkSpace 提出 AWS API 請求，而無需手動管理 AWS 登入資料。如需詳細資訊，請參閱《 *AWS Identity and Access Management 使用者指南*》中的[建立角色以將許可委派給 IAM 使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_create_for-user.html)。 1. 選擇**建立目錄**。 ## 步驟 5：建立 SAML 2.0 聯合 IAM 角色 請完成下列程序，以在 IAM 主控台中建立 SAML 2.0 聯合 IAM 角色。 1. 前往 [https://console.aws.amazon.com/iam/](https://console.aws.amazon.com/secretsmanager/) 開啟 IAM 主控台。 1. 在導覽窗格中，選擇 **Roles (角色)**。 1. 選擇建立角色。 1. 為信任的實體類型選擇 **SAML 2.0 聯合。** 1. 針對以 SAML 2.0 為基礎的提供者，選擇您在 IAM 中建立的身分提供者。如需詳細資訊，請參閱[在 IAM 中建立 SAML 身分提供者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml.html?)。 1. 選擇**僅允許以程式設計方式存取**，以允許存取。 1. 為 屬性選擇 ** SAML：sub\$1type**。 1. 針對**數值**，輸入 `https://signin.aws.amazon.com/saml`。此值限制對 SAML 使用者串流請求的角色存取，其中包含值為 的 SAML 主體類型聲明`persistent`。如果 SAML：sub\$1type 是持久性的，您的 IdP 會為來自特定使用者的所有 SAML 請求中的 `NameID`元素傳送相同的唯一值。如需詳細資訊，請參閱*AWS Identity and Access Management 《 使用者指南*[》中的在以 SAML 為基礎的聯合中唯一識別使用者](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_saml.html#CreatingSAML-userid)。 1. 選擇 **Next** (下一步) 繼續。 1. 請勿在**新增許可**頁面中進行變更或選擇。選擇 **Next** (下一步) 繼續。 1. 輸入角色的名稱和描述。 1. 選擇建**立角色**。 1. 在**角色**頁面中，選擇您必須建立的角色。 1. 選擇**信任關係**標籤。 1. 選擇**編輯信任政策**。 1. 在**編輯信任政策** JSON 文字方塊中，將 **sts：TagSession** 動作新增至信任政策。如需詳細資訊，請參閱*AWS Identity and Access Management 《 使用者指南*》中的[在 中傳遞工作階段標籤 AWS STS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_session-tags.html)。 結果應如下列範例所示。 ![\[信任政策的範例。\]](http://docs.aws.amazon.com/zh_tw/workspaces/latest/adminguide/images/iam-saml-federation-policy-sts-tagsession.png) 1. 選擇**更新政策**。 1. 選擇**許可**索引標籤。 1. 在頁面的**許可政策**區段中，選擇**新增許可**，然後選擇**建立內嵌政策**。 1. 在頁面**的政策編輯器**區段中，選擇 **JSON**。 1. 在**政策編輯器** JSON 文字方塊中，輸入下列政策。請務必取代： + **，其中包含您建立 WorkSpace 集區目錄的 AWS 區域代碼。 + 帳戶 AWS ID 為 **。 + ** 以及您先前建立之目錄的 ID。您可以在 WorkSpaces 主控台中取得此項目。 對於 中的資源 AWS GovCloud (US) Regions，請使用 ARN 的下列格式：`arn:aws-us-gov:workspaces:::directory/`。 1. 選擇下一步。 1. 輸入政策名稱，然後選擇 **Create policy (建立政策)**。 ## 步驟 6：設定 SAML 2.0 身分提供者 根據您的 SAML 2.0 IdP，您可能需要手動更新 IdP 以信任 AWS 作為服務提供者。您可以下載位於 [https://signin.aws.amazon.com/static/saml-metadata.xml](https://signin.aws.amazon.com/static/saml-metadata.xml)：// `saml-metadata.xml`的檔案，然後將其上傳到您的 IdP。這會更新 IdP 的中繼資料。 對於某些 IdPs，可能已設定更新。如果已設定此步驟，您可以略過此步驟。如果您的 IdP 中尚未設定更新，請檢閱 IdP 提供的文件，以取得如何更新中繼資料的資訊。有些提供者可讓您選擇在儀表板中輸入 XML 檔案的 URL，而 IdP 會為您取得並安裝 檔案。其他則需要您從 URL 下載檔案，然後將其上傳至其儀表板。 **重要** 此時，您也可以授權 IdP 中的使用者存取您在 IdP 中設定的 WorkSpaces 應用程式。系統不會自動為經過授權可存取您目錄之 WorkSpaces 應用程式的使用者建立 WorkSpace。同樣地，已為其建立 WorkSpace 的使用者不會自動獲得存取 WorkSpaces 應用程式的授權。若要使用 SAML 2.0 驗證成功連線至 WorkSpace，使用者必須獲得 IdP 的授權，且必須已建立 WorkSpace。 ## 步驟 7：為 SAML 身分驗證回應建立宣告 在身分驗證回應中，將 IdP 傳送至 的資訊 AWS 設定為 SAML 屬性。根據您的 IdP，可能已設定。如果已設定此步驟，您可以略過此步驟。如果尚未設定，請提供下列項目： + **SAML 主體 NameID** — 登入使用者的唯一識別符。請勿變更此欄位的格式/值。否則，主資料夾功能將無法如預期運作，因為使用者將被視為不同的使用者。 **注意** 對於加入網域的 WorkSpaces 集區，必須以使用 的`domain\username`格式提供使用者`NameID`的值`sAMAccountName`，或以使用 的`username@domain.com`格式提供`userPrincipalName`，或僅提供 `userName`。如果您使用的是 `sAMAccountName` 格式，您可以使用 NetBIOS 名稱或完整網域名稱 (FQDN) 來指定網域。Active Directory 單向信任案例需要 `sAMAccountName` 格式。如需詳細資訊，請參閱 [搭配 WorkSpaces 集區使用 Active Directory](active-directory.md)。如果只`userName`提供 ，使用者將登入主要網域 + **SAML 主體類型 （值設為 `persistent`)** — 將值設定為 ，`persistent`以確保 IdP 為來自特定使用者的所有 SAML 請求中的`NameID`元素傳送相同的唯一值。請確定您的 IAM 政策包含一個條件，僅允許將 SAML `sub_type`設定為 的 SAML 請求`persistent`，如 [步驟 5：建立 SAML 2.0 聯合 IAM 角色](#saml-directory-saml-federation-role-in-iam)節所述。 + **`Attribute` `Name` 屬性設為 https://aws.amazon.com/SAML/Attributes/Role 的 元素** — 此元素包含一或多個`AttributeValue`元素，列出使用者由 IdP 映射到的 IAM 角色和 SAML IdP。角色和 IdP 會指定為以逗號分隔的 ARN 對。預期值的範例是 `arn:aws:iam:::role/,arn:aws:iam:::saml-provider/`。 + **`Attribute` `Name` 屬性設為 https://aws.amazon.com/SAML/Attributes/RoleSessionName 的 元素** — 此元素包含一個`AttributeValue`元素，可為為 SSO 發行的 AWS 臨時登入資料提供識別符。`AttributeValue` 元素中的值長度必須介於 2 到 64 個字元之間，可包含英數字元和下列特殊字元：`_ . : / = + - @`。不可含有空格。此值通常是電子郵件地址或使用者主體名稱 (UPN)。該值不得包含空格，例如使用者的顯示名稱。 + **`Attribute` `Name` 屬性設為 https://aws.amazon.com/SAML/Attributes/PrincipalTag:Email 的 元素** — 此元素包含一個元素`AttributeValue`，可提供使用者的電子郵件地址。此值必須與 WorkSpaces 目錄中定義的 WorkSpaces 使用者電子郵件地址相符。標籤值可能包含字母、數字、空格和`_ . : / = + - @`字元的組合。如需詳細資訊，請參閱*AWS Identity and Access Management 《 使用者指南*[》中的在 IAM 和 中標記的規則 AWS STS](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_tags.html#id_tags_rules)。 + （選用） **`Attribute` `Name` 屬性設為 https://aws.amazon.com/SAML/Attributes/PrincipalTag:UserPrincipalName 的 元素** — 此元素包含一個`AttributeValue`元素，`userPrincipalName`可為登入的使用者提供 Active Directory。值必須以 `username@domain.com` 格式提供。此參數與憑證型驗證搭配使用，做為終端使用者憑證中的主體替代名稱。如需詳細資訊，請參閱[憑證型身分驗證和 WorkSpaces Personal](certificate-based-authentication.md)。 + （選用） **`Attribute` `Name` 屬性設定為 https://aws.amazon.com/SAML/Attributes/PrincipalTag:ObjectSid 的 元素 （選用） ** — 此元素包含一個`AttributeValue`元素，可為登入的使用者提供 Active Directory 安全識別符 (SID)。此參數與憑證型驗證搭配使用，能夠強式對應至 Active Directory 使用者。如需詳細資訊，請參閱[憑證型身分驗證和 WorkSpaces Personal](certificate-based-authentication.md)。 + （選用） **`Attribute` `Name` 屬性設為 https://aws.amazon.com/SAML/Attributes/PrincipalTag:Domain 的 元素** — 此元素包含一個`AttributeValue`元素，可為登入的使用者提供 Active Directory DNS 完整網域名稱 (FQDN)。當使用者的 Active Directory `userPrincipalName` 包含替代尾碼時，此參數會與憑證型驗證搭配使用。值必須以 `domain.com` 格式提供，且必須包含任何子網域。 + （選用） **`Attribute` `Name` 屬性設為 https://aws.amazon.com/SAML/Attributes/SessionDuration 的 元素** — 此元素包含一個`AttributeValue`元素，可指定使用者聯合串流工作階段在需要重新驗證之前可保持作用中狀態的時間上限。預設值為`3600`秒 (60 分鐘）。如需詳細資訊，請參閱*AWS Identity and Access Management 《 使用者指南*》中的 [SAML SessionDurationAttribute](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml_assertions.html#saml_role-session-duration)。 **注意** 雖然 `SessionDuration` 是選用屬性，但我們建議您將它包含在 SAML 回應中。如果您未指定此屬性，工作階段持續時間會設定為預設值`3600`秒 (60 分鐘）。WorkSpaces 桌面工作階段會在其工作階段持續時間到期後中斷連線。 如需如何設定這些元素的詳細資訊，請參閱*AWS Identity and Access Management 《 使用者指南*》中的[為身分驗證回應設定 SAML 聲明](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_roles_providers_create_saml_assertions.html)。如需 IdP 的特定組態需求相關資訊，請參閱您的 IdP 文件。 ## 步驟 8：設定聯合的轉送狀態 使用您的 IdP 來設定聯合的轉送狀態，以指向 WorkSpaces 集區目錄轉送狀態 URL。身分驗證成功後 AWS，會將使用者導向 WorkSpaces 集區目錄端點，定義為 SAML 身分驗證回應中的轉送狀態。 以下是轉送狀態 URL 格式： ``` https://relay-state-region-endpoint/sso-idp?registrationCode=registration-code ``` 下表列出可使用 WorkSpaces SAML 2.0 身分驗證 AWS 之區域的轉送狀態端點。無法使用 WorkSpaces 集區功能的 AWS 區域已移除。 | 區域 | 轉送狀態端點 | | --- | --- | | 美國東部 (維吉尼亞北部) 區域 | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/workspaces/latest/adminguide/create-directory-pools.html) | | 美國西部 (奧勒岡) 區域 | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/workspaces/latest/adminguide/create-directory-pools.html) | | 亞太地區 (孟買) 區域 | workspaces.euc-sso.ap-south-1.aws.amazon.com | | 亞太 (首爾) 區域 | workspaces.euc-sso.ap-northeast-2.aws.amazon.com | | 亞太 (新加坡) 區域 | workspaces.euc-sso.ap-southeast-1.aws.amazon.com | | 亞太地區 (雪梨) 區域 | workspaces.euc-sso.ap-southeast-2.aws.amazon.com | | 亞太地區 (東京) 區域 | workspaces.euc-sso.ap-northeast-1.aws.amazon.com | | 加拿大 (中部) 區域 | workspaces.euc-sso.ca-central-1.aws.amazon.com | | 歐洲 (法蘭克福) 區域 | workspaces.euc-sso.eu-central-1.aws.amazon.com | | 歐洲 (愛爾蘭) 區域 | workspaces.euc-sso.eu-west-1.aws.amazon.com | | 歐洲 (倫敦) 區域 | workspaces.euc-sso.eu-west-2.aws.amazon.com | | 南美洲 (聖保羅) 區域 | workspaces.euc-sso.sa-east-1.aws.amazon.com | | AWS GovCloud （美國西部） | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/workspaces/latest/adminguide/create-directory-pools.html) 如需有關在 中使用 SAML IdPs 的資訊 AWS GovCloud (US) Regions，請參閱 *AWS GovCloud (US) 使用者指南*中的 [Amazon WorkSpaces](https://docs.aws.amazon.com/govcloud-us/latest/UserGuide/govcloud-workspaces.html)。 | | AWS GovCloud （美國東部） | [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/workspaces/latest/adminguide/create-directory-pools.html) 如需有關在 中使用 SAML IdPs 的資訊 AWS GovCloud (US) Regions，請參閱 *AWS GovCloud (US) 使用者指南*中的 [Amazon WorkSpaces](https://docs.aws.amazon.com/govcloud-us/latest/UserGuide/govcloud-workspaces.html)。 | ## 步驟 9：在 WorkSpace 集區目錄上啟用與 SAML 2.0 的整合 完成下列程序，以啟用 WorkSpaces 集區目錄的 SAML 2.0 身分驗證。 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在導覽窗格中選擇**目錄**。 1. 選擇**集區目錄**索引標籤。 1. 選擇您要編輯的目錄 ID。 1. 在頁面的**身分驗證**區段中選擇**編輯**。 1. 選擇**編輯 SAML 2.0 身分提供者**。 1. 對於有時稱為「SSO URL」**的使用者存取 URL**，請以 IdP 提供給您的 SSO URL 取代預留位置值。 1. 針對 **IdP 深層連結參數名稱**，輸入適用於您的 IdP 和您已設定之應用程式的參數。`RelayState` 如果您省略參數名稱，預設值為 。 下表列出各種應用程式身分提供者獨有的使用者存取 URLs 和深層連結參數名稱。 [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/workspaces/latest/adminguide/create-directory-pools.html) 1. 選擇**儲存**。 **重要** 從使用者撤銷 SAML 2.0 不會直接中斷其工作階段的連線。只有在逾時開始後才會將其移除。他們也可以使用 [ TerminateWorkspacesPoolSession](https://docs.aws.amazon.com//workspaces/latest/api/API_TerminateWorkspacesPoolSession.html) API 將其終止。 ## 疑難排解 以下資訊可協助您疑難排解 WorkSpaces 集區的特定問題。 ### 在完成 SAML 身分驗證後，我在 WorkSpaces 集區用戶端中收到「無法登入」訊息 SAML 宣告`PrincipalTag:Email`中的 `nameID`和 必須與 Active Directory 中設定的使用者名稱和電子郵件相符。調整特定屬性後，某些 IdP 可能需要更新、重新整理或重新部署。如果您進行調整且未反映在 SAML 擷取中，請參閱 IdP 的文件或支援計畫，了解讓變更生效所需的特定步驟。 # 為您的 WorkSpaces 集區目錄指定 Active Directory 詳細資訊 在本主題中，我們會示範如何在 ** WorkSpaces 主控台的建立 WorkSpaces 集區目錄**頁面中指定 Active Directory WorkSpaces詳細資訊。建立 WorkSpaces 集區目錄時，如果您計劃搭配 WorkSpaces 集區使用 AD，則應指定 AD 詳細資訊。您無法在建立 WorkSpaces 集區目錄之後編輯其 **Active Directory Config**。以下是**建立 WorkSpaces 集區目錄**頁面的 **Active Directory Config** 區段範例。 ![\[建立 WorkSpaces 集區目錄頁面的 Active Directory Config 區段\]](http://docs.aws.amazon.com/zh_tw/workspaces/latest/adminguide/images/pools-wsp-active-directory-config.png) **注意** 建立 WorkSpaces 集區目錄的完整程序概述於 [設定 SAML 2.0 並建立 WorkSpaces 集區目錄](create-directory-pools.md)主題。本頁概述的程序僅代表建立 WorkSpaces 集區目錄的完整程序步驟子集。 **Topics** + [指定 AD 的組織單位和目錄網域名稱](#pools-specify-ou-and-directory-domain) + [為您的 AD 指定服務帳戶](#pools-specify-access-account) ## 指定 AD 的組織單位和目錄網域名稱 完成下列程序，在**建立 WorkSpaces 集區目錄頁面中指定 AD 的組織單位 (OU) 和目錄**網域名稱。 1. 針對**組織單位**，輸入集區所屬的 OU。WorkSpace 機器帳戶會放置在您為 WorkSpaces 集區目錄指定的組織單位 (OU) 中。 **注意** OU 名稱不可包含有空格。如果您指定包含空格的 OU 名稱，當其嘗試重新加入 Active Directory 網域時，WorkSpaces 無法正確循環電腦物件，且網域重新加入無法運作。 1. 在**目錄網域名稱**中，輸入 Active Directory 網域的完整網域名稱 (FQDN) （例如 `corp.example.com`)。每個 AWS 區域只能有一個具有特定目錄名稱的目錄組態值。 + 您可以將 WorkSpaces 集區目錄加入 Microsoft Active Directory 中的網域。您也可以使用現有的 Active Directory 網域，無論是雲端或內部部署，來啟動加入網域的 WorkSpaces。 + 您也可以使用 AWS Directory Service for Microsoft Active Directory AWS Managed Microsoft AD來建立 Active Directory 網域。然後，您可以使用該網域來支援 WorkSpaces 資源。 + 透過將 WorkSpaces 加入 Active Directory 網域，您可以： + 允許使用者和應用程式存取 Active Directory 資源，例如來自串流工作階段的印表機和檔案共用。 + 使用群組政策管理主控台 (GPMC) 中可用的群組政策設定，定義最終使用者體驗。 + 串流需要使用者利用其 Active Directory 登入資料進行身分驗證的應用程式。 + 將企業合規和安全性政策套用至 WorkSpaces 串流執行個體。 1. 對於**服務帳戶**，請繼續前往此頁面的[為您的 AD 指定服務帳戶](#pools-specify-access-account)下一節。 ## 為您的 AD 指定服務帳戶 當您為 WorkSpaces 集區設定 Active Directory (AD) 做為目錄建立程序的一部分時，您必須指定要用於管理 AD 的 AD 服務帳戶。這需要您提供服務帳戶登入資料，這些登入資料必須存放在 中， AWS Secrets Manager 並使用 a AWS Key Management Service (AWS KMS) 客戶受管金鑰加密。在本節中，我們會示範如何建立 AWS KMS 客戶受管金鑰和 Secrets Manager 秘密，以存放您的 AD 服務帳戶憑證。 ### 步驟 1：建立 AWS KMS 客戶受管金鑰 完成下列程序以建立 AWS KMS 客戶受管金鑰 1. 在 https：//[https://console.aws.amazon.com/kms](https://console.aws.amazon.com/kms) 開啟 AWS KMS 主控台。 1. 若要變更 AWS 區域，請使用頁面右上角的區域選擇器。 1. 選擇**建立金鑰**，然後選擇**下一步**。 1. 為金鑰類型選擇**對稱**，並為金鑰用量選擇**加密和解密**，然後選擇**下一步**。 1. 輸入金鑰的別名，例如 `WorkSpacesPoolDomainSecretKey`，然後選擇**下一步**。 1. 請勿選擇金鑰管理員。選擇 **Next** (下一步) 繼續。 1. 請勿定義金鑰使用許可。選擇 **Next** (下一步) 繼續。 1. 在頁面的金鑰政策區段中，新增下列項目： ``` { "Sid": "Allow access for Workspaces SP", "Effect": "Allow", "Principal": { "Service": "workspaces.amazonaws.com" }, "Action": "kms:Decrypt", "Resource": "*" } ``` 結果應如下所示。 ![\[AWS KMS 金鑰政策的範例。\]](http://docs.aws.amazon.com/zh_tw/workspaces/latest/adminguide/images/kms-key-policy-for-wsp-pools-service-account.png) 1. 選擇**完成**。 您的 AWS KMS 客戶受管金鑰現在已準備好與 Secrets Manager 搭配使用。繼續前往此頁面的 [步驟 2：建立 Secrets Manager 秘密以存放 AD 服務帳戶登入資料](#pools-create-asm-secret)區段。 ### 步驟 2：建立 Secrets Manager 秘密以存放 AD 服務帳戶登入資料 完成下列程序，以建立 Secrets Manager 秘密來存放 AD 服務帳戶登入資料。 1. 在 https：//[https://console.aws.amazon.com/secretsmanager/](https://console.aws.amazon.com/secretsmanager/) 開啟 AWS Secrets Manager 主控台。 1. 選擇 **Create a new secret (建立新的私密金鑰)**。 1. 選擇**其他類型的秘密**。 1. 對於第一個索引鍵/值對，輸入 `Service Account Name` 表示索引鍵，輸入 表示值的服務帳戶名稱，例如 `domain\username`。 1. 針對第二個金鑰/值對，輸入金鑰`Service Account Password`的 ，以及該值的服務帳戶密碼。 1. 針對加密金鑰，選擇您先前建立 AWS KMS 的客戶受管金鑰，然後選擇**下一步**。 1. 輸入秘密的名稱，例如 `WorkSpacesPoolDomainSecretAD`。 1. 在頁面的資源許可區段中選擇**編輯****許可**。 1. 輸入下列許可政策： ------ #### [ JSON ] **** ``` { "Version":"2012-10-17", "Statement": [ { "Effect": "Allow", "Principal": { "Service": [ "workspaces.amazonaws.com" ] }, "Action": "secretsmanager:GetSecretValue", "Resource": "*" } ] } ``` ------ 1. 選擇**儲存**以儲存許可政策。 1. 選擇 **Next** (下一步) 繼續。 1. 請勿設定自動輪換。選擇 **Next** (下一步) 繼續。 1. 選擇**儲存**以完成儲存您的秘密。 您的 AD 服務帳戶登入資料現在存放在 Secrets Manager 中。繼續前往此頁面的 [步驟 3：選取包含 AD 服務帳戶詳細資訊的 Secrets Manager 秘密](#continue-creating-pools-directory)區段。 ### 步驟 3：選取包含 AD 服務帳戶詳細資訊的 Secrets Manager 秘密 完成下列程序，以選取您在 WorkSpaces 集區目錄的 Active Directory 組態中建立的 Secrets Manager 秘密。 + 針對**服務帳戶**，選擇包含您服務帳戶登入資料的 AWS Secrets Manager 秘密。如果您尚未建立秘密，請完成以下步驟。秘密必須使用 AWS Key Management Service 客戶受管金鑰加密。 現在您已完成**建立 WorkSpaces 集區目錄**頁面的 **Active Directory Config** 區段中的所有欄位，您可以繼續建立 WorkSpaces 集區目錄。前往 [步驟 4：建立 WorkSpace 集區目錄](create-directory-pools.md#saml-directory-create-wsp-pools-directory) 並在程序的步驟 9 開始。 # 更新 WorkSpaces 集區的目錄詳細資訊 您可以使用 WorkSpaces 集區主控台完成下列目錄管理任務。 ## 身分驗證 您可以為 WorkSpaces 集區設定其他身分驗證選項。集區需要 SAML 2.0 身分驗證。 **啟用和設定 SAML 2.0 Identity Provider 驗證** 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在導覽窗格中選擇**目錄**。 1. 選擇您要設定的目錄。 1. 前往身分驗證，然後選擇**編輯**。 1. 選擇**編輯 SAML 2.0 身分提供者**。 1. 勾選**啟用 SAML 2.0 身分驗證核取方塊。** 1. 輸入**使用者存取 URL**，以在聯合登入期間指示 WorkSpaces 集區用戶端。 1. 輸入 **IdP 深層連結參數名稱** （選用）。 1. 選擇**儲存**。 **啟用和設定憑證型身分驗證** 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在導覽窗格中選擇**目錄**。 1. 選擇您要設定的目錄。 1. 前往身分驗證，然後選擇**編輯**。 1. 選擇**編輯憑證型身分驗證**。 1. 勾選**啟用憑證型身分驗證**核取方塊。 1. 從下拉式清單中選擇 **AWS Certificate Manager (ACM) Private Certificate Authority (CA)**。 1. 選擇**儲存**。 ## 安全群組 將安全群組套用至目錄中的 WorkSpaces 集區。 **設定 WorkSpaces 集區的安全群組** 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在導覽窗格中選擇**目錄**。 1. 選擇您要設定的目錄。 1. 移至安全群組，然後選擇**編輯**。 1. 從下拉式清單中，選擇安全群組。 ## Active Directory Config 使用組織單位 (OU)、目錄網域名稱和 AWS Secrets Manager 秘密來設定目錄 Active Directory Config。 **設定 Active Directory** 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在導覽窗格中選擇**目錄**。 1. 選擇您要設定的目錄。 1. 移至 Active Directory Config，然後選擇**編輯**。 1. 若要尋找組織單位 (OU)，您可以開始輸入全部或部分的 OU 名稱，然後選擇要使用的 OU。 **注意** （選用） 選擇 OU 之後，重建現有的 WorkSpaces 以更新 OU。如需詳細資訊，請參閱[在 WorkSpace WorkSpaces](rebuild-workspace.md) 1. 選擇**儲存**。 **注意** 在您建立集區之後，就無法編輯目錄網域名稱和 AWS Secrets Manager 秘密。 ## 串流屬性 設定您的使用者如何在其集區 WorkSpace 與其本機裝置之間傳輸資料。 **設定串流屬性** 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在導覽窗格中選擇**目錄**。 1. 選擇您要設定的目錄。 1. 前往串流屬性，然後選擇**編輯**。 1. 設定下列串流屬性： + 剪貼簿許可 + 從下拉式清單中，選擇下列其中一項： + **允許複製和貼上** - 允許複製至本機裝置和貼上至遠端工作階段。 + **允許貼上至遠端工作階段** - 允許貼上至遠端工作階段。 + **允許複製到本機裝置** - 允許複製到本機裝置。 + Disabled + 選擇允許或不允許列印到本機裝置。 + 選擇允許或不允許診斷記錄。 + 選擇允許或不允許智慧卡登入。 + 若要啟用主資料夾儲存體，請選擇**啟用主資料夾**。 1. 選擇**儲存**。 ## IAM 角色 為您的 WorkSpaces 集區選取 IAM 角色。 **選取 IAM 角色** 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在導覽窗格中選擇**目錄**。 1. 選擇您要設定的目錄。 1. 移至 IAM 角色，然後選擇**編輯**。 1. 從下拉式清單中選擇 IAM 角色。若要建立新的 IAM 角色，請選擇**建立新的 IAM 角色**。 1. 選擇**儲存**。 ## Tags (標籤) 將新標籤新增至 WorkSpaces 集區 **新增標籤** 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在導覽窗格中選擇**目錄**。 1. 選擇您要設定的目錄。 1. 前往標籤，然後選擇**管理標籤**。 1. 選擇**新增標籤**，然後輸入您要使用的金鑰對值。索引鍵可以是具有特定關聯值的一般類別，例如「專案」、「擁有者」或「環境」。 1. 選擇**儲存變更**。 # 刪除 WorkSpaces 集區目錄 完成下列程序以刪除 WorkSpaces 集區目錄。 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在導覽窗格中選擇**目錄**。 1. 選取目錄。 1. 選擇 **動作**、**刪除**。 1. 出現確認提示時，請在確認文字**delete**中輸入 ，然後選擇**刪除**。 # WorkSpaces 集區的聯網和存取 下列主題提供讓使用者連線至 WorkSpaces 集區，以及讓 WorkSpaces 集區存取網路資源和網際網路的相關資訊。 **Topics** + [WorkSpaces 集區的網際網路存取](internet-access.md) + [設定 WorkSpaces 集區的 VPC](appstream-vpc.md) + [設定 WorkSpaces 集區的 FedRAMP 授權或 DoD SRG 合規](fips-encryption-pools.md) + [將 Amazon S3 VPC 端點用於 WorkSpaces 集區功能](managing-network-vpce-iam-policy.md) + [WorkSpaces 集區的 VPC 連線](pools-port-requirements.md) + [WorkSpaces 集區的使用者連線](user-connections-to-appstream2.md) # WorkSpaces 集區的網際網路存取 如果您的 WorkSpaces 集區中的 WorkSpaces 需要網際網路存取，您可以透過多種方式啟用它。當您選擇啟用網際網路存取的方法時，請考慮部署必須支援的使用者數目和部署目標。例如： + 如果您的部署必須支援 100 個以上的並行使用者，請[設定使用私有子網路和 NAT 閘道的 VPC](managing-network-internet-NAT-gateway.md)。 + 如果您的部署支援少於 100 個並行使用者，則可以[設定使用公有子網路的新或現有 VPC](managing-network-default-internet-access.md)。 + 如果您的部署支援少於 100 個並行使用者，而且您是 WorkSpaces 集區的新手，並想要開始使用 服務，您可以使用[預設 VPC、公有子網路和安全群組](managing-network-default-internet-access.md)。 下列各節會提供有關每一個部署選項的詳細資訊。 + [建立含有私有子網路與 NAT 閘道的 VPC](managing-network-internet-NAT-gateway.md) （建議） — 使用此組態，您可以在私有子網路中啟動 WorkSpaces 集區建置器，並在 VPC 的公有子網路中設定 NAT 閘道。您的串流執行個體會獲得私有 IP 地址的指派，該地址無法直接從網際網路存取。 此外，與使用**預設網際網路存取**選項啟用網際網路存取的組態不同，NAT 組態不限於 WorkSpaces 集區中的 100 個 WorkSpaces。如果您的部署必須支援超過 100 名同時上線的使用者，請使用此組態。 您可以建立並設定新的 VPC 來搭配 NAT 閘道使用，或是為現有的 VPC 新增 NAT 閘道。 + [設定新的 VPC，或具有公有子網路的現有 VPC](managing-network-default-internet-access.md) — 使用此組態，您可以在公有子網路中啟動 WorkSpaces 集區。當您啟用此選項時，WorkSpaces 集區會使用 Amazon VPC 公有子網路中的網際網路閘道來提供網際網路連線。您的串流執行個體會獲得公有 IP 地址的指派，該地址可直接從網際網路存取。您可以為此建立新的 VPC 或設定現有的 VPC。 **注意** 當您使用公有子網路設定新的或現有的 VPC 時，WorkSpaces 集區最多支援 100 個 WorkSpaces。如果您的部署必須支援超過 100 名同時上線的使用者，請改用 [NAT 閘道組態](managing-network-internet-NAT-gateway.md)。 + [使用預設 VPC、公有子網路和安全群組](default-vpc-with-public-subnet.md) — 如果您是初次使用 WorkSpaces 集區，並想要開始使用 服務，您可以在預設公有子網路中啟動 WorkSpaces 集區。當您啟用此選項時，WorkSpaces 集區會使用 Amazon VPC 公有子網路中的網際網路閘道來提供網際網路連線。您的串流執行個體會獲得公有 IP 地址的指派，該地址可直接從網際網路存取。 2013-12-04 之後建立的 Amazon Web Services 帳戶都可使用預設 VPC。 預設 VPC 在所有可用區域中均包含預設公有子網路，以及連接至您 VPC 的網際網路閘道。VPC 也包含預設安全群組。 **注意** 當您使用預設 VPC、公有子網路和安全群組時，WorkSpaces 集區最多支援 100 個 WorkSpaces。如果您的部署必須支援超過 100 名同時上線的使用者，請改用 [NAT 閘道組態](managing-network-internet-NAT-gateway.md)。 # 設定 WorkSpaces 集區的 VPC 設定 WorkSpaces 集區時，您必須指定虛擬私有雲端 (VPC) 和至少一個要在其中啟動 WorkSpaces 的子網路。VPC 是 Amazon Web Services 雲端中您自有的邏輯隔離區域中的虛擬網路。子網是您的 VPC 中的 IP 地址範圍。 當您為 WorkSpaces 集區設定 VPC 時，您可以指定公有或私有子網路，或混合這兩種子網路類型。公有子網路可透過網際網路閘道直接存取網際網路。私有子網路沒有網際網路閘道的路由，所以需要網路地址轉譯 (NAT) 閘道或 NAT 執行個體才能提供網際網路的存取權。 **Topics** + [WorkSpaces 集區的 VPC 設定建議](vpc-setup-recommendations.md) + [建立含有私有子網路與 NAT 閘道的 VPC](managing-network-internet-NAT-gateway.md) + [設定新的 VPC，或具有公有子網路的現有 VPC](managing-network-default-internet-access.md) + [使用預設 VPC、公有子網路和安全群組](default-vpc-with-public-subnet.md) # WorkSpaces 集區的 VPC 設定建議 當您建立 WorkSpaces 集區時，您可以指定要使用的 VPC 和一或多個子網路。您可以指定安全群組來為 VPC 提供額外的存取控制。 下列建議可協助您更有效率且安全地設定 VPC，此外，它們可協助您設定支援有效 WorkSpaces 集區擴展的環境。透過有效的 WorkSpaces 集區擴展，您可以滿足目前和預期的 WorkSpaces 使用者需求，同時避免不必要的資源用量和相關成本。 **整體 VPC 組態** + 請確定您的 VPC 組態可以支援 WorkSpaces 集區擴展需求。 當您制定 WorkSpaces 集區擴展的計劃時，請記住，一個使用者需要一個 WorkSpaces。因此，WorkSpaces 集區的大小會決定可同時串流的使用者數量。因此，針對您計劃使用的每個[執行個體類型](instance-types.md)，請確定 VPC 可支援的 WorkSpaces 數目大於相同執行個體類型的預期並行使用者數目。 + 確保您的 WorkSpaces 集區帳戶配額 （也稱為限制） 足以支援您的預期需求。若要請求增加配額，您可以使用 Service Quotas 主控台，位於 [https://console.aws.amazon.com/servicequotas/](https://console.aws.amazon.com/servicequotas/)。如需預設 WorkSpaces 集區配額的詳細資訊，請參閱 [Amazon WorkSpaces 配額](workspaces-limits.md)。 + 如果您打算在 WorkSpaces 集區中提供 WorkSpaces 存取網際網路的權限，建議您為串流執行個體設定具有兩個私有子網路的 VPC，並在公有子網路中設定 NAT 閘道。 NAT 閘道可讓您私有子網路中的 WorkSpaces 連線至網際網路或其他 AWS 服務。不過，它會防止網際網路啟動與這些 WorkSpaces 的連線。此外，與使用**預設網際網路存取**選項啟用網際網路存取的組態不同，NAT 組態支援超過 100 個 WorkSpaces。如需詳細資訊，請參閱[建立含有私有子網路與 NAT 閘道的 VPC](managing-network-internet-NAT-gateway.md)。 **彈性網路界面** + WorkSpaces 集區會建立與 WorkSpaces 集區所需容量上限一樣多的[彈性網路介面](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_ElasticNetworkInterfaces.html) （網路介面）。根據預設，每個區域的網路界面限制是 5000 個。 規劃非常大型部署的容量時，例如數千個 WorkSpaces，請考慮同一區域中也使用的 Amazon EC2 執行個體數量。 **子網路** + 如果您要為 VPC 設定多個私有子網路，請在其他可用區域逐一設定。這麼做能提升容錯能力，還能避免發生容量不足的錯誤。如果您在相同的可用區域中使用兩個子網路，您可能會用完 IP 地址，因為 WorkSpaces 集區不會使用第二個子網路。 + 請確保應用程式需要的網路資源均可透過這兩個私有子網路存取。 + 請為各個私有子網路設定子網路遮罩，該遮罩必須具備足夠的用戶端 IP 地址來應付預期的最大同時上線使用者數，此外也必須具備額外的 IP 地址來因應帳戶的預期成長。如需詳細資訊，請參閱 [VPC 和 IPv4 的子網路大小調整](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Subnets.html#vpc-sizing-ipv4)。 + 如果您搭配使用 VPC 與 NAT，請至少設定一個公有子網路與 NAT 閘道以便進行網際網路存取 (最好有兩個)。接著為私有子網路所在的相同可用區域設定公有子網路。 若要增強容錯能力，並降低大型 WorkSpaces 集區部署發生容量不足錯誤的機率，請考慮將您的 VPC 組態擴展到第三個可用區域。請在第三個可用區域中包含私有子網路、公有子網路和 NAT 閘道。 **安全群組** + 使用安全群組來為 VPC 提供額外的存取控制。 屬於 VPC 的安全群組可讓您控制 WorkSpaces 集區串流執行個體與應用程式所需的網路資源之間的網路流量。這些資源可能包括其他服務， AWS 例如 Amazon RDS 或 Amazon FSx、授權伺服器、資料庫伺服器、檔案伺服器和應用程式伺服器。 + 確認安全群組可提供您應用程式所需的網路資源存取權。 如需安全群組的一般資訊，請參閱《*Amazon VPC 使用者指南*》中的[使用安全群組控制 AWS 資源的流量](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-security-groups.html)。 # 建立含有私有子網路與 NAT 閘道的 VPC 如果您計劃為 WorkSpaces 集區中的 WorkSpaces 提供網際網路存取權，建議您為 WorkSpaces 設定具有兩個私有子網路的 VPC，並在公有子網路中設定 NAT 閘道。您可以建立並設定新的 VPC 來搭配 NAT 閘道使用，或是為現有的 VPC 新增 NAT 閘道。如需其他 VPC 組態建議，請參閱 [WorkSpaces 集區的 VPC 設定建議](vpc-setup-recommendations.md)。 NAT 閘道可讓您私有子網路中的 WorkSpaces 連線至網際網路或其他 AWS 服務，但可防止網際網路啟動與這些 WorkSpaces 的連線。此外，與使用**預設網際網路存取**選項啟用 WorkSpaces 網際網路存取的組態不同，此組態不限於 100 個 WorkSpaces。 如需使用 NAT 閘道和此組態的詳細資訊，請參閱《Amazon VPC 使用者指南》**中的 [VPC 閘道](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-nat-gateway.html)和[使用公有和私有子網路的 VPC (NAT)](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Scenario2.html)。 **Topics** + [建立和設定新的 VPC](create-configure-new-vpc-with-private-public-subnets-nat.md) + [將 NAT 閘道新增至現有 VPC](add-nat-gateway-existing-vpc.md) + [啟用 WorkSpaces 集區的網際網路存取](managing-network-manual-enable-internet-access.md) # 建立和設定新的 VPC 本主題說明如何使用 VPC 精靈來建立具有公有子網路和一個私有子網路的 VPC。過程中，精靈會建立網際網路閘道和 NAT 閘道，此外也會建立與公有子網路建立關聯的自訂路由表，並更新與私有子網路建立關聯的主要路由表。NAT 閘道會自動在您 VPC 的公有子網路中建立。 使用精靈建立初始 VPC 組態後，您必須新增第二個私有子網路。如需此組態的詳細資訊，請參閱《Amazon VPC 使用者指南》**中的[使用公有和私有子網路的 VPC (NAT)](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Scenario2.html)。 **注意** 如果您已經有 VPC，請改為完成[將 NAT 閘道新增至現有 VPC](add-nat-gateway-existing-vpc.md) 中的步驟。 **Topics** + [步驟 1：配置彈性 IP 地址](#allocate-elastic-ip) + [步驟 2：建立新的 VPC](#vpc-with-private-and-public-subnets-nat) + [步驟 3：新增第二個私有子網路](#vpc-with-private-and-public-subnets-add-private-subnet-nat) + [步驟 4：確認並為您的子網路路由表命名](#verify-name-route-tables) ## 步驟 1：配置彈性 IP 地址 建立 VPC 之前，您必須在 WorkSpaces 區域中配置彈性 IP 地址。您必須先配置要在 VPC 中使用的彈性 IP 地址，接著將該地址與 NAT 閘道建立關聯。如需詳細資訊，請參閱《Amazon VPC 使用者指南》**中的[彈性 IP 地址](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-eips.html)。 **注意** 您可能需要為使用的彈性 IP 地址付費。如需詳細資訊，請參閱 Amazon EC2 定價頁面上的[彈性 IP 地址](https://docs.aws.amazon.com/ec2/pricing/on-demand/#Elastic_IP_Addresses)。 如果您還沒有彈性 IP 地址，請完成以下步驟。若您希望使用現有的彈性 IP 地址，請確認它目前並未與其他執行個體或網路界面建立關聯。 **配置彈性 IP 地址** 1. 前往 [https://console.aws.amazon.com/ec2/](https://console.aws.amazon.com/ec2/) 開啟 Amazon EC2 主控台。 1. 在導覽窗格中，於 **Network & Security (網路與安全)** 下方，選擇 **Elastic IPs (彈性 IP)**。 1. 選擇 **Allocate New Address (配置新地址)**，然後選擇 **Allocate (配置)**。 1. 記下彈性 IP 地址。 1. 在 **Elastic IPs (彈性 IP)** 窗格的右上角，按一下 X 圖示來關閉窗格。 ## 步驟 2：建立新的 VPC 請完成下列步驟，以建立具有公有子網路和一個私有子網路的新 VPC。 **建立新的 VPC** 1. 在 [https://console.aws.amazon.com/vpc/](https://docs.aws.amazon.com/vpc/) 開啟 Amazon VPC 主控台。 1. 在導覽窗格中，選擇 **VPC dashboard (VPC 儀表板)**。 1. 選擇 **Launch VPC Wizard (啟動 VPC 精靈)**。 1. 在 **Step 1: Select a VPC Configuration (步驟 1：選取 VPC 組態)** 中，選擇 **VPC with Public and Private Subnets (含公有和私有子網路的 VPC)**，然後選擇 **Select (選取)**。 1. 在 **Step 2: VPC with Public and Private Subnets (步驟 2：含公有和私有子網路的 VPC)**中，按照以下內容設定 VPC： + 針對 **IPv4 CIDR block (IPv4 CIDR 區塊)**，請指定 VPC 的 IPv4 CIDR 區塊。 + 針對 **IPv6 CIDR block (IPv6 CIDR 區塊)**，請保留預設值 **No IPv6 CIDR Block (無 IPv6 CIDR 區塊)**。 + 針對 **VPC name (VPC 名稱)**，請輸入 VPC 的專屬名稱。 1. 根據以下內容設定公有子網路： + 針對 **Public subnet's IPv4 CIDR (公有子網路的 IPv4 CIDR)**，請為子網路指定 CIDR 區塊。 + 針對 **Availability Zone (可用區域)**，請保留預設值 **No Preference (無偏好設定)**。 + 針對 **Public subnet name (公有子網路名稱)**，請輸入子網路的名稱，例如 `WorkSpaces Public Subnet`。 1. 根據以下內容設定第一個私有子網路： + 針對 **Private subnet's IPv4 CIDR (私有子網路的 IPv4 CIDR)**，請為子網路指定 CIDR 區塊。記下您指定的值。 + 針對 **Availability Zone (可用區域)**，請選取特定區域並記下您選取的區域。 + 針對 **Private subnet name (私有子網路名稱)**，請輸入子網路的名稱，例如 `WorkSpaces Private Subnet1`。 + 如果適用，請保留其他欄位的預設值。 1. 針對 **Elastic IP Allocation ID (彈性 IP 配置ID)**，請在文字方塊中按一下，並選取與您建立之彈性 IP 地址對應的值。這個地址會指派至 NAT 閘道。如果您沒有彈性 IP 地址，請在 [https://console.aws.amazon.com/vpc/](https://docs.aws.amazon.com/vpc/) 使用 Amazon VPC 主控台建立一個地址。 1. 針對**服務端點**，如果您的環境需要 Amazon S3 端點，請指定一個。您需要 S3 端點才能為使用者提供[主資料夾](persistent-storage.md#home-folders)的存取權，或是為私有網路中的使用者啟用[應用程式設定持久性](app-settings-persistence.md)。 如果要指定 Amazon S3 端點，請按照以下步驟操作： 1. 選擇 **Add Endpoint (新增端點)**。 1. 針對 **Service (服務)**，請選取清單中以"s3" (與 VPC 建立所在之區域對應的 `com.amazonaws.`*region*`.s3` 項目) 結尾的項目。 1. 針對 **Subnet (子網路)**，選擇 **Private subnet (私有子網路)**。 1. 針對 **Policy (政策)**，請保留預設值 **Full Access (完整存取權)**。 1. 針對 **Enable DNS hostnames (啟用 DNS 主機名稱)**，請保留預設值 **Yes (是)**。 1. 針對 **Hardware tenancy (硬體租用)**，請 保留預設值 **Default (預設)**。 1. 選擇**建立 VPC**。 1. 請注意，設定 VPC 需要幾分鐘的時間。建立 VPC 之後，選擇 **OK (確定)**。 ## 步驟 3：新增第二個私有子網路 在上一個步驟 ([步驟 2：建立新的 VPC](#vpc-with-private-and-public-subnets-nat)) 中，您建立了具有一個公有子網路和一個私有子網路的 VPC。請執行以下步驟來新增第二個私有子網路。建議您在第一個私有子網路以外的可用區域新增第二個私有子網路。 1. 在導覽窗格中，選擇 **Subnets** (子網)。 1. 選取您在上一個步驟中建立的第一個私有子網路。在 **Description (描述)** 標籤上 (位在子網路清單下方)，記下此子網路的可用區域。 1. 在子網路窗格的左上角選擇 **Create Subnet (建立子網路)**。 1. 針對 **Name tag (名稱標籤)**，請輸入私有子網路的名稱，例如 `WorkSpaces Private Subnet2`。 1. 針對 **VPC**，請選取您在前一個步驟建立的 VPC。 1. 針對 **Availability Zone (可用區域)**，請選取您為第一個私有子網路使用之可用區域以外的可用區域。選取其他可用區域可提升容錯能力，並協助避免發生容量不足的錯誤。 1. 針對 **IPv4 CIDR block (IPv4 CIDR 區塊)**，請為新的子網路指定專屬的 CIDR 區塊範圍。舉例來說，如果您第一個私有子網路的 IPv4 CIDR 區塊範圍是 `10.0.1.0/24`，可以為新的私有子網路指定 `10.0.2.0/24` 的 CIDR 區塊範圍。 1. 選擇**建立**。 1. 建立子網路之後，請選擇 **Close (關閉)**。 ## 步驟 4：確認並為您的子網路路由表命名 在您建立並設定 VPC 後，請完成以下步驟來為您的路由表指定名稱，並確認： + 與您 NAT 閘道所在之子網路關聯的路由表包含將網際網路流量指向網際網路閘道的路由。這可確保您的 NAT 閘道可以存取網際網路。 + 與您私有子網路建立關聯的路由表，會將網際網路流量指向 NAT 閘道。這可讓您私有子網路中的串流執行個體與網際網路通訊。 1. 在導覽窗格中，選擇 **Subnets (子網路)**，並選取您建立的公有子網路，例如 `WorkSpaces Public Subnet`。 1. 在 **Route Table (路由表)** 標籤上，請選擇路由表的 ID，例如 `rtb-12345678`。 1. 選取 路由表。在 **Name (名稱)** 下，請選擇編輯圖示 (鉛筆) 並輸入名稱 (例如 `workspaces-public-routetable`)，接著選取核取記號來儲存名稱。 1. 在已選取公有路由表的情況下，於 **Routes (路由)** 標籤確認本機流量有一個路由，且有另一個路由會為 VPC 將所有其他流量傳送到網際網路閘道。下表說明這兩種路由： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/workspaces/latest/adminguide/create-configure-new-vpc-with-private-public-subnets-nat.html) 1. 在導覽窗格中，選擇 **Subnets (子網路)**，並選取您建立的第一個私有子網路，例如 `WorkSpaces Private Subnet1`。 1. 在 **Route Table (路由表)** 標籤上，請選擇路由表的 ID。 1. 選取 路由表。在 **Name (名稱)** 下，請選擇編輯圖示 (鉛筆) 並輸入名稱 (例如 `workspaces-private-routetable`)，接著選擇核取記號來儲存名稱。 1. 在 **Routes (路由)** 標籤上，請確認路由表包含以下路由： [\[See the AWS documentation website for more details\]](http://docs.aws.amazon.com/zh_tw/workspaces/latest/adminguide/create-configure-new-vpc-with-private-public-subnets-nat.html) 1. 在導覽窗格中，選擇 **Subnets (子網路)**，並選取您建立的第二個私有子網路，例如 `WorkSpaces Private Subnet2`。 1. 在 **Route Table (路由表)** 標籤上，請確認路由表為私有路由表 (例如 `workspaces-private-routetable`)。如果路由表不同，請選擇 **Edit (編輯)** 並選取此路由表。 **後續步驟** 若要讓 WorkSpaces 集區中的 WorkSpaces 能夠存取網際網路，請完成 中的步驟[啟用 WorkSpaces 集區的網際網路存取](managing-network-manual-enable-internet-access.md)。 # 將 NAT 閘道新增至現有 VPC 如果您已經設定 VPC，請完成以下步驟來將 NAT 閘道新增至 VPC。如果您需要建立新的 VPC，請參閱[建立和設定新的 VPC](create-configure-new-vpc-with-private-public-subnets-nat.md)。 **將 NAT 閘道新增至現有 VPC** 1. 若要建立 NAT 閘道，請完成《Amazon VPC 使用者指南》**中[建立 NAT 閘道](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-nat-gateway.html#nat-gateway-creating)的步驟。 1. 請確認您的 VPC 至少有一個私有子網路。建議您在不同可用區域指定兩個私有子網路，以取得高可用性和容錯能力。如需如何建立第二個私有子網路的資訊，請參閱[步驟 3：新增第二個私有子網路](create-configure-new-vpc-with-private-public-subnets-nat.md#vpc-with-private-and-public-subnets-add-private-subnet-nat)。 1. 更新與您一或多個私有子網路關聯的路由表，將網際網路的流量指向 NAT 閘道。這可讓您私有子網路中的串流執行個體與網際網路通訊。若要這麼做，請完成《Amazon VPC 使用者指南》**中[更新路由表](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-nat-gateway.html#nat-gateway-create-route)的步驟。 **後續步驟** 若要讓 WorkSpaces 集區中的 WorkSpaces 能夠存取網際網路，請完成 中的步驟[啟用 WorkSpaces 集區的網際網路存取](managing-network-manual-enable-internet-access.md)。 # 啟用 WorkSpaces 集區的網際網路存取 在 VPC 上提供 NAT 閘道之後，您可以啟用 WorkSpaces 集區的網際網路存取。您可以在[建立 WorkSpaces 集區目錄](https://docs.aws.amazon.com/workspaces/latest/adminguide/create-directory-pools.html)時啟用網際網路存取。當您建立目錄時，請選擇具有 NAT 閘道的 VPC。然後，為**子網路 1** 選取私有子網路，並選擇性地為**子網路 2** 選取另一個私有子網路。如果您的 VPC 內還沒有任何私有子網路，可能需要建立第二個私有子網路。 您可以啟動 WorkSpaces 集區，然後連線至集區中的 WorkSpace 並瀏覽至網際網路，以測試網際網路連線。 # 設定新的 VPC，或具有公有子網路的現有 VPC 如果您在 2013-12-04 之後建立 Amazon Web Services 帳戶，則每個 AWS 區域中都會有一個[預設 VPC](default-vpc-with-public-subnet.md)，其中包含預設公有子網路。不過，您可能想要建立自己的非預設 VPC，或設定現有的 VPC 以搭配 WorkSpaces 集區目錄使用。本主題說明如何設定非預設 VPC 和公有子網路，以搭配 WorkSpaces 集區使用。 設定 VPC 和公有子網路之後，您可以透過啟用預設網際網路存取選項，為 WorkSpaces 集區中的 WorkSpaces 提供網際網路存取權。 ****當您啟用此選項時，WorkSpaces 集區會透過將[彈性 IP 地址](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/elastic-ip-addresses-eip.html)與從串流執行個體連接至公有子網路的網路介面建立關聯來啟用網際網路連線。彈性 IP 地址是可從網際網路存取的公有 IPv4 地址。因此，我們建議您改用 NAT 閘道來提供 WorkSpaces 集區中 WorkSpaces 的網際網路存取。此外，啟用**預設網際網路存取**時，最多支援 100 個 WorkSpaces。如果您的部署必須支援超過 100 名同時上線的使用者，請改用 [NAT 閘道組態](managing-network-internet-NAT-gateway.md)。 如需詳細資訊，請參閱[建立含有私有子網路與 NAT 閘道的 VPC](managing-network-internet-NAT-gateway.md)中的步驟。如需其他 VPC 組態建議，請參閱 [WorkSpaces 集區的 VPC 設定建議](vpc-setup-recommendations.md)。 **Topics** + [步驟 1：設定具有公有子網路的 VPC](#vpc-with-public-subnet) + [步驟 2：為您的 WorkSpaces 集區啟用預設網際網路存取](#managing-network-enable-default-internet-access) ## 步驟 1：設定具有公有子網路的 VPC 您可以使用下列其中一種方法設定自己的非預設 VPC 與公有子網路： + [建立具有單一公有子網路的新 VPC](#new-vpc-with-public-subnet) + [設定現有的 VPC](#existing-vpc-with-public-subnet) ### 建立具有單一公有子網路的新 VPC 當您使用 VPC 精靈建立新的 VPC 時，精靈會建立網際網路閘道，以及與公有子網路建立關聯的自訂路由表。路由表會將目標為 VPC 外地址的所有流量路由至網際網路閘道。如需此組態的詳細資訊，請參閱《Amazon VPC 使用者指南》**中的[使用單一公有子網路的 VPC](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Scenario1.html)。 1. 完成《Amazon VPC 使用者指南》**中[步驟 1：建立 VPC](https://docs.aws.amazon.com/vpc/latest/userguide/getting-started-ipv4.html#getting-started-create-vpc) 的步驟，以建立您的 VPC。 1. 若要讓您的 WorkSpaces 能夠存取網際網路，請完成 中的步驟[步驟 2：為您的 WorkSpaces 集區啟用預設網際網路存取](#managing-network-enable-default-internet-access)。 ### 設定現有的 VPC 若要使用不具有公有子網路的現有 VPC，您可以新增新的公有子網路。除了公有子網路以外，您也必須有連接至 VPC 的網際網路閘道，以及能將目標為 VPC 以外之地址的所有流量路由至網際網路閘道的路由表。如果要設定這些元件，請完成以下步驟。 1. 如果要新增公有子網路，請完成[在您的 VPC 中建立子網路](https://docs.aws.amazon.com/vpc/latest/userguide/working-with-vpcs.html#AddaSubnet)中的步驟。使用您計劃與 WorkSpaces 集區搭配使用的現有 VPC。 如果您的 VPC 已設定為支援 IPv6 定址，**IPv6 CIDR block (IPv6 CIDR 區塊)** 清單會隨即顯示。選取 **Don't assign Ipv6 (不指派 Ipv6)**。 1. 如果要建立網際網路閘道並連接至 VPC，請完成[建立並連接網際網路閘道](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Internet_Gateway.html#Add_IGW_Attach_Gateway)中的步驟。 1. 若要設定子網路以透過網際網路閘道來路由網際網路流量，請完成[建立自訂路由表](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_Internet_Gateway.html#Add_IGW_Routing)中的步驟。在步驟 5 中，請針對 **Destination (目標)**, 使用 IPv4 格式 (`0.0.0.0/0`)。 1. 若要讓您的 WorkSpaces 和映像建置器能夠存取網際網路，請完成 中的步驟[步驟 2：為您的 WorkSpaces 集區啟用預設網際網路存取](#managing-network-enable-default-internet-access)。 ## 步驟 2：為您的 WorkSpaces 集區啟用預設網際網路存取 您可以在[建立 WorkSpaces 集區目錄](https://docs.aws.amazon.com/workspaces/latest/adminguide/create-directory-pools.html)時啟用網際網路存取。當您建立目錄時，請選擇具有公有子網路的 VPC。然後為**子網路 1** 選取公有子網路，並選擇性地為**子網路 2** 選取另一個公有子網路。 您可以啟動 WorkSpaces 集區，然後連線至集區中的 WorkSpace 並瀏覽至網際網路，以測試網際網路連線。 # 使用預設 VPC、公有子網路和安全群組 如果您的 Amazon Web Services 帳戶是在 2013-12-04 之後建立，則在每個 AWS 區域中都有預設 VPC。預設 VPC 在所有可用區域中均包含預設公有子網路，以及連接至您 VPC 的網際網路閘道。VPC 也包含預設安全群組。如果您是初次使用 WorkSpaces 集區，並且想要開始使用服務，您可以在建立 WorkSpaces 集區時保持選取預設 VPC 和安全群組。接著，您可以選取至少一個預設子網路。 **注意** 如果您的 Amazon Web Services 帳戶是在 2013-12-04 之前建立，您必須建立新的 VPC 或設定現有的 VPC 以搭配 WorkSpaces 集區使用。建議您為 WorkSpaces 集區手動設定具有兩個私有子網路的 VPC，以及公有子網路中的 NAT 閘道。如需詳細資訊，請參閱[建立含有私有子網路與 NAT 閘道的 VPC](managing-network-internet-NAT-gateway.md)。或者，您可以設定具有公有子網路的非預設 VPC。如需詳細資訊，請參閱[設定新的 VPC，或具有公有子網路的現有 VPC](managing-network-default-internet-access.md)。 