Citrix DaaS™ 快速部署 Amazon WorkSpaces Core 捆绑包
简介
本文介绍如何使用 Citrix® 为 Amazon WorkSpaces Core 准备和创建部署。Amazon WorkSpaces Core 位于 Amazon Web Services (AWS) 中。
以下是 AWS 实施及其通过 Citrix DaaS 进行管理的表示:
准备和创建部署
快速部署界面中的部署清单包含指向过程 1-6 的链接。
开始之前
在开始准备和创建部署之前,请确保已完成以下任务。
有一个例外:在 Citrix Cloud 中创建资源位置被列为先决条件。它也是部署清单中的第一个步骤。因此,如果您在先决条件中创建了资源位置,请跳过清单序列中的该步骤。同样,如果您之前没有完成该步骤,请在清单中完成它。
在 Citrix Cloud 中完成的先决条件
-
创建 Citrix Cloud 帐户 并订阅 Citrix DaaS。
-
创建 Citrix Cloud 资源位置。(此过程也链接在快速部署界面中。)
在 AWS 中完成的先决条件
-
创建 AWS 用户帐户。该帐户必须具有:
-
Citrix API 客户端的角色权限。
-
编程访问权限。有关详细信息,请参阅AWS 帐户编程访问权限。
-
创建 workspaces_DefaultRole 角色。有关详细信息,请参阅创建 workspaces_DefaultRole 角色。
-
-
在您的 Active Directory 中:
-
使用 AD Connector 选项存储和管理信息。有关更多详细信息,请参阅AD Connector。
-
创建一个用于创建 VM 的 OU。该 OU 必须具有用于与 Cloud Connectors 和 Citrix Cloud 通信的 Citrix 策略。有关详细信息,请参阅参考部分。
-
为 Citrix Cloud Connector™ 配置设置组策略:
-
从Citrix 下载站点 下载 Citrix 提供的最新组策略管理控制台 (CitrixGroupPolicyManagement_64.msi)。
-
安装 MSI(该计算机必须安装 Visual Studio 2015 运行时)。然后创建 Citrix 策略,其中包含控制器策略设置。该设置指定 Cloud Connector 地址。
-
-
-
创建或使用现有 NAT 网关。有关详细信息,请参阅 NAT 网关。
-
创建或使用一个或多个现有安全组,以允许 Citrix Cloud Connector 与已部署的 VM 进行通信。有关详细信息,请参阅 使用安全组控制对 AWS 资源的流量
-
要将具有专用租用的 Windows 10 或 Windows 11 桌面映像与专用租用结合使用,请为您的帐户设置 BYOL。您可以在连接帐户后完成此步骤。有关详细信息,请参阅 为您的帐户设置 BYOL。注意:BYOL 不支持 Windows 10 N 和 Windows 11 N 版本。
-
如果您计划使用 BYOL,请确保您有足够的 Windows 10 或 Windows 11 许可证。有关详细信息,请参阅 自带 Windows 桌面许可证。
-
将 Citrix DaaS 用于 Amazon WorkSpaces Core 会自动在 Amazon WorkSpaces Core 中启用自带协议 (BYOP) 功能。
一般准备
开始之前,请查看每个过程。好处:这将有助于轻松完成这些过程。
创建资源位置
您在 Citrix Cloud 中创建资源位置。
-
资源位置包含两个或更多与 Citrix Cloud 通信的 Cloud Connector。安装 Cloud Connector 的服务器必须位于 EC2 VPC 中,已加入域,并具有 Internet 连接。Cloud Connector 必须与您计划使用的目录位于同一 VPC 中。
-
有关 Cloud Connector 的详细信息,请参阅 Citrix Cloud Connector 以及如何预配它们。
-
