本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
WorkSpaces 池活動目錄管理
設定和使用具有 WorkSpaces 集區的使用中目錄包含下列管理工作。
授予許可來建立及管理 Active Directory 電腦物件
若要允許 WorkSpaces 集區執行 Active Directory 電腦物件作業，您需要具備足夠權限的帳戶。做為最佳實務，建議您使用僅具備所需最低權限的帳戶。最低的 Active Directory 組織單位 (OU) 許可如下所示：
-
建立電腦物件
-
變更密碼
-
重設密碼
-
撰寫描述
在設定許可前，您需要先執行以下作業：
-
取得加入您網域的電腦或EC2執行個體的存取權。
-
安裝使用中目錄使用者和電腦MMC嵌入式管理單元。如需詳細資訊，請參閱 Microsoft 文件中的 Installing or Removing Remote Server Administration Tools for Windows 7
。 -
以具備適當許可，能夠修改 OU 安全設定的網域使用者登入。
-
建立或識別要委派許可的使用者、服務帳戶或群組。
設定最低許可
-
在您的網域或網域控制站上開啟 Active Directory Users and Computers (Active Directory 使用者及電腦)。
-
在左側導覽窗格中，選取要在其上提供網域加入權限的第一個 OU，開啟內容 (以滑鼠右鍵按一下) 選單，然後選擇 Delegate Control (委派控制)。
-
在 Delegation of Control Wizard (委派控制精靈) 頁面上，選擇 Next (下一步)、Add (新增)。
-
針對選取使用者、電腦或群組，選取預先建立的使用者、服務帳戶或群組，然後選擇確定。
-
在 Tasks to Delegate (要委派的任務) 頁面上，選擇 Create a custom task to delegate (建立要委派的自訂任務)，然後選擇 Next (下一步)。
-
選擇 Only the following objects in the folder (僅限資料夾中的下列物件)、Computer objects (電腦物件)。
-
選擇 Create selected objects in this folder (在此資料夾中建立選取的物件)、Next (下一步)。
-
針對 Permissions (許可)，選擇 Read (讀取)、Write (寫入)、Change Password (變更密碼)、Reset Password (重設密碼)、Next (下一步)。
-
在 Completing the Delegation of Control Wizard (完成委派控制精靈) 頁面上，驗證資訊並選擇 Finish (完成)。
-
針對需要這些權限的其他任何額外OUs資訊重複步驟 2-9。
若您將許可委派給群組，請使用強式密碼建立使用者或服務帳戶，並將該帳戶新增到該群組。然後，此帳戶將具有足夠的權限將您連接 WorkSpaces 到目錄。建立 WorkSpaces 池目錄組態時，請使用此帳戶。
尋找組織單位辨別名稱
當您向 WorkSpaces 集區註冊 Active Directory 網域時，您必須提供組織單位 (OU) 辨別名稱。請為此建立 OU。預設的 [電腦] 容器不是 OU，且無法由 [集 WorkSpaces 區] 使用。以下程序示範如何取得此名稱。
注意
辨別名稱必須以 OU= 開頭，否則便無法用於電腦物件。
在您完成此程序前，您需要先執行以下作業：
-
取得加入您網域的電腦或EC2執行個體的存取權。
-
安裝使用中目錄使用者和電腦MMC嵌入式管理單元。如需詳細資訊，請參閱 Microsoft 文件中的 Installing or Removing Remote Server Administration Tools for Windows 7
。 -
以具備適當許可，能夠讀取 OU 安全屬性的網域使用者登入。
尋找 OU 的辨別名稱
-
在您的網域或網域控制站上開啟 Active Directory Users and Computers (Active Directory 使用者及電腦)。
-
在 View (檢視) 下方，確認已啟用 Advanced Features (進階功能)。
-
在左側瀏覽窗格中，選取要用於 WorkSpaces 電腦物件的第一個 OU，開啟內容 (按一下滑鼠右鍵) 功能表，然後選擇 [內容]。
-
選擇 Attribute Editor (屬性編輯器)。
-
在「屬性」下 distinguishedName，選擇「檢視」。
-
針對 Value (值)，選取辨別名稱、開啟內容選單，然後選擇 Copy (複製)。
