云空间产品手册

Description	云空间产品的安装部署过程介绍以及使用说明文档
Author(s)	xspacer

开始阅读 → 打印版

版本：v6.18

产品简介

概述

云空间xSpace作为新一代DaaS模式云桌面产品，率先提出多云、多租户理念，能够同时对接多个不同类型的IaaS虚拟化资源池，业务模块可分布式部署，支持多租户分级管理，高效支撑大规模算力集群建设和运营。云空间可针对不同场景灵活制定方案，并全面开放API能力，提供全类型终端和各类业务系统的对接适配支撑，实现全场景覆盖。

设计思想

Citrix/VMware替代
云空间xSpace方案的设计原则是能够对当前现有的Citrix/VMware云桌面系统应用场景实现整体替换或平滑过渡，满足最终桌面用户和运维工作的各项需求，与当前现有的用户认证、数据存储、企业网络实现全面集成，支持内外网接入访问。
普通办公&高端设计
云空间xSpace核心的远程桌面协议能够满足日常办公场景的流畅度要求，远程桌面中的画面、声音的体验效果能够与本地桌面表现基本一致，对于外接设备、数据传输、水印等安全要求能够实现按需的策略定制。
基础设施高效利用
支持与多个厂商的底层云平台进行深度集成，能够高效利用现有的云计算、云存储等基础设施资源，避免重复建设，整体上降低运维的复杂度。
数据安全
通过数据不落地、传输过程加密、权限管控等措施严格保证业务数据的安全性。
信创国产化
支持全栈的国产信创云桌面解决方案，包括远程桌面操作系统、客户端软件、瘦终端软硬件等等，符合国产化方向。

技术优势

多年积累，核心产品全部自主可控
完全自研核心远程桌面协议，采用带内访问通道，不依赖于底层虚拟化技术，核心技术自主可控，产品全面支持各类国产信创软硬件系统。
产品齐全，全面覆盖各类办公场景
云空间 xSpace 采用一套平台覆盖所有用户场景需求，支持大型场景多租户运营。所有数据完全打通，并通过互联网接入网关支持复杂网络环境下的接入能力，保障多样化环境下的稳定办公体验。
规模化落地，支撑十万用户云上办公
云空间xSpace目前已经在公安信创、教育、能源、设计院以及政企行业规模化落地，全面支撑各种政企场景的云桌面正式上线。
整合生态，提供行业定制解决方案
云空间xSpace全面支持各种形态、搭载不同国产处理器和操作系统的多种客户端，与底层虚拟化平台完全解耦，支持OpenStack、ZStack、SmartX、UCloud、WxStack等众多超融合私有云厂商的资源平台，云空间提供API接口进行二次开发和定制化扩展。

技术架构

组件构成介绍

一、组件列表

云空间产品软件体系由管理端、代理端、客户端、接入网关等组件构成：

管理端位于超融合/云平台环境上的若干虚拟机中，用于实现管理员的web运维操作入口，或接受来自客户端的访问请求。
代理端包括安装和运行在云桌面虚拟机内部的若干软件包，统一以优化包或后台服务的形态启动并保持运行，负责桌面底层优化，为管理端监控系统动态，或接受来自管理端的管控指令，以及与客户端之间的远程桌面交互。
客户端负责为最终用户提供终端接入操作界面，以标准应用的形式安装在PC机、笔记本、瘦终端、手机或平板电脑等多种类型的本地主机设备上，或以软硬件一体的形式提供给最终用户。
接入网关为互联网访问内网云空间提供外网接入机制，包括SDWAN网关的接入和流量转发服务。

注：在技术文档中，管理端通常被简称为AS6，客户端简称XSC，云桌面协议为HSR

上述各个组件在整体架构中的位置，以及相互之间的关系，如下图所示：

二、核心串流技术

云桌面采用串流技术将处于云端的桌面操作系统的画面、声音编码成流媒体，通过TCP/IP网络发送到客户端，由用户侧的客户端完成解码和输出到显示、播音设备上。用户侧的键盘、鼠标、摄像头、麦克风等外设的输入，则由客户端通过TCP/IP网络发送到云桌面内。

云空间所使用的串流协议采用了带内的技术架构，即串流协议的服务端、外设重定向的服务端程序需驻留和运行在云桌面操作系统内，需要云桌面操作系统内的网口和客户端能够TCP/IP互通（可以在局域网内直接三层网络可达、也可以通过接入网关来转发可达）。

三、组件关系

下图是云空间的系统组成和与周边软硬件系统的关系，其中橙色方块属于云空间产品的范畴。

四、管理端

管理端的核心职能是将各种形态的计算机实例（包含虚拟机与物理机）抽象为云桌面资源进行统一管理。通过在桌面操作系统计算机实例中部署协议代理程序（Agent），实现云桌面资源的分发、调度及精细化策略管控。

4.1 深度集成的云桌面管理（IaaS 协同模式）

针对主流 IaaS 云平台中的虚拟机，管理端通过南向接口与其 API 进行深度对接，实现控制面与基础设施层的无缝协同。

资源同步：自动同步 IaaS 层的模板、镜像、虚拟机规格、网络、存储、集群、项目、虚拟机等资源对象。
全生命周期管理：通过 API 调用，实现桌面（即虚拟机实例）的批量创建、导入、删除、配置变更、重置密码等操作。
电源与带外管理：通过管理接口直接下发指令，实现对虚拟机的开机、关机、重启及打开控制台（VNC Console）等功能。

4.2 灵活的托管桌面管理（通用资源模式）

针对缺乏标准管理接口的计算机实例（如独立物理机、非对接环境的虚拟机等），管理端提供托管桌面模式进行兼容。

接入机制：通过静态录入 IP 地址、桌面操作系统登录凭据等关键信息完成桌面资源注册并分配给用户。
功能边界：此类资源支持完整的远程协议访问。但由于缺乏底层 API 支撑，管理端无法从外部对其执行开关机、重启或打开带外控制台等操作。

4.3 多维度的内部管理通信

除了依托 IaaS 层的外部管控，管理端还面向桌面 Agent 提供了丰富的 API 与消息接口。

状态感知：Agent 通过接口上报桌面内部的代理端安装和运行状态等。
内部管控：实现从操作系统内部对计算实例进行精细化配置和策略下发，补齐了外部管理无法触达的系统内部维度。

4.4 控制面与数据面分离架构

系统采用先进的控制流与数据流分离设计，从架构层面保障了大规模部署下的高性能与稳定性。

维度	交互逻辑	流量特征
控制面 (Control Plane)	客户端调用管理端 API，进行登录、获取桌面列表、下发开关机指令。	极轻量，仅包含 API 指令与状态信令。
数据面 (Data Plane)	客户端直接连接（或通过 SDWAN 网关转发）桌面内的协议服务端程序。	承载高带宽的串流协议、外设重定向等数据流，不经过管理端。

"架构优势" 这种分离设计确保了即使在管理端压力较大或出现短暂异常时，已经建立连接的云桌面会话也不会中断，同时极大提升了网络吞吐上限。

五、代理端

代理端（Agent） 是运行在云桌面操作系统内的核心组件，以系统服务及应用进程的形式驻留。其主要职责可划分为远程协议服务端（数据面）与桌面控制管理（控制面）两部分。

5.1 远程桌面协议服务端（数据面）

代理端作为协议服务端，与客户端协同配合，为用户提供流畅的远程访问体验。主要包含以下两个核心组件：

5.1.1 USBRedirect 外设重定向

基于 “端口重定向（Port Redirection）” 技术，实现客户端 USB 外设与云桌面的无缝对接。

技术原理：通过总线层捕获 USB 设备的控制 IO 与数据 IO，利用设备过滤驱动在云桌面内挂载原始设备。
驱动要求：云桌面内需安装对应的硬件驱动，应用层方可正常访问。
支持范围：专指 USB 接口设备。非 USB 接口（如串口、网口）需通过 USB 转接头进行适配。

5.1.2 HSRServer 串流协议服务端

负责除 USB 重定向外的所有远程交互功能。

基础交互：显示画面、音频播放（扬声器）、键鼠输入。
设备重定向（Device Redirection）：包括麦克风、摄像头、打印机、游戏手柄、数位板等。该模式在客户端应用层处理设备数据，并在桌面内生成虚拟设备。
数据共享：支持剪切板及文件夹（驱动器）的重定向。

5.2 桌面控制管理程序（控制面）

除协议传输外，代理端内部的管理服务和进程（Mole）负责桌面内部的精细化管控：

状态上报：负责桌面系统参数、运行状态的实时采集与上报。
版本维护：实现 HSRServer、USBRedirect 及 Mole 自身的自动化版本升级。
系统集成：支持自动加入 AD 域控等企业级管理任务，并支持未来管理职能的动态扩展。

六、客户端

客户端是用户访问云桌面的核心接入载体，负责连接终端外设并提供远程交互能力，确保用户获得与本地 PC 一致的使用体验。

6.1 全场景交互

客户端承担着本地硬件与云端算力的桥接任务：

外设支撑：支持显示器、键鼠、音频设备、摄像头、打印机及 U 盘等外设的连接与重定向。
操作同步：用户通过客户端对云桌面内的系统、软件和数据进行实时操作，感受低延迟、高保真的交互反馈。

6.2 全终端形态

为了覆盖不同的业务需求，客户端提供以下两种形态：

软件客户端：可安装于 PC（Windows/macOS/Linux）、手机及平板（Android）等通用终端，适配弹性办公场景。
瘦终端（Thin Client）：专用的硬件接入设备，运行于服务亭模式（Kiosk Mode）。开机即进入云桌面接入环境，用户无法操作终端本地系统，适用于高安全、易管理的标准化办公场景。

6.3 网络链路模型

客户端的部署需满足以下网络可达性要求：

管理链路：需能够访问管理端的 API 接口，完成身份鉴权与桌面调度。
协议链路：
- 内网直连：客户端与云桌面在同一网络段或路由可达，直接建立协议连接。
- 公网接入：客户端通过互联网连接至 SDWAN 接入网关 的公网 IP，经由网关代理转发至内网云桌面，实现安全的跨域访问。

七、接入网关

SDWAN 接入网关 是云桌面架构中负责安全代理与协议转发的核心组件，主要用于解决公网环境下的接入问题。

7.1 部署场景判定

纯局域网环境：若仅需在内网范围内访问云桌面，则无需部署接入网关，客户端可与桌面直连。
互联网访问环境：若需支持用户从公网（互联网）远程接入内网桌面，则必须部署接入网关以实现流量的安全穿透与转发。

7.2 NAT 映射备选方案说明

在特定公网访问场景下，若满足以下条件，也可不部署 SDWAN 接入网关：

操作逻辑：通过网络防火墙或路由器将内网桌面的 HSRServer 端口（默认 15701/15702）和 USBRedirect 端口（默认 5703）执行 NAT 端口映射，转换为可直接访问的公网端口。
访问方式：此种情况下，客户端只需直接访问映射后的公网端口即可连接桌面。

7.3 核心功能与网络要求

接入网关在架构中起到协议流量中转的作用，其网络配置需满足：

内网互通：网关需分配内网 IP，确保与后端云桌面资源池网络畅通。
公网接入：网关需具备固定公网 IP 地址（或对应的公网映射），作为外部客户端连接的入口。

7.4 部署形态与高可用集群

网关以 Linux 虚拟机 形式部署在 IaaS 平台之上，支持以下两种部署模式：

单机模式：基础部署形态，满足基本接入需求。
集群模式：支持多台虚拟机组成集群部署，具备动态选路与负载均衡能力。集群化部署可有效分担流量压力，并提供业务连续性保障（高可用）。

7.5 集群管理与资源关联

管理端支持对多套网关集群的统一调度：

多集群支持：系统内可并行存在多套网关集群，适配多数据中心或多地域场景。
灵活关联：管理员可按需将网关集群与特定的云桌面资源进行绑定，从而赋予对应桌面从公网接入的能力。

管理端（AS6）

云空间管理端（简称 AS6） 是系统的控制平面中心。它采用现代化微服务架构，以容器化形态部署于超融合或云平台资源池中，为管理员提供统一的 Web 管理门户。

一、系统架构与逻辑模型

1.1 容器化底座

管理端被部署在超融合/云平台的虚拟机中。
内部众多子组件以 K3s 容器集群 Pod 的形态运行，共同构成服务于管理员的 Web 管理后台。

1.2 异构平台适配（南向对接）

Platform 概念模型：在云空间中，一套 IaaS 云平台（如 ZStack、OpenStack 等）对应一个 Platform 对象。
多平台管理：一套云空间具备强大的兼容性，支持同时管理多种类型、多套 IaaS 云平台，实现异构资源池的统一调度。
接口解耦：通过云平台接口适配层调用底层 API，对计算、存储、网络、GPU 等基础设施资源进行全生命周期管理。

1.3 多租户与安全运维

多租户架构：支持根据用户所在的集团、子公司、部门等形态建立租户管理范畴，实现下放运维管理权限。
运维隔离：中间件服务设有独立运维通道，默认保持关闭，仅在需要维护时受控开放，确保访问安全可靠。

云空间管理端的内部组件，以及与底层平台的关系，如下图所示：

二、模型抽象与资源映射

管理平台通过对底层异构 IaaS 资源的抽象封装，实现了从“基础设施”到“业务对象”的逻辑映射。

2.1 资源映射逻辑

为了整合兼容各类 IaaS 平台，系统建立了以下逻辑对应关系：

抽象层级	IaaS 资源层对象 (Platform)	云桌面业务层对象 (VDI)	对应关系说明
逻辑集群	Cluster (资源集群)	-	物理 Node 的集合。
基础设施	Node (物理服务器)	-	处于 Cluster 中，提供计算算力。
逻辑划分	Project (项目/分组)	Desktop Pool (桌面池)	一一对应。统一封装不同平台的虚拟资源划分手段。
计算实例	Instance (虚拟机)	Desktop (云桌面)	功能扩展。基于 Instance 叠加桌面业务属性。
镜像资源	Image	Image (镜像)	租户隔离。支持系统镜像与自定义镜像划分。
模板资源	Resource Template	Template (模板)	按需对应。支持引用底层模板或基于镜像自定义。

2.2 镜像模型映射（Image）

资源对应：业务层的 Image 对应底层的镜像资源。
逻辑划分：为了支持多租户场景下的自定义镜像，系统对镜像进行了权限隔离：
- 系统镜像：公共资源，所有租户均具备访问和使用权限。
- 自定义镜像：私有资源，仅限创建该镜像的租户可见。

2.3 模板模型映射（Template）

场景一（IaaS 具备模板能力）：资源层通过 Resource Template 与底层对应，业务层 Template 对其进行引用并进行桌面业务扩展。
场景二（IaaS 不具备模板能力）：业务层 Template 可脱离底层约束，直接基于虚拟机镜像（Image）、虚拟机规格等参数进行自定义组合，构建业务模版。

2.4 从实例 (Instance) 到桌面 (Desktop)

原子操作：电源管理、VNC 控制台等底层功能，通过调用 API 对 Instance 执行操作来实现。
业务增强：Desktop 扩展了用户分配、策略组关联、协议端口及登录凭据等业务属性。

三、部署规范与环境要求

3.1 环境适配限制

硬件架构：目前仅支持 x86_64 与 ARM64 架构。
操作系统：仅支持部署于 openEuler 22.03 版本的虚拟机中。
兼容性检查：若使用第三方镜像，需重点检查 tar 及 sysctl -p 指令是否执行报错。

3.2 节点规格建议

管理端默认采用 3 台 虚拟机组成 1 主 (Master) + 2 从 (Worker) 的 K3s 集群架构：

虚拟机配置：8核 CPU / 16GB 内存 / 200GB 存储。
管理规模：此默认规格可稳定管理约 1,000 台 云桌面。

四、扩容演进与可靠性

4.1 扩容策略 (Scale-Up & Scale-Out)

Scale-Up（垂直扩展）：当规模扩大时，优先建议将节点规格调整至 16核/32G。
Scale-Out（水平扩展）：若垂直扩展仍不满足性能需求，可增加新的虚拟机作为 Worker 节点加入 K3s 集群。

4.2 运维特性

恢复时长：管理节点重启后，功能完全恢复预计需 15 分钟 左右。
业务连续性：管理端重启期间，不影响 已登录客户端正常连接桌面，亦不影响已连接桌面的正常使用（控制面与数据面分离）。

重要说明 管理端仅提供控制层接口，云桌面协议层的所有流量均不经过管理端。这种控制面与数据面分离的设计，确保了管理端维护期间桌面业务的连续性。

代理端（Agent）

云空间代理端（Agent） 是安装并运行在云桌面虚拟机内部的核心组件集合。它作为远程桌面协议的服务端，直接决定了用户的交互体验与管理端的管控深度。

一、组件构成与核心职能

代理端由多个功能互补的软件包组成，共同实现协议传输与控制管理。

1.1 核心组件列表

HSRServer：远程桌面协议服务端，负责桌面操作系统的登录认证（不同于客户端上登录认证）、抓屏编码、声音同步、键鼠操作及麦克风、摄像头、剪切板、文件夹、打印机、游戏手柄、数位板重定向。
USBRedirect：USB 端口重定向的服务端，专门处理 USB 外设重定向相关的控制与业务数据传输。
Mole：云桌面运维管理代理，负责向管理端上报桌面系统信息和状态、数据访问审计信息、代理端版本更新，并执行管理指令。
其它优化包：针对特定操作系统的可选优化工具，用于提升系统性能。

1.2 系统服务与进程逻辑

代理端在不同操作系统中均采用多进程/服务协作模式，以保障高可用性。

Windows 环境

服务名称	进程名称	核心职能与侦听端口
hsr_service	HSRUserAuth	负责桌面登录认证，默认侦听 TCP 15701。
hsr_service	HSRAgent	建立远程链路与串流传输，默认工作在 TCP&UDP 15702。
hsr_service	HSRClipViewer	串流协议中剪切板重定向的剪切板守护进程。
hsr_protector	HSRProtector	实时保护HSR相关工作进程，发现异常自动重新拉起。
vdiUsbRedirect	vdi USB Redirect Service	负责 USB 端口重定向，默认侦听 TCP 5703。
mole_service	moleService	执行管理面任务、审计上报与版本更新。
mole_protector	moleProtector	实时保护Mole相关工作进程，发现异常自动重新拉起。

"端口特殊说明" 因历史原因，USB 重定向服务侦听的端口为 5703，而非 15703，在进行防火墙策略配置、公网端口映射时请务必留意。

Linux 环境

在 Linux 操作系统中，通过 systemctl 统一管理以下三个核心代理服务端：

mole：控制面代理服务端。

systemctl status mole
● mole.service - Mole Service
     Loaded: loaded (/lib/systemd/system/mole.service; enabled; vendor preset: enabled)
     Active: active (running) since Fri 2026-01-09 17:21:54 CST; 1 months 1 days ago
   Main PID: 28415 (moleService)
      Tasks: 8 (limit: 9431)
     Memory: 14.2M
     CGroup: /system.slice/mole.service
             └─28415 /opt/apps/mole/moleService

hsrserver：协议串流服务端。

systemctl status hsrserver
● hsrserver.service - HSR Server
     Loaded: loaded (/lib/systemd/system/hsrserver.service; enabled; vendor preset: enabled)
     Active: active (running) since Fri 2026-01-09 09:10:40 CST; 1 months 1 days ago
   Main PID: 1377 (HSRUserAuth)
      Tasks: 37 (limit: 9431)
     Memory: 139.8M
     CGroup: /system.slice/hsrserver.service
             ├─   1377 /opt/apps/hsrserver/HSRUserAuth
             ├─2422034 /usr/bin/su user1 -c /opt/apps/hsrserver/HSRAgent  domain= user_name=user1 client_id=79472 features=671 agent_tcp_port=15702 client_os_arch=1 client_os_ty>
             └─2422042 /opt/apps/hsrserver/HSRAgent domain= user_name=user1 client_id=79472 features=671 agent_tcp_port=15702 client_os_arch=1 client_os_type=5 client_os_dist=0 >

atusb：USB 重定向服务端。

systemctl status atusb
● atusb.service - atUsb service
     Loaded: loaded (/lib/systemd/system/atusb.service; enabled; vendor preset: enabled)
     Active: active (running) since Fri 2026-01-09 09:10:39 CST; 1 months 1 days ago
   Main PID: 1044 (usbservice)
      Tasks: 2 (limit: 9431)
     Memory: 1.2M
     CGroup: /system.slice/atusb.service
             └─1044 /opt/atserver/hsrusb/usbservice

二、架构优势：带内协议技术

云空间协议属于带内协议（In-Band Protocol）。与在虚拟化层截获画面的传统“带外协议”（如 VNC、SPICE）相比，其优势显著：

底层解耦：驻留在桌面内部运行，不依赖特定虚拟化底层，具备极佳的通用性。
高性能采集：能够直接驱动并利用物理显卡（GPU）能力，从物理显卡采集原始画面并进行高效抓屏编码。
资源归属清晰：抓屏编码时的 CPU 占用、会话期间的网络流量都归属于虚拟机自身的资源消耗，利于基础设施规划。

"运行约束" 基于带内协议的远程桌面会话依赖云桌面自身的运行状态。当云桌面处于关机状态时，必须先通过管理端对其开机，待开机完成后方可连接（连接过程中看不到操作系统的开机画面）。

三、支持的操作系统与 CPU 架构

代理端目前支持的 云桌面操作系统 类型与 CPU 架构详列如下。

注意：云桌面 OS vs 客户端 OS

此处列出的仅为“作为云桌面运行”的操作系统。其他未列出的操作系统（如 macOS、Android 等）均不支持作为云桌面操作系统使用，请勿与客户端支持的操作系统混淆。

操作系统类型	CPU 架构	具体版本支持范围
Windows	X86_64	Windows 7、Windows 10、Windows 11
Windows Server	X86_64	Windows Server 2019、Windows Server 2022
Linux (通用)	X86_64 / ARM64	Ubuntu、Debian、深度 (Deepin)
Linux (信创)	X86_64 / ARM64	统信 UOS、麒麟 Kylin、中科方德 NfsDesktop

Linux 云桌面特殊要求

界面要求：必须包含图形界面，不支持纯 TUI 的 Server 版。
图形方案：仅支持 X11 图形解决方案，暂不支持 Wayland；系统必须安装并使用 lightdm。
驱动依赖：扩展屏功能需安装与内核版本相关的 virtio-gpu 驱动。
USB 支持：USBRedirect 组件与内核版本高度相关，需根据实际内核版本号安装对应的版本包。

说明：在版本发布目录中仅包含常用的代理端版本。若在上述范围内缺少相应包，请与厂商联系获取。

四、环境准备与特殊配置

Mole 代理端正常工作时，必须配置为指向管理端，以建立稳定的通信链路。根据桌面类型的不同，推荐采用以下配置方式：

核心提示：必须确保虚拟机成为云空间中的“桌面”对象。如果仅仅是在 IaaS 平台直接创建虚拟机，其内部的代理端组件（Mole）即使指向了管理端，也不会被管理端接纳，导致无法建立联系。

4.1 专用桌面与动态桌面

在为专用桌面、动态桌面制作镜像（或模板）时，应预装 Mole 代理端包，并在镜像内完成管理端地址的初步配置。

操作指引：具体镜像封装流程请参考系统控制台 -> 镜像管理 -> 镜像制作章节。
唯一性说明：当基于镜像创建多个实例时，桌面的 UUID 属性会随虚拟硬件信息的变化自动保持唯一性。

4.2 托管桌面

对于被托管的第三方虚拟桌面或物理桌面，必须在每台桌面内部独立安装 Mole 代理端，并通过验证码的方式完成地址配置，使其指向管理端并受控。

操作指引：具体配置流程请参考租户控制台 -> 桌面池管理 -> 托管桌面池章节。

客户端（XSC）

云空间客户端（简称 XSC）供最终用户安装并使用，用于登录并访问云空间中的桌面等云端资源。它表现为跨平台的软件安装包、移动端应用及软硬件一体化的瘦终端形态，是连接用户与云端算力的桥梁。

一、核心串流协议能力

客户端集成了自研的 HSR 远程桌面协议，通过深度的软硬件结合，为用户提供极致的交互体验。

1.1 极致音视频体验

高清编码支持：支持 H264、H265 及 AV1 视频编码格式，确保画面在不同网络环境下的清晰度与流畅度。
画质自适应：支持 YUV444 高清无损画面选项，并能根据网络带宽变化自适应调整码率与帧率。
硬解码支持：ARM（如 RK3568）与 LoongArch（如 3B6000M）硬件解码均支持 YUV420。
硬件加速优化：支持 RK3568 ARM、飞腾 ARM 及龙芯 LoongArch 等瘦终端的本地 GPU/VPU 硬件解码与渲染优化。
视网膜适配：针对 macOS 客户端支持 Retina 视网膜屏 适配渲染。

1.2 强大的外设重定向

基础交互：支持本地键盘、鼠标的重定向，并提供针对游戏场景的 智能鼠标模式切换。
多媒体办公：支持本地麦克风、摄像头、打印机及数位板等外设重定向，支持在云桌面内直接进行视频会议。
存储与即插即用：支持 U 盘、UKey、扫描仪等 USB 设备端口重定向，具备 U 盘热插拔自动重定向能力。

二、客户端支持矩阵

云空间客户端实现了对主流操作系统及硬件架构的广泛覆盖。

2.1 软件客户端支持列表

平台类型	CPU 架构支持	兼容性说明
Windows	X86_64	兼容 Windows 7、Windows 10、Windows 11、Windows Server 2019、Windows Server 2022。
macOS	Intel X64 / Apple Silicon (M1/M2/M3等)	全系列采用同一套版本发布。
Linux	X86_64 / ARM64 / LoongArch	支持 Ubuntu、Debian、麒麟、统信、中科方德等。
Android	ARM64	区分 Phone（手机）与 Pad（平板）版本。

核心区分：云桌面 OS vs 客户端 OS：此处列出的仅为访问端（客户端）支持的系统。macOS、Android 等仅支持作为客户端使用，不支持作为云桌面操作系统。
暂不支持计划：目前暂不支持 iOS（手机/平板）、浏览器客户端（Web）及鸿蒙系统（规划中）。

三、瘦终端（Thin Client）解决方案

云空间支持四种标准的软硬件一体化瘦终端，针对特定硬件进行了深度调优。

3.1 标准化瘦终端型号

处理器类型	操作系统 (OS)	组件构成
Intel (X86)	Ubuntu 24.04	专用离线依赖包 + OS 定制包 + Linux x86 客户端
RK3568 (ARM)	Debian 10	专用离线依赖包 + OS 定制包 + Linux ARM 客户端
3B6000M (LoongArch)	Loongnix 20	专用离线依赖包 + OS 定制包 + Linux LoongArch 客户端
兆芯 6780A	UOS-Smart-20	在线安装依赖包 + OS 定制包 + Linux x86 客户端

组件来源说明：上述瘦终端所需的 OS 镜像、专用离线依赖包及 OS 定制包 必须全部采用版本发布目录中自带的资源，请勿从互联网自行下载安装。

3.2 运行模式与适配限制

服务亭模式 (Kiosk Mode)：通过 atos.bin 安装客户端时会自动将其设置为服务亭模式。Linux PC 与瘦终端共用同一套客户端版本，支持在常规模式和服务亭模式间切换。
深度定制约束：ARM 与 LoongArch 瘦终端必须采用厂商指定的设备型号。驱动、OS 裁剪及硬解优化均针对特定型号定制，不兼容其他设备（即使 CPU 型号完全相同）。
X86 自主适配：对于采用 N95/N100 或其他兆芯处理器的第三方 X86 瘦终端，客户可自行适配，厂商不提供 100% 兼容的商业承诺。

温馨提示：详细的安装步骤与使用方法，请参阅终端接入 -> 安装说明章节。

SDWAN接入网关

云空间接入网关是云空间面向互联网接入交付的关键组件。

对于熟悉传统虚拟桌面的管理员来说，SDWAN 网关的作用等同于 Citrix NetScaler 或 VMware Horizon UAG，负责安全接入、流量代理及链路优化。

接入网关是实现“内网桌面外网访问”的核心组件。其核心价值：

安全屏蔽：作为内外网隔离的唯一合法入口，隐藏内网桌面真实 IP，通过私有协议隧道进行流量转发。
性能加速：不同于传统的 VPN 简单转发，SDWAN 针对远程桌面协议（HSR）进行了深度优化，具备丢包补偿和弱网加速能力，提供“类局域网”的操作体验。
智能调度：支持集群化部署与负载均衡，客户端可根据网关负载和网络延迟自动选择最优接入节点，实现高并发支撑。

"内置化接入体验" 云空间全系列客户端均已通过 SDK 方式深度集成 SDWAN 功能。当用户从公网接入时，客户端将自动触发智能拨号逻辑，实现云桌面的快速连接。终端用户无需单独安装、配置任何 SDWAN 插件或第三方 APP，真正实现了零感知、无缝切换的公网访问体验。

组网与连通性要求

本章节详细说明云空间在实际生产环境中的资源配置建议、网络架构拓扑以及各组件间的访问关系，为系统部署及防火墙策略配置提供参考依据。

一、资源规格清单

在典型的生产环境中，建议的最小资源配置如下表所示：

组件名称	推荐规格	操作系统	部署说明
管理端	3台 × 8C/16G/200G 虚拟机	openEuler 22.03	以 k3s 容器集群形式部署，需 3 个静态内网 IP。
接入网关	1台或多台 × 4C/8G/100G 虚拟机	Ubuntu 22.04.5	建议单网卡部署，每台需 1 个静态内网IP，且 1 对 1 映射公网 IP。
代理端	根据业务需求配置云桌面的规格和数量	Windows/Linux	安装在每台云桌面虚拟机内，需预装 Mole/HSRServer/USBRedirect 软件包，需预配置 Mole 指向管理端地址。
客户端	PC机 / 笔记本 / 手机 / 平板 / 瘦终端	Windows、Linux、macOS、Android	需具备访问管理端、接入网关、云桌面的网络连通性。

二、连通性需求分析

2.1 核心管理链路

管理端集群内部：3 台管理端 VM 之间必须保持二层网络互通，用于容器集群内部的心跳监测与数据同步。以主节点的IP地址作为管理端整体对外提供服务接口的地址。
南向管理接口：管理端所有节点均需能够访问底层 IaaS 云平台的 API 接口地址（用于执行桌面的创建、开关机、资源同步等操作）。
代理端控制链路：云桌面内的代理端（Mole 服务）需能够访问管理端，用于上报状态、获取管理指令及版本升级。

2.2 业务访问链路

管理后台访问：系统管理员及租户管理员通过浏览器访问管理端的 TCP 443 端口。
客户端接入：客户端访问管理端的 TCP 44301 端口（登录、获取桌面列表）；协议层则直连或经网关转发访问云桌面的 TCP 15701、TCP&UDP 15702、TCP 5703 端口。

