先决条件

打开 https://portal.aws.amazon.com/billing/signup。

按照屏幕上的说明操作。

在注册时，将接到电话或收到短信，要求使用电话键盘输入一个验证码。

当您注册时 AWS 账户，将创建AWS 账户根用户一个。根用户有权访问该账户中的所有 AWS 服务 和资源。作为最佳安全实践，请为用户分配管理访问权限，并且只使用根用户来执行需要根用户访问权限的任务。

按照说明在 Route 53 上注册域名。您应该会收到一封确认电子邮件。

检索您的域的托管区域。Route 53 会自动创建此内容。

1. 打开 Route 53 控制台。

2. 从左侧导航栏中选择托管区域。

3. 打开为您的域名创建的托管区域并复制托管区域 ID 。

打开 AWS Certificate Manager 并按照以下步骤申请域名证书。确保您位于计划部署解决方案的地区。

从导航栏中选择 “列出证书”，然后找到您的证书申请。该请求应处于待处理状态。

选择您的证书 ID 来打开请求。

在域名部分中，选择在 Route 53 中创建记录。处理请求大约需要十分钟。

证书颁发后，从 “证书状态” 部分复制 ARN。

在创建公共托管域的商业分区 AWS 账户中部署证书 CloudFormation 堆栈。

在证书 CloudFormation 输出中，找到并记下CertificateARN和PrivateKeySecretARN。

在 GovCloud 分区帐户中，使用CertificateARN输出值创建一个密钥。记下新的密钥 ARN，并在密钥中添加两个标签，以便vdc-gateway可以访问密钥值：

1. res: ModuleName = 虚拟桌面控制器

2. res: EnvironmentName = [环境名称]（这可能是 res-demo。）

在 GovCloud 分区帐户中，使用PrivateKeySecretARN输出值创建一个密钥。记下新的密钥 ARN，并在密钥中添加两个标签，以便vdc-gateway可以访问密钥值：

1. res: ModuleName = 虚拟桌面控制器

2. res: EnvironmentName = [环境名称]（这可能是 res-demo。）

按照如何为您的启用服务器端 LDAPS 中提供的步骤进行操作。 AWS Managed Microsoft AD如果您已经启用了 LDAPS，则可以跳过此步骤。

确认已在 AD 上配置 LDAPS 后，导出 AD 证书：

1. 转到您的活动目录服务器。

2. 以管理员 PowerShell 身份打开。

3. 运行certmgr.msc打开证书列表。

4. 打开证书列表，首先打开可信根证书颁发机构，然后打开证书。

5. 选择并保留（或右键单击）与 AD 服务器同名的证书，然后选择所有任务，然后选择导出。

6. 选择Base-64 编码 X.509 (.CER)，然后选择下一步。

7. 选择一个目录，然后选择 “下一步” 。

在以下位置创建密钥 AWS Secrets Manager：

在 Secrets Manager 中创建 Secret 时，在 secret type（密钥类型）下选择 Other type of secrets（其他类型密钥）并将 PEM 编码的凭证粘贴到 Plaintext（明文）字段中。

记下创建的 ARN 并将其作为DomainTLSCertificateSecretARN参数输入。步骤 1：启动产品

在以下位置下载依赖项 https://research-engineering-studio-us-east-1.s3.amazonaws.com/releases/latest/res-installation-scripts.tar.gz。要在隔离的 VPC 中部署，RES 基础设施需要依赖项的可用性，而无需公共互联网接入。

创建具有 Amazon S3 只读访问权限和可信身份的 IAM 角色，作为 Amazon EC2。

1. 使用 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

2. 在角色中，选择创建角色。

3. 在选择可信实体页面：

   • 在 “可信实体类型” 下，选择 AWS 服务。

   • 对于服务或用例下的用例，选择 EC2 并选择下一步。

4. 在 “添加权限” 上，选择以下权限策略，然后选择 “下一步”：

   • AmazonS3ReadOnlyAccess

   • AmazonSSMManagedInstanceCore

   • EC2InstanceProfileForImageBuilder

5. 添加角色名称和描述，然后选择创建角色。

创建 EC2 映像生成器组件：

1. 在以下位置打开 EC2 映像生成器控制台https://console.aws.amazon.com/imagebuilder。

2. 在 “已保存的资源” 下，选择 “组件”，然后选择 “创建组件” 。

3. 在 “创建组件” 页面上，输入以下详细信息：

   • 对于 “组件类型”，选择 “构建” 。

   • 有关组件的详细信息，请选择：

     参数	用户入口
     图像操作系统 (OS)	Linux
     兼容的操作系统版本	亚马逊 Linux 2、亚马逊 Linux 2023、RHEL8、RHEL 9 或 Windows 10 和 11
     组件名称	输入一个名字，例如：<research-and-engineering-studio-infrastructure>
     组件版本	我们建议从 1.0.0 开始。
     说明	可选的用户条目。