授與自訂映像檔的本機管理員權限
根據預設，Active Directory 網域使用者對映像沒有本機系統管理員權限。您可以使用目錄中的群組原則喜好設定來授與這些權限，也可以使用映像上的本機系統管理員帳戶手動授與這些權限。授與本機管理員權限給網域使用者可讓該使用者在集區中安裝應用程式，並在 WorkSpaces 集區中建立自訂映像。
使用群組政策喜好設定
您可以使用群組政策喜好設定，將本機管理員權限授予 Active Directory 使用者或群組，以及指定 OU 中所有的電腦物件。您希望授予本機管理員許可的 Active Directory 使用者或群組必須已存在。若要使用群組政策喜好設定，您需要先執行以下作業：
-
取得加入您網域的電腦或EC2執行個體的存取權。
-
安裝群組原則管理主控台 (GPMC) MMC 嵌入式管理單元。如需詳細資訊，請參閱 Microsoft 文件中的 Installing or Removing Remote Server Administration Tools for Windows 7
。 -
以具有建立群組原則物件 (GPOs) 權限的網域使用者身分登入。連結GPOs至適當的OUs。
使用群組政策喜好設定授予本機管理員許可
-
在您的目錄或網域控制站上，以系統管理員身分開啟命令提示字元
gpmc.msc，輸入，然後按ENTER。 -
在左側主控台樹狀目錄中，選取要在其中建立新的 OU GPO 或使用現有的 OUGPO，然後執行下列任一項作業：
-
開啟前後關聯 (按一下滑鼠右鍵) 選單並選擇「GPO在此網域中建立一個」、「在此連結」GPO 來建立新項目。對於「名稱」，請提供此名稱的描述性名稱GPO。
-
選取現有的GPO。
-
-
開啟的右鍵功能表GPO，然後選擇 「編輯」。
-
在主控台樹狀目錄中，選擇 Computer Configuration (電腦組態)、Preferences (喜好設定)、Windows Settings (Windows 設定)、Control Panel Settings (控制台設定)，以及 Local Users and Groups (本機使用者及群組)。
-
選取 Local Users and Groups (本機使用者及群組)，開啟內容選單，然後選擇 New (新增)、Local Group (本機群組)。
-
針對 Action (動作)，選擇 Update (更新)。
-
針對 Group name (群組名稱)，選擇 Administrators (built-in) (管理員 (內建))。
-
在成員下方，選擇新增...，然後指定要指派串流執行個體上本機管理員權限的 Active Directory 使用者或群組。針對 Action (動作)，選擇 Add to this group (新增到此群組)，然後選擇 OK (確定)。
-
若要將其套用GPO至其他 OUOUs，請選取其他 OU，開啟內容功能表，然後選擇「連結現有的」GPO。
-
使用您在步驟 2 中指定的新GPO名稱或現有名稱，捲動以尋找GPO，然後選擇 [確定]。
-
針對應具有此偏好設定的其他項目OUs，請重複步驟 9 和 10。
-
選擇 OK (確定) 來關閉 New Local Group Properties (新增本機群組屬性) 對話方塊。
-
再次選擇 「確定」 以關閉GPMC。
若要將新偏好設定套用至GPO，您必須停止並重新啟動任何執行中的映像產生器或叢集。您在步驟 8 中指定的 Active Directory 使用者和群組會自動授與連結 OU 中映像產生器和叢集的本機系統管理員權限。GPO
使用上的本機管理員群組 WorkSpace 建立映像
若要授與 Active Directory 使用者或群組映像的本機管理員權限，您可以手動將這些使用者或群組新增至映像上的本機系統管理員群組。
要授予本機管理員權限的 Active Directory 使用者或群組必須已存在。
-
Connect 到 WorkSpace 您用來構建映像的。 WorkSpace 必須在執行中且已加入網域。
-
選擇 Start (開始)、Administrative Tools (管理工具)，然後按兩下 Computer Management (電腦管理)。
-
在左側的導覽窗格中，選擇 Local Users and Groups (本機使用者及群組)，然後開啟 Groups (群組)。
-
開啟 Administrators (管理員) 群組，然後選擇 Add... (新增...)。
-
選取要指派本機管理員權限的所有 Active Directory 使用者或群組，然後選擇 OK (確定)。再次選擇 OK (確定) 來關閉 Administrator Properties (管理屬性) 對話方塊。
-
關閉電腦管理。
-
