基于 Amazon WorkSpaces 的虚拟桌面策略 - VDI 迁移的判断标准与成本设计
解说 Amazon WorkSpaces 的定价模式、向 Amazon DCV 的协议迁移、目录集成和安全设计，并介绍从本地 VDI 迁移的判断标准和成本优化的实践方法。
本地 VDI 存在的结构性问题
以 Citrix 和 VMware Horizon 为中心的本地 VDI（Virtual Desktop Infrastructure）在许多企业中已经运行了 10 年以上。但其结构性问题已经显现。第 1 是硬件的生命周期管理。VDI 服务器每隔几年就需要更新硬件。每个生命周期都会产生重新集中采购服务器 / 存储 / 网络设备的设备投资，以及从需求定义到验证 / 切换反复进行的长期项目。第 2 是许可证成本的膨胀。商用 VDI 产品的许可证基本上按用户数或并发连接数计费，用户越多，费用就越会累积。此外，虚拟化管理程序、服务器操作系统、管理工具的许可证还要另行加算，与实际的运行率无关，按合同数量的费用会固定地产生。第 3 是远程办公支持的局限。本地 VDI 依赖数据中心的网络带宽，因此当全体员工同时进行远程访问时，性能会下降。在新冠疫情期间，许多企业都遇到了这一问题。Amazon WorkSpaces 作为在 AWS 全球基础设施上运行的托管 VDI 服务，解决了这些问题。
WorkSpaces 的定价模式与盈亏平衡点
（截至 2026 年 8 月 / 弗吉尼亚北部和东京区域）WorkSpaces 提供 2 种定价模式：月度固定费用的 AlwaysOn 和月度基本费用 + 按小时计费的 AutoStop。对于 Standard 套件（2 vCPU、4 GB 内存、根卷 80 GB + 用户卷 50 GB、含 Windows / 许可证）的情况，费用如下。在弗吉尼亚北部，AlwaysOn 为每台每月 35.00 美元，AutoStop 为月度基本费用 9.75 美元 + 每使用 1 小时 0.30 美元。在东京，AlwaysOn 为每月 47.00 美元，AutoStop 为月度基本费用 14.00 美元 + 每使用 1 小时 0.40 美元。即使是同一套件，单价也因区域而异，因此盈亏平衡点也需要按区域计算。在弗吉尼亚北部，每月使用 84 小时时 AutoStop 为 34.95 美元，85 小时时为 35.25 美元，每月 85 小时以上时 AlwaysOn 便宜。在东京，每月 83 小时时 AutoStop 为 47.20 美元，盈亏平衡点为每月 83 小时。按每月 20 个工作日换算，分界线是每天 4 小时多一点。全职工作的用户基本属于 AlwaysOn 一侧，每天只使用几个小时虚拟桌面的兼职人员或合作公司的用户则属于 AutoStop 一侧。AutoStop 在连接断开并经过指定的时间后会自动停止，停止期间不收取按小时计费的费用。因此在大规模环境中，基本设计不是让所有用户统一使用 AlwaysOn，而是测量实际登录时间的分布，并以盈亏平衡点为界进行分配。削减幅度直接取决于“低于盈亏平衡点小时数的用户占几成”，因此在迁移计划中，首先进行的工作是根据现有 VDI 的运行日志汇总每个用户的月度使用时间。
带有小时数的条为 AutoStop 的月度费用（美元）：9.75 + 0.30 × 小时数（Standard 套件 / 弗吉尼亚北部 / 截至 2026 年 8 月）
协议统一为 Amazon DCV - PCoIP 支持终止与迁移路径
WorkSpaces Personal 的流式传输协议已统一为 Amazon DCV（旧称 WSP：WorkSpaces Streaming Protocol）。DCV 是 AWS 开发的高性能流式传输协议，在官方文档（截至 2026 年 8 月）中被定位为 WorkSpaces Personal 的单一协议。另一方的 PCoIP（PC over IP）是由 Teradici 开发、现由 HP 持有的技术，其支持终止已经公布。2026 年 7 月 31 日起停止受理新客户。基于 PCoIP 的 WorkSpaces Personal 的支持将于 2027 年 10 月 31 日终止（范围为包括 AWS GovCloud（US）在内的所有提供区域）。在终止日之前，现有环境的使用和安全补丁的提供将会继续，但新功能的开发和新操作系统的支持仅针对 DCV。