# 如何配置RDS服务授权及安全策略？ #### 操作场景 该任务指导管理员在AD域服务器上通过设置组策略方式完成RDS授权和安全策略的配置。 将虚拟机添加到应用组后，APS服务器已部署就绪，此时还需在AD域服务器上配置APS服务器的RDS服务授权功能，以确保用户访问APS服务器发布的应用时已获得RD Licensing服务器的RDS服务授权许可。否则，在120天的试用期结束后，客户端将无法使用远程应用。 在通过APS服务器发布应用之前，还需通过配置APS服务器的安全策略方式进行安全加固，以确保授权用户可以安全的访问或使用系统提供的应用，避免对其他用户带来影响。 #### 前提条件 - 已使用域管理员账号登录AD域服务器。 - 已获取待配置的RDS服务授权项和安全策略项。 #### 数据 执行该任务前需准备的数据如[表1]所示。 表1准备的数据 | 参数 | 说明 | 取值样例 | |:---|:---|:---| | 名称 | 用于标识云应用场景下创建的APS服务器OU的名称。 | SBCOU | | 组策略名称 | 用于唯一标识云应用场景下APS服务器的组策略，由数字、字母、下划线组成，长度范围为1～30个字符。 | SBCGRP | | 要使用的许可证服务器IP | 向APS服务器提供RDS服务授权功能的服务器，即RD Licensing服务器。 | 192.168.1.60 | #### 操作步骤 **创建APS服务器OU** 在云应用场景下，需通过组策略方式对APS服务器进行授权控制和安全设置，此时需针对APS服务器单独创建OU。 1. 在主AD域服务器中，选择"![](https://support.huaweicloud.com/usermanual-appstreaming/zh-cn_image_0000001838828593.png) \> 管理工具 \> Active Directory 用户和计算机"。 ![](https://support.huaweicloud.com/usermanual-appstreaming/public_sys-resources/note_3.0-zh-cn.png) 本节内容以Windows Server 2016版本的AD域服务器为例说明配置过程。 弹出"Active Directory 用户和计算机"窗口。 2. 在左侧导航树中，右键单击"域名"，选择"新建 \> 组织单位"。 弹出"新建对象 --- 组织单位"对话框。 3. 输入需要创建的云应用的OU名称，例如"SBCOU"，单击"确定"。 4. 将APS服务器移动到刚创建的OU中。 **创建APS服务器组策略** 5. 在主AD域服务器中，单击![](https://support.huaweicloud.com/usermanual-appstreaming/zh-cn_image_0000001792149172.png)。 弹出"Windows PowerShell"对话框。 6. 输入"gpmc.msc"，打开"组策略管理"窗口。 7. 选中云应用的OU，单击右键，选择"在这个域中创建GPO并在此处链接"。 8. 在弹出的对话框中输入组策略名称，如"SBCGRP"。 9. 单击"确定"。 **配置APS服务器的RDS服务授权** 10. 选中新建的APS服务器组策略名称，单击右键，选择"编辑"。 弹出"组策略管理编辑器"界面。 11. 在左侧导航树中，依次展开"计算机配置 \> 策略 \> 管理模板 \> Windows 组件 \> 远程桌面服务 \> 远程桌面会话主机 \> 授权"。 12. 在右侧"授权"区域框中选中"使用指定的远程桌面许可证服务器"并单击右键，选择"编辑"。 弹出"使用指定的远程桌面许可证服务器"对话框。 13. 按照[图1]所示设置相关参数，单击"确定"。 图1使用指定的远程桌面许可证服务器 ![](https://support.huaweicloud.com/usermanual-appstreaming/zh-cn_image_0000001838748557.png) 14. 在右侧"授权"区域框中选中"设置远程桌面授权模式"并单击右键，选择"编辑"。 弹出"设置远程桌面授权模式"对话框。 15. 按照[图2]所示设置相关参数，单击"确定"。 图2设置远程桌面授权模式 ![](https://support.huaweicloud.com/usermanual-appstreaming/zh-cn_image_0000001838748549.png) **（可选）配置APS服务器的安全策略** ![](https://support.huaweicloud.com/usermanual-appstreaming/public_sys-resources/notice_3.0-zh-cn.png) 用户有安全性要求时，必须配置安全策略。 