管理您的 Amazon Linux WorkSpaces

與 Windows 一樣 WorkSpaces，Amazon Linux WorkSpaces 已加入網域，因此您可以使用活動目錄使用者和群組來：

• 管理您的 Amazon Linux WorkSpaces

• WorkSpaces 為使用者提供存取權限

由於 Linux 執行個體不遵守群組政策，因此建議您使用組態管理解決方案來散發和強制執行政策。例如，您可以使用 AWS OpsWorks for Chef Automate、AWS OpsWorks for Puppet Enterprise 或 Ansible。

注意

本機印表機重新導向不適用於 Amazon Linux WorkSpaces。

在 Amazon Linux 上控制 WorkSpaces 流協議（WSP）行為 WorkSpaces

WSP 的行為是由位於 /etc/wsp/ 目錄中的 wsp.conf 檔案中的組態設定所控制。若要部署和強制執行政策變更，請使用支援 Amazon Linux 的組態管理解決方案。任何變更都會在代理程式啟動時生效。

注意

• 如果您對wsp.conf檔案進行了不正確或不支援的變更，原則變更可能不會套用至您的上新建立的連線 WorkSpace。

• WSP WorkSpaces 上的 Amazon Linux 服務包目前有以下限制：

  • 目前僅適用於 AWS GovCloud （美國西部）和 AWS GovCloud （美國東部）。

  • 不支援視訊輸入。

  • 不支援在螢幕鎖定時中斷工作階段連線。

下列各節描述如何啟用或停用某些功能。

設定 WSP Amazon Linux 的剪貼簿重新導向 WorkSpaces

默認情況下， WorkSpaces 支持剪貼板重定向。如有需要，使用 WSP 組態檔來設定此功能。當您中斷連接並重新連接時，此設定生效 WorkSpace。

若要設定 WSP Amazon Linux 的剪貼簿重新導向 WorkSpaces

1. 使用以下命令在具有提升權限的編輯器中開啟 wsp.conf 檔案。

   [domain\username@workspace-id ~]$ sudo vi /etc/wsp/wsp.conf

2. clipboard = X

   其中 X 的可能值為：

   enabled—雙向啟用剪貼簿重新導向 (預設值)

   disabled—雙向停用剪貼簿重新導向

   paste-only—已啟用剪貼簿重新導向，但僅允許您從本機用戶端裝置複製內容並將其貼到遠端主機桌面

   copy-only—已啟用剪貼簿重新導向，但僅允許您從遠端主機桌面複製內容並將其貼到本機用戶端裝置

啟用或停用 WSP Amazon Linux 的音訊輸入重新導向 WorkSpaces

依預設， WorkSpaces 支援音訊輸入重新導向。如有需要，使用 WSP 組態檔來停用此功能。當您中斷連接並重新連接到時，此設定生效 WorkSpace。

啟用或停用 WSP Amazon Linux 的音訊輸入重新導向 WorkSpaces

1. 使用以下命令在具有提升權限的編輯器中開啟 wsp.conf 檔案。

   [domain\username@workspace-id ~]$ sudo vi /etc/wsp/wsp.conf

2. 在檔案的結尾新增此行：

   audio-in = X

   其中 X 的可能值為：

   enabled—已啟用音訊輸入重新導向 (預設值)

   disabled—已停用音訊輸入重新導向

啟用或停用 WSP Amazon Linux 的時區重新導向 WorkSpaces

依預設，Workspace 中的時間設定為鏡像用來連線到的用戶端的時區 WorkSpace。此行為透過時區重新導向控制。您可能會基於下列之類的原因而想要關閉時區方向：

• 貴公司希望所有員工都能在特定時區工作 (即使部分員工位於其他時區)。

• 您已排程的工作 WorkSpace ，其目的是要在特定時區的特定時間執行。

• 您經常旅行的用戶希望將其保留 WorkSpaces 在一個時區，以確保一致性和個人偏好。

如有需要，使用 WSP 組態檔來設定此功能。在您中斷連接並重新連接到之後，此設定生效 WorkSpace。

啟用或停用 WSP Amazon Linux 的時區重新導向 WorkSpaces

1. 使用以下命令在具有提升權限的編輯器中開啟 wsp.conf 檔案。

   [domain\username@workspace-id ~]$ sudo vi /etc/wsp-agent/wsp.conf

2. 在檔案的結尾新增此行：

   timezone_redirect= X

   其中 X 的可能值為：

   enabled—已啟用時區重新導向 (預設值)

   disabled—已停用時區重新導向

控制 Amazon 伺服器上的 PCoIP 代理程式行為 WorkSpaces

PCoIP 代理程式的行為是由位於 /etc/pcoip-agent/ 目錄中的 pcoip-agent.conf 檔案中的組態設定所控制。若要部署和強制執行政策變更，請使用支援 Amazon Linux 的組態管理解決方案。任何變更都會在代理程式啟動時生效。重新啟動代理程式會結束任何開啟的連線並重新啟動視窗管理員。若要套用任何變更，建議您重新啟動 WorkSpace.

