EUC en AWS: escritorios virtuales y streaming de aplicaciones

Por

Publicado el

Actualizado el

La computación de usuario final (EUC, por End User Computing) en AWS permite entregar escritorios completos, aplicaciones de escritorio o un navegador remoto a las personas que los necesitan. La primera decisión es qué debe recibir cada usuario: un escritorio propio que conserva su entorno, una o varias aplicaciones transmitidas desde AWS, o acceso aislado a sitios web.

Para escritorios persistentes por persona, evalúa Amazon WorkSpaces Personal. Para transmitir aplicaciones —y también escritorios no persistentes— evalúa Amazon WorkSpaces Applications, cuyo nombre anterior era Amazon AppStream 2.0. Al 4 de octubre de 2026 hay límites de disponibilidad que afectan la elección: AWS ya cerró WorkSpaces Pools a clientes nuevos; también anunció fechas de cierre para el protocolo PCoIP de WorkSpaces Personal y para aceptar clientes nuevos en WorkSpaces Secure Browser. Están detalladas en la comparación siguiente.

EUC no significa “poner una EC2 para cada persona”

Un servicio EUC administra parte del aprovisionamiento, el acceso y la transmisión de la sesión. El usuario final recibe un escritorio o una aplicación por medio de un cliente compatible o, cuando el servicio y el caso lo permiten, un navegador. El escritorio que se muestra en pantalla sigue necesitando una identidad, aplicaciones, datos y una conexión de red; sus permisos y persistencia dependen del servicio y de cómo se configure.

Esto se diferencia de administrar instancias Amazon EC2 genéricas como servidores. WorkSpaces Personal y WorkSpaces Applications tienen flujos de creación, imágenes, acceso y facturación propios. La consola y la API de AWS requieren permisos administrativos, pero esos permisos de IAM no determinan por sí solos qué puede abrir o modificar una persona dentro de Windows, Linux o una aplicación.

Cómo elegir entre las opciones de WorkSpaces

WorkSpaces Personal: un escritorio persistente por persona

Si una persona necesita un escritorio completo, personalizado y persistente, evalúa Amazon WorkSpaces Personal. Asigna un WorkSpace persistente a una persona. Revisa los paquetes disponibles, el origen de identidad, la Región, el cliente, las aplicaciones y dónde deben persistir los datos. Si el entorno existente usa PCoIP, AWS cerró el acceso a clientes nuevos a ese protocolo el 31 de julio de 2026 y termina su soporte el 31 de octubre de 2027; los clientes existentes deben planificar la migración a DCV. La guía de fin de soporte de PCoIP aclara que WorkSpaces Personal basado en DCV no se ve afectado.

WorkSpaces Applications: aplicaciones y escritorios no persistentes

Si necesitas entregar aplicaciones de escritorio a varias personas sin asignarles un escritorio personal, evalúa Amazon WorkSpaces Applications. Transmite aplicaciones desde recursos administrados en AWS. También admite escritorios virtuales no persistentes. El acceso puede hacerse desde un cliente o navegador compatible, según sistema operativo y función. Prueba imágenes, dependencias, licencias, periféricos y el modo de acceso con las aplicaciones reales.

WorkSpaces Pools: transición de entornos existentes

Si ya administras WorkSpaces Pools, consulta la Guía de disponibilidad y transición de WorkSpaces Pools. AWS cerró Pools a clientes nuevos el 31 de julio de 2026. Quienes tenían recursos y escritorios creados antes del 30 de junio de 2026 pueden continuar hasta el 31 de diciembre de 2027; AWS recomienda planificar la migración a WorkSpaces Applications. Valida compatibilidad y experiencia con usuarios piloto antes de moverlos.

WorkSpaces Secure Browser: navegación aislada y disponibilidad

WorkSpaces Secure Browser está pensado para acceder a sitios internos o aplicaciones SaaS desde un navegador aislado. AWS fijó el 29 de octubre de 2026 como fecha efectiva del cierre a clientes nuevos; los clientes existentes pueden continuar con normalidad. Para evaluar la transición hacia WorkSpaces Applications con una imagen Chrome autogestionada, consulta el aviso de disponibilidad y migración. Las funciones de navegador, SSO y auditoría no son equivalentes sin configuración adicional.

Regla práctica: si el trabajo depende de un escritorio individual que retiene el entorno de esa persona, empieza comparando WorkSpaces Personal. Si consiste en abrir aplicaciones concretas desde distintos dispositivos o entregar un escritorio no persistente, compara WorkSpaces Applications. Si solo requiere navegación web controlada, WorkSpaces Secure Browser encaja con ese uso para quienes ya lo tienen habilitado; para nuevas altas, revisa el cierre anunciado y las alternativas de AWS antes de elegir. Una organización puede necesitar más de un servicio para grupos de usuarios diferentes.

WorkSpaces Personal usa una fuente de identidad y un directorio compatibles con la configuración elegida. WorkSpaces Applications documenta grupos de usuarios, SAML 2.0 y URL de streaming como mecanismos de autenticación; no todos aplican a todos los modos de acceso. En WorkSpaces Pools, considera el plazo de retiro antes de dedicar trabajo nuevo a una migración.