资源位置还可以包含您的 Active Directory 服务器。有关详细信息,请参阅 将 Active Directory 连接到 Citrix Cloud。
连接您的 AWS 账户
此过程为 Citrix DaaS 连接到 AWS 启用权限。
要连接您的 AWS 账户,请按照以下步骤操作:
-
在 DaaS 磁贴中,单击 管理 以打开 Studio。
-
在左侧窗格中,选择 快速部署 > Amazon WorkSpaces Core > 账户,然后单击 连接账户。

-
在 验证账户 页面中,完成以下步骤:
-
展开 先决条件 面板以查看设置要求。
-
在 先决条件 面板中,从 连接账户 向导下载 AWS CloudFormation 模板并将其保存到本地。稍后在 AWS 中创建 AssumeRole 堆栈时,您将上传此模板。
-
在 角色 ID 字段中,输入授权 Citrix 管理您的资源的 Amazon 资源名称 (ARN)。提示:
-
角色 ID 可以在 AWS 管理控制台中通过导航到 IAM > 角色 找到。
-
如果您正在使用
CloudFormation脚本,请导航到 CloudFormation 并单击用于创建角色的相应堆栈。导航到 资源 选项卡并单击 LogicalID 为CitrixAssumeRole的资源。
-
-
在 名称 字段中输入账户的友好名称。
-
单击 下一步。选择区域 页面打开。
注意:-
您不能在同一区域为同一个 AWS 账户连接两个账户。
-
要创建 AssumeRole,请参阅 为 Amazon WorkSpaces Core 集成创建 AssumeRole。
-
-
在“选择区域”页面上,选择要部署桌面的区域,然后单击“下一步”。“摘要”页面随即打开。
-
在“摘要”页面上,查看您提供的信息。单击“连接”。连接过程可能需要数小时才能完成。
注意:
连接账户后,您可以随时配置 BYOL。有关详细信息,请参阅 为您的账户设置 BYOL。
为 Amazon WorkSpaces Core 集成创建 AssumeRole
要为 Amazon WorkSpaces Core 创建 AssumeRole,请按照以下步骤操作:
-
在浏览器窗口中,打开 Amazon Web Services 网站并登录。
-
在“搜索”字段中,键入 cloudformation,然后按 Enter。
-
在“服务”下,选择“CloudFormation”。“堆栈”窗口随即打开。
-
单击右上角的“创建堆栈 > 使用新资源(标准)”。“创建堆栈”窗口随即打开。
-
在“先决条件 – 准备模板”下,选择“模板已就绪”。
-
在“指定模板”下,单击“上传模板文件 > 选择文件”,然后单击“下一步”。“指定堆栈详细信息”窗格随即打开。
-
-
在“指定堆栈详细信息”窗格中,提供“堆栈名称”和“AssumeRoleName”,然后单击“下一步”。“配置堆栈选项”窗格随即打开。
-
在配置堆栈选项窗格中,选择保留成功预置的资源选项。此选项保留成功预置的资源的状态。没有最后已知稳定状态的资源将在下一次堆栈操作时被删除。

-
在功能弹出窗口中,选中我确认 AWS CloudFormation 可能会创建具有自定义名称的 IAM 资源复选框,然后单击创建堆栈。
-
事件选项卡显示所创建堆栈的状态。
-
在资源选项卡中,选择与所创建的 AssumeRole 对应的物理 ID。

-
摘要窗格显示生成的 Amazon 资源名称 (ARN)。

注意:堆栈创建可能会失败,因为 workspaces_DefaultRole 已创建。这不影响 AssumeRole 的创建。 -
-
从连接您的 AWS 账户 中的步骤 3 继续该过程。
(可选)为您的账户设置 BYOL
自带许可证 (BYOL) 允许您为 Citrix DaaS for Amazon WorkSpaces Core 部署导入和使用 Windows 10 或 Windows 11 桌面映像。BYOL 为目录连接和访问基于 EC2 的计算机映像提供专用租用。
重要提示:
启用 BYOL 对您的 AWS 账户是永久性更改,只能通过删除所有资源并联系 AWS 支持来撤消。