注意

如果您對pcoip-agent.conf檔案進行了不正確或不支援的變更，可能會導 WorkSpace 致您停止運作。如果您 WorkSpace 停止運作，您可能需要 WorkSpace 使用 SSH 連線以復原變更，或者您可能必須重建 WorkSpace.

下列各節描述如何啟用或停用某些功能。如需可用設定的完整清單，請man pcoip-agent.conf從任何 Amazon Linux 上的終端機執行 WorkSpace。

為 PCoIP Amazon Linux 設定剪貼簿重新導向 WorkSpaces

默認情況下， WorkSpaces 支持剪貼板重定向。如有需要，使用 PCoIP 代理程式組態來停用此功能。當您重新開機時，此設定會生效 WorkSpace。

若要設定 PCoIP Amazon Linux 的剪貼簿重新導向 WorkSpaces

1. 使用以下命令在具有提升權限的編輯器中開啟 pcoip-agent.conf 檔案。

   [domain\username@workspace-id ~]$ sudo vi /etc/pcoip-agent/pcoip-agent.conf

2. 在檔案的結尾新增此行：

   pcoip.server_clipboard_state = X

   其中 X 的可能值為：

   0—雙向停用剪貼簿重新導向

   1—雙向啟用剪貼簿重新導向

   2—僅啟用用戶端至代理程式的剪貼簿重新導向 (僅允許從本機用戶端裝置複製並貼到遠端主機桌面)

   3—僅啟用代理程式至用戶端的剪貼簿重新導向 (僅允許從遠端主機桌面複製並貼到本機用戶端裝置)

注意

剪貼簿重新導向會以虛擬通道的形式實作。如果停用虛擬通道，剪貼簿重新導向無法運作。若要啟用虛擬通道，請參閱 Teradici 文件中的 PCoIP 虛擬通道。

啟用或停用 PCoIP Amazon Linux 的音訊輸入重新導向 WorkSpaces

依預設， WorkSpaces 支援音訊輸入重新導向。如有需要，使用 PCoIP 代理程式組態來停用此功能。當您重新開機時，此設定會生效 WorkSpace。

啟用或停用 PCoIP Amazon Linux 的音訊輸入重新導向 WorkSpaces

1. 使用以下命令在具有提升權限的編輯器中開啟 pcoip-agent.conf 檔案。

   [domain\username@workspace-id ~]$ sudo vi /etc/pcoip-agent/pcoip-agent.conf

2. 在檔案的結尾新增此行：

   pcoip.enable_audio = X

   其中 X 的可能值為：

   0—已停用音訊輸入重新導向

   1—已啟用音訊輸入重新導向

啟用或停用時區重新導向 WorkSpaces

依預設，Workspace 中的時間設定為鏡像用來連線到的用戶端的時區 WorkSpace。此行為透過時區重新導向控制。您可能會基於下列之類的原因而想要關閉時區方向：

• 貴公司希望所有員工都能在特定時區工作 (即使部分員工位於其他時區)。

• 您已排程的工作 WorkSpace ，其目的是要在特定時區的特定時間執行。

• 您經常旅行的用戶希望將其保留 WorkSpaces 在一個時區，以確保一致性和個人偏好。

如果 Linux 有需要 WorkSpaces，您可以使用 PCoIP 代理程式連接來停用這項功能。當您重新開機時，此設定會生效 WorkSpace。

若要啟用或停用 PCoIP Amazon Linux 的時區重新導向 WorkSpaces

1. 使用以下命令在具有提升權限的編輯器中開啟 pcoip-agent.conf 檔案。

   [domain\username@workspace-id ~]$ sudo vi /etc/pcoip-agent/pcoip-agent.conf

2. 在檔案的結尾新增此行：

   pcoip.enable_timezone_redirect= X

   其中 X 的可能值為：

   0—已停用時區重新導向

   1—已啟用時區重新導向

將 SSH 存取權授予 Amazon Linux WorkSpaces 管理員

根據預設，只有網域管理員群組中指派的使用者和帳戶可以使用 SSH 連線到 Amazon Linux WorkSpaces 。

我們建議您在活動目錄中為您的 Amazon Linux 管理員創建一個專用的 WorkSpaces管理員組。

若要啟用 Linux_Workspaces_Admins Active Directory 群組成員的 sudo 存取權

1. 使用 visudo 來編輯 sudoers 檔案，如下列範例所示。

   [example\username@workspace-id ~]$ sudo visudo

2. 新增以下這一行。

   %example.com\\Linux_WorkSpaces_Admins ALL=(ALL) ALL 

建立專用管理員群組後，請依照下列步驟來啟用群組成員的登入功能。

啟用登入 Linux WorkSpaces _ 管理員作用中目錄群組的成員

1. 使用提升的權限編輯 /etc/security/access.conf。

   [example\username@workspace-id ~]$ sudo vi /etc/security/access.conf

2. 新增以下這一行。

   +:(example\Linux_WorkSpaces_Admins):ALL 

如需有關啟用 SSH 連線的詳細資訊，請參閱 為您的 Linux 啟用安全殼層連線 WorkSpaces。

覆蓋 Amazon Linux 的默認外殼 WorkSpaces

若要覆寫 Linux 的預設殼層 WorkSpaces，建議您編輯使用者的~/.bashrc檔案。例如，若要使用 Z shell 而不是 Bash Shell，請將下列幾行加入至 /home/username/.bashrc。

