Citrix DaaS™

ConexÃ£o com instÃ¢ncias gerenciadas do Amazon WorkSpaces Core

May 4, 2026

Contribuição de:

Criar e gerenciar conexÃµes e recursos descreve os assistentes que criam uma conexÃ£o. As informaÃ§Ãµes a seguir abordam detalhes especÃficos das instÃ¢ncias gerenciadas do Amazon WorkSpaces Core.

PrÃ©-requisitos
FaÃ§a o seguinte antes de criar uma conexÃ£o com instÃ¢ncias gerenciadas do Amazon WorkSpaces Core:
Conclua a configuraÃ§Ã£o do seu AWS como um local de recurso. Consulte Ambientes de virtualizaÃ§Ã£o do AWS.
Defina a polÃtica de permissÃµes do IAM do usuÃ¡rio ou funÃ§Ã£o do IAM para que o CitrixÂ® gerencie os recursos do AWS em seu nome.
Crie uma funÃ§Ã£o vinculada ao serviÃ§o.

Definir permissÃµes do IAM

Antes de criar uma conexÃ£o de host, uma polÃtica de permissÃµes do IAM precisa ser definida corretamente para um usuÃ¡rio ou funÃ§Ã£o do IAM que conceda ao Citrix as permissÃµes adequadas para provisionar e gerenciar recursos em sua conta AWS em seu nome. Use as informaÃ§Ãµes nesta seÃ§Ã£o para definir as permissÃµes do IAM para o Citrix DaaS em instÃ¢ncias gerenciadas do Amazon WorkSpaces Core. O serviÃ§o IAM da Amazon permite que as contas tenham vÃ¡rios usuÃ¡rios, que podem ser organizados em grupos. Esses usuÃ¡rios podem possuir diferentes permissÃµes para controlar sua capacidade de realizar operaÃ§Ãµes associadas Ã conta. Para obter mais informaÃ§Ãµes sobre as permissÃµes do IAM, consulte a referÃªncia da polÃtica JSON do IAM.

ObservaÃ§Ã£o:

Como o Citrix provisiona e gerencia recursos e automaÃ§Ã£o em sua conta AWS em seu nome, a configuraÃ§Ã£o de polÃticas de permissÃµes do IAM com base em tags especÃficas ou convenÃ§Ãµes de nomenclatura de recursos nÃ£o Ã© compatÃvel.

Para aplicar a polÃtica de permissÃµes do IAM a um novo grupo de usuÃ¡rios:

FaÃ§a login no console de gerenciamento da AWS e selecione o “serviÃ§o IAM” na lista suspensa.
Selecione “Criar um Novo Grupo de UsuÃ¡rios”.
Digite um nome para o novo grupo de usuÃ¡rios e selecione “Continuar”.
Na pÃ¡gina “PermissÃµes”, escolha “PolÃtica Personalizada”.
Digite um nome para a “PolÃtica de permissÃµes”.
Na seÃ§Ã£o “Documento de PolÃtica”, insira as permissÃµes relevantes.

ApÃ³s inserir as informaÃ§Ãµes da polÃtica, selecione “Continuar” para concluir a aplicaÃ§Ã£o da polÃtica de permissÃµes do IAM ao grupo de usuÃ¡rios. Os usuÃ¡rios do grupo recebem permissÃµes para realizar apenas as aÃ§Ãµes necessÃ¡rias para o Citrix DaaS.

Importante:

Use o texto da polÃtica fornecido no exemplo deste artigo para listar as aÃ§Ãµes que um Citrix DaaS usa para executar aÃ§Ãµes em uma conta AWS sem restringir essas aÃ§Ãµes a recursos especÃficos. O Citrix recomenda que vocÃª use o exemplo para fins de teste. Para ambientes de produÃ§Ã£o, vocÃª pode optar por adicionar mais restriÃ§Ãµes aos recursos.

Adicionar permissÃµes do IAM

Adicione as permissÃµes na seÃ§Ã£o “IAM” do Console de Gerenciamento da AWS:

No painel “Resumo”, selecione a guia “PermissÃµes”.

1. Selecione “Adicionar permissÃµes”.
1. Na tela “Adicionar PermissÃµes a”, conceda as permissÃµes.

Na seÃ§Ã£o JSON, inclua as PermissÃµes AWS necessÃ¡rias para seu ambiente.

Criar uma funÃ§Ã£o vinculada ao serviÃ§o

Para cada uma de suas contas AWS das quais o Citrix chamarÃ¡ as APIs Core V2, crie uma funÃ§Ã£o vinculada ao serviÃ§o (SLR).

As etapas para criar a funÃ§Ã£o:

Abra uma Interface de Linha de Comando (CLI) no console de gerenciamento da AWS.

Execute o seguinte comando na CLI:

 aws iam create-service-linked-role --aws-service-name workspaces-instances.amazonaws.com

 <!--NeedCopy-->

VocÃª tambÃ©m pode configurar a funÃ§Ã£o vinculada ao serviÃ§o usando o console de gerenciamento do Amazon WorkSpaces Core. Consulte Criar uma funÃ§Ã£o vinculada ao serviÃ§o (console).

Criar uma conexÃ£o

VocÃª pode criar uma conexÃ£o com instÃ¢ncias gerenciadas do Amazon WorkSpaces Core usando:

Studio
Comandos PowerShell
ObservaÃ§Ã£o:
- Verifique as restriÃ§Ãµes do seu servidor proxy ou firewall e certifique-se de que os seguintes endereÃ§os possam ser contatados: https://*.amazonaws.com e https://*.api.aws. AlÃ©m disso, certifique-se de que todos os endereÃ§os mencionados em Conectividade do serviÃ§o Citrix Gateway possam ser contatados.
- Se eles nÃ£o puderem ser contatados, isso poderÃ¡ causar falha ao criar ou atualizar a conexÃ£o do host.

Criar uma conexÃ£o usando o Studio

Navegue atÃ© a pÃ¡gina “Hospedagem > Adicionar ConexÃ£o e Recursos”.
Na pÃ¡gina “ConexÃ£o”, siga estas etapas para configurar a conexÃ£o:
1. Selecione “Criar uma nova conexÃ£o”.
2. Em “Zona”, selecione o local de recurso que vocÃª configurou para seu ambiente AWS.
3. Selecione “Amazon WorkSpaces Core” como o tipo de conexÃ£o.
4. Selecione “Usar chave de acesso de usuÃ¡rio IAM” ou “Usar funÃ§Ã£o IAM”.
  
  Para a chave de acesso de usuÃ¡rio IAM, forneÃ§a sua chave de API e chave secreta para o usuÃ¡rio IAM que possui a polÃtica de permissÃµes IAM adequada para o Citrix gerenciar recursos em sua conta AWS.
  
