Citrix DaaS™

AWS 虚拟化环境

May 4, 2026

投稿者:

C C

本文介绍了如何将您的 AWS 帐户设置为可与 Citrix DaaS 结合使用的资源位置。此资源位置用于在 AWS EC2 和 Amazon WorkSpaces Core 托管实例中预配工作负载。有关 Amazon WorkSpaces Core 托管实例支持的操作系统类型列表，请参阅Amazon WorkSpaces Core 托管实例中的 VDA。

不同可配置资源位置的比较：适用于 AWS EC2 的 MCS、适用于 Amazon WorkSpaces Core 托管实例的 MCS 以及适用于 Amazon WorkSpaces Core 捆绑包的快速部署。

适用于 AWS EC2 的 MCS	适用于 Amazon WorkSpaces Core 托管实例的 MCS	适用于 Amazon WorkSpaces Core 捆绑包的快速部署
Citrix® 负责在您的 AWS 帐户中预配 VM	Citrix 负责在您的 AWS 帐户中预配 VM	Amazon 负责在 AWS 托管的 WorkSpaces 帐户中预配 VM
用于 VM 生命周期管理的高级 MCS 工作流	用于 VM 生命周期管理的高级 MCS 工作流	5 步快速简便的工作流
EC2 实例	WorkSpaces Core 托管实例（利用直接在您的 AWS 帐户中启动的按需 EC2 实例）	WorkSpaces 捆绑包，完全由 AWS 托管的容量（更高级别的抽象）
不支持 Microsoft 365 许可	BYOL Microsoft 365 支持	BYOL Microsoft 365 支持
Windows Server、Windows Desktop 和 Linux	Windows Server、Windows Desktop 和 Linux	Windows Server、Windows Desktop
持久和非持久 VM	持久和非持久 VM	仅限持久 VM
仅按需付费	按需付费	仅按月固定价格

Citrix DaaS 和 Citrix Virtual Apps and Desktops™ Citrix DaaS 和 Citrix Virtual Apps and Desktops™ 仅限 Citrix DaaS
此资源位置包含一组基本组件，非常适合概念验证或其他不需要资源分布在多个可用区中的部署。

完成本文中的任务后，您的资源位置将包含以下组件：

一个虚拟私有云 (VPC)，其中包含单个可用区内的公共和私有子网。
一个实例，它既充当 Active Directory 域控制器又充当 DNS 服务器，位于 VPC 的私有子网中。
两个已加入域的实例，其上安装了 Citrix Cloud Connector™，位于 VPC 的私有子网中。
一个充当堡垒主机的实例，位于 VPC 的公共子网中。此实例用于启动到私有子网中实例的 RDP 连接，以进行管理。完成资源位置设置后，您可以关闭此实例，使其不再易于访问。当您必须管理私有子网中的其他实例（例如 VDA 实例）时，可以重新启动堡垒主机实例。

完成任务后，您可以安装 VDA、预配计算机、创建计算机目录和创建交付组。

任务概述

设置包含公共和私有子网的虚拟私有云 (VPC)。 完成此任务后，AWS 会在公共子网中部署带有弹性 IP 地址的 NAT 网关。这使得私有子网中的实例能够访问 Internet。公共子网中的实例可以访问入站公共流量，而私有子网中的实例则不能。

配置安全组。 安全组充当虚拟防火墙，用于控制 VPC 中实例的流量。您可以向安全组添加规则，以允许公共子网中的实例与私有子网中的实例进行通信。您还将这些安全组与 VPC 中的每个实例相关联。

创建 DHCP 选项集。 Amazon VPC、DHCP 和 DNS 服务默认提供，这会影响您在 Active Directory 域控制器上配置 DNS 的方式。Amazon 的 DHCP 无法禁用，并且 Amazon 的 DNS 只能用于公共 DNS 解析，而不能用于 Active Directory 名称解析。要指定通过 DHCP 传递给实例的域和名称服务器，请创建 DHCP 选项集。该集会为 VPC 中的所有实例分配 Active Directory 域后缀并指定 DNS 服务器。为确保实例加入域时自动注册主机 (A) 和反向查找 (PTR) 记录，请为添加到私有子网的每个实例配置网络适配器属性。