您可以在[建立 WorkSpaces 集區目錄](https://docs.aws.amazon.com/workspaces/latest/adminguide/create-directory-pools.html)時啟用網際網路存取。 當您建立目錄時，請選擇預設 VPC。預設 VPC 名稱會使用以下格式：`vpc-`*vpc-id*` (No_default_value_Name)`。 然後，為**子網路 1** 選取預設公有子網路，並選擇性地為**子網路 2** 選取另一個預設公有子網路。預設子網路名稱會使用以下格式：`subnet-`*subnet-id*` | (`*IPv4 CIDR 區塊*`) | Default in` *availability-zone*。 您可以啟動 WorkSpaces 集區，然後連線至集區中的 WorkSpace 並瀏覽至網際網路，以測試網際網路連線。 # 設定 WorkSpaces 集區的 FedRAMP 授權或 DoD SRG 合規 若要符合[聯邦風險與授權管理計劃 (FedRAMP)](https://aws.amazon.com/compliance/fedramp/) 或[國防部 (DoD) 雲端運算安全要求指南 (SRG)](https://aws.amazon.com/compliance/dod/)，您必須將 Amazon WorkSpaces 集區設定為在目錄層級使用聯邦資訊處理標準 (FIPS) 端點加密。您也必須使用具有 FedRAMP 授權或符合 DoD SRG 規範的美國 AWS 區域。 FedRAMP 授權層級 （中度或高度） 或 DoD SRG 影響層級 (2、4 或 5) 取決於使用 Amazon WorkSpaces 的美國 AWS 區域。如需適用於每個區域的 FedRAMP 授權和 DoD SRG 合規層級，請參閱[合規計畫範圍內的AWS 服務](https://aws.amazon.com/compliance/services-in-scope/)。 **需求** + WorkSpaces 集區目錄必須設定為使用 **FIPS 140-2 驗證模式**進行端點加密。 **注意** 若要使用 **FIPS 140-2 驗證模式**設定，請確定下列事項： WorkSpaces 集區目錄為： 新增且未與集區建立關聯 與處於 STOPPED 狀態的現有集區相關聯 集區目錄已[https://docs.aws.amazon.com/workspaces/latest/api/API_ModifyStreamingProperties.html](https://docs.aws.amazon.com/workspaces/latest/api/API_ModifyStreamingProperties.html)設定為 TCP。 + 您必須在[具有 FedRAMP 授權或符合 DoD SRG 的美國 AWS 區域中](https://aws.amazon.com/compliance/services-in-scope/)建立 WorkSpaces 集區。 + 使用者必須從下列其中一個 WorkSpaces 用戶端應用程式存取其 WorkSpaces： + macOS：5.20.0 或更新版本 + Windows：5.20.0 或更新版本 + Web Access **使用 FIPS 端點加密** 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在導覽窗格中，選擇**目錄**，然後選擇您要用於 FedRAMP 授權和 DoD SRG 合規的目錄。 1. 在**目錄詳細資訊**頁面上，選擇要為 FIPS 加密模式設定的目錄。 1. 在**端點加密**區段中，選擇**編輯**，然後選擇 **FIPS 140-2 驗證模式**。 1. 選擇**儲存**。 # 將 Amazon S3 VPC 端點用於 WorkSpaces 集區功能 當您為 WorkSpaces 集區目錄啟用 WorkSpaces 集區或主資料夾的應用程式設定持續性時，WorkSpaces 會使用您為目錄指定的 VPC 來提供對 Amazon Simple Storage Service (Amazon S3) 儲存貯體的存取。若要啟用 WorkSpaces 集區存取私有 S3 端點，請將下列自訂政策連接至 Amazon S3 的 VPC 端點。如需有關私有 Amazon S3 端點的詳細資訊，請參閱《Amazon VPC 使用者指南》**中的 [VPC 端點](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints.html)和 [Amazon S3 的端點](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints-s3.html)。 ------ #### [ Commercial AWS 區域 ] 針對商業 中的資源使用下列政策 AWS 區域。 ------ #### [ AWS GovCloud (US) Regions ] 針對商業 中的資源使用下列政策 AWS GovCloud (US) Regions。 ------ # WorkSpaces 集區的 VPC 連線 若要啟用 WorkSpaces 集區與網路資源和網際網路的連線，請設定您的 WorkSpaces，如下所示。 ## 網路界面 WorkSpaces 集區中的每個 WorkSpaces 都有下列網路介面： + 客戶網路介面可讓您連線至 VPC 內的資源以及網際網路，並用來將 WorkSpaces 加入您的目錄。 + 管理網路界面會連線至安全的 WorkSpaces 集區管理網路。它用於將 WorkSpace 互動式串流到使用者的裝置，並允許 WorkSpaces 集區管理 WorkSpace。 WorkSpaces 集區會從下列私有 IP 地址範圍選取管理網路介面的 IP 地址：198.19.0.0/16。請勿將此範圍用於 VPC CIDR 或將 VPC 與具有此範圍的其他 VPC 對等，因為這可能會造成衝突並導致 WorkSpaces 無法連線。此外，請勿修改或刪除連接到 WorkSpace 的任何網路介面，因為這也可能導致 WorkSpace 無法連線。 ## 管理網路界面 IP 地址範圍和連接埠 管理網路界面 IP 地址範圍是 198.19.0.0/16。下列連接埠必須在所有 WorkSpaces 的管理網路介面上開放： + 連接埠 8300 上的傳入 TCP。用於建立串流連線。 + 連接埠 3128 上的傳出 TCP。這用於管理 WorkSpaces。 + 連接埠 8000 和 8443 上的傳入 TCP。這些用於管理 WorkSpaces。 + 連接埠 8300 上的傳入 UDP。這用於建立透過 UDP 的串流連線。 將管理網路界面的傳入範圍限制於 198.19.0.0/16。 **注意** 對於 Amazon DCV BYOL Windows WorkSpaces 集區，所有 AWS 區域都會使用 10.0.0.0/8 IP 地址範圍。這些 IP 範圍是除了您為 BYOL WorkSpaces 集區中的管理流量選擇的 /16 CIDR 區塊之外的。 在正常情況下，WorkSpaces 集區會為您的 WorkSpaces 正確設定這些連接埠。如果在封鎖任何這些連接埠的 WorkSpace 上安裝任何安全或防火牆軟體，WorkSpaces 可能無法正常運作或無法連線。 請勿停用 IPv6。如果您停用 IPv6，WorkSpaces 集區將無法正常運作。如需 Windows IPv6 的相關設定資訊，請參閱[進階使用者適用的在 Windows 中設定 IPv6 的指導](https://support.microsoft.com/en-us/help/929852/guidance-for-configuring-ipv6-in-windows-for-advanced-users)。 **注意** WorkSpaces 集區倚賴 VPC 內的 DNS 伺服器，針對不存在的本機網域名稱傳回不存在的網域 (NXDOMAIN) 回應。這可讓 WorkSpaces 集區受管網路介面與管理伺服器通訊。 當您使用 Simple AD 建立目錄時， AWS Directory Service 會建立兩個網域控制站，其也會代表您做為 DNS 伺服器。由於網域控制站不提供 NXDOMAIN 回應，因此無法與 WorkSpaces 集區搭配使用。 ## 客戶網路界面連接埠 + 針對網際網路連線，下列連接埠必須對所有目的地開放。如果您使用修改過或自訂安全群組，則需要手動新增所需規則。如需詳細資訊，請參閱《Amazon VPC 使用者指南》**中的[安全群組規則](https://docs.aws.amazon.com/vpc/latest/userguide/VPC_SecurityGroups.html#SecurityGroupRules)。 + TCP 80 (HTTP) + TCP 443 (HTTPS) + UDP 4195 + 如果您將 WorkSpaces 加入目錄，則必須在 WorkSpaces 集區 VPC 和目錄控制器之間開啟下列連接埠。 + TCP/UDP 53 - DNS + TCP/UDP 88 - Kerberos 身分驗證 + UDP 123 - NTP + TCP 135 - RPC + UDP 137-138 - Netlogon + TCP 139 - Netlogon + TCP/UDP 389 - LDAP + TCP/UDP 445 - SMB + TCP 1024-65535 - RPC 動態連接埠 如需連接埠的完整清單，請參閱 Microsoft 文件中的 [Active Directory and Active Directory Domain Services Port Requirements](https://docs.microsoft.com/en-us/previous-versions/windows/it-pro/windows-server-2008-R2-and-2008/dd772723(v=ws.10))。 + 所有 WorkSpaces 要求連接埠 80 (HTTP) 開放給 IP 地址`169.254.169.254`，以允許存取 EC2 中繼資料服務。IP 地址範圍`169.254.0.0/16`會保留給 WorkSpaces 集區服務使用量，以供管理流量使用。未排除此範圍可能會導致串流問題。 # WorkSpaces 集區的使用者連線 使用者可以透過預設公有網際網路端點連線至 WorkSpaces 集區中的 WorkSpaces。 根據預設，WorkSpaces 集區設定為透過公有網際網路路由串流連線。需要網際網路連線才能驗證使用者，並提供 WorkSpaces 集區運作所需的 Web 資產。若要允許此流量，您必須允許 [允許的網域](allowed-domains.md) 中所列的網域。 **注意** 對於使用者身分驗證，WorkSpaces 集區支援安全性聲明標記語言 2.0 (SAML 2.0)。如需詳細資訊，請參閱[設定 SAML 2.0 並建立 WorkSpaces 集區目錄](create-directory-pools.md)。 下列主題提供如何啟用 WorkSpaces 集區使用者連線的相關資訊。 **Topics** + [頻寬建議](bandwidth-recommendations-user-connections.md) + [WorkSpaces 集區使用者裝置的 IP 地址和連接埠要求](pools-client-application-ports.md) + [允許的網域](allowed-domains.md) # 頻寬建議 若要最佳化 WorkSpaces 集區的效能，請確定您的網路頻寬和延遲可以維持使用者的需求。 WorkSpaces 集區使用 NICE 桌面雲端視覺化 (DCV)，讓您的使用者能夠在不同的網路條件下安全地存取和串流您的應用程式。為了協助降低頻寬耗用量，NICE DCV 使用以 H.264 為基礎的影片壓縮和編碼。在串流工作階段期間，將會以 AES-256 加密像素串流並透過 HTTPS，將應用程式的視覺化輸出壓縮並串流到您的使用者。收到串流之後，串流就解密並輸出到使用者的本機畫面。當使用者與串流應用程式互動時，NICE DCV 通訊協定會擷取其輸入，並透過 HTTPS 傳回到串流應用程式。 在此過程中，會持續測量網路條件，並將資訊傳回 WorkSpaces 集區。WorkSpaces 集區會透過即時變更視訊和音訊編碼，為各種應用程式和網路條件產生高品質串流，以動態回應不斷變化的網路條件。 WorkSpaces 集區串流工作階段的建議頻寬和延遲取決於工作負載。例如，使用圖形密集型應用程式來執行電腦輔助設計任務的使用者，比使用企業生產力應用程式來撰寫文件的使用者，需要更多頻寬和更短的延遲。 下表提供 WorkSpaces 集區串流工作階段根據常見工作負載的建議網路頻寬和延遲指引。 對於每個工作負載，頻寬建議是根據個別使用者在特定時間點可能的需求。建議值不反映持續輸送量所需的頻寬。在串流工作階段期間，當螢幕上只有很少像素時，持續輸送量明顯較低。雖然可用頻寬較小的使用者仍然可以串流應用程式，但畫面播放速率或影像品質可能不是最佳。 | 工作負載 | Description | 每一使用者建議頻寬 | 建議的最大往返延遲 | | --- | --- | --- | --- | | 企業營運應用程式 | 文件編寫應用程式、資料庫分析公用程式 | 2 Mbps | < 150 毫秒 | | 圖形應用程式 | 電腦輔助設計和模型建置應用程式、照片和影片編輯 | 5 Mbps | < 100 毫秒 | | 高畫質 | 跨多個顯示器的高畫質資料集或映射 | 10 Mbps | < 50 毫秒 | # WorkSpaces 集區使用者裝置的 IP 地址和連接埠要求 WorkSpaces 集區使用者的裝置在使用網際網路端點時需要連接埠 443 (TCP) 和連接埠 4195 (UDP) 的傳出存取權，如果您使用 DNS 伺服器進行網域名稱解析，則需要連接埠 53 (UDP)。 + 使用網際網路端點時，連接埠 443 用於 WorkSpaces 集區使用者裝置與 WorkSpaces 之間的 HTTPS 通訊。一般而言，最終使用者在串流工作階段期間瀏覽 Web 時，網頁瀏覽器會隨機選取串流流量高範圍的來源連接埠。您必須確保允許對此連接埠的傳回流量。 + 使用網際網路端點時，連接埠 4195 用於 WorkSpaces 集區使用者裝置和 WorkSpaces 之間的 UDP HTTPS 通訊。目前只有 Windows 原生用戶端才支援 UDP。如果您使用的是 VPC 端點，則不支援 UDP。 + 連接埠 53 用於 WorkSpaces 集區使用者裝置和 DNS 伺服器之間的通訊。連接埠必須開放給 DNS 伺服器的 IP 地址，以便解析公有網域名稱。如果您未使用 DNS 伺服器進行網域名稱解析，則此連接埠為選用。 # 允許的網域 若要讓 WorkSpaces 集區使用者存取 WorkSpaces，您必須允許網路上的各種網域，使用者從中啟動對 WorkSpaces 的存取。如需詳細資訊，請參閱[WorkSpaces Personal 的 IP 位址和連接埠要求](workspaces-port-requirements.md)。請注意，頁面指定它適用於 WorkSpaces Personal，但也適用於 WorkSpaces 集區。 **注意** 如果您的 S3 儲存貯體名稱中有「.」 名稱中的字元，使用的網域是 `https://s3..amazonaws.com`。如果您的 S3 儲存貯體名稱中沒有「.」 名稱中的字元，使用的網域是 `https://.s3..amazonaws.com`。 # 建立 WorkSpaces 集區 設定並建立從中啟動和串流使用者應用程式的集區。 **注意** 您應該先建立目錄，再建立 WorkSpaces 集區。如需詳細資訊，請參閱[設定 SAML 2.0 並建立 WorkSpaces 集區目錄](create-directory-pools.md)。 **設定和建立集區** 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在導覽窗格中，選擇 **WorkSpaces**、**集區**。 1. 選擇**建立 WorkSpaces 集區**。 1. 在**加入** （選用） 下，您可以**根據我的使用案例選擇建議選項，**以取得您想要使用的 WorkSpace 類型建議。如果您知道想要使用 WorkSpaces 集區，可以略過此步驟。 1. 在**設定 WorkSpaces** 下，輸入下列詳細資訊： + 在**名稱**中，輸入集區的唯一名稱識別符。不允許使用特殊字元。 + 針對**描述**，輸入集區的描述 （最多 256 個字元）。 + 針對**套件**，從下列您想要用於 WorkSpaces 的套件類型中進行選擇。 + **使用基本 WorkSpaces 套件** - 從下拉式清單中選擇其中一個套件。如需所選套件類型的詳細資訊，請選擇**套件詳細資訊**。若要比較集區提供的套件，請選擇**比較所有套件**。 + **使用您自己的自訂套件** - 選擇您先前建立的套件。若要建立自訂套件，請參閱 [建立 WorkSpaces Personal 的自訂 WorkSpaces 映像和套件](create-custom-bundle.md)。 + 針對**執行中模式**，從下列選項中選擇，以設定集區的立即可用性以及支付方式： + **AutoStop** — 根據選擇的套件，僅針對連線至使用者的執行個體，向集區執行個體收取每小時使用費。集區中未連線至使用者的執行個體需支付較低的停止執行個體每小時費用。當使用者啟動工作階段時，他們會在等待 1-2 分鐘後開始串流。 + **AlwaysOn** — 所有執行中的集區執行個體都會收取適用的每小時使用費，即使使用者未連線也一樣。此模式最適合不想等待串流開始的使用者。 + 針對**工作階段最長持續時間 (單位分鐘)**，選擇串流工作階段可保持作用中的時間長度上限。如果使用者在達到此限制前的 5 分鐘仍連線到串流執行個體，系統會提示他們儲存所有開啟的文件，然後才中斷連線。超過此時間後，執行個體會終止，並替換為新的執行個體。您可以在 WorkSpaces 集區主控台中設定的工作階段持續時間上限為 5760 分鐘 (96 小時）。您可以使用 WorkSpaces 集區 API 和 CLI 設定的工作階段持續時間上限為 432000 秒 (120 小時）。 + 針對 **Disconnect timeout in minutes (中斷連線逾時 (以分鐘為單位))**，選擇在使用者中斷連線之後，串流工作階段會保持作用中的時間長度。如果在這個時間間隔內，使用者於中斷連線或網路中斷後仍嘗試重新連線到此串流工作階段，則會連線到上一個工作階段。不然的話，他們會連線到含新串流執行個體的新工作階段。 + 如果使用者透過在集區工具列上選擇**結束工作階段**或**登出**來結束工作階段，則不會套用中斷連線逾時。反之，系統會提示使用者儲存任何開啟的文件，然後立即從串流執行個體中斷連線。然後，使用者使用的執行個體就會終止。 + 針對 **Idle disconnect timeout in minutes (閒置中斷連線逾時 (以分鐘為單位))**，選擇要等使用者閒置 (非作用中) 多久後，才讓使用者與其串流工作階段中斷連線，並開始計算 **Disconnect timeout in minutes (中斷連線逾時 (以分鐘為單位))** 時間間隔。使用者會在由於未活動而導致中斷連線之前收到通知。如果使用者在 **Disconnect timeout in minutes (中斷連線逾時 (以分鐘為單位))** 中指定的時間間隔過去之前就嘗試重新連線至串流工作階段，系統會將使用者連線至其先前的工作階段。不然的話，他們會連線到含新串流執行個體的新工作階段。將此值設定為 0 便可加以停用。當此值停用時，使用者就不會由於未活動而導致中斷連線。 **注意** 當使用者在其串流工作階段期間停止提供鍵盤或滑鼠輸入時，便會將其視為閒置。對於加入網域的集區，直到使用者使用其 Active Directory 網域密碼或智慧卡登入，閒置中斷連線逾時的倒數才會開始。檔案上傳和下載、音訊輸入、音訊輸出和像素變更無法作為使用者活動。如果使用者在 **Idle disconnect timeout in minutes (閒置中斷連線逾時 (以分鐘為單位))** 中的時間間隔過後仍保持閒置狀態，系統便會將其中斷連線。 + 針對**排程容量政策** （選用），選擇**新增排程容量**。根據預期的並行使用者數量下限，指出何時為您的集區佈建執行個體數量下限和上限的開始和結束日期和時間。 + 對於**手動擴展政策** （選用），指定用於增加和減少集區容量的集區擴展政策。展開**手動擴展政策**以新增新的擴展政策。 **注意** 集區的大小受限於您指定的容量下限和上限。 + 選擇**新增橫向擴展政策**，並在指定的容量使用率小於或大於指定的閾值時，輸入新增指定執行個體的值。 + 選擇**新增縮減政策**，並在指定的容量使用率小於或大於指定的閾值時，輸入移除指定執行個體的值。 + 針對**標籤**，指定您要使用的金鑰對值。索引鍵可以是一般類別，例如「專案」、「擁有者」或「環境」，與特定相關的值。 1. 在**選取目錄頁面上**，選擇您建立的目錄。若要建立目錄，請選擇**建立目錄**。如需詳細資訊，請參閱[管理 WorkSpaces 集區的目錄](manage-workspaces-pools-directory.md)。 1. 選擇**建立 WorkSpace 集區**。 # 管理 WorkSpaces 集區 WorkSpaces 集區由執行您指定映像的 WorkSpaces 組成。 **Topics** + [執行模式](running-mode-pools.md) + [套件](instance-types.md) + [修改集區](modify-pool.md) + [刪除集區](set-up-pools-finish.md) + [WorkSpaces 集區的 Auto Scaling](autoscaling.md) # WorkSpaces 集區的執行模式 WorkSpaces 集區的執行模式會決定其立即可用性以及支付方式。您可以在建立 WorkSpaces 集區時選擇下列執行模式： + **AutoStop**：WorkSpaces 集區的執行個體會根據所選的套件按小時計費，僅適用於連線至使用者的執行個體。WorkSpaces 集區中未連線至使用者的執行個體，需支付較低的停止執行個體每小時費用。使用者啟動工作階段時，會在 1-2 分鐘後開始串流。 + **AlwaysOn** – 執行 WorkSpaces 集區的執行個體會收取適用的每小時使用費，即使使用者未連線也一樣。此模式最適合不想等待串流開始的使用者。 如需詳細資訊，請參閱 [WorkSpaces 定價](https://aws.amazon.com/workspaces/pricing/)。 **Topics** + [修改執行模式](modify-running-mode-pool.md) # 修改執行模式 當 WorkSpaces 集區處於停止狀態時，您可以在執行中模式之間切換。 **修改 WorkSpaces 集區的執行模式** 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在導覽窗格中，選擇 **WorkSpaces** **和集區**。 1. 選取要修改的 WorkSpaces 集區，並確認其處於停止狀態。然後，選擇**動作**和**修改執行模式**。 1. 選取新的執行模式 (**AlwaysOn** 或 **AutoStop**)，然後選擇**儲存**。 **使用 修改 WorkSpaces 集區的執行模式 AWS CLI** + 使用 [update-workspaces-pool](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/workspaces/update-workspaces-pool.html) 命令。 # WorkSpaces 集區套件 *WorkSpace 套件*是作業系統、儲存體、運算和軟體資源的組合。當您啟動 WorkSpace 時，請選取符合您需求的套件。WorkSpaces 可用的預設套件稱為*公用套件*。如需有關可用於 WorkSpaces 之各種公用套件的詳細資訊，請參閱 [Amazon WorkSpaces 套件](https://aws.amazon.com/workspaces/details/#Amazon_WorkSpaces_Bundles)。 下表提供每個作業系統支援的授權、串流通訊協定和套件的相關資訊。 | 作業系統 | 授權 | 串流通訊協定 | 支援的套件 | | --- | --- | --- | --- | | Windows Server 2019 | 包含 | DCV | 值、標準、效能、電源、PowerPro | | Windows Server 2022 | 包含 | DCV | 標準、效能、電源、PowerPro、Graphics.G4dn、GraphicsPro.G4dn | **注意** 廠商不再支援的作業系統版本不保證可正常運作，也不支援 AWS 支援。 # 修改集區 建立 WorkSpaces 集區之後，您可以修改下列項目： + 目錄 ID （如果 WorkSpaces 集區已停止） + 基本詳細資訊 + 套件和硬體 + 工作階段中斷連線設定 + 容量和擴展 + 擴展活動 + 標籤 **修改 WorkSpaces 集區** 1. 在導覽窗格中，選擇 **WorkSpaces**、**集區**。 1. 選取您要修改的集區。 1. 前往您要修改的區段，然後選擇**編輯**。 1. 進行您要進行的修改，然後選擇**儲存**。 # 刪除集區 您可以刪除集區以釋出資源，並避免您的帳戶產生意外費用。建議您停止任何未使用的執行中集區。 **刪除集區** 1. 在導覽窗格中，選擇 **WorkSpaces**、**集區**。 1. 選取您要停止的集區，然後選擇**停止**。停止集區大約需要 5 分鐘。 1. 當集區的狀態**停止**時，選擇**刪除**。 # WorkSpaces 集區的自動擴展 Auto Scaling 可讓您自動變更集區的大小，以符合使用者需求的可用執行個體供應。集區的大小決定可同時串流的使用者數量。每個使用者工作階段都需要一個執行個體。您可以根據執行個體指定集區容量。根據您的集區組態和自動擴展政策，將提供所需的執行個體數量。您可以定義擴展政策，根據各種使用率指標自動調整集區的大小，並最佳化可用的執行個體數量以符合使用者需求。您也可以選擇關閉自動擴展，並讓集區以固定大小執行。 **注意** 當您開發 WorkSpaces 集區擴展的計劃時，請確定您的網路組態符合您的需求。 使用擴展時，您可以使用應用程式自動擴展 API。若要讓 Auto Scaling 正確使用 WorkSpaces 集區，Application Auto Scaling 需要描述和更新集區的許可，以及描述 Amazon CloudWatch 警示，以及代表您修改集區容量的許可。 下列主題提供的資訊可協助您了解和使用適用於 WorkSpaces 集區的 Auto Scaling。 **Topics** + [擴展概念](#autoscaling-concepts) + [使用主控台管理集區擴展](#autoscaling-console) + [使用 CLI AWS 管理集區擴展](#autoscaling-cli) + [其他資源](#autoscaling-additional-resources) ## 擴展概念 WorkSpaces 集區擴展由 Application Auto Scaling 提供。如需詳細資訊，請參閱《[Application Auto Scaling API 參考](https://docs.aws.amazon.com/autoscaling/application/APIReference/)》。 若要有效地使用 Auto Scaling 搭配 WorkSpaces 集區，您必須了解下列術語和概念。 **集區的最低容量/最低使用者工作階段** 執行個體的最小數量。執行個體數量不能低於此值，擴展政策也不會將您的集區擴展到低於此值。例如，如果您將集區的最小容量設定為 2，則集區永遠不會有少於 2 個執行個體。 **集區的最大容量/最大使用者工作階段** 執行個體數量上限。執行個體數量不能超過此值，擴展政策也不會將您的集區擴展到超過此值。例如，如果您將集區的最大容量設定為 10，則集區永遠不會有超過 10 個執行個體。 **所需的使用者工作階段容量** 正在執行或待定的工作階段總數。這表示集區在穩定狀態下可支援的並行串流工作階段總數。 **擴展政策動作** 符合擴展政策**條件時，擴展政策**在集區上執行的動作。您可以根據 **% capacity (% 容量)** 或 **number of instance(s) (執行個體數)** 來選擇動作。例如，如果**所需的使用者工作階段容量**為 4**，且擴展政策動作**設定為「新增 25% 容量」，則當符合**擴展政策條件**時，**所需的使用者工作階段容量**會增加 25% 至 5。 **擴展政策條件** 觸發 **Scaling Policy Action (調整規模政策動作)** 中所設定動作的條件。此條件包含調整規模政策指標、一個比較運算子，以及一個閾值。例如，若要在集區使用率大於 50% 時擴展集區，您的擴展政策條件應該是「如果容量使用率 > 50%」。 **擴展政策指標** 您的調整規模政策會以此指標作為根據。以下指標可用於調整規模政策： **容量使用率** 集區中正在使用的執行個體百分比。您可以使用此指標，根據集區的用量來擴展集區。例如，**Scaling Policy Condition (調整規模政策條件)**：「若容量使用率 < 25%」執行 **Scaling Policy Action (調整規模政策動作)**：「移除 25% 的容量」。 **可用容量** 集區中可供使用者使用的執行個體數量。您可以使用此指標來在您的容量中維持一個緩衝區，供使用者啟動串流工作階段。例如，**Scaling Policy Condition (調整規模政策條件)**：「若可用容量 < 5」執行 **Scaling Policy Action (調整規模政策動作)**：「新增 5 個執行個體」。 **容量不足錯誤** 由於容量不足而導致工作階段請求被拒的數量。您可以使用此指標，為因容量不足而無法啟動串流工作階段的使用者佈建新的執行個體。例如，**Scaling Policy Condition (調整規模政策條件)**：「若容量不足錯誤 > 0」執行 **Scaling Policy Action (調整規模政策動作)**：「新增 1 個執行個體」。 ## 使用主控台管理集區擴展 您可以使用 WorkSpaces 主控台，以下列兩種方式之一來設定和管理擴展：在集區建立期間，或使用**集**區索引標籤隨時。建立集區之後，請前往**擴展政策**索引標籤，為您的集區新增擴展政策。如需詳細資訊，請參閱[建立 WorkSpaces 集區](set-up-pools-create.md)。 針對數量各不相同的使用者環境，定義調整規模政策來控制調整規模回應需求的方式。如果您預期有固定數量的使用者，或有停用擴展的其他原因，您可以使用固定數量的使用者工作階段執行個體來設定集區。 若要這樣做，請將最小容量設定為所需的執行個體數量。將容量上限調整為至少容量下限的值。這可避免驗證錯誤，但由於集區不會擴展，最終會忽略最大容量。然後，刪除該集區的所有擴展政策。 **使用主控台設定集區擴展政策** 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在導覽窗格中選擇 **Pools** (集區)。 1. 選取集區。 1. 在該集區的頁面上，向下捲動至容量和擴展。 1. 選擇**編輯**。 1. 編輯現有政策，並在其欄位中設定所需的值，然後選擇**儲存**。政策變更會在幾分鐘之內生效。 1. 您也可以選擇**新增排程容量**、**新增橫向擴展政策或新增縮減政策****，來新增容量和擴展**政策。 以下是當五個使用者連線到集區然後中斷連線時，擴展活動的範例用量圖表。此範例來自使用下列擴展政策值的集區： + 最小容量 = 10 + 最大容量 = 50 + 向外擴展 = 如果我的集區容量使用率大於 75%，則新增 5 個執行個體 + 向內擴展 = 如果我的集區容量使用率低於 25%，則移除 6 個執行個體 **注意** 在工作階段期間，將在橫向擴展事件期間啟動 5 個新執行個體。在擴展事件期間，如果有足夠的執行個體沒有作用中的使用者工作階段，且執行個體總數未低於 10 個執行個體的最低容量，則會回收 6 個執行個體。具有執行中使用者工作階段的執行個體將不會回收。只會回收沒有執行中使用者工作階段的執行個體。 ## 使用 CLI AWS 管理集區擴展 您可以使用 AWS Command Line Interface (AWS CLI) 來設定和管理集區擴展。如需設定向內擴展和向外擴展冷卻時間等更進階的功能，請使用 AWS CLI。在執行擴展政策命令之前，您必須將集區註冊為可擴展的目標。若要這樣做，請使用以下 [register-scalable-target](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/register-scalable-target.html) 命令： ``` aws application-autoscaling register-scalable-target --service-namespace workspaces \ --resource-id workspacespool/PoolId \ --scalable-dimension workspaces:workspacespool:DesiredUserSessions \ --min-capacity 1 --max-capacity 5 ``` **Topics** + [範例 1：根據容量使用率套用擴展政策](#autoscaling-cli-utilization) + [範例 2：根據容量不足錯誤套用擴展政策](#autoscaling-cli-capacity) + [範例 3：根據低容量使用率套用擴展政策](#autoscaling-cli-scale-in) + [範例 4：根據排程變更集區容量](#autoscaling-cli-schedule) + [範例 5：套用目標追蹤擴展政策](#autoscaling-target-tracking) ### 範例 1：根據容量使用率套用擴展政策 如果使用率 >= 75%，此 AWS CLI 範例會設定擴展政策，將集區擴展 25%。 