4. 在 “创建组件” 页面上，选择 “定义文档内容” 。

   1. 在输入定义文档内容之前，您需要一个 tar.gz 文件的文件 URI。将 RES 提供的 tar.gz 文件上传到 Amazon S3 存储桶，然后从存储桶属性中复制该文件的 URI。

   2. 输入以下信息：

      注意

      AddEnvironmentVariables是可选的，如果您不需要在基础架构主机中使用自定义环境变量，则可以将其删除。

      如果您正在设置http_proxyhttps_proxy环境变量，则需要这些no_proxy参数来防止实例使用代理来查询本地主机、实例元数据 IP 地址和支持 VPC 终端节点的服务。

      #  Copyright Amazon.com, Inc. or its affiliates. All Rights Reserved.
      #
      #  Licensed under the Apache License, Version 2.0 (the "License"). You may not use this file except in compliance
      #  with the License. A copy of the License is located at
      #
      #      http://www.apache.org/licenses/LICENSE-2.0
      #
      #  or in the 'license' file accompanying this file. This file is distributed on an 'AS IS' BASIS, WITHOUT WARRANTIES
      #  OR CONDITIONS OF ANY KIND, express or implied. See the License for the specific language governing permissions
      #  and limitations under the License.
      name: research-and-engineering-studio-infrastructure
      description: An RES EC2 Image Builder component to install required RES software dependencies for infrastructure hosts.
      schemaVersion: 1.0
      
      parameters:
        - AWSRegion:
            type: string
            description: RES Environment AWS Region
      phases:
        - name: build
          steps:
             - name: DownloadRESInstallScripts
               action: S3Download
               onFailure: Abort
               maxAttempts: 3
               inputs:
                  - source: '<s3 tar.gz file uri>'
                    destination: '/root/bootstrap/res-installation-scripts/res-installation-scripts.tar.gz'
             - name: RunInstallScript
               action: ExecuteBash
               onFailure: Abort
               maxAttempts: 3
               inputs:
                  commands:
                      - 'cd /root/bootstrap/res-installation-scripts'
                      - 'tar -xf res-installation-scripts.tar.gz'
                      - 'cd scripts/infrastructure-host'
                      - '/bin/bash install.sh'
             - name: AddEnvironmentVariables
               action: ExecuteBash
               onFailure: Abort
               maxAttempts: 3
               inputs:
                  commands:
                      - |
                        echo -e "
                        http_proxy=http://<ip>:<port>
                        https_proxy=http://<ip>:<port>
                        no_proxy=127.0.0.1,169.254.169.254,169.254.170.2,localhost,{{ AWSRegion }}.res,{{ AWSRegion }}.vpce.amazonaws.com,{{ AWSRegion }}.elb.amazonaws.com,s3.{{ AWSRegion }}.amazonaws.com,s3.dualstack.{{ AWSRegion }}.amazonaws.com,ec2.{{ AWSRegion }}.amazonaws.com,ec2.{{ AWSRegion }}.api.aws,ec2messages.{{ AWSRegion }}.amazonaws.com,ssm.{{ AWSRegion }}.amazonaws.com,ssmmessages.{{ AWSRegion }}.amazonaws.com,kms.{{ AWSRegion }}.amazonaws.com,secretsmanager.{{ AWSRegion }}.amazonaws.com,sqs.{{ AWSRegion }}.amazonaws.com,elasticloadbalancing.{{ AWSRegion }}.amazonaws.com,sns.{{ AWSRegion }}.amazonaws.com,logs.{{ AWSRegion }}.amazonaws.com,logs.{{ AWSRegion }}.api.aws,elasticfilesystem.{{ AWSRegion }}.amazonaws.com,fsx.{{ AWSRegion }}.amazonaws.com,dynamodb.{{ AWSRegion }}.amazonaws.com,api.ecr.{{ AWSRegion }}.amazonaws.com,.dkr.ecr.{{ AWSRegion }}.amazonaws.com,kinesis.{{ AWSRegion }}.amazonaws.com,.data-kinesis.{{ AWSRegion }}.amazonaws.com,.control-kinesis.{{ AWSRegion }}.amazonaws.com,events.{{ AWSRegion }}.amazonaws.com,cloudformation.{{ AWSRegion }}.amazonaws.com,sts.{{ AWSRegion }}.amazonaws.com,application-autoscaling.{{ AWSRegion }}.amazonaws.com,monitoring.{{ AWSRegion }}.amazonaws.com,ecs.{{ AWSRegion }}.amazonaws.com,.execute-api.{{ AWSRegion }}.amazonaws.com
                         " >> /etc/environment  