将堡垒主机、域控制器和 Cloud Connector 添加到 VPC。 通过堡垒主机，您可以登录到私有子网中的实例，以设置域、将实例加入域并安装 Cloud Connector。

任务 1：设置 VPC

在 AWS 管理控制台中，选择 VPC。
在 VPC 控制面板中，选择 Create VPC。
选择 VPC and more。
在 NAT 网关 ($) 下，选择 In 1 AZ 或 1 per AZ。
在 DNS 选项下，保持选中 Enable DNS hostnames。
选择 Create VPC。AWS 会创建公共和私有子网、Internet 网关、路由表和默认安全组。

注意：

在 AWS 控制台中更改 AWS 虚拟私有云 (VPC) 的名称会破坏 Citrix Cloud 中现有的托管单元。当托管单元损坏时，您无法创建目录或向现有目录添加计算机。来自已知问题：PMCS-7701

任务 2：配置安全组

此任务会为您的 VPC 创建和配置以下安全组：

-  一个公共安全组，用于与公共子网中的实例相关联。
-  一个私有安全组，用于与私有子网中的实例相关联。

要创建安全组：

在 VPC 控制面板中，选择 Security Groups。
为公共安全组创建安全组。选择 Create Security Group，然后输入该组的名称标签和描述。在 VPC 中，选择您之前创建的 VPC。选择 Yes, Create。

配置公共安全组

从安全组列表中，选择公共安全组。

选择“入站规则”选项卡，然后选择“编辑”以创建以下规则：

类型	源
所有流量	选择私有安全组。
所有流量	选择公共安全组。
ICMP	0.0.0.0/0
22 (SSH)	0.0.0.0/0
80 (HTTP)	0.0.0.0/0
443 (HTTPS)	0.0.0.0/0
1494 (ICA/HDX)	0.0.0.0/0
2598 (Session Reliability)	0.0.0.0/0
3389 (RDP)	0.0.0.0/0

完成后，选择“保存”。
选择“出站规则”选项卡，然后选择“编辑”以创建以下规则。

类型目标

所有流量 0.0.0.0/0
完成后，选择“保存”。

类型	目标
所有流量	0.0.0.0/0

配置私有安全组

从安全组列表中，选择私有安全组。

如果您尚未设置来自公共安全组的流量，则必须设置 TCP 端口。选择“入站规则”选项卡，然后选择“编辑”以创建以下规则：

|类型|源| | – | –|
ICMP 选择公共安全组。

TCP 53 (DNS)	选择公共安全组。
UDP 53 (DNS)	选择公共安全组。
80 (HTTP)	选择公共安全组。
TCP 135	选择公共安全组。
TCP 389	选择公共安全组。

UDP 389 选择公共安全组。

443 (HTTPS)	选择公共安全组。
TCP 1494 (ICA/HDX)	选择公共安全组。
TCP 2598 (Session Reliability)	选择公共安全组。
3389 (RDP)	选择公共安全组。
TCP 49152–65535	选择公共安全组。

完成后，选择“保存”。

选择“出站规则”选项卡，然后选择“编辑”以创建以下规则。

-  |类型|目标|
-  |--|--|
-  |所有流量|选择私有安全组。| |所有流量|0.0.0.0/0|

完成后，选择“保存”。

任务 3：启动实例

执行以下步骤以创建四个 EC2 实例并解密 Amazon 生成的默认管理员密码：

从 AWS 管理控制台，选择 EC2。
从 EC2 控制面板，选择“启动实例”。
选择 Windows Server 计算机映像和实例类型。
在“配置实例详细信息”页面上，输入实例名称并选择您之前设置的 VPC。
在“子网”中，为每个实例进行以下选择：
- 堡垒主机：选择公共子网
- 域控制器和连接器：选择私有子网
在“自动分配公共 IP 地址”中，为每个实例进行以下选择：
- 堡垒主机：选择“启用”
- 域控制器和连接器：选择“使用默认设置”或“禁用”
  - 1. 在“网络接口”中，为域控制器和云连接器实例输入私有子网 IP 范围内的主 IP 地址。
  - 1. 如有必要，在“添加存储”页面上，修改磁盘大小。
在“标记实例”页面上，为每个实例输入一个友好名称。
在“配置安全组”页面上，选择“选择现有安全组”，然后为每个实例进行以下选择：
- 堡垒主机：选择公共安全组。
- 域控制器和云连接器：选择私有安全组。
检查您的选择，然后选择“启动”。
创建新的密钥对或选择现有密钥对。如果您创建新的密钥对，请下载您的私钥 (.pem) 文件并将其保存在安全位置。获取实例的默认管理员密码时，必须提供您的私钥。
选择“启动实例”。选择“查看实例”以显示实例列表。等待新启动的实例通过所有状态检查后再访问它。
获取每个实例的默认管理员密码。
1. 从实例列表，选择实例，然后选择“连接”。