以下 [put-scaling-policy](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/put-scaling-policy.html) 命令會定義使用率類型的調整規模政策： ``` aws application-autoscaling put-scaling-policy -- cli-input-json file://scale-out-utilization.json ``` `scale-out-utilization.json` 檔案的內容如下： ``` { "PolicyName": "policyname", "ServiceNamespace": "workspaces", "ResourceId": "workspacespool/PoolId", "ScalableDimension": "workspaces:workspacespool:DesiredUserSessions", "PolicyType": "StepScaling", "StepScalingPolicyConfiguration": { "AdjustmentType": "PercentChangeInCapacity", "StepAdjustments": [ { "MetricIntervalLowerBound": 0, "ScalingAdjustment": 25 } ], "Cooldown": 120 } } ``` 若命令成功，則輸出類似以下內容，雖然有些詳細資訊會因您的帳戶和區域而有所不同。在此範例中，政策識別符是 `e3425d21-16f0-d701-89fb-12f98dac64af`。 ``` {"PolicyARN": "arn:aws:autoscaling:us-west-2:123456789012:scalingPolicy:e3425d21-16f0-d701-89fb-12f98dac64af:resource/workspaces/workspacespool/PoolId:policyName/scale-out-utilization-policy"} ``` 現在，為此政策設定 CloudWatch 警示。使用適用於您的名稱、區域、帳號和政策識別符。您可以使用先前命令針對 `-- alarm-actions` 參數所傳回的政策 ARN。 ``` aws cloudwatch put-metric-alarm --alarm-name alarmname \ --alarm-description "Alarm when Available User Session Capacity exceeds 75 percent" \ --metric-name AvailableUserSessionCapacity \ --namespace AWS/WorkSpaces \ --statistic Average \ --period 300 \ --threshold 75 \ --comparison-operator GreaterThanOrEqualToThreshold \ --dimensions "Name=WorkSpaces pool ID,Value=PoolId" \ --evaluation-periods 1 --unit Percent \ --alarm-actions "arn:aws:autoscaling:your-region-code:account-number-without-hyphens:scalingPolicy:policyid:resource/workspaces/workspacespool/PoolId:policyName/policyname" ``` ### 範例 2：根據容量不足錯誤套用擴展政策 如果集區傳回`InsufficientCapacityError`錯誤，此 AWS CLI 範例會設定擴展政策，將集區向外擴展 1。 以下命令會定義容量不足類型的調整規模政策： ``` aws application-autoscaling put-scaling-policy -- cli-input-json file://scale-out-capacity.json ``` `scale-out-capacity.json` 檔案的內容如下： ``` { "PolicyName": "policyname", "ServiceNamespace": "workspaces", "ResourceId": "workspacespool/PoolId", "ScalableDimension": "workspaces:workspacespool:DesiredUserSessions", "PolicyType": "StepScaling", "StepScalingPolicyConfiguration": { "AdjustmentType": "ChangeInCapacity", "StepAdjustments": [ { "MetricIntervalLowerBound": 0, "ScalingAdjustment": 1 } ], "Cooldown": 120 } } ``` 若命令成功，則輸出類似以下內容，雖然有些詳細資訊會因您的帳戶和區域而有所不同。在此範例中，政策識別符是 `f4495f21-0650-470c-88e6-0f393adb64fc`。 ``` {"PolicyARN": "arn:aws:autoscaling:us-west-2:123456789012:scalingPolicy:f4495f21-0650-470c-88e6-0f393adb64fc:resource/workspaces/workspacespool/PoolId:policyName/scale-out-insufficient-capacity-policy"} ``` 現在，為此政策設定 CloudWatch 警示。使用適用於您的名稱、區域、帳號和政策識別符。您可以使用先前命令針對 `--alarm-actions` 參數所傳回的政策 ARN。 ``` aws cloudwatch put-metric-alarm --alarm-name alarmname \ --alarm-description "Alarm when out of capacity is > 0" \ --metric-name InsufficientCapacityError \ --namespace AWS/WorkSpaces \ --statistic Maximum \ --period 300 \ --threshold 0 \ --comparison-operator GreaterThanThreshold \ --dimensions "Name=Pool,Value=PoolId" \ --evaluation-periods 1 --unit Count \ --alarm-actions "arn:aws:autoscaling:your-region-code:account-number-without-hyphens:scalingPolicy:policyid:resource/workspaces/workspacespool/PoolId:policyName/policyname" ``` ### 範例 3：根據低容量使用率套用擴展政策 此 AWS CLI 範例會設定在 集區中擴展的擴展政策，以在 `UserSessionsCapacityUtilization`較低時減少實際容量。 以下命令會定義容量超過類型的調整規模政策： ``` aws application-autoscaling put-scaling-policy -- cli-input-json file://scale-in-capacity.json ``` `scale-in-capacity.json` 檔案的內容如下： ``` { "PolicyName": "policyname", "ServiceNamespace": "workspaces", "ResourceId": "workspacespool/PoolId", "ScalableDimension": "workspaces:workspacespool:DesiredUserSessions", "PolicyType": "StepScaling", "StepScalingPolicyConfiguration": { "AdjustmentType": "PercentChangeInCapacity", "StepAdjustments": [ { "MetricIntervalUpperBound": 0, "ScalingAdjustment": -25 } ], "Cooldown": 360 } } ``` 若命令成功，則輸出類似以下內容，雖然有些詳細資訊會因您的帳戶和區域而有所不同。在此範例中，政策識別符是 `12ab3c4d-56789-0ef1-2345-6ghi7jk8lm90`。 ``` {"PolicyARN": "arn:aws:autoscaling:us-west-2:123456789012:scalingPolicy:12ab3c4d-56789-0ef1-2345-6ghi7jk8lm90:resource/workspaces/workspacespool/PoolId:policyName/scale-in-utilization-policy"} ``` 現在，為此政策設定 CloudWatch 警示。使用適用於您的名稱、區域、帳號和政策識別符。您可以使用先前命令針對 `--alarm-actions` 參數所傳回的政策 ARN。 ``` aws cloudwatch put-metric-alarm --alarm-name alarmname \ --alarm-description "Alarm when Capacity Utilization is less than or equal to 25 percent" \ --metric-name UserSessionsCapacityUtilization \ --namespace AWS/WorkSpaces \ --statistic Average \ --period 120 \ --threshold 25 \ --comparison-operator LessThanOrEqualToThreshold \ --dimensions "Name=Pool,Value=PoolId" \ --evaluation-periods 10 --unit Percent \ --alarm-actions "arn:aws:autoscaling:your-region-code:account-number-without-hyphens:scalingPolicy:policyid:resource/workspaces/workspacespool/PoolId:policyName/policyname" ``` ### 範例 4：根據排程變更集區容量 根據排程變更集區容量可讓您擴展集區容量，以回應可預測的需求變更。例如，在工作天的一開始，您可能預期會有特定數量的使用者同時請求串流連線。若要根據排程變更集區容量，您可以使用 Application Auto Scaling [PutScheduledAction](https://docs.aws.amazon.com/autoscaling/application/APIReference/API_PutScheduledAction.html) API 動作或 [put-scheduled-action](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/put-scheduled-action.html) AWS CLI 命令。 在變更集區容量之前，您可以使用 WorkSpaces [describe-workspaces-pools](https://docs.aws.amazon.com/cli/latest/reference/workspaces/describe-workspaces-pools.html) AWS CLI 命令列出目前的集區容量。 ``` aws workspaces describe-workspaces-pools --name PoolId ``` 目前的集區容量看起來會與下列輸出類似 （以 JSON 格式顯示）： ``` { "CapacityStatus": { "AvailableUserSessions": 1, "DesiredUserSessions": 1, "ActualUserSessions": 1, "ActiveUserSessions": 0 }, } ``` 然後，使用 `put-scheduled-action`命令建立排程動作來變更集區容量。例如，以下命令會在每天早上 9 點 (UTC) 將容量下限變更為 3，並將容量上限變更為 5。 **注意** 對於 cron 表達式，請指定在 UTC 的何時執行動作。如需詳細資訊，請參閱 [Cron 表達式](https://docs.aws.amazon.com/AmazonCloudWatch/latest/events/ScheduledEvents.html#CronExpressions)。 ``` aws application-autoscaling put-scheduled-action --service-namespace workspaces \ --resource-id workspacespool/PoolId \ --schedule="cron(0 9 * * ? *)" \ --scalable-target-action MinCapacity=3,MaxCapacity=5 \ --scheduled-action-name ExampleScheduledAction \ --scalable-dimension workspaces:workspacespool:DesiredUserSessions ``` 若要確認變更集區容量的排程動作已成功建立，請執行 [describe-scheduled-actions](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/describe-scheduled-actions.html) 命令。 ``` aws application-autoscaling describe-scheduled-actions --service-namespace workspaces --resource-id workspacespool/PoolId ``` 若排程動作已成功建立，則會顯示與以下內容相似的輸出。 ``` { "ScheduledActions": [ { "ScalableDimension": "workspaces:workspacespool:DesiredUserSessions", "Schedule": "cron(0 9 * * ? *)", "ResourceId": "workspacespool/ExamplePool", "CreationTime": 1518651232.886, "ScheduledActionARN": "", "ScalableTargetAction": { "MinCapacity": 3, "MaxCapacity": 5 }, "ScheduledActionName": "ExampleScheduledAction", "ServiceNamespace": "workspaces" } ] } ``` 如需詳細資訊，請參閱《應用程式自動擴展使用者指南》**中的[排程擴展](https://docs.aws.amazon.com/autoscaling/application/userguide/application-auto-scaling-scheduled-scaling.html)。 ### 範例 5：套用目標追蹤擴展政策 透過目標追蹤擴展，您可以指定集區的容量使用率層級。 當您建立目標追蹤擴展政策時，應用程式自動擴展會自動建立和管理觸發擴展政策的 CloudWatch 警示。調整規模政策會視需要新增或移除容量，以讓容量使用率保持在等於或接近指定目標值。為了確保應用程式的可用性，您的集區會盡可能快速地按比例擴展到指標，但會更逐步地擴展。 下列 [put-scaling-policy](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling/put-scaling-policy.html) 命令會定義目標追蹤擴展政策，嘗試維持 WorkSpaces 集區的 75% 容量使用率。 ``` aws application-autoscaling put-scaling-policy -- cli-input-json file://config.json ``` `config.json` 檔案的內容如下： ``` { "PolicyName":"target-tracking-scaling-policy", "ServiceNamespace":"workspaces", "ResourceId":"workspacespool/PoolId", "ScalableDimension":"workspaces:workspacespool:DesiredUserSessions", "PolicyType":"TargetTrackingScaling", "TargetTrackingScalingPolicyConfiguration":{ "TargetValue":75.0, "PredefinedMetricSpecification":{ "PredefinedMetricType":"WorkSpacesAverageUserSessionsCapacityUtilization" }, "ScaleOutCooldown":300, "ScaleInCooldown":300 } } ``` 若命令成功，則輸出類似以下內容，雖然有些詳細資訊會因您的帳戶和區域而有所不同。在此範例中，政策識別符為 6d8972f3-efc8-437c-92d1-6270f29a66e7。 ``` { "PolicyARN": "arn:aws:autoscaling:us-west-2:123456789012:scalingPolicy:6d8972f3-efc8-437c-92d1-6270f29a66e7:resource/workspaces/workspacespool/PoolId:policyName/target-tracking-scaling-policy", "Alarms": [ { "AlarmARN": "arn:aws:cloudwatch:us-west-2:123456789012:alarm:TargetTracking-workspacespool/PoolId-AlarmHigh-d4f0770c-b46e-434a-a60f-3b36d653feca", "AlarmName": "TargetTracking-workspacespool/PoolId-AlarmHigh-d4f0770c-b46e-434a-a60f-3b36d653feca" }, { "AlarmARN": "arn:aws:cloudwatch:us-west-2:123456789012:alarm:TargetTracking-workspacespool/PoolId-AlarmLow-1b437334-d19b-4a63-a812-6c67aaf2910d", "AlarmName": "TargetTracking-workspacespool/PoolId-AlarmLow-1b437334-d19b-4a63-a812-6c67aaf2910d" } ] } ``` 如需詳細資訊，請參閱《應用程式自動擴展使用者指南》**中的[目標追蹤擴展政策](https://docs.aws.amazon.com/autoscaling/application/userguide/application-auto-scaling-target-tracking.html)。 ## 其他資源 若要進一步了解如何使用 Application Auto Scaling AWS CLI 命令或 API 動作，請參閱下列資源： + *AWS CLI 命令參考*中的[應用程式自動擴展](https://docs.aws.amazon.com/cli/latest/reference/application-autoscaling)一節 + [Application Auto Scaling API 參考](https://docs.aws.amazon.com/autoscaling/application/APIReference/) + [Application Auto Scaling 使用者指南](https://docs.aws.amazon.com/autoscaling/application/userguide/) # 搭配 WorkSpaces 集區使用 Active Directory 您可以將 WorkSpaces 集區中的 Windows WorkSpaces 加入 Microsoft Active Directory 中的網域，並使用您現有的 Active Directory 網域，無論是雲端或內部部署，來啟動加入網域的串流執行個體。您也可以使用 AWS Directory Service for Microsoft Active Directory建立 Active Directory 網域 AWS Managed Microsoft AD，並使用它來支援 WorkSpaces 集區資源。如需使用 的詳細資訊 AWS Managed Microsoft AD，請參閱 *AWS Directory Service 管理指南*中的 [Microsoft Active Directory](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/directory_microsoft_ad.html)。 透過將 WorkSpaces 集區加入 Active Directory 網域，您可以： + 讓您的使用者和應用程式存取 Active Directory 資源，例如印表機和從串流工作階段共享檔案。 + 使用群組政策管理主控台 (GPMC) 中可用的群組政策設定，定義最終使用者體驗。 + 串流需要使用者利用其 Active Directory 登入資料進行身分驗證的應用程式。 + 將您的企業合規和安全性政策套用到 WorkSpaces 集區中的 WorkSpaces。 **Topics** + [Active Directory 網域概觀](active-directory-overview.md) + [開始搭配 WorkSpaces 集區使用 Active Directory 之前](active-directory-prerequisites.md) + [憑證型身分驗證](pools-certificate-based-authentication.md) + [WorkSpaces 集區 Active Directory 管理](active-directory-admin.md) + [詳細資訊](active-directory-more-info.md) # Active Directory 網域概觀 將 Active Directory 網域與 WorkSpaces 集區搭配使用時，需要了解它們的運作方式，以及您需要完成的組態任務。您將需要完成以下任務： 1. 視需要設定群組政策設定，來定義最終使用者體驗和應用程式的安全需求。 1. 在 WorkSpaces 集區中建立加入網域的目錄。 1. 在 SAML 2.0 身分提供者中建立 WorkSpaces 集區應用程式，並將其直接或透過 Active Directory 群組指派給最終使用者。 **使用者身分驗證流程** 1. 使用者瀏覽到 `https://applications.exampleco.com`。登入頁面會要求使用者的身分驗證。 1. 聯合服務要求組織的身分存放區提供身分驗證。 1. 身分存放區驗證該名使用者，並向聯合服務傳回驗證回應。 1. 身分驗證成功時，聯合服務會將 SAML 聲明發佈到使用者的瀏覽器。 1. 使用者的瀏覽器會將 SAML 聲明發佈至 AWS 登入 SAML 端點 (`https://signin.aws.amazon.com/saml`)。 AWS 登入會收到 SAML 請求、處理請求、驗證使用者，並將身分驗證字符轉送至 WorkSpaces 集區服務。 1. AWS WorkSpaces 集區使用來自 的身分驗證字符，授權使用者並將應用程式呈現給瀏覽器。 1. 使用者選擇應用程式，並根據 WorkSpaces 集區目錄中啟用的 Windows 登入身分驗證方法，系統會提示他們輸入其 Active Directory 網域密碼或選擇智慧卡。如果兩種驗證方法同時啟用，使用者可以選擇要輸入其網域密碼或使用智慧卡。憑證型身分驗證也可以用來驗證使用者，不過不會出現提示。 1. 接著會聯絡網域控制站進行使用者身分驗證。 1. 在向網域進行身分驗證後，使用者工作階段便會啟動，並帶有網域連線能力。 從使用者的觀點來看，此程序簡單明瞭。使用者首先會導覽至組織的內部入口網站，並重新導向至 WorkSpaces 集區入口網站，而不必輸入 AWS 登入資料。只需要 Active Directory 網域密碼或智慧卡憑證。 您必須先使用必要的權限和群組政策設定來設定 Active Directory，並建立加入網域的 WorkSpaces 集區目錄，使用者才能啟動此程序。 # 開始搭配 WorkSpaces 集區使用 Active Directory 之前 將 Microsoft Active Directory 網域與 WorkSpaces 集區搭配使用之前，請注意下列需求和考量事項。 **Topics** + [Active Directory 網域環境](#active-directory-prerequisites-domain-environment) + [WorkSpaces 集區中加入網域的 WorkSpaces](#active-directory-prerequisites-streaming-instances) + [群組政策設定](#active-directory-prerequisites-group-policy-settings) + [智慧卡身分驗證](#active-directory-prerequisites-smart-card-authentication) ## Active Directory 網域環境 + 您必須擁有要加入 WorkSpaces 的 Microsoft Active Directory 網域。如果您沒有 Active Directory 網域或想要使用內部部署 Active Directory 環境，請參閱 [AWS 雲端上的 Active Directory 網域服務：Quick Start 參考部署](https://docs.aws.amazon.com/quickstart/latest/active-directory-ds/)。 + 您必須擁有網域服務帳戶，其具有在您要與 WorkSpaces 集區搭配使用的網域中建立和管理電腦物件的許可。如需資訊，請參閱 Microsoft 文件中的 [How to Create a Domain Account in Active Directory](https://msdn.microsoft.com/en-us/library/aa545262(v=cs.70).aspx)。 當您將此 Active Directory 網域與 WorkSpaces 集區建立關聯時，請提供服務帳戶名稱和密碼。WorkSpaces 集區使用此帳戶在 目錄中建立和管理電腦物件。如需詳細資訊，請參閱[授予許可來建立及管理 Active Directory 電腦物件](active-directory-admin.md#active-directory-permissions)。 + 當您向 WorkSpaces 集區註冊 Active Directory 網域時，您必須提供組織單位 (OU) 辨別名稱。請為此建立 OU。預設電腦容器不是 OU，WorkSpaces 集區無法使用。如需詳細資訊，請參閱[尋找組織單位辨別名稱](active-directory-admin.md#active-directory-oudn)。 + 您計劃與 WorkSpaces 集區搭配使用的目錄必須透過啟動 WorkSpaces 的虛擬私有雲端 (VPC)，透過其完整網域名稱 (FQDNs) 存取。如需詳細資訊，請參閱 Microsoft 文件中的 [Active Directory and Active Directory Domain Services Port Requirements](https://technet.microsoft.com/en-us/library/dd772723.aspx)。 ## WorkSpaces 集區中加入網域的 WorkSpaces 從加入網域的 WorkSpaces 進行應用程式串流時，需要 SAML 2.0 型使用者聯合。此外，您必須使用支援加入 Active Directory 網域的 Windows 映像。所有在 2017 年 7 月 24 日及其之後發佈的公有映像都支援加入 Active Directory 網域。 ## 群組政策設定 請確認下列群組原則設定的組態。如有需要，請更新本節所述的設定，使其不會阻止 WorkSpaces 集區驗證和登入您的網域使用者。否則，當您的使用者嘗試登入 WorkSpaces 時，登入可能不會成功。而是會顯示訊息，通知使用者「發生未知的錯誤。」 + **電腦組態 > 管理範本 > Windows 元件 > Windows 登入選項 > 停用或啟用軟體 Secure Attention Sequence**：針對**服務**將此項設為**啟用**。 + **電腦組態 > 管理範本 > 系統 > 登入 > 排除憑證提供者**：確定*未*列出下列 CLSID：`e7c1bab5-4b49-4e64-a966-8d99686f8c7c` + **電腦組態 > 政策 > Windows 設定 > 安全設定 > 本機政策 > 安全選項 > 互動式登入 > 互動式登入：給嘗試登入的使用者的訊息文字**：將此項設為**未定義**。 + **電腦組態 > 政策 > Windows 設定 > 安全設定 > 本機政策 > 安全選項 > 互動式登入 > 互動式登入：給嘗試登入的使用者的訊息標題**：將此項設為**未定義**。 ## 智慧卡身分驗證 WorkSpaces 集區支援使用 Active Directory 網域密碼或智慧卡，例如[通用存取卡 (CAC)](https://www.cac.mil/Common-Access-Card) 和[個人身分驗證 (PIV)](https://piv.idmanagement.gov/) 智慧卡，以供 Windows 登入 WorkSpaces 集區中的 WorkSpaces。如需如何設定 Active Directory 環境以使用第三方憑證授權單位 (CA) 啟用智慧卡登入的相關資訊，請參閱 Microsoft 文件中的[使用第三方憑證授權單位啟用智慧卡登入的指引](https://docs.microsoft.com/en-us/troubleshoot/windows-server/windows-security/enabling-smart-card-logon-third-party-certification-authorities)。 # 憑證型身分驗證 您可以將憑證型身分驗證與加入 Microsoft Active Directory 的 WorkSpaces 集區搭配使用。若使用這種方式，就不會在使用者登入時提示使用者輸入 Active Directory 網域密碼。使用憑證型身分驗證搭配 Active Directory 網域，您可以： + 依賴 SAML 2.0 身分提供者來驗證使用者，並提供 SAML 聲明以比對 Active Directory 中的使用者。 + 建立較少使用者提示的單一登入體驗。 + 使用 SAML 2.0 身分提供者啟用無密碼身分驗證流程。 憑證型身分驗證會在您的 中使用 AWS 私有憑證授權單位 (AWS 私有 CA) 資源 AWS 帳戶。您可以使用 AWS 私有 CA建立私有憑證授權機構 (CA) 階層，包括根 CA 和次級 CAs。您也可以建立自己的 CA 階層並從中發行憑證，以驗證內部使用者。如需詳細資訊，請參閱[什麼是 AWS 私有 CA](https://docs.aws.amazon.com/privateca/latest/userguide/PcaWelcome.html) 。 當您使用 AWS 私有 CA 進行憑證型身分驗證時，WorkSpaces 集區會在工作階段保留時，為 WorkSpaces 集區中的每個 WorkSpace 自動請求憑證。 WorkSpaces 它會使用隨憑證佈建的虛擬智慧卡，對 Active Directory 進行使用者身分驗證。 執行 Windows 執行個體的加入網域的 WorkSpaces 集區支援憑證型身分驗證。 **Topics** + [先決條件](certificate-based-authentication-prereq.md) + [啟用憑證型身分驗證](certificate-based-authentication-enable.md) + [管理憑證型身分驗證](certificate-based-authentication-manage.md) + [啟用跨帳戶 PCA 共用](pca-sharing.md) # 先決條件 使用憑證型身分驗證之前，請先完成下列步驟。 1. 使用 SAML 2.0 整合設定 WorkSpaces 集區目錄，以使用憑證型身分驗證。如需詳細資訊，請參閱[設定 SAML 2.0 並建立 WorkSpaces 集區目錄](create-directory-pools.md)。 **注意** 如果您想要使用憑證型身分驗證，請勿在集區目錄中啟用**智慧卡登入**。 1. 在您的 SAML 聲明中設定 `userPrincipalName` 屬性。如需詳細資訊，請參閱[步驟 7：為 SAML 身分驗證回應建立宣告](create-directory-pools.md#saml-directory-create-assertions)。 1. 在您的 SAML 聲明中設定 `ObjectSid` 屬性。您可以使用此屬性執行與 Active Directory 使用者的強式映射。如果 `ObjectSid` 屬性不符合 SAML\$1Subject `NameID` 中指定之使用者的 Active Directory 安全識別碼 (SID)，則憑證型身分驗證會失敗。如需詳細資訊，請參閱[步驟 7：為 SAML 身分驗證回應建立宣告](create-directory-pools.md#saml-directory-create-assertions)。 **注意** 根據 [Microsoft KB5014754](https://support.microsoft.com/en-us/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16)，`ObjectSid`在 2025 年 9 月 10 日之後，基於憑證的身分驗證將強制使用 屬性。 1. 將 `sts:TagSession` 許可新增至您搭配 SAML 2.0 組態使用的 IAM 角色信任政策。如需詳細資訊，請參閱*《AWS Identity and Access Management 使用者指南》*中的[在  AWS STS 中傳遞工作階段標記](https://docs.aws.amazon.com/IAM/latest/UserGuide/id_session-tags.html.html)。需有此許可才能使用憑證型身分驗證。