  Para a funÃ§Ã£o IAM, certifique-se de ter atribuÃdo uma funÃ§Ã£o IAM Ã instÃ¢ncia do Citrix Cloud Connector com a polÃtica de permissÃµes IAM adequada para o Citrix gerenciar recursos em sua conta AWS. Consulte o guia de autenticaÃ§Ã£o baseada em funÃ§Ã£o para obter mais informaÃ§Ãµes.
5. Para rotear solicitaÃ§Ãµes de API para a AWS por meio dos Citrix Cloud Connectors, selecione a caixa de seleÃ§Ã£o “Usar o proxy do sistema nos Citrix Cloud Connectors”. Isso garante que a conectividade da AWS funcione corretamente quando os Cloud Connectors nÃ£o tiverem acesso direto Ã Internet.
6. Insira um nome de conexÃ£o e clique em “AvanÃ§ar”.
Na pÃ¡gina “Local da MÃ¡quina Virtual”, especifique o local onde as VMs devem ser provisionadas. Selecione a regiÃ£o da nuvem, VPC e zona de disponibilidade (ou zona local) para criar novas VMs.
Na pÃ¡gina “Rede”:
1. Insira um nome para os recursos que vocÃª selecionou anteriormente na zona de disponibilidade (ou zona local).
2. Selecione uma ou mais sub-redes na VPC que vocÃª configurou no menu anterior.
Clique nas pÃ¡ginas restantes atÃ© a pÃ¡gina “Resumo”.
Clique em “Concluir” para criar a conexÃ£o do host com instÃ¢ncias gerenciadas do Amazon WorkSpaces Core.

ConsideraÃ§Ãµes importantes

Ao criar uma conexÃ£o usando o Studio:

Defina as permissÃµes IAM adequadas para que o Citrix gerencie seus recursos AWS.
Se vocÃª usar uma chave de acesso de usuÃ¡rio IAM para o Citrix gerenciar seus recursos AWS, deverÃ¡ fornecer os valores da chave de API e da chave secreta. VocÃª pode exportar o arquivo de chave contendo esses valores do AWS e, em seguida, importÃ¡-los. VocÃª tambÃ©m deve fornecer a regiÃ£o, zona de disponibilidade, nome da VPC, endereÃ§os de sub-rede, nome de domÃnio, nomes de grupo de seguranÃ§a e credenciais.
Se vocÃª usar uma funÃ§Ã£o IAM para o Citrix gerenciar seus recursos AWS, deverÃ¡ garantir que uma funÃ§Ã£o com as permissÃµes IAM adequadas seja atribuÃda a todos os seus Cloud Connector(s). Consulte o guia de autenticaÃ§Ã£o baseada em funÃ§Ã£o para obter mais informaÃ§Ãµes.
O arquivo de credenciais para a conta raiz do AWS (recuperado do console do AWS) nÃ£o Ã© formatado da mesma forma que os arquivos de credenciais baixados para usuÃ¡rios AWS padrÃ£o. Portanto, o Citrix DaaS nÃ£o pode usar o arquivo para preencher os campos de chave de API e chave secreta. Certifique-se de que vocÃª estÃ¡ usando arquivos de credenciais do AWS Identity Access Management (IAM).
A zona pode ser uma zona de disponibilidade ou zona local.

Criar uma conexÃ£o usando o PowerShell

Abra uma janela do PowerShell.
Execute asnp citrix* para carregar os mÃ³dulos PowerShell especÃficos do Citrix.

Execute os seguintes comandos. A seguir, um exemplo:

$connectionName = "demo-hostingconnection"
$cloudRegion = "us-east-1"
$apiKey = "aaaaaaaaaaaaaaaaaaaa"
$apiSecret = â€œbbbbbâ€
$secureKey = ConvertTo-SecureString -String $apiSecret
$zoneUid = "00000000-0000-0000-0000-000000000000"
$connectionPath = "XDHyp:\Connections\" + $connectionName

$connection = New-Item -Path $connectionPath -ConnectionType "AmazonWorkSpacesCoreMachineManagerFactory" -HypervisorAddress " "https://workspaces-instances.$($cloudRegion).api.aws"" -Persist -Scope @() -UserName $apiKey -SecurePassword $secureKey -ZoneUid $zoneUid

New-BrokerHypervisorConnection -HypHypervisorConnectionUid $connection.HypervisorConnectionUid

$hostingUnitName = "demo-hostingunit"
$availabilityzone = "us-east-1a"
$vpcName = "Default VPC"
$jobGroup = [Guid]::NewGuid()
$hostingUnitPath = "XDHyp:\HostingUnits\" + $HostingUnitName
$rootPath = $connectionPath + "\" + $vpcName + ".virtualprivatecloud\"
$availabilityZonePath = @($rootPath + $availabilityzone + ".availabilityzone")
$networkPaths = (Get-ChildItem $availabilityZonePath[0] | Where ObjectType -eq "Network") | Select-Object -ExpandProperty FullPath # will select all the networks in the availability zone

New-Item -Path $hostingUnitPath -AvailabilityZonePath $availabilityZonePath -HypervisorConnectionName $connectionName -JobGroup $jobGroup -PersonalvDiskStoragePath @() -RootPath $rootPath -NetworkPath $networkPaths

<!--NeedCopy-->

Nota:

Para criar uma conexÃ£o usando a AutenticaÃ§Ã£o Baseada em FunÃ§Ã£o, especifique apiKey e apiSecret como role_based_auth.

LimitaÃ§Ã£o

Se vocÃª alterar o nome de uma Virtual Private Cloud (VPC) do AWS no console do AWS, a unidade de hospedagem existente no Citrix Cloudâ„¢ serÃ¡ interrompida. Quando a unidade de hospedagem Ã© interrompida, vocÃª nÃ£o pode criar catÃ¡logos ou adicionar mÃ¡quinas a catÃ¡logos existentes. Para resolver o problema, altere o nome da VPC do AWS de volta para o nome original.

Criar um ambiente seguro para trÃ¡fego gerenciado pelo AWS

Se vocÃª tiver um proxy configurado nos Cloud Connectors, deverÃ¡ criar a conexÃ£o de host para usar o proxy, de modo que as chamadas de API feitas pelo MCS sejam roteadas corretamente atravÃ©s do proxy. O MCS permite que o trÃ¡fego de rede (chamadas de API do Citrix Cloud para o hipervisor AWS) seja roteado atravÃ©s dos Cloud Connectors em seu ambiente.

-  A conexÃ£o de host pode ler o valor do proxy do sistema WinHTTP que Ã© configurado durante a instalaÃ§Ã£o do Cloud Connector. VocÃª pode configurar o proxy usando o [Studio](#create-a-connection-using-studio) ou definindo a propriedade personalizada `UseSystemProxyForHypervisorTrafficOnConnectors` como `True` ao criar ou atualizar uma conexÃ£o de host usando o PowerShell.

Nota:

Se o seu ambiente usar um proxy, certifique-se de que a inspeÃ§Ã£o SSL esteja desabilitada ou que a conexÃ£o SSL permaneÃ§a inalterada para https://workspaces-instances.*.api.aws/.

Criar uma conexÃ£o de host configurada com o proxy

-  1.  Abra uma janela do PowerShell.
-  1.  Execute `asnp citrix*` para carregar os mÃ³dulos PowerShell especÃ­ficos do Citrix.

Execute os comandos do PowerShell para configurar o proxy. Por exemplo:

$connectionName = "demo-hostingconnection"
$cloudRegion = "us-east-1"
$apiKey = "aaaaaaaaaaaaaaaaaaaa"
$zoneUid = "00000000-0000-0000-0000-000000000000"

$securePassword = Read-Host 'Please enter your secret key' -AsSecureString
$connectionPath = "XDHyp:\Connections\" + $connectionName

$customProperties = @"
<CustomProperties xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns="http://schemas.citrix.com/2014/xd/machinecreation">
<Property xsi:type="StringProperty" Name="UseSystemProxyForHypervisorTrafficOnConnectors" Value="True" />
</CustomProperties>
"@

<!--NeedCopy-->

Crie uma conexÃ£o de hospedagem. Por exemplo:

$connection = New-Item -Path $connectionPath `

-ConnectionType "Custom" -PluginId "AmazonWorkSpacesCoreMachineManagerFactory" `
-HypervisorAddress "<https://workspaces-instances.$($cloudRegion).api.aws>" `
-CustomProperties> $customProperties `
-Persist -Scope @()`
-UserName $apiKey -SecurePassword $securePassword `
-ZoneUid $zoneUid

New-BrokerHypervisorConnection -HypHypervisorConnectionUid $connection.HypervisorConnectionUid

<!--NeedCopy-->

Para habilitar o proxy para uma conexÃ£o de host existente, consulte Habilitar o proxy em uma conexÃ£o existente.

