COLUMN

2024.12.25 ｜ Writer：田口

Amazon WorkSpacesを構築・運用してみた

こんにちは、田口です。

AWSはフルマネージドなVDIサービスとしてAmazon WorkSpacesを提供しており、場所を問わず安全に仮想デスクトップへアクセスすることができます。

本コラムではAmazon WorkSpacesの構築手順、運用についてご紹介します。

1. Amazon WorkSpacesとは: 1-1. Amazon WorkSpaces Family; 1-2. 利用料金
2. Amazon WorkSpacesを構築してみた: 2-1. SimpleADの作成; 2-2. Amazon WorkSpaces Personalの作成; 2-3. Amazon WorkSpacesに接続してみる
3. Amazon WorkSpacesの運用について: 3-1. ユーザーの追加/削除; 3-2. カスタムイメージの活用; 3-3. セキュリティの向上
4. まとめ

1. Amazon WorkSpacesとは

1-1. Amazon WorkSpaces Family

Amazon WorkSpaces FamilyとはAmazon WorkSpacesをはじめとした以下の複数のサービスを総称したものとなります。

Amazon WorkSpaces
Amazon WorkSpaces Core
Amazon WorkSpaces Secure Browser(旧 Amazon WorkSpaces Web)
Amazon WorkSpaces ThinClient

それぞれのサービスについて触れていきます。

Amazon WorkSpaces

Amazon WorkSpacesは、フルマネージドな仮想デスクトップインフラストラクチャ(VDI)サービスです。

Amazon WorkSpacesにはPersonalとPoolsの二種類があり、Personalは従来「Amazon WorkSpaces」と呼ばれていたサービスで、個人単位で永続的な仮想デスクトップ環境が用意されます。Poolsは反対にコールセンターやトレーニングなど共有環境向けの非永続的な仮想デスクトップ環境となり、ユーザーがサインインするたびに新規の仮想デスクトップ環境が用意されます。

Amazon WorkSpaces Personalについての詳細は以下コラムで取り上げています。併せてこちらもぜひご覧ください。

Amazon Workspacesとは｜特徴・導入事例を徹底解説

Amazon WorkSpaces Core

Amazon WorkSpaces Coreは、VMwareやCitrixなどのサードパーティー製のVDIソリューションからAmazon WorkSpacesのインフラを活用することができるVDI APIセットです。

Amazon WorkSpaces Secure Browser(旧 Amazon WorkSpaces Web)

Amazon WorkSpaces Secure Browserは、AWSが用意した仮想マシン環境のWebブラウザ(Chrome)のみ利用することができ、社内リソースやSaaSアプリに安全にアクセスすることができます。

Amazon WorkSpaces ThinClient

Amazon WorkSpaces ThinClientは、AWSが販売しているシンクライアント端末とAWS仮想デスクトップサービスへの接続を一元管理するサービスです。

1-2. 利用料金

Amazon WorkSpaces Personalの利用料金は、バンドルや利用するリージョンによって金額が異なります。

バンドルとは仮想デスクトップのOSやストレージ、コンピューティングなどの構成をさします。

またAmazon WorkSpaces Personalは、月額固定での課金と従量課金の2つの料金オプションが用意されています。

以下は東京リージョンでAmazon Linux 2のバンドルを利用した場合の料金表です。(2024年12月現在)

横にスクロールします→

バンドルタイプ	vCPU	メモリ (GB)	ルートボリューム	ユーザーボリューム	月額料金 (USD)	時間課金料金 (USD/時間)
Value	1	2	80	10	$30	$10.00/月 + $0.25/時間
Standard	2	4	80	50	$43	$14.00/月 + $0.36/時間
Performance	2	8	80	100	$61	$19.00/月 + $0.56/時間
Power	4	16	175	100	$114	$26.00/月 + $0.85/時間
PowerPro	8	32	175	100	$173	$26.00/月 + $1.80/時間

月に数日しか使用しない場合は従量課金での利用がお得ですが、80時間を超えるような長い期間利用する場合は月額で支払う方がお得になります。

Amazon WorkSpaces PoolsはWindowsでの提供となるため、従量課金にプラスしてRemote Desktop Services (RDS) Subscriber Access License (SAL)として月に4.19ドルが発生します。

