文档首页/ 云堡垒机 CBH_系列2/ 用户指南/ 应用发布配置/ 配置Windows应用发布/ 步骤一：将Windows Server部署为应用服务器
更新时间：2026-09-23 GMT+08:00
查看PDF
分享

步骤一：将Windows Server部署为应用服务器

操作场景

通过堡垒机运维应用，实际是由堡垒机远程桌面连接到应用服务器，再由应用服务器调用远程客户端工具（例如浏览器、数据库客户端工具等）访问应用资产的过程。

在Windows应用发布场景下，应用服务器由Windows Server服务器搭建，用于安装应用程序，并通过RemoteApp服务发布应用程序。本文档以Windows Server 2019 Standard为例，为您介绍如何将Windows Server部署为应用服务器。

RemoteApp服务介绍

RemoteApp是微软自Windows Server 2008起集成于Windows Server的一项服务功能。用户可通过远程桌面访问远端服务器发布的桌面与程序，在客户端本地无需安装相应应用程序即可正常使用。RemoteApp现已成为微软桌面虚拟化架构的重要组成部分之一。

部署说明

为了确保配置RDS和RemoteApp服务安装成功，请遵从以下注意事项：

  • 因部分版本的Windows Server不支持RemoteApp服务，建议选择已经过测试的Windows Server 2012 R2 、Windows Server 2016 Standard、Windows Server 2019 Standard版本。
  • Windows Server服务器可以是物理机，也可以是虚拟机。
  • Windows Server服务器的RDP版本至少为6.1及以上版本。
  • Windows Server服务器必须加入AD域控器中才可安装RemoteApp服务，否则无法安装RemoteApp服务。
  • 在Windows Server服务器上安装AD域时需要安装.NET Framework 3.5功能和.NET Framework 4.0功能。
  • 请提前准备好Windows Server操作系统安装文件，并且将产品ID激活成正版。
  • Windows Server远程桌面服务默认试用期为120天，试用期结束后，您需要先激活远程桌面授权，才能继续使用。如果您需要长期使用此服务，建议您前往微软官方购买“客户端访问许可证（CAL）”，并在应用服务器中激活远程桌面授权。

部署前准备

部署Windows应用服务器前，您需要先准备如下环境。

准备应用服务器

参考表1自行准备一台Windows Server服务器，请根据需要运维的资源数量来准备相应规格，以确保能正常运维所有资源。

表1 应用服务器推荐配置

资产并发数（个）

CPU（Core）

内存（GB）

系统盘（GB）

千兆网卡数目（个）

应用发布服务

1-10

4

8

200

1

RemoteApp

11-20

4

16

200

1

21-50

8

16

300

1

51-100

8

32

300

1

100+

16

64

500

1

端口资源规划

为保证应用发布服务器的正常部署和后续应用运维的正常使用，需开放以下端口。

源设备

源端口

目的设备

目的端口

协议

使用场景

应用发布服务器

随机分配

堡垒机

443

TCP
  • 应用发布服务器部署应用加载器时需要到堡垒机上获取安装文件。
  • 双重审计运维时需要到堡垒机上获取token进行运维。

应用发布服务器和堡垒机之间的网络不允许有网络地址转换。

步骤一：创建AD域

  1. 登录Windows Server 2019 Standard服务器。
  2. 单击开始图标，选择“服务器管理器”。
  3. 在“仪表板”页面，单击“添加角色和功能”。