三、端口访问矩阵

请根据此表在防火墙或安全组中配置允许策略。

3.1 基础内网访问

源对象	目标对象	目的端口	协议	功能描述
WEB浏览器	管理端	443	TCP	Web 管理页面访问
管理端	IaaS云平台	视IaaS云平台对外提供的API接口的端口而定	TCP	管理端访问IaaS云平台
代理端 (Mole)	管理端	443, 44332	TCP	代理上报与版本升级等
客户端 (XSC)	管理端	44301	TCP	客户端调用API接口
客户端 (XSC)	云桌面	15701, 15702, 5703	TCP/UDP	局域网场景：远程桌面协议直连

3.2 公网接入访问 (NAT/映射)

若需面向互联网提供接入能力，需执行以下公网映射：

映射路径 (公网 -> 内网)	目的端口	协议	必选/可选
公网 IP : 44031	管理端 : 44031	TCP	必选：支持客户端从公网访问
公网 IP : 443	管理端 : 443	TCP	可选：支持公网访问系统控制台和租户控制台，外网运维管理
公网 IP : 44331	管理端 : 44331	TCP	可选：支持公网访问（仅）租户控制台，面向公网运营的场景
网关公网 IP : 901/902/903/5000	网关内网 : 901/902/903/5000	UDP	必选：承载 HSR 协议流量转发

网关部署要点：

接入网关的内网地址必须能够路由到所服务的云桌面的业务内网地址，否则将导致外网环境下客户端连接云桌面失败。

管理端的44301、443、44331端口的公网映射，可以与接入网关的公网IP合用，即一套云空间系统采用1个公网IP即可提供公网接入服务。

但是，默认还是推荐管理端占用一个单独的公网IP地址，各接入网关再各自占用一个公网IP地址。

四、公网带宽需求评估

在规划公网出口带宽时，请参考以下模型进行估算：

管理流量带宽：主要用于 API 访问及客户端版本包下载。建议提供 20Mbps ~ 100Mbps 的保障带宽。
协议流量带宽：
- 计算公式：总带宽 = 预估并发数 × 单台桌面平均流量
- 参考场景指标：
  - 普通办公/文字处理：约 1 ~ 2 Mbps
  - 高清视频/复杂网页：约 5 ~ 10 Mbps
  - 高端 3D 设计/视频编辑：约 20 ~ 30 Mbps
- 流量方向：日常的协议流量以从云桌面经过网关发送到客户端的画面视频流为主，从数据中心角度为上行流量，从客户端侧看是下载流量。

为确保业务的稳定交付，客户需提前向网络服务提供商（ISP）申领独立的公网 IP 地址资源及充足的公网带宽。

云空间v6.18版本发布说明

版本简介

云空间在对接 OpenStack、ZStack、UCloud、SmartX、WxStack 等主流 IaaS 开源或商业厂商的云平台方面进一步深入匹配接口功能细节，充分发挥各个底层平台灵活高效的云桌面管理能力，使得各IaaS平台能够专注于提供稳定、高性能的基础虚拟化能力，而我们的云空间产品则在此基础上进一步优化桌面资源的管理和交付。我们可以将这些云平台提供的虚拟机直接转换为云桌面资源，并对其进行创建、开机、关机、重启、删除等操作，实现完整的生命周期管理。

这一整合方案充分发挥了 IaaS 层的资源弹性和云空间管理的灵活性，既保留了各自的技术优势，又实现了高效协同，让企业能够基于现有云平台快速构建和扩展云桌面环境，满足多种业务场景需求。

新增功能

v6.18

新增Linux桌面支持扩展屏功能
支持当前会话和历史会话的导出
支持创建桌面池时动态创建项目
支持本地存储桌面的磁盘扩容
优化管理端内存开销
优化龙芯客户端显示性能
优化代理端版本自动更新功能
优化动态桌面池的成员管理
优化导出管理日志功能
优化全局搜索功能
完善桌面是否加域信息的展示

v6.17

基于ZStack云平台支持从桌面创建镜像
基于ZStack云平台支持创建桌面池时自动创建分组
基于ZStack云平台支持创建自定义规格
ZStack云平台的项目模型从根分组调整为分组前缀
支持ZSphere自定义规格实例的资源同步
无需在底层云平台创建分组即可进行资源同步
支持安装部署界面多语言，支持中文和英文
支持管理控制台多语言，支持中文、英文和繁体
支持客户端多语言，支持中文、英文和繁体
支持客户端的接入网关链路状态监控和展示

v6.16

支持对接ZStack私有云超融合平台
支持对接SmartX私有云超融合平台
支持对接WxStack超融合云平台
支持对接UCloud云平台
支持按需脚本定制启用云平台类型
支持按需启用短信认证机制
新增创建桌面时固定名称的命名规则
支持系统内各种对象按名称的模糊搜索和排序
支持资源同步详情展示

安装部署

概述

本章节介绍云空间管理端和接入网关的安装流程。有关系统其他组件的安装说明，请参阅以下路径：

云空间代理端：请参见“系统管理 -> 镜像管理 -> 镜像制作”。
云空间客户端：请参见“终端接入”。

一、部署环境准备

云空间管理端的各个功能组件采用微服务架构，部署于底层超融合或云平台 IaaS 环境提供的虚拟机中。在安装启动前，请确认满足以下基础条件：

基础设施就绪：超融合或云平台环境已准备就绪并正常运行，具备支撑管理端运行所需的计算资源、存储空间及网络连通性。
IP 资源规划：若环境需要长期稳定且合法的局域网 IP 地址，请提前向网络管理人员申请充足的地址列表，并将其配置到对应的虚拟化网络组件中。

二、网络与 IP 配置规范

网络地址的持久性与稳定性是管理端各组件正常互联的核心前提。

2.1 管理端内网 IP

数量要求：需为云空间管理端提供 3 个 内网 IP 地址。
持久性要求：当用于部署管理端的虚拟机创建后，其内部互联 IP 地址严禁随意变更。请务必保证地址在整个生命周期内持久可用。

2.2 外网接入场景（可选）

若业务场景需要支持外网或公网接入，除部署管理端外，还需额外规划并部署网关服务节点：

内网 IP 规划：针对 SDWAN 网关服务器，每个接入网关节点需提供 1 个独立的内网 IP 地址。
公网 IP 规划：需根据实际接入需求，为各网关节点配置对应的公网 IP 地址。

部署管理端

管理端安装环境要求

在安装云空间管理端之前，请确保基础设施资源池已准备就绪。您可以使用现有的 IaaS 环境，并在其中新建一个专用项目（部分平台称为“虚拟机分组”），用于部署管理端虚拟机。

一、已适配的云平台要求

请在安装前确认底层云平台（IaaS）的版本满足以下要求：

云平台类型	版本要求
InCloud	>= 6.5.2
OpenStack	>= Train
SmartX	>= 4.4.0
UCloud	>= 2.12
WxStack	>= 8.0.1
WxVDI Cloud	>= 4.5
ZStack	>= 4.8.10
nDeskHCI	>= 4.5
nSSV/nCSSV	>= 4.8.10

二、虚拟机配置规范

管理端默认采用集群部署架构，需在上述项目中创建 3 台 虚拟机，具体配置要求如下：

2.1 硬件规格与性能

操作系统：必须安装 openEuler 22.03。
镜像建议：强烈建议使用版本发布目录中自带的镜像。该镜像的默认登录账号为 root，密码请咨询厂商技术支持人员。若使用第三方镜像，可能存在缺少 tar 软件包、执行 sysctl -p 失败等兼容性问题，需要额外的安装与调整。
处理器与内存：虚拟机的配置不低于 8 核 16G 规格。请避免 CPU 超分过于严重，以免导致实际算力不足。
磁盘空间：系统盘根分区大小至少为 150G（推荐系统盘总大小为 200G）。
磁盘结构要求：必须保证根分区独立空间不低于 150G，不能通过挂载多块小容量磁盘（如系统盘 100G+数据盘 100G）进行拼装。第三方镜像建议使用 LVM 管理根分区以便后续扩容。若空间不足，请参考互联网资料自行扩展系统盘、逻辑卷及文件系统大小。
磁盘 I/O 性能：管理端包含数据库等对 IOPS 有较高要求的中间件，建议部署在 SSD 物理盘上，严禁使用 HDD 磁盘。若部署缓慢，请使用 top 命令关注 wa 指标（I/O 等待）。

2.2 网络与时钟配置

静态 IP：虚拟机的 IP 地址在安装后不允许更改。若是动态分配的地址，请务必在系统内部手工配置为 静态 IP。
DNS 配置：请在每台虚拟机中配置有效的 DNS 服务器。
时钟同步：若环境中有可用的时钟服务器，请在 主节点 (Master) 虚拟机中配置并启用同步。

管理端镜像准备指南

在正式创建云空间管理端（AS6）虚拟机之前，需要准备好符合规范的操作系统镜像。管理端运行环境严格限定为 openEuler 22.03。

一、镜像获取方式

1.1 官方推荐镜像（首选）

强烈建议使用版本发布目录中自带的 openEuler 镜像。

优势：已预先完成系统内核参数调优、磁盘分区优化及必要依赖包的预装，可显著提高部署成功率。
账号信息：默认登录账号为 root，初始密码请参考镜像下载路径下的说明文档或咨询厂商技术支持人员。

1.2 手工制作镜像（备选）

若需从 openEuler 官方 ISO 制作镜像，请注意以下要求：

ISO 下载：请从官方渠道下载 openEuler Offline Standard ISO。
架构匹配：
- x86_64：适用于基于 Intel 或海光处理器的服务器。
- aarch64：适用于基于鲲鹏或飞腾处理器的 ARM 服务器。

二、镜像定制与依赖包安装

如果您选择手工制作镜像，请在镜像模板中完成以下标准化配置：

2.1 存储分区规划

系统盘总量：推荐 200G。
根分区（/）：大小不得低于 150G。
管理规范：建议使用 LVM（逻辑卷管理） 结构，以便后期根据业务增长进行在线扩容。请勿采用“系统盘+数据盘”组合来凑足根分区空间需求。

2.2 补充安装核心工具

在 openEuler 22.03 最小化系统基础上，必须安装 tar 工具包，否则安装程序将无法执行 bin 包的解压缩动作。

在线安装：

  yum install -y tar

离线安装：若处于无外网环境，请提前从版本发布目录下载对应的 RPM 包并手工安装：
- x86 架构：tar-1.34-5.oe2203sp4.x86_64.rpm
- ARM 架构：tar-1.34-5.oe2203.aarch64.rpm

三、关键运行模式注意

当您将制作好的镜像上传至底层云平台并配置镜像属性时，请务必关注以下设置：

3.1 启动模式（BIOS Mode）

版本发布目录自带镜像：采用的是 Legacy 启动模式。在云平台上创建虚拟机时，严禁勾选 uefi 启动，否则系统将无法引导。

在OpenStack平台，上传镜像的时候，保持 hw_firmware_type 和 hw_machine_type 两个属性为默认值，即：

hw_firmware_type = bios
hw_machine_type = pc

手工制作镜像：请确保云平台的启动模式（Legacy/uefi）与您制作镜像时选用的模式保持一致。

3.2 磁盘 I/O 类型

总线协议：鉴于管理端包含数据库等高性能组件，建议在云平台镜像属性中设置磁盘总线为 VirtIO，以获取最佳的 I/O 性能。
物理介质：确保镜像所在的物理存储层使用 SSD，避免因 HDD 性能不足导致安装失败。

管理端虚拟机创建与配置指南

在准备好 openEuler 22.03 镜像后，需在云平台上完成管理端虚拟机的创建与初始化配置。

一、创建虚拟机

基于 openEuler 22.03 镜像在云平台上创建三台用于安装 AS6 管理端的虚拟机，配置要求如下：

处理器 (CPU)：至少 8 核。
内存 (RAM)：至少 16 GB。
系统盘：200 GB。

注：请根据架构选择正确的 openEuler 镜像。在基于 Intel 或海光服务器的云平台环境上要使用 x86_64 架构的镜像，而在鲲鹏或飞腾服务器的云平台上要使用 aarch64 架构的镜像。

1.1 节点角色规划

例如在云平台上创建好的三台虚拟机如下：

三台将被用来安装云空间管理端的虚拟机的 IP 地址和节点角色规划如下：

IP地址	节点角色
192.222.8.151	主节点 (Master)
192.222.8.152	从节点 (Slave/Worker)
192.222.8.153	从节点 (Slave/Worker)

二、确认虚拟机内部配置

当 openEuler 虚拟机被创建好之后，请通过 SSH 工具登录到每个虚拟机中进行初始化检查。

2.1 查看每个节点的 CPU 核数

[root@localhost ~]# nproc
8

2.2 查看每个节点的总内存大小

[root@localhost ~]# free -mh
              total        used        free      shared  buff/cache   available
Mem:            15Gi       9.7Gi       1.1Gi       312Mi       4.9Gi       5.4Gi
Swap:          7.9Gi       649Mi       7.3Gi

注：创建内存大小为 16G 的虚拟机，在虚拟机内部看到的内存总量可能略小于 16G，这是正常现象，我们的安装包在进行部署环境检查的时会忽略这里的误差。

2.3 查看每个节点的磁盘容量

[root@localhost ~]# lsblk
NAME                MAJ:MIN RM   SIZE RO TYPE MOUNTPOINTS
vda                 252:0    0   200G  0 disk
├─vda1              252:1    0   600M  0 part /boot/efi
├─vda2              252:2    0     1G  0 part /boot
└─vda3              252:3    0 197.9G  0 part
  ├─openeuler-root 253:0    0   150G  0 lvm  /
  ├─openeuler-swap 253:1    0   7.9G  0 lvm  [SWAP]
  └─openeuler-home 253:2    0    40G  0 lvm  /home
[root@localhost ~]# df / -h
Filesystem                  Size  Used Avail Use% Mounted on
/dev/mapper/openeuler-root  147G   48G   92G  35% /

要求：确认总容量为 200G，且分给根文件系统（openeuler-root）的空间不低于 150G。

2.4 查看各个节点的网卡和 IP 地址

[root@localhost ~]# ip addr
1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
       valid_lft forever preferred_lft forever
2: ens3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1442 qdisc fq_codel state UP group default qlen 1000
    link/ether fa:16:3e:51:6a:ab brd ff:ff:ff:ff:ff:ff
    inet 192.222.8.151/20 brd 192.222.15.255 scope global dynamic noprefixroute ens3
       valid_lft 38656sec preferred_lft 38656sec
    inet 192.222.8.151/32 scope global ens3
       valid_lft forever preferred_lft forever
    inet6 fe80::f816:3eff:fe51:6aab/64 scope link noprefixroute
       valid_lft forever preferred_lft forever

注：虚拟网卡的命名风格在不同架构的服务器上未必相同，例如在 ARM 架构的虚拟机上默认的网卡名字通常是 enp1s0，X86 通常为 ens3 或 ens192。

2.5 查看每个节点上的 DNS 服务器配置

[root@localhost ~]# grep ^nameserver /etc/resolv.conf
nameserver 114.114.114.114
nameserver 1.1.1.1
nameserver 8.8.8.8

注：114.114.114.114 等是公网域名服务器，若环境不允许访问互联网，请务必修改为局域网内部可用的 DNS 服务器地址。

2.6 网络互联互通检查

确保三台虚拟机之间能够互相 ping 通。在 151 节点尝试：

ping 192.222.8.152
ping 192.222.8.153

三、系统语言与时区设置

在开始安装 AS6 管理端之前，请根据业务需求配置统一的系统时间、时区和语言。

3.1 时钟同步 (NTP) 配置关键说明

配置对象：NTP 仅需在 主节点 (Master) 上手工配置。

同步逻辑：在后续的集群安装过程中，从节点 (Slave) 会自动配置并将主节点作为其时钟同步源。

在主节点上检查并验证：

[root@localhost ~]# grep ^server /etc/chrony.conf
server 10.1.1.1 iburst

验证同步状态：

[root@localhost ~]# systemctl restart chronyd
[root@localhost ~]# chronyc activity
200 OK
1 sources online
0 sources offline

[root@localhost ~]# chronyc sources -v
MS Name/IP address         Stratum Poll Reach LastRx Last sample
===============================================================================
^* 10.1.1.1                      2  10   233   314   -555us[ +162us] +/-   59ms

3.2 设置系统时区

配置对象：时区仅需在 主节点 (Master) 上手工设置。

同步逻辑：后续的安装部署脚本会自动将所有从节点的时区设置为与主节点保持一致。

默认时区：版本发布目录中自带的 openEuler 镜像中，默认是 Asia/Shanghai 时区，在中国国内部署，可跳过设置时区的步骤。

若需调整为其他时区（以巴黎为例），请执行以下命令：

# 查看当前系统时区状态
timedatectl status

# 列出所有可用时区并筛选目标时区
timedatectl list-timezones | grep -i paris

# 设置系统时区
timedatectl set-timezone Europe/Paris

3.3 设置系统语言 (可选)

系统语言的设置是可选的。版本发布目录中自带的 openEuler 镜像默认是中文环境，如果需要通过系统命令修改，参考如下：

# 查看当前系统语言
localectl

# 手动设置语言为英文环境
localectl set-locale LANG=en_US.UTF-8

进阶提示：您也可以不修改操作系统语言，而在后续执行 AS6 组件部署脚本时，通过参数灵活指定：

使用 -- -E 参数：将组件设置为英文语言环境。

使用 -- -Z 参数：将组件设置为中文语言环境。

3.4 关于重启系统的说明

针对上述 NTP、时区、语言 的设置，相关生效逻辑如下：

NTP (时钟同步)：不需要重启系统。执行 systemctl restart chronyd 后服务立即生效。
时区 (Timezone)：不需要重启系统。timedatectl 修改后系统时钟立即调整。
语言 (Locale)：
- 如果通过 localectl 修改了 OS 语言：建议重启系统，以确保所有后台服务和日志完全切换到新语言环境。
- 如果通过部署脚本参数（-- -E 或 -- -Z）指定：不需要重启系统，脚本会自动处理组件运行环境。

温馨提示：在确保所有节点资源到位、磁盘分区符合要求且时钟/网络配置正常后，即可开始后续的安装包上传与部署工作。

安装组件包

一、获取组件包

在开始安装云空间管理端之前，请获取最新发布的组件 bin 包，并上传到对应的虚拟机节点中：

astute-k3s-deploy*.bin：上传到 所有节点（用于搭建容器集群）。
astute-xspace-image*.bin：仅上传到 主节点（用于准备容器镜像）。
astute-xspace-deploy*.bin：仅上传到 主节点 (用于部署云空间管理组件)。

注：

可以通过 sftp 工具上传，或在虚拟机中用 wget 或 curl -O 命令下载。

若在鲲鹏/飞腾（ARM 架构）服务器上部署，请务必获取 arm aarch64 架构的安装包。

本例中，主节点 IP 为 192.222.8.151。

二、安装前通用说明

2.1 语言界面设置 (可选)

在执行任何组件包（k3s-deploy、xspace-image 或 xspace-deploy）时，您可以通过命令行参数指定安装向导的语言界面：

使用英文界面：添加 -- -E 参数。

[root@host151 ~]$ bash ./astute-k3s-deploy-*.bin -- -E

恢复中文界面：添加 -- -Z 参数。

[root@host151 ~]$ bash ./astute-k3s-deploy-*.bin -- -Z

重要提示：

参数持久性：-E 或 -Z 参数仅需在第一次执行组件包时输入。脚本会自动修改 /etc/profile 配置文件，后续安装其他组件包时会自动沿用该语言设置，无需再次输入。

适用范围：该参数适用于上述提到的所有三种组件包（k3s搭建、镜像准备、管理组件部署）。

2.2 安装可重入性说明

本系统的安装脚本具备 “可重入” 特性：

容错机制：如果在组件安装过程中（k3s 搭建、镜像准备、或管理组件部署），因网络中断、误操作或其他原因导致进程终止，您无需清理环境，也无需从头开始。
操作方法：只需 再次执行刚才中断的安装命令 即可。脚本会自动检测已完成的阶段并跳过，从断点位置继续执行直到完成。

三、构建容器集群

请在每个节点上执行 astute-k3s-deploy 安装包。

注意：必须先安装所有从节点，最后安装主节点。

3.1 具体操作步骤大纲

如果安装的是从节点：
- 选择网卡
- 设置主机名
- 选择从节点模式
如果安装的是主节点：
- 选择网卡
- 设置主机名
- 选择主节点模式
- 指定主节点（通常只有当前节点，直接确定即可）
- 指定从节点（通常有两台从节点，请手工填写从节点的主机名和 IP 地址）

3.2 先安装从节点 (Slave)

在所有从节点（如 152、153）上分别执行以下操作：

[root@host152 ~]$ bash ./astute-k3s-deploy-6.0_oe2203_x64.4.bin

交互指南：

选择网卡：

设置主机名：

默认规则：主机名默认生成为 hostxxx，其中 xxx 是对应节点内网 IP 地址最后一个字节的数值（例如 IP 为 192.222.8.152，则默认主机名为 host152）。

选择从节点模式（在“是否设置为主节点”处选 “否”）：

3.3 再安装主节点 (Master)

确保所有从节点安装完成后，在主节点（151）上执行：

[root@host151 ~]$ bash ./astute-k3s-deploy-6.0_oe2203_x64.4.bin

交互指南：

选择网卡与主机名：参考上述步骤。
选择主节点模式（选择 “是”）：

填写主节点列表（通常直接确定）：

填写从节点列表（手工填写从节点的主机名和 IP 地址）：

配置 NTP 服务器（可选）：

3.4 重要安全与账号说明

在 astute-k3s-deploy*.bin 的执行过程中，系统会自动将 root 账号密码修改为随机的复杂密码。
脚本执行后，系统中会自动新建 xspace 用户账号。
建议之后使用 xspace 用户登录进行日常运维，执行系统级命令时加上 sudo 即可，或通过 sudo su 切换到root账号。

3.5 验证集群状态

在主节点上检查，确保所有节点处于 Ready 状态：

[xspace@host151 ~]$ sudo kubectl get nodes
NAME      STATUS    ROLES                  AGE   VERSION
host153   Ready     <none>                 5m    v1.24.9+k3s1
host152   Ready     <none>                 5m    v1.24.9+k3s1
host151   Ready     control-plane,master   5m    v1.24.9+k3s1

四、准备容器镜像

当多节点容器集群搭建完成，确认所有节点都处于 Ready 状态后，请在 主节点 上执行镜像包安装：

[xspace@host151 ~]$ sudo bash ./astute-xspace-image.6.0.65.bin

安装完成后，将会看到如下完整的镜像仓库资源输出：

正在获取本地镜像仓库资源列表：
{
    "repositories": [
        "bitnami/minio",
        "bream-common",
        "canal/canal-adapter",
        "canal/canal-admin",
        "canal/canal-server",
        "descheduler/descheduler",
        "docker.io/bitnami/minio-client",
        "docker.io/busybox",
        "docker.io/easzlab/nfs-subdir-external-provisioner",
        "docker.io/mariadb",
        "docker.io/minio/minio",
        "docker.io/nacos/nacos-server",
        "docker.io/seataio/seata-server",
        "elastic/filebeat",
        "elasticsearch",
        "emqx/emqx",
        "jdk",
        "kibana",
        "logstash",
        "memcached",
        "migration-common",
        "mist/rabbitmq",
        "mist-ce/mist-api",
        "mistce/api",
        "mistce/api/v4-7-1",
        "mongo",
        "openresty/openresty",
        "perconalab/percona-xtradb-cluster-operator",
        "redis",
        "rocketmq-broker",
        "rocketmq-console",
        "rocketmq-namesrv",
        "wurstmeister/kafka",
        "wurstmeister/zookeeper",
        "xspace-common",
        "xuchengen/rocketmq",
        "xxl-job-admin"
    ]
}
本地镜像仓库中的可用镜像资源列表如上。

五、部署管理端组件

基础镜像准备就绪后，在 主节点 上执行云空间管理组件部署包：

[xspace@host151 ~]$ sudo bash ./astute-xspace-deploy-6.16.10.xxxxx.bin

注意：

该步骤安装时间较长，请耐心等待。

若过程中遇到超时提示，通常是因为组件启动压力大，请尝试输入 Y 确认重试。

xxxxxx 超时未启动，请稍候选择重试[Y]，或退出安装[N]:
+ read input
Y

完成验证

当上述安装步骤全都完成以后，默认将会自动启动云空间管理后台所有组件，以及依赖的第三方中间件服务（例如数据库服务器、消息服务器、文件服务器等）。

⚠️ 核心操作规范：

执行位置：除非特别说明，下述所有 kubectl 命令、as6tui 工具及运维脚本 必须在主节点 (Master) 上执行。

权限要求：所有操作均需要 sudo 权限。建议以 xspace 用户登录后，在命令前添加 sudo 执行。

一、运行状态检查

由于系统组件间存在复杂的运行时依赖，整体启动完成通常需要 10~15 分钟。具体时间取决于虚拟机的处理器性能及底层存储读写的实际速度。

等待期间，您可以随时执行以下脚本检测当前的运行状态：

[xspace@host151 ~]# sudo /opt/installation/scripts/env_check.sh 0

注意：

该脚本将会依次检查所有组件和中间件的运行状态是否正常。

如果存在尚未就绪的异常状态，脚本输出将会以告警红色显示。

如果安装现场执行该检查脚本发现长时间未能进入正常运行状态，请联系技术支持人员。

如果后续虚拟机环境发生了重启，也需要等待一段时间，期间可以用该脚本检测状态。

二、容器集群维护

云空间管理后台所有组件运行在容器化集群中，日常运维将频繁使用 kubectl 命令。具体使用方法可参考 kubectl 官方文档。

2.1 常用维护命令示例

查看集群节点状态：

[xspace@host151 ~]$ sudo kubectl get nodes
NAME      STATUS   ROLES                                          AGE   VERSION
host153   Ready    elk,namesrv,rocketmq                           12d   v1.24.9+k3s1
host151   Ready    control-plane,master,namesrv,rocketmq,xspace   12d   v1.24.9+k3s1
host152   Ready    namesrv,rocketmq,xspace                        12d   v1.24.9+k3s1

注：如果存在节点未处于 Ready 状态，请检查该节点对应的虚拟机启动情况以及网络是否正常。

查看所有命名空间：

[xspace@host151 ~]# sudo kubectl get ns
NAME              STATUS   AGE
default           Active   11d
kube-system       Active   11d
kube-public       Active   11d
kube-node-lease   Active   11d
xspace            Active   11d
bream             Active   11d
mist              Active   11d
middleware        Active   11d
nginx             Active   11d

查看 xspace 命名空间中的 Pod 组件列表和状态（结果示例）：

[xspace@host151 ~]# sudo kubectl get pods -n xspace
NAME                                            READY   STATUS      RESTARTS      AGE
bream-migrate-dwm6w                             0/1     Completed   0             11d
panda-migrate-46z8x                             0/1     Completed   0             11d
tunny-migrate-bzrgs                             0/1     Completed   0             11d
zebra-migrate-5btlx                             0/1     Completed   0             11d
app-file-server-6fd9d849b7-zsph7                2/2     Running     0             11d
app-instance-service-7ccbf484cc-fhm6n           2/2     Running     0             11d
app-zebra-config-service-67b6db6f5d-sk567       2/2     Running     0             11d
app-platform-service-546dbc5c6d-69pbt           2/2     Running     0             11d
app-policy-service-6c8d697c9d-8xnkq             2/2     Running     0             11d
app-gateway-server-7f6469f6b7-2mlms             2/2     Running     0             11d
app-image-service-55c4494d8b-c7gtx              2/2     Running     0             11d
app-log-server-649d6885cb-x8cd7                 2/2     Running     0             11d
app-tunny-config-service-5f8998f6b4-7zjdw       2/2     Running     0             11d
app-region-service-64d4d69869-v47gz             2/2     Running     0             11d
app-tenant-service-5c6b7f8b97-pm8j6             2/2     Running     0             11d
app-search-server-78c7b86695-mtbtf              2/2     Running     0             11d
app-vpc-service-57b8f4489-r2bgp                 2/2     Running     0             11d
app-session-service-644cb868b5-k4v7t            2/2     Running     0             11d
app-uaa-server-9b947756f-mt56x                  2/2     Running     0             11d
app-bff-service-85f869747f-7njvz                2/2     Running     0             11d
app-data-sync-server-555f8dd8c6-5cfqr           2/2     Running     0             11d
app-project-service-548d789cf5-25fkt            2/2     Running     0             11d
app-volume-service-775fbdd4-4tr6t               2/2     Running     0             11d
app-access-gateway-service-7448948955-fpb5p     2/2     Running     0             11d
app-terminal-service-7c8d77b74-wrmp7            2/2     Running     0             11d
app-template-service-6bf584b8cf-v6qfg           2/2     Running     0             11d
app-resource-template-service-754f56c78f-hzsgk  2/2     Running     0             11d
app-panda-config-service-799bfff7dc-sqfgc       2/2     Running     0             11d
app-version-service-78f875dfd-9xkfp             2/2     Running     0             11d
app-flavor-service-7df445896-v7dwv              2/2     Running     0             11d
app-desktop-service-5b59d6b6b9-z4kk6            2/2     Running     0             11d
app-user-service-bdf5f4ff9-qmvdb                2/2     Running     1 (11d ago)   11d
app-cluster-service-846f5c74c9-wgxc9            2/2     Running     1 (11d ago)   11d

注：正常运行期间，组件 POD 状态应为 Completed 或 Running。

2.2 使用 as6tui 图形化控制台

除了手工执行命令，也可以输入 as6tui 命令使用字符控制台界面直接进行操作：

[xspace@host151 ~]# sudo su
[root@host151 ~]# as6tui

界面交互说明：

输入问号字符 ?：查看所有完整的帮助文字。
输入 s：进入当前选中的组件内部 Shell 交互。
输入 :q：退出整个字符控制台界面。
更多的按键操作参见界面上方的提示说明。

三、自动化运维与节点负载再平衡

系统预置了自动维护脚本并已加入计划任务：

[root@host151 ~]# crontab -l
0 * * * * /opt/installation/scripts/resolve_env.sh >> /var/log/resolve_env.log
0 3 * * * /opt/installation/scripts/rebalance_env.sh >> /var/log/rebalance_env.log

功能说明：

环境修复 (resolve_env.sh)：如果发现服务的 xxl-job 一直没有注册，可手动执行此脚本修复。

[root@host151 ~]# /opt/installation/scripts/env_check.sh 6
----------------------------------------------------------------------
[Xxljob Condition]
----------------------------------------------------------------------
xxljob executor cluster-service registered.
xxljob executor instance-service registered.
xxljob executor project-service registered.
xxljob executor terminal-service registered.
xxljob executor desktop-service registered.
xxljob executor platform-service registered.
xxljob executor session-service registered.
xxljob executor resource-template-service registered.

