Erstellen Sie ein AMI mit Windows Sysprep

Das Microsoft System Preparation (Sysprep)-Tool vereinfacht das Duplizieren einer benutzerdefinierten Installation von Windows. Sie können Sysprep verwenden, um ein Standard-Amazon-Machine-Image (AMI) zu erstellen. Anschließend können Sie aus diesem standardisierten Image neue Amazon EC2 Instances für Windows erstellen.

Wir empfehlen, EC2 Image Builder zu verwenden, um die Erstellung, Verwaltung und Bereitstellung von benutzerdefinierten, sicheren und up-to-date „goldenen“ Server-Images zu automatisieren, die vorinstalliert und mit Software und Einstellungen vorkonfiguriert sind.

Wenn Sie Windows Sysprep verwenden, um ein standardisiertes AMI zu erstellen, empfehlen wir, dass Sie Sysprep mit ausführen. EC2Launch v2 Wenn Sie weiterhin die Agents EC2Config (Windows Server 2012 R2 und früher) oder EC2Launch (Windows Server 2016 und 2019) verwenden, finden Sie in der Dokumentation zur Verwendung von Sysprep mit EC2Config und EC2Launch unten weitere Informationen.

Wichtig

Verwenden Sie Sysprep nicht zum Erstellen von Instance-Backups Sysprep entfernt systemspezifische Informationen, was ungewünschte Auswirkungen auf Instance-Backups nach sich ziehen kann.

Informationen zur Problembehandlung bei Sysprep finden Sie unter Beheben Sie Sysprep-Probleme mit Windows-Instanzen.

Bevor Sie beginnen

• Sie sollten vor Ausführung von Sysprep alle lokalen Benutzerkonten und alle Kontoprofile entfernen, abgesehen von einem einzigen Administratorkonto, mit dem Sysprep ausgeführt wird. Wenn Sie Sysprep mit zusätzlichen Konten und Profilen ausführen, könnte dies zu nicht erwarteten Verhaltensweisen einschließlich des Verlusts von Profildaten oder des nicht erfolgreichen Abschlusses von Sysprep führen.

• Erfahren Sie mehr über Sysprep auf Microsoft. TechNet

• Erfahren Sie, welche Serverrollen für Sysprep unterstützt werden.

Verwenden von Sysprep mit EC2Launch v2

Dieser Abschnitt enthält Details zu den verschiedenen Sysprep-Ausführungsphasen und den Aufgaben, die der EC2Launch v2-Service während der Vorbereitung des Image ausführt. Er enthält auch die Schritte zum Erstellen eines standardisierten AMI mit Sysprep mit dem EC2Launch v2-Service.

Sysprep mit EC2Launch v2-Themen

• Sysprep-Phasen
• Sysprep-Aktionen
• Nach Sysprep
• Sysprep mit EC2Launch v2 ausführen

Sysprep-Phasen

Folgende Phasen werden beim Ausführen von Sysprep durchlaufen:

• Generalisieren: Das Tool entfernt Image-spezifische Informationen und Konfigurationen. Zum Beispiel entfernt Sysprep u. a. die Sicherheits-ID (SID), den Computer-Namen, die Ereignisprotokolle und bestimmte Treiber. Anschließend kann vom Betriebssystem (OS) ein AMI erstellt werden.

  Anmerkung

  Wenn Sie Sysprep mit dem EC2Launch v2-Service ausführen, verhindert das System, dass Treiber entfernt werden, da die PersistAllDeviceInstalls-Einstellung standardmäßig auf true festgelegt ist.

• Spezialisieren: Plug & Play durchsucht den Computer und installiert Treiber für alle erkannten Geräte. Das Tool erstellt OS-Anforderungen, z. B. Computer-Name und SID. Optional können Sie Befehle in dieser Phase ausführen.

• Out-of-Box Experience (OOBE): Das System führt ein verkürztes Windows Setup aus und fordert Sie zur Eingabe von Informationen wie Systemsprache, Zeitzone und einer registrierten Organisation auf. Wenn Sie Sysprep mit EC2Launch v2 ausführen, automatisiert die Antwortdatei diese Phase.

Sysprep-Aktionen

Sysprep und EC2Launch v2 führen beim Vorbereiten eines Image die folgenden Aktionen aus.

1. Wenn Sie im Dialogfeld EC2Launch-Einstellungen die Option Shutdown with Sysprep wählen, führt das System den Befehl ec2launch sysprep aus.

2. EC2Launch v2 bearbeitet den Inhalt der unattend.xml-Datei, indem der Registrierungswert unter HKEY_USERS\.DEFAULT\Control Panel\International\LocaleName gelesen wird. Die Datei befindet sich im folgenden Verzeichnis: C:\ProgramData\Amazon\EC2Launch\sysprep.

