华为云用户手册

操作场景 终端用户通过客户端无法正常打开云应用（提示缺少文件或路径不对），但通过VNC方式或在APS服务器内可以正常打开云应用，需要管理员在管理控制台上修改应用的“命令行参数”配置中的应用路径。 管理员修改启动失败应用的“命令行参数”配置，将APS上应用程序启动依赖的文件或参数配置在管理控制台中应用的命令行参数中。 示例：SPECviewperf 13.0软件。 右键单击软件，选择属性，查看软件的目标位置和起始位置。 目标路径：C:\SPEC\SPECgpc\SPECviewperf13\gui\nw.exe vp13bench 起始位置：C:\SPEC\SPECgpc\SPECviewperf13 在管理控制台中云应用需要添加的命令行参数为起始位置+目标路径后面的参数，如：C:\SPEC\SPECgpc\SPECviewperf13\vp13bench 各个软件的配置参数有差异，请根据实际情况填写。

基本概念 用户 根据用户权限区分为终端用户和管理员。终端用户即最终使用应用的用户，具有使用应用的权限。管理员即租户，为最终使用应用的用户分配应用的用户，具有发布应用、删除应用、设置策略、管理用户等权限。 策略组 策略组是为云应用配置的一组关于文件重定向读写权限、剪切板读写权限、会话自动重连间隔、画面显示等的安全规则集合，用于控制用户终端与云应用之间的数据传输权限。 优先级 优先级是云应用服务判定策略执行先后顺序或者作用权重的依据。优先级由正整数表示，数值越小，优先级越高。 AD管理服务器 活动目录（Active Directory），简称AD。AD管理服务器部署了AD服务的基础架构组件，它可以提供一系列集中组织管理和访问网络资源的目录服务功能。云应用支持对接您自己的AD服务器，实现对云应用的鉴权和认证。 区域和可用区 华为云用区域和可用区来描述数据中心的位置，您可以在特定的区域、可用区发布应用。 区域（Region）：从地理位置和网络时延维度划分，同一个Region内共享弹性计算、块存储、对象存储、VPC网络、弹性公网IP、镜像等公共服务。Region分为通用Region和专属Region，通用Region指面向公共租户提供通用云服务的Region；专属Region指只承载同一类业务或只面向特定租户提供业务服务的专用Region。 可用区（AZ，Availability Zone）：一个AZ是一个或多个物理数据中心的集合，有独立的风火水电，AZ内逻辑上再将计算、网络、存储等资源划分成多个集群。一个Region中的多个AZ间通过高速光纤相连，以满足用户跨AZ构建高可用性系统的需求。 图1阐明了区域和可用区之间的关系。 图1 区域和可用区 项目 区域默认对应一个项目，这个项目由系统预置，用来隔离物理区域间的资源（计算资源、存储资源和网络资源），以默认项目为单位进行授权，用户可以访问您账号中该区域的所有资源。如果您希望进行更加精细的权限控制，可以在区域默认的项目中创建子项目，并在子项目中购买资源，然后以子项目为单位进行授权，使得用户仅能访问特定子项目中资源，使得资源的权限控制更加精确。 软终端 软终端（Software Client）是指在本地PC上安装云应用的客户端，使用户能通过该PC接入云应用，该PC即称为软终端。 瘦终端 瘦终端（Thin Client）是基于PC工业标准设计的小型行业专用商用PC，使用专业嵌入式处理器、小型本地闪存、精简版操作系统，用于接入云应用。瘦终端将鼠标、键盘等输入传送到后台服务器处理，服务器再把处理结果返回给瘦终端连接的显示器显示。不同型号的瘦终端有不同的性能、外设接口、操作界面，可以灵活满足普通办公、高安全、高性能图形设计等使用场景。 应急模式 应急模式是指对接AD场景，未启用其他第三方认证，在云应用服务自有认证模块正常，且AD服务器正常，但云应用服务自有认证模块无法与AD服务器连接时，用户可通过应急模式正常登录到云应用，是云应用服务提供的一种逃生通道。

操作步骤 使用管理员账号登录云应用的管理控制台。 在左侧导航栏中单击“服务器组”，进入服务器组列表页面。 单击需要修改挂载策略的服务器组名称，进入服务器组详情页面 单击“挂载策略”右侧“”，弹出“修改挂载策略”窗口。 根据需求，配置挂载目录设置。 个人目录：选择服务器组挂载策略为个人目录时，服务器只挂载个人文件夹。 共享目录：选择服务器组挂载策略为共享目录时，服务器只挂载共享文件夹。 所有目录：服务器组挂载策略为所有目录时，服务器同时挂载个人文件夹和共享文件夹。 单击“确认”。

前提条件 管理员已具有云应用服务的操作权限。 自主注册的华为云账号默认拥有华为云所有服务的操作权限，如果您使用的是此类账号，无需再进行确认。 华为云账号下新建的 IAM 账号，需要加入“admin”内置用户组，或者拥有云应用服务操作权限的用户组，才可使用云应用。可进入“ 统一身份认证 服务”中查看是否属于“admin”内置用户组。若非“admin”内置用户组，请参见云应用服务授权赋予IAM账号使用云应用服务的权限。 已参考如何部署AD服务器？、如何部署RD Licensing服务器？准备AD服务器以及RD Licensing服务器，且已配置License完成服务器激活。 仅对接了AD场景需要配置。 为保证RD Licensing服务器能持续可用，需要参考如何配置RDS服务授权及安全策略？完成RD Licensing服务器的RDS服务授权及安全策略配置。 已参考如何配置云应用和Windows AD网络互通配置云应用网络与Windows AD网络互通，并准备以下数据： 域名 域管理员账号 域管理员密码 主域控制器名称 主域控制器IP地址 主DNS服务器IP地址 备域控制器名称（可选） 备域控制器IP地址（可选） 备DNS服务器IP地址（可选） 仅对接了AD场景需要配置。