负载平衡 (rebalance_env.sh)：通过 sudo kubectl top nodes 查看各节点负载。如果负载极度不均（如最大内存 >80%，最小内存 <60%），执行此脚本通过重启 POD 触发重新调度，实现节点负载再平衡。

[root@host151 ~]# kubectl top nodes
NAME      CPU(cores)   CPU%   MEMORY(bytes)   MEMORY%
host151   1501m        18%    12367Mi         79%
host152   841m         10%    9180Mi          59%
host153   1284m        16%    10015Mi         64%

网络配置：公网与反向代理访问

一、访问场景说明

仅内网访问：如果您的业务仅限于内网环境，可以直接使用 主管理节点（Master）的内网 IP 进行访问。在此场景下，本章节配置可以跳过。
- 系统控制台（访问 443）：
  - https://主节点内网IP
  - https://主节点内网IP/admin
  - https://主节点内网IP:443
  - https://主节点内网IP:443/admin
- 租户控制台（访问 443 或 44331）：
  - https://主节点内网IP/tenant
  - https://主节点内网IP:443/tenant
  - https://主节点内网IP:44331
- 云空间客户端：配置云平台地址为 https://主节点内网IP，端口号为 44301。
公网/跨网访问：
- 若需要允许客户端通过公网访问，必须进行 44301 端口映射。
- 若仅需要允许租户管理员从公网访问，必须进行 44331 端口映射。
- 若需要允许系统管理员从公网访问，必须进行 443 端口映射。

二、修改配置以支持公网访问

2.1 映射端口一致性调整

强烈建议公网映射端口与内网端口保持一致。若必须不一致，则需调整 Nginx 配置将内网端口改为与公网端口一致。

下文 kubectl 相关的所有命令都需要在 主管理节点 执行。

1. 查看当前监听端口：

[xspace@host151 ~]# sudo kubectl describe configmap/nginx-conf -n nginx | grep -w 44301
    listen [::]:44301 ssl;
    listen 44301  ssl;
[xspace@host151 ~]# 
[xspace@host151 ~]# sudo kubectl describe configmap/nginx-conf -n nginx | grep -w 44331
    listen [::]:44331 ssl;
    listen 44331  ssl;

2. 编辑配置：

执行如下命令，进入 ConfigMap 配置文件的编辑状态，将对应的 44301 或 44331 修改为公网映射后的实际端口。

[xspace@host151 ~]# sudo kubectl edit configmap/nginx-conf -n nginx

2.2 系统控制台（443 端口）特殊安全配置

系统控制台一般不建议暴露到公网。若确需开启，由于 443 端口受政策及安全监管要求，公网访问时通常需调整为非标准端口（如 8443）。

步骤 A：调整监听端口

调整 ConfigMap，将 443 修改为映射后的端口（如 8443）。

调整前：

[xspace@host151 ~]# sudo kubectl describe configmap/nginx-conf -n nginx | grep -w 443
    listen [::]:443 ssl;
    listen 443  ssl;

调整后：

[xspace@host151 ~]# sudo kubectl describe configmap/nginx-conf -n nginx | grep -w 8443
    listen [::]:8443 ssl;
    listen 8443  ssl;

步骤 B：配置访问白名单（is_allowed）

系统控制台对公网访问有严格拦截。即使端口已映射，也必须将公网地址手动加入 is_allowed 列表，否则将显示 403 Forbidden。

注：44301 和 44331 端口无此白名单要求。

查看当前允许列表：

[xspace@host151 ~]$ sudo kubectl describe configmap/nginx-conf -n nginx | grep -w ^map -A 6
map $http_host $is_allowed {
  default 0;
  xspace.local 1;
  192.222.8.151 1;
  192.222.8.152 1;
  192.222.8.153 1;
}

编辑 ConfigMap：

执行如下命令，进行配置文件的编辑状态

sudo kubectl edit configmap/nginx-conf -n nginx

添加匹配规则（配置示例）：

按照实际访问的地址进行添加，确保包含映射后的端口。

map $http_host $is_allowed {
  default 0;
  xspace.local 1;
  192.222.8.151 1;       # 允许内网IP
  192.222.8.152 1;
  192.222.8.153 1;
  202.1.1.1:8443 1;      # 允许通过公网映射后的Web访问地址
}

🔴 重要红线：

禁止修改变量名：必须使用 map $http_host，严禁改为 map $host。

精确匹配：必须带上端口号（如 IP:8443），系统不接受也不匹配不带端口号的 IP 条目。

三、使配置生效

修改并保存 ConfigMap（在 vi 编辑器中输入 :wq）后，必须在 主管理节点 重启 Nginx 服务以加载配置：

[xspace@host151 ~]$ sudo kubectl rollout restart daemonset/nginx -n nginx
daemonset.apps/nginx restarted

四、维护提醒

403 错误排查：若配置后仍出现 403，请核对浏览器地址栏中的 IP:端口 是否与 ConfigMap 列表中的字符串字符级完全一致。
版本升级：系统升级时自定义的 configmap 会被重置，需要再次配置。

高级配置

以下是针对云空间管理端的更多高级配置，均为可选步骤，请根据现场实际需求选择执行。

一、短信认证设置

如果现场环境需要启用短信认证机制，请首先确认主管理端可以正常访问互联网上的阿里云短信服务。

验证示例：

[xspace@host151 ~]# ping dysmsapi.aliyuncs.com
PING popunify-public.cn-zhangbei-center.aliyuncs.com.vipgds.alibabadns.com (106.11.45.35) 56(84) 字节的数据。
64 字节，来自 106.11.45.35 (106.11.45.35): icmp_seq=1 ttl=36 时间=37.5 毫秒
64 字节，来自 106.11.45.35 (106.11.45.35): icmp_seq=2 ttl=36 时间=37.7 毫秒
64 字节，来自 106.11.45.35 (106.11.45.35): icmp_seq=3 ttl=36 时间=38.6 毫秒

若访问正常，请在 主节点 执行以下脚本启用短信认证机制：

[xspace@host151 ~]# sudo /opt/installation/scripts/enable_smsconfig.sh

注：由于短信内容携带特定的服务方签名信息，请根据实际业务场景需求决定是否启用。

二、防火墙设置

已安装好的云空间管理端虚拟机节点上，默认尚未启动防火墙服务（firewalld）。

2.1 检查状态

[xspace@host151 ~]# systemctl is-active firewalld
inactive

2.2 启用防火墙

如需开启防火墙，请按以下步骤操作：

核对节点 IP：检查脚本中是否已完整包含集群所有节点的地址。

[xspace@host151 ~]# grep ^NODE_IPS /opt/installation/scripts/enable_firewall.sh
NODE_IPS=(192.222.8.151 192.222.8.152 192.222.8.153)

全节点执行：将该脚本拷贝到 所有从节点。然后在 每一台 机器（主节点和所有从节点）上分别执行：

# 在所有节点上分别执行
[xspace@host15x ~]# sudo /opt/installation/scripts/enable_firewall.sh

三、中间件控制台设置

云空间管理端依赖的中间件（如 Nacos、Redis 等）自带 Web 管理控制台。出于安全考虑，默认处于关闭状态。若运维人员需临时查看或修改配置，可手动开启。

3.1 开启控制台

[xspace@host151 ~]# sudo /opt/installation/scripts/enable_middlewares_console.sh on

3.2 关闭控制台（维护完成后务必关闭）

[xspace@host151 ~]# sudo /opt/installation/scripts/enable_middlewares_console.sh off

注：

访问控制台的具体 URL 和操作说明请参考脚本执行后的屏幕提示。

中间件服务的系统运维账号和密码，请咨询厂商技术支持人员。

安装后的备份

云空间管理端安装并配置完成后，在确认运行状态正常的情况下，建议立即进行初始配置数据的手工备份，并了解系统的自动备份机制。

一、初始全量备份

手工备份脚本将会备份 数据库数据 以及 Pod 运行配置。请在 主节点 执行以下操作：

# 创建备份存放目录
[xspace@host151 ~]$ sudo mkdir backups

# 执行备份脚本（指定备份路径为当前目录下的 backups 文件夹）
[xspace@host151 ~]$ sudo /opt/installation/scripts/backup_as6.sh ./backups/
……

AS6备份操作已经完成，备份数据存放在 /home/xspace/backups/
本次备份数据的总大小: 36M

重要操作提示：

备份完成的数据被放在指定的目录中，建议压缩打包，复制到外部环境中保存。 初始全量备份包含了系统刚安装完成时的干净状态及关键 Pod 配置，是系统灾难恢复的重要基础。

二、数据库自动备份与清理机制

系统内置了自动化运维任务（CronJob），负责每日定时进行数据库备份以及过期数据记录的彻底清理。

2.1 备份任务执行逻辑

系统每天 凌晨 1:00 会启动 mongodump-cronjob 任务，凌晨 2:00 会启动 mysqldump-cronjob 任务，执行以下操作：

数据库备份：对 MySQL（xspace 及 middleware）和 MongoDB 进行全量导出。
备份文件份数控制：自动清理本地存储目录，仅保留最近 2 天 的备份文件。
逻辑删除数据清理：系统会扫描业务库中 is_deleted != 0 的已逻辑删除记录。对于删除时间超过 90 天 的数据，系统将执行物理删除操作，以释放数据库存储空间。

2.2 备份任务状态监控

您可以通过以下命令查看备份任务的最近一次执行记录（状态为 Completed 即表示执行成功）：

[xspace@host151 ~]$ sudo kubectl -n middleware get po | grep dump
mysqldump-cronjob-29475000-6nw5l    0/3     Completed   0              6h42m
[root@host100 ~]# sudo kubectl -n mist get po | grep dump
mongodump-cronjob-29490780-44txw    0/1     Completed   0              7h42m

2.3 备份文件查看

备份文件存放在主节点的 /data/xSpace/ 目录下。由于系统会自动清理，该目录下通常只保留 最新 2 天内 的记录：

[root@host151 ~]# ls /data/xSpace/*dump* -lh
/data/xSpace/mongodump-mist:
total 13M
-rw-r--r-- 1 root root 3.2M Jan 13 01:00 mongodb-2026-01-12-17.00.02.dump
-rw-r--r-- 1 root root 3.2M Jan 14 01:00 mongodb-2026-01-13-17.00.02.dump
-rw-r--r-- 1 root root 3.2M Jan 15 01:00 mongodb-2026-01-14-17.00.01.dump
-rw-r--r-- 1 root root 3.2M Jan 16 01:00 mongodb-2026-01-15-17.00.01.dump

/data/xSpace/mysqldump-middleware:
total 68M
-rw-r--r-- 1 root root 22M Jan 14 02:00 mysql-middleware-2026-01-13-18-00-03.sql
-rw-r--r-- 1 root root 23M Jan 15 02:00 mysql-middleware-2026-01-14-18-00-03.sql
-rw-r--r-- 1 root root 24M Jan 16 02:00 mysql-middleware-2026-01-15-18-00-02.sql

/data/xSpace/mysqldump-xspace:
total 33M
-rw-r--r-- 1 root root 11M Jan 14 02:00 mysql-xspace-2026-01-13-18-00-03.sql
-rw-r--r-- 1 root root 11M Jan 15 02:00 mysql-xspace-2026-01-14-18-00-03.sql
-rw-r--r-- 1 root root 11M Jan 16 02:00 mysql-xspace-2026-01-15-18-00-02.sql

🔴 重要提示：

由于本地自动备份仅保留 2 天 的历史记录，若有长期存档或容灾需求，请务必通过脚本或同步工具，定期将 /data/xSpace/ 目录下的备份文件转储到外部存储设备中。

开启管理之旅

恭喜您！通过以上步骤，您已经成功完成了云空间管理端的系统部署。现在，您可以正式进入 Web 管理后台，开启云桌面的各项管理工作。

一、控制台访问入口

管理端根据操作角色的不同，提供了两个核心 Web 入口。请确保使用 HTTPS 协议访问：

1.1 系统控制台 (System Console)

主要用于系统全局配置、基础设施管理、多租户管理及系统运维。

访问地址：
- https://主管理节点IP
- https://主管理节点IP/admin

1.2 租户控制台 (Tenant Console)

主要用于租户内的资源管理、桌面分配、策略下发等业务操作。

访问地址：
- https://主管理节点IP/tenant
- https://主管理节点IP:44331

参考网络配置章节，如果因做公网端口映射调整了内网端口，这里也需要注意访问地址中端口号的变化。

二、角色权限与登录指南

系统预置了 系统管理员、运维管理员、代运维管理员、租户管理员、终端用户 5 种角色。不同的角色分属于不同的命名空间，其登录入口具有严格的限制：

2.1 系统侧角色（系统控制台登录）

涉及角色：系统管理员（默认账号 xspace）、运维管理员、代运维管理员。
登录入口：只能从 系统控制台 入口登录。
代运维特别说明：代运维管理员虽然具有协助租户进行管理维护的权限，但其身份仍属于系统命名空间，因此 必须从系统控制台的入口登录 后再切换进入租户控制台。

2.2 租户管理员（租户控制台登录）

涉及角色：租户管理员（属于租户命名空间）。
登录入口：只能从 租户控制台 入口登录，或通过客户端的“个人版”模式登录。

2.3 终端用户（客户端登录）

涉及角色：终端用户（分属于各租户对应的命名空间）。
登录入口：只能在 客户端 上采用“企业版”用户模式进行登录。
注意：登录时需根据提示携带其所属的 租户名。

三、初始登录说明

初始账号：xspace（该账号为系统管理员，请从 系统控制台 登录）。
初始密码：请联系厂商技术支持获取。
强制修改密码：在您初次登录系统时，系统会要求修改默认密码。

💡 安全建议：强烈建议您设置一个具有足够强度（包含大小写字母、数字及特殊符号）且与初始默认密码完全不同的复杂密码，并妥善保管。

现在，您已经了解了所有角色的登录规范。建议您首先以 xspace 账号登录系统控制台，进行资源初始化配置工作。

祝您使用愉快！

管理端版本升级指南

本指南适用于已安装云空间管理端环境的日常版本升级与补丁更新。

一、升级准备

获取组件包：获取最新版本的 astute-k3s-deploy*.bin、astute-xspace-image*.bin 以及 astute-xspace-deploy*.bin 升级包。
上传文件：astute-k3s-deploy*.bin 包上传至所有节点，astute-xspace-image*.bin 和 astute-xspace-deploy*.bin 包仅需要上传至主节点。

二、升级执行流程

升级过程极大简化了交互步骤，通常只需确认默认配置即可。

若某个组件包的版本号与当前环境一致，则可以跳过该组件的执行步骤。

2.1 容器集群升级 (所有节点)

操作顺序：先升级所有 从节点，最后升级 主节点。

从节点升级：在每台从节点执行以下命令，过程中一路按 回车 (Enter) 确认默认项即可。

[root@host152 ~]$ bash ./astute-k3s-deploy-*.bin

主节点升级：在主节点执行以下命令，同样一路按 回车 (Enter) 确认默认项即可。

[root@host151 ~]$ bash ./astute-k3s-deploy-*.bin

2.2 准备镜像与部署组件 (仅主节点)

在主节点完成集群升级并确认集群状态正常后，依次执行以下包：

镜像更新：

[xspace@host151 ~]$ sudo bash ./astute-xspace-image-*.bin

组件部署：

[xspace@host151 ~]$ sudo bash ./astute-xspace-deploy-*.bin

三、重要特性：安装可重入性

在升级过程中，如果因为网络闪断、ssh连接断开、管理节点虚拟机关机重启等原因导致安装中断：

无需惊慌：系统支持可重入执行。
处理方法：只需 重新执行 该阶段的 .bin 文件即可。脚本会自动识别已完成的进度，从中断处继续安装，不会损坏现有数据。

四、升级后配置恢复 (关键)

由于升级过程中部分系统组件会重新加载默认配置，以下自定义设置可能会被重置，请在部署完成后务必检查并手动恢复：

Nginx 配置 (ConfigMap)：
- 检查 nginx-conf 是否丢失了之前配置的公网端口的允许列表和自定义内网端口。
- 如有丢失，请参考部署手册中的网络配置章节重新配置。
Nacos 中间件配置：
- 如果您之前在 Nacos 控制台中修改过特定微服务的配置文件，请检查这些配置是否被还原为默认值。
- 短信认证服务相关的内置保存在 Nacos 中，如果已开启短信认证，升级后需要重新配置开启。

五、结果验证

升级完成后，参考完成验证进行升级后系统的运行状态检查。

执行验证命令：

[xspace@host151 ~]$ sudo /opt/installation/scripts/env_check.sh 0

判定标准：观察脚本输出结果。

成功：所有检查项均为绿色字体，无任何红色错误提示。
异常：若出现红色字体，请根据提示的组件名称检查 Pod 日志。

部署SDWAN网关

关于SDWAN

SDWAN是下一代专线级智能广域网，基于私有协议的传输优化技术，有效分配网络资源，提供低成本、低时延、高效率、高品质、智能化的网络传输。

SDWAN的技术优势：

灵活访问：支持多种链路及设备接入，满足居家、出差等各种应用场景下用户的安全访问。
网络加速：协议连接加速，优化带宽占用，提供更流畅更高性能的接入体验。
可靠连接：可靠传输协议，保障不同网络条件下稳定连接。

SDWAN接入网关作为处于公网的客户端访问内网的云桌面的协议流量接入的边缘节点，与云空间管理端（AS6）的核心组件一致，均采用软件定义架构。它以虚拟机（VM）形态承载于底层超融合或云平台资源池中，实现控制平面与转发平面的解耦。

部署规划

一、选路与集群逻辑

集群机制：一台或多台 SDWAN 接入网关可以组成一个集群，起到流量分担、负载均衡和高可用的目的。
智能选路：客户端拨号时，由 SDWAN 系统自动挑选可用且负载优化的网关进行转发。

二、流量转发服务关系

需要规划好接入网关集群和云桌面的服务关系。系统支持灵活的服务范围定义：

云平台级：一套接入网关集群为某个 IaaS 云平台中的所有桌面提供服务。
项目级：一套接入网关集群为 IaaS 云平台中特定项目内的桌面提供服务。
桌面级：针对单台特定的托管桌面配置专属的接入网关集群。

2.1 优先级与配置原则

一套云空间系统支持管理多套接入网关集群。当配置发生重叠时，系统遵循 “从小范围到大范围” 的优先级覆盖原则：

托管桌面配置（最高优先级）
项目配置
云平台配置（最低优先级）

注意：针对特定的云平台或特定的项目，仅支持配置使用一个接入网关集群。如果项目级和云平台级都进行了配置，系统将优先采用范围更小的 项目级 配置。

三、虚拟机系统要求

SDWAN 接入网关在 Linux 系统中的服务名为 aiwan-svpn。

操作系统：Ubuntu 22.04.5 LTS (x86_64)
软件包：aiwan-svpn-*.deb
架构要求：当前仅提供 X86 版本。如需 ARM 或其他架构版本，请联系厂商技术支持。

四、虚拟机规格推荐

请根据业务并发量选择合适的硬件配置：

并发路数	推荐配置	带宽需求
200 路并发	4核 / 8G 内存	参考产品简介 -> 组网方案
500 路并发	8核 / 16G 内存	同上
1000 路并发	16核 / 32G 内存	同上

五、网络配置要求

为了确保流量正常转发，请在虚拟机部署前确认以下网络环境：

内网互通：接入网关需具备内网地址，且该地址必须能够与云桌面所在的内网网段实现 路由互通。
公网映射：需为每台接入网关虚拟机映射独立的公网地址。
防火墙/安全组策略：必须放行以下公网映射端口（均为 UDP 协议）：
- UDP: 901, 902, 903
- UDP: 5000

创建虚拟机

根据前期部署规划，在云平台中按需创建接入网关虚拟机。

一、镜像准备

推荐使用官方版本发布目录中的预制镜像：

镜像名称：ubuntu-22.04.5-live-server-amd64-20251201.qcow2

二、关键配置参数

在云平台创建虚拟机实例时，请务必手动核对以下底层配置参数：

引导模式 (BOOT Mode)：uefi
主板架构 (Chipset)：q35

在OpenStack平台，上传镜像的时候，修改 hw_firmware_type 和 hw_machine_type 两个属性的值：

hw_firmware_type = uefi
hw_machine_type = q35

初始运维账号：user1（登录密码请咨询厂商技术支持人员）

三、资源与磁盘分配

计算资源：请根据实际业务并发需求，参考部署规划章节确定的 CPU 和内存规格进行分配。
磁盘空间：系统盘容量建议保持镜像默认的 100 GB 即可，无需额外挂载数据盘。

四、网络与端口映射

在虚拟机创建完成后，请进行公网端口映射操作：

公网地址分配：为每台接入网关虚拟机映射独立的公网 IP，并按规划给该公网IP配置足够的带宽。
UDP 端口放行：确保以下端口的公网映射及入站策略已生效：
- UDP: 901, 902, 903
- UDP: 5000

安装与配置

在虚拟机创建并确保网络互通后，请按照以下步骤进行接入网关软件的安装与初始化。

一、网络环境准备

登录虚拟机，切换至 root 用户：

sudo su

1.1 检查网络基础工具

检查系统是否已安装 ifconfig 命令：

ifconfig

如果系统提示未找到命令，请更新源并安装网络工具包：

apt-get update && apt-get install -y net-tools

1.2 验证外网解析与连通性

接入网关需要能够解析并访问SDWAN认证服务器，请执行以下验证：

ping mauth.netgrounder.com

注意：如果 ping 不通，请优先检查 /etc/resolv.conf 中的 DNS 配置，并确保安全组及防火墙已放行。

二、软件安装

2.1 上传软件包

通过 SSH、SFTP 或 SCP 等方式，将版本发布目录中的 aiwan-svpn-*.deb 软件包和 config.json 配置文件上传至虚拟机的临时目录（如 /tmp）。

2.2 执行安装

使用 dpkg 工具进行安装：

sudo dpkg -i aiwan-svpn-*.deb

三、服务配置

aiwan-svpn 服务的核心配置文件路径为：/opt/aiwan/svpn/config.json。

3.1 备份原始配置

在修改前，请务必备份原始配置文件：

cp /opt/aiwan/svpn/config.json /opt/aiwan/svpn/config.json.bak

3.2 替换配置文件

使用版本发布目录中提供的 默认 config.json 替换至 /opt/aiwan/svpn/config.json。

3.3 修改网卡配置项 (`OutItfName`)

确认网卡名称：执行 ip a 命令，确认持有正确内网 IP 地址的网口名称（常见为 eth0、enp1s0 等）。

编辑配置文件：找到 "OutItfName" 字段，将默认值修改为上一步获取的实际网口名。

{
    "OutItfName": "eth0"  // 此处替换为实际的内网网口名
}

四、启动服务

配置完成后，通过以下命令启动服务并确保其随系统启动自动运行：

# 设置服务为开机自动启动
systemctl enable aiwan-svpn

# 重启服务以应用配置
systemctl restart aiwan-svpn

# 检查服务运行状态
systemctl status aiwan-svpn

验证标准：正常状态下，输出信息中应包含 active (running) 字样。

五、日志排障

如果服务运行异常或客户端上拨号连接接入网关失败，请查看以下日志文件进行排查：

日志路径： /opt/aiwan/svpn/logs/svpn.log*

管理端配置

在完成接入网关软件的安装、配置与服务启动后，需要将网关信息同步至厂商SDWAN控制器，并在云空间管理后台完成最终的登记与关联。

一、信息收集与反馈

SDWAN 接入网关安装完成后，请收集以下信息并反馈给厂商技术支持，以获取 SDWAN 租户 ID（UUID）：

管理端接入点：管理端为客户端提供的公网 IP 地址和端口（端口默认为 TCP 44301）。
接入网关公网信息：接入网关的公网 IP 地址和映射端口（必须包含固定端口：UDP 901、902、903）。
接入网关集群编码：
- 格式要求：仅包含英文、数字、中划线（-）的字符串。
- 长度限制：不超过 32 个字符。
- 功能说明：使用同一个编码的多个接入网关将自动形成一个集群，实现负载均衡。
SDWAN 租户 ID（可选）：
- 若是在已有云空间系统中追加网关或集群，请提供原有的 SDWAN 租户 ID。
- 若是在该云空间系统中首次添加，则无需提供。

反馈结果：厂商处理完成后，会向您反馈一个 UUID 格式的 “SDWAN 租户 ID”。

二、管理端后台配置

获取到“SDWAN 租户 ID”后，请按照以下步骤在系统控制台进行配置。

2.1 全局参数配置

操作路径：进入 系统 -> 系统参数 -> 资源配置 -> 接入网关 页面。
执行操作：
- 在 SDWAN 租户 ID 输入框中填写厂商反馈的 UUID 并保存。
- 其他字段保持默认值即可。

注：仅需在首次配置时操作。后续如需扩容，可在此页面查询已有的 SDWAN 租户 ID。

2.2 登记接入网关集群

操作路径：进入 资源 -> 网络 -> 接入网关 -> SDWAN网关 页面。
执行操作：点击添加按钮。
- 名称：自定义（例如：“北京研发中心集群”）。
- 集群编码：填写的编码必须与之前反馈给厂商的接入网关集群编码 严格保持一致。

注：由于各接入网关的具体公网地址和端口信息已在厂商控制器登记，此处只需配置集群编码，系统会自动同步该集群下的网关详细信息。

三、关联业务资源

根据实际部署方案，将创建好的 SDWAN 网关集群与对应的资源进行关联：

关联云平台：

在该平台下的所有桌面默认通过此网关集群接入。

关联项目：

在该项目下的桌面通过此网关集群接入。

关联托管桌面：

仅该台特定桌面通过此网关集群接入。在配置界面需直接填写 接入网关集群编码。

四、转发优先级规则

当多级资源同时配置了 SDWAN 网关时，系统遵循 “就近原则/小范围优先”：

托管桌面配置 > 项目级配置 > 云平台级配置

示例：若某桌面所属的“云平台”关联了集群 A，但其所属的“项目”关联了集群 B，则该桌面最终会使用 集群 B 进行流量转发。

关于许可证

默认安装好的云空间管理端提供 2个月 的试用期，并支持管理最多 10台 云桌面。若需增加桌面实例数量或延长使用期限，请登录系统控制台，在“系统 -> 许可证”界面进行操作。

一、注意事项与申请触发条件

在以下情况下，请务必及时申请并更新许可证：

许可到期：系统会在许可到期前 15天，在系统控制台上进行提醒。
额度上限：当前管理的云桌面总数（包含专用、动态、托管等所有场景）已达到许可证上限。
机器码变更：
- 云空间管理端的虚拟机 规格配置（如 CPU、内存）或 虚拟网卡 发生变更。
- 集群中 3个节点中的任何一个 配置发生变化，都会导致机器码改变。

提示：许可证仅限制系统所能管理的云桌面 数量上限，不区分租户限制，也不限制并发连接数。

二、许可证激活流程

2.1 商务准备

在进行技术操作前，请先通过商务流程获得试用或商用的 激活码。

2.2 激活操作步骤

根据管理端所在网络环境，选择相应的激活方式：

方案 A：有网环境

注：此处的“有网”是指通过 Web 浏览器访问系统控制台所在的计算机能够访问互联网上的云空间许可在线激活网站。

在线激活：在系统控制台许可证页面点击 【在线激活】，系统将跳转至授权激活网站。
输入激活码：在授权网站的 “激活码” 输入框中填写商务提供的激活码，点击激活。
下载许可：在“历史激活记录”中点击 【下载授权文件】，保存 .lic 格式的许可证文件。
导入许可：回到系统控制台，点击 【导入许可证】 并上传已下载的文件。

方案 B：无网/内网环境（手动转场操作）

复制完整地址：在系统控制台点击“在线激活”跳转时，完整抄录或复制浏览器地址栏的网址

注意：网址中包含了当前环境唯一的机器码，必须保证网址完整。
异地下载：找一台可以访问互联网的电脑，访问上述完整网址。
激活与下载：在授权网站输入激活码并下载许可证文件，通过媒介（如 U 盘、光盘等）将文件拷贝至内网。
导入许可：在内网系统控制台点击 【导入许可证】 完成更新。

系统控制台

概述

当云空间管理端安装部署完毕，并执行安装后的验证结果正常，就可以通过浏览器访问并登录到管理后台。请根据所在的环境上下文输入主节点的地址打开管理后台的登录页面：https://x.x.x.x。

登录入口说明：

从浏览器打开 https://x.x.x.x 时，默认访问的是 系统控制台登录页面：https://x.x.x.x/admin。

如果希望访问 租户控制台入口，请在浏览器地址栏输入：https://x.x.x.x/tenant 或 https://x.x.x.x:44331。

对于新建的环境，默认的管理账号为 xspace，密码请咨询厂商。

安全建议：首次登录之后建议修改该默认密码为私有密码，注意保密。

在系统控制台入口界面上，请以系统管理员的账号、密码登录，进行全局系统级的运维管理操作。登录成功后看到的概览页面，是包含整个云空间系统中所有管理资源对象的总体统计。

版本查看：点击 “系统 -> 关于”，可以查看当前安装的软件版本信息。后续如有技术问题需要向厂商反馈，请附加现场的版本信息。

一、核心概念

云空间管理端的核心对象概念，以及相互之间的关系，如下图所示：

1.1 资源抽象：项目

云空间支持对接各种开源、商用的底层超融合/云平台。

统一抽象：这些云平台中的虚拟机逻辑分组机制（例如项目、分组、业务组、主机池等）被云空间管理端统一抽象为 “项目” 的概念。
资源引入：系统管理员将这些“项目”添加引入到云空间后，就可以在各个租户名下，基于这些“项目”资源，创建出各种形态的桌面池。

1.2 桌面池形态

系统支持创建不同形态的桌面池，从而满足不同场景的需求：

专用桌面池：桌面资源固定分配给特定用户，操作系统不还原。
动态桌面池：桌面资源动态分配与回收，使用后的桌面会被动态销毁还原。
托管桌面池：托管桌面池无需依赖于具体的项目。

1.3 多租户与权限模型

独立命名空间：每个租户名下可以有完全独立的用户命名空间，用户资源专属于特定的租户。不同租户名下的用户名称可以相同但互不冲突。
认证集成：不同的租户名下可以各自与不同的 AD 域进行集成认证。
策略管控：管理员对桌面的权限管控采用策略/策略组的形式定义，并应用到最终分配的用户桌面上。

二、管理员主要操作职责

2.1 系统控制台主要操作 (System Admin)

负责全局系统级的运维与资源调度：

云平台与项目管理
基础镜像与模板管理
角色权限与租户管理
软件版本与系统参数配置

2.2 租户控制台主要操作 (Tenant Admin)

负责租户内的具体业务运营：

资源管理：桌面池、桌面、终端管理。
用户与权限：用户管理、策略组管理。
内容资产：自定义镜像和模板管理。
监控运维：会话管理、日志查看、配置参数调整。

版本管理

云桌面最终用户需要安装的客户端软件包，以及云桌面内部需要安装的各种代理端软件，在环境部署期间均可人工分发及手工部署。随着软件产品的演进，这些软件包将面临频繁的迭代。

云空间管理后台的 版本管理 功能通过集中上传、自动分发、强制更新等机制，省去现场操作的繁琐流程，实现快速、自动化的软件版本更新。

一、管理职责与影响范围

管理主体：云终端（即客户端）和代理端（Agent）的版本管理均由 系统管理员 负责维护。
生效范围：最终落地的版本升级措施，将对云空间系统中 所有租户 下的所有用户和桌面资源统一生效。

