使用 Windows Sysprep 创建 AMI

• 执行 Sysprep 前，我们建议您删除所有本地用户账户及所有账户配置文件，而不是将在其下方运行 Sysprep 的单个管理员账户。如果使用其他账户和配置文件执行 Sysprep，可能会产生意外行为，包括配置文件数据丢失或完成 Sysprep 失败。

• 在 Microsoft TechNet 上了解有关 Sysprep 的更多信息。

• 了解 Sysprep 支持的服务器角色。

• 一般化：该工具删除特定于映像的信息和配置。例如，Sysprep 会删除安全标识符 (SID)、计算机名称、事件日志和特定驱动程序等等。完成这一阶段后，操作系统 (OS) 即准备就绪，可以创建 AMI。

  注意

  当您将 Sysprep 与 EC2Launch v2 服务一起运行时，系统会阻止删除驱动程序，因为 PersistAllDeviceInstalls 在默认情况下设置为 true。

• 专门化：即插即用功能会扫描计算机并为检测到的所有设备安装驱动程序。该工具会生成操作系统要求，如计算机名称和 SID。您可以选择在这一阶段运行命令。

• 全新体验 (OOBE)：系统运行 Windows 安装程序的一个简化版本并要求您输入系统语言、时区和注册组织等信息。如果将 Sysprep 与 EC2Launch v2 一起运行，应答文件会自动执行这一阶段。

• EC2Launch v2 删除特定于映像的信息和配置，如计算机名称和 SID。如果实例是域的成员，则会从域中将其删除。unattend.xml 应答文件包含影响这一阶段的以下设置：

  • PersistAllDeviceInstalls：此设置防止 Windows 安装程序删除和重新配置设备，这可加快映像准备过程，因为 Amazon AMI 需要运行特定驱动程序，而这些驱动程序的重新检测需要花费一些时间。

  • DoNotCleanUpNonPresentDevices：此设置为当前不存在的设备保留即插即用信息。

• Sysprep 在准备创建 AMI 时会关闭操作系统。系统会启动新实例或启动原始实例。

• CopyProfile：Sysprep 可以配置为删除所有用户配置文件，包括内置管理员配置文件。此设置保留内置管理员账户，这样，您对该账户进行的所有自定义设置就都可以转移到新映像。默认值为 True。

  CopyProfile 将默认配置文件替换为现有本地管理员配置文件。运行 Sysprep 后登录的所有账户在首次登录时都会收到该配置文件的副本及其内容。

  如果您没有要转移到新映像的特定用户配置文件自定义设置，请将此设置更改为 False。Sysprep 会删除所有用户配置文件，这可以节省时间和磁盘空间。

• TimeZone：默认情况下，时区设置为协调世界时 (UTC)。

• 顺序 1 同步命令：系统运行以下命令，以启用管理员账户并指定密码要求。

  net user Administrator /ACTIVE:YES /LOGONPASSWORDCHG:NO /EXPIRES:NEVER /PASSWORDREQ:YES

• 顺序 2 同步命令：系统加密管理员密码。如果未配置 setAdminAccount 任务，则此安全措施可防止实例在 Sysprep 完成后处于可访问状态。

  系统会从本地启动代理目录 (C:\Program Files\Amazon\EC2Launch\) 运行以下命令。

  EC2Launch.exe internal randomize-password --username Administrator

• 要启用远程桌面连接，系统会将终端服务器 fDenyTSConnections 注册表项设置为 false。

要在启动自定义 AMI 时更新 Server 2016 及更高版本的元数据/KMS 路由，请执行下列操作之一：

• 运行 EC2LaunchSettings GUI (C:\ProgramData\Amazon\EC2-Windows\Launch\Settings\Ec2LaunchSettings.exe) 并选择相应选项以便在使用 Sysprep 的情况下关闭。

• 在创建 AMI 之前，运行 EC2LaunchSettings 并在未使用 Sysprep 的情况下关闭。这会将 EC2 启动初始化任务设置为在下次引导时运行，从而根据实例的子网设置路由。

• 在从 PowerShell 创建 AMI 之前，手动重新计划 EC2 启动初始化任务。

  重要

  在重新计划任务之间记录默认的密码重置行为。

• 要在发生 Windows 激活失败或与实例元数据通信失败的正在运行的实例上更新路由，请参阅“无法激活 Windows”。

• 一般化：该工具删除特定于映像的信息和配置。例如，Sysprep 会删除安全标识符 (SID)、计算机名称、事件日志和特定驱动程序等等。完成这一阶段后，操作系统 (OS) 即准备就绪，可以创建 AMI。

  注意

  将 Sysprep 与 EC2Config 服务一起运行时，系统会防止删除驱动程序，因为 PersistAllDeviceInstalls 在默认情况下设置为 true。

• 专门化：即插即用功能会扫描计算机并为检测到的所有设备安装驱动程序。该工具生成操作系统要求，如计算机名称和 SID。您可以选择在这一阶段运行命令。

• 全新体验 (OOBE)：系统运行 Windows 安装程序的一个简化版本并要求用户输入信息（如系统语言、时区和注册组织）。如果配合使用 Sysprep 与 EC2Config，应答文件会自动执行这一阶段。

• 该工具删除特定于映像的信息和配置 (如计算机名称和 SID)。如果实例是域的成员，则会从域中将其删除。sysprep2008.xml 应答文件包含影响这一阶段的以下设置：

  • PersistAllDeviceInstalls：此设置防止 Windows 安装程序删除和重新配置设备，这可加快映像准备过程，因为 Amazon AMI 需要运行特定驱动程序，而这些驱动程序的重新检测需要花费一些时间。

  • DoNotCleanUpNonPresentDevices：此设置为当前不存在的设备保留即插即用信息。

• Sysprep 在准备创建 AMI 时会关闭操作系统。系统会启动新实例或启动原始实例。

• CopyProfile：Sysprep 可以配置为删除所有用户配置文件，包括内置管理员配置文件。此设置保留内置管理员账户，这样，您对该账户进行的所有自定义都可转移到新映像。默认值是 True。

  CopyProfile 将默认配置文件替换为现有本地管理员配置文件。运行 Sysprep 后登录的所有账户将在首次登录时收到该配置文件的副本及其内容。

  如果您没有要转移到新映像的特定用户配置文件自定义设置，请将此设置更改为 False。Sysprep 会删除所有用户配置文件；这可以节省时间和磁盘空间。

• TimeZone：默认情况下，时区设置为协调世界时 (UTC)。

• 顺序 1 同步命令：系统运行以下命令，以启用管理员账户并指定密码要求。

  net user Administrator /ACTIVE:YES /LOGONPASSWORDCHG:NO /EXPIRES:NEVER /PASSWORDREQ:YES

• 顺序 2 同步命令：系统加密管理员密码。如果未启用 ec2setpassword 设置，则此安全措施可防止在 Sysprep 完成之后实例处于可访问状态。

  C:\Program Files\Amazon\Ec2ConfigService\ScramblePassword.exe" -u Administrator

• 顺序 3 同步命令：系统运行以下命令：

  C:\Program Files\Amazon\Ec2ConfigService\Scripts\SysprepSpecializePhase.cmd

  该命令添加以下注册表项，用于重新启用 RDP：

  reg add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f