操作场景 管理员发布应用后，云应用默认在VPC子网内，此时云应用无法访问互联网。管理员需要配置NAT网关共享弹性公网IP，使用户接入具有上网功能的应用后，可访问互联网。云应用存在多个业务子网时，需要为每个业务子网开通互联网功能。 云应用与 云桌面 的网络共用。如果同项目下的同一子网内已有桌面，且管理员已为该子网的桌面开通大规模增强型互联网，则终端用户可通过应用程序直接访问互联网。如果当前项目子网只存在应用，则管理员需参考本章节快捷开通互联网，或者参考如何通过购买NAT和EIP服务使云应用可通过互联网访问？进入NAT、EIP页面购买对应服务开通互联网。

前提条件 已获得需要访问互联网的云应用所在区域、项目、使用的VPC和子网信息。 管理员已具有NAT服务和EIP服务的操作权限。 自主注册的华为云账号默认拥有华为云所有服务的操作权限，如果您使用的是此类账号，无需再进行确认。 华为云账号下新建的IAM账号，需要加入“admin”内置用户组，或者拥有NAT服务和EIP服务操作权限的用户组，才可使用NAT服务和EIP服务。可进入“统一身份认证服务”中查看是否属于“admin”内置用户组。若非“admin”内置用户组，请参见NAT服务授权、EIP服务授权赋予IAM账号使用NAT服务和EIP服务的权限。

操作步骤 使用管理员账号登录云应用的管理控制台。 检查是否已开启互联网接入地址。 开通服务后，默认开启互联网接入地址。 在左侧导航栏中单击“租户配置”，进入租户配置列表页面。 查看“互联网接入地址”的状态。 已显示IP地址，则已启用互联网接入地址。请执行3。 显示为“未开启”，则未启用互联网接入地址，请单击“开启”，再执行3。 关闭互联网接入地址后，重新开启互联网接入，IP地址会发生变化，需通知用户使用新的IP地址接入。 开通互联网参考开通互联网章节。 配置DNS转发功能（可选）。 云应用对接了Windows AD，需要在Windows AD服务器上配置DNS的域名解析能力，请参考4.a~4.j进行配置，如果未对接Windows AD，则忽略如下操作。 使用administrator账号登录DNS服务器。 在左下角的任务栏单击。 在弹出的“开始”菜单右侧，单击。 打开“服务器管理器”窗口。 在页面左侧导航栏，单击“DNS”。 在页面中间的“服务器”区域框中，右键单击服务器名称，选择“DNS管理器”。 弹出“DNS管理器”对话框。 展开“DNS”节点。右键单击计算机名称，在弹出的菜单中选择“属性”。 在“高级”页签中，取消选择“禁用递归（也禁用转发器）”，单击“应用”。 在“转发器”页签中，单击“编辑”，在编辑框中填写云应用所在区域默认的DNS服务器IP地址，单击“确定”，完成DNS转发配置。 云应用所在区域默认的DNS服务器IP地址可从华为云提供的内网 DNS地址 中内网DNS地址列表中获取。 通知用户，使用互联网接入地址接入云应用。

操作步骤 使用管理员账号登录云应用的管理控制台。 在左侧导航栏中单击“服务器组”，进入“服务器组”列表页面。 单击已创建的主服务器组名称，进入主服务器组的基本信息页面。 单击右上角的“创建备服务器组”，进入“创建备服务器组”页面。 参考表1配置参数。 表1 备服务器组参数说明 参数 说明 取值样例 服务器组名称 自定义服务器组名称。 命名规则： 名称长度范围为1~64个字符。 由中文、英文大小写、数字、中划线（-）、下划线（_）组成。 Server_Gp-Win2016 描述 根据所需输入描述内容。 - 区域 根据规划选择应用待部署区域。 不同区域的应用之间内网互不相通，且需分区域管理应用，推荐将应用创建在同一区域。 和主服务器组保持一致 项目 根据规划选择应用待部署项目。 和主服务器组保持一致 会话模式 单会话模式 多会话模式 说明： 不对接AD场景仅支持单会话模式。 对接AD场景支持单会话模式和多会话模式。 和主服务器组保持一致 计费方式 根据服务器使用场景选择“包年/包月”或者“按需计费”。 按需计费 可用分区 可用区是在同一区域下，电力、网络隔离的物理区域。可用区之间内网互通，不同可用区之间物理隔离，一个可用区发生故障后不会影响同一区域下的其他可用区。 随机分配 操作系统 选择待创建服务器的操作系统类型，目前仅支持Windows操作系统。 和主服务器组保持一致 CPU架构 目前仅支持X86计算。 和主服务器组保持一致 套餐类型 根据应用类型选择办公类型及规格。 通用办公型为普通规格，适用于通用的办公应用。 图形优化型为GPU规格，适用于高效图形制作类应用。 通用办公型 - 镜像 选择待创建的服务器使用的镜像类型及具体的镜像版本。 云市场镜像是云应用提供的标准操作系统镜像，所有用户可见，包括操作系统及预装的应用。云市场镜像具有高度稳定性，皆为正版授权。支持Windows Server 2016/2019数据中心版中英文镜像。 私有镜像是基于标准操作系统镜像文件创建的个人镜像，可自定义预装应用，仅用户自己可见。请选择镜像制作中已生成的镜像。 私有镜像 - 磁盘类型 根据所需选择磁盘类型 - 系统盘 选择磁盘类型并设置磁盘大小。 磁盘类型性能说明可参考云硬盘产品介绍。 高IO磁盘：是指由SAS存储提供资源的磁盘类型。 超高IO磁盘：是指由SSD存储提供资源的磁盘类型。 磁盘大小范围：10GB~1020GB，输入值需为10的整数倍。 高IO磁盘 1020GB 网络 选择虚拟网络。如果需要在多个业务子网中可用应用，可选择多个子网，或者在网络配置下方单击“单击此处创建子网”，创建子网。 虚拟私有云（VPC）为云应用构建隔离的、用户自主配置和管理的虚拟网络环境，方便管理、配置内部网络。您的云应用将被创建在所选择的虚拟私有云子网内，以便访问企业内网的资源和应用。 - 增购会话数 单台服务器增购会话数，范围根据服务器套餐大小选择。 说明： 服务器组创建完成后，会话数不支持变更。 如需测算云应用并发会话数，参考如何测算云应用的并发会话数？。 - OU名称 在Windows AD服务器上创建了OU时，可选择对应使用的OU。 说明： 仅对接AD场景需要配置。 - 协议组件 HDP协议服务端接入组件：安装在云应用服务器实例中，与云办公客户端进行通信接入的代理组件 说明： 勾选后，如果您镜像里的组件版本过低，我们会在发放过程进行同步升级组件，预计会增加整体机器的发放时长。 勾选 状态 ：关闭服务器组状态开关：云服务将不会调度可用服务器接入会话。 ：开启服务器组状态开关：云服务将会调度可用服务器接入会话。 IP虚拟化 ：关闭IP虚拟化开关。 ：开启IP虚拟化开关。 说明： 启用IP虚拟化，将给每个会话分配不同的IP。服务器预分配的虚拟IP个数与最大会话数一致。 最大会话数=默认会话数+增购会话数。 仅多会话模式支持配置。 和主服务器组保持一致。 扩缩容策略 ：关闭扩缩容策略开关。 ：启用扩缩容策略开关。 启用扩缩容策略开关，配置扩容策略。 扩容策略：会话使用率超过x%时，自动创建按需付费的弹性资源。 说明： 会话使用率 = 使用中的实例会话数之和/（实例最大会话数*可用实例数） 可用实例数：状态为非维护且就绪的服务器数量。 最大会话数：选择套餐的默认会话数量加上增购会话数。 每次创建x台（取值范围：1~10），最多创建x台（取值范围：1~100） 缩容策略：无会话连接的弹性资源最多保留x分钟。（取值范围：5~120分钟） 配置购买数量与时长。 计费方式为“包年/包月”时，可根据实际需要配置购买时长。 单击“下一步：确认配置”，进入配置确认页面。 计费方式为“包年/包月”时，可以选择是否自动续费。 确认配置无误，单击“立即购买”。 计费方式为“按需计费”，资源创建成功后，可在“服务器组”列表页面查看已购买的服务器组及其服务器。 计费方式为“包年/包月”，则进入订单支付页面，完成支付后，可在“服务器组”列表页面查看已购买的服务器组及其服务器。