3. Das System führt das au BeforeSysprep.cmd. Dieser Befehl erstellt den folgenden Registrierungsschlüssel:

   reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 1 /f

   Der Registrierungsschlüssel deaktiviert RDP-Verbindungen bis sie erneut aktiviert werden. Die Deaktivierung von RDP-Verbindungen ist eine notwendige Sicherheitsmaßnahme, da während der ersten Boot-Session nach der Ausführung von Sysprep kurzzeitig Verbindungen von RDP zugelassen werden und noch kein Administratorkennwort vergeben ist.

4. Der EC2Launch v2-Service ruft Sysprep mit dem folgenden Befehl auf:

   sysprep.exe /oobe /generalize /shutdown /unattend: "C:\ProgramData\Amazon\EC2Launch\sysprep\unattend.xml"

Generalisierungsphase

• EC2Launch v2 entfernt Image-spezifische Informationen und Konfigurationen, z. B. Computer-Name und SID. Wenn die Instance Mitglied einer Domain ist, wird sie von der Domain entfernt. Die unattend.xml-Antwortdatei enthält folgende Einstellungen, die sich auf diese Phase auswirken:

  • PersistAllDeviceInstalls: Diese Einstellung verhindert, dass Windows Setup Geräte entfernt und neu konfiguriert, wodurch der Image-Vorbereitungsprozess beschleunigt wird, da Amazon-AMIs bestimmte Treiber zur Ausführung benötigen und die erneute Erkennung dieser Treiber einige Zeit in Anspruch nehmen würde.

  • DoNotCleanUpNonPresentGeräte: Bei dieser Einstellung werden Plug & Play-Informationen für Geräte beibehalten, die derzeit nicht vorhanden sind.

• Sysprep beendet das Betriebssystem beim Erstellen des AMI. Das System startet entweder eine neue Instance oder die ursprüngliche Instance.

Spezialisierungsphase

Das System erstellt OS-spezifische Anforderungen, z. B. Computer-Name und eine SID. Das System führt zudem die folgenden Aktionen basierend auf Konfigurationen durch, die Sie in der unattend.xml-Antwortdatei angeben.

• CopyProfile: Sysprep kann so konfiguriert werden, dass alle Benutzerprofile gelöscht werden, einschließlich des integrierten Administratorprofils. Die Einstellung behält das integrierte Administratorkonto bei, sodass alle an diesem Konto vorgenommenen Anpassungen auf das neue Image übertragen werden. Der Standardwert ist True.

  CopyProfileersetzt das Standardprofil durch das vorhandene lokale Administratorprofil. Alle Konten, mit denen Sie sich nach der Ausführung von Sysprep anmelden, erhalten bei der ersten Anmeldung eine Kopie dieses Profils und seiner Inhalte.

  Wenn es keine spezifischen Benutzerprofilanpassungen gibt, die Sie auf das neue Image übertragen möchten, legen Sie diese Einstellung auf fes False. Sysprep entfernt alle Benutzerprofile. Dies spart Zeit und Festplattenspeicher.

• TimeZone: Die Zeitzone ist standardmäßig auf Coordinate Universal Time (UTC) eingestellt.

• Synchronous command with order 1: Das System führt den folgenden Befehl zur Aktivierung des Administratorkontos und Angabe der Passwortanforderungen aus.

  net user Administrator /ACTIVE:YES /LOGONPASSWORDCHG:NO /EXPIRES:NEVER /PASSWORDREQ:YES

• Synchronous command with order 2: Das System verschlüsselt das Administratorpasswort. Diese Sicherheitsmaßnahme soll verhindern, dass nach Abschluss von Sysprep auf die Instanz zugegriffen werden kann, wenn Sie die setAdminAccount Aufgabe nicht konfiguriert haben.

  Das System führt den folgenden Befehl von Ihrem lokalen Launch-Agent-Verzeichnis aus () C:\Program Files\Amazon\EC2Launch\ aus.

  EC2Launch.exe internal randomize-password --username Administrator

• Um Remote-Desktop-Verbindungen zu aktivieren, setzt das System den fDenyTSConnections Terminalserver-Registrierungsschlüssel auf False.