二、核心操作逻辑：为何首选版本管理？

在系统登录后的第一步操作通常是版本管理，这实际上是系统部署中版本更新的延续，主要原因如下：

代理端版本更新：通常预先制作好的云桌面镜像中代理端版本较低。由于不会在每次发布新版本时都更新 VDI 桌面镜像，因此需要通过管理端进行代理端版本的统一升级。
瘦终端版本更新：出厂发货的瘦终端由于生产周期的限制，其客户端版本往往不是最新稳定版本，无法重新返回生产线进行客户端版本的更新。
提供官方下载渠道：管理端需要通过版本管理功能，为最终用户提供 PC 客户端、移动端 APP 的统一下载地址。

三、功能机制

集中上传：将最新的软件包统一存放在管理端版本文件仓库。
自动分发：利用版本文件下载通道将版本包自动推送至各终端。
自动化更新：通过强制更新机制，确保系统整体环境的版本一致性。

代理端版本管理

系统管理员在系统控制台中访问 “系统 -> 代理端版本”，可以查看当前上传的代理端安装包版本文件列表。

代理端软件包供云桌面内部静默更新，无需最终用户人工干预。当云桌面内部Mole服务重启，或进行操作系统重启时，将自动触发更新。

前提条件：云桌面需预装有 Mole 组件，并配置了正确的管理端地址。一般推荐在基础镜像中预装和配置 Mole 组件。

一、核心逻辑说明

参考技术架构：关于代理端的详细组成与功能，请参考产品简介 -> 技术架构 -> 代理端章节，以充分理解各代理端的作用及所支持的 OS、CPU 架构。
按需上传：管理员可根据项目实际需求上传对应版本。例如，若云端服务器均为 X86 架构，则无需上传 ARM 版本；若仅发布 Windows 桌面，则无需上传 Linux 代理端。
多语言支持：上传 Windows 代理端时，可根据镜像语言环境选择 中文简体、中文繁体或英文 版本；Linux 代理端不区分语言环境。
默认版本机制：
- 生效规则：仅被设置为 “默认” 的代理端版本才会被云桌面获取并升级。
- 限制：当存在多个版本时，系统中仅允许有 0 个或 1 个版本能被设为默认版本。

二、上传与自动化处理

自动填单机制：在上传版本文件时，对于版本号、组件类型、系统类型、CPU 架构、内核版本号等输入框，建议等待文件上传至 100% 并出现绿色打钩标记。此时前端会自动识别并填充内容，管理员仅需核对确认，除非自动填写有误，否则无需手动干预。

三、更新与触发机制

自动升级流程：升级依赖于桌面内的 Mole 服务。在 Mole 服务启动时（通过重启桌面或手动重启服务），Mole 会向管理端查询和比对是否有默认更新版本。若有，Mole 会自动下载并 静默安装 相关组件（包括其 Mole 自身、HSRServer 和 USBRedirect）。
重启策略 (Windows)：在 Windows 代理端配置中，允许勾选 “立即重启”。
- 生效：勾选后，代理端更新完成将自动重启桌面 OS。
- 注意：若多个组件均勾选了立即重启且同时更新，可能会导致桌面多次重启，直至所有组件版本均更新到位。
Linux 更新特性： Linux 桌面在更新代理端后 无需重启操作系统，仅会自动重启代理端相关的服务。
Linux USBRedirect 内核匹配机制： Linux 版本的 USBRedirect 组件与操作系统内核版本深度相关。在上传时需确保版本信息准确。Mole 在获取版本时，会根据当前云桌面的 内核版本号 自动匹配并获取对应的 USBRedirect 代理端版本。

四、运维监控

管理员可通过以下方式监控升级进度：

查看详情：在 “桌面详情 -> 代理端详情” 页面查看当前安装的版本号与服务状态。
手动刷新：点击该页面左下角的刷新按钮，可手动获取管理端的 Mole 上报的最新状态，确认是否符合预期。

客户端版本管理

系统管理员通过客户端版本管理功能，可以集中维护云终端（客户端）的安装包，并实现向最终用户的自动推送与升级。

系统管理员在系统控制台中访问 “系统 -> 云终端版本”，可以查看当前上传的客户端安装包列表。

一、核心逻辑说明

参考技术架构：关于客户端类型及所支持的 OS 和 CPU 架构，请参考产品简介 -> 技术架构 -> 客户端章节。
按需上传：管理员应根据项目实际情况上传对应的版本。例如：某局点仅使用 RK3568 芯片的瘦终端，则只需上传对应的 ARM Linux 版本安装包。
默认版本机制：
- 生效规则：同一种客户端可上传多种版本，但每种类型的客户端 最多只能设置一个默认版本。
- 独立性：不同类型客户端（如 Windows 客户端与 Linux 瘦终端，如不同的CPU架构）的默认设置相互不干扰。
- 升级提示：只有设置为“默认版本”的安装包，才会在客户端启动检查发现版本不一致时，向用户发出升级提示。
强制更新说明：
- 功能表现：若勾选“强制更新”，用户必须完成版本升级才能继续登录使用。若用户拒绝升级，PC 客户端及移动 APP 会退出，瘦终端则会重启。
- 使用建议：强制升级会影响用户体验，一般仅在出现版本兼容性问题（如不升级将导致无法正常使用）时才建议开启。

二、上传与版本设置

2.1 上传操作

点击“上传版本”增加新的安装包文件。

自动填单机制：在上传过程中，系统类型、CPU 架构、设备类型、厂商等信息无需手动输入。
确认流程：请等待版本文件上传至 100% 并出现绿色打钩标记，前端会自动填充相关参数。管理员仅需在内容有误时进行手动干预，最后点击确认即可。

2.2 版本更新触发

触发方式：客户端仅在启动时检查版本更新。
瘦终端特性：瘦终端通常需要通过重启触发版本升级检查流程。

三、下载中心

最终用户可以通过管理网页提供的“下载中心”手工下载安装包进行安装。

访问地址：
- 系统控制台页面：访问 https://x.x.x.x/admin，点击页面右上角的“下载中心”链接。
- 租户控制台页面：访问 https://x.x.x.x/tenant，点击页面右上角的“下载中心”链接。
- 直达网址：直接访问 https://x.x.x.x/pages/download。
显示规则：下载中心页面仅显示系统管理员已上传并设置为默认版本的客户端安装包。如果管理员尚未上传任何客户端安装包，下载中心将不会显示可供下载的链接。

最终用户可以根据自身设备的系统架构，在下载中心页面选择对应的版本进行下载安装。

租户管理

默认新部署的云空间环境中，系统预置了两个租户。您可以在 “系统 -> 租户” 栏目中查看 “toc” 和 “default” 租户。

toc 租户：专为个人用户准备，政企用户场景通常无需关注。
default 租户：默认的空白租户命名空间，适用于非测试、演示场景。
自定义租户：在正式商用场景中，建议根据子公司、部门、地域或分支机构等实际需求创建更多租户，以获得独立的用户命名空间和管理入口。

一、租户管理员与代运维

1.1 专有管理员

在 “系统 -> 租户管理员” 栏目中，可以为特定租户创建专用的管理员账号。每个租户可以拥有 1 个主管理员 和 若干子管理员。目前主、子管理员管理权限完全一致，这为后续更精细的权限划分预留了设计空间。

1.2 系统代运维

系统管理员也可以充当租户的代运维管理员。例如默认的管理员账号 “xspace”，同时也是 “default” 租户的管理员。一个具有代运维管理员角色的系统管理员，可以同时替多个租户进行代运维管理。

1.3 切换租户上下文

代运维管理员可以通过管理页面右上角的下拉列表，查看自己正在代运维管理的租户列表。点击指定的租户名称，即可切换到对应的租户上下文，进行租户级别的桌面、用户及策略等资源管理。

二、核心机制与限额管理

系统通过多重机制保障租户的安全与稳定：

限额管理：为防止因误操作或恶意攻击导致系统资源被无限占用，每个租户所能管理的资源（如用户、桌面、镜像等）均设有一定的限额。系统管理员可通过租户的 “限额管理” 界面按需调整（默认值已能满足多数正常应用）。

状态控制：被禁用的租户，其租户管理员将无法登录控制台，代运维管理员无法进入该租户上下文，且该租户下的终端用户也无法在客户端登录。
账号隔离：租户管理员与系统管理员处于不同的账号命名空间，因此支持重名。登录时请务必区分访问的是 系统控制台 还是 租户控制台，以免因入口错误导致登录失败（如报用户名或密码错误）。

三、运维要点总结

管理限制：目前一个普通的租户管理员仅能管理一个租户，不支持跨租户管理。
角色优势：具有代运维权限的系统管理员是处理多租户规模化管理的最佳手段。
独立性：每个租户拥有独立的用户列表，支持不同租户与各自不同的 AD 域进行集成认证。

注：关于租户上下文中的更多管理操作细节，请参见本文档的租户控制台章节。

角色权限管理

云空间管理端默认内置了 系统管理员、运维管理员、代运维管理员、租户管理员、终端用户 5种用户角色。

系统管理员可以根据实际场景需求创建更多自定义的用户角色，并进一步细化其权限。

一、命名空间与账号隔离

系统设计采用了 “2 + N” 个独立的命名空间，这是理解账号体系的关键：

系统管理员命名空间：包含内置的“系统管理员”、“运维管理员”和“代运维管理员”。
租户管理员命名空间：包含“租户主管理员”和“租户子管理员”。
终端用户命名空间 (N个)：每个租户均拥有一个完全独立的终端用户命名空间。

重要提示：

重名处理：不同命名空间内的用户名可以重复（例如不同租户可以有相同的终端用户名），但同一空间内必须唯一。

登录入口：由于系统管理员与租户管理员可能重名，登录时必须严格区分入口：

系统控制台：https://主管理节点IP/admin

租户控制台：https://主管理节点IP/tenant 或 https://主管理节点IP:44331

登录标识：企业版终端用户登录时，需同时提供 租户名 和 用户名。

二、内置角色职责说明

系统提供 5 种内置角色，其权限仅供查看，不可编辑：

系统管理员：负责系统级别的部署、版本管理、系统参数设置等核心工作。
运维管理员：负责日常的系统级管理与维护。
代运维管理员：一种特殊设计。虽属于“系统管理员命名空间”，但职责是辅助或替代租户管理员进行租户内务管理。
- 权限边界：系统管理员默认无法直接管理租户内的桌面、用户、策略组等资源。
- 开启方式：需赋予“代运维管理员”角色，并关联指定的代运维租户后，方可进入租户内操作。
租户管理员：负责所属租户内的资源管理。
终端用户：归属于各租户，仅拥有使用桌面资源的权限。

三、进阶配置建议

自定义角色：一般情况下，建议优先使用内置角色。除非有极特殊的权限细分需求，否则不建议创建自定义角色，以避免权限范围设置不当导致的运维混乱。
三员管理（合规性）：系统支持开启 “三员管理” 模式（系统管理员、安全保密员、安全审计员）。
- 不可逆性：一旦开启三员管理，系统将不允许回退到普通模式。
- 开启流程：如需开启，请联系厂商技术人员进行操作。

云平台管理

云平台概述

云空间管理端以多台虚拟机的形式部署在 IaaS 虚拟化云平台上。它支持接入一个或多个云平台，将其作为底层基础算力资源池。管理端通过调用这些云平台的 API 接口，实现资源同步、桌面虚拟机的创建与日常维护。

在完成版本上传、了解租户与角色权限后，添加云平台是为新部署好的云空间提供算力资源的第一步。在现实场景中，访问不同的云平台所需的接入信息内容格式不尽相同。

提示：本章节主要介绍云平台接入的共性流程与参数。针对不同云平台类型（如 OpenStack、ZStack 等）特有的接入属性字段和详细配置，我们将在后续的各云平台创建专项章节中展开详细说明。

一、云平台适配与能力差异

在添加云平台前，请务必参考安装部署 -> 部署管理端 -> 环境要求核对已适配的云平台及版本号。

1.1 类型对齐说明

InCloud、nDeskHCI、WxVDI Cloud 的模型能力和操作逻辑与 OpenStack 相同。
nSSV/nCSSV 的模型能力和操作逻辑与 ZStack 相同。

1.2 平台模型和能力差异表

不同云平台在项目抽象、资源同步及桌面管理能力上存在显著差异，请参考下表：

维度	功能项	OpenStack	SmartX	UCloud	WxStack	ZStack
项目概念	项目定义	项目	虚拟机组	项目	业务组	云主机分组
云平台同步	模板	无	有	无	有	无
	镜像	有	无	有	无	有
	规格	有	无	无	无	有
	共享网络	有	无	有	有	有
	磁盘类型	有	有	有	有	有
项目同步	项目/实例	有	有	有	有	有
	私有网络	有	有	无	无	无
	云硬盘	有	有	有	有	有
自定义创建	自动创建项目	支持	未支持	未支持	未支持	支持
	自定义规格	未支持	未支持	未支持	未支持	支持
桌面管理能力	桌面同步导入	支持	支持	支持	支持	支持
	桌面创建	支持	支持	未支持	支持	支持
	桌面删除	支持	支持	未支持	支持	支持
	控制台	支持	未支持	未支持	未支持	支持
	开机/关机/重启	支持	支持	支持	支持	支持
	重置密码	支持	支持	支持	支持	支持
	还原/变更桌面	支持	未支持	未支持	未支持	未支持
	创建镜像	支持	不支持	未支持	不支持	支持

二、云平台通用参数配置 (共性)

在添加云平台时，以下共性参数直接影响客户端的连接体验：

关联接入网关：当客户端从公网接入时，关联的接入网关集群将为该云平台内的云桌面提供公网接入与转发服务。
接入网段（IPv4/IPv6 公网与内网）：
- 识别逻辑：当桌面拥有多个网口时，系统会根据客户端接入位置进行地址识别。
- 内网接入：若客户端在内网，管理端会将匹配内网网段后的某一个网口的地址返回给客户端，供客户端直接通过 HSR 协议连接。
- 公网接入：若客户端在公网，管理端会将匹配公网网段后的某一个网口的地址返回给客户端，供客户端通过接入网关中转连接。
- 重要性：若桌面拥有双网口，必须准确配置此项，否则可能导致云桌面 IP 地址缺失，表现为客户端无法获取桌面 IP 地址，无法进行远程连接。

三、资源同步与管理机制

系统添加成功后，管理端将自动与底层云平台建立通信并启动资源同步流程。

3.1 同步触发机制

首次同步：添加云平台后系统不会立即同步，需等待约 20 秒 后才自动触发首次资源同步。
定时循环：系统会在间隔 40~80 分钟 随机触发自动同步（平均每小时一次），以确保资源状态的最终一致性。
手动干预：
- 检测：点击“检测”按钮快速判断 API 接口通达性（验证网络、账号、密码是否正确）。
- 强制同步：若自动同步未及时触发，或底层资源有紧急变更，可点击表格右侧 “更多 -> 同步” 手动触发。

3.2 查看同步进展和结果

管理员可实时跟踪资源的加载状态：

查看详情：点击云平台列表中 “云平台名称” 列尾部的同步状态图标，系统将弹出详细的同步进度标签。
覆盖内容：您可以观察到集群、项目、模板、镜像、规格、网络、磁盘类型等各项资源的同步成功/失败情况。

3.3 异常排查指引

若云平台状态异常或同步失败，请参考下表进行排查：

现象	可能原因	处理建议
云平台离线	API 地址、用户名或密码填写错误；网络不通	检查云平台接入参数，使用“检测”功能验证 API 连通性。
同步超时	网络延迟较大；底层平台响应缓慢	尝试点击“手动同步”；检查管理端与云平台间的带宽延迟。
特定资源缺失	资源未匹配“分组前缀”；底层权限不足	检查云平台端的资源分组命名；确保使用的账号具备系统管理员权限。
其他持续失败	适配层接口异常或版本不兼容	收集同步详情中的错误提示、云平台型号及版本号，联系厂商技术支持。

3.4 管理入口说明

资源维护：点击云平台的 “管理” 按钮，可维护所属的模板、镜像、规格、共享网络、磁盘类型等资源。
逻辑归属：为了简化操作页面的层级，集群和项目在菜单中被提到了与云平台同级的位置，但在逻辑上它们仍归属于所属的云平台。

四、移除云平台的限制

前置条件：该云平台下的资源（如项目、实例）未被租户实际使用（未关联桌面池或桌面）。
场景建议：移出操作仅建议在环境部署初期或配置错误时使用。若已有业务数据关联，不允许移除云平台。

添加 OpenStack 云平台

云空间管理端通过对接 OpenStack 的 API 接口，实现对底层算力资源的接管与调度。

一、操作流程

进入界面：登录系统控制台，从左侧菜单栏访问 “资源 -> 云平台”。
发起添加：点击页面左上角的 “添加” 按钮。
配置属性：在编辑界面中，选择云平台类型为 OpenStack。根据下文参数详解输入信息后，点击 “确定”。

二、参数详解与资源映射

2.1 关键接入参数

云平台地址：OpenStack 认证服务（Keystone）的入口地址。通常为 keystone 组件 identity 服务的 Public Endpoint，默认端口一般为 5000。
用户名/密码：必须提供具有 系统管理员 权限的账号。仅具备普通项目成员（Member）权限的账号无法完成全局资源的同步。
管理项目：指 OpenStack 的管理项目名称（默认通常为 admin）。该项目在同步时会被系统自动过滤掉，不会出现在云空间的项目列表中。
域 (Domain) / 区域 (Region)：通常保持默认（如 Default / RegionOne）。若底层为多 Region 部署，在云空间中需作为多个独立云平台分别纳管。

2.2 核心模型映射

在进行资源规划时，请理解以下逻辑对应关系：

集群 (Cluster) ↔ 可用区 (AZ)：在云空间管理端中展示的 “集群”，在 OpenStack 底层对应的是 AZ (Availability Zone，可用区) 的概念。系统同步后会自动识别并映射这些物理资源边界。

注意：关于云平台添加后的自动同步机制、进度监控及异常排查，请统一参考云平台概述 -> 三、资源同步与管理机制章节。

添加 SmartX 云平台

云空间管理端通过对接 SmartX 的 API 接口，实现对底层算力资源的纳管。由于 SmartX 平台的资源组织特性，在接入前需先在云平台端完成基础的虚拟机组准备。

一、前置准备：创建虚拟机组

由于目前管理端尚未支持通过 API 接口调用来动态创建 SmartX 虚拟机组，因此需要管理员在 SmartX 控制台中预先创建好用于存放云桌面的虚拟机组。

创建虚拟机组：在 SmartX 控制台中，点击右上角菜单，选择“创建虚拟机组”。
命名规范与过滤机制：输入虚拟机组名称。核心逻辑说明如下：
- 逻辑映射：SmartX 的 虚拟机组 对应云空间中的项目。
- 安全过滤：为避免将非桌面用途的虚拟机（如管理端、接入网关或其他业务云主机）同步进云空间导致误删风险，系统采用“分组前缀”匹配机制。
- 命名建议：默认约定以 “VDI-” 作为前缀（如 VDI-设计部）。只有匹配该前缀的虚拟机组才会被同步为“项目”。
虚拟机组视图核对：在 SmartX 左下角将“集群层级下展示”切换到“虚拟机组”，即可通过目录树查看已准备好的虚拟机组列表。
虚拟机准备（可选）：您可以预先在这些组内创建虚拟机，同步后将直接作为桌面资源；也可以待项目同步完成后，在云空间桌面池中来创建桌面（推荐方式）。

二、操作流程

进入界面：登录系统控制台，访问 “资源 -> 云平台”。
发起添加：点击页面左上角的 “添加” 按钮。
配置 SmartX 属性：根据界面提示输入以下参数，完成后点击 “确定”。
- 云平台地址：SmartX 管理节点的 API 访问地址。
- 用户/密码：具备管理权限的账号信息。
- 分组前缀：填写您在 SmartX 中预设的分组前缀特征（默认值为 VDI）。系统将仅纳管匹配此特征的虚拟机组。

三、核心运维逻辑

资源对应关系：
- 对应关系：SmartX 虚拟机组 ↔ 云空间项目 ↔ 桌面池。这三者是一一对应的关系。
- 实例同步：仅处于被纳管项目（匹配前缀的组）中的虚拟机实例，才会被同步到云空间并映射为桌面。
层级处理与删除限制：
- 树形结构：系统会将树形结构中所有匹配前缀的“树杈（组）”纳管为项目，但仅同步该层级直接包含的“树叶（虚拟机）”。
- 删除保护：若某个虚拟机组下仍存在子组，系统将禁止在云空间中移出该项目。为简化管理，建议尽量避免使用多层分组结构，建议将所有用于的分组平铺为同一层级。
安全隔离建议：在部署管理端和接入网关时，请务必将这些管理虚拟机存放在不带 VDI 前缀的独立虚拟机组中，以防被同步进云空间系统造成误操作风险。

注：上述“分组前缀”的设计逻辑同样适用于 WxStack 和 ZStack 云平台。

注意：关于云平台添加后的自动同步机制、进度监控及异常排查，请统一参考云平台概述 -> 三、资源同步与管理机制章节。

添加 UCloud 云平台

云空间管理端通过对接 UCloud 的 API 接口，实现对公有云或私有云算力资源的纳管。由于 UCloud 的资源组织逻辑与其他私有化部署云平台有所不同，请在接入时关注以下特性。

一、前置准备：获取访问密钥

UCloud 云平台不使用用户名和密码进行 API 接入，而是通过 API 密钥 进行身份验证。

获取路径：登录 UCloud 控制台，在右上角的用户中心处进入密钥管理。
获取公钥与私钥：
- 公钥：对应管理端中的 AccessKey ID。
- 私钥：对应管理端中的 AccessKey Secret。
确定区域标识：查看控制台右上角的区域选项，记录当前资源所在的区域标识。

二、核心映射逻辑

2.1 项目映射

与 SmartX 或 WxStack 不同，UCloud 云平台暂时无法通过自定义分组前缀的方式来划分项目资源。

默认项目：系统在纳管 UCloud 云平台后，会自动生成一个名为 default 的项目。
资源归集：该区域下所有符合同步条件的虚拟机实例、云硬盘等资源，都会被统一归集到这个 default 项目中。

2.2 管理能力限制

请注意，目前管理端对 UCloud 云平台的纳管主要侧重于存量资源的同步。

支持：桌面同步导入、电源管理（开/关/重启）、重置密码。
不支持：暂不支持通过管理端在 UCloud 云平台中动态创建或删除桌面。

三、操作流程

进入接入界面：登录云空间系统控制台，访问 “资源 -> 云平台”。
发起添加：点击页面左上角的 “添加” 按钮。
配置 UCloud 属性：输入 API 接入参数，确保公私钥对与区域信息填写准确。
- 云平台地址：UCloud API 的接入端点（API Endpoint）。
- AccessKey ID：填写 UCloud 的 API 密钥公钥。
- AccessKey Secret：填写 UCloud 的 API 密钥私钥。
- 区域：填写控制台对应的区域标识。

四、核心运维说明

资源纳管说明：由于 UCloud 不支持分组前缀过滤，建议在 UCloud 云平台专门申请一个独立的子账号（及对应的 AK/AS）用于云桌面业务，以此实现底层资源的逻辑隔离，防止将生产环境的其他业务主机同步进云空间。
安全性提示：请妥善保管 API 密钥的私钥。若密钥泄露，请在 UCloud 云平台重置密钥并及时在云空间管理端更新配置。

注意：关于云平台添加后的自动同步机制、进度监控及异常排查，请统一参考云平台概述 -> 三、资源同步与管理机制章节。

添加 WxStack 云平台

云空间管理端通过对接 WxStack 的 API 接口，实现对底层算力资源的纳管。由于 WxStack 平台的资源组织特性，在接入前需先在底层平台端完成基础的“业务组”准备。

一、前置准备：创建业务组

目前管理端尚未支持通过 API 接口调用来动态创建 WxStack 业务组，因此需要管理员在 WxStack 控制台中预先创建好用于存放云桌面的业务组。

进入业务组管理：在 WxStack 管理页面中，打开“业务组”管理页面。

提示：作为云桌面场景常用的模块，建议将“业务组”入口菜单标注星号，收藏到左侧导航栏。
新建业务组：点击右上角的“新建业务组”按钮进行创建。
命名规范与过滤机制：输入业务组名称。核心逻辑说明如下：
- 逻辑映射：WxStack 的 业务组 对应云空间中的项目。
- 安全过滤：为避免将非桌面用途的虚拟机（如管理端、接入网关或其他业务云主机）同步进云空间，系统采用“分组前缀”匹配机制。
- 命名建议：默认约定以 “VDI” 开头（如 VDI001）。只有匹配该前缀的业务组才会被纳管为“项目”。
- 对应关系：业务组 ↔ 云空间项目 ↔ 桌面池。这三者是一一对应的关系。
虚拟机准备（可选）：您可以预先在业务组中创建虚拟机，同步后将作为云桌面资源；也可以待项目同步完成后，在云空间桌面池中来创建桌面（推荐方式）。创建好的虚拟机将位于指定的业务组中，方便后续同步管理。

二、操作流程

进入接入界面：登录云空间系统控制台，访问 “资源 -> 云平台”。
发起添加：点击 “添加” 按钮。
配置 WxStack 属性：输入 WxStack 平台的各项参数信息，然后点击 “确定”。
- 云平台地址：WxStack 管理节点的 API 访问地址。
- 用户/密码：具备系统管理权限的账号。
- 分组前缀：填写在 WxStack 中预设的业务组名称特征（默认值为 VDI）。

三、核心运维逻辑

资源纳管策略：
- 仅处于被纳管项目（匹配前缀的业务组）中的虚拟机实例，才会被同步到云空间并映射为桌面。
- 安全隔离：请务必将管理端和接入网关虚拟机存放在不带 VDI 前缀的业务组中，以防止被同步进云空间系统造成误操作风险。
一致性说明：上述关于“项目 ↔ 业务组/虚拟机组”以及“分组前缀过滤”的设计逻辑，在 SmartX 和 ZStack 云平台中同样适用。

注意：关于云平台添加后的自动同步机制、进度监控及异常排查，请统一参考云平台概述 -> 三、资源同步与管理机制章节。

添加 ZStack 云平台

云空间管理端通过对接 ZStack 的 API 接口，实现对底层算力资源的纳管。支持对接的产品包括 ZStack 云平台 和 ZSphere 虚拟化平台。

一、前置准备

1.1 系统参数配置

在接入 ZStack/ZSphere 之前，必须先在底层云平台中开启时区检查开关，以防止 API 调用因时间不一致而导致失败（表现为云空间上添加的ZStack平台为离线状态）。

ZStack 云平台配置：访问“设置 -> 平台设置 -> 全局设置 -> 高级设置 -> 管理节点策略”，启用 “调用 REST API 时检查时区”。
ZSphere 平台配置：访问“系统管理 -> 平台设置 -> 系统参数 -> 平台策略 -> 管理节点策略”，启用 “调用 REST API 检查时区”。

1.2 获取访问密钥 (AccessKey)

ZStack 平台对接不使用用户名和密码，而是通过 AccessKey ID 和 AccessKey Secret 进行身份验证。

获取路径：登录 ZStack 平台，进入 运营管理 -> AccessKey 管理” 页面。
操作建议：您可以创建新的 AccessKey 或使用已有的密钥对。请妥善保存 Secret，一旦离开创建页面将无法再次完整查看。

二、核心映射逻辑：云主机分组与项目

ZStack 的 云主机分组 对应云空间的项目。在实际运维中，您可以根据需要选择以下两种模式：

2.1 模式一：自动创建项目（推荐）

在云空间创建桌面池时，如果选择“自动创建项目”，系统将在 ZStack 底层自动生成对应的分组，无需预先手动准备。

命名方式：自动创建的分组名称为 分组前缀-桌面池ID 。

2.2 模式二：纳管已有分组

若需使用已存在的云主机分组，请确保其符合以下条件：

命名匹配：分组名称必须以设定的 “分组前缀”（如 VDI）开头。
存量同步：您可以预先在这些组内创建云主机，同步后将作为云桌面资源纳管。

注意事项

包括自动创建的和已存在被纳管的分组，都会随桌面池的删除而自动从 ZStack 中删除。

请勿在 ZStack 中手动创建符合 VDI-8位数字 格式的分组，以免发生命名冲突。

请勿在底层 ZStack 平台中手动删除已被桌面池使用的分组。

三、操作流程

进入接入界面：登录云空间系统控制台，访问 “资源 -> 云平台”。
发起添加：点击页面左上角的 “添加” 按钮。
配置 ZStack 属性：输入 API 接入参数。注意此处必须使用 AK/AS 密钥对，并保持分组前缀与规划一致。
- 云平台地址：ZStack 管理节点的 API 访问地址（默认端口通常为 8080）。
- AccessKey ID：从 ZStack 平台获取的访问密钥 ID。
- AccessKey Secret：对应的访问密钥私钥。
- 分组前缀：过滤与纳管的标识（默认值为 VDI）。
- 管理网页地址：请手动输入 ZStack 云平台的管理网页入口地址（在 ZStack 平台中，默认端口通常为 5000）。
  
  注意：由于该地址无法通过 API 接口获取，必须由管理员手动填写。系统在打开云桌面控制台时，需要依赖此地址拼装虚拟机控制台的 URL。若配置错误，将导致无法正常打开桌面控制台。

四、核心运维说明

安全隔离：请务必将管理端和接入网关虚拟机存放在 不带 VDI 前缀 的分组中，以防止被误同步进业务系统。
逻辑一致性：关于“项目 ↔ 云主机分组/虚拟机组/业务组”以及“分组前缀过滤”的设计逻辑，在 SmartX 和 WxStack 云平台中同样适用。

注意：关于云平台添加后的自动同步机制、进度监控及异常排查，请统一参考云平台概述 -> 三、资源同步与管理机制章节。

管理云平台资源

云平台同步成功后，管理员可以通过“管理”入口，对纳管的底层资源（如模板、镜像、规格、共享网络、磁盘类型等）进行业务层面的精细化控制。

一、资源管理入口

在 “资源 -> 云平台” 列表中，点击对应云平台右侧的 “管理” 按钮，即可进入该平台的资源管理界面。

注意：

不同类型的云平台所支持的资源标签页不完全相同，详情请参考云平台概述 -> 1.2 平台模型和能力差异表章节。

同样的资源名称在不同平台中对应的技术概念可能存在差异。

二、通用管理机制

2.1 维护与取消维护

管理界面中的所有资源对象（模板、镜像、规格、网络、磁盘类型、集群、节点、项目、实例、云硬盘等）均支持 “维护” 操作：

业务隔离：将资源设为“维护中”后，该资源将对桌面业务层隐藏，不能新增被使用，已经被使用的不影响。
管理价值：例如底层云平台通常存在大量非桌面业务相关的镜像或规格。通过维护机制，可以缩短桌面池创建时的选择列表，减少管理员误选风险，提高运维效率。

2.2 资源状态：已丢失

若某个资源对象在云空间中有记录，但在后续同步过程中发现其已从底层云平台中物理删除，系统会将其状态标记为 “已丢失”。

手动同步：发现资源处于“已丢失”状态时，建议先前往系统控制台执行一次 手动资源同步，确认是否由于同步延迟或网络波动导致的状态异常。
底层核对：若手动同步后状态仍为“已丢失”，需登录底层云平台管理后台，核对对应的资源是否已被真实删除。
移除记录：若确认底层资源确实已物理删除且不再需要，可从云空间管理页面手动将其 “移除”。
资源补齐：若业务仍需此资源，需在底层补齐资源后重新同步，并做相应的业务层资源替换处理。

