# 制作用户桌面镜像
#### 操作场景
该任务指导用户制作用户桌面镜像。
#### 前提条件
- 已获取用户登录管理控制台的账号名和密码。
- 已获取操作系统管理员"Administrator"账号的密码。
 
#### 创建镜像
1. 登录云服务器控制台。
2. 在左侧列表中选择"弹性云服务器"。
3. 在待制作镜像的云服务器所在行，选择"更多 \> 镜像 \> 创建镜像"。
4. 在"创建私有镜像"页面，按照提示配置参数。 
   - 创建方式："创建私有镜像"
   
   - 镜像类型："系统盘镜像"
   
   - 选择镜像源："云服务器"，选择[配置云服务器](https://support.huaweicloud.com/usermanual-workspace/workspace_06_1008.html)中已关闭的云服务器名称。
   
   - 名称：按实际操作系统规划，例如："Workspace_Image_01"。
   
   - 企业项目：选择资源所属的企业项目，例如：default。
   
   
   
   
5. 阅读并勾选"我已经阅读并同意《镜像制作承诺书》和《镜像免责声明》"，单击"下一步"。
6. 单击"提交"。 
   镜像制作过程大约持续10-15分钟，创建完成的镜像在"云服务器控制台 \> 镜像服务 \> 私有镜像"列表中。
   
   
 
 #### 为镜像配置证书和安全启动
（制作镜像成功后需要调用接口配置2011证书和VTPM安全启动）
1. 开启安全启动需要获取公钥证书，配置如下。
   
   - 平台密钥：[点此获取WindowsOEMDevicesPK.der](https://github.com/microsoft/secureboot_objects/blob/main/PreSignedObjects/PK/Certificate/WindowsOEMDevicesPK.der)证书
     ![](https://support.huaweicloud.com/usermanual-workspace/zh-cn_image_0000002704845865.png)
     
   
   - 密钥交换密钥：[点此获取MicCorKEKCA2011_2011-06-24.der](https://github.com/microsoft/secureboot_objects/blob/main/PreSignedObjects/KEK/Certificates/MicCorKEKCA2011_2011-06-24.der)证书。
     ![](https://support.huaweicloud.com/usermanual-workspace/zh-cn_image_0000002705005705.png)
     
   
   - 签名数据库：[点此MicWinProPCA2011_2011-10-19.der](https://github.com/microsoft/secureboot_objects/blob/main/PreSignedObjects/DB/Certificates/MicWinProPCA2011_2011-10-19.der)证书
     ![](https://support.huaweicloud.com/usermanual-workspace/zh-cn_image_0000002675285772.png)
     
   
   
   
   
2. 在本地Windows PC的开始菜单搜索"Windows PowerShell"，单击"以管理员身份运行"，进入Windows PowerShell运行窗口。
3. 依次执行如下命令将[1]获取的证书转换成Base64格式。
   
   - 将"WindowsOEMDevicesPK.der"证书转换成Base64格式。 **\[System.Convert\]::ToBase64String(\[System.IO.File\]::ReadAllBytes("** *WindowsOEMDevicesPK.der* *证书存放路径* **")) \| Out-File -FilePath "** *WindowsOEMDevicesPK.base64* *证书生成路径* **" -NoNewline**
     
   
   - 将"MicCorKEKCA2011_2011-06-24.der"证书转换成Base64格式。 **\[System.Convert\]::ToBase64String(\[System.IO.File\]::ReadAllBytes("** *MicCorKEKCA2011_2011-06-24.der* *证书存放路径* **")) \| Out-File -FilePath "** MicCorKEKCA2011_2011-06-24.base64*证书生成路径* **" -NoNewline**
     
   
   - 将"MicWinProPCA2011_2011-10-19.der"证书转换成Base64格式。 **\[System.Convert\]::ToBase64String(\[System.IO.File\]::ReadAllBytes(*"*** *MicWinProPCA2011_2011-10-19.der证书存放路径* ***"*)) \| Out-File -FilePath "** *MicWinProPCA2011_2011-10-19.base64* *证书生成路径* **" -NoNewline**
     
   
   
   ![](https://support.huaweicloud.com/usermanual-workspace/public_sys-resources/note_3.0-zh-cn.png)
   **以上命令中的3个证书存放路径和3个证书的生成路径需要根据实际情况替换。**
   以WindowsOEMDevicesPK.der证书为例：
   - 证书存放路径示例："*C:\\* *WindowsOEMDevicesPK.der*"。
   
   - 证书生成路径示例："*C:\\* *WindowsOEMDevicesPK.base64*"。
    
   
   
4. 调用接口，开启安全启动和VTPM。 
   1. 获取image_id，在弹性云服务器页面左侧导航栏单击"镜像服务"。
   
   2. 在镜像服务页面，获取镜像ID，如[图1]所示。
      图1镜像ID   
      ![](https://support.huaweicloud.com/usermanual-workspace/zh-cn_image_0000002705005711.png) 
   
   
   
   3. 按照以下模板，根据说明进行编辑后备用。
      以下参数取值需要进行替换：
      - $__platform_key替换为[3]中生成的"*WindowsOEMDevicesPK.base64*"证书中的内容。
      
      - $__key_exchange_key替换为[3]中生成的"*MicCorKEKCA2011_2011-06-24.base64*"证书中的内容。
      
      - $__signature_database替换为[3]中生成的"*MicWinProPCA2011_2011-10-19.base64*"证书中的内容。
       
      拷贝[3]中密钥内容时，不拷贝首行"-----BEGIN CERTIFICATE-----"和末尾"-----END CERTIFICATE-----"。
      ```
      [
          {
          "op": "add",
          "path": "/__support_tpm",
          "value": "true"
      },{
          "op": "add",
          "path": "/__support_secure_boot",  
          "value": "true"
        },
        {
          "op": "add",
          "path": "/__platform_key",         
          "value": "$__platform_key"      
        },
        {
          "op": "add",
          "path": "/__key_exchange_key",
          "value": "$__key_exchange_key"   
        },
        {
          "op": "add",
          "path": "/__signature_database",
          "value": "$__signature_database"  
        }
      ]
      ```
      
   
   
   
   4. 通过[API Explorer](https://console.huaweicloud.com/apiexplorer/#/openapi/IMS/doc?api=GlanceUpdateImage)调用接口。
      1. 根据实际情况下拉选择"Region"。
      
      2. 输入image_id，镜像ID为[4.b]中获取的值。
      
      3. 单击"切换为文本输入"，并输入[4.c]中的编辑好的内容。
      
      4. 单击"调试"，如[图2]所示。
         图2调用接口   
         ![](https://support.huaweicloud.com/usermanual-workspace/zh-cn_image_0000002675125926.png)