操作步骤 使用管理员账号登录云应用的管理控制台。 在左侧导航栏中单击“应用组”，进入“应用组”列表页面。 单击应用组名称，进入“应用列表”页面。 单击“添加应用”，进入“发布应用”页面。 选择“应用来源”为“私有镜像”执行步骤5~6。 选择“应用来源”为“自定义添加”执行步骤7~8 在应用列表中选择需要发布的应用。 同一应用组中不能添加名称相同的应用。 单击“确定”。 自定义添加应用相关配置参数如表1所示。 表1 应用配置参数 参数 说明 取值样例 应用名称 应用名称允许可见字符或空格，不可全为空格。 长度范围为1~64个字。 - 沙箱模式运行 沙箱适用场景： 不支持在多个远程会话里同时打开的软件，可以通过沙箱实现多开。 数据不落在应用服务器上，例如客户端类应用，数据存储在端服务器中。 沙箱使用限制： 沙箱中的数据在沙箱内，删除沙箱，所有的东西都会被清理掉。 如果文件太大，不能拷贝到沙箱中编辑，只能是只读模式。 说明： 请先确认并关联服务器组实例已安装应用沙箱软件；否则应用将无法启动。 勾选 沙箱应用路径 沙箱应用文件的安装位置， 如Sandboxie软件：C:\Program Files\Sandboxie\Start.exe\Start.exe 版本号 可根据实际情况填写。 如果是沙箱模式运行，添加沙盒应用版本号。 - 发布者 可根据实际情况填写。 如果是沙箱模式运行，添加沙盒应用的发布者。 - 工作目录 非沙箱沙模式运行文件的安装目录，如C:\Program Files\Internet Explorer。 沙箱模式运行，沙箱应用文件的安装目录，如Sandboxie软件：C:\Program Files\Sandboxie 工作目录涉及到读取配置文件、依赖库搜索路径等。 - 命令行参数 普通应用命令行格式：根据实际情况添加。 沙箱应用格式：指令+空格+"在沙箱模式下启动的应用路径"。 例如：/box:DefaultBox "C:\Program Files\Internet Explorer\iexplore.exe" 说明： 在沙箱模式下启动的应用路径必须用双引号“”。 - 描述 根据实际情况填写需要的信息。 - 单击“确认”。

操作步骤 检查应用服务器是否运行正常。 打开华为云首页。使用管理员账号登录云应用管理控制台。 单击“服务器组”，进入服务器组列表页面。 单击对应的服务器组名称进入服务器列表页面，查看服务器的运行状态，确保运行状态为“运行中”。 运行中，则执行2。 其他状态，可根据实际的状态参考如下操作。如果依然未显示为“运行中”，请参考提交工单，填写工单信息，获取技术支持。 当运行状态为“创建中”、“未就绪”、“正在重启”时，等待状态不为创建中、正在重启、未就绪。 当运行状态为“已停止”时，可选择服务器，单击“开机”，重新开启服务器。 当运行状态为“异常”时，可尝试重启服务器。 检查服务器的会话数是否已满。 在服务器列表页面，查看服务器的会话数是否已达到最大会话数，如图1所示。 图1 比较服务器的会话数与最大会话数 服务器会话数已达到最大会话数，可参考管理服务器组增加服务器组的最大会话数，通知终端用户稍后重试。如果依然无法登录，请参考提交工单，填写工单信息，获取技术支持。 服务器会话数未达到最大会话数，请参考提交工单，填写工单信息，获取技术支持。