如需詳細資訊，請參閱[步驟 5：建立 SAML 2.0 聯合 IAM 角色](create-directory-pools.md#saml-directory-saml-federation-role-in-iam)。 1. 如果您沒有使用 Active Directory 設定私有憑證授權機構 (CA)，請使用 AWS 私有憑證授權機構。 AWS 私有憑證授權機構需要使用憑證型身分驗證。如需詳細資訊，請參閱*AWS 私有憑證授權單位 《 使用者指南*》中的[規劃您的 AWS 私有 CA 部署](https://docs.aws.amazon.com/privateca/latest/userguide/PcaPlanning.html)。下列 AWS 私有 CA 設定在許多憑證型身分驗證使用案例中很常見： + **CA 類型選項** + **短期憑證 CA 使用模式**：如果 CA 僅發行最終使用者憑證以進行憑證型身分驗證，則建議此選項。 + **具有根 CA 的單一層級階層**：選擇從屬 CA，以將它與現有 CA 階層整合。 + **金鑰演算法選項**：RSA 2048 + **主體辨別名稱選項**：使用最適合的選項來識別 Active Directory 受信任的根憑證授權單位存放區中的此 CA。 + **憑證撤銷選項**：CRL 散發 **注意** 憑證型身分驗證需要可從 WorkSpaces 集區中的 WorkSpaces 和網域控制器存取的線上 CRL 分佈點。這需要對針對 AWS 私有 CA CRL 項目設定的 Amazon S3 儲存貯體進行未經驗證的存取，或者如果 CloudFront 分佈封鎖公開存取，則有權存取 Amazon S3 儲存貯體。如需這些選項的詳細資訊，請參閱*AWS 私有憑證授權單位 《 使用者指南*》中的[規劃憑證撤銷清單 (CRL)](https://docs.aws.amazon.com/privateca/latest/userguide/crl-planning.html)。 1. 使用有權指定 CA `euc-private-ca` 以搭配 WorkSpaces 集區憑證型身分驗證使用的金鑰來標記您的私有 CA。此金鑰不需要值。如需詳細資訊，請參閱*AWS 私有憑證授權單位 《 使用者指南*》中的[管理私有 CA 的標籤](https://docs.aws.amazon.com/privateca/latest/userguide/PcaCaTagging.html)。 1. 憑證型身分驗證會使用虛擬智慧卡進行登入。如需詳細資訊，請參閱[使用第三方憑證授權單位啟用智慧卡登入的指引](https://learn.microsoft.com/en-us/troubleshoot/windows-server/windows-security/enabling-smart-card-logon-third-party-certification-authorities)。請遵循下列步驟： 1. 使用網域控制站憑證設定網域控制站，以驗證智慧卡使用者。如果您在 Active Directory 中設定了 Active Directory Certificate Services 企業 CA，它會自動使用啟用智慧卡登入的憑證註冊網域控制站。如果您沒有 Active Directory Certificate Services，請參閱[來自第三方 CA 的網域控制站憑證需求](https://learn.microsoft.com/en-US/troubleshoot/windows-server/windows-security/requirements-domain-controller)。您可以使用 AWS Private CA 建立網域控制站憑證。如果您這樣做，請勿使用為短期憑證設定的私有 CA。 **注意** 如果您使用 AWS Managed Microsoft AD，您可以在滿足網域控制站憑證需求的 Amazon EC2 執行個體上設定 Certificate Services。如需使用 [Active Directory Certificate Services 設定的 Managed Microsoft AD 部署範例，請參閱將 Active Directory 部署至新的 Amazon Virtual Private Cloud](https://docs.aws.amazon.com/launchwizard/latest/userguide/launch-wizard-ad-deploying-new-vpc.html)。 AWS 使用 AWS Managed Microsoft AD 和 Active Directory Certificate Services，您還必須建立從控制器的 VPC 安全群組到執行 Certificate Services 的 Amazon EC2 執行個體的傳出規則。您必須提供安全群組對 TCP 連接埠 135 和連接埠 49152 到 65535 的存取權，才能啟用憑證自動註冊。Amazon EC2 執行個體也必須在這些連接埠上允許來自網域執行個體 (包括網域控制站) 的傳入存取。如需尋找 AWS Managed Microsoft AD 安全群組的詳細資訊，請參閱[設定 VPC 子網路和安全群組](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_tutorial_setup_trust_prepare_mad.html#tutorial_setup_trust_open_vpc)。 1. 在 AWS 私有 CA 主控台上，或使用 SDK 或 CLI 匯出私有 CA 憑證。如需詳細資訊，請參閱[匯出私有憑證](https://docs.aws.amazon.com/acm/latest/userguide/export-private.html)。 1. 將私有 CA 發佈至 Active Directory。登入網域控制站或加入網域的電腦。將私有 CA 憑證複製到任何 `\`，並以網域管理員的身分執行下列命令。您也可以使用群組政策和 Microsoft PKI Health 工具 (PKIView) 來發佈 CA。如需詳細資訊，請參閱[組態指示](https://learn.microsoft.com/en-us/troubleshoot/windows-server/windows-security/enabling-smart-card-logon-third-party-certification-authorities#configuration-instructions)。 ``` certutil -dspublish -f \ RootCA ``` ``` certutil -dspublish -f \ NTAuthCA ``` 確定命令已順利完成，然後移除私有 CA 憑證檔案。根據您的 Active Directory 複寫設定，CA 發佈至 WorkSpaces 集區中的網域控制站和 WorkSpaces 可能需要幾分鐘的時間。 **注意** Active Directory 必須在加入網域時，自動將 CA 分發至 WorkSpaces 集區中的 WorkSpaces 信任根憑證授權機構和企業 NTAuth 存放區。 **注意** Active Directory 網域控制站必須處於相容性模式，憑證強式強制執行才能支援憑證型身分驗證。如需詳細資訊，請參閱 Microsoft 支援文件中的 [KB5014754 – Windows 域控制站上的憑證式驗證變更](https://support.microsoft.com/en-us/topic/kb5014754-certificate-based-authentication-changes-on-windows-domain-controllers-ad2c23b0-15d8-4340-a468-4d4f3b188f16)一文。如果您使用的是 AWS Managed Microsoft AD，請參閱[設定目錄安全性設定](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/ms_ad_directory_settings.html)以取得詳細資訊。 # 啟用憑證型身分驗證 完成下列步驟，以啟用憑證型身分驗證。 **啟用憑證型身分驗證** 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在導覽窗格中選擇**目錄**。 1. 選擇**集區目錄**索引標籤。 1. 選擇您要設定的目錄。 1. 在頁面的**身分驗證**區段中選擇**編輯**。 1. 在頁面的**憑證型身分驗證區段中，選擇編輯****憑證型身分驗證**。 1. 選擇**啟用憑證型身分驗證**。 1. 在 **AWS Certificate Manager (ACM) 私有憑證授權機構 (CA) 下拉式清單中選擇憑證**。 若要顯示在下拉式清單中，您應該將私有 CA 存放在相同的 AWS 帳戶 和 中 AWS 區域。您也必須使用名為 `euc-private-ca` 的金鑰標記私有 CA。 1. 設定目錄登入後援。若使用後援，使用者就可在憑證型身分驗證失敗時，使用自己的 AD 網域密碼登入。只有在使用者知道自己的網域密碼的情況下，才建議使用此方式。當後援關閉時，如果發生鎖定畫面或 Windows 登出，工作階段可能會中斷使用者的連線。如果開啟後援，工作階段會提示使用者輸入其 AD 網域密碼。 1. 選擇**儲存**。 憑證型身分驗證現已啟用。當使用者使用加入網域的 WorkSpaces 向 WorkSpaces 集區目錄驗證 SAML 2.0 WorkSpaces 身分時，他們將不再收到網域密碼的提示。連線至啟用**憑證型身分驗證**的工作階段時，使用者將看到使用憑證型身分驗證連線訊息。 # 管理憑證型身分驗證 啟用憑證型身分驗證後，請檢閱下列任務。 ## 私有 CA 憑證 在一般組態中，私有 CA 憑證的有效期為 10 年。如需有關取代憑證已過期的私有 CA，或重新簽發具有新有效期的私有 CA 的詳細資訊，請參閱[管理私有 CA 生命週期](https://docs.aws.amazon.com/privateca/latest/userguide/ca-lifecycle.html)。 ## 最終使用者憑證 為 WorkSpaces 集區憑證型身分驗證發行 AWS 私有憑證授權單位 的最終使用者憑證不需要續約或撤銷。這些憑證都短期的。WorkSpaces 集區會自動為每個新工作階段發行新憑證，或針對持續時間較長的工作階段每 24 小時發行一次新憑證。WorkSpaces Pools 工作階段會控管這些最終使用者憑證的使用。如果您結束工作階段，WorkSpaces 集區會停止使用該憑證。這些最終使用者憑證的有效期間比一般 AWS 私有憑證授權單位 CRL 分佈短。因此，最終使用者憑證不需要撤銷，也不會出現在 CRL 中。 ## 稽核報告 您可以建立稽核報告，以列出私有 CA 已發行或撤銷的所有憑證。如需詳細資訊，請參閱[使用包含您私有 CA 的稽核報告](https://docs.aws.amazon.com/privateca/latest/userguide/PcaAuditReport.html)。 ## 記錄和監控 您可以使用 CloudTrail 記錄 WorkSpaces 集區對私有 CA 的 API 呼叫。如需詳細資訊，請參閱*AWS CloudTrail 《 使用者指南*》中的[什麼是 AWS CloudTrail？](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-user-guide.html)，以及《 *AWS 私有憑證授權單位 使用者指南*》中的[使用 CloudTrail](https://docs.aws.amazon.com/privateca/latest/userguide/PcaCtIntro.html)。在 CloudTrail 事件歷史記錄中，您可以從 WorkSpaces 集區 EcmAssumeRoleSession 使用者名稱建立的 **acm-pca.amazonaws.com** 事件來源檢視 **GetCertificate** 和 **IssueCertificate** 事件名稱。 **EcmAssumeRoleSession** 系統會為每個 WorkSpaces 集區憑證型身分驗證請求記錄這些事件。如需詳細資訊，請參閱 *AWS CloudTrail 使用者指南*中的 [使用 CloudTrail 事件歷史記錄檢視事件](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/view-cloudtrail-events.html)。 # 啟用跨帳戶 PCA 共用 私有 CA (PCA) 跨帳戶共用可讓您授予其他帳戶使用集中式 CA 的許可。CA 可以使用 [AWSResource Access Manager](https://aws.amazon.com/ram/) (RAM) 來管理許可，以產生和發行憑證。這消除了每個帳戶中私有 CA 的需求。私有 CA 跨帳戶共用可與相同 中的 WorkSpaces 應用程式憑證型身分驗證 (CBA) 搭配使用AWS 區域。 若要搭配 WorkSpaces 集區 CBA 使用共用的私有 CA 資源，請完成下列步驟： 1. 在集中式設定 CBA 的私有 CAAWS 帳戶。如需詳細資訊，請參閱[憑證型身分驗證和 WorkSpaces Personal](certificate-based-authentication.md)。 1. 與 WorkSpaces 集區資源使用 CBA AWS 帳戶的資源共用私有 CA。若要這樣做，請遵循[如何使用 AWSRAM 來共用 ACM Private CA 跨帳戶](https://aws.amazon.com/blogs/security/how-to-use-aws-ram-to-share-your-acm-private-ca-cross-account/)中的步驟。您不需要完成步驟 3 即可建立憑證。您可以與個別 共用私有 CAAWS 帳戶，或透過 共用AWS Organizations。如果您與個別帳戶共用，則需要使用AWS Resource Access Manager主控台或 APIs 接受資源帳戶中的共用私有 CA。 設定共用時，請確認AWS Resource Access Manager資源帳戶中私有 CA 的資源共用正在使用 `AWSRAMBlankEndEntityCertificateAPICSRPassthroughIssuanceCertificateAuthority`受管許可範本。此範本與發行 CBA 憑證時 WorkSpaces 集區服務角色所使用的 PCA 範本一致。 1. 共用成功後，請使用資源帳戶中的 Private CA 主控台檢視共用的 Private CA。 1. 使用 API 或 CLI 將私有 CA ARN 與 WorkSpaces 集區目錄中的 CBA 建立關聯。目前，WorkSpaces 集區主控台不支援選取共用的私有 CA ARNs。如需詳細資訊，請參閱 [Amazon WorkSpaces Service API 參考](https://docs.aws.amazon.com/workspaces/latest/api/welcome.html)。 # WorkSpaces 集區 Active Directory 管理 搭配 WorkSpaces 集區設定和使用 Active Directory 涉及下列管理任務。 **Topics** + [授予許可來建立及管理 Active Directory 電腦物件](#active-directory-permissions) + [尋找組織單位辨別名稱](#active-directory-oudn) + [在自訂映像上授予本機管理員權限](#active-directory-image-builder-local-admin) + [在使用者閒置時鎖定串流工作階段](#active-directory-session-lock) + [設定 WorkSpaces 集區以使用網域信任](#active-directory-domain-trusts) ## 授予許可來建立及管理 Active Directory 電腦物件 若要允許 WorkSpaces 集區執行 Active Directory 電腦物件操作，您需要具有足夠許可的帳戶。做為最佳實務，建議您使用僅具備所需最低權限的帳戶。最低的 Active Directory 組織單位 (OU) 許可如下所示： + 建立電腦物件 + 變更密碼 + 重設密碼 + 撰寫描述 在設定許可前，您需要先執行以下作業： + 取得已加入您網域的電腦或 EC2 執行個體存取。 + 安裝 Active Directory 使用者及電腦 MMC 嵌入式管理單元。如需詳細資訊，請參閱 Microsoft 文件中的 [Installing or Removing Remote Server Administration Tools for Windows 7](https://technet.microsoft.com/en-us/library/ee449483.aspx)。 + 以具備適當許可，能夠修改 OU 安全設定的網域使用者登入。 + 建立或識別要委派許可的使用者、服務帳戶或群組。 **設定最低許可** 1. 在您的網域或網域控制站上開啟 **Active Directory Users and Computers (Active Directory 使用者及電腦)**。 1. 在左側導覽窗格中，選取要在其上提供網域加入權限的第一個 OU，開啟內容 (以滑鼠右鍵按一下) 選單，然後選擇 **Delegate Control (委派控制)**。 1. 在 **Delegation of Control Wizard (委派控制精靈)** 頁面上，選擇 **Next (下一步)**、**Add (新增)**。 1. 針對**選取使用者、電腦或群組**，選取預先建立的使用者、服務帳戶或群組，然後選擇**確定**。 1. 在 **Tasks to Delegate (要委派的任務)** 頁面上，選擇 **Create a custom task to delegate (建立要委派的自訂任務)**，然後選擇 **Next (下一步)**。 1. 選擇 **Only the following objects in the folder (僅限資料夾中的下列物件)**、**Computer objects (電腦物件)**。 1. 選擇 **Create selected objects in this folder (在此資料夾中建立選取的物件)**、**Next (下一步)**。 1. 針對 **Permissions (許可)**，選擇 **Read (讀取)**、**Write (寫入)**、**Change Password (變更密碼)**、**Reset Password (重設密碼)**、**Next (下一步)**。 1. 在 **Completing the Delegation of Control Wizard (完成委派控制精靈)** 頁面上，驗證資訊並選擇 **Finish (完成)**。 1. 針對任何其他需要這些許可的 OU 重複步驟 2 到 9。 若您將許可委派給群組，請使用強式密碼建立使用者或服務帳戶，並將該帳戶新增到該群組。然後，此帳戶將有足夠的權限將您的 WorkSpaces 連接到 目錄。建立 WorkSpaces 集區目錄組態時，請使用此帳戶。 ## 尋找組織單位辨別名稱 當您向 WorkSpaces 集區註冊 Active Directory 網域時，您必須提供組織單位 (OU) 辨別名稱。請為此建立 OU。預設電腦容器不是 OU，WorkSpaces 集區無法使用。以下程序示範如何取得此名稱。 **注意** 辨別名稱必須以 **OU=** 開頭，否則便無法用於電腦物件。 在您完成此程序前，您需要先執行以下作業： + 取得已加入您網域的電腦或 EC2 執行個體存取。 + 安裝 Active Directory 使用者及電腦 MMC 嵌入式管理單元。如需詳細資訊，請參閱 Microsoft 文件中的 [Installing or Removing Remote Server Administration Tools for Windows 7](https://technet.microsoft.com/en-us/library/ee449483.aspx)。 + 以具備適當許可，能夠讀取 OU 安全屬性的網域使用者登入。 **尋找 OU 的辨別名稱** 1. 在您的網域或網域控制站上開啟 **Active Directory Users and Computers (Active Directory 使用者及電腦)**。 1. 在 **View (檢視)** 下方，確認已啟用 **Advanced Features (進階功能)**。 1. 在左側導覽窗格中，選取要用於 WorkSpaces 電腦物件的第一個 OU，開啟內容 （按一下滑鼠右鍵） 選單，然後選擇**屬性**。 1. 選擇 **Attribute Editor (屬性編輯器)**。 1. 在 **Attributes (屬性)** 下方，針對 **distinguishedName**，選擇 **View (檢視)**。 1. 針對 **Value (值)**，選取辨別名稱、開啟內容選單，然後選擇 **Copy (複製)**。 ## 在自訂映像上授予本機管理員權限 根據預設，Active Directory 網域使用者在映像上沒有本機管理員權限。您可以在 目錄中使用群組政策偏好設定，或使用映像上的本機管理員帳戶手動授予這些權利。將本機管理員權限授予網域使用者，可讓該使用者在 WorkSpaces 集區中安裝應用程式並建立自訂映像。 **Topics** + [使用群組政策喜好設定](#group-policy) + [使用 WorkSpace 上的本機管理員群組來建立映像](#manual-procedure) ### 使用群組政策喜好設定 您可以使用群組政策喜好設定，將本機管理員權限授予 Active Directory 使用者或群組，以及指定 OU 中所有的電腦物件。您希望授予本機管理員許可的 Active Directory 使用者或群組必須已存在。若要使用群組政策喜好設定，您需要先執行以下作業： + 取得已加入您網域的電腦或 EC2 執行個體存取。 + 安裝群組政策管理主控台 (GPMC) MMC 嵌入式管理單元。如需詳細資訊，請參閱 Microsoft 文件中的 [Installing or Removing Remote Server Administration Tools for Windows 7](https://technet.microsoft.com/en-us/library/ee449483.aspx)。 + 以具備建立群組政策物件 (GPO) 許可的網域使用者登入。將 GPO 連結到適當的 OU。 **使用群組政策喜好設定授予本機管理員許可** 1. 在您的目錄或網域控制站上，以管理員身分開啟命令提示，輸入 `gpmc.msc`，然後按 ENTER。 1. 在左側主控台樹狀目錄中，選取您將建立新 GPO 或使用現有 GPO 的 OU，然後執行下列其中一項作業： + 透過開啟內容 (以滑鼠右鍵按一下) 選單並選擇 **Create a GPO in this domain, Link it here (在此網域建立 GPO 並連結到此處)** 來建立新的 GPO。針對 **Name (名稱)**，提供此 GPO 的描述名稱。 + 選取現有的 GPO。 1. 開啟 GPO 的內容選單，然後選擇 **Edit (編輯)**。 1. 在主控台樹狀目錄中，選擇 **Computer Configuration (電腦組態)**、**Preferences (喜好設定)**、**Windows Settings (Windows 設定)**、**Control Panel Settings (控制台設定)**，以及 **Local Users and Groups (本機使用者及群組)**。 1. 選取 **Local Users and Groups (本機使用者及群組)**，開啟內容選單，然後選擇 **New (新增)**、**Local Group (本機群組)**。 1. 針對 **Action (動作)**，選擇 **Update (更新)**。 1. 針對 **Group name (群組名稱)**，選擇 **Administrators (built-in) (管理員 (內建))**。 1. 在**成員**下方，選擇**新增...**，然後指定要指派串流執行個體上本機管理員權限的 Active Directory 使用者或群組。針對 **Action (動作)**，選擇 **Add to this group (新增到此群組)**，然後選擇 **OK (確定)**。 1. 若要將此 GPO 套用到其他 OU，請選取其他 OU、開啟內容選單，然後選擇 **Link an Existing GPO (連結現有的 GPO)**。 1. 使用新的或您在步驟 2 中指定的現有 GPO 名稱，捲動並尋找該 GPO，然後選擇 **OK (確定)**。 1. 針對其他應擁有此喜好設定的 OU 重複步驟 9 和 10。 1. 選擇 **OK (確定)** 來關閉 **New Local Group Properties (新增本機群組屬性)** 對話方塊。 1. 再次選擇 **OK (確定)** 來關閉 GPMC。 若要將新的喜好設定套用到 GPO，您必須停止並重新啟動任何執行中的映像建置器或機群。您在步驟 8 指定的 Active Directory 使用者和群組會自動獲得 GPO 所連結 OU 中映像建置器及機群上的本機管理員權限。 ### 使用 WorkSpace 上的本機管理員群組來建立映像 若要授予 Active Directory 使用者或群組映像上的本機管理員權限，您可以手動將這些使用者或群組新增至映像上的本機管理員群組。 要授予本機管理員權限的 Active Directory 使用者或群組必須已存在。 1. 連線至您用來建置映像的 WorkSpace。WorkSpace 必須正在執行並加入網域。 1. 選擇 **Start (開始)**、**Administrative Tools (管理工具)**，然後按兩下 **Computer Management (電腦管理)**。 1. 在左側的導覽窗格中，選擇 **Local Users and Groups (本機使用者及群組)**，然後開啟 **Groups (群組)**。 1. 開啟 **Administrators (管理員)** 群組，然後選擇 **Add... (新增...)**。 1. 選取要指派本機管理員權限的所有 Active Directory 使用者或群組，然後選擇 **OK (確定)**。再次選擇 **OK (確定)** 來關閉 **Administrator Properties (管理屬性)** 對話方塊。 1. 關閉電腦管理。 1. 若要以 Active Directory 使用者身分登入，並測試該使用者是否具有 WorkSpaces 的本機管理員權限，請選擇 **Admin Commands**、**切換使用者**，然後輸入相關使用者的登入資料。 ## 在使用者閒置時鎖定串流工作階段 WorkSpaces 集區依賴您在 GPMC 中設定的設定，在使用者閒置一段時間後鎖定串流工作階段。若要使用 GPMC，您需要先執行以下作業： + 取得已加入您網域的電腦或 EC2 執行個體存取。 + 安裝 GPMC。如需詳細資訊，請參閱 Microsoft 文件中的 [Installing or Removing Remote Server Administration Tools for Windows 7](https://technet.microsoft.com/en-us/library/ee449483.aspx)。 + 以具備建立 GPO 許可的網域使用者登入。將 GPO 連結到適當的 OU。 **在使用者閒置時自動鎖定串流執行個體** 1. 在您的目錄或網域控制站上，以管理員身分開啟命令提示，輸入 `gpmc.msc`，然後按 ENTER。 1. 在左側主控台樹狀目錄中，選取您將建立新 GPO 或使用現有 GPO 的 OU，然後執行下列其中一項作業： + 透過開啟內容 (以滑鼠右鍵按一下) 選單並選擇 **Create a GPO in this domain, Link it here (在此網域建立 GPO 並連結到此處)** 來建立新的 GPO。針對 **Name (名稱)**，提供此 GPO 的描述名稱。 + 選取現有的 GPO。 1. 開啟 GPO 的內容選單，然後選擇 **Edit (編輯)**。 1. 在 **User Configuration (使用者組態)** 下方，展開 **Policies (政策)**、**Administrative Templates (管理範本)**、**Control Panel (控制台)**，然後選擇 **Personalization (個人化)**。 1. 按兩下 **Enable screen saver (啟用螢幕保護裝置)**。 1. 在 **Enable screen saver (啟用螢幕保護裝置)** 政策設定中，選擇 **Enabled (啟用)**。 1. 選擇 **Apply (套用)**，然後選擇 **OK (確定)**。 1. 按兩下 **Force specific screen saver (強制使用特定螢幕保護裝置)**。 1. 在 **Force specific screen saver (強制使用特定螢幕保護裝置)** 政策設定中，選擇 **Enabled (啟用)**。 1. 在 **Screen saver executable name (螢幕保護裝置可執行檔名稱)** 下方，輸入 **scrnsave.scr**。啟用此設定時，系統會在使用者的桌面上顯示黑色的螢幕保護裝置。 1. 選擇 **Apply (套用)**，然後選擇 **OK (確定)**。 1. 按兩下 **Password protect the screen saver (密碼保護螢幕保護裝置)**。 1. 在 **Password protect the screen saver (密碼保護螢幕保護裝置)** 政策設定中，選擇 **Enabled (啟用)**。 1. 選擇 **Apply (套用)**，然後選擇 **OK (確定)**。 1. 按兩下 **Screen saver timeout (螢幕保護裝置逾時)**。 1. 在 **Screen saver timeout (螢幕保護裝置逾時)** 政策設定中，選擇 **Enabled (啟用)**。 1. 針對 **Seconds (秒數)**，指定套用螢幕保護裝置前，使用者必須閒置的時間長度。若要將閒置時間設為 10 分鐘，請指定 600 秒。 1. 選擇 **Apply (套用)**，然後選擇 **OK (確定)**。 1. 在主控台樹狀目錄中，於 **User Configuration (使用者組態)** 下方，展開 **Policies (政策)**、**Administrative Templates (管理範本)**、**System (系統)**，然後選擇 **Ctrl\$1Alt\$1Del Options (Ctrl\$1Alt\$1Del 選項)**。 1. 按兩下 **Remove Lock Computer (移除鎖定電腦)**。 1. 在 **Remove Lock Computer (移除鎖定電腦)** 政策設定，選擇 **Disabled (停用)**。 1. 選擇 **Apply (套用)**，然後選擇 **OK (確定)**。 ## 設定 WorkSpaces 集區以使用網域信任 WorkSpaces 集區支援 Active Directory 網域環境，其中檔案伺服器、應用程式和電腦物件等網路資源位於一個網域中，而使用者物件位於另一個網域中。用於電腦物件操作的網域服務帳戶不需要與 WorkSpaces 集區電腦物件位於相同的網域中。 建立目錄組態時，指定具備適當許可的服務帳戶，來管理檔案伺服器、應用程式、電腦物件和其他網路資源所在 Active Directory 網域中的電腦物件。 您的最終使用者 Active Directory 帳戶必須針對以下項目擁有「允許進行身分驗證」的許可： + WorkSpaces 集區電腦物件 + 網域的網域控制站 如需詳細資訊，請參閱[授予許可來建立及管理 Active Directory 電腦物件](#active-directory-permissions)。 # 詳細資訊 如需與本主題相關的詳細資訊，請參閱下列資源： + [Microsoft Active Directory](https://docs.aws.amazon.com/directoryservice/latest/admin-guide/directory_microsoft_ad.html)：使用 的相關資訊 Directory Service。 # WorkSpaces 集區的套件和映像 *WorkSpace 套件*是作業系統、儲存體、運算和軟體資源的組合。當您啟動 WorkSpace 時，請選取符合您需求的套件。WorkSpaces 可用的預設套件稱為*公用套件*。如需有關可用於 WorkSpaces 之各種公用套件的詳細資訊，請參閱 [Amazon WorkSpaces 套件](https://aws.amazon.com/workspaces/details/#Amazon_WorkSpaces_Bundles)。 如果您已啟動 Windows WorkSpace 並自訂它，您可以從該 WorkSpace 建立自訂映像，以便與 WorkSpaces 集區搭配使用。WorkSpaces 集區不支援 Linux。 *自訂映像*僅包含 WorkSpace 的作業系統、軟體和設定。*自訂套件*是該自訂映像和可從中啟動 WorkSpace 之硬體的組合。 建立自訂映像後，您可以建置自訂套件，以結合自訂 WorkSpace 映像和您選取的基礎運算和儲存體組態。然後，您可以在建立新的 WorkSpaces 集區時指定此自訂套件，以確保集區中的新 WorkSpaces 具有相同的一致組態 （硬體和軟體）。 如果您需要執行軟體更新或在 WorkSpaces 上安裝其他軟體，您可以更新自訂套件並使用它來重新建置 WorkSpaces。 WorkSpaces 集區支援數種不同的作業系統 (OS)、串流通訊協定和套件。下表提供每個作業系統支援的授權、串流通訊協定和套件的相關資訊。 | 作業系統 | 授權 | 串流通訊協定 | 支援的套件 | 生命週期政策/淘汰日期 | | --- | --- | --- | --- | --- | | Windows Server 2019 | 包含 | DCV | 值、標準、效能、電源、PowerPro | [2029 年 1 月 9 日](https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2019) | | Windows Server 2022 | 包含 | DCV | 標準、效能、Power、PowerPro、Graphics.G4dn、GraphicsPro.G4dn | [2031 年 10 月 14 日](https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2022) | **注意** 廠商不再支援的作業系統版本不保證可正常運作，也不支援 AWS 支援。 **Topics** + [WorkSpaces 集區的套件選項](pools-custom-images-bundles.md) + [建立 WorkSpaces 集區的自訂映像和套件](pools-images-custom-image.md) + [管理 WorkSpaces 集區的自訂映像和套件](pools-images-managing.md) + [使用工作階段指令碼來管理使用者的串流體驗](pools-images-session-scripts.md) # WorkSpaces 集區的套件選項 在選取要與 WorkSpaces 集區搭配使用的套件之前，請確定您要選取的套件與您 WorkSpaces 的通訊協定、作業系統、網路和運算類型相容。建議執行並使用可複寫使用者日常工作的應用程式，以測試您要在測試環境中選擇的套件效能。如需通訊協定的詳細資訊，請參閱 [WorkSpaces Personal 的通訊協定](amazon-workspaces-networking.md#amazon-workspaces-protocols)。如需網路的詳細資訊，請參閱[WorkSpaces Personal 的用戶端網路需求](workspaces-network-requirements.md)。 下列公有套件可與 WorkSpaces 集區搭配使用。如需 WorkSpaces 中套件的相關資訊，請參閱 [Amazon WorkSpaces 套件](https://aws.amazon.com/workspaces/details/#Amazon_WorkSpaces_Bundles)。Value、Standard、Performance、Power、PowerPro ## 超值套件 此套件非常適合下列各項： + 基本文字編輯和資料輸入 + 輕度使用的網頁瀏覽 + 即時訊息 不建議將此套件用於文字處理、音訊和視訊會議、螢幕共用、軟體開發工具、商業智慧應用程式和圖形應用程式。 ## 標準套件 此套件非常適合下列各項： + 基本文字編輯和資料輸入 + 網頁瀏覽 + 即時訊息 + 電子郵件 不建議將此套件用於音訊和視訊會議、螢幕共用、文字處理、軟體開發工具、商業智慧應用程式和圖形應用程式。 ## 效能套件 此套件非常適合下列各項： + 網頁瀏覽 + 文字處理 + 即時訊息 + 電子郵件 + 試算表 + 音訊處理 + 課程教材 不建議將此套件用於視訊會議、螢幕共用、軟體開發工具、商業智慧應用程式和圖形應用程式 ## Power 套件 此套件非常適合下列各項： + 網頁瀏覽 + 文字處理 + 電子郵件 + 即時訊息 + 試算表 + 音訊處理 + 軟體開發 (整合式開發環境 (IDE)) + 入門到中級資料處理 + 音訊和視訊會議 不建議將此套件用於螢幕共用、軟體開發工具、商業智慧應用程式和圖形應用程式。 ## PowerPro 套件 此套件非常適合下列各項： + 網頁瀏覽 + 文字處理 + 電子郵件 + 即時訊息 + 試算表 + 音訊處理 + 軟體開發 (整合式開發環境 (IDE)) + 資料倉儲 + 商業智慧應用程式 + 音訊和視訊會議 不建議將此套件用於機器學習模型訓練和圖形應用程式 ## Graphics.g4dn 套件 此套件為 WorkSpaces 提供高層級的圖形效能，以及中等層級的 CPU 效能和記憶體，非常適合下列各項： + 網頁瀏覽 + 文字處理 + 電子郵件 + 試算表 + 即時訊息 + 音訊會議 + 軟體開發 (整合式開發環境 (IDE)) + 入門到中級資料處理 + 資料倉儲 + 商業智慧應用程式 + 圖形設計 + CAD/CAM (電腦輔助設計/電腦輔助製造) 不建議將此套件用於音訊和視訊會議、3D 轉譯、相片寫實風格設計和機器學習模型訓練 ## GraphicsPro.g4dn 套件 此套件可為 WorkSpaces 提供高等級的圖形效能、CPU 效能和記憶體，非常適合下列各項： + 網頁瀏覽 + 文字處理 + 電子郵件 + 試算表 + 即時訊息 + 音訊會議 + 軟體開發 (整合式開發環境 (IDE)) + 入門到中級資料處理 + 資料倉儲 + 商業智慧應用程式 + 圖形設計 + CAD/CAM (電腦輔助設計/電腦輔助製造) + 視訊轉碼 + 3D 轉譯 + 相片寫實風格設計 + 遊戲串流 + ML (機器學習) 模型訓練與 ML 推論 不建議將此套件用於音訊和視訊會議。 # 建立 WorkSpaces 集區的自訂映像和套件 WorkSpaces 集區僅支援 Windows 映像和套件。如果您已啟動 Windows 或 WorkSpace 並自訂它，您可以從該 WorkSpace 建立自訂映像和自訂套件。 *自訂映像*僅包含 WorkSpace 的作業系統、軟體和設定。*自訂套件*是該自訂映像與可從中啟動 WorkSpace 之硬體的組合。 建立自訂映像後，您可以建置自訂套件，其結合自訂映像以及您選取的基礎運算和儲存組態。然後，您可以在啟動新的 WorkSpaces 時指定此自訂套件，以確保新的 WorkSpaces 具有相同的一致組態 (硬體和軟體)。 藉由為每個套件選取不同的運算和儲存選項，您可使用相同的自訂映像來建立各種自訂套件。 **重要** 自訂套件儲存磁碟區不能小於映像儲存磁碟區。 自訂套件的成本與其建立的公有套件相同。如需定價的詳細資訊，請參閱 [Amazon WorkSpaces 定價](https://aws.amazon.com/workspaces/pricing/)。 **Topics** + [建立 Windows 自訂映像的需求](#pools-windows_custom_image_requirements) + [最佳實務](#pools-custom_image_best_practices) + [步驟 1：執行映像檢查程式](#pools-run_image_checker) + [步驟 2：建立自訂映像和自訂套件](#pools-create_custom_image_bundle) + [Windows WorkSpaces 自訂映像所包含的內容](#pools-image_creation_windows) ## 建立 Windows 自訂映像的需求 **注意** Windows 目前將 1 GB 定義為 1,073,741,824 個位元組。您必須確保它們在 C 磁碟機上沒有超過 12，884，901，888 個位元組 （或 12 GiB)，而且使用者設定檔小於 10，737，418，240 個位元組 （或 10 GiB)，才能建立 WorkSpace 的映像。 + WorkSpace 的狀態必須為**可用**，且其修改狀態必須為**無**。 + WorkSpaces 映像上的所有應用程式和使用者設定檔都必須與 Microsoft Sysprep 相容。 + 要包含在映像中的所有應用程式都必須安裝在 `C` 磁碟機上。 + 在 WorkSpace 上執行的所有應用程式服務都必須使用本機系統帳戶，而非網域使用者認證。例如，您不能使用網域使用者的認證執行 Microsoft SQL Server Express 安裝。 + WorkSpace 不得加密。目前不支援從加密的 WorkSpace 建立映像。 + 映像中需要下列元件。若沒有這些元件，您從映像啟動的 WorkSpaces 將無法正常運作。如需詳細資訊，請參閱[WorkSpaces Personal 所需的組態和服務元件](required-service-components.md)。 + Windows PowerShell 3.0 版或更新版本 + 遠端桌面服務 + AWS PV 驅動程式 + Windows 遠端管理 (WinRM) + Teradici PCoIP 代理程式和驅動程式 + STXHD 代理程式和驅動程式 + AWS 和 WorkSpaces 憑證 + Skylight 代理程式 + WorkSpaces 集區僅支援 200 GB 的最大套件/映像根磁碟區大小。當您建立 Windows 自訂映像時，請確定其根磁碟區大小低於 200 GB。 ## 最佳實務 在您從 WorkSpace 建立映像之前，請執行下列操作： + 使用未連線到生產環境的個別 VPC。 + 在私有子網路中部署 WorkSpace 並將 NAT 執行個體用於輸出流量。 + 使用小型 Simple AD 目錄。 + 使用來源 WorkSpace 的最小磁碟區大小，然後在建立自訂套件時視需要調整磁碟區大小。 + 在 WorkSpace 上安裝所有作業系統更新 (Windows 功能/版本更新除外) 和所有應用程式更新。 + 從 WorkSpace 中刪除不應包含在套件中的快取資料 (例如，瀏覽器歷史記錄、快取檔案和瀏覽器 cookie)。 + 從 WorkSpace 中刪除不應包含在套件中的組態設定 (例如，電子郵件設定檔)。 + 使用 DHCP 切換到動態 IP 地址設定。 + 確保您尚未超過區域中允許的 WorkSpace 映像配額。根據預設，您在每個區域中允許有 40 個 WorkSpace 映像。如果您已達到此配額，建立映像的新嘗試將會失敗。若要請求提高配額，請使用 [WorkSpaces 限制表單](https://console.aws.amazon.com/support/home#/case/create?issueType=service-limit-increase&limitType=workspaces)。 + 請確定您並未嘗試從加密的 WorkSpace 建立映像。目前不支援從加密的 WorkSpace 建立映像。 + 如果您在 WorkSpace 上執行任何防毒軟體，請在嘗試建立映像時將其停用。 + 如果您在 WorkSpace Spaces 上啟用了防火牆，請確保它不會封鎖任何必要的連接埠。如需詳細資訊，請參閱[WorkSpaces Personal 的 IP 位址和連接埠要求](workspaces-port-requirements.md)。 + 對於 Windows WorkSpaces，請勿在建立映像之前設定任何群組政策物件 (GPO)。 + 對於 Windows WorkSpaces，請勿在建立映像之前自訂預設使用者設定檔 (`C:\Users\Default`)。建議您透過 GPO 對使用者設定檔進行任何自訂，並在建立映像之後套用自訂。GPO 可輕易地加以修改或回復，因此比對預設使用者設定檔進行的自訂更不容易發生錯誤。 + 確保更新 WorkSpaces 上的聯網相依性驅動程式，例如 ENA、NVMe 和 PV 驅動程式。您應該至少每 6 個月執行一次此操作。如需詳細資訊，請參閱[安裝或升級彈性網路轉接器 (ENA) 驅動程式 ](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/enhanced-networking-ena.html#ena-adapter-driver-install-upgrade-win)、[AWS NVMe 驅動程式 適用於 Windows 執行個體](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/aws-nvme-drivers.html)的 ，以及[升級 Windows 執行個體上的 PV 驅動程式](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/Upgrading_PV_drivers.html)。 + 請務必定期將 EC2Config, EC2Launch 和 EC2Launch V2 代理程式更新為最新版本。您應該至少每 6 個月執行一次此操作。如需詳細資訊，請參閱[更新 EC2Config 和 EC2Launch](https://docs.aws.amazon.com/AWSEC2/latest/WindowsGuide/migrating-latest-types.html#upgdate-ec2config-ec2launch)。 ## 步驟 1：執行映像檢查程式 若要確認您的 Windows WorkSpace 符合建立映像的需求，建議您執行映像檢查程式應用程式。映像檢查程式會在您要用來建立映像的 WorkSpace 上執行一系列測試，並提供如何解決所發現的任何問題的指引。映像檢查程式僅適用於 Windows WorkSpaces。 **重要** WorkSpace 必須先通過映像檢查程式執行的所有測試，才能使用它來建立映像。 在您執行映像檢查程式之前，請確認您的 WorkSpace 上已安裝最新的 Windows 安全和累積更新。 若要取得映像檢查程式，請執行下列其中一項操作： + [重新啟動 WorkSpace](reboot-workspaces.md)。映像檢查程式會在重新啟動期間自動下載並安裝於 `C:\Program Files\Amazon\ImageChecker.exe`。 + 從 [https://tools.amazonworkspaces.com/ImageChecker.zip](https://tools.amazonworkspaces.com/ImageChecker.zip) 下載 Amazon WorkSpaces 映像檢查程式，然後將 `ImageChecker.exe` 檔案解壓縮。將此檔案複製到 `C:\Program Files\Amazon\`。 **若要執行映像檢查程式** 1. 開啟 `C:\Program Files\Amazon\ImageChecker.exe` 檔案。 1. 在 **Amazon WorkSpaces 映像檢查程式**對話方塊中，選擇**執行**。 1. 每次測試完成後，您可以檢視測試的狀態。 對於狀態為**失敗**的任何測試，請選擇**資訊**以顯示如何解決造成失敗之問題的相關資訊。如需有關如何解決這些問題的資訊，請參閱 [用以解決映像檢查程式偵測到的問題的秘訣](#pools-image_checker_tips)。 如果有任何測試顯示**警告**狀態，請選擇**修正所有警告**按鈕。 此工具會在映像檢查程式所在的相同目錄中產生輸出日誌檔。此檔案的預設位置為 `C:\Program Files\Amazon\ImageChecker_yyyyMMddhhmmss.log`。請勿刪除此日誌檔案。如果發生問題，此日誌檔可能有助於疑難排解。 1. 如果適用，請解決導致測試失敗和警告的任何問題，並重複執行映像檢查程式的程序，直到 WorkSpace 通過所有測試為止。您必須先解決所有失敗和警告，才能建立映像。 1. 在 WorkSpace 通過所有測試之後，您會看到**驗證成功**訊息。您現在可以建立自訂套件。 ### 用以解決映像檢查程式偵測到的問題的秘訣 除了諮詢下列秘訣以解決映像檢查程式偵測到的問題之外，務必檢閱映像檢查程式日誌檔，網址為 `C:\Program Files\Amazon\ImageChecker_yyyyMMddhhmmss.log`。 #### 必須安裝 PowerShell 3.0 版或更新版本 安裝最新版的 [Microsoft Windows PowerShell](https://docs.microsoft.com/powershell)。 **重要** 必須將 WorkSpace 的 PowerShell 執行政策設定為允許 **RemoteSigned** 指令碼。若要檢查執行政策，請執行 **Get-ExecutionPolicy** PowerShell 命令。如果執行政策未設定為**不受限制**或 **RemoteSigned**，請執行 **Set-ExecutionPolicy – ExecutionPolicy RemoteSigned** 命令，以變更執行政策的值。**RemoteSigned** 設定允許在 Amazon WorkSpaces 上執行指令碼，這是建立映像所需的指令碼。 #### 只有 C 和 D 磁碟機可以存在 只有 `C` 和 `D` 磁碟機可存在於用來製作映像的 WorkSpace 上。移除所有其他磁碟機，包括虛擬磁碟機。 #### 無法偵測到由於 Windows Update 的擱置中重新啟動 + 直到 Windows 重新啟動以完成安裝安全或累積更新，才能執行「建立映像」程序。重新啟動 Windows 以套用這些更新，並確定不需要安裝其他擱置中的 Windows 安全或累積更新。 + 不支援在從某個 Windows 10 版本升級到較新 Windows 10 版本 (Windows 功能/版本升級) 的 Windows 10 系統上建立映像。不過，WorkSpaces 映像建立程序支援 Windows 累積或安全性更新。 #### Sysprep 檔案必須存在且不能空白 如果您的 Sysprep 檔案有問題，請聯絡 [AWS 支援 中心](https://console.aws.amazon.com/support/home#/)，以修復 EC2Config 或 EC2Launch。 #### 使用者設定檔大小必須少於 10 GB 對於 Windows 7 WorkSpaces，使用者設定檔 (`D:\Users\username`) 總計必須少於 10 GB。視需要移除檔案，以減少使用者設定檔的大小。 #### 磁碟機 C 必須有足夠的可用空間 對於 Windows 7 WorkSpaces，您必須在磁碟機 `C` 上至少有 12 GB 的可用空間。視需要移除檔案以釋放磁碟機 `C` 上的空間。對於 Windows 10 WorkSpaces，如果您收到 `FAILED` 訊息且磁碟空間超過 2GB，請忽略。 #### 任何服務都不能在網域帳戶下執行 若要執行「建立映像」程序，WorkSpace 上的任何服務都不能在網域帳戶下執行。所有服務都必須在本機帳戶下執行。 **若要在本機帳戶下執行服務** 1. 開啟 `C:\Program Files\Amazon\ImageChecker_yyyyMMddhhmmss.log` 並尋找在網域帳戶下執行的服務清單。 1. 在 Windows 搜尋方塊中，輸入 **services.msc** 以開啟 Windows Services Manager。 1. 在**登入身分**之下，尋找在網域帳戶下執行的服務。(以**本機系統**、**本機服務**或**網路服務**形式執行的服務不會干擾映像建立。) 1. 選取在網域帳戶下執行的服務，然後依序選擇**動作**、**內容**。 1. 開啟**登入**索引標籤。在**登入身分**之下，選擇**本機系統帳戶**。 1. 選擇**確定**。 #### 必須將 WorkSpace 設定為使用 DHCP 您必須將 WorkSpace 上的所有網路介面卡設定為使用 DHCP，而非靜態 IP 地址。 **若要將所有網路介面卡設定為使用 DHCP** 1. 在 Windows 搜尋方塊中，輸入 **control panel** 以開啟「控制台」。 1. 選擇**網路和網際網路**。 1. 選擇**網路和共用中心**。 1. 選擇**變更介面卡設定**，然後選取介面卡。 1. 選擇**變更此連線的設定**。 1. 在**網路**索引標籤上，選取**網際網路通訊協定第 4 版 (TCP/IPv4)**，然後選擇**內容**。 1. 在**網際網路通訊協定第 4 版 (TCP/IPv4) 內容**對話方塊中，選取**自動取得 IP 地址**。 1. 選擇**確定**。 1. 對 WorkSpace 上的所有網路介面卡重複此程序。 #### 必須啟用遠端桌面服務 「建立映像」程序需要啟用遠端桌面服務。 **若要啟用遠端桌面服務** 1. 在 Windows 搜尋方塊中，輸入 **services.msc** 以開啟 Windows Services Manager。 1. 在**名稱**欄中，尋找**遠端桌面服務**。 1. 選取**遠端桌面服務**，然後依序選擇**動作**、**內容**。 1. 在**一般**索引標籤上，針對**啟動類型**選擇**手動**或**自動**。 1. 選擇**確定**。 #### 使用者設定檔必須存在 您用來建立映像的 WorkSpace 必須具有使用者設定檔 (`D:\Users\username`)。如果測試失敗，請聯絡 [AWS 支援 中心](https://console.aws.amazon.com/support/home#/)尋求協助。 #### 環境變數路徑必須設定正確 本機電腦的環境變數路徑缺少 System32 和 Windows PowerShell 的項目。執行「建立映像」時需要這些項目。 **若要設定環境變數路徑** 1. 在 Windows 搜尋方塊中，輸入 **environment variables**，然後選擇**編輯系統環境變數**。 1. 在**系統內容**對話方塊中，開啟**進階**索引標籤，然後選擇**環境變數**。 1. 在**環境變數**對話方塊的**系統變數**之下，選取**路徑**項目，然後選擇**編輯**。 1. 選擇**新增**，然後新增下列路徑： `C:\Windows\System32` 1. 再次選擇**新增**，然後新增下列路徑： `C:\Windows\System32\WindowsPowerShell\v1.0\` 1. 選擇**確定**。 1. 重新啟動 WorkSpace。 **提示** 項目出現在環境變數路徑中的順序很重要。若要判斷正確的順序，您可以比較 WorkSpace 的環境變數路徑與新建立的 WorkSpace 或新 Windows 執行個體中的環境變數路徑。 #### 必須啟用 Windows Modules Installer 「建立映像」程序需要啟用 Windows Modules Installer 服務。 **若要啟用 Windows Modules Installer 服務** 1. 在 Windows 搜尋方塊中，輸入 **services.msc** 以開啟 Windows Services Manager。 1. 在**名稱**欄中，尋找 **Windows Modules Installer**。 1. 選取 **Windows Modules Installer**，然後依序選擇**動作**、**內容**。 1. 在**一般**索引標籤上，針對**啟動類型**選擇**手動**或**自動**。 1. 選擇**確定**。 #### 必須停用 Amazon SSM Agent 「建立映像」程序需要停用 Amazon SSM Agent 服務。 **若要停用 Amazon SSM Agent 服務** 1. 在 Windows 搜尋方塊中，輸入 **services.msc** 以開啟 Windows Services Manager。 1. 在**名稱**欄中，尋找 **Amazon SSM Agent**。 1. 選取 **Amazon SSM Agent**，然後依序選擇**動作**、**內容**。 1. 在**一般**索引標籤上，針對**啟動類型**，選擇**停用**。 1. 選擇**確定**。 #### 必須啟用 SSL3 和 TLS 1.2 版 若要設定 Windows 的 SSL/TLS，請參閱 Microsoft Windows 文件中的[如何啟用 TLS 1.2](https://docs.microsoft.com/configmgr/core/plan-design/security/enable-tls-1-2)。 #### WorkSpace 上只能存在一個使用者設定檔 您用來建立映像的 WorkSpace 上只能有一個 WorkSpaces 使用者設定檔 (`D:\Users\username`)。刪除不屬於 WorkSpace 預定使用者的任何使用者設定檔。 若要能夠建立映像，您的 WorkSpace 只能有三個使用者設定檔： + WorkSpace 預定使用者的使用者設定檔 (`D:\Users\username`) + 預設使用者設定檔 (也稱為「預設設定檔」) + 管理員使用者設定檔 如果有其他使用者設定檔，您可以透過 Windows 控制台中的進階系統內容將其刪除。 **若要刪除使用者設定檔** 1. 若要存取進階系統內容，請執行下列其中一項操作： + 按 **Windows 鍵\$1Pause Break**，然後在**控制台** > **系統和安全性** > **系統**對話方塊的左窗格中選擇**進階系統設定**。 + 在 Windows 搜尋方塊中，輸入 **control panel**。在 [控制台] 中，選擇**系統和安全性**，然後選擇 [系統]，然後在**控制台** > **系統和安全性系統** > **系統**對話方塊的左窗格中選擇 **進階系統設定**。 1. 在**系統內容**對話方塊的**進階**索引標籤上，選擇**使用者設定檔**之下的**設定**。 1. 如果除了管理員設定檔、預設設定檔及預定 WorkSpaces 使用者的設定檔以外，還列出任何設定檔，請選取該額外設定檔，然後選擇**刪除**。 1. 當系統詢問您是否要刪除設定檔時，請選擇**是**。 1. 如有必要，請重複步驟 3 和 4 以移除不屬於 WorkSpace 的任何其他設定檔。 1. 選擇**確定**兩次，然後關閉控制台。 1. 重新啟動 WorkSpace。 #### 任何 AppX 套件都不能處於暫存狀態 一或多個 AppX 套件處於暫存狀態。這可能在建立映像期間造成 Sysprep 錯誤。 **若要移除所有暫存 AppX 套件** 1. 在 Windows 搜尋方塊中，輸入 **powershell**。選擇**以管理員身分執行**。 1. 當系統詢問「您要允許此應用程式對裝置進行變更嗎？」時，請選擇**是**。 1. 在 Windows PowerShell 視窗中，輸入下列命令以列出所有暫存 AppX 套件，然後在每個套件之後按 Enter 鍵。 ``` $workSpaceUserName = $env:username ``` ``` $allAppxPackages = Get-AppxPackage -AllUsers ``` ``` $packages = $allAppxPackages | Where-Object { ` (($_.PackageUserInformation -like "*S-1-5-18*" -and !($_.PackageUserInformation -like "*$workSpaceUserName*")) -and ` ($_.PackageUserInformation -like "*Staged*" -or $_.PackageUserInformation -like "*Installed*")) -or ` ((!($_.PackageUserInformation -like "*S-1-5-18*") -and $_.PackageUserInformation -like "*$workSpaceUserName*") -and ` $_.PackageUserInformation -like "*Staged*") } ``` 1. 以更高的 SYSTEM 權限執行下列命令，以移除所有暫存 AppX 套件佈建項目，然後按 Enter 鍵。 ``` $packages | Remove-AppxPackage -ErrorAction SilentlyContinue ``` 1. 再次執行映像檢查程式。如果此測試仍然失敗，請輸入下列命令以移除所有 AppX 套件，並在每個套件之後按 Enter 鍵。 ``` Get-AppxProvisionedPackage -Online | Remove-AppxProvisionedPackage -Online -ErrorAction SilentlyContinue ``` ``` Get-AppxPackage -AllUsers | Remove-AppxPackage -ErrorAction SilentlyContinue ``` #### Windows 不得從以前的版本升級 不支援在從某個 Windows 10 版本升級到較新 Windows 10 版本 (Windows 功能/版本升級) 的 Windows 系統上建立映像。 若要建立映像，請使用尚未進行 Windows 功能/版本升級的 WorkSpace。 #### Windows 重設授權計數不得為 0 重設授權功能允許您延長 Windows 試用版的啟用期間。建立映像程序要求重設授權計數必須是 0 以外的值。 **若要檢查 Windows 重設授權計數** 1. 在 Windows **Start (開始)** 功能表，選擇 **Windows System (Windows 系統)**，然後選擇 **Command Prompt (命令提示字元)**。 1. 在命令提示視窗中，輸入以下命令，然後按 Enter 鍵。 `cscript C:\Windows\System32\slmgr.vbs /dlv` 若要將重設授權計數重設為 0 以外的值，請參閱 Microsoft Windows 文件中的 [Sysprep (一般化) Windows 安裝](https://docs.microsoft.com/windows-hardware/manufacture/desktop/sysprep--generalize--a-windows-installation)。 #### 其他疑難排解秘訣 如果您的 WorkSpace 通過映像檢查程式執行的所有測試，但仍無法從 WorkSpace 建立映像，請檢查下列問題： + 請確定 WorkSpace 未指派給**網域訪客**群組中的使用者。若要檢查是否有任何網域帳戶，請執行下列 PowerShell 命令。 ``` Get-WmiObject -Class Win32_Service | Where-Object { $_.StartName -like "*$env:USERDOMAIN*" } ``` + 在 Windows 執行個體設定期間，當 EC2Config 服務或 EC2Launch 指令碼請求 RDP 憑證指紋時，有些群組政策物件 (GPO) 會限制對 RDP 憑證指紋的存取。在您嘗試建立映像之前，請將 WorkSpace 移至已封鎖繼承且未套用 GPO 的新組織單位 (OU)。 + 請確定 Windows 遠端管理 (WinRM) 服務已設定為自動啟動。請執行下列操作： 1. 在 Windows 搜尋方塊中，輸入 `services.msc` 以開啟 Windows Services Manager。 1. 在**名稱**欄中，尋找 **Windows 遠端管理 (WS-管理)**。 1. 選取 **Windows 遠端管理 (WS-管理)**，然後依序選擇**動作**、**內容**。 1. 在**一般**索引標籤上，針對**啟動類型**，選擇**自動**。 1. 選擇**確定**。 ## 步驟 2：建立自訂映像和自訂套件 驗證 WorkSpace 映像之後，請完成下列程序，以使用 WorkSpaces 主控台建立自訂映像和自訂套件。若要以程式設計方式建立映像，請使用 CreateWorkspaceImage API 動作。如需詳細資訊，請參閱《*Amazon WorkSpaces * [ WorkSpaces API 參考》中的 CreateWorkspaceImage](https://docs.aws.amazon.com/workspaces/latest/api/API_CreateWorkspaceImage.html)。若要以程式設計方式建立套件，請使用 **CreateWorkspaceBundle** API 動作。如需詳細資訊，請參閱《Amazon WorkSpaces API 參考》**中的 [CreateWorkspaceBundle](https://docs.aws.amazon.com/workspaces/latest/api/API_CreateWorkspaceBundle.html)。 **使用 WorkSpaces 主控台建立自訂映像和自訂套件** 1. 如果您仍然連線至 WorkSpace，請在 WorkSpaces 用戶端應用程式中選擇 **Amazon WorkSpaces** 和**中斷連線**來中斷連線。 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在導覽窗格中，選擇 **WorkSpaces**。 1. 選取 WorkSpace 以開啟其詳細資訊頁面，然後選擇**建立映像**。如果 WorkSpace 的狀態為**已停止**，您必須先加以啟動 (選擇**動作**、**啟動 WorkSpaces**)，然後才能選擇**動作**、**建立映像**。 1. 隨即顯示一則訊息，提示您先重新啟動 WorkSpace，然後繼續執行。重新啟動 WorkSpace 會將 Amazon WorkSpaces 軟體更新為最新版本。 關閉訊息並遵循 [在 WorkSpace WorkSpaces](reboot-workspaces.md) 中的步驟，以重新啟動 WorkSpace。完成後，請重複此程序的[Step 4](create-custom-bundle.md#step_create_image)，但這次在重新啟動訊息出現時選擇**下一步**。若要建立映像，WorkSpace 的狀態必須為**可用**，且其修改狀態必須為**無**。 1. 輸入映像名稱和描述以協助您識別映像，然後選擇**建立映像**。正在建立映像時，WorkSpace 的狀態為**已暫停**且無法使用 WorkSpace。 請勿在描述中使用破折號 (`-`) 特殊字元。這將導致錯誤。 1. 在導覽窗格中，選擇**映像**。當 WorkSpace 的狀態變更為**可用**時，映像即完成 (最多可能需要 45 分鐘)。 1. 選取映像，然後依序選擇**動作**、**建立套件**。 1. 輸入套件名稱和描述，然後執行以下操作： + 針對**套件硬體類型**，選擇從此自訂套件啟動 WorkSpaces 時要使用的硬體。 + 根磁碟區的預設可用大小組合為每個 WorkSpace 200 GB。 1. 若要確認您的套件已建立，請選擇**套件**並確認已列出該套件。 ## Windows WorkSpaces 自訂映像所包含的內容 當您從 Windows WorkSpace 建立映像時，會包含`C`磁碟機的整個內容。 + 聯絡人 + 下載 + 音樂 + 圖片 + 儲存的遊戲 + 影片 + Podcast + 虛擬機器 + .virtualbox + 追蹤 + appdata\$1local\$1temp + appdata\$1roaming\$1apple computer\$1mobilesync\$1 + appdata\$1roaming\$1apple computer\$1logs\$1 + appdata\$1roaming\$1apple computer\$1itunes\$1iphone software updates\$1 + appdata\$1roaming\$1macromedia\$1flash player\$1macromedia.com\$1support\$1flashplayer\$1sys\$1 + appdata\$1roaming\$1macromedia\$1flash player\$1\$1sharedobjects\$1 + appdata\$1roaming\$1adobe\$1flash player\$1assetcache\$1 + appdata\$1roaming\$1microsoft\$1windows\$1recent\$1 + appdata\$1roaming\$1microsoft\$1office\$1recent\$1 + appdata\$1roaming\$1microsoft office\$1live meeting + appdata\$1roaming\$1microsoft shared\$1livemeeting shared\$1 + appdata\$1roaming\$1mozilla\$1firefox\$1crash reports\$1 + appdata\$1roaming\$1mcafee\$1common framework\$1 + appdata\$1local\$1microsoft\$1feeds cache + appdata\$1local\$1microsoft\$1windows\$1temporary internet files\$1 + appdata\$1local\$1microsoft\$1windows\$1history\$1 + appdata\$1local\$1microsoft\$1internet explorer\$1domstore\$1 + appdata\$1local\$1microsoft\$1internet explorer\$1imagestore\$1 + appdata\$1locallow\$1microsoft\$1internet explorer\$1iconcache\$1 + appdata\$1locallow\$1microsoft\$1internet explorer\$1domstore\$1 + appdata\$1locallow\$1microsoft\$1internet explorer\$1imagestore\$1 + appdata\$1local\$1microsoft\$1internet explorer\$1recovery\$1 + appdata\$1local\$1mozilla\$1firefox\$1profiles\$1 # 管理 WorkSpaces 集區的自訂映像和套件 WorkSpaces Personal 和 WorkSpaces 集區之間的自訂映像和套件管理程序相同。