如何在AWS AppStream 2.0中部署具备管理权限的应用程序

一、部署前置准备 #

• 确认你持有AWS账户的AppStream 2.0全量访问权限、EC2镜像构建相关权限
• 提前准备好特权应用的安装包、授权许可文件、静默安装脚本（无GUI交互的安装脚本优先，避免部署过程中出现人工介入断点）
• 提前梳理目标应用的管理员权限需求范围：是仅安装阶段需要管理员权限，还是运行阶段也需要本地管理员权限

二、具体部署流程 #

2.1 构建自定义应用镜像 #

• 进入AppStream 2.0控制台，选择「图像」-「映像生成器」，启动符合应用系统要求的生成器实例（Windows应用优先选择Windows Server 2019/2022基础镜像，Linux应用选择Amazon Linux 2基础镜像）
• 远程连接到映像生成器实例的桌面，使用本地管理员账户登录，运行runas /user:Administrator cmd打开特权命令行窗口
• 执行提前准备的静默安装脚本，完成特权应用的安装，按需配置应用的运行参数、完成许可激活
• 安装完成后切换到AppStream 2.0自带的「图像助理」工具，扫描已安装的应用，选中要发布的特权应用，完成应用快捷方式、启动参数的配置
• 执行映像生成器的系统优化操作，清理临时文件、安装日志，停止映像生成器后生成自定义应用镜像

提示：镜像生成过程中不要手动修改实例的系统权限配置，避免后续应用场启动失败

2.2 配置应用场与权限 #

• 进入AppStream 2.0控制台的「应用场」选项，新建应用场，选择上一步生成的包含特权应用的自定义镜像
• 按需选择应用场的实例类型、会话持续时间、空闲超时时间等基础运行参数
• 进入应用场的「用户权限」配置页：如果需要用户运行应用时持有本地管理员权限，开启允许用户提升为本地管理员选项（该配置仅对Windows类型应用场生效）；如果仅安装阶段需要管理员权限、运行阶段无需特权，保持默认的标准用户权限配置即可
• 将配置完成的应用场关联到对应堆栈，给目标用户/用户组分配特权应用的访问权限

2.3 功能验证 #

• 使用测试用户账号登录AppStream 2.0用户门户，启动特权应用，验证权限是否符合预期、应用全量功能是否可以正常运行

三、核心配置规则 #

• 静默安装规则：特权应用的安装过程必须支持无交互静默安装，禁止安装过程中弹出需要人工点击的UAC授权窗口、许可确认窗口
• 权限最小化规则：如果应用运行阶段不需要管理员权限，禁止给用户开放本地管理员权限，仅在镜像构建阶段使用管理员权限完成安装即可
• 镜像隔离规则：特权应用必须单独构建自定义镜像，不要和普通非特权应用放在同一个镜像中，避免权限溢出风险
• 日志留痕规则：必须开启应用场的会话日志、系统事件日志上传到CloudWatch的配置，全量记录所有特权操作的日志

四、注意事项 #

• UAC弹窗拦截问题：如果应用运行时会触发UAC弹窗但未给用户开放管理员权限，应用会直接启动失败，这类场景要么提前在镜像中关闭对应应用的UAC检测，要么按需开放管理员权限
• 许可合规问题：特权应用的许可数量必须和应用场的最大并发会话数匹配，避免多用户同时使用触发许可授权超限
• 安全风险管控：给用户开放本地管理员权限后，用户可以修改实例内的系统配置、安装其他软件，建议配合关闭会话持久性配置、开启会话结束后实例自动重置的配置，避免用户修改的内容留存带来的安全风险
• 性能适配问题：特权应用通常对系统资源消耗更高，建议选择比普通应用高1-2个规格的实例类型部署，避免出现运行卡顿的情况
• 启动脚本权限问题：如果应用启动需要执行特权脚本，必须提前在镜像中把脚本的执行权限配置给标准用户，或者通过任务计划程序配置脚本以管理员权限自动运行，避免用户启动时触发权限不足的报错

内容的提问来源于stack exchange，提问作者anoushka