Active Directory 域概述

在 AppStream 2.0 版本中使用 Active Directory 域需要了解它们是如何协同工作的，以及需要完成的配置任务。需要完成以下任务：

1. 按需配置组策略设置以定义应用程序的最终用户体验和安全要求。

2. 在 AppStream 2.0 中创建加入域的应用程序堆栈。

3. 在 SAML AppStream 2.0 身份提供商中创建 2.0 应用程序，然后直接或通过 Active Directory 组将其分配给最终用户。

要对您的用户进行域身份验证，当这些用户启动 AppStream 2.0 流媒体会话时，必须执行几个步骤。下图说明了从初始浏览器请求到 SAML 和 Active Directory 身份验证的 end-to-end 用户身份验证流程。

用户身份验证流程

1. 用户浏览到 https://applications.exampleco.com。登录页请求对用户进行身份验证。

2. 联合身份验证服务请求从组织的身份存储进行身份验证。

3. 该身份存储将对用户进行身份验证，并将身份验证响应返回到联合身份验证服务。

4. 在成功进行身份验证后，联合身份验证服务会将 SAML 断言发布到用户的浏览器。

5. 用户的浏览器将 SAML 断言发布到AWS登录 SAML 端点 (https://signin.aws.amazon.com/saml)。 AWSSign-In 接收 SAML 请求，处理请求，对用户进行身份验证，然后将身份验证令牌转发到 AppStream 2.0 服务。

6. AppStream 2.0 使用中的身份验证令牌对用户进行授权并将应用程序提供给浏览器。AWS

7. 用户选择一个应用程序，根据在 AppStream 2.0 堆栈上启用的 Windows 登录身份验证方法，系统会提示他们输入 Active Directory 域密码或选择智能卡。如果两种身份验证方法均已启用，则用户可以选择是输入域密码还是使用智能卡。基于证书的身份验证也可以使用基于证书的身份验证来对用户进行身份验证，从而消除提示。

8. 访问域控制器以进行用户身份验证。

9. 向域验证身份后，用户的会话从域连接开始。

从用户的角度来看，这个过程是透明的。用户首先导航到您组织的内部门户，然后被重定向到 AppStream 2.0 应用程序门户，无需输入AWS凭据。只需要 Active Directory 域密码或智能卡凭据。

您必须先使用必需的权限和组策略设置配置 Active Directory 并创建加入域的应用程序堆栈，然后用户才能启动此流程。