本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

使用基于许可证管理器用户的订阅来订阅支持的软件产品

通过基于用户的订阅 AWS License Manager，您可以购买完全合规的许可软件订阅。许可证由 Amazon 提供，按用户收取订阅费。Amazon EC2 为预配置的亚马逊机器映像 (AMI) 提供受支持的软件，以及包含许可证的 Windows 服务器许可证。无需长期许可订阅即可使用此类许可证。

要使用基于用户的订阅，您可以将来自 AWS Directory Service for Microsoft Active Directory (AWS Managed Microsoft AD) 或您的自管理（本地）域的用户与提供软件的 EC2 实例关联起来。要使您的许可软件可用，您必须创建基于用户的订阅，并将其与从预配置的 AMI 启动的实例关联起来。AWS Systems Manager 将配置和强化您启动的包含许可证的实例。用户必须连接远程桌面软件才能访问提供该软件的实例。

包含许可证的实例的每个关联用户和 vCPU 都会产生费用。Amazon EC2 预留实例和 Savings Plan 定价模式可以帮助优化您的 Amazon EC2 成本。有关更多信息，请参阅《亚马逊弹性计算云用户指南》中的预留实例。User-based 订阅从上半月到月底计费。

在许可证管理器中使用基于用户的订阅的注意事项

在许可证管理器中使用基于用户的订阅时，以下注意事项适用：

许可证管理器中的订阅费用

许可证管理器中的订阅和计费因所使用的订阅产品而异。

许可证管理器中的微软 RDS 账单

微软RDS计费从Active Directory用户通过许可证管理器订阅时开始，并在客户端访问许可证 (CAL) 令牌到期后（自签发之日起 60 天内）结束，部分月份不按比例分配。即使您取消订阅用户，计费也会持续到令牌到期。

如果取消订阅的用户在许可证令牌到期后继续登录，他们将自动重新订阅，并且计费会一直持续到他们再次取消订阅且令牌到期为止。

同样，如果用户从未订阅但登录到与许可证服务器关联的实例，License Manager 会自动对其进行订阅并开始 RDS 计费。计费会一直持续到他们取消订阅且代币到期为止。

要在当月底停止为用户计费，必须先将该用户从为许可证服务器配置的 Active Directory 中移除，然后才能取消订阅。

以下示例场景演示了 RDS 计费的工作原理。

有关微软 RDS 每用户 CAL 工作原理的更多信息，请参阅 Micros oft Learn 网站上的 “为远程桌面部署授予许可” 一文中的 “每用户 CAL” 部分。

在许可证管理器中创建基于用户的订阅的先决条件

在创建基于用户的订阅之前，必须在您的环境中实现以下先决条件。

IAM 角色和权限

您必须允许 License Manager 创建服务相关角色，才能为基于用户的订阅注册 AWS 账户 。在许可证管理器控制台中，如果尚未创建角色，则User-based 订阅中会出现提示。在您响应提示并同意允许许可证管理器创建角色后，选择 “创建” 继续。有关更多信息，请参阅 在 License Manager 中使用服务相关角色。

要创建基于用户的订阅，您的用户或角色必须具有以下权限：

要为 Microsoft Office 产品创建基于用户的订阅，您的用户或角色还必须具有以下额外权限：

AWS KMS 许可证服务器凭据的密钥政策

要使用自己的 KMS 密钥加密和解密 Microsoft RDS 许可证服务器的管理凭证密钥，必须将策略附加到用于访问许可证管理器操作的角色。以下示例显示了一项策略，该策略授予密钥管理器访问 KMS 密钥以加密和解密 Microsoft RDS 许可证服务器凭据密钥的权限。

JSON

{
"Version":"2012-10-17",
"Id": "key-policy",
"Statement": [
    {
        "Sid": "Enable IAM User Permissions",
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::111122223333:role/RoleName"
        },
        "Action": [
            "kms:Decrypt"
        ],
        "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "Condition": {
            "StringLike": {
                "kms:ViaService": "secretsmanager.*.amazonaws.com"
            }
        }
    },
    {
        "Sid": "Enable IAM User Permissions",
        "Effect": "Allow",
        "Principal": {
            "AWS": "arn:aws:iam::111122223333:role/aws-service-role/license-manager-user-subscriptions.amazonaws.com/AWSServiceRoleForAWSLicenseManagerUserSubscriptionsService"
        },
        "Action": "kms:Decrypt", 
        "Resource": "arn:aws:kms:us-west-2:111122223333:key/1234abcd-12ab-34cd-56ef-1234567890ab",
        "Condition": {
            "StringLike": {
                "kms:ViaService": "secretsmanager.*.amazonaws.com"
            }
        }
    }
]
}

Active Directory

要使用基于许可证管理器用户的订阅，必须创建一个 Active Directory (AD)，其中包含订阅产品用户的用户信息。根据您的配置，您可以使用或自行管理的 AD。 AWS Managed Microsoft AD