    图1 添加角色和功能

  4. 在“开始之前”页面，单击“下一页”。

    图2 开始之前

  5. 在“安装类型”页面，选择“基于角色或基于功能的安装”后，单击“下一页”。

    图3 安装类型

  6. 在“服务器选择”页面，选择“从服务器池中选择服务器”后，单击“下一页”。

    图4 服务器选择

  7. 在“服务器角色”页面，单击“Active Directory域服务”，弹出配置窗口，单击“添加功能”。

    图5 服务器角色1

  1. 返回“服务器角色”页面，勾选“Active Directory域服务”，单击“下一页”。

    图6 服务器角色2

  2. 在“功能”页面，勾选“.NET Framework 3.5功能”和“.NET Framework 4.7功能”，单击“下一页”。

    图7 功能

  3. 在“AD DS”页面，单击“下一页”。

    图8 AD DS

  4. 在“确认”页面，确认信息无误后，单击“安装”。

    图9 确认

  5. 等待安装完成后，单击“关闭”。

    图10 结果

步骤二：将此服务器提升为域控制器

  1. 在“仪表板”页面，单击通知图标，选择“将此服务器提升为域控制器”。

    图11 通知

  2. 在“部署配置”页面，选择“添加新林”并填写根域名，单击“下一页”。

    根域名格式为xxx.com，例如本示例中为usm.com。

    图12 部署配置

  3. 在“域控制器选项”页面，输入密码和确认密码，单击“下一页”。

    密码需满足如下复杂度要求：由大小写字母、数字和符号组成，长度最少7个字符。
    图13 域控制器选项

  1. 在“DNS选项”页面，忽略界面提示，单击“下一页”。

    图14 DNS选项

  1. 在“其他选项”页面，会自动填入NetBIOS域名，单击“下一页”。

    图15 其他选项

  1. 在“路径”界面，自行指定AD DS数据库、日志文件和SYSVOL的位置后，单击“下一页”。

    图16 路径

  1. 在“查看选项”页面，单击“下一页”。

    图17 查看选项

  2. 在“先决条件检查”页面，单击“安装”。

    图18 先决条件检查

  1. 等待安装成功后，弹出“即将注销你的登录”窗口，单击“关闭”等待自动重启。

    图19 注销窗口

  1. 重启后请使用AD域账户登录Windows Server 2019 Standard服务器。

    例如本示例中域为usm.com，则域账户为usm，登录密码和Administrator账户一致。

  1. 单击开始图标，选择“控制面板”。
  2. 选择“系统”，在计算机的基本信息页面，查看当前主机是否已成功添加到域中。

    • 若“计算机名、域和工作组设置”区域下已有当前主机信息，则表示加域成功。
    • 若“计算机名、域和工作组设置”区域下没有当前主机信息，请重新执行上述步骤重新配置。
      图20 查看计算机的基本信息

步骤三：安装远程桌面服务

  1. 使用AD域账户登录Windows Server 2019 Standard服务器。

    例如本示例中域为usm.com，则域账户为usm，登录密码和Administrator账户一致。

  2. 单击开始图标，选择“服务器管理器”。
  3. 在“仪表板”页面，单击“添加角色和功能”。

    图21 添加角色和功能

  1. 在“开始之前”页面，单击“下一页”。

    图22 开始之前

  2. 在“安装类型”页面，选择“基于角色或基于功能的安装”后，单击“下一页”。

    图23 安装类型

  3. 在“服务器选择”页面，选择“从服务器池中选择服务器”后，单击“下一页”。

    图24 服务器选择

  4. 在“服务器角色”页面，勾选“远程桌面服务”后，单击“下一页”。

    图25 服务器角色

  1. 在“功能”页面，不选择任何功能项，单击“下一页”。

    图26 功能

  2. 在“远程桌面服务”页面，单击“下一页”。

    图27 远程桌面服务

  3. 在“角色服务”页面，单击“Remote Desktop Session Host”，弹出配置窗口，单击“添加功能”。

    图28 角色服务1

  4. 在“角色服务”页面，单击“远程桌面授权”，弹出配置窗口，单击“添加功能”。

    图29 角色服务2

  1. 在“角色服务”页面，单击“下一页”。

    图30 角色服务3

  2. 在“确认”页面，确认信息无误后，单击“安装”。

    图31 确认

  3. 等待安装完成后，单击“关闭”。

    图32 结果

  4. 重启目标Windows Server 2019 Standard服务器，重启后使用AD域账户登录Windows Server 2019 Standard服务器。