您可以从“账户”列表或账户详细信息面板为已通过身份验证的 AWS 账户设置 BYOL。
先决条件:
-
AWS 账户处于“已通过身份验证”状态。
-
尚未为该账户配置 BYOL。
-
BYOL 已在 AWS WorkSpaces 控制台中为您的账户启用。要启用它,请联系您的 AWS 账户经理、销售代表或 AWS 支持中心。有关详细信息,请参阅使用 Amazon WorkSpaces 控制台为您的账户启用 BYOL。
要为您的账户设置 BYOL,请按照以下步骤操作:
-
在 Web Studio 中,转至 快速部署 > Amazon WorkSpaces Core > 账户。
-
选择要为其设置 BYOL 的 AWS 账户。
-
单击“设置 BYOL”。“设置 BYOL”向导随即打开。

-
在“在 AWS 中为您的账户启用 BYOL”步骤中:
-
单击“转至 Amazon WorkSpaces”以打开 AWS WorkSpaces 控制台并为您的账户启用 BYOL。
-
在 AWS 中启用 BYOL 后,选中“确认我已启用 BYOL”复选框。
-
单击“下一步”。
-
-
在 导入 BYOL 镜像 步骤中,单击 导入镜像 将 Windows 10 或 Windows 11 桌面镜像导入到您的帐户。注意:导入镜像可能需要数小时。您可以关闭此页面,稍后返回查看导入状态。
BYOL 设置完成后,帐户详细信息面板会显示 BYOL 状态、IP 范围和可用镜像。
创建目录连接
注意:
在此步骤开始时取消注册您的 AWS 目录。使用 Citrix DaaS 创建目录连接后,所选目录将注册以使用 Citrix DaaS 创建 Amazon WorkSpaces。
此过程将创建一个连接,允许访问您组织的 Active Directory。
先决条件:
-
包含两个 Cloud Connector 的资源位置。
-
一个安全组。
-
您的 Active Directory 中的一个 OU。
有关先决条件的详细信息,请参阅开始之前。
您可以从以下两个位置之一开始此过程:
-
“入门”清单上的一个链接。
-
在 Studio 中,选择 Studio > 快速部署 > Amazon WorkSpaces Core > 目录连接。然后单击创建目录连接。
按照创建目录连接顺序操作:
-
连接目录: 从下拉菜单中选择帐户。为租用选择专用或共享。
-
资源位置: 选择帐户和目录。(所选帐户必须至少有一个目录。)
-
选择将部署桌面计算机的两个子网。子网必须位于适当的可用区中。
-
为此连接指定一个友好名称。
-
完成后,单击下一步。
-
-
虚拟机设置: 您选择的设置将应用于使用此目录连接的所有 VM。
-
所选的 OU 必须与 Citrix 组策略所针对的 OU 匹配。
-
选择一个安全组。
-
指示是否要为分配给 VM 的每个用户授予管理员权限。
-
导入映像
此过程使您能够为用户创建桌面体验。您现在可以导入两种类型的映像:
-
EC2 映像 - 要导入此映像,前提是安装 Citrix Virtual Delivery Agent 及其所有驱动程序。映像还必须为 BYOL 做好准备。BYOL 脚本可在以下位置获取:BYOLChecker.zip。
-
Workspace 映像 - 要导入此映像,前提是安装 Citrix Virtual Delivery Agent 及其所有驱动程序。
要导入映像,请按照以下步骤操作:
-
在 Web Studio > 快速部署 > Amazon WorkSpaces Core 中,单击 映像。
-
在 我的映像 中,单击 导入映像。
-
先决条件: 提供 EC2 映像和 Workspace 映像的先决条件详细信息。单击 下一步:选择映像。
-
选择映像
-
为映像提供一个易记的名称。
-
选择一个帐户。
-
在 映像 下拉列表中,您可以选择 EC2 或 WSI 类型的映像。
-
如果选择 EC2,则从 应用程序 下拉菜单中选择要安装的应用程序,然后单击 下一步:摘要。EC2 类型的映像仅支持单会话。
-
如果选择 WSI,请确保会话支持和引入过程与映像设置保持一致。尽管不匹配不会覆盖映像的设置,但可能会因不兼容而导致部署失败。将会话支持选择为单会话或多会话。