5. 选择创建组件。

创建图像生成器图像配方。

1. 在创建食谱页面上，输入以下内容：

   Section	参数	用户入口
   食谱详情	名称	输入适当的名称，例如 res-recipe-linux-x86。
   	版本	输入版本，通常从 1.0.0 开始。
   	描述	添加可选描述。
   基础镜像	选择图片	选择托管映像。
   	OS	亚马逊 Linux 或红帽企业 Linux (RHEL)
   	图像来源	快速入门 (Amazon-managed)
   	映像名称	亚马逊 Linux 2 x86、亚马逊 Linux 2023 x86、红帽企业 Linux 8 x86 或红帽企业 Linux 9 x86
   	Auto-versioning options	使用最新的可用操作系统版本。
   实例配置	–	将所有内容保持在默认设置中，并确保未选择 “在管道执行后删除 SSM 代理”。
   工作目录	工作目录路径	/root/bootstrap/重新安装脚本
   组件	生成组件	搜索并选择以下内容： Amazon-managed: aws-cli-version-2-linux Amazon-managed: 亚马逊 cloudwatch-agent-linux 归您所有：之前创建的 Amazon EC2 组件。在字段中输入您当前 AWS 的地区。
   	测试组件	搜索并选择： Amazon-managed: 简单启动测试 linux

2. 选择创建配方。

创建映像生成器基础架构配置。

1. 在 “已保存的资源” 下，选择基础架构配置。

2. 选择创建基础设施配置。

3. 在创建基础架构配置页面上，输入以下内容：

   Section	参数	用户入口
   一般性问题	名称	输入适当的名称，例如 res-infra-linux-x86。
   	描述	添加可选描述。
   	IAM 角色	选择之前创建的 IAM 角色。
   AWS 基础设施	实例类型	选择 t3.medium。
   	VPC、子网和安全组	选择一个允许互联网访问和访问 Amazon S3 存储桶的选项。如果您需要创建安全组，则可以使用以下输入从 Amazon EC2 控制台创建一个安全组： VPC：选择用于基础设施配置的同一 VPC。此 VPC 必须能够访问互联网。 入站规则： 类型：SSH Source：Custom CIDR 区块：0.0.0。0/0

4. 选择创建基础设施配置。

创建新的 EC2 映像生成器管道：

1. 转到图像管道，然后选择创建图像管道。

2. 在指定管道详细信息页面上，输入以下内容并选择下一步：

   • 管道名称和可选描述

   • 在 “生成计划” 中，设置时间表，如果您想手动启动 AMI 烘焙流程，请选择 “手动”。

3. 在 “选择食谱” 页面上，选择 “使用现有配方”，然后输入之前创建的食谱名称。选择下一步。

4. 在定义图像处理页面上，选择默认工作流程，然后选择下一步。

5. 在定义基础架构配置页面上，选择使用现有基础架构配置，然后输入先前创建的基础架构配置的名称。选择下一步。

6. 在 “定义分发设置” 页面上，请考虑以下几点进行选择：

   • 输出映像必须与部署的 RES 环境位于同一区域，这样 RES 才能从中正确启动基础设施主机实例。使用服务默认值，将在使用 EC2 映像生成器服务的区域创建输出映像。

   • 如果要在多个区域部署 RES，可以选择创建新的分发设置并在其中添加更多区域。

7. 查看您的选择，然后选择创建管道。

运行 EC2 映像生成器管道：

1. 在图像管道中，找到并选择您创建的管道。

2. 选择 “操作”，然后选择 “运行管道” 。

   该管道可能需要大约 45 分钟到一个小时才能创建 AMI 映像。

记下生成的 AMI 的 AMI ID，并将其用作中 InfrastructureHost AMI 参数的输入步骤 1：启动产品。

如果之前未配置终端节点，请按照 AWS 服务 使用接口 VPC 终端节点访问中提供的说明进行操作。

在两个可用区中选择一个私有子网。

在您将用于 RES 部署的 VPC 的公有子网中启动 Linux 实例。

连接到该实例以设置代理服务器。

1. 打开 http 连接。

2. 允许从所有相关子网连接到以下域：

   • .amazonaws.com（用于通用服务） AWS

   • .amazoncognito.com（适用于亚马逊 Cognito）

   • .awsapps.com（用于身份中心）

   • .signin.aws（用于身份中心）

   • .amazonaws-us-gov.com（适用于 Gov Cloud）

3. 拒绝所有其他连接。

4. 激活并启动代理服务器。

5. 记下代理服务器监听的端口。

配置您的路由表以允许访问代理服务器。

1. 转到您的 VPC 控制台，确定您将用于基础设施主机和 VDI 主机的子网的路由表。

2. 编辑路由表，允许所有传入连接转到前面步骤中创建的代理服务器实例。

3. 对要使用的所有子网（无法访问互联网）的路由表执行此操作。 Infrastructure/VDIs

修改代理服务器 EC2 实例的安全组，并确保它允许代理服务器正在监听的端口上进行入站 TCP 连接。