Dépannage d’Active Directory

Les problèmes suivants peuvent survenir lors de la configuration et de l'utilisation d'Active Directory avec Amazon AppStream 2.0. Pour vous aider au dépannage des codes de notification, consultez Dépannage des codes de notification.

Mes instances Image Builder et instances de flotte sont bloquées à l'état PENDING.

Jusqu’à 25 minutes peuvent être nécessaires pour que les instances Image Builder et les instances de flotte passent à l’état « ready » et deviennent disponibles. Si plus de 25 minutes sont nécessaires pour que vos instances deviennent disponibles, vérifiez Active Directory. De nouveaux objets ordinateur ont peut-être été créés dans les unités d'organisation appropriées. Si de nouveaux objets ont été ajoutés, les instances de streaming seront bientôt disponibles. Si les objets ne s'y trouvent pas, vérifiez les détails de configuration du répertoire dans votre configuration de répertoire AppStream 2.0 : nom du répertoire (nom de domaine complet de l'annuaire), informations d'identification du compte de service et nom distinctif de l'unité d'organisation.

Les erreurs du générateur d'images et du parc sont affichées dans la console AppStream 2.0 sous l'onglet Notifications du parc ou du générateur d'images. Les erreurs de flotte sont également disponibles à l'aide de l'API AppStream 2.0 via l'DescribeFleetsopération ou la commande CLI describe-fleets.

Mes utilisateurs ne sont pas en mesure de se connecter à l'application SAML.

AppStream La version 2.0 s'appuie sur l'attribut SAML_Subject « NameID » de votre fournisseur d'identité pour remplir le champ du nom d'utilisateur afin de connecter votre utilisateur. Le nom d'utilisateur peut être au format « domain\username » ou « [e-mail] ». Si vous utilisez le format « domain\username », domain peut être le nom NetBIOS ou le nom de domaine complet qualifié. Si vous utilisez le format [e-mail] « », l' UserPrincipalName attribut peut être utilisé. Si vous avez vérifié que l’attribut SAML_Subject est correctement configuré et que le problème persiste, veuillez contacter AWS Support. Pour plus d’informations, consultez le Centre AWS Support.

Mes instances de flotte fonctionnent pour un utilisateur mais ne fluctuent pas correctement.

Les instances de flotte fluctuent lorsqu’un utilisateur termine une session, garantissant ainsi que chaque utilisateur dispose d’une nouvelle instance. Lorsque l’instance d’une flotte fluctuée est mise en ligne, elle se joint au domaine à l’aide du nom de l’ordinateur de l’instance précédente. Pour vous assurer que cette opération se déroule avec succès, le compte de service requiert les autorisations Modifier le mot de passe et Réinitialiser le mot de passe pour l'unité d'organisation (OU) à laquelle se joint l'objet ordinateur. Vérifiez les autorisations de compte de service et réessayez. Si le problème persiste, contactez AWS Support. Pour plus d’informations, consultez le Centre AWS Support.

Mes objets de stratégie de groupe d’utilisateur ne sont pas appliqués correctement.

Par défaut, les objets ordinateur appliquent des stratégies au niveau de l'ordinateur en fonction de l'UO dans laquelle réside l'objet ordinateur, tout en appliquant des stratégies au niveau de l'utilisateur en fonction de l'UO dans laquelle réside l'utilisateur. Si vos stratégies au niveau de l'utilisateur ne sont pas appliquées, vous pouvez procéder de l'une des manières suivantes :

• Déplacez les stratégies au niveau de l'utilisateur vers l'UO dans laquelle réside l'objet Active Directory de l'utilisateur

• Activez le traitement de rebouclage au niveau de l'ordinateur, qui applique les stratégies au niveau de l'utilisateur dans l'UO de l'objet ordinateur.

Pour plus d'informations, consultez Loopback processing of Group Policy de Microsoft Support.

Mes instances de streaming AppStream 2.0 ne rejoignent pas le domaine Active Directory.

Le domaine Active Directory à utiliser avec la AppStream version 2.0 doit être accessible via son nom de domaine complet (FQDN) via le VPC dans lequel vos instances de streaming sont lancées.

