为什么我无法使用 WorkSpaces Personal 客户端对我的 WorkSpace 进行身份验证？

3 分钟阅读

当我使用 Amazon WorkSpaces Personal 客户端尝试登录我的 WorkSpace 时收到错误，例如“Authentication Failed”（身份验证失败）。

解决方法

如果您遇到 Directory Unavailable（目录不可用）错误，请参阅如何解决 WorkSpaces 中的“Directory Unavailable”（目录不可用）错误？

如果您的 SAML 2.0 身份验证出现问题，请参阅如何解决 WorkSpaces 中的 SAML 2.0 身份验证问题？

如果您无法在 WorkSpace 中进行身份验证，则可能会收到错误“Authentication Failed: Please check your username and password to make sure you typed them correctly.”（身份验证失败：请检查您的用户名和密码，确保您输入的内容正确。）适用于 Microsoft Active Directory 或 Simple AD 的 AWS Directory Service 中的配置问题可能会导致 Authentication Failed（身份验证失败）错误，即使您使用了正确的凭证。要解决此错误，请执行以下操作。

确认 WorkSpaces Personal 客户端中的目录注册码与 WorkSpace 关联的值相匹配

完成以下步骤：

打开 WorkSpaces 客户端。
选择 Settings（设置），然后选择 Manage Login Information（管理登录信息）。
记下注册码。
**注意：**如果您有多个注册码，请选择 Change Registration Code（更改注册码）以查找您上次使用的注册码。
打开 WorkSpaces 控制台。
选择您的 WorkSpace，然后选择 View Details（查看详细信息）。
在 Summary（摘要）下，验证 Registration Code（注册码）的值是否与您记下的注册码相匹配。

验证您的凭证

对于 Windows WorkSpaces，使用远程桌面协议 (RDP) 连接到您的 WorkSpace。对于 Linux WorkSpaces，使用 SSH 连接到您的 WorkSpace。输入您的凭证，然后检查错误代码详细信息。

如果您收到错误 Make sure you're entering the correct username and password（确保输入正确的用户名和密码）或 Ensure the account isn't locked out（确保账户未被锁定），则说明凭证不正确。重置密码，或者解锁 Microsoft Active Directory 中的账户。有关如何解锁 Microsoft Active Directory 账户的信息，请参阅 Microsoft 网站上的 Unlock-ADAccount。

如果您收到错误 The trust relationship between this workstation and the primary domain failed（此工作站与主域之间的信任关系失败），请对域加入问题进行故障排除。如果与 Active Directory 的信任中断，则必须恢复并重新构建 WorkSpace。

如果您使用 Windows Workspace 并收到网络级别身份验证 (NLA) 错误，请参阅为什么我在使用 RDP 连接到 WorkSpaces 时收到 NLA 错误？

检查您的 Active Directory 用户账户配置

完成以下步骤：

检查 Kerberos 预身份验证是否已开启。
让您的 WorkSpaces 管理员在 Active Directory Users and Computers（Active Directory 用户和计算机）中的用户属性下取消选中 User must change password on next logon（用户下次登录时必须更改密码）。
要确认您的密码未过期，请使用加入该域的管理员计算机运行以下命令：
```
net user username/domain
```
**注意：**将 username 替换为您的用户名。
要重置密码，请打开 WorkSpaces 客户端，然后选择 Forgot Password?（忘记了密码？）。
**注意：**仅当您使用 Simple AD 或 AWS 托管式 Microsoft AD 时，才可以使用 Forgot Password?（忘记了密码？）。

验证用户账户中的 sAMAccountName 属性是否未更改

如果您更改 Active Directory 用户的用户名，则 WorkSpaces 和 Active Directory 中的用户名不匹配，身份验证将失败。如果您更改了 sAMAccountName 值，请将其恢复为原始用户名。

如果您必须重命名用户，请完成以下步骤：

将文件从用户卷备份到外部位置，例如 Amazon FSx。
删除 WorkSpace。
**重要事项：**您无法回滚 WorkSpace 删除操作。当您删除 WorkSpace 时，用户的数据将不再可用。
修改用户名属性。
为用户创建新的 WorkSpace。

如果您删除了 Active Directory 用户并使用同一 sAMAccountName 创建了新用户，则必须为该用户创建新的 WorkSpace。

验证用户名是否仅包含有效字符

检查用户名是否仅使用有效字符。

如果 WorkSpaces 用户名包含无效字符，请完成以下步骤：

将文件从用户卷备份到外部位置，例如 Amazon FSx。
删除 WorkSpace。
**重要事项：**您无法回滚 WorkSpace 删除操作。当您删除 WorkSpace 时，用户的数据将不再可用。
使用 Active Directory Users and Computers（Active Directory 用户和计算机）工具查找用户。
打开用户的上下文（右键单击）菜单，然后选择 Properties（属性）。
在 Account（账户）选项卡中，重命名 User logon name（用户登录名）和 User logon name (pre-Windows 2000)（用户登录名（Windows 2000 之前的版本）。
使用新用户名创建新的 WorkSpace。

验证密码是否仅包含有效字符

密码区分大小写，长度必须介于 8 到 64 个字符之间。密码必须包含以下每个类别中的至少一个字符：

小写字符 (a-z)
大写字符 (A-Z)
数字 (0-9)
非字母数字字符 (~!@#$%^&*_-+=`|\(){}[]:;"'<>,.?/)

不要包含不可打印的 Unicode 字符，例如空格、回车制表符、换行符和空字符。

验证各资源的时差是否不超过 5 分钟

身份验证对您在 WorkSpaces 中使用的资源之间的时差很敏感。域中的域控制器、RADIUS 服务器、WorkSpace 实例和服务必须同步。

要确保所有资源同步，请执行以下操作：

如果 Active Directory 由客户管理，则将每个域控制器与授权时间源同步。有关详细信息，请参阅 Microsoft 网站上的建议 - 使用权威的时间源配置根 PDC 并避免出现广泛的时间偏差。
确保域控制器之间没有时间偏差。有关时间偏差的信息，请参阅 Microsoft 网站上的 Windows 时间服务工具和设置。
检查域控制器之间的复制是否按预期运行。有关详细信息，请参阅 Microsoft 网站上的 Active Directory 复制问题故障排除。
如果您使用多重身份验证 (MFA)，请检查所有 RADIUS 服务器上的时钟是否与可靠的时间源同步。您可以使用 NTP 池项目网站上的 NTP 工具。
如果 WorkSpace 上的时间不准确，请重启 WorkSpace 以使其与原子时钟同步。几分钟后，WorkSpace 还会与域控制器同步。

根据可靠的时间源检查时间。
对于 Linux WorkSpace，运行以下命令：

ntpdate -q -u pool.ntp.org

对于 Windows WorkSpace，运行以下命令：

w32tm.exe /stripchart /computer:pool.ntp.org