验证方法 检查AD服务器防火墙或安全组设置，确保已开启表1端口。 AD服务器端口要求请参考Active Directory and Active Directory Domain Services Port Requirements。 通过E CS 服务，在与云应用服务器相同的VPC中创建一台Windows OS的实例，并将该实例加入已有域。 ECS相关配置与操作请参考《弹性云服务器用户指南》，使用RDP客户端工具（例如 “mstsc”）或VNC方式登录Windows实例。 使用RDP客户端工具（例如 “mstsc”）或VNC方式登录Windows实例。 将ADTest.zip下载到Windows实例，然后解压。 在“ADTest.exe”所在文件夹空白区域中，按住“Shift”，单击右键，选择“在此处打开命令窗口”。 在打开的“命令提示符”中，输入以下命令检查AD管理服务器连通性。 ADTest.exe -file ADTest.cfg -ip AD的IP地址 -domain AD的域名 -user 域管理员账号 命令示例： ADTest.exe -file ADTest.cfg -ip 192.168.161.78 -domain abc.com -user vdsadmin 输入“vdsadmin”的密码。 检查返回的测试结果是否全部为“SUCCEEDED”，如果包含“FAILED”，请根据提示信息检查AD管理服务器配置或防火墙端口。

操作步骤 场景一：Windows AD部署在客户数据中心内网 图1 Windows AD部署在客户数据中心内网 首先需要通过云专线或者IPsec VPN连接客户数据中心与VPC之间的网络。参考云专线服务的《快速入门》或者 虚拟专用网络 VPN服务的《管理员指南》进行配置。 如果Windows AD与云应用之间部署了防火墙，则需要在防火墙上给云应用开启以下端口供云应用连接Windows AD，如表1所示。 表1 端口列表 角色 端口 协议 描述 AD 135 TCP RPC协议（LDAP、分布式文件系统和分布式文件复制需要使用该端口） 137 UDP NetBIOS名称解析（网络登录服务需要使用该端口） 138 UDP NetBIOS数据包服务（分布式文件系统、网络登录等服务需要使用该端口） 139 TCP NetBIOS-SSN服务（网络基本输入输出接口） 445 TCP NetBIOS-SSN服务（网络基本输入输出接口） 445 UDP NetBIOS-SSN服务（网络基本输入输出接口） 49152-65535 TCP RPC动态端口（AD未加固开放的端口。如果AD已加固，需要开放端口50152-51151） 49152-65535 UDP RPC动态端口（AD未加固开放的端口。如果AD已加固，需要开放端口50152-51151） 88 TCP Kerberos密钥分发中心服务 88 UDP Kerberos密钥分发中心服务 123 UDP NTP服务使用的端口 389 UDP LDAP服务器 389 TCP LDAP服务器 464 TCP Kerberos认证协议 464 UDP Kerberos认证协议 500 UDP isakmp 593 TCP RPC over HTTP 636 TCP LDAP SSL DNS 53 TCP DNS服务器 53 UDP DNS服务器 配置完成之后，请参考验证方法进行对接的验证，以确认网络和端口是否正常工作。 场景二：Windows AD部署在云应用所在VPC的另一个子网 在此场景中，需要为Windows AD添加安全组规则，将Windows AD的一些端口开放给云应用，使云应用能够与Windows AD连接。 图2 Windows AD部署在云应用所在VPC的另一个子网 在VPC中创建一个安全组，具体操作请参考创建安全组。 添加一条入方向规则，具体操作请参考添加安全组规则。 安全组创建成功后，将该安全组应用于AD管理服务器实例，使云应用能够与AD正常通讯。 如果需要将开放的端口和协议控制在最小的范围内，可以在安全组内添加多条入方向规则，只开放如表1所示的端口和协议即可。 配置完成之后，请参考验证方法进行网络互通的验证，以确认网络和端口是否正常工作。

操作步骤 使用管理员账号登录云应用的管理控制台。 在左侧导航栏中单击“应用组”，进入“应用组”列表页面。 单击应用组名称，进入“应用列表”页面。 单击“授权用户”，进入用户列表页面。 选择需要取消取消授权的用户（组）。 删除单个用户（组）执行步骤6~7。 批量删除用户（组）执行步骤8~9。 在待删除用户（组）操作列下单击“删除”，弹出“删除”窗口。 单击“确定”。 勾选待批量删除用户（组），单击左上角的“删除”，弹出“删除用户”窗口。 勾选“确定”，单击“确定”。 用户将收到云应用取消授权服务通知邮件/短信。 AD用户组的用户，暂不支持发送通知消息。

如何将ECS服务器加入云应用服务器的域中？ 新购买的ECS服务器未加入云应用服务器所在域中，无法进行共享配置，需要参考如下操作将其加入对应域中。 以Windows Server 2019服务器为例。 在ECS服务器列表页面，单击新购服务器所在行的“远程登录”，输入账号密码，进入云服务器中。 进入Windows Server 2019服务器操作系统桌面，右键单击“此电脑”，选择“属性”，进入系统页面。 在计算机名、域和工作组设置区域，单击“更改设置”，进入系统属性页面。 在“计算机名”页签中，单击“更改”，进入计算机名/域更改页面。 在“隶属于”区域的“域”输入框中输入云应用所在域名，单击“确定”。 输入云应用域服务器的管理员账号与密码，单击“确定”。 提示加域成功后，重启云服务器。 父主题： 常见问题

云应用服务管理员权限 默认情况下，新建的IAM用户没有任何权限，您需要将其加入用户组，并给用户组授予云应用管理员权限，才能使得用户组中的用户获得对应权限，这一过程称为授权。授权后，IAM用户可以在对应拥有权限的项目中对应用资源进行操作。 如表1所示，包括了云应用（云桌面）的所有系统权限以及依赖服务所需的操作权限。其中“依赖关系”表示对应服务的系统权限对其它角色的依赖。由于华为云各服务之间存在业务交互关系，云应用（云桌面）的角色依赖其他服务的角色实现功能。因此给用户组授予云应用的权限时，需选择如表1所示权限，且请勿取消已默认选择的其他依赖权限，否则云应用的权限将无法生效。 表1 云应用（云桌面）系统权限 系统权限 描述 依赖关系 Workspace Administrator 云应用（云桌面）服务的管理员权限，即拥有云应用（云桌面）服务下的所有执行权限。 依赖Tenant Guest、Server Administrator、VPC Administrator角色。 Tenant Guest：全部云服务只读权限（除IAM权限）。 Server Administrator：服务器管理员。 VPC Administrator：网络管理员。 IMS Administrator 镜像服务 的所有执行权限。 该角色有依赖，需要勾选依赖的角色：Tenant Administrator。