2.3 规格与模板的 GPU 管理

目前系统通过规格和模板对底层 GPU 资源进行管理。由于部分底层平台 API 的限制，管理员可以手动编辑规格或模板中的 GPU 资源信息。当前，在规格和模板上增加的 GPU 型号和显存大小信息，仅用于在租户控台和客户端上对桌面的配置信息展示，以及显卡资源超卖控制。

三、平台资源特性说明

3.1 磁盘类型与挂载控制

在“磁盘类型”管理中，除维护开关外，还支持 “挂载类型” 的细粒度控制：

默认配置：默认可同时用于系统盘与数据盘。
过滤逻辑：管理员可手动指定该磁盘类型“仅用于系统盘”或“仅用于数据盘”。在创建云桌面时，系统会根据此配置自动过滤磁盘类型列表。

3.2 镜像/模板与业务层镜像的区别

系统区分了“底层资源”与“业务层资源”两个维度：

云平台内资源：指直接从云平台同步过来的全部原始资源。
资源菜单下的镜像/模板：这是业务层面的封装。系统会过滤掉被维护、已丢失的项。管理员可以在此为镜像设置 OS 类型、发行版、预设用户名及密码等业务扩展属性。例如，在系统控制台的资源菜单中仅展示（面向所有租户开放可用的）系统镜像，在租户控制台会区分展示（仅限本租户可用的）自定义镜像和（面向所有租户开放可用的）系统镜像。

四、集群与项目同步逻辑

为了精准管控资源，系统管理员需理解不同对象间的归属与同步关系。当需要手动更新特定资源（如桌面状态）时，必须前往对应的归属层级执行操作。

云平台侧同步：在云平台列表触发同步后，新发现的项目/集群会自动进入云空间，有变化的对象会自动更新，底层已删除的对象会被标记为“已丢失”。
集群侧同步：进入具体“集群”菜单执行同步时，系统将同步该集群内的节点状态，而不会去同步集群自身。若该云平台尚未纳管节点资源，此操作会立即完成。
项目侧同步：进入具体“项目”菜单执行同步时，系统将同步该项目内的 实例（对应云桌面）、私有网络及云硬盘。
- 运维提示：若需要手动刷新云桌面的实时状态（如开关机状态同步），需找到该桌面所属的 “项目” 执行同步操作。

五、项目差异化配置

在项目维度，系统支持覆盖云平台的通用网络设置，以实现更细粒度的资源隔离与接入控制。

配置内容：在项目的编辑界面中，可以独立配置 “关联接入网关”、“IPv4/IPv6 内网接入网段” 及 “公网接入网段”。
应用逻辑：这种设计允许管理员为同一个云平台下不同的项目（项目 < 云平台）定制不同的网络接入路径。最终在该项目下创建的桌面将优先应用项目级的差异化配置。

注意：建议在完成首次同步后，立即对镜像和规格进行“维护”清理，仅保留云桌面业务所需的资源项，以减少出错概率。

镜像管理

镜像是用来创建云桌面的核心数据资源，它确定了被创建出来的云桌面虚拟机内部操作系统以及基础数据内容。

关于模板类平台：

针对 SmartX 和 WxStack 这种仅具备“模板（Template）”概念、而无独立“镜像（Image）”概念的云平台，这些平台的业务资源层模板管理与本章节所述的镜像管理内容类似。

当添加云平台到云空间管理端并成功同步之后，可以在两个栏目页面中查看到镜像信息：

查看路径一：访问 “资源 -> 镜像 -> VDI 镜像”。此处展示来自所有云平台的所有系统 VDI 镜像列表（不含租户自定义镜像）。
查看路径二：在特定云平台的管理页面中查看。此处仅显示该特定云平台中同步过来的镜像列表。

一、镜像的核心底层属性

在底层云平台中，镜像的物理属性直接决定了云桌面虚拟机能否正常引导与运行。管理员需重点关注以下两点：

引导模式 (Boot Mode)：
- 镜像通常分为 BIOS (Legacy) 或 UEFI 模式。引导模式必须与创建出来的云桌面（虚拟机）匹配，否则无法正常引导。
- 版本配套发布的 VDI 镜像大多采用更为先进的 UEFI 模式。若底层云平台不支持 UEFI，则需使用 Legacy 模式制作的特定镜像。具体请参考镜像文件同目录下的制作说明文档。
- 特殊处理：在如 ZSphere 等不提供界面直接修改镜像引导模式的平台，需先用镜像创建虚拟机，在虚拟机配置中修改其 Boot Mode 后，再将该虚拟机保存为镜像，从而将隐藏的引导属性拷贝至镜像。
虚拟显卡 (Video Card)：
- 镜像的虚拟显卡属性必须设置为 virtio，严禁使用原始的 cirrus，以确保图形性能与兼容性。

二、业务层属性扩展 (OS Type & Distro)

镜像的 OS 类型 (OS Type) 和 操作系统发行版 (OS Distro) 属于云桌面业务对底层资源的扩展字段。

修改位置：这两个属性仅能在以下业务页面修改，无法在云平台内的镜像列表处直接修改：
- 系统控制台 -> 资源 -> 镜像 -> VDI 镜像 -> 系统镜像。
- 租户控制台 -> 资源 -> 镜像 -> VDI 镜像 -> 自定义镜像。
展现作用：这些字段决定了客户端桌面卡片及连接页面所展示的操作系统图标。
优先级逻辑：如果云桌面内的 Agent (Mole) 正常运行并连接到管理端，Mole 会从桌面内部上报真实的系统信息。由于 Mole 上报的信息更加准确，其 优先级最高，会覆盖镜像预设的属性展示。

三、登录凭据管理 (OS 用户/密码)

对镜像进行编辑时，可以设置 “系统用户/系统密码”，对应镜像操作系统中预设的登录凭据。

3.1 修改位置

这两个属性也仅能在以下业务页面修改，无法在云平台内的镜像列表处直接修改：

系统控制台 -> 资源 -> 镜像 -> VDI 镜像 -> 系统镜像。
租户控制台 -> 资源 -> 镜像 -> VDI 镜像 -> 自定义镜像。

3.2 凭据同步与更新

初始化拷贝：在创建云桌面或从底层同步得到云桌面时，系统会将桌面所使用的镜像上的 OS 用户名和密码复制到桌面对象身上。
更新机制：若桌面创建后修改了镜像密码，已存在的桌面 不会自动同步更新。管理员可以通过删除并重建桌面，或点击桌面操作按钮中的 “更新凭据” 来同步更新。

3.3 优先级与生效场景

自动登录：只要桌面不要求使用 AD 账号登录，客户端在连接时会自动提取桌面对象上的 OS 账号/密码进行静默登录，让用户无需输入密码。
优先级排序：云桌面对象自定义凭据 > 镜像预设凭据。
AD 域模式：如果云桌面配置为 AD 账号登录，则桌面对象上保存的 OS 登录凭据将 被忽略。客户端连接时会尝试使用用户在登录客户端时输入的 AD 账号/密码来登录桌面内部系统。

注：对于某些没有“镜像”概念的超融合或云平台，上述所有关于引导模式、虚拟显卡及登录凭据的定义与作用，将同样应用并生效于 “模板” 资源上。

镜像制作

云桌面镜像的初始来源是操作系统厂商提供的安装盘 ISO 文件。由于从原始 ISO 开始安装操作系统及配置环境的过程较为繁琐，且镜像文件体积较大（通常在 10G~30G 以上），制作过程重复，因此现实中我们通常推荐 基于已经制作好的 QCOW2 镜像文件进行二次加工，以提高部署效率。

一、镜像操作系统要求

Windows：
- Windows 7 x64 SP1
- Windows 10 x64（推荐 22H2 版本）
- Windows 11 x64（推荐 23H2 版本；24H2/25H2 等更高版本目前存在部分兼容性问题，待后续版本解决后再行提供）
Linux：
- Ubuntu 22.04 或以上版本
- 统信 1060 或以上版本
- 麒麟 V10 SP1 或以上版本
- Deepin 20.6 或以上版本
- 中科方德 NFSDesktop 5.0 或以上版本

重要提示：

关于支持的操作系统与 CPU 架构详见产品简介 -> 技术架构 -> 代理端 -> 三、支持的操作系统与 CPU 架构章节。我们目前仅预制了部分常用的镜像。如果您需要的镜像在支持列表中，但我们并未预制，请联系厂商技术支持。我们会协助您完成从 ISO 到 QCOW2（用于 KVM 虚拟化）的镜像制作。注意：对于非 QCOW2 格式的镜像制作，我们不做承诺。

二、镜像制作过程建议

如果您在业务上确实需要基于操作系统官方发布的原始 ISO 文件制作虚拟机镜像，由于步骤涉及复杂的底层驱动加载与系统初始化，请务必参考我们版本发布目录配套的 《VDI 镜像制作手册》。该手册提供了详尽的图文步骤，指引您完成从 ISO 到 QCOW2 镜像的转化。

在已有基础镜像的基础上，推荐的二次加工流程如下：

资源入库：将配套的基础镜像文件上传到底层云平台，并在已添加的云平台处进行镜像资源同步。
创建专用桌面：在云空间中创建一个“专用桌面池”，并基于该基础镜像创建一个 专用桌面。

核心提示：必须确保虚拟机成为云空间中的“桌面”对象。如果仅仅是在 IaaS 平台直接创建虚拟机，其内部的代理端组件（Mole）即使指向了管理端，也不会被管理端接纳，导致无法建立联系。
定制化操作：通过 Web 控制台或远程工具进入桌面，执行以下操作：
- 按需对操作系统进行深度优化。
- 更新代理端组件（详见下文）。
- 安装 QGA：必须安装 qemu-guest-agent，系统后续通过云平台执行“重置密码”等指令依赖此组件。
- 安装平台插件：若底层为ZStack等云平台，还需安装其官方提供的类似 vmtools 的增强工具包。
- 安装业务所需的各类应用软件及个性化配置。
保存镜像：
- 方式 A：在云空间租户控制台中，将该云桌面执行“创建镜像”操作。此镜像将作为该租户的 自定义镜像。
- 方式 B：在底层云平台中基于该虚拟机保存为新镜像，随后在云空间系统控制台中云平台处通过“同步镜像”将其导入为 系统镜像（供所有租户使用）。

三、更新云空间代理端组件

代理端组件是实现桌面管理与协议连接的核心。由于提供的基础镜像中通常预装了旧版本的 Mole，在制作新镜像前必须将其更新至与当前管理端匹配的版本。

3.1 准备工作

在操作之前，请确保系统管理员已在系统控制台 -> 版本管理 -> 代理端版本章节中上传了最新的代理端安装包，并将其设置为 默认版本。

3.2 更新流程（推荐通过 Mole 自动升级）

1. 配置指向与连接

在桌面内运行 Mole 配置工具，将 Mole 指向云空间主管理节点的 IP。

Windows 桌面：
- 文件路径：C:\Program Files\Mole\moleConfig.exe
- 操作说明：在 Mole 配置界面的 AS6 地址 栏填写主管理节点的 IP 地址，点击应用配置。
Linux 桌面：
- 文件路径：/opt/apps/mole/run_moleconfig.sh
- 操作说明：请确保使用 sudo 权限运行。配置逻辑及状态检查与 Windows 类似。

2. 状态确认与自动升级

状态检查：应用配置后，Mole 服务会自动重启。待重启完成后，若连接状态显示为 已连接到AS6，则表示通信建立成功。
触发升级：成功建立联系后，Mole 会自动检测管理端的默认版本，并顺序触发 HSRServer、USBRedirect 和 Mole 自身的后台静默升级流程。

3. 检查验证

请耐心等待 1-3 分钟，待升级进程结束后，检查 Mole 配置界面中的版本号。确认 Mole、HSRServer 和 USBRedirect 的版本已成功升级至管理端指定的“默认版本”即可。

四、核心运维说明

环境一致性：请确保提取镜像的专用桌面在制作期间网络通畅，以便 Mole 能够顺利完成组件升级。
版本校对：在保存镜像前，务必确认所有代理端组件已显示为“最新”或“默认版本”，避免新镜像创建的桌面出现版本不匹配。

注意：虽然可以手动在虚拟机里下载并安装最新版的 Mole、HSRServer 和 USBRedirect，但我们更推荐通过 Mole 自动升级机制来完成，以确保组件版本的一致性与稳定性。

模板管理

通过镜像，结合 虚拟机规格、网络、硬盘等必要的属性元素，共同组成云桌面模板。创建云桌面时，可以基于模板快速确定云桌面的各项属性配置，方便快捷地完成云桌面的批量创建。

云桌面模板也被用于 动态桌面池。配合特定的云桌面资源动态创建规则，系统可以自动创建基于预设基础模板的云桌面。

一、模板的分类与来源

根据底层云平台能力的差异，模板的产生逻辑分为以下两类：

1.1 平台原生模板模式

针对 SmartX 和 WxStack 等云平台，其底层只有“模板”概念而无“镜像”概念。

自动同步：在与这些云平台同步模板时，系统会在业务层自动创建对应的模板记录。
核心属性注意事项：与镜像管理一致，在制作或维护此类平台的模板时，必须严格注意 引导模式 (Boot Mode) 是 BIOS 还是 UEFI，以及 虚拟显卡 属性是否已设置为 virtio。
登录凭据优先级（仅限此类平台）：管理员可以在系统/租户控制台的模板编辑页面设置 OS 用户名和密码。
- 生效逻辑：当基于此类模板创建云桌面时，模板中设置的凭据将作为默认值赋予创建出来的桌面对象。
- 优先级：若桌面对象上另行更新了凭据，则以更新后的为准。
模板的二次加工与创建：若需对现有模板进行定制（如安装软件、优化环境、升级代理端组件），建议流程如下：
1. 创建专用桌面：在云空间中基于该基础模板创建一个 专用桌面。
2. 桌面内定制与升级：进入该桌面执行系统优化。关于代理端组件升级，请参考镜像制作 -> 三、更新云空间代理端组件。
3. 提取新模板：
  - 方式 A：在云空间租户控制台中点击桌面的 “创建模板” 操作，生成该租户的 自定义模板。
  - 方式 B：在底层云平台中基于该虚拟机保存为新模板，随后通过云空间系统控制台中的云平台“同步模板”导入为 系统模板。
GPU 属性管理：管理员可以直接在云平台管理界面中编辑模板，添加或修改 GPU 资源 信息。
维护状态控制：管理员可以在云平台内的模板列表处执行 “维护” 操作。

1.2 云空间定义模板模式

针对 OpenStack、ZStack 等具有独立镜像概念的云平台。

逻辑对象：此类模板在底层云平台中没有对应的实体对象，属于云空间层面的逻辑定义。
定义元素：由系统管理员或租户管理员在云空间中基于 规格、镜像、网络、存储策略 等属性组合而成。
使用场景：这类由云空间定义的模板（包含“系统模板”和“自定义模板”），可用于创建专用桌面或动态桌面。

二、模板的操作管理

点击系统控制台或租户控制台中的 “资源 -> 模板 -> VDI 模板”，可以查看和管理云桌面模板。

2.1 核心运维逻辑

跨租户共享：
- 系统模板：由系统管理员创建，对所有租户可见，通常作为标准化的基础底座。
- 自定义模板：由特定租户管理员定义，仅在该租户内部可见。
维护机制差异：
- 原生模板模式：支持在云平台资源列表处直接进行“维护”操作。
- 定义模板模式：由业务层逻辑控制模板的可用性，不涉及底层资源的维护状态切换。

注意：对于 SmartX 和 WxStack 平台，如果底层模板被删除，云空间中对应的模板将被标记为 “已丢失”。此时需检查底层资源状态，若确认已无用，需手动将其移除。

策略组管理

策略组是租户管理员在云桌面管理后端对云桌面实施各种功能禁用、安全管控、数据防护、接入限制等管理策略的重要手段。租户管理员可以将各项管控措施进行分别定制录入并统一汇总，构建成为针对各种场景的策略组，从而让桌面的最终接入访问符合期望的控制目标。

在每个租户上下文中，由租户管理员负责编辑策略组，并将其应用到具体的桌面或桌面池对象上。系统管理员则负责在系统控制台中维护预设的策略组模板，供租户管理员参考复制生成策略组。

一、策略组核心逻辑

关联落点：策略组最终关联到桌面对象上，终端用户使用桌面时会受到关联策略组的控制。
单一关联原则：一个桌面仅能关联一个策略组。
对象限制：仅桌面和动态桌面池支持关联策略组，用户、终端等对象不支持直接关联。
动态池联动：动态桌面池关联策略组后，池内动态创建的桌面会自动关联上相应的策略组。
租户隔离：策略组属于租户内资源，各租户间的策略组配置互不干扰。

二、策略配置分类

策略配置主要分为以下类别：

协议策略：
- 管控本质：此处管控的是 设备重定向策略。
- 配置项：支持配置扬声器/麦克风音质（高、中、低）及摄像头、游戏手柄、打印机的允许或禁止。
- 权限细节：支持剪切板控制（双向允许、双向禁止、仅允许拷贝到桌面、仅允许从桌面拷贝出）以及共享文件夹的读写控制。
外设重定向策略：
- 管控本质：此处专门控制的是 USB 外设端口重定向。
- 配置项：提供全局开关，并可针对扬声器/麦克风、摄像头、打印机、存储设备设置允许或禁止。
- 精细化过滤：支持开启黑名单或白名单模式，支持按照“设备类型”或“厂商产品号 (PID/VID)”进行过滤。
  
  注：关于“设备重定向”与“端口重定向”的区别，请参考产品简介 -> 技术架构 -> 组件构成 -> 5.1 远程桌面协议服务端（数据面）章节的描述。
数据传输策略：
- 截屏控制：支持允许或禁止客户端截屏。
- 动态水印：支持开启水印并自定义内容（如租户名、用户名、IP、时间等），可调整字体大小、颜色、透明度及字体类型。
带宽控制：
- 支持对主屏幕、扩展屏、扬声器、麦克风、摄像头及文件传输通道分别设置最大带宽限制 (Kb/s)。
接入管控类策略：
- 支持设置接入时间段、接入方式（仅限内网/仅限公网）、客户端 IP 地址黑白名单。
- 支持设置桌面是否必须采用域账号登录，以及桌面断连后的关机或释放资源（CPU、内存、显卡）策略。

三、操作指引

3.1 系统管理员操作

路径：访问 “资源 -> 策略组模板”。
操作：负责编辑标准化的策略模板，作为租户管理员创建策略组的参考基准。

3.2 租户管理员操作

策略定制：在租户控制台的 “策略管理 -> 策略组” 中根据业务需求录入策略参数。
绑定应用：
- 桌面池绑定：在创建或编辑动态桌面池时，统一关联策略组。
- 桌面关联：在桌面列表页面，通过 行操作 或 表批量操作 点击 “关联策略组”，在右侧弹出的 抽屉交互页 中选择目标策略组进行关联。

提示：建议结合公司部门职能进行划分和定义策略组。例如对于安全等级要求极高的研发部门，建议在“外设重定向策略”中启用白名单模式，仅允许必要的办公外设接入。

策略组模板

由于策略组的配置项数量多、内容复杂，为了简化租户侧创建策略组的过程，系统提供了策略组模板功能。策略组模板由 系统管理员 统一维护，旨在为租户管理员提供一套可参考、可复用的策略蓝图。

在具体的租户上下文中创建策略组时，租户管理员可以从策略组模板中直接 复制（Copy） 一份，根据实际业务需求稍作修改即可完成配置。这种“抄作业”式的机制极大地提升了策略部署的效率。

一、模板列表与管理

在系统控制台中访问 “资源 -> 策略组模板”，可以查看当前系统中所有的策略模板。在新部署的环境中，系统已内置了一个“系统默认策略组”模板：

系统管理员可以执行以下操作：

编辑模板：调整各项策略的默认值，使其更符合通用的安全基准。
创建新模板：针对不同的行业或典型场景（如：高安全研发、普通行政办公）创建多个差异化的模板，省去租户管理员重复配置的操作。

二、核心差异说明

虽然策略组模板包含了大部分策略配置项，但在设计上存在以下特殊处理：

缺失项：在策略组模板中，不支持 配置客户端 IP 地址的黑白名单。
原因逻辑：由于各租户所处的网络环境、子网划分及客户端 IP 段分布各不相同，系统管理员无法在系统层级预判租户的具体地址分布。因此，这一极具个性化的配置项被排除在模板之外，需由租户管理员在创建实际策略组时手动定义。

运维建议：建议系统管理员至少维护两套模板——一套“全开放”用于快速业务测试，一套“标准管控”用于正式办公，从而降低租户管理员的配置难度。

系统策略

在 “资源 -> 系统策略” 中显示的系统策略，是云空间系统中预设的外部设备管控列表。由于技术或安全原因，某些云桌面客户端本地外设需要被禁止透传到云桌面内部。

一、系统策略核心逻辑

管控本质：系统策略中控制的全部是 USB 外设端口重定向 的强制策略，包括 强制重定向 或 强制禁止重定向。
存在必要性：
- 禁止重定向：某些设备重定向到云桌面后会导致操作系统出现不兼容或稳定性问题，因此必须在底层强制禁止。
- 强制重定向：某些设备如果不执行重定向，将导致桌面业务逻辑无法正常运行。
管理权限：
- 系统管理员：拥有增、删、改的完整操作权限。
- 租户管理员：仅能被动查看，无法修改任何条目。
应用范围：默认的系统策略将被应用到 所有桌面会话。

二、运维建议与注意事项

保持默认配置：管理端安装完成后，系统已预置了针对常见兼容性问题的配置。如无必要，请系统管理员不要擅自调整。
调整限制：仅在遇到陌生设备透传导致系统失控、发生未知异常，或在 厂商技术支持 的明确指引下，方可进行新增、删除或编辑等操作。
优先级说明：作为底层预设策略，其目的是为了确保系统整体的稳定性。

注意：如果遇到特定设备在云桌面内使用异常，请首先通过“策略组”进行排查，除非确认是全局性的驱动或兼容性问题，否则不建议改动系统策略。

系统参数

产品配置

系统管理员在系统控制台中访问 “系统 -> 系统参数 -> 产品配置” 页面，可以对产品的全局相关参数进行配置。其中最典型的配置项为 “云终端高级设置密码”。

一、云终端高级设置密码

此密码主要用于终端侧的安全准入与调试控制，具体应用场景如下：

运行模式切换：当需要在瘦终端上修改运行模式时，必须输入此密码进行验证。云终端提供以下两种运行模式：
- 常规模式：不限制本地系统功能，可以在本地系统和客户端之间自由切换。
- 服务亭模式：客户端以全屏模式运行，本地系统启动后自动运行客户端并屏蔽本地系统所有功能。
进入系统控制台：在密码验证正确后，除了切换运行模式，还可以打开客户端本地的控制台。这一功能对于处于“服务亭模式”下的瘦终端系统进行现场调试非常有用。

二、核心生效逻辑

该配置在系统管理员与租户管理员之间遵循以下逻辑：

系统默认值：系统管理员在系统控制台配置的是所有租户的默认值。
租户继承与冲突处理：
- 自动同步：如果租户管理员从未手动修改过该项设置，则系统管理员修改后，该租户的密码会随之 自动更新。
- 租户优先：一旦租户管理员在租户控制台中修改过此密码，则始终以该租户内的设置为准，系统管理员的全局设置不再影响该租户。
客户端生效机制：在客户端上，当某租户的终端用户（或个人版的租户管理员）登录后，该密码会自动跟随相应管理端系统中该租户设置的密码生效。

资源配置

系统管理员在系统控制台中访问 “系统 -> 系统参数 -> 资源配置” 页面，可以对资源相关参数进行配置。主要包含回收站保留时长、多站点区域层级及 SDWAN 接入网关的全局定义。

一、回收站配置

用于设置云桌面被删除后在回收站中的保留时长。系统会根据此配置自动清理到期资源。

配置范围：支持设置 1-15 天 的保留时长。
生效逻辑：
- 系统默认值：系统管理员配置的是所有租户的默认值。
- 租户继承与冲突处理：若租户管理员从未手动修改过该设置，则系统管理员修改后会自动更新；若租户管理员已在租户控制台中修改过，则以租户内的设置为准，不再受全局配置影响。

二、区域配置

区域主要用于多个地理区域的多站点统一纳管。启用区域功能后，管理端的操作逻辑将发生变化。

层级结构：支持配置 0~3 层 区域，并可自定义每层区域的名称。
管理逻辑：
- 全局定义：区域配置为系统全局属性，不支持在租户中定义。
- 资源划分：配置 1~3 层区域后，系统控制台的 “资源 -> 区域” 菜单中将出现对应的级联菜单项。管理员需在此处新增具体的区域定义，并将云平台划分到相应区域中。
- 租户控制台管理逻辑：启用区域功能后，租户管理员在管理桌面资源时，需先在界面切换至相应区域，方可对该区域内的资源进行操作。
- 资源分布提醒：区域名称后缀有红点标识，表示当前租户在该区域内已部署云桌面，便于快速定位。
运维红线：
- 谨慎配置：区域配置属于系统核心规划。一套云空间配置后（层级从 0 改为非 0 后），将不允许再做任何调整。请按照系统的实际规划谨慎配置。

三、接入网关（SDWAN）配置

针对跨地域或特定网络环境下的桌面接入，管理员需配置 SDWAN 接入网关参数。

管控逻辑：SDWAN 网关属于 系统全局属性，不支持租户内的自定义定义。
操作指引：关于 SDWAN 网关的详细参数定义与对接流程，请参考安装部署 -> 部署SDWAN网关 -> 管理端配置 -> 2.1 全局参数配置章节。

注意：区域和接入网关配置直接影响底层资源拓扑和数据流向，请务必在系统部署初期完成规划。

用户配置

系统管理员通过访问 “系统 -> 系统参数 -> 用户配置”，可以针对不同命名空间的用户（系统管理员、租户管理员、终端用户）定制接入时段、密码强度及鉴权安全等全局策略。

一、角色配置维度

系统根据权限等级与应用场景，将配置对象分为不同的命名空间，并实施差异化的管理逻辑：

系统/租户管理员配置
- 管控逻辑：仅支持在系统控制台中由系统管理员统一配置，租户控制台不开放此类管理入口。
- 配置范围：涵盖允许接入时段、密码有效期、强密码开关、鉴权失败保护等核心安全项。
终端用户配置
- 管理逻辑：遵循“全局预设、租户可选自定义”的灵活机制。租户管理员在租户控制台中亦可查看并设置相关参数。
- 生效优先级：
  1. 租户优先：若租户管理员在租户控制台中进行了独立配置，则以租户设置优先。
  2. 继承全局：若租户未进行配置，则自动继承系统管理员设定的全局参数。

二、核心管控逻辑

2.1 配置加锁机制

系统管理员可针对终端用户的配置项执行 “加锁” 操作，以实现行政强制标准化：

未锁定（默认）：租户管理员拥有配置自主权，可根据业务需求自行调整。
锁定状态：一旦某项配置被系统管理员加锁，该配置在租户控制台中将变为 只读状态。此操作将强制所有租户遵循全局统一标准，租户管理员无法越权修改。

2.2 鉴权安全保护

为了保障账号安全，防止暴力破解，系统提供了精细的鉴权失败控制机制：

最大鉴权失败次数：配置范围限制为 1 - 30 次。
鉴权失败等待时间：配置范围限制为 10 - 3600 秒。
罚时与复位逻辑：
- 罚时机制：当用户连续登录失败达到配置的上限次数后，系统将触发罚时。用户必须等待设定时间结束后，方可再次尝试登录。
- 次数清零：一旦用户密码输入正确，或由管理员在后台执行了“重置密码”操作，失败计数器将立即清零。

2.3 密码安全与生命周期管理

强制修改默认密码：系统默认开启此项。在用户被创建后，首次登录时系统会强制弹出对话框要求其修改初始密码，确保账号接入安全。
密码有效期：配置范围限制为 0 - 180 天。通过定期更换密码确保账号长期安全，其中 0 代表密码永不过期。
密码哈希算法：默认采用 bcrypt10 算法进行高强度加密存储。
- 安全性权衡：选择更高强度的算法（如 bcrypt14）能显著提升抗暴力破解的安全性。
- 性能影响：需注意，算法强度的提升会增加服务器 CPU 的计算开销。选择过高的强度（如 bcrypt14）会导致用户登录等鉴权操作的响应变慢，建议根据硬件性能与安全等级平衡配置。

注意：针对系统管理员与租户管理员等高权限角色，建议严格开启“强密码”与“定期强制改密”选项，以符合企业级信息安全审计要求。

主题定制

系统管理员通过访问 “系统 -> 主题定制”，可对管理界面的外观视觉进行个性化配置，包括系统控制台以及租户控制台的显示风格。

一、定制维度与权限逻辑

系统支持对 系统控制台 与 租户控制台 分别进行主题定义：

系统主题：
- 管控路径：访问 “系统 -> 主题定制 -> 系统主题”。
- 管控逻辑：由系统管理员定义，直接作用于系统管理员的操作界面。
租户主题：
- 管控路径：访问 “系统 -> 主题定制 -> 租户主题”。
- 继承机制：
  1. 全局预设：系统管理员在此处设定的参数将作为所有租户的默认视觉方案。
  2. 租户个性化：若租户管理员在自己的租户控制台中进行了主题定制，则以租户侧的设置为准。若租户未做任何修改，则自动继承系统管理员设定的默认方案。

二、核心配置项说明

根据界面功能，主题定制涵盖了从浏览器标题到视觉元素的全面覆盖：

配置项	说明	适用范围
浏览器标题	修改浏览器标签页上显示的文本内容内容	系统/租户主题
主题颜色	设置界面主色调（按钮、高亮状态、侧边栏等）	系统/租户主题
字体颜色	设置界面文字的默认显示颜色	系统/租户主题
浏览器 Logo	修改浏览器标签页左侧的小图标（Favicon）	系统/租户主题
登录页背景图片	自定义用户登录界面的全屏背景图	系统/租户主题
登录页表单 Logo	修改登录框上方展示的产品或企业 Logo	系统/租户主题
页面顶部 Logo	修改登录后进入系统左上角显示的品牌图标	系统/租户主题

三、注意事项与运维建议

图片规范：在进行主题定制（如上传 Logo 或背景图）时，请务必严格按照界面提示的 尺寸大小 和 文件格式 要求上传图片，以确保在不同分辨率下不会出现拉伸或模糊。
刷新生效：修改完成后，请刷新浏览器页面。部分设置可能需要 注销并重新登录 方可完整查看修改结果。
缓存处理：若操作后界面未及时发生变化，通常是由于浏览器缓存导致。请尝试 清空浏览器缓存 或使用无痕模式进行查看。
效果预览：建议在正式应用前点击界面上的 “预览” 按钮（如图片所示），确认色彩搭配符合视觉要求。