OOBE-Phase

1. Das System gibt die folgenden Konfigurationen mithilfe der EC2Launch v2-Antwortdatei an:

   • <InputLocale>en-US</InputLocale>

   • <SystemLocale>en-US</SystemLocale>

   • <UILanguage>en-US</UILanguage>

   • <UserLocale>en-US</UserLocale>

   • <HideEULAPage>true</HideEULAPage>

   • <HideWirelessSetupInOOBE>true</HideWirelessSetupInOOBE>

   • <ProtectYourPC>3</ProtectYourPC>

   • <BluetoothTaskbarIconEnabled>false</BluetoothTaskbarIconEnabled>

   • <TimeZone>UTC</TimeZone>

   • <RegisteredOrganization>Amazon.com</RegisteredOrganization>

   • <RegisteredOwner>EC2</RegisteredOwner>

   Anmerkung

   Während der Verallgemeinerungs- und Spezialisierungsphasen überwacht EC2Launch v2 den Status des Betriebssystems. Wenn EC2Launch v2 erkennt, dass sich das OS in einer Sysprep-Phase befindet, schreibt es die folgende Mitteilung in das Systemprotokoll:

   Windows wird konfiguriert. SysprepState=IMAGE_STATE_UNDEPLOYABLE

2. Das System führt EC2Launch v2 aus.

Nach Sysprep

Nach Abschluss von Sysprep sendet EC2Launch v2 die folgende Meldung an die Konsolenausgabe:

Windows sysprep configuration complete.

EC2Launch v2 führt anschließend die folgenden Aktionen aus:

1. Liest den Inhalt der agent-config.yml-Datei und führt konfigurierte Aufgaben aus.

2. Führt alle Aufgaben in der preReady-Phase aus.

3. Danach sendet es die Nachricht Windows is ready an die Systemprotokolle der Instance.

4. Führt alle Aufgaben in der PostReady-Phase aus.

Weitere Informationen zu EC2Launch v2 finden Sie unter Konfigurieren einer Windows-Instance mithilfe von EC2Launch v2.

Sysprep mit EC2Launch v2 ausführen

Gehen Sie wie folgt vor, um ein standardisiertes AMI mit Sysprep mit EC2Launch v2 zu erstellen.

1. Suchen Sie in der Amazon EC2 EC2-Konsole ein AMI, das Sie duplizieren möchten.

2. Starten Sie die Windows-Instance und stellen Sie eine Verbindung zu ihr her.

3. Passen Sie sie an.

4. Suchen Sie im Start-Menü von Windows nach Amazon EC2Launch Settings (Amazon EC2Launch-Einstellungen) und wählen Sie diese aus. Weitere Informationen zu den Optionen und Einstellungen im Dialogfeld Amazon EC2Launch Settings (Amazon EC2Launch-Einstellungen) finden Sie unter Einstellungen für EC2Launch v2.

5. Wählen Sie Shutdown with Sysprep (Herunterfahren mit Sysprep) oder Shutdown without Sysprep (Herunterfahren ohne Sysprep) aus.

Wenn Sie zum Bestätigen der Ausführung von Sysprep und zum Beenden der Instance aufgefordert werden, klicken Sie auf Yes (Ja). EC2Launch v2 führt Sysprep aus. Sie werden dann von der Instance abgemeldet und die Instance wird beendet. Auf der Seite Instances in der Amazon EC2-Konsole wechselt der Instance-Status von Running zu Stopping und zu Stopped. Jetzt kann ein AMI aus dieser Instance erstellt werden.

Sie können das Sysprep-Tool manuell mittels Befehlszeile und dem folgenden Befehl aufrufen:

"%programfiles%\amazon\ec2launch\ec2launch.exe" sysprep --shutdown=true

Verwenden von Sysprep mit EC2Launch

EC2Launch bietet eine standardmäßige Antwortdatei und Batch-Dateien für Sysprep, mit denen die Image-Vorbereitung auf Ihrem AMI automatisiert und gesichert wird. Das Ändern dieser Dateien ist optional. Sie befinden sich standardmäßig in folgendem Verzeichnis: C:\ProgramData\Amazon\EC2-Windows\Launch\Sysprep.

Wichtig

Verwenden Sie Sysprep nicht zum Erstellen von Instance-Backups. Sysprep entfernt systemspezifische Informationen. Wenn Sie diese Informationen entfernen, könnte dies bei einer Instance-Sicherung unbeabsichtigte Folgen haben.

Sysprep mit EC2Launch-Themen

• EC2Launch-Antwort- und -Batchdateien für Sysprep
• Ausführen von Sysprep mit EC2Launch
• Aktualisieren von Metadaten/KMS-Routen für Server 2016 und höher beim Starten eines benutzerdefinierten AMI

EC2Launch-Antwort- und -Batchdateien für Sysprep

Die EC2Launch-Antwortdatei und die Batch-Dateien für Sysprep enthalten Folgendes:

Unattend.xml

Dies ist die standardmäßige Antwortdatei. Wenn Sie ShutdownWithSysprep in der Benutzeroberfläche ausführen SysprepInstance.ps1 oder auswählen, liest das System die Einstellung aus dieser Datei.