Identidad: separa el acceso de administración del inicio de sesión

Antes de probar un servicio, anota quién administra AWS, cómo inicia sesión cada usuario y qué permisos necesita dentro del escritorio y las aplicaciones. Son controles relacionados, pero distintos:

Para repasar el alcance de IAM en AWS, Marcia Villalba publicó el video breve “QUE ES AWS IAM? - EXPLICADO EN 5 MINUTOS”. Sirve como recurso de fundamentos sobre identidades y permisos de AWS; no sustituye la documentación del inicio de sesión final de WorkSpaces.

No des por hecho que habrá inicio de sesión único (SSO) o autenticación multifactor (MFA) con solo activar WorkSpaces. La MFA depende de la identidad y el flujo configurados; por ejemplo, la guía de SAML 2.0 para WorkSpaces Personal limita la función a directorios, Regiones y clientes compatibles. Para WorkSpaces Applications, consulta su guía de autenticación de usuarios. Después prueba el recorrido entero: invitación o portal, autenticación, inicio de sesión del sistema operativo y apertura de la aplicación.

Red: valida la ruta del usuario y la del servicio

WorkSpaces Personal se asocia a una VPC y a un directorio; la red y las subredes deben cumplir los requisitos de la configuración elegida. En la red del usuario también hacen falta los puertos y rangos de AWS correspondientes al cliente y protocolo. El cliente de WorkSpaces incluye una prueba de red que informa sobre conectividad, puertos y tiempo de ida y vuelta. Consulta los requisitos de red de WorkSpaces Personal y usa esa prueba desde los dispositivos representativos del piloto.

En WorkSpaces Applications, las conexiones de streaming usan el endpoint público de Internet de forma predeterminada. AWS también permite transmitir mediante un endpoint de VPC de interfaz, pero la autenticación y los recursos web necesarios todavía requieren conectividad a Internet en el flujo documentado. Los dispositivos deben poder llegar a los dominios y puertos aplicables a la Región y al método de conexión; el streaming mediante endpoint de VPC tiene requisitos adicionales. Revisa la documentación de conexiones de usuario, dominios permitidos y puertos del dispositivo antes de solicitar cambios de firewall o proxy.

Para una explicación comunitaria de VPC e interconexiones, puedes escuchar la sesión de estudio de AWS User Group Guatemala titulada “VPC e Interconexiones de VPC - Grupo de Estudio - Certificación Solutions Architect”. Complementa los fundamentos de red; consulta las guías oficiales de WorkSpaces para requisitos concretos del cliente o el servicio.

Por eso no conviene afirmar que EUC siempre necesita VPN o que nunca la necesita. La ruta depende de la política de la organización, los endpoints elegidos, los dominios de autenticación y la red del usuario. Si hay un proxy, comprueba además el soporte para el protocolo y el tratamiento de los dominios de acceso; AWS advierte, por ejemplo, que no se debe almacenar en caché el tráfico de ciertos dominios de autenticación y del gateway de streaming de WorkSpaces Applications. La transmisión remota requiere conectividad: no prometas uso sin conexión si no has comprobado una solución local separada.

Costos: compara sesiones reales, no solo una tarifa visible

El precio depende del servicio, Región, sistema operativo, recursos elegidos, cantidad de usuarios y horas de uso. WorkSpaces Personal ofrece modalidades de facturación mensual o por hora, según el paquete. En WorkSpaces Applications se facturan los recursos de streaming y constructores de imágenes; según el sistema operativo y el tipo de flota pueden sumarse tarifas por usuario, instancias detenidas y direcciones IPv4 públicas.

Antes del piloto, estima qué recursos auxiliares requiere la configuración —por ejemplo, directorio, conectividad de red o transferencia de datos— y registra el patrón que quieres probar: usuarios simultáneos, duración de sesión, horarios de actividad, aplicaciones y capacidad necesaria. Contrasta la estimación con las páginas de precios de WorkSpaces y precios de WorkSpaces Applications, y con la Calculadora de Precios de AWS. Una facturación por uso o una flota que escala no garantizan ahorro; compara el costo completo del escenario con la alternativa que ya utilizas.

Planifica un piloto acotado

Un piloto sirve para descubrir incompatibilidades antes de elegir una arquitectura productiva. No hace falta diseñar una VPC genérica con subredes públicas, NAT Gateway, bastion host y reglas repetidas para todos los casos. Parte de los requisitos del servicio y de la ruta de red que realmente vayas a probar.

