使用 Amazon WorkSpaces 构建的云桌面 - DaaS 的设计与成本优化
通过 AlwaysOn 和 AutoStop 的定价模式，实现与使用模式相适应的成本优化。介绍 Active Directory 集成以及通过 MFA / IP 访问控制强化安全。
WorkSpaces 概述
WorkSpaces 是在云上提供虚拟桌面（DaaS）的服务。它减少了物理 PC 的采购 / 配置 / 管理的工作量，可以在短时间内准备好远程办公的环境。由于数据保存在云中，它降低了终端丢失 / 被盗时的数据泄露风险。
套件的选择与成本优化
套件是 vCPU、内存和存储的组合，从 Value、Standard、Performance、Power 等中选择。AutoStop 模式在连接断开并经过指定的时间后自动停止桌面，并在下次登录时恢复。对于每月使用时间短的用户，选择 AutoStop 合适。WorkSpaces Web 是基于浏览器的访问方式，选择它适合使用 SaaS 应用程序。
目录集成与安全
WorkSpaces 通过 AWS Managed Microsoft AD 或 AD Connector 与本地的 Active Directory 集成。用户可以使用现有的 AD 凭证登录 WorkSpaces，并通过组策略统一管理桌面的设置。通过与 RADIUS 服务器集成来启用 MFA（多重身份验证），强化身份验证的安全性。通过 IP 访问控制组限制连接来源的 IP 地址，可以仅允许经由公司内部网络或 VPN 的访问。通过组策略控制剪贴板、文件传输和打印的重定向，减少数据的泄露。WorkSpaces 的根卷和用户卷可以加密，并使用 KMS 密钥进行管理。
WorkSpaces 的定价模式
WorkSpaces 有月度固定（AlwaysOn）和按小时计费（AutoStop）2 种定价模式。AlwaysOn 是月度的固定费用，选择它适合全职使用的用户。AutoStop 是在月度基本费用之上加上按小时计算的费用的形式，选择它适合使用时间短的兼职用户。WorkSpaces Pools 是基于会话的虚拟桌面，但自 2026 年 7 月 31 日起不再受理新客户（现有客户可以使用到 2027 年 12 月 31 日）。定期盘点未使用的 WorkSpaces，通过切换到 AutoStop 或删除来减少浪费的成本。
镜像与套件的运维管理
为了在组织中部署 WorkSpaces，将标准化的桌面环境整理为镜像。创建包含所需应用程序和设置的自定义镜像，以此为基础定义套件，向用户分发一致的环境。对于操作系统和应用的更新，事先决定做法：是更新镜像后重新分发，还是通过组策略或管理工具批量应用。事先将环境标准化后，向新用户分配桌面的速度会加快，也可以减少由配置差异带来的支持负担。
网络与连接性的设计
WorkSpaces 部署在 VPC 内，需要设计通往业务系统和互联网的路径。如果连接公司内部系统，就通过 VPN 或 Direct Connect 与本地环境连接，确保对所需子网的可达性。互联网访问根据安全要求进行控制，例如经由 NAT 网关。用户可以从专用的客户端应用或浏览器连接，并可以从各种终端访问同一个桌面。通过考虑了连接来源的限制和带宽的设计，会变得容易兼顾稳定的使用体验和安全性。
用例与适用性
WorkSpaces 发挥效果的场景，是不希望在终端上留下数据的场景。在远程办公中使用私人终端，或者为业务外包方提供临时的工作环境时，数据会留在云中，可以降低终端丢失 / 被盗导致的泄露风险。在监管严格的行业中，希望彻底进行操作审计和访问控制的情况下，选择 WorkSpaces 也合适。另一方面，对于持续高负载的图形处理等专用硬件占优势的用途，判断其适用性。根据工作方式和管控的要求，判断是选用 WorkSpaces 还是物理 PC。
监控与故障排除
在虚拟桌面的运维中，保持用户感受到的品质是重要的。通过 CloudWatch 的指标监控连接的成功与否、会话的状态和资源的使用情况，尽早检测异常。对于无法连接、运行缓慢等反馈，区分原因出在网络路径、目录身份验证、套件性能中的哪一处。定期盘点使用情况，对长期未使用的桌面重新评估定价模式或将其删除，减少浪费的成本。
总结
WorkSpaces 是通过云虚拟桌面减少物理 PC 管理工作量的服务。可以根据使用模式选择 AlwaysOn 和 AutoStop 的定价模式，并通过 Active Directory 集成利用现有的身份基础设施。通过 MFA 和 IP 访问控制强化安全，并通过组策略控制剪贴板和文件传输的重定向，减少数据的泄露。
参考资料（AWS 官方）
本页的第一手信息来源是 AWS 官方网站及官方文档。最新的规格与价格请以下列官方页面为准。
如本页内容与官方文档不一致，请以官方文档为准。