Provisionamento entre contas

Existem casos de uso em que os Cloud Connectors gostariam de ser colocados em uma conta AWS separada (conta de serviÃ§os compartilhados ou conta de componentes de site) com funÃ§Ãµes IAM que tÃªm acesso entre contas (funÃ§Ã£o IAM entre contas) e catÃ¡logos de mÃ¡quinas provisionados por MCS em uma conta AWS secundÃ¡ria separada (contas de cargas de trabalho), sem a necessidade de Cloud Connectors adicionais nas contas separadas. Para suportar tais cenÃ¡rios, este recurso usa o emparelhamento de VPC e o acesso entre contas usando funÃ§Ãµes IAM para tornar o provisionamento entre diferentes contas AWS possÃvel para empresas que gerenciam vÃ¡rias contas AWS.

Com o emparelhamento de VPC, vocÃª pode ter seu Cloud Connector e VMs provisionadas em diferentes regiÃµes ou contas capazes de se comunicar entre si.

Com o acesso entre contas usando funÃ§Ãµes IAM, vocÃª permite que a conta primÃ¡ria (conta do Cloud Connector) assuma uma funÃ§Ã£o IAM para acessar recursos AWS na conta secundÃ¡ria (VMs do catÃ¡logo de mÃ¡quinas).

-  Para permitir que o Cloud Connector acesse os recursos da conta secundÃ¡ria, crie uma conexÃ£o de host apÃ³s assumir a funÃ§Ã£o IAM da conta secundÃ¡ria.

PrÃ©-requisitos

Configure o seguinte antes de criar uma conexÃ£o de host para provisionamento entre contas:

Configure o emparelhamento de VPC e configure os grupos de seguranÃ§a em ambas as regiÃµes ou contas. Consulte Configurar emparelhamento de VPC.
- Delegue o acesso entre contas usando funÃ§Ãµes IAM. Consulte Delegar acesso entre contas usando funÃ§Ã£o IAM.

Configurar emparelhamento de VPC

-  Vamos supor que a VPC A esteja na conta primÃ¡ria (Conta A) e tenha os Cloud Connectors e o Active Directory. A VPC B estÃ¡ na conta secundÃ¡ria (Conta B) onde vocÃª deseja provisionar as VMs.

-  Para configurar uma conexÃ£o de emparelhamento de VPC entre a Conta A e a Conta B, faÃ§a o seguinte:

Crie uma conexÃ£o de emparelhamento de VPC. Consulte:
- Contas diferentes na mesma regiÃ£o
- Contas diferentes em regiÃµes diferentes
VÃ¡ para sua VPC A e para a tabela de rotas associada Ã sub-rede pÃºblica.
Clique em “Editar Rotas” > “Adicionar rota”. Adicione o bloco CIDR da VPC B na coluna “Destino” e adicione o emparelhamento de VPC que vocÃª criou na coluna “Alvo”.
Repita as Etapas 2 e 3, mas com as sub-redes privadas para VPC A e VPC B (adicione o bloco CIDR da VPC A). Consulte Atualizar suas tabelas de rotas para uma conexÃ£o de emparelhamento de VPC.
VÃ¡ para o grupo de seguranÃ§a privado associado Ã VPC A.
Selecione “AÃ§Ãµes” e, em seguida, “Editar regras de entrada”.
Selecione “Adicionar regra”. Para o tipo, selecione “Todo o TrÃ¡fego” e, em seguida, na coluna “Origem”, adicione:
- Se for uma regiÃ£o diferente, adicione o Bloco CIDR da VPC B.
- Se for uma conta diferente, mas na mesma regiÃ£o, adicione o ID da conta e o ID do grupo de seguranÃ§a privado da VPC B separados por uma barra (Exemplo: 123456789012/sg-1a2b3c4d)
Repita as Etapas 5 a 7, mas com o grupo de seguranÃ§a privado para a VPC B (mas adicione o Bloco CIDR da VPC A ou o ID da conta da VPC A e o ID do grupo de seguranÃ§a privado da mesma regiÃ£o, mas de uma conta diferente). Consulte Atualizar seus grupos de seguranÃ§a para fazer referÃªncia a grupos de seguranÃ§a de pares.

ObservaÃ§Ã£o:

NÃ£o hÃ¡ cobranÃ§a para criar uma conexÃ£o de emparelhamento de VPC. No entanto, embora o emparelhamento de VPC dentro de uma zona de disponibilidade seja gratuito, aplicam-se cobranÃ§as quando a transferÃªncia de dados por uma conexÃ£o de emparelhamento de VPC ocorre em vÃ¡rias zonas de disponibilidade e regiÃµes. Consulte PreÃ§os para uma conexÃ£o de emparelhamento de VPC.

Delegar acesso entre contas usando funÃ§Ãµes do IAM

ApÃ³s configurar o emparelhamento de VPC entre contas, vocÃª delega o acesso entre contas usando funÃ§Ãµes do IAM.

Com o acesso entre contas usando funÃ§Ãµes do IAM, vocÃª permite que a conta primÃ¡ria (conta do Cloud Connector) assuma uma funÃ§Ã£o do IAM para acessar recursos da AWS na conta secundÃ¡ria (VMs do catÃ¡logo de mÃ¡quinas).

Para acessar recursos entre contas, faÃ§a o seguinte:

Lembre-se:

Presume-se que a VPC A esteja na conta primÃ¡ria (Conta A) e tenha o Cloud Connector e o Active Directory. A VPC B estÃ¡ na conta secundÃ¡ria (Conta B) onde vocÃª deseja provisionar as VMs.

Configure o emparelhamento de VPC entre contas com as etapas mencionadas anteriormente.

1. Crie uma funÃ§Ã£o e polÃtica do IAM na Conta B com PermissÃµes IAM mÃnimas da Citrix. Consulte Tutorial do IAM: Delegar acesso entre contas da AWS usando funÃ§Ãµes do IAM. Digamos que o ARN dessa funÃ§Ã£o seja “arn:aws:iam::5678:role/citrix-role”.

Adicione a polÃtica de confianÃ§a Ã funÃ§Ã£o “arn:aws:iam::5678:role/citrix-role” para que ela possa ser acessada pela funÃ§Ã£o da Conta A “arn:aws:iam::1234:role/primary-account-citrix-role”, conforme Acesso a recursos entre contas no IAM.
Crie a funÃ§Ã£o e a polÃtica do IAM na Conta A com o nome mencionado anteriormente “primary-account-citrix role”, que pode assumir a funÃ§Ã£o do IAM e passar a funÃ§Ã£o do IAM da Conta B (arn:aws:iam::5678:role/citrix-role).
Atribua a funÃ§Ã£o “arn:aws:iam::1234:role/primary-account-citrix-role” a todos os Cloud Connectors na Conta A.