租户控制台

概述

租户管理员或代运维管理员可以通过浏览器访问租户控制台，进行租户级别的资源调度与运维管理操作。

一、租户概览与职能

进入租户控制台后，管理员可在概览页面查阅该租户内部的各项产品、资源及运行状态的实时统计数据。

1.1 核心运维职能

租户管理员主要负责以下业务模块的日常维护与管理：

用户管理：维护所属租户的终端用户账号信息。
策略组管理：定义外设重定向、带宽控制、接入管控等桌面策略。
桌面池管理：负责云桌面资源的分配与生命周期管理。
终端管理：管理接入该租户的瘦终端及客户端设备。
会话管理：监控并维护用户的桌面连接会话状态和记录。

1.2 配置与定制

系统参数：配置本租户特有的回收站保留时长、用户安全策略等参数。
主题定制：定制本租户的租户控制台的视觉主题和 Logo。
镜像资源：关于租户自定义的镜像和模板操作，请参考系统控制台 -> 镜像管理章节内容。

二、登录入口与权限逻辑

2.1 访问路径

租户管理员：请通过 https://主管理节点IP/tenant 或 https://主管理节点IP:44331 的入口登录。
代运维管理员：
- 请从 https://主管理节点IP/admin 登录系统控制台。
- 系统预设了 default 租户，xspace 系统管理员默认作为其代运维管理员。
- 可通过页面右上角的上下文切换菜单，直接进入代运维租户的管理界面。
- 特别注意：代运维管理员从租户控制台注销后，若需重新登录，请注意手动调整 URL 切换回系统控制台（/admin）入口。

2.2 登录验证方式

租户管理员支持多种灵活的身份验证模式：

常规登录：支持 用户名+密码 、 邮箱+密码 或 手机号+密码 登录。
手机联动：支持 手机号+短信验证码 登录。
密码重置：在开启短信功能后，租户管理员可通过短信验证码重置密码。
前提条件：
1. 租户管理员必须已登记过手机号。
2. 系统已参考安装部署 -> 部署管理端 -> 高级配置 -> 一、短信认证设置章节提前进行了发送短信相关配置。
手机号范围：目前仅支持中国大陆境内 +86 开头的手机号，填写手机号时无需带 +86 前缀。

运维建议：代运维管理员在操作前请务必确认当前所处的租户上下文，以防误删或误改其他租户的资源。

用户管理

在云空间管理端中，每个租户管理员都可以在其所属的租户上下文中创建并维护独立的用户命名空间。这些用户专指可以分配并使用云桌面的 “终端用户”，不包含租户管理员或代运维管理员等管理角色。

一、用户身份与命名空间

身份唯一性：不同租户名下的用户命名空间各自独立。用户身份的完整标识是“租户名 + 用户名”，因此不同租户间即便存在重名的用户也互不干扰。
唯一键约束：在当前租户内部，创建的 用户名、邮箱、手机号码 均必须是唯一的。
用户类型：
- 本地用户：用户信息及其 密码哈希值 完整保存在云空间的数据库中。
- AD 域用户：通过集成认证模式导入。系统仅保存其用户名等基础信息，不保存密码，认证时通过调用 AD 域控的接口来完成。

二、组织架构与用户组管理

系统提供“组织架构”与“用户组”两种维度，帮助管理员灵活组织用户：

2.1 树形组织架构

本地用户支持按组织进行树形结构化管理，以便与现实中的政企人事体系完美对应：

灵活层级：支持创建多级组织树，适用于复杂的政企人事体系。
性能建议：虽然支持多层级，但 不建议将组织树层级设置得过深，以免降低系统的访问性能。

2.2 用户组功能

除正式组织架构外，系统还支持 用户组 功能，适用于 临时项目组、跨部门协作等业务场景。

成员管理：管理员可以向用户组内灵活添加或移除成员，支持同时包含 本地用户 与 AD 域用户。
资源联动：用户组可与 动态桌面池 进行关联管理。凡是处于该用户组内的用户，均自动获得访问对应动态桌面池的权限。

三、用户操作与安全

租户管理员或代运维管理员可以对已创建的用户执行编辑、删除、密码重置、启用/禁用及调整组织等操作。

账户禁用：当用户账号被禁用时，该用户将无法从任何终端登录和使用云桌面资源。
密码安全存储：
- 本地用户密码采用哈希方式加密保存，管理员无法逆向获取用户明文密码。
- 哈希算法支持配置为 bcrypt10 或 bcrypt14（详见系统参数章节），选择更高强度（如 bcrypt14）会提升安全性，但也会导致登录鉴权操作响应变慢。

四、批量导入用户

对于需要创建大批量本地用户的场景，建议使用 用户导入 功能：

操作流程：
1. 在用户导入界面点击下载 导入模板（Excel）。
2. 使用 Excel 软件根据 “导入须知” 的提示正确填写各字段。
3. 在用户导入界面上传用户表格文件完成批量导入。
导入限制：单次批量操作最多允许导入 200 条 本地用户记录。

注意：批量导入前请务必按照导入模板的规范填写，特别是用户名和手机号的唯一性校验，确保符合系统要求。

AD 域集成认证

基于 Windows Server 环境的 AD（Active Directory）活动目录集成认证，是企业级应用中最常见的统一身份管理机制。云空间全面支持 AD 域集成认证，其应用场景主要分为：客户端认证登录、云桌面加入 AD 域 以及 连接桌面时的 SSO 自动登录。

一、 AD 域集成认证三阶段逻辑

AD 域的集成是一个多阶段体系，虽然各阶段在功能实现上是独立的，但为了降低运维复杂度，建议三阶段统一使用同一个 AD 域控。

阶段	描述	实现前提
1. 客户端登录认证	终端用户在客户端使用 AD 账号登录云空间	管理端对接 AD 域控并导入用户账号
2. 云桌面加入 AD 域	云桌面操作系统（仅限 Windows）作为成员机加入域	管理端对接 AD 域控，桌面域 AD 域控网络可达
3. 桌面操作系统登录	用户连接桌面时，使用 AD 账号登录和启动 Windows 会话	桌面已加域，且配置了桌面使用域账号登录

二、客户端对接 AD 域控配置

若要启用 AD 账号登录云空间客户端，租户管理员或代运维管理员必须先在租户上下文中配置正确的认证参数。

2.1 AD 域控制器配置要点

访问 “用户管理 -> AD 域设置” 进行参数设定：

服务器地址（协议选择）：
- 支持 ldap:// 或 ldaps:// 协议。
- 强烈推荐使用 ldaps://（默认端口 636）：只有在加密协议下，才允许用户通过客户端执行重置/修改密码的操作（如密码过期或管理员要求改密）。
域管理员账号：
- 建议为云空间创建专门的、密码永不过期的 AD 管理员账号，避免与日常维护账号混用。
- 支持 DN 格式、UPN 格式 或 SAM 格式。
运维维护：在此登记的管理员账号需保证其长期可用。如果 AD 侧密码有调整，请务必及时回到此处进行编辑、更新并重新检测，否则将导致该租户下所有域用户无法通过客户端修改密码。

2.2 用户导入与检测

连通性检测：配置完成后，点击 “检测” 按钮。系统将测试管理端访问 AD 域控的网络连通性，以及域名、管理员账号密码的正确性。
账号导入：对接成功后，管理员必须点击 “导入 AD 用户”，手动将需要使用云桌面的特定账号同步到云空间中。

三、客户端 AD 账号登录

当租户完成了账号导入后，用户在客户端登录界面需勾选 “域用户” 选项：

注意：使用租户内创建的“本地用户”登录时，请勿勾选“域用户”。

四、云桌面登录与 SSO 自动化

4.1 云桌面加入 AD 域

目前仅 Windows 桌面支持加域：

手动加域：由管理员在桌面系统内手动操作。
自动加域：在创建桌面、创建模板时配置，详见桌面池管理 -> 自动加域章节。

4.2 实现桌面自动登录（SSO）

若期望在连接桌面时无需二次输入密码，可采用以下方案：

方案 A：存储登录凭据（适用于本地/域用户）

管理员可以预先为桌面设置登录凭据。访问 “桌面池 -> 桌面 -> 更多 -> 更新凭据”，填写正确的域名、域用户名及密码。

方案 B：凭据传递（仅限 AD 账号登录）

当用户使用 AD 账号登录客户端时，可强制桌面同步使用该凭据：

租户级选项：在租户“系统参数”中启用 “桌面使用域账号登录”。

策略级选项：系统会根据 策略组 中的“桌面使用域登录”配置进行最终运算：
- 未配置：顺从租户系统参数中的“桌面使用域账号登录”配置。
- 是：强制使用客户端登录时的 AD 凭据连接桌面。此时，桌面已配置的登录凭证（方案A）将被忽略。

重要警示：

若通过系统参数或策略组强制开启了“桌面使用域账号登录”，本地用户登录客户端后无法再连接该桌面。

只有从 AD 域控导入到云空间内的AD账号才能在客户端登录。

策略组管理

在开始具体操作前，建议先阅读系统控制台 -> 策略组管理章节。该章节详细介绍了由系统管理员维护的默认策略组模板，这些模板是租户进行个性化配置的基础。

租户管理员可以在租户控制台中浏览这些系统默认模板，但不能直接编辑模板内容。租户管理员需要先从策略组模板复制一份策略组，然后在此基础上进行针对特定场景（如办公、研发、外包等）的精细化策略编辑与调整。

一、数据外泄防范策略 (DLP)

若要严格管控云桌面数据外泄，必须针对所有数据流转通道实施闭环禁止。建议按以下矩阵逐项配置，以确保数据的安全性：

维度	关键配置项	严控建议设置
协议重定向	打印机	禁止
协议重定向	剪切板重定向	双向禁止（或仅允许从终端拷入桌面）
协议重定向	共享文件夹	关闭（或只读）
外设重定向	全局开关	关闭（或关闭打印机和存储设备）
外设重定向	打印机	关闭
外设重定向	存储设备	关闭
数据传输策略	截屏	禁止
数据传输策略	屏幕水印	开启

二、客户端交互与重定向逻辑

部分策略会直接在客户端界面展示，使用户能清晰获知当前的权限状态，避免因不可用而产生困惑。

2.1 桌面工具栏与外设状态

在已连接桌面的 顶部浮动工具栏 中，用户可通过 “设备管理” 界面查看外设状态：

策略提示：如果某个外部设备因策略控制被禁止执行“设备重定向”或“端口重定向”，该界面会明确给出提示。
透明化管理：通过这种即时反馈，用户能一目了然地获知外设是被管理员设置的策略所限制，从而避免因无法连接而产生疑惑。

2.2 剪切板与水印

交互感知：剪切板策略会在客户端展示，方便终端用户获知当前的复制粘贴权限。
安全溯源：水印开启后将直接覆盖在桌面图像上，用于防止非法摄屏或拍照。

2.3 共享文件夹映射

客户端支持：终端用户（不含瘦终端用户）可自行添加客户端本地目录。
读写权限：若策略设为“只读”，用户只能将本地数据读取到桌面，无法从桌面反向写入数据，确保数据安全。

三、瘦终端 USB 存储逻辑

在瘦终端环境下，U 盘重定向表现形式根据 U 盘的格式化状态而异：

USB 数据目录（共享文件夹方式）：
- 触发条件：U 盘已格式化为本地 Linux 可识别的文件系统并自动挂载。
- 优势：在桌面内表现为网络共享文件夹，读写性能更优，建议优先使用。
原始 USB 设备（端口重定向方式）：
- 触发条件：U 盘未格式化或格式化的文件系统 Linux 不识别，本地无法识别挂载。
- 表现：仅能通过端口重定向方式映射到桌面使用。

四、接入管控策略

系统通过客户端访问管理端时所采用的地址，自动判定用户的接入环境：

内网接入：客户端使用主管理节点的内网地址接入。
公网接入：客户端使用主管理节点的公网映射地址接入，即使客户端实际上处于内部网络。
准入限制：若当前不满足 接入时段、接入位置 或 客户端 IP 段 要求，系统将拒绝返回桌面连接信息，且客户端会被拒绝连接。

五、算力资源调度

关机后释放算力 策略主要用于管理不同底层云平台的资源占用：

OpenStack 平台：勾选后，桌面关机时会通过归档搁置释放 CPU、内存及 GPU 资源，避免资源被闲置占用。
ZStack 平台：底层已原生支持自动释放能力，此处 无需重复配置。
其他平台：视云平台自身能力而定。

注意：修改策略组后，通常需要用户 从客户端退出登录后重新连接桌面会话 才能完全生效。

桌面池管理

云空间租户中的桌面池是云桌面对象的管理集合。不同类型的桌面池在云桌面对象的初始来源、创建规则、生命周期等属性上互不相同，从而满足不同场景下对云桌面资源的日常管理规则细节要求。

一、桌面池与底层资源的关联逻辑

在传统架构中，除托管桌面池外，其他类型的桌面池与系统控制台中的“项目”具有一一对应的关系。

1.1 资源获取方式的演进

传统模式：云端“项目”资源通常来源于超融合或云平台中预先创建的虚拟机“项目”或虚拟机“分组”。
自动化模式：在 OpenStack 或 ZStack 等云平台上，系统已支持在创建专用或动态桌面池时自动创建项目和分组，管理员无需再手动预准备底层资源。

二、桌面池类型说明

云空间支持以下三种类型的桌面池，各桌面池的定义与特性如下：

2.1 专用桌面池

固定分配：桌面固定分配给特定的用户。
环境持久化：桌面操作系统不还原，保留用户的使用习惯与本地配置。
灵活规格：同一个专用桌面池内的各桌面硬件规格和配置可以各不相同。

2.2 动态桌面池

按需浮动：桌面按需动态分配给用户。
销毁还原：桌面被使用后，系统会通过销毁后重建的方式进行还原，确保下一个用户使用的是纯净环境。
高度一致性：池内所有桌面均根据所关联的模板统一创建，系统环境完全一致。

2.3 托管桌面池

存量纳管：主要用于存放各种未通过 API 纳管的虚拟机实例或物理机实例。
固定分配：与专用桌面池类似，资源固定分配给特定用户使用。
环境持久化：系统不还原，数据与配置持久保留。
管理限制：由于缺乏底层 API 通信，系统无法从外部进行桌面管理操作（如开关机、重启等），所有电源管理操作需在实例内部或通过原始管理端完成。

运维提示：选择桌面池类型时，请优先考虑用户对数据保存的需求。

专用桌面池管理

专用桌面池（Static Desktop Pool）是为那些需要长期固定使用持久化桌面的用户提供的解决方案。这种类型的用户拥有一个或多个专门的、固定的桌面实例，用户在每次登录时都会分配到相同的桌面环境。用户可以在其中进行办公、设计、研发等操作，个人数据可以持久化保留在桌面中。

一、创建专用桌面池

进入租户控制台的 “产品 -> VDI桌面 -> 专用桌面池”，点击 “创建” 按钮。

1.1 核心配置参数说明

基础信息：需选择云平台类型、具体的云平台实例以及目标集群。后续创建的桌面虚拟机实例将运行在所选集群内。
项目资源关联：
- 选择现有项目：选择空闲的项目资源。如果项目中已有现成的虚拟机资源，桌面池会自动进行同步并将其转化为云桌面。同步过程视实例数量而定，通常在 1 分钟左右完成。
- 自动创建项目：仅部分云平台（如 OpenStack、ZStack）支持此功能。
  - OpenStack 平台：自动创建的项目名称规则为 桌面池名称-8位随机字符。
  - ZStack 平台：自动创建的分组名称规则为 分组前缀-桌面池ID。
- 重要提示：无论选择现有项目还是自动创建，被桌面池使用的项目或分组请勿从云平台底层轻易删除，否则会导致同步异常。
网络限定：可以选择一个或多个该项目能访问的网络。此处配置的作用是进一步限定后续在池内创建桌面时可选的网络范围。

二、创建专用桌面

点击专用桌面池列表右侧的 “管理桌面” 按钮，进入该桌面池的桌面管理界面。

2.1 配置信息

点击页面中的 “创建” 按钮，通过向导式交互完成配置。系统支持以下三种创建逻辑：

从镜像创建：仅在云平台支持镜像时可用。支持选择系统镜像和自定义镜像，管理员需手动配置规格、系统盘（大小不低于镜像大小）及数据盘等参数。
从模板创建：需系统提前预设模板。桌面配置完全继承模板，创建过程中不允许修改任何模板中已有的参数。
参考模板创建：系统将参考模板参数作为初始预填项，但允许租户管理员在创建过程中根据实际需求进一步调整参数。

注意：不可用的镜像或模板（如处于维护中、归属其他租户、已丢失等状态）会被系统自动过滤。

安全凭据：所选镜像或模板的 OS 用户和密码需非空且正确，避免该桌面因初始化密码错误而导致用户无法无法从客户端连接。

2.2 基本信息

批量创建：支持通过填写“桌面数量”进行一次性批量创建。
命名规则：提供四种灵活规则：
1. 固定前缀 + 3位数字：如 PC-001。
2. 前缀 + 5位随机字母 + 3位数字：增加重名防御。
3. 租户名称 + 3位数字：按租户归属命名。
4. 固定名称：适用于单台精细命名。

2.3 高级配置

网络与策略：选择桌面的网络、关联策略组。
- 特别提醒：若选择多个网络，需确认所在的云平台或项目是否配置了“内网接入网段”或“公网接入网段”，否则请慎用多网络配置。
是否自动加域：设置新建的桌面是否自动加域，详见自动加域章节。

三、维护专用桌面

对于已有的云桌面，点击表格中的“更多”按钮可执行以下精细化维护操作（操作按钮较多，需滚动鼠标下拉更多）：

3.1 账号与接入管控

重置密码：通过虚拟化层（QGA 接口）直接重置 OS 密码。
- 前提：虚拟机内需预装 qemu-guest-agent。
- 同步选项：可选择是否同时“更新桌面登录凭据”。勾选则同步更新管理端数据库中的桌面登录凭据；若不勾选，则仅修改虚拟机内部 OS 密码。

更新凭据：手动修改管理端记录的桌面 OS 登录用户名（支持域名格式）和密码。这在桌面未开启“域账号登录”时，是实现桌面 SSO 免密登录的核心依据。

绑定终端：限制仅特定的一台或多台终端设备可以连接该桌面。若开启绑定，即使分配的用户在非指定终端上认证成功，系统也会拒绝其连接请求，实现“人-机-端”的强安全管控。

3.2 运维操作

控制台 (VNC)：通过浏览器访问虚拟机画面。主要用于初始化部署、HSR 代理端维护等场景。
- 局限性：目前仅 OpenStack、ZStack 支持。挂载 vGPU 或直通 GPU 时控制台会黑屏，是底层虚拟化技术的限制，属于正常现象。
- 画面恢复：若 Windows 桌面曾被 HSR 协议连接过，VNC 控制台会保持黑屏；需重启桌面且尚未从客户端连接方可恢复 VNC 画面。
更改协议端口：默认使用 15701、15702、5703。仅在桌面内部注册表等端口配置被特殊修改后，才需在此同步更改。

提取日志：当桌面内 Mole 代理正常在线时，可一键提取桌面系统日志。完成后可在桌面详情“基本信息”页底部下载所提取的日志文件。

3.3 存储与规格变更

变更桌面：仅在关机状态下支持（目前仅限 OpenStack），支持变更规格、镜像及磁盘扩容。
- 扩容限制：本地存储桌面支持系统盘及已有数据盘扩容，但不支持在原无数据盘的情况下直接新增数据盘。
- 后续操作：在租户控制台完成磁盘扩容后，仅增加了物理磁盘空间。请务必参考云桌面磁盘扩容章节，进入桌面内部完成分区与文件系统的逻辑扩展。

挂载/卸载云硬盘：云桌面支持“系统盘 + 0或1块数据盘”结构，不支持多块数据盘。若桌面当前无数据盘，可挂载已有云硬盘（仅限 OpenStack）。

创建镜像/模板：基于当前桌面的系统盘重新制作为自定义镜像或模板，用于后续的快速克隆。该按钮根据云平台能力差异化显示为创建镜像或创建模板。

四、桌面详情与任务排查

点击桌面列表中的桌面名称进入详情页面，这是管理员进行日常故障诊断的核心入口。

4.1 代理端组件监控 (Agent Status)

管理员需重点确认以下三个组件的运行状态：

Mole：核心管理代理。若离线，将无法执行“提取日志”、且其他组件状态将变为“未知”。
HSRServer：协议连接代理。若异常，用户将无法通过云空间客户端连接桌面。
HSRUsbRedirect：外设重定向代理。若异常，USB 外设端口重定向服务将失效。

4.2 任务详情与故障排查

任务追踪：在“桌面任务”页可查看包含创建、开机、重置密码等所有操作的时间、任务名、结果及底层详情。
故障反馈：若任务失败，悬停在“详细信息”上可查看完整错误文本。管理员应通过 复制按钮 获取文本，交给 AI 分析或反馈给厂商技术人员。

五、分配与删除规则

5.1 批量分配逻辑

系统通过“取合集”的方式处理选中的用户、用户组和组织，并在池内为每个当前无桌面的用户自动分配一台状态正常的桌面（确保每人一台）。若需为单一用户分配多台桌面，请在桌面列表使用单台桌面的“分配用户”操作。

用户类型识别：在选择用户的下拉列表中，可以通过用户名末尾的图标（Icon）快速区分用户来源。
- AD 用户：图标右下角带有两根短横线标识。
- 本地用户：仅显示常规用户标识，无额外横线。

5.2 删除规则

自动回收站：桌面被执行删除操作后，会首先进入“回收站”存放，支持误删恢复。
池删除前提：若要删除整个专用桌面池，必须先彻底删除池内所有桌面（包括处于回收站中的桌面），确保资源完全清理完毕。

动态桌面池管理

动态桌面池（又称浮动桌面池）是为那些工作任务具有一次性、非持久化特征的用户提供的解决方案。这类用户通常出现在窗口服务、呼叫中心、课程学习等场景，通常使用桌面内的单一软件进行工作。

动态桌面的核心逻辑是“预先准备，即用即领，用完即销毁”。这不仅能有效防止因系统长期运行产生的各种故障，更能彻底抹除用户的使用痕迹，防止个人数据及个人隐私泄露。

一、创建动态桌面池

进入租户上下文的 “产品 -> VDI桌面 -> 动态桌面池”，点击 “创建” 按钮。

1.1 核心配置参数说明

基础资源关联：需选择云平台类型、具体的云平台实例以及目标集群。后续创建的桌面虚拟机实例将运行在所选集群内。
项目资源关联：
- 选择现有项目：选择空闲的项目资源。建议使用空闲的项目来创建动态桌面池。
- 自动创建项目：仅部分云平台（如 OpenStack、ZStack）支持此功能。
  - OpenStack 平台：自动创建的项目名称规则为 桌面池名称-8位随机字符。
  - ZStack 平台：自动创建的分组名称规则为 分组前缀-桌面池ID。
- 重要提示：无论选择哪种方式，被桌面池使用的项目或分组请勿从云平台底层轻易删除，否则会导致同步异常。
网络设置：网络配置是对模板的补充。在此处选定的网络，后续所有动态生成桌面均会连接这个网络。
关联模板：这是动态桌面池最核心的概念。模板决定了池内所有桌面的统一样式，包括使用的镜像、规格等核心属性。
生命周期参数：
- 桌面最大数量：定义了该桌面池的容量上限，避免对底层资源的消耗不可控。
- 预创建桌面数：指在没有用户连接时，系统提前准备好的空闲桌面数量，以实现快速交付。
- 断开保留时长：指用户断开连接后，系统保留该桌面而不触发销毁回收的缓冲时长。

二、池桌面的预准备逻辑

为了实现动态桌面的快速领用，系统引入了自动补货机制：

数量限制：预创建数量必须大于等于1，且不能大于池的桌面总数上限。
动态补货：当空闲桌面被用户领用后，空闲待领用的桌面数量减少。系统内部定时器会定期检查，并自动触发新建流程，使空闲桌面数量重新达到“预创建”的设定值。

三、用户分配与领用逻辑

3.1 用户分配

点击动态桌面池操作列的 “更多 -> 分配” 按钮。

用户集合：支持同时分配给多个用户、用户组和组织（包括子组织）。系统会对这些选择进行去重汇总，生成最终的用户去重集合。
领用规则：处于该集合内的用户，均有权在该动态桌面池动态申请一台且仅一台动态桌面。若用户需要多台，需将其加入不同的动态桌面池。

3.2 客户端领用流程

状态展示：用户登录客户端后，会看到状态为“未分配”的动态桌面卡片。
按需申请：只有当用户点击“连接”时，后台才会分配一台空闲桌面给该用户。这避免了用户因改用其他桌面而导致动态资源被提前占用浪费。
连接保障：在用户正常使用期间，桌面一直归属于该用户且数据不还原。若桌面池池已满，点击连接会提示用户需要等待。

四、释放与还原逻辑

销毁回收：仅在用户长期不用（超过断开保留时长）后，系统才会调用云平台 API 直接删除销毁虚拟机。
数据清空：通过直接删除虚拟机的方式彻底抹掉用户数据残留和使用痕迹，保护个人隐私。
缓冲设计：不采用“一断开就销毁”是为了应对用户重启系统或网络短时中断的情况，避免工作进度因过早回收而中断。

五、更换模板的逻辑

修改动态桌面池关联的模板后：

平滑切换：已存在的桌面（已被占用或已预准备的）仍保留旧模板状态，不会立即重建。随着这些旧桌面被销毁，后续“补货”的新桌面会自动使用新模板。
强制更新：若需立即刷新空闲桌面，可点击 “重新创建” 按钮。
- 逻辑：系统会删掉创建失败的桌面以及与当前模板不一致的空闲桌面，随后按新模板重新补齐预准备数量。

六、维护与操作

动态桌面的维护操作相对精简：

核心运维：包括控制台、开机、关机、重启、强制重启及提取日志，功能与专用桌面一致。
立即释放：不等待桌面的断开保留时长，将用户已断开连接的桌面立即回收销毁掉，用于快速手动回收资源。
删除规则：动态桌面销毁时不进入回收站，直接调用底层云平台接口删除。

6.1 最佳实践建议

镜像预制：必须在镜像/模板中配置好 Mole 指向管理端，并提前升级好所有代理端（Mole、HSRServer、USBRedirect）版本。应避免依赖创建后的自动版本升级，以保证桌面交付即用。
持久化母版：建议使用 专用桌面 作为母版来制作动态桌面的镜像或模板，确保配置过程中实例数据能够持久化保存，避免镜像做到一半虚拟机被删除。

托管桌面池管理

托管桌面池是将已有的物理或虚拟桌面纳入云空间系统中进行统一管理的解决方案。通过创建托管桌面池，管理员可以将安装了代理端的远程桌面添加至该桌面池并分配给最终用户。

这种模式支持多种桌面形态，包括物理 PC 机、笔记本电脑，以及部署在 Citrix、VMware 平台上的云桌面虚拟机。其典型应用场景包括：

资源利旧：考虑到过渡和成本问题，将已有硬件资产转化为云桌面统一管理。
高性能计算：将高性能设计工作站或计算节点纳入资源调度，以维持其原有硬件性能优势。

注：对被托管桌面操作系统版本与CPU 架构的要求，请参考产品简介 -> 技术架构 -> 代理端 -> 三、支持的操作系统与 CPU 架构章节。

一、创建托管桌面池

进入租户上下文的 “产品 -> VDI桌面 -> 托管桌面池”，点击 “创建” 按钮。

托管桌面池主要充当一个“目录”或“分组”的角色，管理员可以根据机器的位置属性、所属平台或分类，自行创建多个桌面池进行归类管理。

二、添加托管桌面

点击托管桌面池列表右侧的 “管理桌面” 按钮，进入管理界面后点击 “添加” 按钮。

2.1 核心配置参数说明

为了保证桌面在客户端的正常展现与连接，请尽量填写完整的属性信息：

访问信息（连接核心）：
- IP 地址：桌面的 IPv4/IPv6 地址。若桌面处于内网并需要通过公网访问（且不走 SDWAN 接入网关），此处应填写映射后的公网地址。
- 系统用户与密码：该桌面的登录凭据，决定了连接参数。若需修改，可通过列表中的“更新凭据”按钮操作。
接入与策略：
- 策略组：决定该托管桌面受到的管控规则。
- 接入网关编码：关联公网接入转发服务，请参考安装部署 -> 部署SDWAN网关相关章节进行配置。
身份验证（验证码机制）：
- 托管桌面无法通过云平台 API 自动识别身份，因此在添加时需点击 “一键生成” 验证码。
- 在被托管桌面配置 Mole 代理时，必须输入此验证码完成匹配，管理端才能识别该 Mole 属于哪台托管桌面。
- 时效性：验证码有效期为 1 小时，过期后可在编辑页面重新生成。
展现属性（影响展示）：
- 系统类型与操作系统：影响客户端桌面卡片的图标和 LOGO 展现。
- 硬件规格（CPU/内存/磁盘）：仅用于客户端卡片的信息展示，不影响实际物理性能。

三、分配与释放逻辑

3.1 用户分配

点击表头的 “更多 -> 批量分配用户 按钮。

逻辑：系统对选中的用户、用户组、组织求去重后的合集，为每位用户分配一台托管桌面。
权限说明：托管桌面可以直接分配给指定的最终用户，通过 HSR 协议进行接入。

3.2 移除规则

由于托管桌面属于既有资源，系统不支持“创建”或“删除”虚拟机操作，仅提供“添加”和“移除”功能。移除操作只是删除管理系统中的记录，不会影响桌面系统的运行，且无需进入回收站。

四、维护与故障诊断

查看详情：
- 点击桌面名称可弹出侧边栏，查看基本信息、任务记录及内部代理（Mole、HSRServer 等）状态。
端口映射说明：
- 若需要公网访问且端口已映射，且映射后的端口非默认值（TCP 15701/15702/5703），需通过 “更改协议端口” 按钮填写公网映射端口。
代理端要求：
- 桌面必须预装 云桌面代理端软件包（至少包含 HSRServer）。
- 必须保证桌面地址及协议代理端口是可访问的。

云桌面磁盘扩容：操作系统内分区扩展指南

在云平台或租户控制台完成磁盘扩容后，仅代表该虚拟机的“物理”磁盘空间增加。您必须进入云桌面操作系统内部，手动完成分区与文件系统的扩展，新增容量方可生效。

一、核心原则与注意事项

单向扩容：系统仅支持磁盘容量的增加，不支持缩小磁盘容量。
管理范围：在云平台/租户控制台进行的扩容操作，仅扩大了虚拟机的系统盘或数据盘容量，不涉及操作系统内部逻辑分区的调整。

二、 Windows 桌面操作指南

2.1 常规扩展步骤

在 Windows 桌面内，右键点击“此电脑”选择“管理”，进入 磁盘管理。
选中需要扩容的系统盘（通常为 C 盘）或数据盘（通常为 D 盘）。
右键点击对应分区，选择 “扩展卷”，按照向导完成容量合并即可。

2.2 特殊处理：删除恢复分区

如果 C 盘紧邻后端存在“恢复分区”，会导致扩展卷选项置灰无法操作。此时需先按照以下步骤删除恢复分区：

管理员权限打开命令行（CMD/PowerShell）。
禁用 Windows 恢复环境：

reagentc /disable

确认禁用成功：

reagentc /info

使用 diskpart 工具删除分区：

diskpart
list disk
select disk 0
list partition
select partition [此处输入恢复分区的编号，如 4]
delete partition override
exit