步骤四：安装RemoteAPP服务

  1. 使用AD域账户登录Windows Server 2019 Standard服务器。

    例如本示例中域为usm.com，则域账户为usm，登录密码和Administrator账户一致。

  2. 单击开始图标，选择“服务器管理器”。
  3. 在“仪表板”页面，单击“添加角色和功能”。

    图33 添加角色和功能

  1. 在“开始之前”页面，单击“下一页”。

    图34 开始之前

  2. 在“安装类型”页面，选择“基于远程桌面服务安装”后，单击“下一页”。

    图35 安装类型

  1. 在“部署类型”页面，选择“快速启动”后，单击“下一页”。

    图36 部署类型

  2. 在“部署方案”页面，选择“基于会话的桌面部署”后，单击“下一页”。

    图37 部署方案

  3. 在“服务器选择”页面，将本地服务器移至右侧的“已选择”列表框中，单击“下一页”。

    图38 服务器选择

  4. 在“确认”页面，勾选“需要时自动重新启动目标服务器”，单击“部署”。

    图39 确认

  5. 等待安装完成后，单击“关闭”。

    图40 完成

步骤五：调整应用服务器策略

通过远程桌面服务对Windows应用服务器进行远程运维管理时，需提前在服务器端完成一系列配置准备工作，可确保RDP远程运维通道的稳定性和可用性，保障运维人员能够正常通过远程桌面连接服务器进行日常运维操作。

调整本地组策略

  1. 使用AD域账户登录Windows Server 2019 Standard服务器。

    例如本示例中域为usm.com，则域账户为usm，登录密码和Administrator账户一致。

  2. 打开“运行”对话框，输入“gpedit.msc”，单击“确定”。

    图41 打开“运行”窗口

  3. 在配置窗口的左侧导航栏选择“计算机配置 > 管理模板 > Windows组件 > 远程桌面服务 > 远程桌面会话主机 > 连接”，在右侧“连接”页面中双击“将远程桌面服务用户限制到单独的远程桌面服务会话”。

    图42 选择“将远程桌面服务用户限制到单独的远程桌面服务会话”

  4. 在配置窗口中，选择“已禁用”后，单击“确定”。

    图43 禁用“将远程桌面服务用户限制到单独的远程桌面服务会话”

  5. 在右侧“连接”页面中双击“允许远程启动未列出的程序”。

    图44 选择“允许远程启动未列出的程序”

  6. 在配置窗口中，选择“已启用”后，单击“确定”。

    图45 启用“允许远程启动未列出的程序”

  7. 在右侧“连接”页面中双击“限制连接的数量”。

    图46 选择“限制连接的数量”

  8. 在配置窗口中，选择“已启用”，“允许的RD最大连接数”设置为“999999”，单击“确定”。

    图47 启用“限制连接的数量”

  1. 在右侧“连接”页面中双击“允许用户通过使用远程桌面服务进行远程连接”。

    图48 选择“允许用户通过使用远程桌面服务进行远程连接”

  2. 在配置窗口中，选择“已启用”后，单击“确定”。

    图49 启用“允许用户通过使用远程桌面服务进行远程连接”

  3. 关闭配置窗口。

调整注册表

  1. 使用AD域账户登录Windows Server 2019 Standard服务器。

    例如本示例中域为usm.com，则域账户为usm，登录密码和Administrator账户一致。

  2. 打开“运行”对话框，输入“regedit”，单击“确定”。

    图50 打开“运行”窗口

  1. 在配置窗口的左侧导航栏选择“HKEY_LOCAL_MACHINE > SYSTEM > CurrentControlSet > Control > Terminal Server > WinStations > RDP-Tcp”，在右侧页面中双击“MaxDisconnectionTime”。

    图51 选择“MaxDisconnectionTime”

  2. 在弹出的对话框中，“基数”选择为“十进制”，将“数值数据”设置为“1000”，单击“确定”。

    键值MaxDisconnectionTime的单位为毫秒，设置为1000则表示断开会话最长保持1秒，设置为0表示该字段不生效。

    图52 设置“MaxDisconnectionTime”

  3. 在右侧页面中双击“fInheritMaxDisconnectionTime”，在弹出的对话框中将“数值数据”设置为“1000”，单击“确定”。否则MaxDisconnectionTime的设置不会生效。

    图53 设置“fInheritMaxDisconnectionTime”

  4. 关闭配置窗口。

屏蔽IE地址栏

  1. 使用AD域账户登录Windows Server 2019 Standard服务器。

    例如本示例中域为usm.com，则域账户为usm，登录密码和Administrator账户一致。

  2. 打开“运行”对话框，输入“gpedit.msc”，单击“确定”。

    图54 打开“运行”窗口

  3. 在配置窗口的左侧导航栏选择“计算机配置 > 管理模板 > Windows组件 > Internet Explorer”，在右侧页面中双击“强制全屏模式”。

    图55 选择“强制全屏模式”