BeforeSysprep.cmd

Passen Sie diese Batch-Datei so an, dass Befehle ausgeführt werden, bevor EC2Launch Sysprep ausführt.

SysprepSpecialize.cmd

Passen Sie diese Batch-Datei so an, dass Befehle während der Sysprep-Spezialisierungsphase ausführt werden.

Ausführen von Sysprep mit EC2Launch

Bei der vollständigen Installation von Windows Server 2016 und höher (mit Desktoperfahrung) können Sie Sysprep manuell mit EC2Launch oder mit der Anwendung der EC2 Launch Settings (EC2-Starteinstellungen) ausführen.

So führen Sie Sysprep mit der Anwendung für EC2Launch-Einstellungen aus

1. Suchen oder erstellen Sie in der Amazon EC2-Konsole ein AMI mit Windows Server 2016 oder höher.

2. Starten Sie über das AMI eine Windows-Instance.

3. Stellen Sie eine Verbindung mit Ihrer Windows-Instance her, und passen Sie sie an.

4. Suchen Sie nach der LaunchSettingsEC2-Anwendung und führen Sie sie aus. Standardmäßig befindet sie sich in folgendem Verzeichnis: C:\ProgramData\Amazon\EC2-Windows\Launch\Settings.

   

5. Wählen oder löschen Sie die Optionen nach Bedarf. Diese Einstellungen werden in der Datei LaunchConfig.json gespeichert.

6. Gehen Sie für Administrator Password wie folgt vor:

   • Wählen Sie Random. EC2Launch generiert ein Passwort und verschlüsselt es mit dem Schlüssel des Benutzers: Die Einstellung wird vom System nach dem Start der Instance deaktiviert, so dass das Passwort weiterhin gilt, wenn die Instance neu gestartet bzw. angehalten und gestartet wird.

   • Wählen Sie Specify, und geben Sie ein Passwort ein, das den Systemanforderungen entspricht. Das Passwort wird in LaunchConfig.json im Klartext gespeichert und gelöscht, wenn Sysprep das Administratorpasswort einstellt. Wenn Sie den Service gleich beenden, wird das Passwort sofort festgelegt. EC2Launch verschlüsselt das Passwort mit dem Schlüssel des Benutzers.

   • Wählen Sie ein Passwort DoNothingund geben Sie es in der unattend.xml Datei an. Wenn Sie in der Datei unattend.xml kein Passwort angeben, ist das Administratorkonto deaktiviert.

7. Wählen Sie Shutdown with Sysprep (Herunterfahren mit Sysprep).

So führen Sie Sysprep manuell mit EC2Launch aus

1. Finden oder erstellen Sie in der Amazon EC2-Konsole ein AMI der Datacenter-Edition von Windows Server 2016 oder höher, das Sie duplizieren wollen.

2. Starten Sie die Windows-Instance und stellen Sie eine Verbindung zu ihr her.

3. Passen Sie die Instance an.

4. Geben Sie Einstellungen in der Datei LaunchConfig.json an. Diese Datei befindet sich standardmäßig im Verzeichnis C:\ProgramData\Amazon\EC2-Windows\Launch\Config.

   Geben Sie für adminPasswordType einen der folgenden Werte an:

   Random

   EC2Launch generiert ein Passwort und verschlüsselt es mit dem Schlüssel des Benutzers: Die Einstellung wird vom System nach dem Start der Instance deaktiviert, so dass das Passwort weiterhin gilt, wenn die Instance neu gestartet bzw. angehalten und gestartet wird.

   Specify

   EC2Launch verwendet das Passwort, das Sie unter angebe adminPassword. Wenn das Passwort nicht den Systemanforderungen entspricht, erstellt EC2Launch stattdessen ein zufälliges Passwort. Das Passwort wird in LaunchConfig.json im Klartext gespeichert und gelöscht, wenn Sysprep das Administratorpasswort einstellt. EC2Launch verschlüsselt das Passwort mit dem Schlüssel des Benutzers.

   DoNothing

   EC2Launch verwendet das Passwort, das Sie in der Datei unattend.xml-Datei angeben. Wenn Sie in der Datei unattend.xml kein Passwort angeben, ist das Administratorkonto deaktiviert.

5. (Optional) Geben Sie Einstellungen in unattend.xml und anderen Konfigurationsdateien an. Wenn Sie eine beaufsichtigte Installation planen, brauchen Sie keine Änderung in diesen Dateien vorzunehmen. Die Dateien befinden sich standardmäßig in folgendem Verzeichnis: C:\ProgramData\Amazon\EC2-Windows\Launch\Sysprep.