创建IAM用户使用云应用 创建用户组并授权 在IAM控制台创建用户组，并授予该用户组如表1中所示的“Workspace Administrator”、“IMS Administrator”和“ECS FullAccess”权限，并选择授权范围。 创建用户并加入用户组 在IAM控制台创建用户，并将其加入1中创建的用户组。 用户登录并验证权限 新创建的用户登录控制台，验证云应用的管理员权限。 进入云应用的管理控制台。 选择“同意授权”，进入云应用服务主界面。 云应用提供了弹性扩容特性，需要获取用户授权，用于创建委托账号，便于用户在启用弹性扩容特性后，系统能自动进行扩缩容。 开通服务后，单击“服务器组”，进入服务器组列表页面，单击右上角“创建服务器组”，若没有提示权限不足，表示赋予的权限已生效。

举例说明 例如您希望a、b两组员工之间的权限隔离，即a组员工使用区域一项目云应用资源、b组员工使用区域二项目云应用资源。 您可以创建A、B两个用户组并授权，即将用户组A赋予区域一项目中云应用的管理员权限，将用户组B赋予区域二中云应用的管理员权限。 再创建两个IAM用户user1、user2，并将IAM用户user1加入用户组A，将IAM用户user2加入用户组B。此时IAM用户user1即拥有区域一项目云应用管理员权限，IAM用户user2拥有区域二项目云应用管理员权限。 a组员工的管理员可以使用IAM用户user1的账号登录华为云，进入区域一项目的云应用控制台页面，为a组员工发布应用，并对区域一项目中的云应用进行管理。b组员工的管理员可以使用IAM用户user2的账号登录华为云，进入区域二项目的云应用控制台页面，为b组员工发布应用，并对区域二项目中的云应用进行管理。操作流程如图1所示。IAM用户创建请参见创建IAM用户。 图1 操作示意图

操作步骤 使用管理员账号登录云应用的管理控制台。 在左侧导航栏中单击“应用组”，进入“应用组”列表页面。 单击待重发通知的用户所在应用组名称，进入“应用列表”页面。 单击“授权用户”，进入用户列表页面。 在待重发通知的用户（组）操作列下单击“重发通知”，弹出“重发通知”窗口。 根据提示选择发送方式，单击“确认”。 单击“通知失败记录”，可以查看“失败记录”和“成功记录”。 在“失败记录”页面可以选择“重发通知”或“批量重发”。

操作步骤 以Google Chrome浏览器为示例： 应用模式下 使用管理员账号登录云应用的管理控制台。 在左侧导航栏中单击“应用组”，进入应用组列表页面。 单击Google Chrome应用所在的应用组名称，进入应用列表页面。 在Google Chrome应用所在行，单击“修改”，在“命令行参数”填写“--no-sandbox --force-wave-audio”，单击“确定”。 终端用户客户端刷新后，重新接入。 共享桌面模式下 终端用户登录至共享桌面中，右键单击Google Chrome的快捷方式，选择属性打开Google Chrome属性页面。 在“目标（T）”值中追加“ --no-sandbox --force-wave-audio”。 终端用户重启Google Chrome。