重新启用恢复环境（可选）：

reagentc /enable
reagentc /info

后续操作：回到“磁盘管理”界面，此时 C 盘已可执行“扩展卷”。

三、 Linux 桌面操作指南（LVM 管理）

由于我们预制作的 Linux 镜像采用 LVM (Logical Volume Manager) 进行磁盘管理，扩容需遵循“分区 -> 物理卷 -> 逻辑卷”的链路依次扩展。

分区扩展：

使用 growpart 扩展物理分区（假设系统盘为 /dev/vda，且 LVM 所在分区编号为 3）：

sudo growpart /dev/vda 3

PV (物理卷) 扩展：

通知 LVM 物理卷底层空间已变化：

sudo pvresize /dev/vda3

LV (逻辑卷) 与文件系统扩展：

使用 lvextend 命令。其中 -r 参数将同步触发文件系统的在线扩容：

# 以根目录对应的逻辑卷路径为例
sudo lvextend -r -l +100%FREE /dev/mapper/vg0-lv_root

自动加域

自动加域功能允许云桌面在创建过程中自动加入企业的 Active Directory (AD) 域环境。加入后，该云桌面将受域控制器统一管理，用户可以使用域帐号登录。

自动加域的核心优势：

效率提升：避免运维人员在桌面批量交付时手动执行加域操作，极大降低工作量。
一致性保障：通过自动化流程确保所有桌面均成功入域，防止漏加导致的安全或权限纰漏。

一、限制条件与准备工作

在配置自动加域前，请确认满足以下限制条件：

系统支持：目前仅支持 Windows 10 和 Windows 11 的桌面。
池类型支持：仅 专用桌面池 和 动态桌面池 支持自动加域。
关键组件：自动加域高度依赖 Mole 代理端与管理端的协作，必须确保镜像内 Mole 版本符合要求并正常指向管理端。

二、操作步骤

2.1 环境准备

上传 Mole 代理：登录系统控制台，进入“系统 -> 代理端版本”页面，上传版本号 >=6.17.4 的 Mole，并将其设置为默认版本。
配置 AD 域：登录租户控制台，进入“资源”->“用户”页面，确保 AD 域配置正确，检测通过并保存。

2.2 制作加域专用镜像

制作一个能够自动加域的镜像是最关键的环节。请按照以下步骤在一台专用桌面（母版机）上完成：

如果对应云平台不支持镜像，此处的镜像概念等同于模板。

创建母版桌面：在租户控制台创建一台 Win10 或 Win11 桌面（不设置为自动加域），用于准备制作镜像。
母版桌面内部配置：
- 网络配置：
  - 桌面必须能够动态获取 IP 地址（DHCP）。
  - 重要：桌面的 DNS1 地址（不能是 DNS2）必须指向 AD 域控（静态配置或通过 DHCP 获取）。
- 系统状态：
  - 确保桌面处于未加域状态。
  - Windows 更新保持清洁，无待处理的安装项。
- 代理端配置：
  - Mole 版本升级至 >=6.17.4。
  - 配置 Mole 正确指向管理端。
- Win11 特殊处理：如果是制作 Windows 11 镜像，必须以管理员权限打开命令提示符（CMD），执行以下命令以移除可能导致 Sysprep 失败的预装包：
  
  powershell -ExecutionPolicy Bypass -Command "Get-AppxPackage -AllUsers | Where-Object { $_.Name -like \"*Microsoft.Ink.Handwriting.Main*\" } | Remove-AppxPackage"
创建镜像：配置完成后，有以下两种方式生成镜像：
- 租户侧创建：直接在租户控制台基于该桌面创建“自定义镜像”。
- 系统侧创建：在底层云平台基于该虚拟机制作为镜像，然后回到系统控制台的云平台处执行“同步镜像”，将新制作的镜像同步为“系统镜像”，供多个租户使用。

三、创建云桌面自动加域

在使用上述镜像创建云桌面或模板时，勾选“自动加域”选项。

3.1 主机名 (Hostname)

单台创建：支持手动指定主机名。建议点击“检测”按钮查看是否格式正确或冲突。
批量创建：不支持手动指定。系统将自动生成 WIN-xxxxx 或 DESKTOP-xxxxx 格式的主机名（长度不超过 15 字符）。
创建模板：不支持指定主机名。

单台创建时：

批量创建时：

3.2 组织单位 (OU)

可选填。若不填，系统默认将桌面加入 AD 域的 Computers 容器中。
填写后可点击“检测”查看 OU 路径是否存在。

3.3 加域成功确认

云桌面创建成功后，过段时间进入云桌面的控制台查看系统信息，显示类似如下说明自动加域成功：

注意：自动加域的启动过程、执行过程都需要耗费一定的时间，期间系统会自动重启，需耐心等待。

四、帮助支持与故障排查

若桌面创建后长时间未成功入域，请按以下步骤排查：

4.1 模拟 Sysprep 检查

自动加域依赖 Windows 的 Sysprep 机制。请在母版机以管理员权限执行：

C:\Windows\System32\Sysprep\sysprep.exe`

注意：是sysprep.exe，不是 sysprep.bat。

选择“进入系统全新体验 (OOBE)”，勾选“通用 (Generalize)”，选择“重新启动”：

若报错，请分析日志 C:\Windows\System32\Sysprep\Panther\setupact.log。

4.2 模拟脚本检查

尝试手动运行加域脚本看是否报错：执行 C:\Program Files\Mole\scripts\joinDomain.bat，样例参数：

# 基本加域
joinDomain.bat -d example.com -u Administrator -p password

# 指定主机名与OU
joinDomain.bat -d example.com -u Administrator -p password -c myhostname -m "ou=test,dc=example,dc=com"

4.3 提取 Mole 日志

在管理后台桌面操作处点击 “提取日志”，内容选择 Mole，下载并查看内部执行逻辑。

五、常见问题 (FAQ)

错误 1：Reserved storage in use

在 setupact.log 中报错：

Error                 SYSPRP Sysprep_Clean_Validate_Opk: Audit mode cannot be turned on if reserved storage is in use. An update or servicing operation may be using reserved storage.; hr = 0x800F0975

解决方法：登录 Windows 控制台，进行完整的Windows系统更新并重启，重新制作镜像。

错误 2：AppxPackage 移除失败（常见于 Win11）

在 setupact.log 中报错：

Error                 SYSPRP Package Microsoft.Ink.Handwriting.Main.en-US.1.0.1_0.850.1840.0_x64__8wekyb3d8bbwe was installed for a user, but not provisioned for all users. This package will not function properly in the sysprep image.
Error                 SYSPRP Failed to remove apps for the current user: 0x80073cf2.
Error                 SYSPRP Exit code of RemoveAllApps thread was 0x3cf2.
Error                 SYSPRP ActionPlatform::LaunchModule: Failure occurred while executing 'SysprepGeneralizeValidate' from C:\Windows\System32\AppxSysprep.dll; dwRet = 0x3cf2
Error                 SYSPRP SysprepSession::Validate: Error in validating actions from C:\Windows\System32\Sysprep\ActionFiles\Generalize.xml; dwRet = 0x3cf2
Error                 SYSPRP RunPlatformActions:Failed while validating Sysprep session actions; dwRet = 0x3cf2
Error      [0x0f0070] SYSPRP RunDlls:An error occurred while running registry sysprep DLLs, halting sysprep execution. dwRet = 0x3cf2
Error      [0x0f00d8] SYSPRP WinMain:Hit failure while pre-validate sysprep generalize internal providers; hr = 0x80073cf2

解决方法：登录 Win11 母版机，以管理员权限在命令提示符执行以下命令后重新制作镜像：

powershell -ExecutionPolicy Bypass -Command "Get-AppxPackage -AllUsers | Where-Object { $_.Name -like \"*Microsoft.Ink.Handwriting.Main*\" } | Remove-AppxPackage"

终端管理

最终用户可以通过专用瘦终端硬件设备、个人电脑软客户端、移动端 APP 等多种形态登录到云空间，使用云桌面资源。租户管理员可以在 “产品 -> 瘦终端” 和 “产品 -> 客户端” 页面对由本租户终端用户登录过的客户端（终端）进行统一纳管与监控。

术语说明：在本系统中，终端、云终端、客户端 含义基本相同。其中，“客户端”更狭隘地特指运行在 PC、移动设备、瘦终端设备上，不包含硬件和 OS 的客户端程序。

1. 终端多租户模型

云终端在设计上支持多租户共用与逻辑隔离：

可见性与隔离：当一台终端先后由租户 A 和租户 B 的用户登录后，两个租户的管理员均能看到该终端记录，但 A 租户管理员无法看到 B 租户用户的登录记录。
状态判定：若终端最后登录的租户是 B，B 租户管理员看到的该终端状态为“已登录”，而 A 租户管理员看到的该终端状态为“已离线”。
租户级策略：租户管理员对终端执行的 禁用、绑定用户、地址固化 操作仅在本租户范围内有效。

2. 终端类型管理

2.1 瘦终端 (Thin Client)

瘦终端是出厂预装定制化系统（如 Debian/Ubuntu/Loongnix 等）与客户端程序的专用硬件。

管理特性：本地系统对用户屏蔽。

2.2 软终端 (Soft Client)

软终端是指在个人 PC（Windows, macOS, Ubuntu, UOS, Kylin 等）上安装的云桌面客户端程序。

管理特性：用户可自主安装和卸载。管理端无权侵入客户端本地操作系统，因此不支持开机、关机、重启或远程控制等越权操作。

2.3 移动端

移动端分为云电脑 APP 和云手机 APP，主要运行在 Android 设备上，iOS设备（包括iPhone和iPAD）暂不支持。

3. 核心功能说明

3.1 属性定义

硬件 ID：标识云终端唯一身份的硬件标识，由各终端生成并保证全局唯一。
状态识别：
- 已禁用：优先级最高，被禁用后无法登录。
- 未登录：终端在线但无用户登录。
- 已登录：用户已登录客户端但未连接桌面。
- 已连接：正在使用云桌面。

3.2 安全管控逻辑

地址固化：记录固化时刻的 IP 地址。若后续终端 IP 发生变化，则禁止接入系统。该功能仅针对瘦终端有效，软终端因移动性强不建议开启。
绑定用户：开启后，仅允许指定的绑定用户从该终端登录。目前一台终端仅支持绑定给一个用户。
禁用终端：被禁用后，禁止任何人从该终端登录当前租户系统，终端侧会给出相应提示。

这些安全管控处理仅限配置了管控限制的租户范围内有效。

会话管理

会话管理是运维监控的核心环节，用于记录和控制终端用户与云桌面之间的实时连接状态及历史访问轨迹。

1. 当前会话

通过 “运维 -> 会话 -> 当前会话” 页面，租户管理员可以查看本租户内所有正在连接中的实时会话。

1.1 实时监控属性

管理员可以直观监控以下关键信息：

用户与资源：哪个用户正在使用哪台云桌面。
接入终端：用户是通过哪台终端设备（瘦终端、软客户端或移动端）发起的连接。
连接详情：包括登录时间、持续时长、客户端的 IP 地址。
接入方式：展示当前会话客户端所在的位置，是通过内网接入的还是通过公网接入的。

1.2 运维操作

断开连接：当发现异常登录或需要强制回收资源时，管理员可强制断开指定的实时会话。
数据导出：支持导出当前会话列表，用于实时资源占用分析。

2. 历史会话

通过 “运维 -> 会话 -> 历史会话” 页面，租户管理员可以追溯过去一段时间内的所有访问记录。

2.1 追溯与审计

历史会话完整记录了会话从“建立”到“销毁”的全生命周期，是安全审计和故障排查的重要依据：

登录/登出时间：精确统计用户的实际在线时长。
会话状态：记录会话是正常关闭还是异常断开。
历史轨迹：通过过滤特定用户或特定桌面，查看其历史接入频率及使用的终端分布。

2.2 数据统计与分析

批量导出：支持根据时间范围筛选并导出历史会话表格。
应用场景：
- 工时统计：结合导出报表，进一步分析统计用户的登录和使用情况，为资源扩容提供数据支撑。
- 合规审计：满足企业对资产访问行为的可追溯性要求。

日志管理

通过 “运维->日志” 栏目，租户管理员可以查看本租户中发生的管理、终端、登录等事件的日志，例如终端日志：

日志可以被导出，例如用于辅助技术支持人员的诊断事宜。

系统参数

租户管理员在租户控制台中访问 “系统 -> 系统参数” 页面可以对本租户内部的系统参数进行配置。

当某个参数在系统控制台中同样存在时，其在租户内的配置优先级高于系统全局配置。例如与云终端相关的“高级设置密码”，将会覆盖系统控制台中的同样设置。

这些配置主要包含以下三个部分：

一、产品配置

1.1 云桌面设置

桌面使用域账号登录：控制云桌面是否使用 AD 域账号进行身份验证。
- 优先级逻辑：此处为租户级别的开关。如果策略组中该项为“未配置”，则顺从此处的配置；如果策略组中已明确配置为“是”或“否”，则以策略组的配置为准。
- 登录行为：如果最终生效结果为“是”（要求桌面使用域账号登录），则只有当用户使用 AD 账号登录客户端后，才能够以同样的 AD 账号自动登录桌面内部操作系统。

1.2 云终端设置

高级设置密码：租户管理员可以统一设置客户端本地配置界面的进入密码。这能有效防止最终用户私自调整运行模式。

二、资源配置

2.1 回收站设置

云桌面保留时间：规定了云桌面被删除后在“回收站”中保留的天数。在此期限内，管理员可以随时恢复桌面及其数据；逾期后，系统将自动彻底清除资源以释放底层存储空间。默认通常配置为 7 天。

三、用户配置

3.1 接入安全性

允许接入的时间段：支持配置用户可以登录云空间的合法时段（如 00:00:00 至 23:59:59）。非允许时段内的登录请求将被拒绝，实现对办公时间的硬性管控。

3.2 密码策略

强制修改默认密码：开启后，新用户首次登录必须修改初始密码。
密码有效期：设定密码的强制更换周期（如 180 天）。
强密码策略：规定密码必须包含的大小写字母、数字及特殊字符的组合限制。

3.3 鉴权与审计

最大鉴权失败次数：限制连续登录失败的次数（如 10 次）。超过限制后，账号将被临时锁定。
鉴权失败等待时间：设置账号锁定后的自动解锁冷却时间（如 300 秒）。
密码哈希算法：配置系统存储密码所使用的加密算法（如 bcrypt10），确保凭据在数据库中的存储安全。

主题定制

租户管理员可以在租户控制台中对管理页面的外观视觉进行个性化配置。该修改仅作用于当前租户，能够满足企业品牌定制化展示的需求。

一、定制逻辑与继承关系

系统采用“全局预设 + 租户个性化”的层级管理逻辑：

租户自主权：租户管理员在“系统 -> 主题定制”中进行的设置具有最高优先级。
继承机制：若租户未进行任何个性化配置，系统将自动继承系统管理员在系统控制台中预设的全局默认方案。
隔离性：当前租户的主题定制不会影响系统控制台或其他租户的界面风格。

二、核心配置项说明

根据租户控制台的操作界面，管理员可针对以下核心视觉元素进行定义：

配置项	说明	规范建议
主题颜色	设置界面主色调，包括按钮、高亮状态、功能图标等	建议符合企业品牌主色
字体颜色	定义界面文字的默认显示颜色	需注意与背景色的对比度
页面顶部 Logo	修改登录后系统界面左上角显示的品牌图标	格式: png 尺寸: 250 * 56px 大小: 建议 200KB 以内

三、操作指南与注意事项

即时预览：在上传图片或调整颜色后，建议先点击界面右侧的“预览”按钮，确认视觉效果符合预期后再正式应用。
图片合规性：上传页面顶部 Logo 时，请务必严格遵守系统提示的尺寸（250 * 56px）和 png 格式要求，以避免图标出现拉伸、偏移或背景不透明导致的视觉瑕疵。
生效与缓存：修改保存后，请刷新浏览器页面。若界面未及时更新，请尝试注销并重新登录，或清空浏览器缓存后重新查看。
恢复默认：若个性化调整不理想，管理员可点击“恢复默认主题”按钮，一键还原至系统预设的初始视觉方案。

终端接入

概述

当云空间管理端安装部署并配置完成后，由代运维管理员或租户管理员完成指定租户名下的用户、桌面等资源的配置。最终使用云桌面的用户即可通过云空间终端软硬件设备进行接入，并使用其个人名下的云桌面资源。

一、云终端定义与功能

云终端 是接入云桌面的入口设备。它通过连接显示器、键盘、鼠标等基本 I/O 设备，以及麦克风、摄像头、打印机、U 盘等丰富的 USB 外设，使用户能够通过网络操控远端的桌面操作系统、应用和数据。

关于云终端的具体划分，请参考产品简介 -> 技术架构 -> 客户端章节的描述。其主要形态包括：

软件客户端：在用户个人 PC 或笔记本上安装、运行云空间客户端软件包。
瘦终端（硬件）：领取专用硬件设备，其内部已预装好云空间客户端软件，用户可直接开机使用。
移动端：在手机、平板等便携设备上下载并安装正式分发的 App 包使用。

二、终端用户配置指引

在完成资源分发后，管理员需将以下关键信息通知最终用户，以确保顺利接入：

获取方式：去哪里领用瘦终端设备，或去哪里下载客户端软件。
连接地址：客户端需配置的云平台地址和端口（包括内网及公网的地址与端口）。
租户信息：所属的租户名。
身份凭据：
- 本地用户：提供用户名及初始密码。
- 存量 AD 用户：使用原有的 AD 账号和密码。
- 新建 AD 用户：提供新的 AD 账号及初始密码。

三、使用注意事项

为了保障云桌面的稳定运行，终端用户需遵守以下基本注意事项：

网络配置：桌面内的网卡禁止禁用，IP 地址严禁手动调整。
账号管理：桌面内的系统账号禁止禁用，系统密码严禁擅自修改。
电源与锁屏：托管桌面请勿执行关机操作；不要调整电源策略、锁屏或息屏策略。
公网接入：若通过公网接入，需确保网关拨号完成后再发起连接。
代理保护：请勿卸载代理端程序（Agent），请勿停止相关服务或杀死相关进程。

四、网络环境要求

接入期间需要确保网络连接正常。除了网络带宽外，网络时延（Latency）和网络抖动（Jitter）也是影响操作流畅度的关键因素。

4.1 实时监控指标

用户在连接桌面后，应关注顶部浮动工具栏中的实时数据：

网络时延：往返时间过高会导致鼠标反应迟钝或操作滞后。
网络抖动：不稳定的波动会造成画面卡顿或音画不同步。

4.2 场景带宽与时延推荐表

场景	推荐带宽	建议时延	用户行为示例
日常办公	≥ 5Mbps	< 30ms	使用 Office 软件进行文字、表格编辑
设计与影视	≥ 30Mbps	< 30ms	3D 设计、视频播放
高帧率游戏	50M~100Mbps	< 10ms	运行高帧率交互动作类游戏

提示：带宽消耗主要受分辨率、码率、帧率及是否连接双屏等因素影响。若发现浮动工具栏中的时延数据异常，请及时检查本地网络环境。

安装说明

客户端安装

云空间客户端提供纯软件客户端（PC、移动端）与瘦终端硬件设备等多种形态，能够灵活适配不同的办公与移动场景。

关于云终端的具体划分与逻辑架构，请参考产品简介 -> 技术架构 -> 客户端。

一、终端支持矩阵

1.1 PC 端（软件形态）

支持在现有 PC 或笔记本电脑上安装客户端，覆盖主流操作系统及架构：

Windows 系列：
- 支持 Windows 7/10/11 及 Windows Server 2019/2022（x86_64 处理器）。
- 安装说明
Linux 系列：
- 支持 Ubuntu (>= 20.04)、Debian (>= 10.0)。
- 覆盖 x64、arm64 CPU 架构。
- 安装说明
MacOS 系列：
- 支持苹果 Intel 及 ARM 处理器（Sierra 以上版本）。
- 安装说明
国产信创系列：
- 深度适配统信（UOS）、麒麟（Kylin）、中科方德桌面系统。
- 覆盖主流信创 CPU 架构，包括 x64、arm64、loongarch64。
- 安装说明
- 与非信创的Linux客户端操作方法一致

1.2 移动端设备

支持安卓手机与平板。采用标准的 .apk 安装包形式进行分发与安装。

1.3 瘦终端硬件设备

自研/认证终端：预安装云空间客户端，具体规格参见硬件产品报价清单。
三方 X86 设备：支持使用现有的 X86 架构终端进行适配改造。

二、获取安装包

最终用户可以通过系统控制台或租户控制台登录界面右上角的 下载中心 获取对应的安装包。

访问路径： https://x.x.x.x/pages/download/ (注：x.x.x.x 为云空间管理端地址)

在下载页面中，请根据本地操作系统的类型与架构，选择正确的版本点击下载并安装。

三、安装指引与刷机逻辑

3.1 软件客户端与移动端

安装过程与通用应用软件类似：

下载对应平台的安装包。
按照系统弹窗提示完成安装。
根据需要重启操作系统以确保驱动生效。

3.2 瘦终端安装与刷机

瘦终端的部署涉及操作系统定制、依赖包注入及客户端预装等一系列整体“刷机”操作：

出厂预装：官方认证终端通常在产线完成刷机，用户开机即用。
三方 X86 设备刷机：针对希望利用现有 X86 硬件的用户，我们提供专门的刷机方案。该流程包含 操作系统安装 -> 依赖包安装 -> 客户端封装。详细的刷机教程请参考瘦终端章节。

Windows 客户端安装

云空间客户端 Windows 版本以 .exe 安装包格式发布，支持 Windows 7/10/11 和 Windows Server 2019/2022 等主流操作系统。

一、安装包命名规则

对外发布的安装包名称通常包含架构与版本号等关键信息，例如：

at-xspace_windows_x86_64_6.16.12.common.exe

x86_64：表示当前安装包是针对 x86_64（64位）处理器架构编译。
6.16.12：表示安装包的软件版本号。

二、安装步骤

将安装包下载到本地后，双击启动安装向导，按照以下流程完成安装：

启动向导：在欢迎界面点击“下一步”。
准备安装：确认安装路径后，点击“安装”。
安装过程：等待程序解压并配置系统驱动。
重启确认：若为 首次安装，系统会弹出重启提示。请保存当前正在编辑的文档并关闭相关软件，然后点击“确定”。
完成安装：点击“完成”，电脑将自动重启。

三、配置云平台地址

重启完成后，从桌面图标或开始菜单启动 云空间客户端。首次运行需配置服务器地址：

打开设置：点击登录界面右上角的“设置”（齿轮图标）。
填写信息：
- 服务器地址：填写现场实际的云空间管理端 IP 或域名（内网或公网地址）。
- 端口号：默认为 44301，如无特殊变更，请保留默认值。
连接检测：配置完成后，点击“检测”按钮。
- 检测成功：即可返回登录界面进行登录。
- 检测失败：请在本地命令提示符（CMD）中使用 ping 命令测试服务器地址的连通性，或检查网络防火墙是否拦截了 44301 端口。

四、常见问题排查

4.1 连接黑屏或显示异常

若您在使用较旧的计算机硬件时遇到桌面连接黑屏、卡顿或显示异常，请执行以下检查：

显卡驱动 DDI 版本：
1. 按下 Win + R 键，输入 dxdiag 并回车。
2. 在“显示”选项卡中查看“驱动程序”栏目。
3. 建议 DDI 版本不低于 11。若版本过低，请尝试更新显卡驱动，或更换支持更高硬件加速版本的显卡。

macOS 客户端安装

云空间客户端 macOS 版本以标准 .pkg 格式发布，支持 MacBook 及 iMac 等系列设备。

一、安装包命名规则

对外发布的安装包名称包含了架构与版本号等关键信息，例如：

at-xspace_macos_x86_64_6.16.21.common.pkg

x86_64：表示该安装包针对 x86_64 处理器架构编译。
6.16.21：表示安装包的软件版本号。

架构兼容性说明：

采用 Apple Silicon（M1/M2/M3 等）芯片的 Mac 设备使用 ARM 架构。得益于系统自带的 Rosetta 转译技术，上述 x86_64 版本的安装包可以完美兼容并运行在所有基于 Apple 芯片的硬件上。

二、安装步骤

将安装包下载到本地后，双击启动安装向导，按照以下流程完成安装：

启动向导：进入欢迎界面，点击“继续”。
目的卷宗：确认相关信息后，点击“继续”。
安装类型：确认所需的磁盘空间，点击“安装”。
身份验证：输入当前 macOS 系统的用户密码，以授权安装程序写入系统权限，点击“安装软件”。
完成安装：等待进度条走完，显示“安装成功”后点击“关闭”。

安装完成后，请在 macOS 的 “应用程序”（Applications）列表中找到云空间客户端图标，双击启动。

三、配置云平台地址

首次运行客户端，需配置管理端接入地址：

进入设置：点击登录界面右上角的“设置”（齿轮图标）。
填写信息：
- 服务器地址：填写现场实际的云空间管理端 IP 或域名（内网或公网地址）。
- 端口号：默认为 44301，如无特殊变更，请保留默认值。
连接检测：点击“检测”按钮。
- 检测成功：即可返回登录界面进行登录。
- 检测失败：请打开“终端”（Terminal）尝试 ping 服务器地址，核对网络连通性及端口是否被本地防火墙拦截。

Linux 客户端安装

云空间客户端 Linux 版本以标准的 .deb 格式发布，主要适配基于 Debian/Ubuntu 体系的国产信创操作系统及通用 Linux 发行版。

一、安装包命名规则

对外发布的安装包名称包含了架构与版本号等关键信息，例如：

at-xspace_linux_x86_64_6.16.12.common.deb

x86_64：表示当前安装包是针对 x86_64 处理器架构编译。
6.16.12：表示安装包的软件版本号。

二、终端硬件与架构支持

云空间客户端目前已深度适配以下硬件平台及架构：

x86 架构：支持 Intel、AMD、兆芯 (Zhaoxin)、海光 (Hygon) 等 64 位处理器。
ARM 架构：支持鲲鹏 (Kunpeng)、飞腾 (Phytium) 等 64 位处理器。
LoongArch 架构：支持龙芯 (Loongson) 新一代 64 位指令集架构。

注意： 目前仅对外发布 .deb 格式安装包。因此，RedHat 系（使用 .rpm 包，如 CentOS、Rocky Linux）、ArchLinux 等非 Debian 系的 Linux 发行版暂未提供官方支持。

三、使用命令行安装（推荐）

对于首次安装，推荐使用命令行方式。该方式能够通过包管理器自动解析并补全系统依赖项。

3.1 在线安装

在安装包所在目录打开终端，执行：

sudo apt install -y ./at-xspace_linux_x86_64_6.16.12.common.deb

执行此命令时，系统将自动从配置的软件源中下载并安装缺失的库文件（如 libgles2 等）。

3.2 离线安装

若目标机器无法访问外网，请先在同版本有网环境下下载依赖包（如 sudo apt download libgles2），随后将所有依赖包与客户端安装包放在同一文件夹内，执行：

sudo apt install -y ./*.deb

四、使用图形界面安装

在 统信 (UOS)、麒麟 (Kylin)、方德 (NfsDesktop)、深度 (Deepin) 等系统上，确认系统依赖完整后，可通过图形化向导完成安装：

启动安装向导：双击下载好的 .deb 软件包。系统将弹出安装窗口，显示当前版本信息，点击 “一键安装”（或“安装”）。
安全身份认证：由于安装涉及系统底层驱动配置，系统会弹出认证对话框，提示需要认证。
输入用户密码：请输入当前 Linux 本地用户的登录密码以授权安装。
执行安装进度：系统开始正式执行安装过程，此时请耐心等待进度条完成。
安装完成：提示安装成功后，可从桌面图标或“开始菜单”中点击启动 云空间客户端。

五、配置云平台地址

首次运行客户端，需指向正确的管理服务器。

进入设置界面：点击客户端登录窗口右上角的 “齿轮” 图标。
配置接入信息：
- 服务器地址：输入云空间管理端的公网 IP、内网 IP 或域名。
- 端口号：默认为 44301。
连通性检测：配置完成后，点击 “检测” 按钮。
- 检测成功：界面提示正常，可返回登录。
- 检测失败：请检查本地网络是否通畅，并在终端使用 ping 命令确认能否触达服务器地址。

Android 客户端安装

云空间客户端 Android 版本支持安卓手机与平板（Pad）设备，采用标准的 .apk 安装包格式发布，方便用户随时随地移动办公。

一、安装包命名规则（重要区分）

对外发布的 Android 安装包名称包含了设备类型、架构与版本号等关键信息。由于手机与平板的 UI 布局及适配逻辑不同，请务必根据您的设备类型选择正确的安装包：

手机版（Phone）：安装包名中包含 phone 字段，专门为手机小屏幕进行操作优化。 at-xspace-client-android-phone-arm64-6.16.12.common.apk
平板版（Pad）：安装包名中包含 pad 字段，适配大屏分栏显示。 at-xspace-client-android-pad-arm64-6.16.12.common.apk
arm64：表示适用于 64 位 ARM 架构处理器（目前主流安卓移动设备均支持）。
6.16.12：表示安装包的软件版本号。

二、安装步骤

执行安装：将安装包下载到本地后，按照安卓系统的提示完成安装。
启动应用：安装完成后，在应用列表中找到并启动“云空间”App。

三、配置云平台地址

首次启动后，如果尚未配置任何管理端地址，请按照以下步骤进行操作（以手机端截图为例，平板端操作流程类似）：

进入设置界面：在 App 主界面点击右下角的 “我的”，切换到个人设置界面。
打开云平台设置：点击 “云平台设置” 选项，随后在弹出的界面中填写现场实际的云平台地址（IP 或域名）及端口号（默认为 44301）。
检测连接状态：输入完成后，点击 “检测” 按钮。确认检测结果提示云平台访问正常后，即可回到首页登录窗口开始使用。

瘦终端

瘦终端刷机安装指南

注：对于原装出厂的瘦终端设备，最终用户无需进行安装操作，仅需根据 IT 管理员或运维人员的要求，参考接入设置说明，配置好云空间管理端的地址即可从该瘦终端设备登录使用个人名下的云桌面资源。

本文档介绍的安装步骤，是针对从原始终端设备重新开始刷机安装的场景。将会对瘦终端设备重新安装基础操作系统，然后进行云空间客户端软件包的安装。刷机过程中将会格式化瘦终端设备上的存储介质，不会保留瘦终端上的原始数据信息。

