Solucionar problemas no Active Directory

A seguir estão os problemas que podem ocorrer quando você configura e usa o Active Directory com o Amazon AppStream 2.0. Para obter ajuda para solucionar problemas de códigos de notificação, consulte Códigos de notificação de solução de problemas.

Meus construtores de imagens e instâncias de frota estão paralisados no estado PENDING (PENDENTE).

Os construtores de imagens e as instâncias de frota podem levar até 25 minutos para entrar em estado de prontos e se tornarem disponíveis. Se suas instâncias demorarem mais que 25 minutos para se tornarem disponíveis, no Active Directory, verifique se os novos objetos de computador foram criados nas unidades organizacionais (UOs) corretas. Se houver novos objetos, as instâncias de streaming estarão disponíveis em breve. Se os objetos não estiverem lá, verifique os detalhes da configuração do diretório em sua Configuração de diretório AppStream 2.0: nome do diretório (o nome de domínio totalmente qualificado do diretório, as credenciais de login da conta de serviço e o nome distinto da OU).

Os erros do criador de imagens e da frota são exibidos no console AppStream 2.0 na guia Notificações da frota ou do construtor de imagens. Os erros de frota também estão disponíveis usando a API AppStream 2.0 por meio da DescribeFleetsoperação ou o comando CLI describe-fleets.

Meus usuários não conseguem fazer login com o aplicativo SAML.

AppStream 2.0 depende do atributo SAML_Subject “nameID” do seu provedor de identidade para preencher o campo de nome de usuário e fazer login com seu usuário. O nome do usuário pode ser formatado como "domain\username" ou "[e-mail]". Se estiver usando o formato "domain\username", o domain poderá ser o nome NetBIOS ou o nome do domínio totalmente qualificado. Se estiver usando o formato [e-mail] "", o UserPrincipalName atributo pode ser usado. Se você verificou que o atributo SAML_Subject está configurado corretamente, mas o problema persistir, entre em contato com o AWS Support. Para obter mais informações, consulte o AWS Support Center.

Minhas instâncias de frota funcionam para um usuário, mas não são alternadas corretamente.

As instâncias de frota são alternadas depois que um usuário conclui uma sessão, garantindo que cada usuário tenha uma nova instância. Quando a instância de frota alternada fica disponível online, ela ingressa no domínio usando o nome do computador da instância anterior. Para garantir que essa operação ocorra com êxito, a conta de serviço requer as permissões Change Password e Reset Password na unidade organizacional (OU) na qual o objeto do computador está ingressando. Verifique as permissões da conta de serviço e tente novamente. Se o problema persistir, entre em contato AWS Support. Para obter mais informações, consulte o AWS Support Center.

Meus objetos de política de grupo de usuário não estão sendo aplicados com êxito.

Por padrão, os objetos de computador aplicam políticas em nível de computador com base na UO na qual o objeto de computador reside e, ao mesmo tempo, aplicando políticas em nível de usuário com base na UO na qual o usuário reside. Se as políticas em nível de usuário não estiverem sendo aplicadas, você poderá proceder de uma das seguintes maneiras:

• Transfira as políticas em nível de usuário para a UO em que o objeto do Active Directory do usuário reside

• Habilite o processamento de loopback no nível do computador, o que aplica as políticas em nível de usuário na UO do objeto do computador.

Para obter mais informações, consulte Processamento de loopback da política de grupo no Suporte da Microsoft.

Minhas instâncias de streaming AppStream 2.0 não estão ingressando no domínio do Active Directory.

O domínio do Active Directory a ser usado com AppStream 2.0 deve estar acessível por meio de seu nome de domínio totalmente qualificado (FQDN) por meio da VPC na qual suas instâncias de streaming são iniciadas.