操作步骤 使用管理员账号登录云应用的管理控制台。 在左侧导航栏中单击“服务器组”，进入“服务器组”列表页面。 单击“创建服务器组”，进入服务器组配置页面。 参考表1配置参数。 表1 服务器组参数说明 参数 说明 取值样例 服务器组名称 自定义服务器组名称。 命名规则： 名称长度范围为1~64个字符。 由中文、英文大小写、数字、中划线（-）、下划线（_）组成。 Server_Gp-Win2016 描述 根据所需输入描述内容。 - 区域 根据规划选择应用待部署区域。 不同区域的应用之间内网互不相通，且需分区域管理应用，推荐将应用创建在同一区域。 华南-广州 项目 根据规划选择应用待部署项目。 cn-south-1 会话模式 单会话模式 多会话模式 说明： 不对接AD场景仅支持单会话模式。 对接AD场景支持单会话模式和多会话模式。 - 应用组类型 应用：应用是单个应用程序，用户可以访问应用程序而无需安装。 桌面：桌面应用组是一种完整的虚拟桌面，用户访问的是远程桌面。 应用 关联应用组 根据需求选择是否勾选自动创建应用组。 说明： 勾选“自动创建应用组”后，输入应用组名称，由中文、英文大小写、数字、中划线（-）、下划线（_）组成，名称长度范围为1~64个字符。 勾选自动创建应用组 计费方式 根据服务器使用场景选择“包年/包月”或者“按需计费”。 按需计费 可用分区 可用区是在同一区域下，电力、网络隔离的物理区域。可用区之间内网互通，不同可用区之间物理隔离，一个可用区发生故障后不会影响同一区域下的其他可用区。 随机分配 操作系统 选择待创建服务器的操作系统类型，目前仅支持Windows操作系统。 Windows CPU架构 目前仅支持X86计算。 X86计算 套餐类型 根据应用类型选择办公类型及规格。 通用办公型为普通规格，适用于通用的办公应用。 图形优化型为GPU规格，适用于高效图形制作类应用。 通用办公型 - 镜像 选择待创建的服务器使用的镜像类型及具体的镜像版本。 云市场镜像是云应用提供的标准操作系统镜像，所有用户可见，包括操作系统及预装的应用。云市场镜像具有高度稳定性，皆为正版授权。支持Windows Server 2016/2019数据中心版中英文镜像。 私有镜像是基于标准操作系统镜像文件创建的个人镜像，可自定义预装应用，仅用户自己可见。请选择镜像制作中已生成的镜像。 私有镜像 - 磁盘类型 根据所需选择磁盘类型 - 系统盘 选择磁盘类型并设置磁盘大小。 磁盘类型性能说明可参考云硬盘产品介绍。 高IO磁盘：是指由SAS存储提供资源的磁盘类型。 超高IO磁盘：是指由SSD存储提供资源的磁盘类型。 磁盘大小范围：10GB~1020GB，输入值需为10的整数倍。 高IO磁盘 1020GB 网络 选择虚拟网络。如果需要在多个业务子网中可用应用，可选择多个子网，或者在网络配置下方单击“单击此处创建子网”，创建子网。 虚拟私有云（VPC）为云应用构建隔离的、用户自主配置和管理的虚拟网络环境，方便管理、配置内部网络。您的云应用将被创建在所选择的虚拟私有云子网内，以便访问企业内网的资源和应用。 - 增购会话数 单台服务器增购会话数，范围根据服务器套餐大小选择。 说明： 服务器组创建完成后，会话数不支持变更。 如需测算云应用并发会话数，参考如何测算云应用的并发会话数？。 - 会话调度策略 会话连接数：服务器会话连接数量，范围根据服务器套餐大小选择。 CPU使用率：服务器CPU的使用率，范围为1~100。 内存使用率：服务器内存使用率，范围为1~100。 说明： 若服务器任意一个指标超出阈值，将不会再接受会话，策略会调度服务器组其他可用的服务器建立会话。 - OU名称 在Windows AD服务器上创建了OU时，可选择对应使用的OU。 说明： 仅对接AD场景需要配置。 - 协议组件 HDP协议服务端接入组件：安装在云应用服务器实例中，与云办公客户端进行通信接入的代理组件 说明： 勾选后，如果您镜像里的组件版本过低，我们会在发放过程进行同步升级组件，预计会增加整体机器的发放时长。 勾选 扩缩容策略 ：关闭扩缩容策略开关。 ：启用扩缩容策略开关。 启用扩缩容策略开关，配置扩容策略。 扩容策略：会话使用率超过x%时，自动创建按需付费的弹性资源。 说明： 会话使用率 = 使用中的实例会话数之和/（实例最大会话数*可用实例数） 可用实例数：状态为非维护且就绪的服务器数量。 最大会话数：选择套餐的默认会话数量加上增购会话数。 每次创建x台（取值范围：1~10），最多创建x台（取值范围：1~100） 缩容策略：无会话连接的弹性资源最多保留x分钟。（取值范围：5~120分钟） 企业项目 企业项目是一种云资源管理方式，企业项目管理服务提供统一的云资源按项目管理，以及项目内的资源管理、成员管理。 - 配置购买数量与时长。 计费方式为“包年/包月”时，可根据实际需要配置购买时长。 单击“下一步：确认配置”，进入配置确认页面。 计费方式为“包年/包月”时，可以选择是否自动续费。 确认配置无误，单击“立即购买”。 计费方式为“按需计费”，资源创建成功后，可在“服务器组”列表页面查看已购买的服务器组及其服务器。 计费方式为“包年/包月”，则进入订单支付页面，完成支付后，可在“服务器组”列表页面查看已购买的服务器组及其服务器。

操作步骤 使用管理员账号登录云应用的管理控制台。 参考创建服务器组创建服务器组。 创建服务器组时，总会话数建议设置2~5个，套餐类型和规格ID请根据实际需要测算的规格进行选择。 参考创建应用组创建应用组，并关联2创建的服务器组。 单击3创建的应用组名称，进入应用组详情页面，参考添加应用，添加需要测算的应用（如Google Chrome）以及任务管理器应用。 单击“授权用户”页签，参考授权用户（组），选择需要授权的用户（建议2~5个）进行添加。 在服务器组列表页面，单击服务器组名称，进入服务器组基本信息页面。 在服务器列表页面“监控”列下单击“”，弹出服务器的监控信息，记录空载时CPU、内存、GPU等使用情况。 使用5中添加的用户（用户A）登录华为云客户端，单击打开需要测算的应用（如Google Chrome）以及任务管理器应用。并使用需要测算的应用（如Google Chrome）进行正常的业务操作，同时在任务管理器的用户面板上观察记录用户的资源（如CPU、内存、GPU等）使用情况。 重复8陆续登录2~5个用户，只打开需要测算的应用（如Google Chrome）进行业务操作，无需再打开任务管理器应用，用户（用户A）观察记录每路会话资源使用情况。 瓶颈指标：9记录的每路会话指标使用率最高的指标，如每路会话CPU使用率为10%，内存使用率为5%，GPU使用率为4%，则瓶颈指标为CPU。 建议最大会话数=(85%-空载时瓶颈指标使用率)/(每路会话瓶颈指标使用率)。 测算完成后确定资源后续不再使用，请及时删除/退订2购买的服务器、服务器组和应用组，否则会产生一定费用。

计费项 按需购买的实例支持关机不计费，但增购的会话数正常计费，关机后的计费规则： 实例本身（vCPU，内存，镜像）不计费，其它所挂载的资源如云硬盘，公网IP或带宽则正常计费。 按需计费云应用服务器支持关机不计费，即关机期间，在保留云应用服务器的前提下，系统将自动回收计算资源（vCPU、内存）。此时，将不再收取计算资源相关费用，仅收取存储资源（系统盘）费用，可以降低您的使用成本，再次启动时会重新申请vCPU和内存，在资源不足时会有启动失败的风险，您可以通过稍后启动的方式来恢复。 根据您 购买云服务器 增购的会话数正常计费。 公网/ 私网NAT网关 根据您选择的公网NAT网关规格和使用时长计费。详细的价格说明请参考NAT网关价格计算器。 Windows操作系统为市场镜像，该服务由第三方提供。为方便用户选择，在公共镜像中提供入口。具体收费以镜像供应商提供的信息为准。 私有镜像会收取一定的存储费用，删除创建的镜像后将不再计费。详细计费标准可参考镜像服务计费标准。 NAS存储根据您选择的SFS3.0容量型文件系统进行计费，详情参考弹性文件服务SFS的计费说明。 应用仓库中文件使用OBS存储时进行计费，详情参考 对象存储服务 OBS的计费说明。