-
-
提供描述,然后单击 下一步:摘要。
-
单击 下一步。“摘要”页面随即打开。
-
-
-
在“摘要”页面中,查看您提供的信息,然后单击 导入映像。注意:导入映像可能需要数小时。
-
选择任意映像,然后单击“查看详细信息”。详细信息页面显示创建映像时选择的选项,例如帐户、会话支持、租用、应用程序等。
注意:
创建部署时,在“映像和性能”页面中:
-
如果所选的“目录连接”具有专用租用,则列出的映像仅为单会话。在“桌面”页面中,您可以选择创建分配或不分配用户的桌面。
-
如果所选的目录连接具有共享租用,则列出的映像既有单会话也有多会话。如果选择多会话映像,则在“桌面”页面中,仅启用“创建不分配用户的桌面”选项。
专用租用映像的要求
-
映像必须是 Windows 10 专业版或 Windows 11 专业版。
-
在映像准备期间运行 BYOLChecker 脚本。
-
映像只能设置为单会话支持。
-
在 EC2 中创建 AMI 映像时,快照必须未加密。
-
映像导入期间的默认摄取协议是常规协议。但是,客户可以选择图形 G4DN 摄取协议,该协议会安装额外的驱动程序并需要更高级别的机器。
-
在映像导入期间,客户可以添加要安装的 Office 应用程序。这将限制工作区创建为预分配用户部署。
-
映像要求目录连接设置为专用。
-
您可以创建预分配的单会话部署或解耦(池化)的单会话部署。
默认或共享租用映像的要求
-
选择 Windows Server BYOP 捆绑包以创建工作区。
-
工作区必须未加密,并且仅支持 Always On 模式。
-
通过 RDP 使用私有 IP 地址从连接器连接到工作区,并使用分配给该工作区的相同用户凭据登录。如果计算机上存在多个用户配置文件,则无法保存映像。
-
安装 VDA 并运行映像检查器应用程序。
-
VDA 可以配置为单会话或多会话。
-
重新启动工作区并将其保存为映像。
-
映像保存后,可以将其导入 Citrix 环境。
-
映像导入期间的默认摄取协议是常规协议。但是,如果基础捆绑包是基于 G4DN 的,则可以选择图形 G4DN 摄取协议。
-
映像要求将目录连接设置为共享。
-
如果将映像设置为单会话并保存,则可以创建预分配的单会话部署或解耦(池化)单会话部署。
-
如果将映像设置为多会话并保存,则只能创建解耦(池化)多会话部署。
操作系统、目录类型和会话支持兼容性
| 映像 | 会话支持 | AWS 目录租用 | 部署类型 | 持久性 |
|---|---|---|---|---|
| Windows Desktop 11 专业版 | 单会话 | 专用 | 专用或池化 | 持久 |
| Windows Desktop 10 专业版 | 单会话 | 专用 | 专用或池化 | 持久 |
| Windows 服务器 2022 | 多会话 | 共享 | 池化 | 持久 |
| Windows 服务器 2022 | 单会话 | 共享 | 专用或池化 | 持久 |
| Windows 服务器 2019 | 多会话 | 共享 | 池化 | 持久 |
| Windows 服务器 2019 | 单会话 | 共享 | 专用或池化 | 持久 |
注意:
所有实例都是持久的,并且使用池功能,实例在首次使用时分配。实例在没有分配用户的情况下保持预配状态。当用户首次登录时,该实例将分配给该用户,用于所有未来的登录。
导入映像时集成 Microsoft Office 2019 映像
在导入映像时集成 Microsoft Office 2019 映像:
-
在 Web Studio > 快速部署 > Amazon WorkSpaces Core 中,单击 映像。
-
在 我的映像 中,单击 导入映像。
-
在 导入映像 > 先决条件 中,单击 下一步: 选择映像。
-
在 导入映像 > 选择映像:
-
从 帐户 下拉列表中选择一个帐户。
-
从 AMI 下拉列表中选择一个 AMI。
-
在 名称 字段中输入映像的名称。
-
在映像中选择 包括 Microsoft Office 2019 专业增强版。
-
在 描述 字段中输入描述。
-
-