Os Cloud Connectors agora podem assumir a funÃ§Ã£o da Conta B (“arn:aws:iam::5678:role/citrix-role”).

Criar conexÃ£o de host para provisionamento entre contas
Crie uma conexÃ£o de host na conta secundÃ¡ria (Conta B) onde vocÃª deseja provisionar as VMs. Isso permite que os Cloud Connectors da Conta A acessem os recursos na Conta B apÃ³s assumir a funÃ§Ã£o da Conta B.

Use comandos do PowerShell para criar a conexÃ£o de host e adicionar as duas propriedades personalizadas a seguir:

-  `CrossAccountRoleArn`: Se vocÃª nÃ£o fornecer a propriedade `CrossAccountRoleArn`, a conexÃ£o de host regular serÃ¡ criada. Nesse caso, `MaximumAssumeRoleDurationInSeconds` Ã© ignorado mesmo que seja fornecido.
-  `MaximumAssumeRoleDurationInSeconds`: `DurationInSeconds` deve estar entre 900 segundos e 3600 segundos. O padrÃ£o Ã© 900 segundos. Se vocÃª fornecer um valor maior que 3600, `DurationInSeconds` serÃ¡ definido como 3600.

Exemplo:

$connectionName = "cross-account-conn"
$cloudRegion = "us-east-1"
$apiKey = "role_based_auth"
$secretKey = "role_based_auth"
$zoneUid = "xxxxxx"
$secureKey = (ConvertTo-SecureString -String $secretKey -AsPlainText -Force)
$connectionPath = "XDHyp:\Connections\" + $connectionName
$customProperties = '<CustomProperties xmlns="http://schemas.citrix.com/2014/xd/machinecreation" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
-  <Property xsi:type="StringProperty" Name="CrossAccountRoleArn" Value="arn:aws:iam::5678:role/citrix-role" /><Property xsi:type="StringProperty" Name="MaximumAssumeRoleDurationInSeconds" Value="3600" />
-  "</CustomProperties>'
 
$connection = New-Item -Path $connectionPath -ConnectionType "AmazonWorkSpacesCoreMachineManagerFactory" -HypervisorAddress "https://workspaces-instances.$($cloudRegion).api.aws" -Persist -Scope @() -UserName $apiKey -SecurePassword $secureKey -ZoneUid $zoneUid -CustomProperties $customProperties
 
New-BrokerHypervisorConnection -HypHypervisorConnectionUid $connection.HypervisorConnectionUid

<!--NeedCopy-->

ApÃ³s a criaÃ§Ã£o da conexÃ£o de host, crie unidades de hospedagem usando o Studio ou o PowerShell. No entanto, selecione VPC e Redes.

Ignorar Cloud Connectors para solicitaÃ§Ãµes de API da AWS

Em ambientes de InstÃ¢ncia Gerenciada (MI) do Amazon WorkSpaces Core, o plug-in Citrix Machine Creation Services (MCS) normalmente reside no Delivery Controller e roteia as solicitaÃ§Ãµes de API da AWS atravÃ©s do Citrix Cloud Connector via proxy.

VocÃª pode configurar conexÃµes de host para ignorar o Cloud Connector para solicitaÃ§Ãµes de API da AWS. Quando esse recurso Ã© habilitado, o plug-in faz chamadas de API â€” incluindo aquelas para provisionamento e gerenciamento de energia â€” diretamente do DDC para os serviÃ§os da AWS (como Amazon EC2, EBS e instÃ¢ncias do WorkSpaces), removendo a dependÃªncia de passar pelo Cloud Connector via proxy.

BenefÃcios

Reduzir a dependÃªncia de chamadas de API da AWS em Cloud Connectors: Remover a dependÃªncia de API da AWS no Cloud Connector Ã© um passo fundamental para clientes que buscam reduzir sua pegada de infraestrutura local ou na nuvem.
Consumo de Recursos Reduzido: Menos trÃ¡fego atravÃ©s do Cloud Connector reduz os requisitos de computaÃ§Ã£o para a VM do Connector, o que pode levar a economias de custo.
Flexibilidade Operacional: Oferece maior disponibilidade ao remover um ponto de falha potencial (o caminho do proxy Cloud Connector/NGS) para tarefas crÃticas de gerenciamento de energia e provisionamento.

LimitaÃ§Ãµes e consideraÃ§Ãµes

Antes de habilitar este recurso, considere os seguintes requisitos e limitaÃ§Ãµes:

AutenticaÃ§Ã£o: A autenticaÃ§Ã£o baseada em funÃ§Ã£o (funÃ§Ãµes do IAM) nÃ£o Ã© suportada ao ignorar o Cloud Connector. VocÃª deve configurar a instalaÃ§Ã£o apenas para chaves de acesso de usuÃ¡rio do IAM.
Escopo do ambiente: Este recurso Ã© exclusivo para InstÃ¢ncias Gerenciadas (MI) do Amazon WorkSpaces Core. NÃ£o Ã© suportado para conexÃµes de host padrÃ£o do AWS EC2.
Requisitos de rede: O DDC deve ter um caminho de rede direto para os endpoints de serviÃ§o da AWS.
Integridade do local do recurso: Se um Cloud Connector foi originalmente provisionado no local do recurso, ele deve permanecer ligado. Componentes nÃ£o-MCS e verificaÃ§Ãµes de integridade ainda dependem do Cloud Connector, se ele existir.
Recursos nÃ£o suportados:
- Provisionamento entre contas
- Uso de proxy do sistema
Requisitos do Connector: Embora este recurso remova a dependÃªncia da API, existem outras configuraÃ§Ãµes necessÃ¡rias para reduzir as dependÃªncias em Cloud Connectors (os requisitos para Cloud Connectors podem nÃ£o se limitar aos listados aqui):
- Ingresso no domÃnio: Usando mÃ¡quinas nÃ£o ingressadas no domÃnio ou ingressadas no Microsoft Entra hÃbrido.
- Registro de VDA: Habilitando o Rendezvous V2 (comunicaÃ§Ã£o direta do DDC para o VDA via WebSockets) para registro de VDA.

Criar uma conexÃ£o de host com bypass de API

Ao criar uma conexÃ£o de host na ConfiguraÃ§Ã£o Completa (Studio), agora vocÃª pode selecionar locais de recursos do Amazon WorkSpaces Core mesmo que nenhum Cloud Connector esteja presente nesse local.

Para habilitar o bypass via PowerShell, use a propriedade personalizada BypassConnectorForAwsApiRequests.

Exemplo de PowerShell:

$custProp = '<CustomProperties xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns="http://schemas.citrix.com/2014/xd/machinecreation"> 
  <Property xsi:type="StringProperty" Name="BypassConnectorForAwsApiRequests" Value="true" /> 
</CustomProperties>' 
 
$connectionName = "MyWSCConnection" 
$cloudRegion = "us-east-1" 
$apiKey = "YOUR_IAM_ACCESS_KEY" 
$zoneUid = (Get-ConfigZone | Where-Object {$_.Name -eq "MyResourceLocation"}).Uid 
$securePassword = Read-Host 'Enter your IAM Secret Key' -AsSecureString 
 
$connectionPath = "XDHyp:\Connections\" + $connectionName 
 
$connection = New-Item -Path $connectionPath ` 
    -ConnectionType "Custom" ` 
    -PluginId "AmazonWorkSpacesCoreMachineManagerFactory" ` 
    -HypervisorAddress "https://workspaces-instances.$($cloudRegion).api.aws" ` 
    -Persist -Scope @() ` 
    -CustomProperties $custProp ` 
    -UserName $apiKey -SecurePassword $securePassword ` 
    -ZoneUid $zoneUid 
 
New-BrokerHypervisorConnection -HypHypervisorConnectionUid $connection.HypervisorConnectionUid

<!--NeedCopy-->

Gerenciar conexÃµes existentes

VocÃª pode habilitar ou desabilitar o recurso de bypass para conexÃµes de host existentes.