Pour vérifier que le domaine est accessible

1. Lancez une instance Amazon EC2 dans le même VPC, le même sous-réseau et les mêmes groupes de sécurité que ceux que vous utilisez avec la version 2.0. AppStream

2. Joignez manuellement l'instance EC2 à votre domaine Active Directory en utilisant le FQDN (par exemple,yourdomain.example.com) avec le compte de service que vous souhaitez utiliser avec AppStream la version 2.0. Utilisez la commande suivante dans une PowerShell console Windows :

   netdom join computer /domain:FQDN /OU:path /ud:user /pd:password

   Si la jonction manuelle échoue, passez à l’étape suivante.

3. Si vous ne pouvez pas joindre manuellement le domaine, ouvrez une invite de commande et vérifiez si vous pouvez résoudre le FQDN à l’aide de la commande nslookup. Par exemple :

   nslookup yourdomain.exampleco.com

   Si la résolution du nom se déroule avec succès, une adresse IP valide est renvoyée. Si vous n’êtes pas en mesure de résoudre le FQDN,, vous devrez peut-être mettre à jour les serveurs DNS VPC en utilisant un jeu d’options DHCP pour votre domaine. Revenez ensuite à cette étape. Pour en savoir plus, consultez Jeux d'options DHCP dans le Guide de l'utilisateur Amazon VPC.

4. Si le nom de domaine complet (FQDN) est résolu, utilisez la commande telnet pour valider la connectivité.

   telnet yourdomain.exampleco.com 389

   Une connexion réussie déclenche l'affichage d'une fenêtre d'invite de commande vide sans aucune erreur de connexion. Vous devrez peut-être installer la fonction du client Telnet sur votre instance EC2. Pour plus d'informations, consultez Install Telnet Client dans la documentation Microsoft.

Si vous n'avez pas réussi à joindre manuellement l'instance EC2 à votre domaine, mais avez réussi à résoudre le FQDN et à tester la connectivité avec le client Telnet, vos groupes de sécurité VPC empêchent probablement l'accès. Active Directory requiert certains paramètres de port réseau. Pour plus d'informations, consultez Active Directory and Active Directory Domain Services Port Requirements dans la documentation Microsoft.

La connexion utilisateur met longtemps à aboutir sur une session de streaming jointe à un domaine.

AppStream 2.0 exécute une action de connexion Windows une fois que les utilisateurs ont fourni leur mot de passe de domaine. Une fois l'authentification réussie, la AppStream version 2.0 lance l'application. Les délais de connexion et de lancement sont affectés par de nombreuses variables, telles que la contention du réseau pour les contrôleurs de domaine ou le temps nécessaire à l'application des paramètres de stratégie de groupe à l'instance de streaming. Si l'authentification du domaine prend trop de temps, essayez les actions suivantes.

• Minimisez la latence du réseau entre votre région AppStream 2.0 et vos contrôleurs de domaine en choisissant les bons contrôleurs de domaine. Par exemple, si votre flotte est dans la région us-east-1, utilisez des contrôleurs de domaine avec une bande passante élevée et une faible latence vers us-east-1 via les mappages de zones des sites et services Active Directory. Pour plus d'informations, consultez la section Active Directory Sites and Services dans la documentation Microsoft.

• Assurez-vous que l'application ou l'exécution de vos paramètres de stratégie de groupe et de vos scripts de votre connexion utilisateur n'est pas trop lente.

Si la connexion des utilisateurs de votre domaine à la AppStream version 2.0 échoue avec le message « Une erreur inconnue s'est produite », vous devrez peut-être mettre à jour les paramètres de stratégie de groupe décrits dansAvant de commencer à utiliser Active Directory avec la AppStream version 2.0. Dans le cas contraire, ces paramètres risquent d'empêcher la AppStream version 2.0 d'authentifier et de connecter les utilisateurs de votre domaine.

Mes utilisateurs ne peuvent pas accéder à une ressource de domaine dans une session de streaming jointe à un domaine, mais ils peuvent accéder à la ressource depuis une instance Image Builder jointe à un domaine.

Confirmez que votre flotte est créée dans les mêmes VPC, sous-réseaux et groupes de sécurité que votre instance Image Builder et que l'utilisateur dispose des autorisations appropriées pour accéder à la ressource de domaine et l'utiliser.

Mes utilisateurs reçoivent le message d’erreur « Authentification basée sur un certificat non disponible » et sont invités à saisir le mot de passe de leur domaine. Les utilisateurs reçoivent également le message d’erreur « Déconnecté de la session » lorsqu’ils démarrent une session activée avec une authentification par certificat.