export SHELL=$(which zsh)
[ -n "$SSH_TTY" ] && exec $SHELL

注意

進行此變更之後，您必須重新啟動 WorkSpace 或登出 WorkSpace (不只是中斷連線)，然後重新登入，變更才會生效。

保護自訂儲存庫免於未經授權的存取

若要控制對自訂儲存庫的存取，建議您使用 Amazon Virtual Private Cloud (Amazon VPC) 內建的安全功能，而非使用密碼。例如，使用網路存取控制清單 (ACL) 和安全群組。如需這些功能的詳細資訊，請參閱《Amazon VPC 使用者指南》中的安全性。

如果您必須使用密碼來保護儲存庫，務必建立 yum 儲存庫定義檔案，如 Fedora 文件中的儲存庫定義檔所示。

使用 Amazon Linux Extras Library 儲存庫

使用 Amazon Linux 時，您可用 Extras Library 將應用程式和軟體更新安裝至執行個體。如需使用 Extras Library 的詳細資訊，請參閱《Amazon EC2 Linux 執行個體使用者指南》中的 Extras Library (Amazon Linux)。

注意

如果您使用的是 Amazon Linux 儲存庫，您的 Amazon Linux WorkSpaces 必須能夠存取網際網路，或者您必須將虛擬私有雲端 (VPC) 端點設定為此儲存庫和主要 Amazon Linux 儲存庫。如需詳細資訊，請參閱 提供您的網際網路存取 WorkSpace。

在 Linux 上使用智慧卡進行驗證 WorkSpaces

Linux WorkSpaces on WorkSpaces 串流通訊協定 (WSP) 套件允許使用通用存取卡 (CAC) 和個人身分驗證 (PIV) 智慧卡進行驗證。如需詳細資訊，請參閱 使用智慧卡進行驗證。

設定裝置 Proxy 伺服器設定以存取網際網路

根據預設，用 WorkSpaces 戶端應用程式會使用 HTTPS (連接埠 443) 流量裝置作業系統設定中指定的 Proxy 伺服器。Amazon 用 WorkSpaces 戶端應用程式使用 HTTPS 連接埠進行更新、註冊和身份驗證。

注意

不支援需要使用登入憑證進行驗證的 Proxy 伺服器。

您可以依照 Microsoft 說明文件中設定裝置 Proxy 和網際網路連線設定中的步驟， WorkSpaces 透過群組原則為 Linux 設定裝置 Proxy 伺服器設定。

如需有關在 WorkSpaces Windows 用戶端應用程式中設定代理伺服器的詳細資訊，請參閱 Amazon WorkSpaces 使用者指南中的代理伺服器。

如需有關在 WorkSpaces macOS 用戶端應用程式中設定代理伺服器的詳細資訊，請參閱 Amazon WorkSpaces 使用者指南中的代理伺服器。

如需有關在 WorkSpaces Web 存取用戶端應用程式中設定代理伺服器設定的詳細資訊，請參閱 Amazon WorkSpaces 使用者指南中的代理伺服器。

代理桌面流量

對於 PCoIP WorkSpaces，桌面用戶端應用程式不支援使用 Proxy 伺服器，也不支援在 UDP 中使用 TLS 解密和檢查連接埠 4172 流量 (針對桌面流量)。它們需要直接連線至連接埠 4172。

對於 WSP WorkSpaces， WorkSpaces 視窗用戶端應用程式 (5.1 及以上版本) 和 macOS 用戶端應用程式 (5.4 版及以上版本) 支援使用 HTTP 代理伺服器進行連接埠 4195 TCP 流量。不支援 TLS 解密和檢查。

WSP 不支援透過 UDP 將 Proxy 用於桌面流量。只有 WorkSpaces Windows 和 macOS 桌面用戶端應用程式和 WSP 網頁存取支援使用代理伺服器，用於 TCP 流量。

注意

如果您選擇使用 Proxy 伺服器，用戶端應用程式對 WorkSpaces 服務進行的 API 呼叫也會被代理。API 呼叫和桌面流量都應該通過相同的 Proxy 伺服器。

Proxy 伺服器的使用建議

我們不建議使用代理服務器與您的 WorkSpaces 桌面流量。

Amazon WorkSpaces 桌面流量已經加密，因此 Proxy 無法改善安全性。Proxy 代表網路路徑中的額外躍點，可能會藉由引入延遲來影響串流品質。如果 Proxy 未適當調整大小以處理桌面串流流量，Proxy 也可能降低輸送量。此外，大多數代理不是為支持長時間運行 WebSocket （TCP）連接而設計的，可能會影響流的質量和穩定性。

如果您必須使用代理伺服器，請將 Proxy 伺服器盡可能靠近用 WorkSpace 戶端 (最好位於同一個網路中)，以避免增加網路延遲，這可能會對串流品質和回應能力造成負面影響。