6. Führen Sie in Windows PowerShell aus./InitializeInstance.ps1 -Schedule. Das Script befindet sich standardmäßig in folgendem Verzeichnis: C:\ProgramData\Amazon\EC2-Windows\Launch\Scripts. Dieses Script plant die Initialisierung der Instance beim nächsten Starten. Sie müssen diese Script ausführen, bevor Sie im nächsten Schritt das Script SysprepInstance.ps1 ausführen.

7. Führen Sie in Windows PowerShell aus./SysprepInstance.ps1. Das Script befindet sich standardmäßig in folgendem Verzeichnis: C:\ProgramData\Amazon\EC2-Windows\Launch\Scripts.

Sie werden von der Instance abgemeldet und die Instance wird beendet. Auf der Seite Instances in der Amazon EC2-Konsole wechselt der Instance-Zustand von Running zu Stopping und zu Stopped. Jetzt kann ein AMI aus dieser Instance erstellt werden.

Aktualisieren von Metadaten/KMS-Routen für Server 2016 und höher beim Starten eines benutzerdefinierten AMI

So aktualisieren Sie Metadaten/KMS-Routen für Server 2016 und höher beim Starten eines benutzerdefinierten AMI:

• Führen Sie die LaunchSettings EC2-GUI aus (C:\\ AmazonProgramData\ EC2-Windows\ Launch\ Settings\ Ec2 LaunchSettings .exe) und wählen Sie die Option zum Herunterfahren mit Sysprep aus.

• Führen Sie EC2 aus LaunchSettings und fahren Sie es ohne Sysprep herunter, bevor Sie das AMI erstellen. Dadurch wird veranlasst, dass die Initialisierungsaufgaben des EC2-Starts beim nächsten Systemstart ausgeführt werden. Die Routen werden dann basierend auf dem Subnetz für die Instance festgelegt.

• Planen Sie die Initialisierungsaufgaben von EC2 Launch manuell neu, bevor Sie ein AMI von erstellen. PowerShell

  Wichtig

  Beachten Sie das Standardverhalten beim Zurücksetzen des Passworts, bevor Sie Aufgaben neu planen.

• Informationen zum Aktualisieren der Routen auf einer ausgeführten Instance, bei der eine Windows-Aktivierung oder Kommunikation mit Instance-Metadatenfehlern auftritt, finden Sie unter „Windows kann nicht aktiviert werden“.

Verwenden von Sysprep mit EC2config

Dieser Abschnitt enthält Details über die unterschiedlichen Sysprep-Ausführungsphasen und die Aufgaben des EC2Config-Service beim Vorbereiten des Image kennen. Er enthält auch die Schritte zum Erstellen eines standardisierten AMI mit Sysprep mit dem EC2Config-Service.

Sysprep mit EC2Config-Themen

• Sysprep-Phasen
• Sysprep-Aktionen
• Nach Sysprep
• Ausführen von Sysprep mit dem EC2Config-Service

Sysprep-Phasen

Folgende Phasen werden beim Ausführen von Sysprep durchlaufen:

• Generalisieren: Das Tool entfernt Image-spezifische Informationen und Konfigurationen. Zum Beispiel entfernt Sysprep u. a. die Sicherheits-ID (SID), den Computer-Namen, die Ereignisprotokolle und bestimmte Treiber. Anschließend kann vom Betriebssystem (OS) ein AMI erstellt werden.

  Anmerkung

  Wenn Sie Sysprep mit dem Dienst EC2Config ausführen, verhindert das System, dass Treiber entfernt werden, da die PersistAllDeviceInstalls Einstellung standardmäßig auf true gesetzt ist.

• Spezialisieren: Plug & Play durchsucht den Computer und installiert Treiber für alle erkannten Geräte. Das Tool erstellt OS-Anforderungen, z. B. Computer-Name und SID. Optional können Sie Befehle in dieser Phase ausführen.

• Out-of-Box Experience (OOBE): Das System führt ein verkürztes Windows Setup aus und fordert den Benutzer zur Eingabe von Informationen wie Systemsprache, Zeitzone und einer registrierten Organisation auf. Wenn Sie Sysprep mit EC2Config ausführen, automatisiert die Antwortdatei diese Phase.

Sysprep-Aktionen

Sysprep und der EC2Config-Service führen folgende Aktionen beim Vorbereiten eines Images aus.

1. Wenn Sie im Dialogfeld EC2-Serviceeigenschaften die Option Mit Sysprep herunterfahren auswählen, führt das System den Befehl ec2config.exe -sysprep aus.