如需如何管理映像和套件的詳細資訊，請參閱本指南 WorkSpaces Personal 一節中的下列文件： **注意** 您可用於 WorkSpaces Personal 的自訂套件與可用於 WorkSpaces 集區的自訂套件之間的主要差異，在於可使用的作業系統和基本公有套件。如需 WorkSpaces 集區中支援的作業系統和套件，請參閱 [ WorkSpaces 集區套件套件 了解 WorkSpaces 集區套件。 *WorkSpace 套件*是作業系統、儲存體、運算和軟體資源的組合。當您啟動 WorkSpace 時，請選取符合您需求的套件。WorkSpaces 可用的預設套件稱為*公用套件*。如需有關可用於 WorkSpaces 之各種公用套件的詳細資訊，請參閱 [Amazon WorkSpaces 套件](https://aws.amazon.com/workspaces/details/#Amazon_WorkSpaces_Bundles)。 下表提供每個作業系統支援的授權、串流通訊協定和套件的相關資訊。 | 作業系統 | 授權 | 串流通訊協定 | 支援的套件 | | --- | --- | --- | --- | | Windows Server 2019 | 包含 | DCV | 值、標準、效能、電源、PowerPro | | Windows Server 2022 | 包含 | DCV | 標準、效能、電源、PowerPro、Graphics.G4dn、GraphicsPro.G4dn | 廠商不再支援的作業系統版本不保證可正常運作，也不支援 AWS 支援。 ](instance-types.md#instance-types.title)。 + [更新 WorkSpaces Personal 的自訂套件](update-custom-bundle.md). + [在 WorkSpaces Personal 中複製自訂映像](copy-custom-image.md). + [在 WorkSpaces Personal 中共用或取消共用自訂映像](share-custom-image.md). + [在 WorkSpaces Personal 中刪除自訂套件或映像](delete_bundle.md). # 使用工作階段指令碼來管理使用者的串流體驗 WorkSpaces 集區提供執行個體上的工作階段指令碼。當使用者的串流工作階段發生特定事件時，您可以使用這些指令碼來執行您自己的自訂指令碼。例如，您可以在使用者的串流工作階段開始之前，使用自訂指令碼來準備 WorkSpaces 集區環境。在使用者完成其串流工作階段之後，您也可以使用自訂指令碼來清除串流執行個體。 工作階段指令碼是在 WorkSpace 映像中指定。這些指令碼在使用者環境或系統環境之內執行。如果您的工作階段指令碼使用標準輪出來撰寫資訊、錯誤或偵錯訊息，這些都可以選擇性地儲存在您 Amazon Web Services 帳戶內的 Amazon S3 儲存貯體中。 **Topics** + [串流工作階段開始之前執行指令碼](#run-scripts-before-streaming-sessions-begin) + [在串流工作階段結束之後執行指令碼](#run-scripts-after-streaming-sessions-end) + [建立和指定工作階段指令碼](#create-specify-session-scripts) + [工作階段指令碼組態檔案](#session-script-configuration-file) + [使用 Windows PowerShell 檔案](#using-powershell-files-with-session-scripts) + [記錄工作階段指令碼輸出](#logging-session-output) + [搭配工作階段指令碼使用持久性儲存](#use-storage-connectors-with-session-scripts) + [為工作階段指令碼日誌啟用 Amazon S3 儲存貯體儲存](#enable-S3-bucket-storage-session-script-logs) ## 串流工作階段開始之前執行指令碼 您可以設定指令碼來執行最長 60 秒，之後，使用者的應用程式才啟動，他們的串流工作階段才開始。這樣做可讓您在使用者開始串流其應用程式之前自訂 WorkSpaces 集區環境。當工作階段指令碼執行時，使用者會看到載入環。當您的指令碼成功完成或超過最長等待時間後，使用者的串流工作階段就會開始。如果您的指令碼未成功完成，則會顯示錯誤訊息給使用者。但是，不會阻止您的使用者使用其串流工作階段。 當您在 Windows 執行個體上指定檔案名稱時，您必須使用雙反斜線。例如： ``` C:\\Scripts\\Myscript.bat ``` 如果您不使用雙反斜線，則會顯示錯誤，通知您`.json`檔案格式不正確。 **注意** 當您的指令碼成功完成時，必須傳回 0 這個值。如果您的指令碼傳回 0 以外的值，WorkSpaces 會向使用者顯示錯誤訊息。 當您在串流工作階段開始之前執行指令碼時，會發生下列程序： 1. 您的使用者連線到 WorkSpace WorkSpaces。它們使用 SAML 2.0 進行連線。 1. 發生以下其中一項： + 如果已針對使用者啟用應用程式設定持續性，則會下載並掛載應用程式設定虛擬硬碟 (VHD) 檔案，其中存放使用者的自訂項目和 Windows 設定。在這種情況下，需要 Windows 使用者登入。 如需應用程式設定持續性的相關資訊，請參閱[為您的 WorkSpaces 集區使用者啟用應用程式設定持續性](app-settings-persistence.md)。 + 如果應用程式設定持續性未啟用，但 Windows 使用者已登入。 1. 您的工作階段指令碼會開始。如果已針對使用者啟用持久性儲存，則儲存連接器掛載也會開始。如需持久性儲存的相關資訊，請參閱[啟用和管理 WorkSpaces 集區的持久性儲存](persistent-storage.md)。 **注意** 儲存連接器掛載並不需要完成，串流工作階段也會開始。如果工作階段指令碼比儲存連接器掛載更早完成，串流工作階段會開始。 如需有關監控儲存連接器掛載狀態的資訊，請參閱[搭配工作階段指令碼使用持久性儲存](#use-storage-connectors-with-session-scripts)。 1. 您的工作階段指令碼完成或逾時。 1. 使用者的串流工作階段會開始。 ## 在串流工作階段結束之後執行指令碼 您也可以將您的指令碼設定為在使用者的工作階段結束之後執行。例如，當使用者從 WorkSpaces 用戶端工具列選取**結束工作階段**，或當他們達到工作階段允許的持續時間上限時，您可以執行指令碼。您也可以使用這些工作階段指令碼，在串流執行個體終止之前清除 WorkSpaces 環境。例如，您可以使用指令碼來發行檔案鎖定或上傳日誌檔。當您在串流工作階段結束之後執行指令碼時，則處理如下： 1. 使用者的 WorkSpaces 串流工作階段結束。 1. 您的工作階段終止指令碼會開始。 1. 工作階段終止指令碼完成或逾時。 1. 發生 Windows 使用者登出。 1. 以下一項或兩項同時發生 (如果適用)： + 如果已針對使用者啟用應用程式設定持續性，則會卸載應用程式設定 VHD 檔案 (其中存放使用者的自訂項目和 Windows 設定)，並上傳到您帳戶中的 Amazon S3 儲存貯體。 + 如果已針對使用者啟用持久性儲存，則儲存連接器會完成最終同步，然後卸載。 1. WorkSpace 已終止。 ## 建立和指定工作階段指令碼 完成下列程序，為 WorkSpaces 集區中的 WorkSpaces 建立和指定工作階段指令碼。 1. 連線至您要從中建立自訂映像的 Windows WorkSpaces。 1. `/AWSEUC/SessionScripts` 如果目錄尚未存在，請建立目錄。 1. `/AWSEUC/SessionScripts/config.json` 如果組態檔案尚未存在，請使用[工作階段指令碼組態範本](https://docs.aws.amazon.com/workspaces/latest/adminguide/pools-images-session-scripts.html#session-script-configuration-file)建立組態檔案。 1. 導覽至 `C:\AWSEUC\SessionScripts` 並開啟 `config.json` 組態檔案。 如需工作階段指令碼參數的相關資訊，請參閱[工作階段指令碼組態檔案](#session-script-configuration-file)。 1. 完成變更之後，儲存並關閉 `config.json` 檔案。 1. 完成從 WorkSpace 建立映像的步驟。如需詳細資訊，請參閱[建立 WorkSpaces 集區的自訂映像和套件](pools-images-custom-image.md)。 ## 工作階段指令碼組態檔案 若要在 Windows 執行個體中找到工作階段指令碼組態檔案，請導覽至 `C:\AWSEUC\SessionScripts\config.json`。檔案的格式如下所示。 **注意** 組態檔案為 JSON 格式。確認您在此檔案中輸入的任何文字為有效的 JSON 格式。 ``` { "SessionStart": { "executables": [ { "context": "system", "filename": "", "arguments": "", "s3LogEnabled": true }, { "context": "user", "filename": "", "arguments": "", "s3LogEnabled": true } ], "waitingTime": 30 }, "SessionTermination": { "executables": [ { "context": "system", "filename": "", "arguments": "", "s3LogEnabled": true }, { "context": "user", "filename": "", "arguments": "", "s3LogEnabled": true } ], "waitingTime": 30 } } ``` 您可以在工作階段指令碼組態檔案中使用以下參數。 **`SessionStart/SessionTermination `** 在適當的工作階段事件中根據物件名稱執行的工作階段指令碼。 **類型：**字串 **必要**：否 **允許的值：****SessionStart**、**SessionTermination** **`WaitingTime`** 工作階段指令碼的最長持續時間 (以秒為單位)。 **類型**：整數 **必要**：否 **限制：**最長持續時間為 60 秒。如果工作階段指令碼在此期間內未完成，則會停下。如果需要讓指令碼繼續執行，請以單獨程序的形式來加以啟動。 **`Executables`** 要執行的指令碼工作階段的詳細資訊。 **類型：**字串 **必要**：是 **限制：**針對每個工作階段事件可執行的指令碼數量上限為 2 (一個用於使用者環境，另一個用於系統環境)。 **`Context`** 用來執行工作階段指令碼的環境。 **類型：**字串 **必要**：是 **允許的值：****user**、**system** **`Filename`** 要執行的工作階段指令碼的完整路徑。如果未指定此參數，則工作階段指令碼不會執行。 **類型：**字串 **必要**：否 **限制：**檔案名稱和完整路徑的最大長度為 1,000 個字元。 **允許的值：****.bat**、**.exe**、 **.sh** 您也可以使用 Windows PowerShell 檔案。如需詳細資訊，請參閱[使用 Windows PowerShell 檔案](#using-powershell-files-with-session-scripts)。 **`Arguments`** 工作階段指令碼或可執行檔的引數。 **類型：**字串 **必要**：否 **長度限制：**長度上限為 1,000 個字元。 **`S3LogEnabled`** 當此參數的值設為 **True** 時，您的 Amazon Web Services 帳戶內會建立 S3 儲存貯體，以存放工作階段指令碼所建立的日誌。依預設，此值是設為 **True**。如需詳細資訊，請參閱本主題稍後的*記錄工作階段指令碼輸出*一節。 **類型**：布林值 **必要**：否 **允許的值：****True**、**False** ## 使用 Windows PowerShell 檔案 若要使用 Windows PowerShell 檔案，請在 `filename` 參數中指定 PowerShell 檔案的完整路徑： ``` "filename": "C:\\Windows\\System32\\WindowsPowerShell\\v1.0\\powershell.exe", ``` 然後，在 **arguments** 參數中指定您的工作階段指令碼： ``` "arguments": "-File \"C:\\path\\to\\session\\script.ps1\"", ``` 最後，確認 PowerShell 執行政策允許您的 PowerShell 檔案執行。 ## 記錄工作階段指令碼輸出 在組態檔案中啟用此選項時，WorkSpaces 集區會自動從寫入標準輸出的工作階段指令碼擷取輸出。此輸出會上傳到您帳戶中的 Amazon S3 儲存貯體。您可以檢閱日誌檔以進行故障排除或偵錯。 **注意** 當工作階段指令碼傳回一個值，或 **WaitingTime** 中設定值已超過時 (以先到者為準)，就會上傳日誌檔。 ## 搭配工作階段指令碼使用持久性儲存 當 WorkSpaces 持久性儲存啟用時，儲存會在工作階段啟動指令碼執行時開始掛載。如果您的指令碼依賴掛載的持久性儲存，您可以等待連接器可用。WorkSpaces 會在 Windows WorkSpaces 的 Windows 登錄檔中維護儲存連接器的掛載狀態，金鑰如下： ``` HKEY_LOCAL_MACHINE\SOFTWARE\Amazon\AWSEUC\Storage\\ ``` 登錄機碼值如下： + 提供的使用者名稱：透過存取模式提供的使用者 ID。每個模式的存取模式和值如下： + 使用者集區：使用者的電子郵件地址 + 串流 URL：UserID + SAML：NameID。如果使用者名稱包含斜線 (例如，網域使用者的 SAMAccountName)，斜線會換成 "-" 字元。 + 儲存連接器：為使用者啟用的持久性儲存選項的連接器。儲存連接器值如下： + HomeFolder 每個儲存連接器登錄機碼都會包含 **MountStatus** DWORD 值。下表列出可能的 **MountStatus** 值。 **注意** 若要檢視這些登錄機碼，您的映像必須安裝 Microsoft .NET Framework 4.7.2 版或更新版本。 | Value | Description | | --- | --- | | 0 | 未針對此使用者啟用儲存連接器 | | 1 | 儲存連接器掛載正在進行中 | | 2 | 儲存連接器掛載成功 | | 3 | 儲存連接器掛載失敗 | | 4 | 儲存連接器掛載已啟用，但尚未掛載 | ## 為工作階段指令碼日誌啟用 Amazon S3 儲存貯體儲存 當您在工作階段指令碼組態中啟用 Amazon S3 記錄時，WorkSpaces 集區會從工作階段指令碼擷取標準輸出。此輸出會定期上傳到您的 Amazon Web Services 帳戶內的 S3 儲存貯體。對於每個 AWS 區域，WorkSpaces 集區會在您的帳戶中建立專屬於您的帳戶和區域的儲存貯體。 您不需要執行任何設定任務來管理這些 S3 儲存貯體。它們完全由 WorkSpaces 服務管理。存放在每個儲存貯體中的日誌檔在傳輸中會使用 Amazon S3 的 SSL 端點加密，靜態時則使用 Amazon S3 的受管加密金鑰加密。儲存貯體使用特定格式命名，如下所示： ``` wspool-logs---random-identifier ``` **``** 這是在工作階段指令碼日誌中啟用 Amazon S3 儲存貯體儲存的情況下建立 WorkSpaces 集區的 AWS 區域代碼。 **``** 您的 Amazon Web Services 帳戶識別符。隨機 ID 可確保與該區域中的其他儲存貯體不發生衝突。儲存貯體名稱的第一部分 `wspool-logs`，不會因為跨帳戶或區域而變更。 例如，如果您在美國西部 （奧勒岡） 區域 (`us-west-2`) 中於帳戶號碼 的映像中指定工作階段指令碼`123456789012`，WorkSpaces 集區會在帳戶中建立 Amazon S3 儲存貯體，並顯示名稱。只有具備足夠許可的管理員可以刪除這個儲存貯體。 ``` wspool-logs-us-west-2-1234567890123-abcdefg ``` 停用工作階段指令碼不會刪除存放在 S3 儲存貯體中的日誌檔案。您或具有足夠許可的其他管理員必須使用 Amazon S3 主控台或 API，才能永久刪除日誌檔。WorkSpaces 集區會新增儲存貯體政策，以防止意外刪除儲存貯體。 當工作階段指令碼啟用時，將會為每個啟動的串流工作階段建立唯一資料夾。 在您的帳戶中，日誌檔存放在 S3 儲存貯體中的資料夾路徑使用以下結構： ``` //////SessionScriptsLogs/ ``` ****** 存放工作階段指令碼的 S3 儲存貯體名稱。名稱格式如本節前文所述。 ****** 工作階段的來源堆疊名稱。 ****** 工作階段指令碼執行所在的 WorkSpaces 集區名稱。 ***<存取模式>*** 使用者的身分方法：`custom`適用於 WorkSpaces API 或 CLI、`federated`適用於 SAML，以及`userpool`適用於使用者集區中的使用者。 ****** 使用者特定的資料夾名稱。此名稱是使用從使用者識別符產生的小寫 SHA-256 雜湊十六進位字串建立。 ****** 使用者串流工作階段的識別符。每個使用者串流工作階段都會產生唯一 ID。 ****** 產生工作階段指令碼日誌的事件。事件值為：`SessionStart` 和 `SessionTermination`。 以下範例資料夾結構適用於從 test-stack 和 test-fleet 開始的串流工作階段。工作階段使用來自 之 `testuser@mydomain.com` AWS 帳戶 ID 的使用者 ID 的 API`123456789012`，以及美國西部 （奧勒岡） 區域中的設定群組 `test-stack` ()`us-west-2`： ``` wspool-logs-us-west-2-1234567890123-abcdefg/test-stack/test-fleet/custom/a0bcb1da11f480d9b5b3e90f91243143eac04cfccfbdc777e740fab628a1cd13/05yd1391-4805-3da6-f498-76f5x6746016/SessionScriptsLogs/SessionStart/ ``` 在此範例資料夾結構中，一個日誌檔用於使用者環境工作階段開始指令碼，另一個日誌檔用於系統環境工作階段開始指令碼 (如果適用)。 # 監控 WorkSpaces 集區 監控是維護 WorkSpaces 集區可靠性、可用性和效能的重要部分。 **Topics** + [WorkSpaces 集區指標和維度](monitoring-with-cloudwatch.md) # WorkSpaces 集區指標和維度 Amazon WorkSpaces 會將下列 WorkSpaces 集區指標和維度資訊傳送至 Amazon CloudWatch。 WorkSpaces 集區每分鐘將指標傳送至 CloudWatch 一次。`AWS/Workspaces` 命名空間包含下列指標。 ## 集區用量指標 | 指標 | Description | | --- | --- | | ActiveUserSessionCapacity | 目前用於串流工作階段的工作階段位置數。 單位：Count 有效統計：平均、最小值、最大值 | | ActualUserSessionCapacity | 可用於串流或目前正在串流的集區工作階段總數。 
ActualUserSessionCapacity = AvailableUserSessionCapacity + ActiveUserSessionCapacity
單位：Count 有效統計：平均、最小值、最大值 | | AvailableUserSessionCapacity | 目前可用於使用者串流的閒置集區工作階段數目。 
AvailableUserSessionCapacity = ActualUserSessionCapacity - ActiveUserSessionCapacity
單位：Count 有效統計：平均、最小值、最大值 | | PendingUserSessionCapacity | 為您的集區佈建的工作階段數目。代表佈建完成後，集區可支援的額外串流工作階段數量。 單位：Count 有效統計：平均、最小值、最大值 | | UserSessionsCapacityUtilization | 使用下列公式，集區中正在使用的工作階段百分比。 
UserSessionCapacityUtilization = (ActiveUserSessionCapacity / ActualUserSessionCapacity) * 100
監控此指標有助於決定增加或減少集區所需容量的值。 單位：百分比 有效統計：平均、最小值、最大值 | | DesiredUserSessionCapacity | 正在執行或待定的工作階段總數。這表示集區在穩定狀態下可支援的並行串流工作階段總數。 
DesiredUserSessionCapacity = ActualUserSessionCapacity + PendingUserSessionCapacity
單位：Count 有效統計：平均、最小值、最大值 | | InsufficientCapacityError | 由於容量不足而導致工作階段請求被拒的數量。 您可以設定警示，以使用此指標通知您有等待串流工作階段的使用者。 單位：Count 有效統計資訊：平均數、下限、上限、總和 | # 啟用和管理 WorkSpaces 集區的持久性儲存 WorkSpaces 集區支援持久性儲存的主資料夾。身為 WorkSpaces 集區管理員，您必須了解如何執行下列任務，以啟用和管理使用者的持久性儲存。 **Topics** + [為您的 WorkSpaces 集區使用者啟用和管理主資料夾](#home-folders) ## 為您的 WorkSpaces 集區使用者啟用和管理主資料夾 當您為 WorkSpaces 集區啟用主資料夾時，使用者可以在串流工作階段期間存取持久性儲存資料夾。您的使用者無須進行其他設定，便可以存取他們的主資料夾。使用者存放在主資料夾中的資料會自動備份到您 Amazon Web Services 帳戶中的 Amazon Simple Storage Service 儲存貯體，並開放給後續工作階段中的使用者使用。 傳輸中的檔案和資料夾會使用 Amazon S3 的 SSL 端點進行加密。靜態檔案和資料夾則會使用 Amazon S3 受管加密金鑰進行加密。 主資料夾存放在 WorkSpaces 集區中 WorkSpaces 的預設位置： + 對於單一工作階段、non-domain-joined Windows WorkSpaces： `C:\Users\PhotonUser\My Files\Home Folder` + 加入網域的 Windows WorkSpaces： `C:\Users\%username%\My Files\Home Folder` 做為管理員，若您設定您的應用程式儲存到主資料夾，請使用適用的路徑。在某些情況下，您的使用者可能會找不到他們的主資料夾，因為某些應用程式無法識別在檔案總管中將主資料夾顯示為最上層資料夾的重新導向。若發生這種情況，您的使用者可透過在檔案總管中瀏覽至相同的目錄，來存取他們的主資料夾。 **Topics** + [與運算密集型應用程式相關聯的檔案和目錄](#storage-solutions-files-directories-associated-with-compute-intensive-applications) + [為您的 WorkSpaces 集區使用者啟用主資料夾](#enable-home-folders) + [管理您的主資料夾](#home-folders-admin) ### 與運算密集型應用程式相關聯的檔案和目錄 在 WorkSpaces 集區串流工作階段期間，將與運算密集型應用程式相關聯的大型檔案和目錄儲存至持久性儲存可能需要比儲存基本生產力應用程式所需的檔案和目錄更長的時間。例如，應用程式儲存大量資料或經常修改相同檔案所需的時間，可能會比儲存執行單一寫入動作的應用程式所建立的檔案更久。儲存許多小檔案也可能需要較長的時間。 如果您的使用者儲存與運算密集型應用程式相關聯的檔案和目錄，且 WorkSpaces 集區持久性儲存選項未如預期執行，建議您使用伺服器訊息區塊 (SMB) 解決方案，例如 Amazon FSx for Windows File Server 或 AWS Storage Gateway 檔案閘道。以下是與運算密集型應用程式相關聯的檔案和目錄範例，這些應用程式較適合搭配這些 SMB 解決方案使用： + 整合式開發環境 (IDE) 的工作區資料夾 + 本機資料庫檔案 + 圖形模擬應用程式建立的草稿空間資料夾 如需詳細資訊，請參閱*AWS Storage Gateway 《 使用者指南*[》中的檔案閘道](https://docs.aws.amazon.com/storagegateway/latest/userguide/StorageGatewayConcepts.html#file-gateway-concepts)。 ### 為您的 WorkSpaces 集區使用者啟用主資料夾 在啟用主資料夾前，您必須先執行以下作業： + 檢查您是否具有 Amazon S3 動作的正確 AWS Identity and Access Management (IAM) 許可。 + 使用從 2017 年 5 月 18 日當天或之後發行 AWS 的基礎映像建立的映像。 + 設定網際網路存取或 Amazon S3 的 VPC 端點，以啟用從您的虛擬私有雲端 (VPC) 到 Amazon S3 的網路連線。如需詳細資訊，請參閱[WorkSpaces 集區的聯網和存取](managing-network.md)及[將 Amazon S3 VPC 端點用於 WorkSpaces 集區功能](managing-network-vpce-iam-policy.md)。 您可以在建立目錄時啟用或停用主資料夾 （請參閱[設定 SAML 2.0 並建立 WorkSpaces 集區目錄](create-directory-pools.md))，或在建立目錄之後，使用 AWS 管理主控台 適用於 WorkSpaces 集區的 。Amazon S3 儲存貯體會針對每個 AWS 區域備份主資料夾。 第一次為 AWS 區域中的 WorkSpaces 集區目錄啟用主資料夾時，服務會在相同區域中的帳戶中建立 Amazon S3 儲存貯體。相同的儲存貯體用於存放該區域中所有使用者和所有目錄的主資料夾內容。如需詳細資訊，請參閱[Amazon S3 儲存貯體儲存](#home-folders-s3)。 **在建立目錄時啟用主資料夾** + 遵循[設定 SAML 2.0 並建立 WorkSpaces 集區目錄](create-directory-pools.md)中的步驟，並確定選取 **Enable Home Folders (啟用主資料夾)**。 **為現有目錄啟用主資料夾** 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在左側導覽窗格中，選擇**目錄**，然後選取要啟用主資料夾的目錄。 1. 在目錄清單下，選擇**儲存**，然後選取**啟用主資料夾**。 1. 在 **Enable Home Folders (啟用主資料夾)** 對話方塊中，選擇 **Enable (啟用)**。 ### 管理您的主資料夾 **Topics** + [停用主資料夾](#home-folders-admin-disabling) + [Amazon S3 儲存貯體儲存](#home-folders-s3) + [主資料夾內容同步](#home-folders-content-synchronization) + [主資料夾格式](#home-folders-admin-folders) + [其他資源](#home-folders-admin-additional) #### 停用主資料夾 您可以停用目錄的主資料夾，而不會遺失存放在主資料夾中的使用者內容。停用目錄的主資料夾具有下列效果： + 連線至目錄的作用中串流工作階段的使用者會收到錯誤訊息。他們會接到通知，告知他們無法再將內容存放在主資料夾內。 + 主資料夾不會出現在任何使用目錄且主資料夾已停用的新工作階段中。 + 停用某個目錄的主資料夾並不會停用其他目錄的主資料夾。 + 即使已停用所有目錄的主資料夾，WorkSpaces 集區也不會刪除使用者內容。 若要還原目錄主資料夾的存取權，請依照本主題先前所述的步驟再次啟用主資料夾。 **在建立目錄時停用主資料夾** + 遵循[設定 SAML 2.0 並建立 WorkSpaces 集區目錄](create-directory-pools.md)中的步驟，並確定清除 **Enable Home Folders (啟用主資料夾)** 選項。 **停用現有目錄的主資料夾** 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在左側導覽窗格中，選擇**目錄**，然後選取要啟用主資料夾的目錄。 1. 在目錄清單下，選擇**儲存**並清除**啟用主資料夾**。 1. 在 **Disable Home Folders (停用主資料夾)** 對話方塊中，輸入 `CONFIRM` (區分大小寫) 來確認您的選擇，再選擇 **Disable (停用)**。 #### Amazon S3 儲存貯體儲存 WorkSpaces 集區會使用您帳戶中建立的 Amazon S3 儲存貯體來管理存放在主資料夾中的使用者內容。對於每個 AWS 區域，WorkSpaces 集區會在您的帳戶中建立儲存貯體。從該區域中目錄的串流工作階段產生的所有使用者內容都會存放在該儲存貯體中。儲存貯體完全由服務管理，而無須管理員輸入或進行任何設定。儲存貯體使用特定格式命名，如下所示： ``` wspool-home-folder--- ``` 其中 `` 是建立目錄的區域 AWS 代碼，而 ``是您的 Amazon Web Services 帳戶 ID，而 *>random-identifier<* 是 WorkSpaces 服務產生的隨機識別符號碼。儲存貯體名稱的第一部分 `wspool-home-folder-`，不會因為跨帳戶或區域而變更。 例如，如果您在美國西部 （奧勒岡） 區域 (us-west-2) 的 帳戶號碼 123456789012 中為目錄啟用主資料夾，此服務會在該區域中建立顯示名稱的 Amazon S3 儲存貯體。只有具備足夠許可的管理員可以刪除這個儲存貯體。 ``` wspool-home-folder-us-west-2-123456789012 ``` 如前所述，停用目錄的主資料夾不會刪除存放在 Amazon S3 儲存貯體中的任何使用者內容。若要永久刪除使用者內容，則必須由具有適當存取權的管理員從 Amazon S3 主控台執行此操作。WorkSpaces 集區會新增儲存貯體政策，以防止意外刪除儲存貯體。 #### 主資料夾內容同步 啟用主資料夾時，WorkSpaces 集區會為每個使用者建立唯一的資料夾，以存放其內容。該資料夾會建立為唯一的 Amazon S3 字首，它會使用 Amazon Web Services 帳戶和區域的 S3 儲存貯體內使用者名稱的雜湊。WorkSpaces 集區在 Amazon S3 中建立主資料夾後，會將該資料夾中存取的內容從 S3 儲存貯體複製到 WorkSpace。這可讓使用者在串流工作階段期間，從 WorkSpace 集區中的 WorkSpace 快速存取其主資料夾內容。您對 S3 儲存貯體中使用者主資料夾內容所做的變更，以及使用者對 WorkSpace WorkSpace區中 WorkSpace 主資料夾內容所做的變更，會在 Amazon S3 和 WorkSpaces 集區之間同步，如下所示。 1. 在使用者的 WorkSpaces 集區串流工作階段開始時，WorkSpaces 集區會為存放在 Amazon Web Services 帳戶和區域的 Amazon S3 儲存貯體中的該使用者主資料夾檔案編製目錄。 1. 使用者的主資料夾內容也會存放在 WorkSpace WorkSpaces 上，從中串流。當使用者存取 WorkSpace 上的主資料夾時，會顯示目錄檔案的清單。 1. WorkSpaces 集區只會在使用者在串流工作階段期間使用串流應用程式開啟檔案之後，才會將檔案從 S3 儲存貯體下載到 WorkSpace。 1. WorkSpaces 集區將檔案下載到 WorkSpace 之後，同步會在存取檔案之後進行 1. 如果使用者在串流工作階段期間變更檔案，WorkSpaces 集區會定期或在串流工作階段結束時，將新版本的檔案從 WorkSpace 上傳至 S3 儲存貯體。不過，在串流工作階段期間，不會再次從 S3 儲存貯體下載該檔案。 以下各節說明您在 Amazon S3 中新增、取代或移除使用者主資料夾檔案時的同步行為。 **Topics** + [同步處理您新增至 Amazon S3 中使用者主資料夾的檔案](#home-folders-content-synchronization-content-added-to-user-home-folder-in-S3) + [同步處理您在 Amazon S3 中使用者主資料夾內取代的檔案](#home-folders-content-synchronization-content-replaced-in-user-home-folder-S3) + [同步處理您從 Amazon S3 中使用者主資料夾內移除的檔案](#home-folders-content-synchronization-content-removed-from-user-home-folder-S3) ##### 同步處理您新增至 Amazon S3 中使用者主資料夾的檔案 如果您將新檔案新增至 S3 儲存貯體中的使用者主資料夾，WorkSpaces 集區會將檔案編目，並在幾分鐘內顯示在使用者主資料夾中的檔案清單中。不過，除非使用者在串流工作階段期間使用 應用程式開啟檔案，否則檔案不會從 S3 儲存貯體下載到 WorkSpace。 ##### 同步處理您在 Amazon S3 中使用者主資料夾內取代的檔案 如果使用者在串流工作階段期間，在 WorkSpace 集區 WorkSpace 的主資料夾中開啟檔案，而且您在 S3 儲存貯體的主資料夾中使用新版本取代相同的檔案，則不會立即將新版本的檔案下載到 WorkSpace。只有在使用者啟動新的串流工作階段並再次開啟檔案後，才會將新版本從 S3 儲存貯體下載至 WorkSpace。 ##### 同步處理您從 Amazon S3 中使用者主資料夾內移除的檔案 如果使用者在其串流工作階段期間在 WorkSpace 集區中的 WorkSpace 主資料夾中開啟檔案，而且您在該使用者的作用中串流工作階段期間從 S3 儲存貯體的主資料夾中移除檔案，則在使用者執行下列任一動作之後，該檔案會從 WorkSpace 中移除： + 再次開啟主資料夾 + 重新整理主資料夾 #### 主資料夾格式 使用者資料夾的階層取決於使用者如何啟動串流工作階段，如下節所述。 ##### SAML 2.0 針對使用 SAML 聯合建立的工作階段，使用者資料夾的結構如下所示： ``` bucket-name/user/federated/user-id-SHA-256-hash/ ``` 在此案例中，`user-id-SHA-256-hash` 是使用從傳入 SAML 聯合請求的 `NameID` SAML 屬性值所產生小寫 SHA-256 雜湊十六進位字串建立的資料夾名稱。若要區別擁有相同名稱但屬於兩個不同網域的使用者，請附帶 `NameID`，以 `domainname\username` 的格式傳送 SAML 請求。如需詳細資訊，請參閱[設定 SAML 2.0 並建立 WorkSpaces 集區目錄](create-directory-pools.md)。 以下範例資料夾結構適用於使用 SAML 聯合進行的工作階段存取，其使用的 `NameID` 為 SAMPLEDOMAIN\$1testuser，帳戶 ID 123456789012，位於美國西部 (奧勒岡) 區域： ``` wspool-home-folder-us-west-2-123456789012/user/federated/8dd9a642f511609454d344d53cb861a71190e44fed2B8aF9fde0C507012a9901 ``` 當部分或全部 NameID 字串大寫時 （如範例中的網域名稱 *SAMPLEDOMAIN*)，WorkSpaces 集區會根據字串中使用的大寫產生雜湊值。使用此範例，SAMPLEDOMAIN\$1testuser 的雜湊值為 8DD9A642F511609454D344D53CB861A71190E44FED2B8AF9FDE0C507012A9901。在該使用者的資料夾中，此值會以小寫顯示如下：8dd9a642f511609454d344d53cb861a71190e44fed2B8aF9fde0C507012a9901。 您可以使用網站或線上可取得的開放原始碼編碼程式庫，產生 `NameID` 的 SHA-256 雜湊值，來識別使用者的資料夾。 #### 其他資源 如需管理 Amazon S3 儲存貯體和最佳實務的詳細資訊，請參閱《Amazon Simple Storage Service 使用者指南》**中的下列主題： + 您可以使用 Amazon S3 政策，為您的使用者提供使用者資料的離線存取。如需詳細資訊，請參閱《IAM 使用者指南》**中的[Amazon S3：允許 IAM 使用者以程式設計方式和在主控台存取其 S3 主目錄](https://docs.aws.amazon.com/IAM/latest/UserGuide/reference_policies_examples_s3_home-directory-console.html)。 + 您可以為存放在 WorkSpaces 集區所用 Amazon S3 儲存貯體中的內容啟用檔案版本控制。如需詳細資訊，請參閱[使用版本控制](https://docs.aws.amazon.com/AmazonS3/latest/userguide/Versioning.html)。 # 為您的 WorkSpaces 集區使用者啟用應用程式設定持續性 WorkSpaces 集區支援 Windows 型目錄的持久性應用程式設定。這表示每個串流工作階段後都會自動儲存您的使用者應用程式自訂項目和 Windows 設定，並將它們套用至下一個工作階段。使用者可以設定的持久性應用程式設定範例包括 (但不限於)：瀏覽器最愛、設定、網頁工作階段、應用程式連線描述檔、外掛程式及 UI 自訂項目。這些設定會儲存至您帳戶中啟用應用程式設定持續性的 AWS 區域中的 Amazon Simple Storage Service (Amazon S3) 儲存貯體。它們可在每個 WorkSpaces 集區串流工作階段中使用。 **注意** S3 儲存貯體中存放的資料可能需支付標準 Amazon S3 費用。如需詳細資訊，請參閱 [Amazon S3 定價](https://aws.amazon.com/s3/pricing/)。 **Topics** + [應用程式設定持久性的運作方式](how-it-works-app-settings-persistence.md) + [啟用應用程式設定持續性](enabling-app-settings-persistence.md) + [管理使用者應用程式設定的 VHDs](administer-app-settings-vhds.md) # 應用程式設定持久性的運作方式 持續性應用程式設定儲存在虛擬硬碟 (VHD) 檔案。當使用者第一次從啟用應用程式設定持續性的目錄中串流應用程式時，就會建立此檔案。如果與目錄相關聯的 WorkSpace 集區是以包含預設應用程式和 Windows 設定的映像為基礎，則預設設定會用於使用者的第一個串流工作階段。 當串流工作階段結束時，會卸載 VHD 並將它上傳到您帳戶的 Amazon S3 儲存貯體。當您第一次為 AWS 區域中的目錄啟用持久性應用程式設定時，就會建立儲存貯體。儲存貯體對 AWS 您的帳戶和區域是唯一的。此 VHD 在傳輸中會使用 Amazon S3 SSL 端點加密，靜態時則使用 [AWS 受管 CMK](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#aws-managed-cmk) 加密。 VHD 同時掛載到 `C:\Users\%username%`和 中的 WorkSpace`D:\%username%`。如果您的 WorkSpace 未加入 Active Directory 網域，Windows 使用者名稱為 PhotonUser。如果您的 WorkSpace 已加入 Active Directory 網域，Windows 使用者名稱即為登入使用者的使用者名稱。 應用程式設定持久性無法在不同的作業系統版本之間運作。例如，如果您為使用 Windows Server 2019 映像的 WorkSpace 集區啟用應用程式設定持久性，如果您更新 WorkSpace 集區以使用執行不同作業系統 （例如 Windows Server 2022) 的映像，則目錄使用者不會儲存先前串流工作階段的設定。相反地，在您更新 WorkSpace 集區以使用新映像後，當使用者從 WorkSpace 啟動串流工作階段時，會建立新的 Windows 使用者設定檔。不過，如果您將更新套用到映像上相同的作業系統時，即會儲存來自先前串流工作階段的自訂和設定。當對相同作業系統的更新套用至映像時，當使用者從 WorkSpace 啟動串流工作階段時，會使用相同的 Windows 使用者設定檔。 **重要** WorkSpaces 集區只有在 WorkSpace 加入 Microsoft Active Directory 網域時，才支援依賴 Microsoft [資料保護 API](https://docs.microsoft.com/en-us/windows/desktop/seccng/cng-dpapi) 的應用程式。如果 WorkSpace 未加入 Active Directory 網域，則每個 WorkSpace 上的 Windows 使用者 PhotonUser 會有所不同。由於 DPAPI 安全模組運作的方式，不會為在此案例中使用 DPAPI 的應用程式保留使用者的密碼。在 WorkSpaces 加入 Active Directory 網域且使用者是網域使用者的情況下，Windows 使用者名稱是登入使用者的使用者名稱，且使用者的密碼會保留給使用 DPAPI 的應用程式。 WorkSpaces 集區會自動儲存此路徑中的所有檔案和資料夾，但下列資料夾除外： + 聯絡人 + 桌面 + 文件 + 下載 + 連結 + 圖片 + 儲存的遊戲 + 搜尋 + 影片 在這些資料夾外部建立的檔案和資料夾會儲存在 VHD 內並同步到 Amazon S3。集區的預設 VHD 大小上限為 5 GB。儲存的 VHD 大小是其本身包含的檔案和資料夾的總大小。WorkSpaces 集區會自動儲存使用者的`HKEY_CURRENT_USER`登錄 Hive。對於新使用者 （設定檔不存在於 Amazon S3 的使用者），WorkSpaces 集區會使用預設設定檔建立初始設定檔。此設定檔會在映像建置器的下列位置建立：`C:\users\default`。 **注意** 必須先將整個 VHD 下載至 WorkSpace，才能開始串流工作階段。因此，包含大量資料的 VHD 會造成串流工作階段開始延遲。如需詳細資訊，請參閱[啟用應用程式設定持久性的最佳實務](enabling-app-settings-persistence.md#best-practices-app-settings-persistence)。 當您啟用應用程式設定持續性時，您必須指定設定群組。設定群組會決定從此目錄用於串流工作階段的已儲存應用程式設定。WorkSpaces 集區會為您 AWS 帳戶中 S3 儲存貯體中個別存放的設定群組建立新的 VHD 檔案。如果設定群組在目錄之間共用，則每個目錄中都會使用相同的應用程式設定。如果目錄需要自己的應用程式設定，請指定目錄的唯一設定群組。 # 啟用應用程式設定持續性 **Topics** + [啟用應用程式設定持續性的先決條件](#prerequisites-app-settings-persistence) + [啟用應用程式設定持久性的最佳實務](#best-practices-app-settings-persistence) + [如何啟用應用程式設定持續性](#howto-enable-app-settings-persistence) ## 啟用應用程式設定持續性的先決條件 若要啟用應用程式設定持續性，您必須先執行以下操作： + 使用從 AWS 於 2017 年 12 月 7 日或之後發佈的基礎映像建立的映像。 + 設定網際網路存取或 Amazon S3 的 VPC 端點，以啟用從您的虛擬私有雲端 (VPC) 到 Amazon S3 的網路連線。如需詳細資訊，請參閱 [WorkSpaces 集區的聯網和存取](managing-network.md) 中的*主資料夾和 VPC 端點*。 ## 啟用應用程式設定持久性的最佳實務 若要啟用應用程式設定持續性，而不提供 WorkSpaces 的網際網路存取，請使用 VPC 端點。此端點必須位於 WorkSpaces 集區中 WorkSpaces 所連接的 VPC 中。您必須連接自訂政策，才能啟用 WorkSpaces 集區對端點的存取。如需如何建立自訂政策的詳細資訊，請參閱 [WorkSpaces 集區的聯網和存取](managing-network.md) 中的*主資料夾和 VPC 端點*一節。如需有關私有 Amazon S3 端點的詳細資訊，請參閱《Amazon VPC 使用者指南》**中的 [VPC 端點](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints.html)和 [Amazon S3 的端點](https://docs.aws.amazon.com/vpc/latest/userguide/vpc-endpoints-s3.html)。 ## 如何啟用應用程式設定持續性 您可以在建立目錄時或使用 WorkSpaces 主控台建立目錄之後，啟用或停用應用程式設定持續性。針對每個 AWS 區域，持續性應用程式設定會存放在您帳戶的 S3 儲存貯體中。 第一次為 AWS 區域中的目錄啟用應用程式設定持續性時，WorkSpaces 集區會在相同區域中 AWS 的帳戶中建立 S3 儲存貯體。相同的儲存貯體會存放該 AWS 區域中所有使用者和所有目錄的應用程式設定 VHD 檔案。如需詳細資訊，請參閱 [管理使用者應用程式設定的 VHDs](administer-app-settings-vhds.md) 中的 *Amazon S3 儲存貯體儲存*。 **在建立目錄時啟用應用程式設定持續性** + 依照[設定 SAML 2.0 並建立 WorkSpaces 集區目錄](create-directory-pools.md)中的步驟執行作業，並確定選取 **Enable Application Settings Persistence (啟用應用程式設定持續性)**。 **啟用現有目錄的應用程式設定持續性** 1. 在 https：//[https://console.aws.amazon.com/workspaces/v2/home](https://console.aws.amazon.com/workspaces/v2/home) 開啟 WorkSpaces 主控台。 1. 在左側導覽窗格中，選擇**集區**，然後選取要啟用應用程式持續性的集區。 1. 在頁面**的設定**區段中選擇**編輯**。 1. 在頁面**的應用程式持續性**區段中，選取**啟用應用程式設定持續性**。 1. 選擇**儲存變更**。 新的串流工作階段現已啟用應用程式設定持續性。 # 管理使用者應用程式設定的 VHDs **Topics** + [Amazon S3 儲存貯體儲存](#app-persistence-s3-buckets) + [重設使用者的應用程式設定](#app-persistence-s3-reset) + [啟用 Amazon S3 物件版本控制並還原使用者的應用程式設定](#app-persistence-enable-versions-revert-settings) + [增加應用程式設定 VHD 的大小](#app-persistence-increase-VHD-size) ## Amazon S3 儲存貯體儲存 當您啟用應用程式設定持久性時，使用者的應用程式自訂和 Windows 設定會自動儲存至虛擬硬碟 (VHD) 檔案，該檔案存放在您 AWS 帳戶中建立的 Amazon S3 儲存貯體中。對於每個 AWS 區域，WorkSpaces 集區會在您的帳戶中建立專屬於您帳戶和區域的儲存貯體。您使用者設定的所有應用程式設定都會存放在該區域的儲存貯體中。 您不需要執行任何組態任務來管理這些 S3 儲存貯體；它們完全由 WorkSpaces 集區服務管理。儲存在每個儲存貯體中的 VHD 檔案在傳輸中會使用 Amazon S3 的 SSL 端點加密，靜態時則使用 [AWS 受管 CMK](https://docs.aws.amazon.com/kms/latest/developerguide/concepts.html#aws-managed-cmk) 加密。儲存貯體使用特定格式命名，如下所示： ``` wspool-app-settings--- ``` ***region-code*** 這是使用應用程式設定持久性建立目錄 AWS 的區域代碼。 ***account-id-without-hyphens*** AWS 您的帳戶 ID。確保與該區域中其他儲存貯體不發生衝突的隨機識別符。儲存貯體名稱的第一部分 `wspool-app-settings`，不會因為跨帳戶或區域而變更。 例如，如果您在美國西部 （奧勒岡） 區域 (us-west-2) 的 帳戶號碼 123456789012 上啟用目錄的應用程式設定持續性，WorkSpaces 集區會在您的帳戶內建立顯示名稱的 Amazon S3 儲存貯體。只有具備足夠許可的管理員可以刪除這個儲存貯體。 ``` wspool-app-settings-us-west-2-1234567890123-abcdefg ``` 停用應用程式設定持續性不會刪除任何存放在 S3 儲存貯體的 VHD。您或具有足夠許可的其他管理員必須使用 Amazon S3 主控台或 API，才能永久刪除設定 VHD。WorkSpaces 集區會新增儲存貯體政策，以防止意外刪除儲存貯體。 啟用應用程式設定持續性時，每個設定群組都會建立唯一的資料夾來存放設定 VHD。S3 儲存貯體的資料夾階層取決於使用者啟動串流工作階段的方式，如下節所述。 在您的帳戶中，設定 VHD 存放在 S3 儲存貯體中的資料夾路徑使用以下結構： ``` bucket-name/Windows/prefix/settings-group/access-mode/user-id-SHA-256-hash ``` ***bucket-name*** 存放使用者應用程式設定的 S3 儲存貯體名稱。名稱格式如本節前文所述。 ***prefix*** Windows 版本特定字首。例如，v4 代表 Windows Server 2012 R2。 ***settings-group*** 設定群組值。此值會套用至一或多個共用相同應用程式設定的目錄。 ***access-mode*** 使用者的身分方法：`custom`適用於 WorkSpaces 集區 API 或 CLI、`federated`適用於 SAML，以及`userpool`適用於使用者集區使用者。 ***user-id-SHA-256-hash*** 使用者特定的資料夾名稱。此名稱是使用從使用者 ID 產生的小寫 SHA-256 雜湊十六進位字串。 下列範例資料夾結構適用於使用 API 或 CLI 存取的串流工作階段，其使用者 ID 為 `testuser@mydomain.com`、 AWS 帳戶 ID 為 `123456789012`，以及美國西部 （奧勒岡） 區域 (us-west-2) `test-stack`中的設定群組： ``` wspool-app-settings-us-west-2-1234567890123-abcdefg/Windows/v4/test-stack/custom/a0bcb1da11f480d9b5b3e90f91243143eac04cfccfbdc777e740fab628a1cd13 ``` 您可以使用網站或線上提供的開放原始碼編碼程式庫，產生使用者 ID 的小寫 SHA-256 雜湊值，來識別使用者的資料夾。 ## 重設使用者的應用程式設定 若要重設使用者的應用程式設定，您必須從 AWS 帳戶中的 S3 儲存貯體尋找並刪除 VHD 和相關聯的中繼資料檔案。請確定您未在使用者的作用中串流工作階段期間執行此操作。刪除使用者的 VHD 和中繼資料檔案後，下次使用者從已啟用應用程式設定持續性的串流執行個體啟動工作階段時，WorkSpaces 集區會為該使用者建立新的設定 VHD。 **重設使用者的應用程式設定** 1. 開啟位於 [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/) 的 Amazon S3 主控台。 1. 在 **Bucket name (儲存貯體名稱)** 清單中，選擇包含您要重設之應用程式設定 VHD 的 S3 儲存貯體。 1. 找出包含 VHD 的資料夾。如需如何導覽 S3 儲存貯體資料夾結構的詳細資訊，請參閱本主題前文中的「Amazon S3 儲存貯體儲存」**。 1. 在 **Name (名稱)** 清單中，選取 VHD 和 REG 旁的核取方塊，然後選擇 **More (更多)**，再選擇 **Delete (刪除)**。 1. 在 **Delete objects (刪除物件)** 對話方塊中，確認列出 VHD 和 REG，然後選擇 **Delete (刪除)**。 下次使用者從使用適用設定群組啟用應用程式設定持續性的集區串流時，就會建立新的應用程式設定 VHD。此 VHD 會在工作階段結束時儲存到 S3 儲存貯體。 ## 啟用 Amazon S3 物件版本控制並還原使用者的應用程式設定 在您的使用者變更應用程式設定時，您可以使用 Amazon S3 物件版本控制和生命週期政策來管理使用者的應用程式設定。使用 Amazon S3 物件版本控制，您可以保留、擷取和還原每個版本的設定 VHD。這可讓您從使用者動作失誤和應用程式故障中復原。啟用版本控制時，每個串流工作階段後，新版的應用程式設定 VHD 都會同步到 Amazon S3。新版不會覆寫舊版，所以您的使用者設定如果發生問題，您可以回復到之前的 VHD 版本。 **注意** 每個版本的應用程式設定 VHD 都會儲存到 Amazon S3 作為個別物件，並據此收費。 根據預設，您的 S3 儲存貯體中不啟用物件版本控制，所以您必須明確啟用它。 **針對您的應用程式設定 VHD 啟用物件版本控制** 1. 開啟位於 [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/) 的 Amazon S3 主控台。 1. 在 **Bucket name (儲存貯體名稱)** 清單中，選擇包含您要啟用物件版本控制之應用程式設定 VHD 的 S3 儲存貯體。 1. 選擇 **Properties (屬性)**。 1. 選擇 **Versioning (版本控制)**、**Enable versioning (啟用版本控制)**，然後選擇 **Save (儲存)**。 您可以使用 Amazon S3 生命週期政策，讓較舊版本的應用程式設定 VHD 過期。如需詳細資訊，請參閱《Amazon Simple Storage Service 使用者指南》**中的[如何建立 S3 儲存貯體的生命週期政策？](https://docs.aws.amazon.com/AmazonS3/latest/user-guide/create-lifecycle.html)。 **回復使用者的應用程式設定 VHD** 您可以在適用的 S3 儲存貯體中刪除新版的 VHD，回復到之前的使用者應用程式設定 VHD 版本。請不要在使用者有作用中的串流工作階段時執行此作業。 1. 開啟位於 [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/) 的 Amazon S3 主控台。 1. 在 **Bucket name (儲存貯體名稱)** 清單中，選擇包含要回復之使用者應用程式設定 VHD 的 S3 儲存貯體。 1. 找出並選取包含 VHD 的資料夾。如需如何導覽 S3 儲存貯體資料夾結構的資訊，請參閱本主題前文中的「Amazon S3 儲存貯體儲存」**。 當您選取此資料夾時，即會顯示設定 VHD 和關聯的中繼資料檔案。 1. 若要顯示 VHD 清單和中繼資料檔案版本，請選擇 **Show (顯示)**。 1. 找出要回復的 VHD 版本。 1. 在 **Name (名稱)** 清單中，選取較新版 VHD 和相關聯中繼資料檔案旁的核取方塊，選擇 **More (更多)**，然後選擇 **Delete (刪除)**。 1. 驗證您想要回復的應用程式設定 VHD 和相關聯的中繼資料檔案都是最新版。 下次使用者從啟用應用程式設定持續性的集區串流時，會顯示使用者設定的還原版本。 ## 增加應用程式設定 VHD 的大小 集區的預設 VHD 大小上限為 5 GB。如果使用者需要額外空間供應用程式設定使用，您可以將適用的應用程式設定 VHD 下載到 Windows 電腦擴展它。然後，以較大的 VHD 取代 S3 儲存貯體中目前的 VHD。請不要在使用者有作用中的串流工作階段時執行此作業。 **注意** 若要減少虛擬硬碟 (VHD) 的實體大小，請在結束工作階段之前清除資源回收筒。這也會減少上傳和下載時間，並改善整體使用者體驗。 **增加應用程式設定 VHD 的大小** **注意** 您必須先下載完整的 VHD，使用者才能串流應用程式。增加應用程式設定 VHD 的大小，會增加使用者開始應用程式串流工作階段所用的時間。 1. 開啟位於 [https://console.aws.amazon.com/s3/](https://console.aws.amazon.com/s3/) 的 Amazon S3 主控台。 1. 在 **Bucket name (儲存貯體名稱)** 清單中，選擇包含您要擴展之應用程式設定 VHD 的 S3 儲存貯體。 1. 找出並選取包含 VHD 的資料夾。如需有關如何導覽 S3 儲存貯體資料夾結構的資訊，請參閱本主題[Amazon S3 儲存貯體儲存](#app-persistence-s3-buckets)先前的 。 當您選取此資料夾時，即會顯示設定 VHD 和關聯的中繼資料檔案。 1. 將`Profile.vhdx`檔案下載到 Windows 電腦上的目錄。下載完成後請勿關閉瀏覽器，因為稍後要使用瀏覽器上傳擴展的 VHD。 1. 若要使用 Diskpart 將 VHD 的大小增加到 7 GB，請以管理員身分開啟命令提示，然後輸入下列命令。 ``` diskpart ``` ``` select vdisk file="C:\path\to\application\settings\profile.vhdx" ``` ``` expand vdisk maximum=7000 ``` 1. 然後，輸入下列 Diskpart 命令，找到並連接 VHD 清單，然後顯示磁碟區清單： ``` elect vdisk file="C:\path\to\application\settings\profile.vhdx" ``` ``` attach vdisk ``` ``` list volume ``` 在輸出中，記下標籤為 "AwsEucUsers" 的磁碟區編號。在接下來的步驟中，選取此磁碟區以便擴大它。 1. 輸入下列命令，其中 ``是清單磁碟區輸出中的數字。 ``` select volume ``` 1. 鍵入以下命令： ``` extend ``` 1. 輸入下列命令，確認 VHD 上的分割區大小如預期般增加 （在此範例中為 7 GB)： ``` diskpart ``` ``` select vdisk file="C:\path\to\application\settings\profile.vhdx" ``` ``` list volume ``` 1. 輸入以下命令分離 VHD 以便上傳它： ``` detach vdisk ``` 1. 回到使用 Amazon S3 主控台的瀏覽器，選擇**上傳**、**新增檔案**，然後選取擴大的 VHD。 1. 選擇**上傳**。 上傳 VHD 之後，下次使用者從已啟用應用程式設定持久性的集區串流時，即可使用較大的應用程式設定 VHD。 # WorkSpaces 集區疑難排解通知代碼 以下是網域聯結問題的通知代碼和解決步驟，當您設定和搭配 WorkSpaces 使用 Active Directory 時可能會遇到這些問題。 **DOMAIN\$1JOIN\$1ERROR\$1ACCESS\$1DENIED** **訊息**：存取遭拒。 **解決方案**： 目錄中指定的服務帳戶沒有建立電腦物件或重複使用現有物件的許可。驗證許可並啟動 WorkSpaces 集區。 **DOMAIN\$1JOIN\$1ERROR\$1LOGON\$1FAILURE** **訊息**：使用者名稱或密碼不正確。 **解決方案**： 目錄中指定的服務帳戶具有無效的使用者名稱或密碼。更新 目錄中所設定 AWS Secrets Manager 秘密中的登入資料，然後再次啟動 WorkSpaces 集區。 **DOMAIN\$1JOIN\$1NERR\$1PASSWORD\$1EXPIRED** **訊息**：此使用者的密碼已過期。 **解決方案**： AWS Secrets Manager 秘密中服務帳戶的密碼已過期。首先，停止 WorkSpaces 集區。接著，變更 WorkSpaces 目錄中指定的秘密密碼。然後，啟動 WorkSpaces 集區。 **DOMAIN\$1JOIN\$1ERROR\$1DS\$1MACHINE\$1ACCOUNT\$1QUOTA\$1EXCEEDED** **訊息**：您的電腦無法加入網域。您已超過在此網域中允許建立的電腦帳戶數目上限。請聯絡您的系統管理員重設此限制或提高上限。 **解決方案**：在目錄上指定的服務帳戶沒有建立電腦物件或重複使用現有物件的許可。驗證許可並啟動 WorkSpaces 集區。 **DOMAIN\$1JOIN\$1ERROR\$1INVALID\$1PARAMETER** **訊息**：參數不正確。如果 `LpName` 參數為 NULL 或 `NameType` 參數指定為 `NetSetupUnknown` 或未知的名稱類型，則會傳回此錯誤。 **解決方案**：當 OU 的辨別名稱不正確時，便可能發生此錯誤。驗證 OU，然後再試一次。如果您持續遇到此錯誤，請聯絡 AWS 支援。如需詳細資訊，請參閱 [AWS 支援 中心](https://console.aws.amazon.com/support/home#/)。 **DOMAIN\$1JOIN\$1ERROR\$1MORE\$1DATA** **訊息**：有更多可用的資料。 **解決方案**：當 OU 的辨別名稱不正確時，便可能發生此錯誤。驗證 OU，然後再試一次。如果您持續遇到此錯誤，請聯絡 AWS 支援。如需詳細資訊，請參閱 [AWS 支援 中心](https://console.aws.amazon.com/support/home#/)。 **DOMAIN\$1JOIN\$1ERROR\$1NO\$1SUCH\$1DOMAIN** **訊息**：指定的網域不存在或無法聯絡。 **解決方法**：串流執行個體無法聯絡您的 Active Directory 網域。若要確保網路連線能力，請確認您的 VPC、子網路和安全群組設定。 **DOMAIN\$1JOIN\$1NERR\$1WORKSTATION\$1NOT\$1STARTED** **訊息**：工作站服務尚未啟動。 **解決方法**：在啟動工作站服務時發生錯誤。請確保服務已在您的映像中啟用。如果您持續遇到此錯誤，請聯絡 AWS 支援。如需詳細資訊，請參閱 [AWS 支援 中心](https://console.aws.amazon.com/support/home#/)。 **DOMAIN\$1JOIN\$1ERROR\$1NOT\$1SUPPORTED** **訊息**：請求不受支援。若在 `lpServer` 參數中指定遠端電腦，但在遠端電腦上不支援此呼叫，便會傳回此錯誤。 **解決方案**：請聯絡 AWS 支援 尋求協助。如需詳細資訊，請參閱 [AWS 支援 中心](https://console.aws.amazon.com/support/home#/)。 **DOMAIN\$1JOIN\$1ERROR\$1FILE\$1NOT\$1FOUND** **訊息**：系統找不到指定的檔案。 **解決方法**：當提供的組織單位 (OU) 辨別名稱無效時，便會傳回此錯誤。辨別名稱必須以 **OU=** 開頭。請驗證 OU 辨別名稱並再試一次。 **DOMAIN\$1JOIN\$1INTERNAL\$1SERVICE\$1ERROR** **訊息**：帳戶已存在。 **解決方法**：此錯誤可能在下列情況下發生： + 如果問題與許可無關，請查看 Netdom 日誌是否有錯誤，並確定您提供了正確的 OU。 + 目錄中指定的服務帳戶沒有建立電腦物件或重複使用現有物件的許可。如果是這種情況，請驗證許可並啟動 WorkSpaces 集區。 + WorkSpaces 建立電腦物件後，會從建立該物件的 OU 移動。在此情況下，第一個 WorkSpaces 集區已成功建立，但任何使用電腦物件的新 WorkSpaces 集區都會失敗。當 Active Directory 在指定的 OU 中搜尋電腦物件，並偵測到具有相同名稱的物件存在於網域的其他位置時，網域加入則無法成功。 + WorkSpaces 目錄中指定的 OU 名稱包含目錄中逗號前後的空格。在此情況下，當 WorkSpaces 集區嘗試重新加入 Active Directory 網域時，WorkSpaces 無法正確循環電腦物件，且重新加入網域不會成功。若要解決 WorkSpaces 集區的問題，請執行下列動作： 1. 停止 WorkSpaces 集區。 1. 編輯 WorkSpaces 集區的 Active Directory 網域設定，以移除加入 WorkSpaces 集區的目錄和目錄 OU。 1. 更新 WorkSpaces 目錄以指定不包含空格的 OU。 1. 編輯 WorkSpaces 集區的 Active Directory 網域設定，以使用更新的 Directory OU 指定目錄。 若要解決 WorkSpaces 集區的問題，請執行下列動作： 1. 刪除 WorkSpaces 集區。 1. 更新 WorkSpaces 目錄以指定不包含空格的 OU。 1. 建立新的 WorkSpaces 集區，並使用更新的目錄 OU 指定目錄。 **WORKSPACES\$1POOL\$1SESSION\$1RESERVATION\$1ERROR** **訊息**：我們目前沒有足夠的容量，無法用於與 WorkSpaces 集區相關聯的子網路的可用區域 【us-west-1】 中請求的工作階段。我們的系統將會努力佈建額外的容量。同時，請使用下列其中一個AZs 【us-west-2、us-west-3】 變更或關聯不同的子網路。 **解決方案**：等待 EC2 有足夠的容量或更新 目錄中其他可用AZs中的子網路。 **INSUFFICIENT\$1CAPACITY\$1ERROR\$1WORKSPACES\$1POOL\$1AZ** **訊息**：我們目前沒有足夠的容量，無法用於可用區域 (AZs) 【】 中請求的工作階段。我們的系統將會努力佈建額外的容量。同時，請使用其他 AZs 變更或建立另一個子網路與 WorkSpaces 集區的關聯。 **解決方案**：等到 Amazon EC2 有足夠的容量，或更新 目錄中其他AZs中的子網路。 **INVALID\$1CUSTOMER\$1SUBNET\$1CIDR\$1BLOCK** **訊息**：您的子網路包含使用無法使用的 CIDR 範圍。請在目前 /18 範圍之外更新您的子網路。」 **解決方案**：等待 EC2 有足夠的容量或更新 目錄中其他可用AZs中的子網路。