Para testar se o seu domínio pode ser acessado

1. Execute uma instância do Amazon EC2 na mesma VPC, sub-rede e grupos de segurança que você usa com 2.0. AppStream

2. Associe manualmente a instância do EC2 ao seu domínio do Active Directory usando o FQDN (por exemplo,yourdomain.example.com) com a conta de serviço que você pretende usar com 2.0. AppStream Use o seguinte comando em um PowerShell console do Windows:

   netdom join computer /domain:FQDN /OU:path /ud:user /pd:password

   Se esse ingresso manual falhar, vá para a próxima etapa.

3. Se você não puder ingressar manualmente em seu domínio, abra um prompt de comando e verifique se é possível resolver o FQDN usando o comando nslookup. Por exemplo: .

   nslookup yourdomain.exampleco.com

   A resolução de nome bem-sucedida retorna um endereço IP válido. Se não for possível resolver o FQDN, talvez seja necessário atualizar os servidores DNS da VPC usando uma opção DHCP definida para seu domínio. Em seguida, volte para esta etapa. Para obter mais informações, consulte Conjuntos de Opções de DHCP no Manual do Usuário da Amazon VPC.

4. Se o FQDN for resolvido, use o comando telnet para validar a conectividade.

   telnet yourdomain.exampleco.com 389

   Uma conexão bem-sucedida mostra uma janela de prompt de comando em branco sem erros de conexão. Você talvez precise instalar o recurso Cliente Telnet em sua instância do EC2. Para obter mais informações, consulte Instalar o Cliente Telnet na documentação da Microsoft.

Caso não tenha conseguido ingressar a instância do EC2 em seu domínio manualmente, mas tenha tido êxito para resolver o FQDN e os testes de conectividade com o Cliente Telnet, seus grupos de segurança da VPC talvez estejam impedindo o acesso. O Active Directory requer determinadas configurações de porta de rede. Para obter mais informações, consulte Requisitos da porta do Active Directory e do Active Directory Domain Services na documentação da Microsoft.

O login do usuário está demorando muito para ser concluído em uma sessão de streaming ingressada em um domínio.

AppStream 2.0 executa uma ação de login do Windows depois que os usuários fornecem a senha do domínio. Após a autenticação bem-sucedida, AppStream 2.0 inicia o aplicativo. Os horários de login e de início são afetados por muitas variáveis, como a contenção da rede para os controladores de domínio ou o tempo levado para aplicar as configurações da política de grupo à instância de streaming. Se a autenticação do domínio demorar muito para ser concluída, tente executar as ações a seguir.

• Minimize a latência da rede da sua região AppStream 2.0 para seus controladores de domínio escolhendo os controladores de domínio corretos. Por exemplo, se sua frota estiver em us-east-1, use os controladores de domínio com largura de banda alta e baixa latência para us-east-1 por meio de mapeamentos de zonas dos Sites e Serviços do Active Directory. Para obter mais informações, consulte Sites e Serviços do Active Directory na documentação da Microsoft.

• Verifique se as configurações da política de grupo e os scripts de login do usuário não demoram um tempo extremamente longo para serem aplicados ou executados.

Se o login dos usuários do seu domínio no AppStream 2.0 falhar com a mensagem “Ocorreu um erro desconhecido”, talvez seja necessário atualizar as configurações da Política de Grupo descritas emAntes de começar a usar o Active Directory com AppStream 2.0. Caso contrário, essas configurações podem impedir que o AppStream 2.0 autentique e faça login nos usuários do seu domínio.

Meus usuários não podem acessar um recurso do domínio em uma sessão de streaming ingressada no domínio, mas podem acessar o recurso em um construtor de imagens ingressado no domínio.

Confirme se a frota foi criada na mesma VPC, sub-redes e grupos de segurança nos quais seu construtor de imagens está, e se o usuário tem as permissões adequadas para acessar e usar o recurso do domínio.

Meus usuários recebem o erro “A autenticação baseada em certificado não está disponível” e são solicitados a inserir a senha do domínio. Ou os usuários recebem o erro “Desconectado da sessão” quando iniciam uma sessão habilitada com autenticação baseada em certificado.