2. Der EC2Config-Service liest den Inhalt der Datei BundleConfig.xml ein. Diese Datei befindet sich standardmäßig im folgenden Verzeichnis: C:\Program Files\Amazon\Ec2ConfigService\Settings.

   Die BundleConfig.xml-Datei umfasst die folgenden Einstellungen. Sie können diese Einstellungen ändern:

   • AutoSysprep: Gibt an, ob Sysprep automatisch verwendet werden soll. Sie brauchen diesen Wert nicht zu ändern, wenn Sie Sysprep vom Dialogfeld „EC2 Service Properties“ aus ausführen. Der Standardwert ist No.

   • SetRDPCertificate: Legt ein selbstsigniertes Zertifikat für den Remote-Desktop-Server fest. Auf diese Weise können Sie das Remote Desktop Protocol (RDP) sicher verwenden, um eine Verbindung zur Instance herzustellen. Ändern Sie den Wert in Yes, wenn neue Instances ein Zertifikat verwenden sollen. Diese Einstellung wird bei Windows Server 2012-Instanzen nicht verwendet, da diese Betriebssysteme ihre eigenen Zertifikate generieren können. Der Standardwert ist No.

   • SetPasswordAfterSysprep: Legt ein zufälliges Passwort für eine neu gestartete Instanz fest, verschlüsselt es mit dem Benutzerstartschlüssel und gibt das verschlüsselte Passwort an die Konsole aus. Ändern Sie den Wert in No, wenn die neuen Instances nicht als zufällig verschlüsseltes Passwort festgelegt werden sollen. Der Standardwert ist Yes.

   • PreSysprepRunCmd: Der Speicherort des auszuführenden Befehls. Der Befehl befindet sich standardmäßig in folgendem Verzeichnis: C:\Program Files\Amazon\Ec2ConfigService\Scripts\BeforeSysprep.cmd

3. Das System führt au BeforeSysprep.cmd. Dieser Befehl erstellt den folgenden Registrierungsschlüssel:

   reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 1 /f

   Der Registrierungsschlüssel deaktiviert RDP-Verbindungen bis sie erneut aktiviert werden. Die Deaktivierung von RDP-Verbindungen ist eine notwendige Sicherheitsmaßnahme, da während der ersten Boot-Session nach der Ausführung von Sysprep kurzzeitig Verbindungen von RDP zugelassen werden und noch kein Administratorkennwort vergeben ist.

4. Der EC2Config-Service ruft Sysprep mit dem folgenden Befehl auf:

   sysprep.exe /unattend: "C:\Program Files\Amazon\Ec2ConfigService\sysprep2008.xml" /oobe /generalize /shutdown

Generalisierungsphase

• Das Tool entfernt Image-spezifische Informationen und Konfigurationen, z. B. Computer-Name und SID. Wenn die Instance Mitglied einer Domain ist, wird sie von der Domain entfernt. Die sysprep2008.xml-Antwortdatei enthält folgende Einstellungen, die sich auf diese Phase auswirken:

  • PersistAllDeviceInstalls: Diese Einstellung verhindert, dass Windows Setup Geräte entfernt und neu konfiguriert, wodurch der Image-Vorbereitungsprozess beschleunigt wird, da Amazon-AMIs bestimmte Treiber zur Ausführung benötigen und die erneute Erkennung dieser Treiber einige Zeit in Anspruch nehmen würde.

  • DoNotCleanUpNonPresentGeräte: Bei dieser Einstellung werden Plug & Play-Informationen für Geräte beibehalten, die derzeit nicht vorhanden sind.

• Sysprep beendet das Betriebssystem beim Erstellen des AMI. Das System startet entweder eine neue Instance oder die ursprüngliche Instance.

Spezialisierungsphase

Das System erstellt OS-spezifische Anforderungen, z. B. Computer-Name und eine SID. Das System führt zudem die folgenden Aktionen basierend auf Konfigurationen durch, die Sie in der sysprep2008.xml-Antwortdatei angeben.

• CopyProfile: Sysprep kann so konfiguriert werden, dass alle Benutzerprofile gelöscht werden, einschließlich des integrierten Administratorprofils. Die Einstellung behält das integrierte Administratorkonto bei, sodass alle an diesem Konto vorgenommenen Anpassungen auf das neue Image übertragen werden. Der Standardwert ist „True“.

  CopyProfileersetzt das Standardprofil durch das vorhandene lokale Administratorprofil. Alle Konten, die sich nach der Ausführung von Sysprep anmelden, erhalten bei der ersten Anmeldung eine Kopie dieses Profils und seiner Inhalte.