  4. 在配置窗口中，选择“已启用”后，单击“确定”。

    图56 启用“强制全屏模式”

  5. 关闭配置窗口，打开IE浏览器，检查配置效果。若IE浏览器中没有地址栏，则表示设置成功。

    图57 IE浏览器

关闭Windows防火墙

  1. 使用AD域账户登录Windows Server 2019 Standard服务器。

    例如本示例中域为usm.com，则域账户为usm，登录密码和Administrator账户一致。

  2. 单击开始图标，选择“控制面板”。
  3. 选择“Windows Defender防火墙”。

    图58 选择“Windows Defender防火墙”

  4. 单击“启用或关闭Windows Defender防火墙”。

    图59 选择“启用或关闭Windows Defender防火墙”

  1. 选择“关闭Windows Defender防火墙（不推荐）”将所有防火墙关闭后，单击“确定”。

    图60 关闭防火墙

  1. 关闭配置窗口。

关闭IE增强的安全配置

  1. 使用AD域账户登录Windows Server 2019 Standard服务器。

    例如本示例中域为usm.com，则域账户为usm，登录密码和Administrator账户一致。

  2. 单击开始图标，选择“服务器管理器”。
  3. 在“仪表板”页面，单击“本地服务器”。
  4. 在“IE增强的安全配置”右侧，单击“启用”。

    图61 启用“IE增强的安全配置”

  5. 在弹窗中，将管理员和用户的安全配置均设置为“关闭”，单击“确定”。

    图62 关闭安全配置

  6. 确认“IE增强的安全配置”为“关闭”后，关闭配置窗口。

    图63 确认配置

设置RD授权模式

  1. 使用AD域账户登录Windows Server 2019 Standard服务器。

    例如本示例中域为usm.com，则域账户为usm，登录密码和Administrator账户一致。

  2. 单击开始图标，选择“服务器管理器”。
  3. 在“仪表板”页面，单击“远程桌面服务”。

    图64 选择“远程桌面服务”

  4. 选择“服务器”，在服务器列表中，右键单击已添加的Windows服务器，选择“RD授权诊断程序”。

    图65 选择“RD授权诊断程序”

  5. 在“RD授权诊断程序”页面中若有警告提示“未配置远程桌面会话主机服务器的授权模式”，则表示RD授权未配置完成，需执行后续步骤配置RD授权。

    图66 查看告警

  6. 关闭“RD授权诊断程序”窗口，返回远程桌面服务的“服务器”页面后，选择“概述”，再单击“RD授权”。

    图67 选择“RD授权”

  1. 将本地服务器移至右侧的“已选择”列表框中，单击“下一页”。

    图68 选择服务器

  2. 在“确认”页面，单击“添加”。

    图69 确认添加

  3. 等待安装成功后，单击“关闭”。

    图70 确认安装结果

  4. 在远程桌面服务的“概述”页面，选择“任务 > 编辑部署属性”。

    图71 选择“编辑部署属性”

  5. 在“RD授权”页签，选择“每设备”并添加计算机名、域名，单击“应用”。

    图72 设置RD授权

  6. 关闭“配置部署”窗口，选择“服务器”，在服务器列表中，右键单击已添加的Windows服务器，选择“RD授权诊断程序”。

    图73 选择“RD授权诊断程序”

  7. 在“RD授权诊断程序”页面，警告提示“未配置远程桌面会话主机服务器的授权模式”已不存在，则表示RD授权已配置完成。

开启远程桌面

  1. 使用AD域账户登录Windows Server 2019 Standard服务器。

    例如本示例中域为usm.com，则域账户为usm，登录密码和Administrator账户一致。

  2. 单击开始图标，选择“控制面板”。
  3. 选择“系统”。

    图74 选择“系统”

  4. 在左侧导航栏，选择“远程设置”，在弹出的窗口中，选择“允许远程连接到此计算机”，取消勾选“仅允许运行使用网络级别身份验证的远程桌面的计算机连接(建议)”，单击“确定”。

    图75 配置“远程设置”

相关文档