在 导入映像 > 选择映像 中,单击 下一步:摘要。
-
在 选择映像 > 摘要 中,确保 Microsoft Office 2019 显示为 已选择。
-
在 我的映像 中,单击 导入映像。 最近部署的映像的状态将显示为 正在导入,直到导入操作完成。
-
在 我的映像 中,选择最近部署的映像,然后单击 查看详细信息。
-
在 详细信息 面板中,Microsoft Office 2019 字段显示为 已包含。
注意:
只有以下操作系统版本兼容:
-
Windows 10 版本 21H2(2021 年 12 月更新)
-
Windows 10 版本 22H2(2022 年 11 月更新)
-
Windows 10 企业版 LTSC 2019 (1809) (1809)
-
Windows 10 企业版 LTSC 2021 (21H2) (21H2)
-
Windows 11 版本 22H2(2022 年 10 月版)
从现有 WorkSpaces 实例创建自定义映像
为用户创建自定义映像:
-
在 Web Studio > 快速部署 > Amazon WorkSpaces Core 中,选择 部署。
-
选择包含要管理的计算机的部署,然后单击“查看详细信息”。
-
在“部署”窗格中,在“用户”选项卡下,选择工作区状态可用的“用户”,然后单击“创建自定义映像”。部署窗格(/en-us/citrix-daas/media/deployment-pane.png)注意:您只能为工作区状态可用的部署创建自定义映像。
-
在“创建自定义映像”窗格中:
-
验证所选用户的“映像属性”、“操作系统”和“帐户”信息。
-
请注意警告消息,该消息指示在此过程中桌面部署将处于维护模式的时间。
-
填写必填字段,例如“映像名称”和“描述”。“映像名称”字段会提示映像名称允许的字符。
-
-
单击“创建”。“映像”节点窗口随即打开。
-
单击“刷新”按钮。新创建的自定义映像将列出,其“状态”为“待定”。
-
选择自定义映像,然后单击“查看详细信息”。“映像”窗口随即打开,其中包含“状态”、“帐户”、“ID”、“操作系统”和“描述”等详细信息。
-
单击左侧导航栏中的“部署”。新部署的“状态”显示为“正在更新”。
-
选择新部署,然后单击“查看详细信息”。
-
在“部署”窗格中,“维护”选项卡显示为“开”。

-
作为最佳实践:
-
使用独立的虚拟私有云 (VPC),不连接到您的生产环境。
-
对于 Windows WorkSpaces,在创建映像之前,请避免配置任何组策略对象 (GPO)。有关详细信息,请参阅 最佳实践。
-
使用专用的 AD 连接器用于映像创建。
-
在 Active Directory 中使用专用的 OU 用于映像创建。有关详细信息,请参阅 成功为 Amazon WorkSpaces 创建 BYOL 映像的最佳实践。
创建部署
部署是用户可以从其商店访问的一组桌面。此过程指定要部署为桌面的虚拟机的特性,以及哪些 AD 用户可以使用它们。
注意:
计算机名称在工作区创建时由 Amazon 设置,并用作标识符以确保工作区数据的准确性。您不能使用 Citrix DaaS for Amazon Workspaces Core 修改计算机名称。
先决条件
完成 准备和创建部署 中列出的所有步骤。
-
在 Web Studio > 快速部署 > Amazon WorkSpaces Core > 部署中,单击创建部署。
-
在映像和性能页面上,
-
如果您选择专用租户作为目录连接,则映像下拉列表会列出具有专用租户的映像。具有专用租户的映像仅支持单会话。
-
如果您选择共享租用作为目录连接,则“映像”下拉列表会列出具有默认租用的映像。具有共享租用的映像支持单会话和多会话。
-
选择性能和根卷大小。单击下一步: 加密。
-
-
加密:在选择加密密钥首选项部分:
-
使用 AWS 托管 KMS 密钥选项默认处于选中状态。此选项会加密根卷和用户卷,并由 AWS 管理。
-
如果您选择使用客户托管密钥选项,请务必首先在 AWS Key Management 中创建密钥。创建后,将密钥输入到密钥别名字段中,然后单击下一步: 桌面。