  1. Describe el trabajo. Para cada grupo de usuarios, registra las aplicaciones necesarias, el sistema operativo esperado, los datos que debe conservar, los periféricos, el acceso a servicios internos y los horarios de uso.
  2. Comprueba el alcance. Verifica disponibilidad en la Región, licencias de aplicaciones y sistemas operativos, compatibilidad de la aplicación, cliente o navegador, directorio e identidad, y los requisitos de seguridad y cumplimiento.
  3. Elige candidatos por necesidad. Si un grupo requiere un escritorio persistente, evalúa WorkSpaces Personal. Si necesita aplicaciones concretas o una sesión no persistente, evalúa WorkSpaces Applications. Si solo necesita sitios web, compara WorkSpaces Secure Browser según la disponibilidad de tu cuenta y fecha de alta, o evalúa la alternativa de navegador autogestionado en WorkSpaces Applications. Para un entorno que todavía usa Pools, prueba la migración recomendada por AWS.
  4. Incluye usuarios y redes representativos. Prueba desde los dispositivos y ubicaciones reales previstos, respetando la política de VPN de la organización. Registra el inicio de sesión, tiempo de apertura, latencia percibida, desconexiones, reconexión, persistencia de datos y funciones necesarias como impresión o portapapeles.
  5. Revisa los controles y el costo. Confirma qué identidades pueden administrar el servicio, cuáles pueden acceder a cada aplicación y qué datos entran o salen de la sesión. Estima el costo con las horas y concurrencia observadas, incluyendo recursos auxiliares aplicables.
  6. Define qué aprobarás antes de ampliar. Acordar de antemano compatibilidad, experiencia mínima, requisitos de acceso y presupuesto ayuda a que la decisión dependa de resultados observados y no de una promesa de ahorro.

Para repasar bases de IAM y redes antes de practicar, los laboratorios prácticos de AWS para principiantes incluyen ejercicios de permisos y VPC con comprobaciones y pasos de limpieza. No son un laboratorio de WorkSpaces ni una receta para producción.

Diagnostica los problemas de conexión por etapa

Empieza por guardar el mensaje o código de error, la hora, la Región, el cliente y su versión, el usuario afectado, el protocolo y si el equipo usa VPN o proxy. No envíes contraseñas, tokens ni capturas con datos personales al pedir ayuda.

  1. No aparece el portal o no registra el dispositivo: comprueba el estado del directorio o del portal, el código de registro, la disponibilidad de la Región, el DNS y el acceso desde el dispositivo a los servicios que AWS exige. En WorkSpaces Personal, usa la prueba de red del cliente para revisar los puertos y el RTT.
  2. La autenticación falla antes de abrir la sesión: valida el estado de la cuenta en el directorio o proveedor de identidad, el método habilitado para ese servicio, las políticas MFA/SSO, las coincidencias entre los atributos de usuario y la configuración del cliente. IAM de administración no reemplaza este inicio de sesión.
  3. Se autentica, pero la transmisión queda en blanco o se corta: revisa los dominios y puertos del servicio, la ruta de VPN o proxy, las reglas de inspección y la estabilidad de la conexión. Compara la ruta desde un cliente compatible y usa las guías oficiales de diagnóstico de WorkSpaces Personal o diagnóstico de WorkSpaces Applications, que incluyen errores y códigos de notificación específicos.
  4. La sesión abre, pero falla una aplicación o un periférico: acota el problema a la imagen, dependencias, permisos del sistema operativo, datos de usuario o compatibilidad de la función concreta. Confirma que esa aplicación, dispositivo o red esté admitido en la combinación de servicio y cliente del piloto.

Un síntoma parecido puede originarse en identidad, red o aplicación. Conserva el punto exacto donde falla y el código que informa el servicio; evita cambiar a la vez el firewall, el directorio y la imagen, porque después no sabrás cuál cambio resolvió el problema.

Recursos y comunidades para seguir

Preguntas frecuentes

¿Amazon WorkSpaces es una instancia EC2 para cada usuario?

WorkSpaces entrega escritorios gestionados por el servicio, con paquetes, directorios y opciones de acceso propios. No es equivalente a administrar una instancia EC2 genérica ni aplica automáticamente los permisos del sistema operativo a través de IAM.

¿WorkSpaces Applications reemplazó a AppStream 2.0?

Sí. Amazon WorkSpaces Applications es el nombre actual de Amazon AppStream 2.0. La documentación conserva rutas técnicas con appstream2 en su dirección, aunque el título actual de las páginas usa WorkSpaces Applications.

¿Puedo empezar hoy con WorkSpaces Pools?

No como cliente nuevo: AWS dejó de aceptar clientes nuevos desde el 31 de julio de 2026. Quienes cumplen el criterio de recursos existentes pueden usarlo hasta el 31 de diciembre de 2027; planifica una migración con la guía de AWS enlazada en la tabla.

¿Necesito una VPN para conectarme? ¿Puedo usarlo sin internet?

No hay una respuesta universal sobre VPN: depende de la ruta y los controles aprobados para tu caso. La transmisión requiere conectividad entre el dispositivo y el servicio, incluso cuando una configuración usa endpoints privados para parte del tráfico. No asumas funcionamiento sin conexión.

¿WorkSpaces siempre cuesta menos que un escritorio local?

No necesariamente. El resultado depende de uso, concurrencia, modalidad, licencias, capacidad y servicios auxiliares. Estima el escenario con horas reales del piloto y compáralo con el costo completo de la alternativa actual.