如果您同时使用 AWS 托管和自管理的 Active 目录，则必须在目录之间建立双向林间信任。有关更多信息，请参阅《管理指南》中的教程：在您 AWS Managed Microsoft AD 和您自行管理的 Active Directory 域之间创建信任关系。AWS Directory Service

AWS 托管活动目录有以下限制。

基于标签的过滤器的先决条件

如果您要对 Active Directory 使用基于标签的过滤器，则必须先加入该 AWS 资源探索器 服务，如下所示：

有关创建 AWS Managed Microsoft AD 目录的更多信息，请参阅AWS Directory Service 用户指南中的AWS Managed Microsoft AD 先决条件和创建 AWS Managed Microsoft AD 目录。

要将用户与关联 AWS Managed Microsoft AD，必须在 AWS Managed Microsoft AD 目录中设置用户。有关更多信息，请参阅 AWS Directory Service 管理指南 中的管理 AWS Managed Microsoft AD中的用户和组。

安全组

安全组控制允许进出您网络上资源的网络流量。为确保基于用户的订阅环境中的资源可以通信，您的安全组必须满足以下标准。

VPC 终端节点的安全组

确定或创建允许入站 TCP 端口1688连接的安全组。配置 VPC 设置时，您将指定此安全组。有关更多信息，请参阅使用安全组。

许可证管理器将此安全组关联到它在配置 VPC 时代表您创建的 VPC 终端节点。有关 VPC 终端节点的更多信息，请参阅 AWS PrivateLink 指南中的使用接口 VPC 终端节点访问 AWS 服务。

活动目录域控制器的安全组

确保您用于 AD 域控制器的安全组允许出站流量流向每个域控制器的网络接口 IP 地址。此外，域控制器安全组应允许在所有与 Active Directory 相关的端口（包括 TCP 9389）上进行通信。Active Directory 网络服务 (ADWS) 需要端口 9389，Active Directory PowerShell 模块和其他管理工具使用该端口与域控制器通信。

“注册您的 Active Directory” 步骤的安全组要求

在将您的 Active Directory 加入许可证管理器期间，我们在您提供的子网中创建一个网络接口，该接口使用 VPC 的默认安全组进行标记。请确保允许该安全组访问您的 Active Directory 域控制器。入职完成后，可以将其替换为您选择的群组，但仍需要对域控制器进行网络访问。

“配置 RDS 许可证服务器” 步骤的安全组要求

在许可证服务器配置期间，许可证管理器会在您提供的子网中创建两个网络接口。这些网络接口会自动使用新创建的安全组进行标记，该安全组包括所有必需的端口配置。确保您的 Active Directory 域控制器安全组允许所有与 Active Directory 相关的端口（包括 TCP 端口 9389）上来自子网 CIDR 的双向流量。Active Directory 网络服务 (ADWS) 需要端口 9389，Active Directory PowerShell 模块和其他管理工具使用该端口与域控制器通信。

基于用户的订阅实例的安全组

识别或创建允许以下人员访问和访问您的实例的安全组。有关更多信息，请参阅使用安全组。

网络配置

许可证管理器创建两个网络接口，它们使用配置您 AWS Managed Microsoft AD 的 VPC 的默认安全组。这些接口用于服务与您的目录进行交互。有关更多信息，请参阅 AWS Directory Service 管理指南中的第 2 步：在许可证管理器中注册您的活动目录 和创建的内容。

配置过程完成后，您可以将不同的安全组关联到 License Manager 创建的接口。

DNS 解析

必须可以从您在许可证管理器设置中配置的任何 VPC 和子网访问您注册的基于用户的订阅的 Active Directory。为确保可以访问 Active Directory 节点，请按如下方式配置 DNS 解析：

多个活动目录的网络注意事项

如果您为基于微软 Office 用户的订阅注册了多个 Active Directories，请考虑以下网络要求：

提供基于用户的订阅产品的实例

要使基于用户的订阅实例按预期运行，您必须满足以下先决条件：

微软远程桌面服务

微软远程桌面服务许可证服务器需要在关联的 Active Directory 中定义的管理用户。该用户必须能够执行以下任务：

要了解有关委派的更多信息，请参阅 Active Directory 域服务中的控制委托。

管理凭证机密

许可证管理器 AWS Secrets Manager 用于管理 Microsoft 远程桌面服务许可证服务器上用户管理任务所需的凭据。在设置许可证服务器之前，必须在 Secrets Manager 中创建一个密钥，其中包含在许可证服务器上执行用户管理任务的用户的证书。配置许可证服务器设置时，必须提供您创建的密钥的 ID。

要创建密钥，请按照密钥管理器用户指南中创建 AWS Secrets Manager 密钥页面上的详细说明进行操作，并进行以下特定于许可证管理器的设置。

在选择密钥类型页面上：

在 “配置密钥” 页面上：

这些说明假设您正在 AWS 管理控制台 使用创建密钥。密钥管理器用户指南还包括其他方法的详细说明。有关密钥管理器的更多信息，请参阅什么是密钥管理器。有关与成本特别相关的信息，请参阅《凭据管理器用户指南》 AWS Secrets Manager中的定价。