  Wenn es keine spezifischen Benutzerprofilanpassungen gibt, die Sie auf das neue Image übertragen möchten, legen Sie diese Einstellung auf „False“ fest. Sysprep entfernt alle Benutzerprofile. Dies spart Zeit und Festplattenspeicher.

• TimeZone: Die Zeitzone ist standardmäßig auf Coordinate Universal Time (UTC) eingestellt.

• Synchronous command with order 1: Das System führt den folgenden Befehl zur Aktivierung des Administratorkontos und Angabe der Passwortanforderungen aus.

  net user Administrator /ACTIVE:YES /LOGONPASSWORDCHG:NO /EXPIRES:NEVER /PASSWORDREQ:YES

• Synchronous command with order 2: Das System verschlüsselt das Administratorpasswort. Die Sicherheitsmaßnahme dient dazu, den Zugriff auf die Instance nach Abschluss von Sysprep zu verhindern, wenn die ec2setpassword-Einstellung nicht aktiviert wurde.

  C:\Program Dateien\ Amazon\ Ec2ConfigService\ ScramblePassword .exe“ -u Administrator

• Synchronous command with order 3: Das System führt den folgenden Befehl aus:

  C:\Program Dateien\ Amazon\ Ec2\ ScriptsConfigService\ SysprepSpecialize Phase.cmd

  Der Befehl fügt den folgenden Registrierungsschlüssel hinzu, der RDP erneut aktiviert:

  reg füge „HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControl Set\ Control\ Terminal Server“ hinzu /v fDenytsConnections /t REG_DWORD /d 0 /f

OOBE-Phase

1. Das System gibt mit der EC2Config-Service-Antwortdatei die folgenden Konfigurationen an:

   • < >de-US</ > InputLocale InputLocale

   • < SystemLocale >de-US</ SystemLocale >

   • <UILanguage>en-US</UILanguage>

   • < UserLocale >de-US</ UserLocale >

   • <HideEULAPage>true</HideEULAPage>

   • < HideWireless SetupIn OOBE>Wahr</ HideWireless SetupIn OOBE>

   • < NetworkLocation >Andere</ NetworkLocation >

   • < PC>3</ PC> ProtectYour ProtectYour

   • < BluetoothTaskbar IconEnabled >falsch</ BluetoothTaskbar IconEnabled >

   • < TimeZone >UTC</ TimeZone >

   • < RegisteredOrganization >Amazon.com</ RegisteredOrganization >

   • < RegisteredOwner RegisteredOwner >Amazon</ >

   Anmerkung

   Während der Generalisierungs- und Spezialisierungsphasen überwacht der EC2Config-Service den Status des Betriebssystems. Wenn EC2Config erkennt, dass sich das OS in einer Sysprep-Phase befindet, schreibt es die folgende Mitteilung in das Systemprotokoll:

   ConfigMonitorEC2-Status: 0 Windows wird konfiguriert. SysprepState=IMAGE_STATE_UNDEPLOYABLE

2. Nach Abschluss der OOBE-Phase führt das System SetupComplete.cmd von folgendem Standort aus: C:\Windows\Setup\Scripts\SetupComplete.cmd. In öffentlichen AMIs von Amazon vor April 2015 war die Datei leer und es wurden keine Befehle für das Image ausgeführt. In öffentlichen AMIs, die nach April 2015 datiert wurden, enthält die Datei den folgenden Wert: call "C:\Program Files\Amazon\Ec2ConfigService\Scripts\PostSysprep.cmd".

3. Das System führt PostSysprep.cmd aus, das die folgenden Vorgänge ausführt:

   • Legt das Administratorpasswort so fest, dass es nicht ablaufen kann. Wenn das Passwort abläuft, können sich Administratoren anschließend möglicherweise nicht mehr anmelden.

   • Legt den MSSQLServer-Computer-Namen (sofern installiert) fest, sodass der Name mit dem AMI synchronisiert wird.

Nach Sysprep

Nach dem Abschluss von Sysprep sendet der EC2Config-Service die folgende Mitteilung an die Konsolenausgabe:

Windows sysprep configuration complete.
			Message: Sysprep Start
			Message: Sysprep End

EC2Config führt anschließend die folgenden Aktionen aus:

1. Liest den Inhalt der config.xml-Datei aus und führt alle aktivierten Plugins aus.

2. Führt alle Plugins vom Typ „Before Windows is ready“ gleichzeitig aus.

   • Ec2 SetPassword

   • Ec2-Name SetComputer

   • Ec2 InitializeDrives

   • Ec2 EventLog

   • Ec2ConfigureRDP

   • Ec2OutputRDPCert

   • Ec2-Brief SetDrive

   • Ec2 WindowsActivate

   • Ec2 DynamicBoot VolumeSize

3. Sendet nach Abschluss die Meldung „Windows is ready“ an die Instance-Systemprotokolle.

4. Führt alle Plugins vom Typ „After Windows is ready“ gleichzeitig aus.

   • CloudWatch Amazon-Protokolle

   • UserData

   • AWS Systems Manager (Systems Manager)

Weitere Informationen über Windows-Plug-ins finden Sie unter Konfigurieren Sie eine Windows-Instanz mithilfe des EC2Config-Dienstes (Legacy).