前提条件 已获得需要访问互联网的云应用所在区域、项目、使用的VPC和子网信息。 管理员已具有NAT服务和EIP服务的操作权限。 自主注册的华为云账号默认拥有华为云所有服务的操作权限，如果您使用的是此类账号，无需再进行确认。 华为云账号下新建的IAM账号，需要加入“admin”内置用户组，或者拥有NAT服务和EIP服务操作权限的用户组，才可使用NAT服务和EIP服务。可进入“统一身份认证服务”中查看是否属于“admin”内置用户组。若非“admin”内置用户组，请参见NAT服务授权、EIP服务授权赋予IAM账号使用NAT服务和EIP服务的权限。

操作场景 管理员发布应用后，云应用默认在VPC子网内，此时云应用无法访问互联网。管理员需要配置NAT网关共享弹性公网IP，使用户通过互联网接入地址接入云应用后，可正常使用应用程序。云应用存在多个业务子网时，需要为每个业务子网开通互联网功能。 云应用与云桌面的网络共用。如果同项目下的同一子网内已有云桌面，且管理员已为云桌面开通互联网访问，则终端用户可直接访问应用程序。如果当前项目子网只存在云应用，则管理员需参考本章节进入NAT、EIP页面购买对应服务开通互联网。

操作场景 该任务指导管理员在AD域服务器上通过设置组策略方式完成RDS授权和安全策略的配置。 将虚拟机添加到应用组后，APS服务器已部署就绪，此时还需在AD域服务器上配置APS服务器的RDS服务授权功能，以确保用户访问APS服务器发布的应用时已获得RD Licensing服务器的RDS服务授权许可。否则，在120天的试用期结束后，客户端将无法使用远程应用。 在通过APS服务器发布应用之前，还需通过配置APS服务器的安全策略方式进行安全加固，以确保授权用户可以安全的访问或使用系统提供的应用，避免对其他用户带来影响。

数据 执行该任务前需准备的数据如表1所示。 表1 准备的数据 参数 说明 取值样例 名称 用于标识云应用场景下创建的APS服务器OU的名称。 SBCOU 组策略名称 用于唯一标识云应用场景下APS服务器的组策略，由数字、字母、下划线组成，长度范围为1～30个字符。 SBCGRP 要使用的许可证服务器IP 向APS服务器提供RDS服务授权功能的服务器，即RD Licensing服务器。 192.168.1.60

操作步骤 使用管理员账号登录云应用的管理控制台。 在左侧导航栏中单击“应用上网管理”，进入应用上网管理页面。 单击“开通互联网”，进入互联网配置页面，如图1所示。 图1 互联网启用配置页面 参考表1配置网络参数，未涉及的参数保持默认即可。 表1 互联网参数配置 参数名称 说明 样例 网络 选择需要开通可访问互联网功能的应用所在虚拟子网。 - 计费类型 可购买的互联网资源为按需计费模式。 按需计费 NAT网关名称 公网NAT网关名称。 当前云应用存在多个业务子网时： 需要为每个业务子网配置NAT。同一个VPC下，不同子网共用一个NAT；不同VPC下，子网需要使用不同的NAT。 请根据实际需要选择已有NAT或者立即创建新的NAT。 创建NAT需要自定义NAT网关名称，只能由中文、英文大小写字母、数字、下划线、中横行组成，长度范围0-64个字符。 当前云应用只有一个业务子网时： 当前虚拟子网已配置公网NAT网关，则无需配置。 当前虚拟子网未配置公网NAT网关，则需自定义NAT网关名称，只能由中文、英文大小写字母、数字、下划线、中横行组成，长度范围0-64个字符。 NATNetname-workspace_subnet01 NAT网关规格 公网NAT网关的规格。 使用已有的NAT网关，则无需配置。 创建新的NAT网关，则需配置NAT网关规格。NAT网关共有小型、中型、大型和超大型四种规格类型，可通过页面上的“了解更多”查看各规格详情。 小 EIP名称 自定义弹性公网IP的名称。 只能由中文、英文字母、数字、_（下划线）、-（中划线）组成。 EIP-workspace_subnet01 公网带宽 按业务场景选择带宽计费类型。 按带宽计费：指定带宽上限，按使用时间计费，与使用的流量无关。适用于流量较大或较稳定场景使用。 按流量计费：指定带宽上限，按实际使用的出公网流量计费，与使用时间无关。适用于流量小或流量波动较大的场景。 按流量计费 带宽大小（Mbit/s） 选择带宽大小。 选择“按带宽计费”宽带大小范围默认为1~200Mbit/s，用户可根据界面提示的范围自定义。 选择“按流量计费”宽带大小范围默认为5~200Mbit/s，用户可根据界面提示的范围自定义。 99 根据业务诉求下拉选择所需企业项目。 单击“确定”。 配置成功后，可在应用上网管理列表中查看对应业务子网所配置的互联网网络信息。 如果当前租户VPC下存在多个业务子网，且需要各业务子网中的云应用都能访问互联网，则需参考3~6，为各业务子网开通互联网功能。