针对APS服务器，用户可选择两种安全策略，具体操作和适用场景如[表2]所示。 表2安全策略 | 安全策略 | 主要操作 | 适用场景 | |:---|:---|:---| | 普通办公模式 | - 可用管理员发放的所有应用。 - 可用"控制面板"以及系统设置操作。 - 可用"任务管理器"。 - 可用Internet控制面板。 - 可用powershell.exe和cacls.exe。 - 禁用Windows更新，注册表编辑，命令行，"运行"。 - 禁用"关机"、"重新启动"、"睡眠"、"休眠"操作。 | 安全性要求不高，需要通过云应用的优势来提高办公效率的场景。 | | 安全隔离模式 | - 仅可使用指定的Windows应用程序。 - 禁用大部分系统设置操作。 | 安全性要求较高，需要严格控制程序及会话权限的场景。 | 16. 选中新建的组策略名称，单击右键，选择"编辑"。 弹出"组策略管理编辑器"界面。 17. 针对普通办公模式和安全隔离模式，请按照安全策略中的相关介绍，设置APS服务器的安全策略。 安全策略详情请参考[提交工单](https://support.huaweicloud.com/usermanual-ticket/zh-cn_topic_0127038618.html)，填写工单信息，获取技术支持。 18. 以配置"用户配置"下的"禁止访问"控制面板""策略为例介绍具体的配置过程，其他策略可参照此过程设置： 1. 在"本地组策略管理编辑器"的左侧导航中，依次展开"用户配置\> 策略 \> 管理模板 \> 控制面板"。 2. 在右侧"控制面板"区域框中选中"禁止访问"控制面板""并单击右键，选择"编辑"。 3. 选择"已启用"，单击"确定"。 **设置APS服务器域账号不使用组策略** 19. 在"组策略管理"窗口左侧导航树中，选择"林:用户域名称 \> 域 \> *域名* \> *APS* *服务器OU* \> 组策略"。 ![](https://support.huaweicloud.com/usermanual-appstreaming/public_sys-resources/note_3.0-zh-cn.png) 此处选择的组策略已在[创建APS服务器组策略]中完成，如"SBCGRP"。 弹出"组策略管理控制台"对话框。 20. 单击"确定"。 窗口右侧显示APS服务器组策略界面。 21. 选择"委派"页签，单击"添加"。 弹出"选择用户、计算机或组"对话框。 ![](https://support.huaweicloud.com/usermanual-appstreaming/public_sys-resources/note_3.0-zh-cn.png) 默认所有用户应用该策略，需要设置APS服务器域账号不应用该策略，便于管理员维护APS服务器。 22. 输入APS服务器域账号，单击"检查名称"。 显示查询到的域账号。 23. 单击"确定"。 弹出"添加组和用户"对话框。 24. 设置组或用户的权限为"读取"，单击"确定"。 返回APS服务器组策略界面。 25. 单击"高级"。 弹出"*组策略名称* 安全设置"对话框。 26. 选中APS服务器域账号，在"应用组策略"行选择"拒绝"，如[图3]所示。 图3配置APS服务器域账号不应用该策略 ![](https://support.huaweicloud.com/usermanual-appstreaming/zh-cn_image_0000001792149176.png) 27. 单击"应用"。 弹出"Windows 安全"。 28. 单击"是"。 29. 单击"确定"。 **刷新策略** 30. 单击![](https://support.huaweicloud.com/usermanual-appstreaming/zh-cn_image_0000001791989464.png)。 弹出"Windows PowerShell"对话框。 31. 在"Windows PowerShell"对话框中，执行以下命令，刷新策略。 **gpupdate /force** 32. 按"Enter"。任务结束。 回显如下信息，表示策略刷新成功。 ``` 正在更新策略... 用户策略更新成功完成。 计算机策略更新成功完成。 ``` ![](https://support.huaweicloud.com/usermanual-appstreaming/public_sys-resources/note_3.0-zh-cn.png) - 其他组件服务器会同步此新策略，具体同步时间由同步机制确定。 - 重启组件服务器会立即同步新策略。