1. 转到“RDP 客户端”选项卡，选择“获取密码”，并在出现提示时上传您的私钥 (.pem) 文件。
1. 选择“解密密码”以获取可读密码。AWS 显示默认密码。
- 1. 重复从步骤 2 开始的所有步骤，直到创建了四个实例：
- 公有子网中的一个堡垒主机实例
- 私有子网中的三个实例，用作：
  - 一个域控制器
  - 两个云连接器

任务 4：创建 DHCP 选项集

在 VPC 控制面板中，选择 DHCP 选项集。
输入以下信息：
- 名称标签：为该集输入一个友好名称。
- 域名：输入配置域控制器实例时使用的完全限定域名。
- 域名服务器：输入分配给域控制器实例的私有 IP 地址和字符串 AmazonProvidedDNS，用逗号分隔。
- NTP 服务器：将此字段留空。
- NetBIOS 名称服务器：输入域控制器实例的私有 IP 地址。
- NetBIOS 节点类型：输入 2。
选择 是，创建。
将新集与您的 VPC 关联：
1. 在 VPC 控制面板中，选择 您的 VPC，然后选择您之前设置的 VPC。
2. 选择 操作 > 编辑 DHCP 选项集。
3. 出现提示时，选择您创建的新集，然后选择保存。

任务 5：配置实例

使用 RDP 客户端，连接到堡垒主机实例的公有 IP 地址。出现提示时，输入管理员帐户的凭据。
在堡垒主机实例中，启动 远程桌面连接 并连接到要配置的实例的私有 IP 地址。出现提示时，输入该实例的管理员凭据。
对于私有子网中的所有实例，配置 DNS 设置：
1. 选择 开始 > 控制面板 > 网络和 Internet > 网络和共享中心 > 更改适配器设置。双击显示的“网络连接”。
2. 选择 属性 > Internet 协议版本 4 (TCP/IPv4) > 属性。
3. 选择 高级 > DNS。确保启用以下设置，然后选择确定：
  - 在 DNS 中注册此连接的地址
  - 在 DNS 注册中使用此连接的 DNS 后缀
配置域控制器：
1. 使用服务器管理器，添加 Active Directory 域服务角色以及所有默认功能。
2. 将实例提升为域控制器。在提升过程中，启用 DNS 并使用创建 DHCP 选项集时指定的域名。出现提示时重新启动实例。
配置第一个云连接器：
1. 将实例加入域，并在出现提示时重新启动。在堡垒主机实例中，使用 RDP 重新连接到实例。
2. 登录到 Citrix Cloud。从左上角菜单中选择 资源位置。
3. 下载云连接器。
4. 出现提示时，运行 cwcconnector.exe 文件并提供您的 Citrix Cloud 凭据。按照向导操作。
5. 完成后，选择刷新以显示 资源位置 页面。当云连接器注册后，实例将显示在该页面上。
重复配置云连接器的步骤，以配置第二个云连接器。
将 IAM 策略附加到云连接器，以支持具有基于角色的授权的 AWS 托管连接。您必须将相同的 IAM 策略附加到资源位置中的所有云连接器。有关 AWS 权限的信息，请参阅所需的 AWS 权限 - Amazon EC2 和所需的 AWS 权限 - Amazon WorkSpaces Core 托管实例。

后续步骤

对于简单的概念验证部署，请在指定用于向用户交付应用程序或桌面的计算机上安装 VDA。
有关创建和管理连接的信息，请参阅：
- 连接到 AWS
- 连接到 Amazon WorkSpaces Core 托管实例
查看安装和配置过程中的所有步骤