若要以 Active Directory 使用者身分登入並測試該使用者是否具有本機管理員權限 WorkSpaces，請選擇 [管理命令]、[切換使用者]，然後輸入相關使用者的認證。
在使用者閒置時鎖定串流工作階段
WorkSpaces 集區依賴於您在中設定的設定，GPMC以便在使用者閒置指定的時間長度後鎖定串流工作階段。若要使用GPMC，您必須先執行下列動作：
-
取得加入您網域的電腦或EC2執行個體的存取權。
-
安裝GPMC. 如需詳細資訊，請參閱 Microsoft 文件中的 Installing or Removing Remote Server Administration Tools for Windows 7
。 -
以具有建立權限的網域使用者身分登入GPOs。連結GPOs至適當的OUs。
在使用者閒置時自動鎖定串流執行個體
-
在您的目錄或網域控制站上，以系統管理員身分開啟命令提示字元
gpmc.msc，輸入，然後按ENTER。 -
在左側主控台樹狀目錄中，選取要在其中建立新的 OU GPO 或使用現有的 OUGPO，然後執行下列任一項作業：
-
開啟前後關聯 (按一下滑鼠右鍵) 選單並選擇「GPO在此網域中建立一個」、「在此連結」GPO 來建立新項目。對於「名稱」，請提供此名稱的描述性名稱GPO。
-
選取現有的GPO。
-
-
開啟的右鍵功能表GPO，然後選擇 「編輯」。
-
在 User Configuration (使用者組態) 下方，展開 Policies (政策)、Administrative Templates (管理範本)、Control Panel (控制台)，然後選擇 Personalization (個人化)。
-
按兩下 Enable screen saver (啟用螢幕保護裝置)。
-
在 Enable screen saver (啟用螢幕保護裝置) 政策設定中，選擇 Enabled (啟用)。
-
選擇 Apply (套用)，然後選擇 OK (確定)。
-
按兩下 Force specific screen saver (強制使用特定螢幕保護裝置)。
-
在 Force specific screen saver (強制使用特定螢幕保護裝置) 政策設定中，選擇 Enabled (啟用)。
-
在 Screen saver executable name (螢幕保護裝置可執行檔名稱) 下方，輸入
scrnsave.scr。啟用此設定時，系統會在使用者的桌面上顯示黑色的螢幕保護裝置。 -
選擇 Apply (套用)，然後選擇 OK (確定)。
-
按兩下 Password protect the screen saver (密碼保護螢幕保護裝置)。
-
在 Password protect the screen saver (密碼保護螢幕保護裝置) 政策設定中，選擇 Enabled (啟用)。
-
選擇 Apply (套用)，然後選擇 OK (確定)。
-
按兩下 Screen saver timeout (螢幕保護裝置逾時)。
-
在 Screen saver timeout (螢幕保護裝置逾時) 政策設定中，選擇 Enabled (啟用)。
-
針對 Seconds (秒數)，指定套用螢幕保護裝置前，使用者必須閒置的時間長度。若要將閒置時間設為 10 分鐘，請指定 600 秒。
-
選擇 Apply (套用)，然後選擇 OK (確定)。
-
在主控台樹狀目錄中，於 User Configuration (使用者組態) 下方，展開 Policies (政策)、Administrative Templates (管理範本)、System (系統)，然後選擇 Ctrl+Alt+Del Options (Ctrl+Alt+Del 選項)。
-
按兩下 Remove Lock Computer (移除鎖定電腦)。
-
在 Remove Lock Computer (移除鎖定電腦) 政策設定，選擇 Disabled (停用)。
-
選擇 Apply (套用)，然後選擇 OK (確定)。
設定 WorkSpaces 集區以使用網域信任
WorkSpaces 集區支援 Active Directory 網域環境，其中網路資源 (例如檔案伺服器、應用程式和電腦物件) 位於一個網域中，而使用者物件位於另一個網域中。用於電腦物件作業的網域服務帳戶不需要與 WorkSpaces 集區電腦物件位於相同的網域中。
建立目錄組態時，指定具備適當許可的服務帳戶，來管理檔案伺服器、應用程式、電腦物件和其他網路資源所在 Active Directory 網域中的電腦物件。
您的最終使用者 Active Directory 帳戶必須針對以下項目擁有「允許進行身分驗證」的許可：
-
WorkSpaces 池計算机對象
-
網域的網域控制站
如需詳細資訊，請參閱授予許可來建立及管理 Active Directory 電腦物件。