安全参考框架 基于上述安全设计原则，华为云推荐采用“一个中心 + 七层防线”的安全参考框架和华为云提供的云原生安全服务来构筑企业的云上安全防护体系，如下图所示。该安全框架完全遵守了纵深防御原则，将各种安全防护措施有机组合起来，针对保护对象（企业的关键业务系统和核心数据），因地制宜的部署合适的安全措施，形成多层安全防线，各层安全防线能够相互支持和补救，避免攻击者突破单层防线后畅通无阻，层层阻击，为防御方检测响应赢得时间。 图1 一个中心和七层防线 物理安全防线 华为云建设和运营的数据中心都严格实施了五层安全防护，包括机房容灾、人员管理、运维审计、数据销毁和物理隔离、CCTV和门禁等防护措施，华为云的租户无需关注数据中心的物理安全。但对于部署在企业自建机房的专属云，企业需要自己做好物理安全防护。 身份认证防线 需要基于零信任理念做好身份认证和权限管理，授权要遵从最小授权的原则，用户认证默认要启用多因素认证，管理好特权账号，对用户在云平台上的任何操作进行记录和审计。 建议参考官网提供的IAM最佳实践。 网络防线 核心是要做好网络边界防护和内网东西向的访问控制。 网络边界防护：网络边界主要指的是企业内部网络与外部网络的边界，典型的场景如互联网接入、VPN、专线接入。客户可以基于华为云提供的 云防火墙 （Cloud Firewall，CFW）、VPC的安全组和ACL实施网络边界访问控制。CFW内置了网络入侵检测、入侵防御的功能。网络边界的策略应该严格按照白名单开通，应该禁止对外开放高危端口和协议。 东西向网络防护：应该对不同的业务按密级实施分层分级管理，如将不同密级的业务部署在不同的VPC中，通过VPC实施大的网络安全域隔离，通过CFW实施东西向VPC网络之间访问控制，并通过VPC的安全组和ACL在VPC内进一步实施网络微分段隔离。 应用防线 面向互联网发布的应用应该默认部署WAF防护。应用的安全是设计出来的，要重视在软件安全工程上的投入，提高应用的内生安全能力。从安全风险的角度，应优先关注面向外部网络暴露的应用，同时要识别内部核心关键应用，对这些应用优先实施针对性的安全加固。 主机防线 在主机层面进行入侵检测往往是最有效的，主机上要全面覆盖主机安全产品，主机安全产品可以帮助做好主机的漏洞管理，安全配置管理等基础性工作。 数据防线 要做好数据资产的主动发现和分类分级，围绕数据全生命周期开展数据安全治理工作，对重要数据使用过程中考虑脱敏、加密、审计等措施，对重要数据做好备份。基于身份控制策略、网络控制策略和资源控制策略构筑坚固的数据安全边界，保障敏感数据不泄露。 运维防线 要限制只能从安全的网络环境发起运维活动，并为运维人员建立专门的运维访问通道，如让运维人员使用专门的运维服务、 堡垒机 接入运维，尽量减少黑屏运维操作，降低运维活动过程中的不确定性，确保运维的活动可审计可追溯。 一个中心 安全防护三分在于技术，七分在于运营，只有各层防线的安全产品得到正确的配置和良好的维护，才能有效的发挥出安全防护的效果。通过一个统一的安全运营平台，将各种安全产品能力有机的整合起来，将安全防护的效果最大化。 纵深防御体系的建设往往需要经历一个漫长的过程，很难一蹴而就，在建设的过程中需要考虑安全、效率、成本和体验方面的平衡。企业应该例行开展安全风险评估，针对TOP安全风险实施针对性的安全加固，持续提升安全防护的能力，并通过红蓝对抗等机制来检验安全防护体系的有效性。 父主题： 安全架构设计

大数据参考架构 下图是典型的大数据架构，从数据集成、存储、计算、调度、查询和应用，构成了一个完整的数据流。 图1 大数据参考架构 大数据架构通常包括以下几个核心组件和流程，企业可以根据实际需要选择云服务或自建大数据组件： 业务数据源： 业务数据源是大数据平台的数据输入来源，可以是传感器、网站日志、移动应用、社交媒体等各种数据源。通过数据采集和提取，将原始数据收集到大数据平台进行后续处理和分析。 数据集成： 数据集成是将来自不同数据源的数据进行整合和转换的过程。这包括数据清洗、数据预处理、数据格式转换、数据合并等操作，以确保数据的一致性和准确性。 数据存储： 大数据平台需要具备高效的数据存储能力，以承载海量的数据。常见的数据存储技术包括分布式文件系统（如HDFS）、列式数据库（如HBase）等。这些存储系统提供高可靠性、可扩展性和容错性，以支持大规模数据的存储和访问需求。 大数据计算： 大数据计算是对海量数据进行分布式、并行和实时处理的关键环节。主要的计算框架包括Hadoop、Spark、Flink等，它们支持分布式计算模型和任务调度。通过这些计算框架，可以进行数据处理、特征提取、机器学习、数据挖掘等复杂的计算和分析任务。 数据查询和分析： 对于大量的存储在大数据平台中的数据，需要提供灵活且高性能的查询和分析能力。这可以通过使用SQL查询引擎（如Hive）或 分布式数据库 （如Elasticsearch）等实现。这些工具和系统支持在海量数据集上进行查询、聚合和可视化，以提供数据洞见和决策支持。 任务调度： 大数据平台通常需要处理复杂的数据作业。任务调度系统（如Azkaban等）用于管理和调度各种数据处理作业，可以设置作业的依赖关系、调度频率、重试策略等，以确保作业的顺利执行和任务的准时完成。 数据应用： 大数据平台的最终目的是为业务提供有价值的数据应用。数据应用可以是基于大数据分析的实时报表、可视化仪表盘、智能推荐系统、欺诈检测系统等。通过将大数据的分析结果与业务流程集成，可以实现数据驱动的业务决策和创新。 父主题： 大数据架构设计

任务调研 任务调研主要包括如下方面： 表1 任务调研方法表 调研内容 描述 任务调度 如Azkaban、DolphinScheduler，Hera、Crontab等。 任务类型 基于编程语言分类： Jar类：常用于 MRS 、Flink、Spark等 SQL类： 常用于Hive、Spark、UDF等 Python类：常用于Spark、算法场景等 其他类：如Shell、Scala等，多用于脚本调用 任务数量 调研各类任务的总数量，用于评估任务迁移周期及改造工作量。如：Azkaban任务调度平台下，Jar任务820个。 任务更新周期 识别出不同调度平台，不同任务类型的任务更新周期。如：Azkaban调度平台Jar类任务月度更新；XXL-Job平台Shell类型任务每日22:00点更新。 任务详细信息 识别出所有任务的详细信息，包括任务ID、名称、责任部门、责任人、执行时间、更新周期等。用于后续任务改造和迁移时，和关键人员及时沟通。 任务依赖关系 识别关键任务，识别任务间依赖关系。 调研的方法主要是通过当前大数据平台获取，并辅助一些调研访谈进行补充和确认。 父主题： 大数据调研