许可证管理器中基于用户的订阅支持的软件产品

AWS License Manager 支持微软 Visual Studio 和微软 Office 的基于用户的订阅。许可证管理器跟踪支持的软件利用率。每位用户都需要单独订阅 Windows Server 远程桌面服务订阅用户访问许可证 (RDS SAL)，才能访问包含许可证的实例，该实例提供基于用户的订阅产品。有关更多信息，请参阅 开始在许可证管理器中使用基于用户的订阅。

支持的 Windows 操作系统 (OS) 平台

您可以找到包含以下 Windows 操作系统平台的 RDS SAL 许可证涵盖的产品的 Windows AMI：

支持基于用户的订阅的软件

Microsoft Visual Studio

Microsoft Visual Studio 是一个集成式开发环境 (IDE)，开发人员能够创建、编辑、调试和发布应用程序。提供的 Microsoft Visual Studio AMI 包括 AWS Toolkit for .NET Refactoring 和 AWS Toolkit for Visual Studio。

下表详细说明了用于 License Manager 基于用户的订阅 API 操作的软件订阅名称及其关联产品值。

Microsoft Office

Microsoft Office 是微软为各种生产用例开发的一系列软件，包括处理文档、电子表格和幻灯片演示文稿。

下表详细说明了用于 License Manager 基于用户的订阅 API 操作的软件订阅名称及其关联产品值。

微软 Office EC2 图像生成器组

除了预先配置的 AMI 外，微软 Office 还可用作 EC2 映像生成器组件。

映像生成器组件适用于微软 Office LTSC Professional Plus 和微软 Office LTSC 标准。您可以配置版本年份和架构以满足您的要求。

将微软 Office 与其他软件相结合

您可以将微软 Office 生成器组件与 EC2 映像生成器一起使用来创建自定义 AMI，其中包括微软 Office 和其他软件。

Office 映像生成器组件可以与以下任何基本 AMI 一起使用：

除了 Office 组件外，您还可以在映像配方中加入其他 EC2 映像生成器组件。例如，您可以添加用于安装组织工具、代理或配置的组件，以生成一个完全自定义 AMI，其中包含 Office 和用户所需的任何其他软件。

将微软 Office 和微软 Visual Studio 合并为一个实例

您可以使用许可证管理器创建的 EC2 映像生成器管道将多个许可产品捆绑到一个亚马逊系统映像 (AMI) 中。例如，您可以创建一个同时包含 Visual Studio Professional 2022 和 Office LTSC Professional Plus 2024 的 AMI，然后启动所有预安装和预许可产品的实例。有关分步说明，请参阅 启动同时使用微软 Office 和微软 Visual Studio 产品的实例

Active Directory

许可证管理器支持基于用户的微软 Visual Studio、微软 Office 和远程桌面服务订阅者访问许可证 (RDS SAL) 的订阅。产品可能支持自行管理的活动目录，该目录要么部署在您的 AWS 环境中，要么与 AWS 环境中的 VPC 具有网络连接。 AWS Managed Microsoft AD

下表指出了与基于用户的订阅一起使用时，每种软件产品支持哪些类型的Active Directory:.

微软 Office 支持多个活动目录

你可以在单个帐户和区域内为基于微软 Office 用户的订阅注册多个活动目录。这使您可以为不同的业务部门、环境或工作负载维护单独的活动目录，而无需它们之间建立 VPC 对等关系或信任关系。

当您注册多个活动目录时，以下限制条件适用：

许可证管理器如何为实例选择 Active Directory

当你使用基于微软 Office 用户的订阅产品启动实例时，许可证管理器会自动确定使用哪个注册的 Active Directory 进行激活。不需要额外的启动参数。

许可证管理器使用以下逻辑解析活动目录：

如果许可证管理器无法为一个实例确定单个 Active Directory，则激活不会成功。为避免这种情况，请确保每个实例 VPC 只能直接或通过 VPC 对等访问一个注册的 Active Directory。

按活动目录筛选实例

如果您注册了多个活动目录，则可以在控制台中按 Active Directory 筛选实例，也可以将 ActiveDirectoryId 过滤器与 ListInstances API 一起使用。

其他软件

您可以在您的实例上安装其他软件，此类软件不能作为基于用户的订阅提供。License Manager 不会跟踪其他软件的安装。这些安装必须使用 Active Directory 的管理帐户执行。如果您使用 AWS Managed Microsoft AD，则默认情况下会在您的目录中创建管理帐户（管理员）。有关更多信息，请参阅 Directory Service 管理指南中的管理员帐户。

要使用 Active Directory 管理帐户安装其他软件，您必须：

有关更多信息，请参阅 开始在许可证管理器中使用基于用户的订阅。