Ces erreurs se produisent si l’authentification par certificat a échoué pendant la session. L’erreur « Authentification par certificat non disponible » s’affiche lorsque l’authentification par certificat est activée pour permettre le retour à la connexion par mot de passe. L’erreur « Déconnecté de la session » s’affiche lorsque l’authentification par certificat est activée sans solution de secours.

L’utilisateur peut actualiser la page sur le client Web ou se reconnecter depuis le client pour Windows, car il peut s’agir d’un problème intermittent lié à l’authentification par certificat. Si le problème persiste, l’échec de l’authentification par certificat peut être dû à l’un des problèmes suivants :

• AppStream 2.0 n'a pas pu communiquer avec l'autorité de certification AWS AWS privée ou l'autorité de certification privée n'a pas émis le certificat. Vérifiez CloudTrail si un certificat a été émis. Pour plus d'informations, voir Qu'est-ce que c'est AWS CloudTrail ? etGérer l’authentification par certificat.

• Le contrôleur de domaine ne possède aucun certificat de contrôleur de domaine pour l’ouverture de session par carte à puce, ou le certificat a expiré. Pour plus d’informations, consultez l’étape 7.a dans Prérequis.

• Le certificat n’est pas fiable. Pour plus d’informations, consultez l’étape 7.c dans Prérequis.

• Le userPrincipalName format du SAML_Subject NameID n'est pas correctement formaté ou ne correspond pas au domaine réel de l'utilisateur. Pour plus d’informations, consultez l’étape 1 dans Prérequis.

• L' ObjectSid attribut (facultatif) de votre assertion SAML ne correspond pas à l'identifiant de sécurité (SID) Active Directory de l'utilisateur spécifié dans le SAML_Subject NameID. Vérifiez que le mappage des attributs est correct dans votre fédération SAML et que votre fournisseur d’identité SAML synchronise l’attribut SID de l’utilisateur Active Directory.

• L'agent AppStream 2.0 ne prend pas en charge l'authentification basée sur des certificats. Utilisez la version de l'agent AppStream 2.0 10-13-2022 ou ultérieure.

• Certains paramètres de stratégie de groupe modifient les paramètres Active Directory par défaut pour l’ouverture de session par carte à puce, ou prennent des mesures si une carte à puce est retirée d’un lecteur de carte. Ces paramètres peuvent entraîner un comportement inattendu en plus des erreurs répertoriées ci-dessus. L’authentification par certificat présente une carte à puce virtuelle au système d’exploitation de l’instance, et la supprime une fois la connexion effectuée. Pour plus d’informations, consultez Primary Group Policy settings for smart cards et Additional smart card Group Policy settings and registry keys. N’activez pas la connexion par carte à puce d’Active Directory dans la pile si vous souhaitez utiliser l’authentification par certificat. Pour plus d’informations, consultez Cartes à puce.

• Le point de distribution CRL pour l'autorité de certification privée n'est pas en ligne ni accessible depuis l'instance de flotte AppStream 2.0 ou depuis le contrôleur de domaine. Pour plus d'informations, consultez l'étape 5 de la rubrique Prérequis.

Les étapes de résolution des problèmes supplémentaires impliquent l'examen des journaux d'événements Windows de l'instance AppStream 2.0. Un événement courant à examiner en cas d’échec de connexion est le suivant : 4625(F): An account failed to log on. Pour plus d’informations sur la capture des informations du journal, consultez Persisting application and Windows event logs. Pour résoudre les problèmes liés à une session AppStream 2.0 active en tant qu'administrateur, vous pouvez également vous connecter aux journaux à l'aide d'un observateur d'événements sur un autre ordinateur. Pour plus d’informations, consultez How to Select Computers in Event Viewer. Vous pouvez également vous connecter en utilisant Remote Desktop pour vous connecter à l'adresse IP privée de l'instance depuis un autre ordinateur qui peut se connecter aux services Remote Desktop dans votre cloud privé AppStream virtuel (VPC) 2.0. Utilisez la AWS CLI pour déterminer l'adresse IP de la session en fonction de la AWS région, du nom de la pile AppStream 2.0, du nom du parc, de l'ID utilisateur et du type d'authentification. Pour plus d’informations, consultez le AWS Command Line Interface.

Si le problème persiste, contactez AWS Support. Pour plus d’informations, consultez le Centre AWS Support.