Habilitar em conexÃµes existentes: VocÃª pode modificar as propriedades personalizadas de uma conexÃ£o existente para incluir BypassConnectorForAwsApiRequests = true.
Desabilitar: Se desabilitado, o DDC retoma o roteamento de chamadas de API da AWS atravÃ©s do Cloud Connector via proxy NGS. Observe que isso requer que um Cloud Connector funcional e um caminho de proxy NGS estejam disponÃveis no local do recurso.

SoluÃ§Ã£o de problemas

Se vocÃª tentar habilitar a propriedade de bypass em condiÃ§Ãµes nÃ£o suportadas, o sistema retornarÃ¡ um erro de validaÃ§Ã£o:

FunÃ§Ãµes IAM/Contas cruzadas/Proxy: Se habilitado juntamente com funÃ§Ãµes IAM, provisionamento entre contas ou proxies de sistema, o comando New-Item falharÃ¡ com:

 AmazonWorkSpacesCoreException: Bypassing the Cloud Connector For AWS API requests is not supported for IAM roles, Cross-Account provisioning and System Proxy.

 <!--NeedCopy-->

Tipo de conexÃ£o nÃ£o suportado: Se aplicado a uma conexÃ£o padrÃ£o do Amazon EC2 (AWS), o sistema falharÃ¡ com:

 AmazonWorkSpacesCoreException: Bypassing the Cloud Connector For AWS API requests is not supported for EC2 host connection.

 <!--NeedCopy-->

Editar uma conexÃ£o

VocÃª pode editar uma conexÃ£o de host existente para:

Modificar a opÃ§Ã£o para fornecer permissÃµes IAM para a Citrix gerenciar recursos
Modificar o nÃºmero mÃ¡ximo de aÃ§Ãµes simultÃ¢neas (ou mÃ¡quinas concorrentes) por conexÃ£o de hospedagem
Modificar o escopo.
Configurar o nÃºmero mÃ¡ximo de grupos de seguranÃ§a permitidos por interface de rede elÃ¡stica (ENI) usando o comando PowerShell
Habilitar o proxy para criar um ambiente seguro para o trÃ¡fego gerenciado pela AWS

Editar opÃ§Ãµes para fornecer permissÃµes IAM

Clique com o botÃ£o direito do mouse em uma conexÃ£o existente do Amazon WorkSpaces Core.
Na pÃ¡gina “Propriedades da ConexÃ£o”, clique em “Editar configuraÃ§Ãµes”.
Selecione uma das opÃ§Ãµes para fornecer permissÃµes IAM para a Citrix gerenciar recursos. Insira os detalhes necessÃ¡rios e clique em “Salvar”.

Modificar o nÃºmero mÃ¡ximo de aÃ§Ãµes simultÃ¢neas

Ao criar conexÃµes de host no Studio para instÃ¢ncias gerenciadas do Amazon WorkSpaces Core, os seguintes valores padrÃ£o sÃ£o exibidos:

OpÃ§Ã£o	Absoluto	Porcentagem
AÃ§Ãµes simultÃ¢neas (todos os tipos)	125	100
MÃ¡ximo de novas aÃ§Ãµes por minuto	150	n/d
MÃ¡ximo de operaÃ§Ãµes de provisionamento simultÃ¢neas	150	n/d

O MCS suporta 150 operaÃ§Ãµes de provisionamento simultÃ¢neas mÃ¡ximas por padrÃ£o.

VocÃª pode configurar esses valores acessando a seÃ§Ã£o “AvanÃ§ado” do Citrix Studio na tela “Editar ConexÃ£o”:

Como alternativa, vocÃª pode usar o SDK Remoto do PowerShell para definir o nÃºmero mÃ¡ximo de operaÃ§Ãµes simultÃ¢neas para configuraÃ§Ãµes ideais por ambiente.

Use a propriedade personalizada do PowerShell, MaximumConcurrentProvisioningOperations, para especificar o nÃºmero mÃ¡ximo de operaÃ§Ãµes de provisionamento simultÃ¢neas da AWS.

Antes da configuraÃ§Ã£o:

Certifique-se de ter instalado o SDK do PowerShell para Cloud.
Entenda que o valor padrÃ£o para MaximumConcurrentProvisioningOperations Ã© 150.

Execute as seguintes etapas para personalizar o valor de MaximumConcurrentProvisioningOperations:

Abra uma janela do PowerShell.
Execute asnp citrix* para carregar os mÃ³dulos PowerShell especÃficos da Citrix.
Insira cd xdhyp:\Connections\.
Insira dir para listar as conexÃµes.
Altere ou inicialize a cadeia de caracteres de Propriedades Personalizadas:
- Se a cadeia de caracteres de Propriedades Personalizadas tiver um valor, copie as Propriedades Personalizadas para o Bloco de Notas. Em seguida, altere a propriedade MaximumConcurrentProvisioningOperations para o valor preferido. VocÃª pode inserir um valor no intervalo de 1 a 1000. Por exemplo, <Property xsi:type="IntProperty" Name="MaximumConcurrentProvisioningOperations" Value="xyz"/>.
- Se a cadeia de caracteres de Propriedades Personalizadas estiver vazia ou nula, vocÃª deve inicializar a cadeia de caracteres inserindo a sintaxe apropriada para o esquema e para a propriedade MaximumConcurrentProvisioningOperations.
Na janela do PowerShell, cole as Propriedades Personalizadas modificadas do Bloco de Notas e atribua uma variÃ¡vel Ã s Propriedades Personalizadas modificadas. Se vocÃª inicializou as Propriedades Personalizadas, adicione as seguintes linhas apÃ³s a sintaxe:
```
$customProperties = '<CustomProperties xmlns="http://schemas.citrix.com/2014/xd/machinecreation" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"><Property xsi:type="IntProperty" Name="MaximumConcurrentProvisioningOperations" Value="100"/></CustomProperties>'


```
Esta cadeia de caracteres define a propriedade MaximumConcurrentProvisioningOperations como 100. Na cadeia de caracteres de Propriedades Personalizadas, vocÃª deve definir a propriedade MaximumConcurrentProvisioningOperations para um valor que se alinhe Ã s suas necessidades.
Insira Get-XDAuthentication, que solicitarÃ¡ suas credenciais.
Execute $cred = Get-Credential, que pode solicitar apenas uma Senha (ou um Nome e uma Senha). VocÃª tambÃ©m pode receber uma solicitaÃ§Ã£o para o ID do aplicativo e o segredo associado. Para conexÃµes que usam autenticaÃ§Ã£o baseada em funÃ§Ã£o, role_based_auth Ã© o Nome e a Senha. Caso contrÃ¡rio, insira o ID da API e o segredo da AWS.
Execute set-item -PSPath 'XDHyp:\Connections<connection-name>' -CustomProperties $customProperties -username $cred.username -Securepassword $cred.password. VocÃª deve definir o <nome-da-conexÃ£o> para o nome da conexÃ£o.
Insira dir para verificar a string CustomProperties atualizada.