Esses erros ocorrem quando a autenticação baseada em certificado não é bem-sucedida na sessão. O erro “A autenticação baseada em certificado não está disponível” é exibido quando a autenticação baseada em certificado está habilitada para permitir fallback para o login com senha. O erro “Desconectado da sessão” é exibido quando a autenticação baseada em certificado está habilitada sem fallback.

O usuário pode atualizar a página no cliente da web ou se reconectar pelo cliente do Windows, pois isso pode ser um problema intermitente com a autenticação baseada em certificado. Se o problema persistir, a falha na autenticação baseada em certificado poderá ser resultado de um dos seguintes problemas:

• AppStream 2.0 não pôde se comunicar com a CA AWS privada, ou a CA AWS privada não emitiu o certificado. Verifique CloudTrail se um certificado foi emitido. Para obter mais informações, consulte O que é AWS CloudTrail? Gerenciar a autenticação baseada em certificadoe.

• O controlador de domínio não tem nenhum certificado de controlador de domínio para login com cartão inteligente ou o certificado está expirado. Para obter mais informações, consulte a etapa 7.a em Pré-requisitos.

• O certificado não é confiável. Para obter mais informações, consulte a etapa 7.c em Pré-requisitos.

• O userPrincipalName formato do SAML_Subject NameID não está formatado corretamente ou não se resolve para o domínio real do usuário. Para obter mais informações, consulte a etapa 1 em Pré-requisitos.

• O ObjectSid atributo (opcional) em sua declaração SAML não corresponde ao identificador de segurança (SID) do Active Directory para o usuário especificado no SAML_Subject NameID. Confirme se o mapeamento de atributos está correto em sua federação SAML e se o provedor de identidades SAML está sincronizando o atributo SID para o usuário do Active Directory.

• O agente AppStream 2.0 não oferece suporte à autenticação baseada em certificado. Use a versão AppStream 2.0 do agente 10-13-2022 ou posterior.

• Há configurações da Política de Grupo que estão modificando as configurações padrão do Active Directory para login com cartão inteligente ou tomando medidas quando um cartão inteligente é removido de um leitor de cartões inteligentes. Essas configurações podem causar um comportamento inesperado adicional além dos erros listados acima. A autenticação baseada em certificado apresenta um cartão inteligente virtual ao sistema operacional da instância e o remove após a conclusão do login. Para obter mais informações, consulte Primary Group Policy settings for smart cards e Additional smart card Group Policy settings and registry keys. Não habilite a opção Login com cartão inteligente para o Active Directory em sua pilha se quiser usar a autenticação baseada em certificado. Para ter mais informações, consulte Cartões inteligentes.

• O ponto de distribuição da CRL para a CA privada não está on-line nem pode ser acessado pela instância AppStream 2.0 da frota nem pelo controlador de domínio. Para obter mais informações, consulte a etapa 5 em Pré-requisitos.

Etapas adicionais de solução de problemas envolvem a análise dos registros de eventos do Windows da instância AppStream 2.0. Um evento comum a ser analisado em caso de falha de login é 4625(F): An account failed to log on. Para obter mais informações sobre a captura de informações de log, consulte Persisting application and Windows event logs. Como alternativa, para solucionar problemas de uma sessão AppStream 2.0 ativa como administrador, você pode se conectar aos registros usando um Visualizador de eventos em outro computador. Para obter mais informações, consulte How to Select Computers in Event Viewer. Ou você pode se conectar usando a Área de Trabalho Remota para se conectar ao endereço IP privado da instância de outro computador que possa se conectar aos Serviços de Área de Trabalho Remota na sua nuvem privada AppStream virtual (VPC) 2.0. Use a AWS CLI para determinar o endereço IP da sessão com base na AWS região, nome da pilha AppStream 2.0, nome da frota, ID do usuário e tipo de autenticação. Para obter mais informações, consulte a AWS Command Line Interface.

Se o problema persistir, entre em contato AWS Support. Para obter mais informações, consulte o AWS Support Center.