Poolsの場合、ルートボリュームは200GiBで固定されます。

横にスクロールします→

バンドルタイプ	vCPU	メモリ (GB)	ルートボリューム	時間課金料金 (USD/時間)
Value	1	2	200	$4.19/月 + $0.09/時
Standard	2	4		$4.19/月 +$0.12/時
Performance	2	8		$4.19/月 + $0.24/時
Power	4	16		$4.19/月 + $0.48/時
PowerPro	8	32		$4.19/月 + $0.96/時間
Graphics.g4dn	4	16		$4.19/月 + $1.26/時間
GraphicsPro.g4dn	16	64		$4.19/月 + $3.44/時間

Amazon WorkSpaces の料金

クラウドVDIの検討お役立ちマニュアルとパンフレットダウンロードはこちらから

2. Amazon WorkSpacesを構築してみた

それでは今回は東京リージョンでAmazon WorkSpaces Personalを構築してみたいと思います。

Amazon WorkSpaces は大阪リージョンなど一部サポートされていないリージョンがあります。

詳細は以下のドキュメントをご覧下さい。

WorkSpaces Personal のアベイラビリティーゾーン

東京リージョンにはあらかじめVPCとサブネットを用意しています。

2-1. SimpleADの作成

Amazon WorkSpaces Personalではユーザーと結びつけるため、Directory Serviceの利用が必要となります。

Directory ServiceはSimpleAD,AWS Managed Microsoft AD,AD Connectorを利用したオンプレミスのActive Directory,IAM Identity Centerを経由したEntraID,IAM Identity Centerを経由した外部IDプロバイダーから選択できます。なお、EntraIDと外部IDプロバイダーについてはAmazon WorkSpaces PersonalかつWindows10および11のBYOLのときのみサポートされています。

検証ではSimpleADを使用します。

Amazon WorkSpacesを開き、「ディレクトリ」を選択し、「ディレクトリの作成」をクリックします。

「個人」を選択し、「AWS Directory Service」を選択した状態で、「ディレクトリの作成」をクリックします。

すると別タブでDirectory Serviceの画面に飛びます。

ディレクトリタイプで「SimpleAD」を選択し、「Next」をクリックします。

検証のため、ディレクトリサイズは「スモール」を選択して作成します。

組織名には一意となるような任意の名前を入力します。

ディレクトリのDNS名には設定したいディレクトリの完全修飾名を入力します。

管理者ユーザーはデフォルトで”Administrator”と変更できないものとなっています。

管理者パスワードを入力したら「Next」をクリックします。(管理者パスワードは設定後に確認する方法がないため、忘れないようにメモしておきます)

次にSimpleADを設置するネットワークを選択します。

あらかじめ作成したVPCと2つのプライベートサブネットを選択して「Next」をクリックします。

設定内容が問題ないことを確認し、「ディレクトリの作成」をクリックすると自動的にAmazon WorkSpacesの画面に遷移します。

先ほど作成したディレクトリを選択します。

次にAmazon WorkSpacesを設置するサブネットを選びます。ここのサブネットはSimpleADで選択したサブネットとは別のものを選択することも可能です。

直接IGWからインターネットに接続させたいという要件がある場合は、パブリックサブネットを選択します。

今回はパブリックサブネットに設置してみます。

「セルフサービスの許可」とは、利用者自身でAmazon WorkSpacesを再起動したり、スペック変更などができるようになります。こちらの設定は後から変更することが可能ですが、有効の状態で作成してみようと思います。

ここまで設定したら「登録」をクリックします。

しばらく待つとステータスが”待機中”から”アクティブ”の状態に変化します。

アクティブ状態となったらAmazon WorkSpaces Personalを作成していきます。

2-2. Amazon WorkSpaces Personalの作成

WorkSpacesの「個人」にいることを確認して、「Workspacesの作成」をクリックします。

作成をクリックするとWorkSpaces作成のオンボーディング画面が表示されます。

今回は設定を一つ一つ見ていきたいので、「自分のユースケースに必要なオプションを把握している。」を選択してオンボーディングをスキップします。

タイプはあらかじめ「個人」が選択されているため、そのまま進みます。

バンドルにはDCV(旧WSP)とPCoIP(PC over IP)の二種類のプロトコルが用意されています。

DCVとはAmazon WorkSpaces用のプロトコルで、応答性に優れており、スマートカードの利用やウェブカメラ利用もサポートされています。またYubiKeyやWindows HelloなどのWebAuthn認証機能を利用したい場合もこちらを選択します。

もう一つのPCoIPはTeradiciが開発した画面転送のプロトコルです。iPadやAndroid Linux端末からクライアントを利用する場合や中国リージョンにAmazon WorkSpacesを作成したい場合に利用します。