Configurar grupos de seguranÃ§a por interface de rede

Ao editar uma conexÃ£o de host, agora vocÃª pode configurar o nÃºmero mÃ¡ximo de grupos de seguranÃ§a permitidos por interface de rede elÃ¡stica (ENI) usando um comando PowerShell. Para obter informaÃ§Ãµes sobre os valores de cota de grupos de seguranÃ§a da AWS, consulte Grupos de seguranÃ§a.

Para configurar grupos de seguranÃ§a por interface de rede:

Abra uma janela do PowerShell.
Execute asnp citrix* para carregar os mÃ³dulos PowerShell especÃficos da Citrix.
Execute cd xdhyp:\Connections\.
Execute dir para listar as conexÃµes.
Execute o seguinte comando PowerShell para configurar grupos de seguranÃ§a por interface de rede:
```
Set-HypHypervisorConnectionMetadata -HypervisorConnectionName aws -Name "Citrix_MachineManagement_Options" -Value " AwsMaxENISecurityGroupLimit=<number>"


```
ObservaÃ§Ã£o:

Se vocÃª nÃ£o definir um valor para AwsMaxENISecurityGroupLimit, ele assumirÃ¡ o valor padrÃ£o de 5.

Habilitar o proxy em uma conexÃ£o existente

Abra uma janela do PowerShell.

Execute os seguintes comandos.

Add-PSSnapin citrix*.
cd XDHyp:\Connections\
dir

<!--NeedCopy-->

Copie as CustomProperties da conexÃ£o para um bloco de notas e anexe a configuraÃ§Ã£o de propriedade <Property xsi:type="StringProperty" Name="UseSystemProxyForHypervisorTrafficOnConnectors" Value="True" /> Ã s CustomProperties para habilitar o proxy.

Na janela do PowerShell, atribua uma variÃ¡vel Ã s propriedades personalizadas modificadas. Por exemplo:

$customProperty = '<CustomProperties xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xmlns="http://schemas.citrix.com/2014/xd/machinecreation">
<Property xsi:type="StringProperty" Name="UseSystemProxyForHypervisorTrafficOnConnectors" Value="True" />
</CustomProperties>'

<!--NeedCopy-->

Insira Get-XDAuthentication, que solicitarÃ¡ suas credenciais.
Execute $cred = Get-Credential, que pode solicitar apenas uma Senha (ou um Nome e uma Senha). VocÃª tambÃ©m pode receber uma solicitaÃ§Ã£o para o ID do aplicativo e o segredo associado. Para conexÃµes que usam autenticaÃ§Ã£o baseada em funÃ§Ã£o, role_based_auth Ã© o Nome e a Senha. Caso contrÃ¡rio, insira o ID da API e o segredo da AWS.
Execute set-item -PSPath 'XDHyp:\Connections<connection-name>' -CustomProperties $customProperties -username $cred.username -Securepassword $cred.password. VocÃª deve definir o <connection-name> para o nome da conexÃ£o.
Insira dir para verificar a string CustomProperties atualizada.

URL do endpoint de serviÃ§o

URL do endpoint de serviÃ§o da zona padrÃ£o

Ao usar o MCS, uma nova conexÃ£o de instÃ¢ncias gerenciadas do Amazon WorkSpaces Core Ã© adicionada com uma chave de API e um segredo de API. Com essas informaÃ§Ãµes, juntamente com a conta autenticada, o MCS consulta a AWS para as regiÃµes e zonas suportadas usando chamadas de API do AWS EC2 e do Amazon WorkSpaces Core Managed Instances. A consulta Ã© feita usando uma URL de endpoint de serviÃ§o de instÃ¢ncias do Workspace https://workspaces-instances.us-east-1.api.aws/ e um endpoint de serviÃ§o EC2 https:/ec2.us-east-1.api.aws/.

ObservaÃ§Ã£o:

Certifique-se de que https://workspaces-instances.us-east-1.api.aws/ esteja acessÃvel.

URL do endpoint de serviÃ§o nÃ£o padrÃ£o
Pode haver situaÃ§Ãµes em que vocÃª nÃ£o precise da URL do endpoint de serviÃ§o da AWS escolhida automaticamente para a conexÃ£o. Nesses casos, vocÃª pode usar o Citrix Cloud SDK e o PowerShell para criar uma conexÃ£o com uma URL de endpoint de serviÃ§o nÃ£o padrÃ£o. Por exemplo, para criar uma conexÃ£o usando a URL do endpoint de serviÃ§o https://ec2.cn-north-1.amazonaws.com.cn:
1. Configure o Cloud Connector hospedado na AWS e certifique-se de que ele tenha conectividade.

Execute os seguintes comandos PowerShell para ver a lista de Cloud Connectors.

  PS C:\> asnp citrix.*
  PS C:\> Get-XDAuthentication
  PS C:\> Get-ConfigEdgeServer

 <!--NeedCopy-->

Encontre o ZoneUid do Cloud Connector recÃ©m-criado e insira-o nos seguintes comandos PowerShell. Substitua os itens em itÃ¡lico pelos respectivos valores.

PS C:\> $hyp= New-Item -Path xdhyp:\Connections -ZoneUid ZoneUid -Name â€œMy New Connectionâ€ -ConnectionType "Custom" -HypervisorAddress @("https://workspaces-instances.$($cloudRegion).api.aws")-PluginId "AmazonWorkSpacesCoreMachineManagerFactory" -UserName â€œAPIkeyâ€ -Password â€œAPI Secretâ€ -Persist 

PS C:\> New-BrokerHypervisorConnection -HypHypervisorConnectionUid $hyp. HypervisorConnectionUid

<!--NeedCopy-->

Atualize a guia Hosting para verificar se a conexÃ£o foi criada.
Adicione um local de recurso usando a nova conexÃ£o.

PermissÃµes AWS necessÃ¡rias

Esta seÃ§Ã£o contÃ©m a lista completa de permissÃµes da AWS. Use o conjunto completo de permissÃµes conforme fornecido na seÃ§Ã£o para que a funcionalidade funcione corretamente.

ObservaÃ§Ã£o:

A permissÃ£o iam:PassRole Ã© necessÃ¡ria apenas para usar funÃ§Ãµes IAM para a Citrix gerenciar recursos.

Criando uma conexÃ£o de host

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ec2:DescribeAvailabilityZones",
                "ec2:DescribeSubnets",
                "ec2:DescribeVpcs",
                "ec2:DescribeRegions",
                "workspaces-instances:*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }
    ]
}

<!--NeedCopy-->

Gerenciamento de energia de VMs

As VMs sÃ£o ligadas ou desligadas.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ec2:DescribeInstances",,
                "ec2:StartInstances",
                "ec2:StopInstances",
                "ec2:RebootInstances",
                "ec2:DescribeInstanceStatus"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
           "Action": [
               "workspaces-instances:*"
           ],
           "Effect": "Allow",
            "Resource": "*"
       }

    ]