Ausführen von Sysprep mit dem EC2Config-Service

Mit dem folgenden Verfahren erstellen Sie ein standardisiertes AMI mit Sysprep und dem EC2Config-Service.

1. Suchen Sie in der Amazon EC2-Konsole das zu duplizierende AMI oder erstellen Sie eines.

2. Starten Sie die Windows-Instance und stellen Sie eine Verbindung zu ihr her.

3. Passen Sie sie an.

4. Geben Sie Konfigurationseinstellungen in der EC2Config-Service-Antwortdatei an:

   C:\Program Files\Amazon\Ec2ConfigService\sysprep2008.xml

5. Wählen Sie im Windows-Startmenü Alle Programme und anschließend ConfigServiceEC2-Einstellungen aus.

6. Wählen Sie die Registerkarte Image (Image) im Dialogfeld Ec2 Service Properties (Ec2-Service-Eigenschaften) aus. Weitere Informationen zu den Optionen und Einstellungen im Ec2 Service Properties-Dialogfeld finden Sie unter Ec2-Service-Eigenschaften.

7. Wählen Sie eine Option für das Administratorpasswort aus und wählen Sie anschließend Shutdown with Sysprep (Herunterfahren mit Sysrep) oder Shutdown without Sysprep (Herunterfahren ohne Sysprep). EC2Config bearbeitet die Einstellungsdateien basierend auf der ausgewählten Passwortoption.

   • Random (Zufällig): EC2Config erstellt ein Passwort, verschlüsselt es mit dem Benutzerschlüssel und gibt das verschlüsselte Passwort an die Konsole aus. Die Einstellung wird nach dem ersten Start deaktiviert, sodass das Passwort weiterhin gilt, wenn die Instance neu gestartet bzw. angehalten und gestartet wird.

   • Specify (Angeben): Das Passwort wird unverschlüsselt (Klartext) in der Sysprep-Antwortdatei gespeichert. Bei der nächsten Ausführung von Sysprep wird das Administratorpasswort festgelegt. Wenn Sie den Service gleich beenden, wird das Passwort sofort festgelegt. Sobald der Service erneut startet, wird das Administratorpasswort entfernt. Bewahren Sie das Passwort unbedingt gut auf, da Sie es später nicht erneut abrufen können.

   • Keep Existing (Vorhandenes beibehalten): Das bestehende Passwort für das Administratorkonto ändert sich nicht, wenn Sysprep ausgeführt oder EC2Config neu gestartet wird. Bewahren Sie das Passwort unbedingt gut auf, da Sie es später nicht erneut abrufen können.

8. Klicken Sie auf OK.

Wenn Sie zum Bestätigen der Ausführung von Sysprep und zum Beenden der Instance aufgefordert werden, klicken Sie auf Yes (Ja). EC2Config führt Sysprep aus. Anschließend werden Sie von der Instance abgemeldet und die Instance wird beendet. Auf der Seite Instances in der Amazon EC2-Konsole wechselt der Instance-Zustand von Running zu Stopping und abschließend zu Stopped. Jetzt kann ein AMI aus dieser Instance erstellt werden.

Sie können das Sysprep-Tool manuell mittels Befehlszeile und dem folgenden Befehl aufrufen:

"%programfiles%\amazon\ec2configservice\"ec2config.exe -sysprep"" 

Anmerkung

Die doppelten Anführungszeichen im Befehl sind nicht erforderlich, wenn sich Ihre CMD-Shell bereits im Verzeichnis C:\Program Files\ Amazon\ EC2ConfigService\ befindet.

Achten Sie aber sorgfältig auf die Angabe der richtigen XML-Dateioptionen im Ordner Ec2ConfigService\Settings, andernfalls kann möglicherweise keine Verbindung zur Instance hergestellt werden. Weitere Informationen zu diesen Einstellungsdateien finden Sie unter EC2Config-Einstellungsdateien. Ein Beispiel für die Konfiguration und das anschließende Ausführen von Sysprep über die Befehlszeile finden Sie unter Ec2ConfigService\Scripts\InstallUpdates.ps1.