なお、この2つのプロトコルは作成後も相互に変更可能です。

「すべてのバンドルを比較」をクリックすると、フィルタリングしながらバンドルを選択することができます。

ValueタイプとWindowsOSでフィルタリングして、言語がJapaneseのバンドルを選択し、「送信」をクリックします。

バンドルによってはOfficeがプリインストールされているものもあります。またOffice365をAmazon WorkSpaces上で利用することも可能です。

詳細は以下コラムで紹介しておりますので、気になる方はご覧ください。

Amazon WorkSpacesでMicrosoft 365を使ってみた。～クラウド上のオフィス環境を実現する方法～

実行モードは「自動停止」を選択します。

自動停止を選んだ場合、アイドル時間が一定時間続いた場合、Amazon WorkSpacesが自動停止する時間を設定できます。時間は1時間～48時間まで選択可能です。

※なおこの機能はWindowsOSかつDCVプロトコルを選択した際に設定できます。

今回は1時間に設定しました。「次へ」をクリックします。

ディレクトリの選択画面になるため、先ほど作成したディレクトリを選択します。

ディレクトリにユーザーを作成していないため、ここで作成していきます。

「ユーザーを作成」をクリックします。

「追加ユーザーの作成」をクリックし、ユーザー情報を入力していきます。

“Eメール”に入力したアドレスへ作成したユーザーのパスワード設定リンクが送信されるため、受信できるアドレスを設定します。

入力が完了したら「送信」をクリックします。

リロードボタンをクリックすると、作成したユーザーが一覧に表示されます。

ユーザーにチェックをいれて「次へ」をクリックします。

ここではボリュームの暗号化とユーザーボリュームのサイズ変更が可能です。

今回は特に変更せずに作成しようと思います。「Workspacesの作成」をクリックします。

ステータスが”保留中”の状態でAmazon WorkSpacesが新しく出来上がりました。”使用可能”になるまで少し待ちます。

およそ10分ほど待つと使用可能の状態になりました。

では作成したAmazon WorkSpacesに接続していきます。

2-3. Amazon WorkSpacesに接続してみる

ユーザー作成時に登録したメールアドレスにAmazon WorkSpacesからパスワード設定のメールが送信されているため、リンクをクリックしてパスワードを設定します。

パスワードには英子文字、大文字、数字、特殊文字が含まれている必要があります。

「ユーザーの更新」をクリックします。

パスワードを更新すると、自動的にAmazon WorkSpacesに接続するためのクライアントのダウンロードページに遷移します。利用環境にあうクライアントをダウンロードします。

なおAmazon WorkSpacesにはこのクライアントを利用して接続する必要があります。

クライアントダウンロードの画面操作については各OSごとにドキュメントが用意されていますので、こちらを参考にして設定してください。

WorkSpaces Windows client application

インストールが完了しましたら、クライアントを立ち上げます。

この画面では登録コードを入力します。

コードはパスワード設定のメール内の第2項に記載されています。もしくはAmazon WorkSpacesのコンソール画面からも確認できます。

コンソールから確認する場合は、作成したAmazon WorkSpacesをクリック後、概要欄から登録コードを確認できます。

登録コードを入力して「Register」をクリックするとID/PWの入力画面に遷移します。

ID/PWを入力し、「Sign in」をクリックします。

Amazon WorkSpacesにアクセスすることができました。

少し環境を見てみます。

言語で“Japanese”を選択したため、すでに日本語設定がされています。

またAmazon WorkSpacesはパブリックサブネットに設置したため、インターネットも利用できます。

またセルフサービスを許可しているため、再起動などがユーザーで実施できます。

クラウドVDIの検討お役立ちマニュアルとパンフレットダウンロードはこちらから

3. Amazon WorkSpacesの運用について

3-1. ユーザーの追加/削除

ユーザーの追加は前述で触れたとおり、Amazon WorkSpaces作成時にユーザーを追加することができます。しかし削除の場合、Amazon WorkSpacesのコンソールから削除する項目は現状用意されておりません。そのため、Active DirectoryユーザーとコンピューターをインストールしたEC2などの環境が必要となります。

もしくはローカル管理者権限があればAmazon WorkSpaces内にActive Directoryユーザーとコンピューターをインストールをすると別サーバーを用意せずユーザー管理することも可能です。

WorkSpaces Personal でユーザーを管理する