注意:加密密钥可在 Key Management Service (KMS) 控制台的AWS 托管密钥或客户托管密钥下找到。 -
-
桌面:
-
新增了一个选项,用于选择创建不分配用户的桌面。如果选择此选项,建议将用户配置文件位置配置为存储在 D: 驱动器或外部位置。默认情况下,用户配置文件存储在 C: 驱动器上。如果您重建 WorkSpace,C: 驱动器上的用户数据和设置将丢失。指定要添加到部署的桌面数量。此选项的桌面分配类型为随机池未分配。单击下一步: 摘要。
注意:对于包含 AWS 提供应用程序的映像,创建不分配用户的桌面选项不可用。因此,您必须在创建桌面时分配用户。-
如果您选择现有的在创建桌面时分配用户选项,请搜索并选择允许访问这些桌面的用户。如果您想为用户自定义卷大小,请选择编辑用户和根卷大小,然后指定大小。此选项的桌面分配类型为静态预分配。单击下一步: 摘要。
-
-
摘要:查看您提供的信息并提供部署名称。单击创建部署。“部署”页面显示新的“桌面”列以及分配的桌面详细信息。
-
重新同步:对于处于“待处理”状态的部署,或者如果部署中列出的计算机数量与 AWS 中列出的计算机数量不匹配,请单击“重新同步”。
-
选择一个部署,然后单击查看详细信息。部署详细信息页面显示三个选项卡:
-
桌面:选择一个桌面,将显示要修改的设置。
-
应用程序:此选项卡允许您添加新应用程序和删除现有应用程序。有关向现有部署添加应用程序的更多信息,请参阅 步骤 6. 应用程序。
-
用户:此选项卡仅适用于未分配的部署,用于分配用户或组以启动桌面。单击 添加。更新所需设置,然后单击 立即查找。您可以从表中选择多个用户,然后单击 确定 > 完成。您可以通过选择相应的选项来添加更多用户或删除现有用户。
-
配置:此选项卡显示所选桌面的分配类型。如果它是未分配的桌面,则“桌面分配类型”为“随机池未分配”。
-
集成 Microsoft 365 Windows 应用程序
要集成 Microsoft 365 应用程序,请参阅 Amazon WorkSpaces 服务现已提供 Microsoft 365 企业应用版 和 Microsoft 365 自带许可证 (BYOL)。
管理部署中的计算机
除了 管理计算机目录 中描述的计算机管理功能外,对于某些操作,您可以从部署中选择要管理的计算机。
要管理部署中的计算机,请执行以下操作:
-
在 Web Studio > 快速部署 > Amazon WorkSpaces Core 中,选择“部署”。
-
在“部署”窗格中,选择包含要管理的计算机的部署。
-
单击“查看详细信息”。
-
在“部署详细信息”窗格中,选择要管理的计算机。
-
从显示的操作中,选择要对计算机执行的操作:
-
单击“编辑卷大小”以更改计算机的卷大小。
-
点击 删除 以从部署和 AWS 中删除计算机。如果计算机在交付组中,则只有在维护模式下才能将其删除。
-
点击 启用/禁用维护模式 以启用(如果已禁用)或禁用(如果已启用)计算机的维护模式。
将应用程序添加到部署
要将应用程序添加到现有部署:
-
在 Web Studio > 快速部署 > Amazon WorkSpaces Core 中,选择“部署”。
-
在“部署”窗格中,选择要添加应用程序的部署。
-
点击“添加应用程序”。“添加应用程序”窗格随即打开。
-
点击“添加”菜单,并选择以下源之一以添加应用程序:
-
从“开始”菜单
-
手动
-
应用程序包
-
现有
-
应用程序组
-
有关将应用程序添加到现有部署的详细信息,请参阅 步骤 6. 应用程序。
将持久性桌面与非持久性用户配置文件结合使用
Workspace Environment Management™ 可用于配置 Profile Management 设置,以启用具有非持久性用户配置文件的持久性桌面。这为您提供了可自定义的桌面体验,同时保持了用户配置文件的轻松管理和集中存储,为虚拟桌面环境创建了灵活且可扩展的解决方案。请执行以下操作来配置设置:
-