}

<!--NeedCopy-->

Criar, atualizar ou excluir VMs

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ec2:AttachVolume",
                "ec2:AssociateIamInstanceProfile",
                "ec2:AuthorizeSecurityGroupEgress",
                "ec2:RevokeSecurityGroupEgress",
                "ec2:AuthorizeSecurityGroupIngress",
                "ec2:CreateImage",
                "ec2:CreateLaunchTemplate",
                "ec2:CreateSecurityGroup",
                "ec2:CreateTags",
                "ec2:CreateVolume",
                "ec2:DeleteVolume",
                "ec2:DescribeAccountAttributes",
                "ec2:DescribeAvailabilityZones",
                "ec2:DescribeIamInstanceProfileAssociations",
                "ec2:DescribeImages",
                "ec2:DescribeInstances",
                "ec2:DescribeInstanceStatus",
                "ec2:DescribeInstanceTypes",
                "ec2:DescribeLaunchTemplates",
                "ec2:DescribeLaunchTemplateVersions",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeRegions",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSnapshots",
                "ec2:DescribeSubnets",
                "ec2:DescribeTags",
                "ec2:DescribeSpotInstanceRequests",
                "ec2:DescribeInstanceCreditSpecifications",
                "ec2:DescribeInstanceAttribute",
                "ec2:GetLaunchTemplateData",
                "ec2:DescribeVolumes",
                "ec2:DescribeVpcs",
                "ec2:DetachVolume",
                "ec2:DisassociateIamInstanceProfile",
                "ec2:RunInstances",
                "ec2:StartInstances",
                "ec2:StopInstances",
                "ec2:TerminateInstances"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "ec2:CreateSecurityGroup",
                "ec2:DeleteSecurityGroup"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "ebs:StartSnapshot",
                "ebs:GetSnapshotBlock",
                "ebs:PutSnapshotBlock",
                "ebs:CompleteSnapshot",
                "ebs:ListSnapshotBlocks",
                "ebs:ListChangedBlocks",
                "ec2:CreateSnapshot"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "workspaces-instances:*"
            ],
            "Effect": "Allow",
            "Resource": "*"
        }

    ]
}

<!--NeedCopy-->

ObservaÃ§Ã£o:

A seÃ§Ã£o EC2 relacionada a SecurityGroups Ã© necessÃ¡ria apenas se um Grupo de SeguranÃ§a de Isolamento precisar ser criado para a VM de PreparaÃ§Ã£o durante a criaÃ§Ã£o do catÃ¡logo. Uma vez feito isso, essas permissÃµes nÃ£o sÃ£o mais necessÃ¡rias.

Carregamento e download direto de disco

As seguintes permissÃµes devem ser adicionadas Ã polÃtica:

ebs:StartSnapshot
ebs:GetSnapshotBlock
ebs:PutSnapshotBlock
ebs:CompleteSnapshot
ebs:ListSnapshotBlocks
ebs:ListChangedBlocks
ec2:CreateSnapshot
ec2:DeleteSnapshot
ec2:DescribeLaunchTemplates

Criptografia EBS de volumes criados

O EBS pode criptografar automaticamente volumes recÃ©m-criados se a AMI for criptografada, ou se o EBS estiver configurado para criptografar todos os novos volumes. No entanto, para implementar a funcionalidade, as seguintes permissÃµes devem ser incluÃdas na polÃtica IAM.

{
     "Version": "2012-10-17",
     "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                 "kms:CreateGrant",
                 "kms:Decrypt",
                 "kms:DescribeKey",
                 "kms:GenerateDataKeyWithoutPlainText",
-  "kms:GenerateDataKey",
                 "kms:ReEncryptTo",
-  "kms:ReEncryptFrom"
-  ],
-  "Resource": "*"
        }
    ]
}

<!--NeedCopy-->

ObservaÃ§Ã£o:

As permissÃµes podem ser limitadas a chaves especÃficas, incluindo um bloco de Recurso e CondiÃ§Ã£o, a critÃ©rio da pessoa usuÃ¡ria. Por exemplo, PermissÃµes KMS com CondiÃ§Ã£o:

{
     "Version": "2012-10-17",
     "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                 "kms:CreateGrant",
                 "kms:Decrypt",
                 "kms:DescribeKey",
                 "kms:GenerateDataKeyWithoutPlainText",
                 "kms:GenerateDataKey",
                 "kms:ReEncryptTo",
                 "kms:ReEncryptFrom"
            ],
            "Resource": [
                "arn:aws:kms:us-east-2:123456789012:key/abcd1234-a123-456d-a12b-a123b4cd56ef"
            ],
            "Condition": {
                "Bool": {
                    "kms:GrantIsForAWSResource": true
                }
            }
        }
    ]
}

<!--NeedCopy-->

A seguinte declaraÃ§Ã£o de polÃtica de chave Ã© a polÃtica de chave padrÃ£o completa para chaves KMS que Ã© necessÃ¡ria para permitir que a conta use polÃticas IAM para delegar permissÃ£o para todas as aÃ§Ãµes (kms:*) na chave KMS.

{
"Sid": "Enable IAM policies",
"Effect": "Allow",
"Principal": {
"AWS": "arn:aws:iam::111122223333:root"
},
"Action": "kms:",
"Resource": ""
}

<!--NeedCopy-->

Para obter mais informaÃ§Ãµes, consulte a documentaÃ§Ã£o oficial do AWS Key Management Service.

AutenticaÃ§Ã£o baseada em funÃ§Ã£o IAM

As seguintes permissÃµes sÃ£o adicionadas para oferecer suporte Ã autenticaÃ§Ã£o baseada em funÃ§Ã£o.

{
     "Version": "2012-10-17",
     "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/*"
        }
    ]
}

<!--NeedCopy-->

PolÃtica de permissÃµes IAM mÃnima

O JSON a seguir pode ser usado para todos os recursos atualmente suportados. VocÃª pode criar conexÃµes de host, criar, atualizar ou excluir VMs e fazer o gerenciamento de energia usando esta polÃtica. A polÃtica pode ser aplicada Ã s pessoas usuÃ¡rias conforme explicado nas seÃ§Ãµes Definir permissÃµes IAM ou vocÃª tambÃ©m pode usar a autenticaÃ§Ã£o baseada em funÃ§Ã£o selecionando “Usar funÃ§Ã£o IAM” ao configurar uma conexÃ£o de host.

Importante:

Para usar funÃ§Ãµes IAM para o Citrix gerenciar recursos, primeiro configure a funÃ§Ã£o IAM desejada na instÃ¢ncia EC2 do conector de nuvem ao configurar o conector de nuvem. Usando o Citrix Studio, adicione a conexÃ£o de hospedagem e selecione a opÃ§Ã£o “Usar funÃ§Ã£o IAM”. Uma conexÃ£o de hospedagem com essas configuraÃ§Ãµes usa entÃ£o a autenticaÃ§Ã£o baseada em funÃ§Ã£o.