因此，在新引入时选择 PCoIP 的理由实际上已不复存在。功能方面的差异也偏向 DCV 一侧。仅 DCV 可用的代表性例子有：会话内的网络摄像头使用（PCoIP 的客户端不支持网络摄像头）、基于智能卡的预身份验证和会话内使用。此外还有 YubiKey 和 Windows Hello 等 WebAuthn 身份验证器、基于证书的身份验证、Windows 11 BYOL 和 Ubuntu 的套件。还有配备 GPU 的套件（Graphics.g6、Graphics.g4dn、GraphicsPro.g4dn），以及 Windows Server 2022 / 2025 套件中的 Web 访问。现有 PCoIP 环境的迁移路径有 2 条。第 1 条是 Modify Protocol，通过管理控制台的 Actions 菜单或 CLI / API 将 WorkSpace 的协议切换为 DCV。执行前会创建检查点快照，失败时会自动回滚到迁移前的状态，因此可以在不丢失数据的情况下重试。已停止的 WorkSpace 也可以直接纳入范围。第 2 条是 Migrate WorkSpace（migrate API）。在 Windows 10 BYOL、Windows Server 2016、Amazon Linux 2 这样操作系统本身接近支持终止的情况下，使用这一条。其方式是从目标套件的镜像创建新的根卷，用户卷则从最近的快照继承。使用 DCV 没有额外费用，迁移也不会改变 WorkSpaces 的计费体系。迁移前应确认的事项有 3 点。DCV 使用与 PCoIP 不同的端口和 IP 地址范围，因此需要更新安全组、防火墙和本地一侧的路由设置。客户端一侧需要官方文档所记载的支持版本起的 WorkSpaces 客户端（Windows / macOS 的桌面客户端、Web 访问、移动应用）。此外，PCoIP 零客户端终端不支持 DCV，因此将终端的更换纳入计划。官方文档建议在正式部署前，按用户类型实施 5 到 10 台规模的试点。
目录集成与安全设计
WorkSpaces 的用户身份验证与 Active Directory（AD）集成。如果使用 AWS Managed Microsoft AD，可以与本地 AD 建立信任关系，将现有的用户账户和组策略直接应用于 WorkSpaces。这样一来，密码策略、屏幕锁定、USB 设备的控制、剪贴板的限制等，可以使用与本地相同的组策略进行统一管理。安全设计中特别重要的是防止数据泄露。WorkSpaces 默认允许剪贴板的复制和粘贴、文件的上传 / 下载以及打印，但这些都可以通过组策略或 WorkSpaces 的管理设置加以限制。在金融机构和医疗机构这样要求严格数据管理的环境中，禁用剪贴板、禁止本地驱动器的重定向、将打印限定于特定的网络打印机，是常见的设置。此外，WorkSpaces 可以通过 IP 访问控制组限制连接来源的 IP 地址，也可以采用仅允许通过公司内部网络或 VPN 访问的配置。
迁移判断的框架与分阶段的方法
从本地 VDI 迁移到 WorkSpaces 时，采用分阶段的方法而不是全面迁移，会提高成功率。首先，作为试点阶段，将 50 到 100 名用户迁移到 WorkSpaces，验证性能、用户体验和运维流程。试点的范围适合选择 IT 部门或远程办公比例高的部门。这是因为可以尽早发现技术问题，也容易获得反馈。试点中应验证的条目有 3 点：网络延迟、应用程序兼容性（特别是公司内部开发的应用程序）、外围设备的运行（打印机、扫描仪、USB 令牌）。延迟的参考值遵循官方文档（截至 2026 年 8 月）的记载值。在 Amazon DCV 中，往返时间低于 250 ms 为最佳，250 到 400 ms 时品质会下降。在 PCoIP 中，低于 100 ms 为最佳，100 到 200 ms 时开始出现影响，超过 375 ms 时连接会被断开。在试点结果的基础上，扩大阶段按部门依次迁移。迁移的优先顺序，按照 VDI 硬件更新时间临近的部门、远程办公比例高的部门、安全要求严格的部门（禁止将数据带出公司）的顺序设定是合理的。对于本地 VDI 许可证合同仍有剩余的部门，配合合同到期进行迁移，可以将双重成本降到最低。
参考资料（AWS 官方）
本页的第一手信息来源是 AWS 官方网站及官方文档。最新的规格与价格请以下列官方页面为准。
如本页内容与官方文档不一致，请以官方文档为准。