在 WEM 控制台中,导航到 Configuration Set > Policies and Profiles > Citrix Profile Management Settings(配置集 > 策略和配置文件 > Citrix Profile Management 设置)。
-
选择 Enable Profile Management Configuration(启用配置文件管理配置),然后导航到 Profile Handling(配置文件处理)选项卡。
-
选择 Delete locally cached profiles on logoff(在注销时删除本地缓存的配置文件)。
参考
AWS 账户编程访问权限
AWS 用户账户必须具有特定的编程访问权限,才能对 AWS 资源层进行 API 调用。编程访问会创建一个访问密钥 ID 和一个秘密访问密钥。 您可以在 IAM 控制台 中创建包含这些权限的策略。如下图所示,您可以使用可视化编辑器(逐个添加权限)或 JSON(添加以下代码片段)。 有关详细信息,请参阅 在 AWS 账户中创建 IAM 用户。
-
在 Visual editor(可视化编辑器)选项卡上,逐个添加权限。

-
在 JSON 选项卡上,添加下图所示的代码片段。

所需权限
{
"Version": "2012-10-17",
"Statement": [
{
"Sid": "VisualEditor0",
"Effect": "Allow",
"Action": [
"workdocs:DeregisterDirectory",
"workdocs:RegisterDirectory",
"workdocs:AddUserToGroup",
"ec2:ImportInstance",
"ec2:DescribeImages",
"ec2:DescribeImageAttribute"
"ec2:CreateKeyPair",
"ec2:DescribeKeyPairs",
"ec2:ModifyImageAttribute",
"ec2:DescribeVpcs",
"ec2:DescribeSubnets",
"ec2:RunInstances",
"ec2:DescribeSecurityGroups",
"ec2:CreateTags",
"ec2:DescribeRouteTables",
"ec2:DescribeInternetGateways",
"ec2:CreateSecurityGroup",
"ec2:DescribeInstanceTypes",
"servicequotas:ListServices",
"servicequotas:GetRequestedServiceQuotaChange",
"servicequotas:ListTagsForResource",
"servicequotas:GetServiceQuota",
"servicequotas:GetAssociationForServiceQuotaTemplate",
"servicequotas:ListAWSDefaultServiceQuotas",
"servicequotas:ListServiceQuotas",
"servicequotas:GetAWSDefaultServiceQuota",
"servicequotas:GetServiceQuotaIncreaseRequestFromTemplate",
"servicequotas:ListServiceQuotaIncreaseRequestsInTemplate",
"servicequotas:ListRequestedServiceQuotaChangeHistory",
"servicequotas:ListRequestedServiceQuotaChangeHistoryByQuota",
"sts:DecodeAuthorizationMessage",
"ds:*",
"workspaces:*",
"iam:GetRole",
"iam:GetContextKeysForPrincipalPolicy",
"iam:SimulatePrincipalPolicy"
],
"Resource": "*"
}
]
}