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Action": [
                "ec2:AttachVolume",
                "ec2:AssociateIamInstanceProfile",
                "ec2:AuthorizeSecurityGroupEgress",
                "ec2:RevokeSecurityGroupEgress",
                "ec2:AuthorizeSecurityGroupIngress",
                "ec2:CreateImage",
                "ec2:CreateLaunchTemplate",
                "ec2:CreateNetworkInterface",
                "ec2:CreateTags",
                "ec2:CreateVolume",
                "ec2:DeleteLaunchTemplate",
                "ec2:DeleteNetworkInterface",
                "ec2:DeleteSecurityGroup",
                "ec2:DeleteSnapshot",
                "ec2:DeleteTags",
                "ec2:DeleteVolume",
                "ec2:DeregisterImage",
                "ec2:DescribeAccountAttributes",
                "ec2:DescribeAvailabilityZones",
                "ec2:DescribeIamInstanceProfileAssociations",
                "ec2:DescribeImages",
                "ec2:DescribeInstances",
                "ec2:DescribeInstanceTypes",
                "ec2:DescribeInstanceStatus",
                "ec2:DescribeLaunchTemplates",
                "ec2:DescribeLaunchTemplateVersions",
                "ec2:DescribeNetworkInterfaces",
                "ec2:DescribeRegions",
                "ec2:DescribeSecurityGroups",
                "ec2:DescribeSnapshots",
                "ec2:DescribeSubnets",
                "ec2:DescribeTags",
                "ec2:DescribeSpotInstanceRequests",
                "ec2:DescribeInstanceCreditSpecifications",
                "ec2:DescribeInstanceAttribute",
                "ec2:GetLaunchTemplateData",
                "ec2:DescribeVolumes",
                "ec2:DescribeVpcs",
                "ec2:DetachVolume",
                "ec2:DisassociateIamInstanceProfile",
                "ec2:RebootInstances",
                "ec2:RunInstances",
                "ec2:StartInstances",
                "ec2:StopInstances",
                "ec2:TerminateInstances"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "ec2:CreateSecurityGroup",
                "ec2:DeleteSecurityGroup"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Action": [
                "ebs:StartSnapshot",
                "ebs:GetSnapshotBlock",
                "ebs:PutSnapshotBlock",
                "ebs:CompleteSnapshot",
                "ebs:ListSnapshotBlocks",
                "ebs:ListChangedBlocks",
                "ec2:CreateSnapshot"
            ],
            "Effect": "Allow",
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                 "kms:CreateGrant",
                 "kms:Decrypt",
                 "kms:DescribeKey",
                 "kms:GenerateDataKeyWithoutPlainText",
                 "kms:GenerateDataKey",
                 "kms:ReEncryptTo",
                 "kms:ReEncryptFrom"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::*:role/*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "workspaces-instances:*"
            ],
            "Resource": "*"
        }

    ]
}

<!--NeedCopy-->

ObservaÃ§Ã£o:

A seÃ§Ã£o EC2 relacionada a SecurityGroups Ã© necessÃ¡ria apenas se um Grupo de SeguranÃ§a de Isolamento precisar ser criado para a VM de PreparaÃ§Ã£o durante a criaÃ§Ã£o do catÃ¡logo. Uma vez feito isso, essas permissÃµes nÃ£o sÃ£o mais necessÃ¡rias.

A seÃ§Ã£o KMS Ã© necessÃ¡ria apenas ao usar a criptografia de volume EBS.

A seÃ§Ã£o de permissÃ£o iam:PassRole Ã© necessÃ¡ria apenas para usar funÃ§Ãµes IAM para o Citrix gerenciar recursos.

PermissÃµes especÃficas em nÃvel de recurso podem ser adicionadas em vez de acesso total, com base em seus requisitos e ambiente. Consulte os documentos da AWS Desmistificando as permissÃµes em nÃvel de recurso do EC2 e Gerenciamento de acesso para recursos da AWS para obter mais detalhes.

Use as permissÃµes ec2:CreateNetworkInterface e ec2:DeleteNetworkInterface somente se vocÃª estiver usando o mÃ©todo de worker de volume.

Onde ir em seguida

Para criar imagens preparadas, consulte Criar uma imagem preparada para instÃ¢ncias gerenciadas do Amazon WorkSpaces Core

Mais informaÃ§Ãµes

Criar e gerenciar conexÃµes e recursos
Ambientes de virtualizaÃ§Ã£o AWS
Para exemplos de PowerShell do GitHub do Amazon WorkSpaces Core, consulte citrix-mcs-sdk-samples-Amazon WorkSpaces Core.

A versão oficial deste conteúdo está em inglês. Parte do conteúdo da documentação da Cloud Software Group é traduzida automaticamente para sua conveniência. A Cloud Software Group não tem controle sobre o conteúdo traduzido automaticamente, que pode conter erros, imprecisões ou linguagem inadequada. Nenhuma garantia de qualquer tipo, expressa ou implícita, é fornecida quanto à precisão, confiabilidade, adequação ou correção de quaisquer traduções feitas do original em inglês para qualquer outro idioma, ou quanto à conformidade do seu produto ou serviço Cloud Software Group com qualquer conteúdo traduzido automaticamente, e nenhuma garantia fornecida sob o contrato de licença de usuário final aplicável ou os termos de serviço, ou qualquer outro contrato com a Cloud Software Group, de que o produto ou serviço esteja em conformidade com qualquer documentação será aplicável na medida em que essa documentação tenha sido traduzida automaticamente. A Cloud Software Group não se responsabiliza por quaisquer danos ou problemas que possam surgir em decorrência do uso de conteúdo traduzido automaticamente.

Isso foi útil?

ConexÃ£o com instÃ¢ncias gerenciadas do Amazon WorkSpaces Core

May 4, 2026

Contribuição de:

May 4, 2026

Contribuição de:

Neste artigo

Adicionar permissÃµes do IAM
Criar uma conexÃ£o
Provisionamento entre contas
Ignorar Cloud Connectors para solicitaÃ§Ãµes de API da AWS
Editar uma conexÃ£o
URL do endpoint de serviÃ§o
PermissÃµes AWS necessÃ¡rias
Onde ir em seguida
Mais informaÃ§Ãµes

Isso foi útil?

ConexÃ£o com instÃ¢ncias gerenciadas do Amazon WorkSpaces Core

PrÃ©-requisitos

Definir permissÃµes do IAM

Adicionar permissÃµes do IAM

Criar uma funÃ§Ã£o vinculada ao serviÃ§o

Criar uma conexÃ£o

Criar uma conexÃ£o usando o Studio

ConsideraÃ§Ãµes importantes

Criar uma conexÃ£o usando o PowerShell

LimitaÃ§Ã£o

Criar um ambiente seguro para trÃ¡fego gerenciado pelo AWS

Criar uma conexÃ£o de host configurada com o proxy

Provisionamento entre contas

PrÃ©-requisitos

Configurar emparelhamento de VPC

Delegar acesso entre contas usando funÃ§Ãµes do IAM

Criar conexÃ£o de host para provisionamento entre contas

Ignorar Cloud Connectors para solicitaÃ§Ãµes de API da AWS

BenefÃ­cios

LimitaÃ§Ãµes e consideraÃ§Ãµes

Criar uma conexÃ£o de host com bypass de API

Gerenciar conexÃµes existentes

SoluÃ§Ã£o de problemas

Editar uma conexÃ£o

Editar opÃ§Ãµes para fornecer permissÃµes IAM

Modificar o nÃºmero mÃ¡ximo de aÃ§Ãµes simultÃ¢neas

Configurar grupos de seguranÃ§a por interface de rede

Habilitar o proxy em uma conexÃ£o existente

URL do endpoint de serviÃ§o

URL do endpoint de serviÃ§o da zona padrÃ£o

URL do endpoint de serviÃ§o nÃ£o padrÃ£o

PermissÃµes AWS necessÃ¡rias

Criando uma conexÃ£o de host

Gerenciamento de energia de VMs

Criar, atualizar ou excluir VMs

Carregamento e download direto de disco

Criptografia EBS de volumes criados

AutenticaÃ§Ã£o baseada em funÃ§Ã£o IAM

PolÃ­tica de permissÃµes IAM mÃ­nima

Onde ir em seguida

Mais informaÃ§Ãµes

Neste artigo

BenefÃcios

PolÃtica de permissÃµes IAM mÃnima