一、总体安装思路

瘦终端的部署流程可以概括为以下四个核心阶段：

操作系统安装：通过 ISO 镜像为终端安装基础 OS。
- 特例： RK3568 终端使用厂商提供的 RKDevTool 刷机工具，将特定的 .img 镜像灌装到终端存储中。
上传安装资源：将 depends.bin 离线依赖包（可选）、atos-installer 脚本和对应的 Linux 客户端 .deb 安装包上传到终端系统中。
环境依赖与定制安装：
- 针对 Intel x86 / LoongArch 3B6000M / RK3568，需先运行对应的离线依赖包（depends.bin 文件），其他类型终端需要让瘦终端可访问互联网进行在线安装。
- 运行 atos-installer 脚本，该脚本会自动进行系统瘦身定制、安装客户端并切换至“服务亭模式（Kiosk Mode）”。
自动重启与配置：系统安装完成后自动重启，进入服务亭模式，配置管理端地址后即可使用。

二、准备工作

2.1 硬件与工具

待刷机终端：瘦终端设备及配套电源。
安装优盘：容量至少 8GB（推荐使用支持 USB 3.0 的优盘以提升速度）。
刻录工具：
- 在 Windows 上刻录时推荐使用 Rufus。
- 在 MacOS 上推荐使用 balenaEtcher。
RK3568 专用：RKDevTool_Release_v2.81 刷机工具及配套数据线（双头USB-A接口USB线）。

2.2 软件资源映射表

请根据终端处理器架构，从版本发布目录获取对应资源（路径：瘦终端/对应CPU型号）：

处理器架构	推荐操作系统 (ISO/IMG)	离线依赖包
Intel/AMD x64	`xubuntu-24.04.2-minimal-amd64.iso`	需安装
兆芯 (x64)	`uos-smart-20-TC-amd64-general-jade_dev-1.1-k5...iso`	无（联网在线安装）
龙芯 3B6000M	`Loongnix-20.7-livecd-kde-3b6000m-0916.loongarch64.iso`	需安装
飞腾 E2000Q	`Kylin-Desktop-V10-SP1_2403-Industry-Release-JWIPC...iso`	无（联网在线安装）
RK3568	`T468_RK3568-C1-LD10-V5.0B-20241029-16g.img`	需安装

atos-installer：位于发布目录 瘦终端 根目录（文件名中版本号以实际发布为准）。
客户端安装包：位于发布目录 客户端/Linux 目录。

三、安装步骤

3.1 制作安装优盘

使用 Rufus 或 Etcher 将瘦终端所用的操作系统镜像刻录到安装优盘上。

例如在 Windows 上使用 Rufus 工具进行刻录的配置界面如下：

⚠️ 风险提示： 刻录及后续刷机操作将格式化存储介质。优盘及瘦终端上的原始数据均不会保留，请务必提前备份重要数据后再进行操作。

3.2 基础系统安装

将制作好的优盘插入终端（推荐插入蓝色 USB 3.x 接口以获得最优读写性能）。
重启瘦终端，在 BIOS 启动阶段按快捷键（如 F12、ESC 等，视机型而定）选择从优盘启动。
进入 OS 安装流程，根据屏幕提示完成基础系统安装。
- RK3568 用户： 请参考硬件厂商手册，使用 RKDevTool 刷机工具通过数据线将上述 .img 镜像灌装至终端。

3.3 部署云空间环境

进入安装好的系统终端（Terminal），执行以下操作：

步骤一：安装离线依赖（仅限需要安装依赖的架构）

如果环境无法访问互联网，请先执行对应架构的依赖包。

# 文件名以发布版本中的实际名称为准
sudo bash ./xxx_depends-xxx.bin

步骤二：执行自动化安装与定制

在系统终端中，使用 installer 脚本一键完成系统定制。

# 版本号仅为举例，请以发布目录中实际的 atos-installer 文件名为准
sudo bash atos-installer-1.x.x.bin -- -p at-xspace_linux_{cpu_arch}_{version}.deb

注：脚本会自动完成 OS 裁减、服务亭模式配置并安装 Linux 客户端。

3.4 初始化配置

脚本执行完成后，系统将自动重启。

重启后终端将直接进入云空间登录界面。首次使用请根据界面提示，配置云平台地址，配置完成后，即可从该终端登录并使用个人名下的云桌面资源。

Intel/AMD x64 瘦终端刷机操作指南

注：对于原装出厂的瘦终端设备，最终用户无需进行安装操作。本指南仅适用于重新刷机安装场景。基础环境准备及通用工具说明请优先参考《瘦终端刷机安装指南》。

本文档专门针对 Intel 或 AMD 处理器的 x64 架构瘦终端（不适用于兆芯终端），介绍其特有的操作系统安装及配置流程。

一、资源准备

请根据《瘦终端刷机安装指南》中“软件资源映射表”的要求，准备以下该机型专用资源：

操作系统镜像：xubuntu-24.04.2-minimal-amd64.iso
离线依赖包：ubuntu24.04_x86_64_depends-1.x.bin
部署脚本：atos-installer-1.0.x.bin
客户端软件包：astute-xspace_linux_x86_64_6.x.x.common.deb

二、安装 Xubuntu 操作系统

2.1 引导启动

制作好启动优盘后，插入瘦终端前面板蓝色的 USB 3.0 接口。
开机连续按 F12 键（部分机型可能为 ESC 或 F11），在 Boot 菜单中选择从优盘启动。
在启动项中选择 Try or Install Xubuntu。

2.2 执行安装向导

进入桌面后，双击桌面的 Install Xubuntu Minimal 图标。
配置关键项：
- 语言：选择 中文（简体）。可根据需要自行选择。
注意：语言的设置会影响到系统安装完成后，控制面板、菜单栏等界面的显示语言。
- 键盘布局：点击检测按钮并按提示操作，结果会选择上 英语（美国）。
- 网络：选择 我现在不想连接到互联网 进行离线安装。
- 安装类型：选择 交互安装，后续步骤保持默认选择。
磁盘管理：选择 擦除磁盘并安装 Xubuntu。

提示：此操作将清空终端内所有数据，请确保已按照《瘦终端刷机安装指南》要求备份。
账号信息（必须严格按下表设置）：

字段设置值

姓名 / 用户名 desktopclient

密码 请与厂商技术人员联系

登录选项 去掉勾选：登录时需要密码
时区：可根据实际地区自行选择（国内通常选择 Asia/Shanghai）。
开始安装：
等待安装完成：安装过程约需 10 分钟。
确认重启：安装完成后点击“立即重启”并拔掉优盘，如果有字符界面停住，可按回车加速重启，如果一直不能重启可按电源键重启。

三、环境定制与客户端部署

在 Xubuntu 系统安装完成并重启进入桌面后，在桌面空白处点击鼠标右键，选择 在此打开终端 (Open Terminal Here)，执行后续部署：

3.1 开启 SSH 服务（可选，用于远程部署）

sudo apt update
sudo apt install openssh-server
sudo systemctl enable ssh
sudo systemctl start ssh

执行以下命令查看瘦终端的 IP 地址：

ip a

提示：在输出结果中查找以 192.168.x.x 或 10.x.x.x 开头的地址（通常位于 eth0 或 enp 开头的网卡项下），请记录该地址，以便后续在运维电脑上进行远程部署。

3.2 执行自动化部署

通过 SSH 或优盘将安装包上传至终端，执行以下命令：

SSH 账号：desktopclient

SSH 密码：请与厂商技术人员联系

SSH 端口：22，在完成 atos-installer-1.0.x.bin 部署后，SSH 端口将自动调整为 2222

# 1. 安装离线依赖（环境无法联网时必选）
sudo bash ./ubuntu24.04_x86_64_depends-1.x.bin

# 2. 执行一键安装脚本（版本号以实际发布为准）
sudo bash atos-installer-1.0.x.bin -- -p astute-xspace_linux_x86_64_6.x.x.common.deb

注：脚本会自动完成 OS 裁减、服务亭模式配置。执行完成后系统将自动重启，并直接进入云空间登录界面。

四、特别说明（兼容性与适配）

由于本指南支持的 x86 架构终端涵盖型号较广，可能存在以下特殊情况：

兼容性承诺：由于不同硬件厂商的底层实现差异，可能出现第三方依赖包缺失或设备驱动不兼容（如特殊显卡、网卡驱动）的情况。因此，不提供 100% 兼容的商业承诺****。
适配支持：针对安装过程中发现的特定型号适配问题，我们可以尝试协助解决，包括但不限于远程排查原因、补充完善第三方依赖包或针对性调整部署脚本。
技术反馈：若在刷机过程中遇到驱动或系统层面的异常，请联系技术支持人员并提供具体的硬件型号及报错日志。

兆芯瘦终端安装

注：对于原装出厂的兆芯瘦终端设备，最终用户无需进行安装操作，仅需根据 IT 管理员或运维人员的要求，参考接入设置说明，配置好云空间管理端的地址即可从该瘦终端设备登录使用个人名下的云桌面资源。

如需进行刷机操作，请向厂商索取相关参考资料。

龙芯瘦终端安装

注：对于原装出厂的龙芯瘦终端设备，最终用户无需进行安装操作，仅需根据 IT 管理员或运维人员的要求，参考接入设置说明，配置好云空间管理端的地址即可从该瘦终端设备登录使用个人名下的云桌面资源。

如需进行刷机操作，请向厂商索取相关参考资料。

以下为 LoongArch 3B6000M 瘦终端的实物外观参考图：

飞腾瘦终端安装

注：对于原装出厂的飞腾瘦终端设备，最终用户无需进行安装操作，仅需根据 IT 管理员或运维人员的要求，参考接入设置说明，配置好云空间管理端的地址即可从该瘦终端设备登录使用个人名下的云桌面资源。

如需进行刷机操作，请向厂商索取相关参考资料。

RK3568瘦终端安装

注：对于原装出厂的RK3568瘦终端设备，最终用户无需进行安装操作，仅需根据 IT 管理员或运维人员的要求，参考接入设置说明，配置好云空间管理端的地址即可从该瘦终端设备登录使用个人名下的云桌面资源。

如需进行刷机操作，请向厂商索取相关参考资料。

以下为 RK3568 瘦终端的实物外观参考图：

使用指南

终端使用

云空间客户端软件包无论是安装在 PC 机、笔记本还是瘦终端上，实际启动后的界面表现均保持统一的外观，首次登录以及日常使用的过程也大致相同。

一、核心操作流程

从时间轴上看，终端的使用主要包含以下四个关键环节：

接入设置： 配置云平台地址。将需要连接到的管理端地址（IP 或域名）配置到客户端上，建立通信基础。
登录认证： 身份验证。使用密码、短信或其他登录方式，通过身份校验登录到云空间。
桌面管理： 进入桌面卡片列表。查看个人名下的云桌面资源，并可在此进行桌面电源管理（开机、关机、重启）或进行连接设置。
连接与断开： 使用桌面。点击桌面卡片处的连接按钮，连接到云桌面进行办公；使用完毕后断开连接。

二、网络要求（重要）

为保障云桌面的正常运行与连接稳定性，终端在整个使用周期内必须保持实时联网状态，并满足以下通信要求：

访问管理端：终端必须能够正常访问管理端的 API 接口（即接入设置中配置的云平台地址）。
连接代理端：终端需要能直接访问云桌面的代理端，或者能够通过接入网关中转连接到云桌面的代理端。
持续性要求：终端需一直保持联网状态。无论是在登录阶段还是在桌面运行阶段，网络中断都将导致桌面连接异常或自动断开。

提示：安装在手机或平板电脑上的移动端客户端外观虽略有差异，但实际的操作逻辑与上述使用步骤保持一致。

接入设置

云空间客户端安装完成后，首先要进行云平台接入设置，将客户端需要访问的云桌面管理端地址信息告知程序，以便建立通信连接。

一、配置方式

打开安装好的云空间客户端，在登录界面的右上角点击齿轮状的“设置”按钮，进入 云平台设置 界面，按照以下说明进行配置：

地址：在输入框中填写云桌面环境管理端的 IP 地址或域名。
端口：填写云桌面管理端对外监听的客户端 API 服务端口号（默认设置为 44301）。
内网接入：客户端使用主管理节点的内网地址接入。
公网接入：客户端使用主管理节点的公网映射地址接入，即使客户端实际上处于内部网络。
多地址管理：
- 新增与保存：客户端支持保存多个云平台地址配置。点击“保存”按钮不仅会存储新输入的地址信息，同时也意味着选中并激活当前显示的地址作为运行时的连接环境。
- 删除地址：对于不再需要的地址条目，可以点击地址栏末尾的 “x” 号将其从历史记录中删除。
- 单选使用：虽然支持多条配置存储，但同一时刻仅允许选择并使用某一个云平台环境。

二、连通性测试

配置填写完毕后，可以点击“检测”按钮测试连通性。

⚠️ 重要说明：

检测不等于保存：点击“检测”按钮仅用于实时验证当前输入的地址是否通畅，不会自动保存该地址。配置完成后务必手动点击“保存”按钮。

登录后的状态限制：当用户成功登录云空间后，若再次进入此设置界面，系统为了保障会话稳定性，将不允许新增或修改云平台地址，“保存”按钮将自动置灰禁用。此时仅允许执行“检测”操作。

注：如果检测失败，请在客户端本地测试 ping 云平台地址是否正常，并联系 IT 管理员确认参数准确性。

登录认证

云空间客户端安装完成，并且进行了正确的云空间管理端的设置后，就可以用管理员分配的账号登录到云空间。

客户端支持多语言切换，以适应不同地区用户的使用需求：

支持语言：目前支持 简体中文、繁体中文 和英文三种。
操作方法：在登录界面上可以按需切换界面语言。

登录前请首先区分 企业版 和 个人版，避免账号无法匹配。如果客户端界面上无显式的切换按钮，可以通过是否填写租户名来判断：

企业版：常规政企用户使用，登录时 必须填写租户名。
个人版：本质上是租户管理员在登录客户端，登录时 无需填写租户名。

系统支持 密码登录 和 短信验证码登录 两种，目前并未支持双因素认证（即暂不支持先密码再短信的两道登录关卡）。

对于常规的政企私网用户，请切换到企业版界面进行登录：

多维度输入：在用户名输入框内，支持自由输入 用户名、邮箱或 手机号。系统会自动判断输入类型并匹配对应的账号。
域用户登录：请特别注意管理员告知的账号类型。如果是 AD账号，切记在界面上勾选“域用户”；如果是 本地账号，则无需勾选。

前提条件：管理端后端系统已配置并开启了短信功能。
操作流程：点击“短信登录/注册”，输入租户名、手机号码，完成 滑块验证码 防护校验后，点击“获取验证码”。
有效期：短信验证码具有有效期，超过有效期后会失效，需要重新发送。

注意：以下功能仅针对 已登录成功 的记录生效，未成功登录的账号不会被记录。

自动记忆租户/用户名：系统会自动记录最后一次成功登录的租户名+用户名。每个云平台地址独立记录，切换云平台时会自动辅助填写。
记住密码：仅密码登录支持。勾选后密码会加密存储在客户端本地。下一次打开客户端或切换云平台时，密码会自动辅助填写。
自动登录：仅密码登录支持。勾选后，客户端启动时会自动执行登录操作。

如果密码输入错误，系统会记录错误次数。若连续失败次数超过管理端配置的阈值，将开始罚时，期间不允许继续尝试。中途若登录成功一次，失败计次自动清零。

根据后端策略要求（如强制修改默认密码、密码过期等），即使密码输入正确，也需按照客户端弹出的对话框重新设置新密码，设置成功后方可登录。此策略对 本地用户 和 AD用户 均有效。

瘦终端的登录界面与软件客户端基本相同，主要区别如下：

电源操作：瘦终端界面左下角有一组电源按钮，可对硬件设备进行关机或重启。

重要提示：

瘦终端的电源操作仅作用于本地硬件设备。对瘦终端执行关机或重启操作，并不会影响云端桌面的正常运行状态。

控制面板：采用国产信创 UOS 操作系统的瘦终端，可以点击屏幕右边的弹出菜单访问系统自带的控制面板。

桌面管理

查看云桌面

当登录成功后，当前用户个人名下的云桌面资源将会以卡片的形式展示在客户端工作台窗口的“云桌面”栏目中。

如果该用户名下尚未分配任何云桌面资源，将会显示无可用云桌面，或需要向管理员申请云桌面资源的提示，请根据实际情况联系管理员进行处理。

一、桌面卡片展示说明

1.1 视觉与分类

背景差异：桌面卡片的背景会随着内部操作系统的类型变化而有所不同。例如 Windows 桌面与麒麟（Kylin）桌面会有明显的视觉区分。

列表容量：界面最多列出 8 台桌面。如果名下桌面超过 8 台，第 9 台及后续桌面将不再列出，届时界面会显示相应的提示信息。

排列顺序：卡片默认按照 桌面名称正序 排列。如需自定义卡片列表顺序，可通过“重命名”功能调整桌面名称来实现。

1.2 信息显示与状态识别

配置信息：卡片直观显示桌面的硬件规格，包括 CPU 核数、内存大小、系统盘大小、数据盘大小。若该桌面配备显卡，还会展示显卡型号及显存大小。
状态识别：
- 常规状态：实时显示桌面当前的电源与连接状态。
- 动态桌面池状态：对于动态池桌面，会展示为“待分配”等特定状态。
- 托管桌面特殊情况：托管桌面会始终显示为“运行中”，即使其实际已被关机（因无法从外部获取该实例真实的电源状态）。
- 已冻结：处于已冻结状态的桌面将显示“已冻结”，此时不再允许执行开机操作，也无法进行连接。

1.3 接入网关拨号状态

当客户端从 公网连接，且该桌面配置允许 从公网走接入网关连接 时，在桌面卡片右上角“设置”齿轮的前面会出现一个网络图标：

图标闪烁：说明系统正在进行拨号连接网关。
图标变绿：说明拨号成功，已建立网关连接。
图标变红：说明拨号失败。若遇到拨号失败，建议尝试通过“退出登录并重新登录”来重试。

二、列表刷新机制

桌面列表会定期自动刷新，以同步新分配、取消分配或状态变化的资源。您也可以点击界面上的 刷新按钮（位于“您共有 X 个桌面”文字旁）手动触发列表更新。

三、桌面详情

点击桌面卡片右上角的齿轮按钮并选择“详情”，可弹出“桌面详情”窗口。其中的信息对应辅助定位连接问题特别有用：

IP 地址识别：如果在详情中 没有显示 IP 地址，则说明该云桌面当前肯定无法连通。
连接路径判断：如果详情中包含 网关信息，则说明客户端会走网关去连接该桌面。
全量参数查看：可查看桌面名称、ID、桌面池 ID、类型、状态、规格（CPU/内存）、系统盘/数据盘大小、IPv4/IPv6 地址等详细数据。

管理云桌面

用户登录客户端后，可以通过桌面卡片右上角的“齿轮”图标按钮对个人名下的云桌面进行日常管理与维护。

一、电源管理

通过菜单项可以执行开机、关机或重启操作。请注意不同桌面类型的操作权限：

专用桌面及已分配的动态桌面：支持完整的开机、关机、重启操作。
托管桌面：不支持执行开机、关机及重启操作。
未分配的动态桌面池：不支持执行开机、关机及重启操作。

二、桌面重命名

用户可以根据使用习惯通过“重命名”功能修改桌面的显示名称：

同步机制：修改后的名称会即时同步至云端，确保在所有客户端上都能使用新的名称。
排序影响：修改桌面名称会直接影响桌面卡片在列表中的排序顺序。
支持范围：专用桌面、托管桌面以及动态桌面（包括已分配和未分配状态）均支持修改名称。
动态桌面特性：对于动态桌面，即使桌面被系统回收后，用户自定义的名称依然会保留。

三、网络检测

当桌面无法连接时，可以通过“网络检测”功能排查桌面网络链路是否通畅。

3.1 检测项说明

与云桌面网络的链路检测：
- 执行 ICMP Ping 检测，用于参考链路状态。
- 直连场景：客户端直接 Ping 桌面 IP。
- 网关场景：客户端 Ping 接入网关的公网 IP。
- 注：由于防火墙可能设置了禁止 Ping，此项未通并不一定代表网络故障，仅供参考。
云桌面认证服务端口连通性检测：
- 执行 TCP Ping 检测，默认探测 15701 端口（HSRServer 的 HSRAuth 默认侦听端口）。
- 必要性：此端口必须能通，否则桌面无法连接。
- 逻辑：直连时直接 TCP Ping 桌面的 15701 端口；走网关时需确保网关拨号成功，通过 SDWAN 接入网关代理中转检测。
云桌面 USB 组件服务端口连通性检测：
- 执行 TCP Ping 检测，默认探测 5703 端口（USBRedirect 服务默认侦听端口）。
- 必要性：走网关时，同样要求网关拨号成功，且必须通过 SDWAN 接入网关代理中转进行检测。
- 影响：若此端口不通，桌面仍可连接，但 USB 设备的端口重定向功能将不可用。
- 例如从下图中检测结果失败的情况（红叉）可以看到，远程桌面内部的 USB 外部设备重定向服务对外开放的网络端口无法访问，这将会影响到云桌面的外设端口重定向功能的使用：

3.2 故障申告

点击 “复制检测内容” 按钮，能够将详细的检测结果复制出来，发送给运维或技术支持人员进行分析。

四、其他管理项

桌面设置：详细参数配置请参阅设置云桌面章节。
详情：查看桌面具体分配与状态信息请参阅查看桌面章节。

设置云桌面

点击桌面卡片右上角的齿轮按钮，在下拉菜单中可以打开“桌面设置”。打开的“桌面设置”对话框中的各个配置选项，直接影响到最终连接后的桌面内部使用体验。所以在连接云桌面之前，强烈建议了解一下这里的选项背景。

重要特性说明：

独立性：针对桌面的设置仅影响当前对应的桌面，各桌面之间的配置互不干扰。

非同步性：桌面设置仅保存在 当前客户端本地，并不会同步至云端。若在其他设备或客户端登录，这些设置将不会自动同步，仍保持为默认值。

一、显示设置

开启全屏：默认勾选，远程桌面会话窗口将以全屏形式显示。取消勾选可以普通窗口形式打开，但在瘦终端上会强制全屏展示。
自定义窗口：仅在取消“开启全屏”后生效，可手动设置远程桌面会话窗口的大小。
启用扩展屏：当本地连接了两台显示器时，勾选此项可使云桌面同样开启扩展屏。
- 布局配置：主副屏的相对位置需预先在本地操作系统的显示设置中配好。
- 主从关系：根据云空间客户端主体窗口位置判定，主体窗口所在的屏幕为主屏，另一个则成为扩展屏。
启用高清屏：专为 macOS 客户端提供的 Retina 视网膜高清屏机制。
- 清晰度：启用后，远程桌面将配合客户端屏幕特点，自动调整到更高的清晰度。
- 使用建议：由于信创 Kylin、UOS 桌面不支持动态调整缩放，若开启后导致桌面内图标/文字过小，建议关闭此选项。
缩放模式：对云桌面窗口内容的分辨率进行控制，连接后也可在浮动工具条实时调整。
- 自适应（默认）：桌面分辨率会参考客户端的分辨率或窗口大小自动调整。
- 原始大小：保持云桌面内部当前分辨率不变，不会因连接或窗口大小调整而变化。
- 完全拉伸：画面在横向和纵向强行拉伸铺满，可能导致画面变形或模糊。
- 保持比例：在画面不变形的情况下进行拉伸，可能会导致横向或纵向出现黑边。

二、画面设置

画面模式：可选择自适应、清晰度优先或流畅度优先。
画面无损：开启 YUV444 图像编码机制。
- 建议：在启用“清晰度优先”的前提下建议开启，但会增加约 10% 的网络带宽消耗。
- 生效确认：受硬件编解码限制，能否最终开启请以连接后浮动工具条状态栏显示为准。
硬件编码：启用远程桌面内部的 GPU 硬件编码。若无可用 GPU，则自动转为软件编码（CPU），此时流畅度保障通常优于软件编码。
编码格式：
- H264：最常见的编码格式，兼容性最强。
- H265：带宽消耗优于 H264，但需要硬件编码器支持。
- AV1：极高压缩比的编码，仅 NVIDIA 40 系列及以上 显卡才支持硬编码。
- 注意：如果云桌面无法开启 H265 或 AV1 的硬件编码，转而采用软件编码会显著降低编码速度并增大画面延迟。因此，若不支持硬编码，不建议手动开启 H265 或 AV1。
帧率：可在带宽有限或硬件性能不足时，通过限制画面帧率来保障基础体验。

三、多媒体设置

提供扬声器和麦克风的音质调节。请注意，高音质模式对网络带宽的要求相对较高。

四、数据传输

剪切板（剪切板重定向）：其读写权限受管理员策略组管控，在客户端处仅可查看当前策略状态。
- 便捷操作：除了传统的 Ctrl+C / Ctrl+V 热键及鼠标右键菜单外，在 Windows 客户端连接 Windows 桌面 的场景下，支持将桌面窗口化后，通过文件/文件夹直接拖拽的方式在本地与云桌面之间进行拷贝。
- macOS 限制：由于 macOS 系统的安全管控机制，目前不支持从云桌面内部向 macOS 客户端宿主机的剪切板重定向。
共享文件夹（文件夹重定向）：
- 手动添加：当策略未禁用时，可手动添加客户端本地目录。
- 访问路径：连接桌面后，在“此电脑 -> 网络位置”下可看到该共享文件夹。
优盘共享：若对本地优盘采用“设备重定向”模式，其权限管控机制同共享文件夹。

五、操控设置

游戏兼容：开启后将使用 Windows 桌面自带的物理或虚拟显卡，不使用 IDD 显卡。该模式下不支持任意分辨率调整。
3D 鼠标：针对 3D 游戏或设计软件优化。
- 普通模式（绝对鼠标）：客户端发送鼠标绝对坐标，光标跟随。
- 3D 模式（相对鼠标）：客户端发送鼠标相对偏移值。适用于射击类游戏等需要通过鼠标位移控制视角转动的场景。
禁用快捷键：仅限瘦终端（TC）选项，用于屏蔽本地操作系统的特殊快捷键。

连接云桌面

在云桌面卡片上点击 “连接” 按钮，即可进入云桌面工作环境。

一、连接流程与状态说明

1.1 自动开机机制

若云桌面当前处于“已关机”状态，点击“连接”按钮将自动触发开机操作。

状态变化：卡片状态将从“已关机”变为“开机中”。
连接时机：需等待桌面操作系统完全启动后方可连接成功。由于系统初始化需要时间，若连接过早可能会提示失败，请稍后重新点击。

1.2 连接进度识别

在连接过程中，按下 Esc 键，可随时取消当前连接过程。

连接过程中，屏幕会展示不同的进度提示：

正在连接：表示客户端正在与远程桌面内部建立网络连接。在此过程中，屏幕中间的大图标会随桌面操作系统（OS）类型变化（例如 Windows 桌面会显示其特有的 Logo 标识）。

正在登录：表示网络连接已成功，正在进行身份认证。

登录完成：登录成功后，即可看到远程桌面的操作画面。

二、自动连接设置

功能说明：勾选卡片上的“自动连接”后，用户登录客户端成功时将尝试自动发起到该桌面的会话连接。
规则限制：系统最多允许选中一台桌面为自动连接。若在已勾选 A 桌面的情况下点击 B 桌面，A 桌面的自动勾选将被取消。
手动模式：取消所有勾选后，所有桌面均需手动连接使用。

三、多设备端差异与多桌面切换

3.1 移动端及瘦终端

全屏限制：同一时刻仅允许连接一台桌面，且必须全屏使用，不支持窗口化。
切换方式：需先断开当前桌面的连接，方可连接另外一台桌面。

3.2 PC 客户端

多会话并行：支持同时连接多台云桌面。
显示模式：支持全屏模式、窗口化以及窗口最小化。
恢复与断开：已连接的桌面回到资源列表页时，原“连接”按钮会变为“恢复”。点击“恢复”可激活切换至该桌面；点击“断开连接”按钮则安全退出会话。

四、常见连接失败原因分析

4.1 接入管控类策略限制（界面会有明确提示）

不在接入时间段：桌面仅允许在管理员设定的时间范围内连接。
公网接入受限：桌面配置不允许客户端通过公网进行接入。
IP 地址段限制：客户端当前所处的 IP 地址段不在允许访问的白名单内。
设备绑定限制：桌面已绑定其他客户端，禁止从当前客户端接入。

4.2 网络连通性问题

IP 为空：桌面详情中 IP 地址为空。这通常是因为桌面未分配 IP，或桌面拥有多个网口。多网口的接入地址端配置，请参考系统控制台 -> 云平台管理 -> 概述 -> 二、云平台通用参数配置或系统控制台 -> 云平台管理 -> 管理云平台 -> 五、项目差异化配置。
地址不符：桌面内部实际 IP 与管理端展示的 IP 地址不一致。
链路不通：
- 直连时，客户端与桌面 IP 互不通。
- 走网关时，网关拨号失败或网关与桌面 IP 互不通。
端口屏蔽/服务未装：
- 桌面内 HSRServer 应用未安装。
- 网络安全组或防火墙屏蔽了 TCP 15701 端口。
- 注意：网络诊断时，15701 端口必须通畅。而 15702 端口在桌面未连接成功前是不通的，该端口仅在连接成功、HSRAgent 进程启动后才会开启侦听。

4.3 账号与登录凭据问题

本地账号限制：桌面账号未设置密码（空密码），系统不支持此种无密码连接方式。
凭据不匹配：镜像/模板密码为空，或管理端保存的凭据与实际账号密码不符。此时会有弹窗提示，需修改登录凭据后重试。
账号状态异常：桌面内的相应账号已被禁用。
域认证冲突：桌面生效策略要求域账号登录，但客户端未使用 AD 域账号（如未勾选“域用户”或使用短信登录），或桌面未正确加入 AD 域。
Microsoft 账号限制：目前在 Windows 桌面中，不支持已采用 Microsoft 账号登录的桌面被连接。请务必不要在云桌面内登录 Microsoft 账号，否则将导致无法正常连接。

4.4 故障排查逻辑总结

策略类问题：结合界面提示及“桌面详情”确认。若 IP 地址为空，请联系租户管理员处理。
网关与网络问题：通过查看“桌面详情”中的 IP、检查网关图标拨号状态、以及使用“网络检测”功能进行分析。必要时联系管理员通过 VNC 控制台进一步排查。
账号问题：确保正确配置桌面的登录凭据，或根据策略要求使用正确的 AD 账号登录客户端。
网络波动：若发生短时网络中断，画面和键鼠操作会卡顿并触发自动重连。若断网时间过长，连接将自动断开。

浮动工具条

成功进入云桌面后，在屏幕上方可以看到浮动工具条，在该工具条中提供了远程桌面会话期间常用的基本操作。

注：对于瘦终端场景，该工具条上没有“退出全屏”和“最小化”按钮。

注：使用桌面扩展屏功能时，浮动工具条仅会在主屏幕上出现和操作，不支持拖动到副屏去操控。

一、会话状态与性能监测

1.1 实时网络时延

浮动工具条最左侧显示的时延，实现机制是从客户端对云桌面的 TCP Ping，其强调的是网络延时。该指标并未展示带宽、丢包、抖动等信息，但这些网络影响最终都会反映在“画面延迟”指标上。

1.2 详细状态栏

点击浮动条按钮中的“更多 -> 显示状态栏”，可以在右下角看到当前远程桌面会话的更多状态信息。当用户向技术支持人员反馈体验感受时，请附带此处的画面截图。

1.2.1 本地设备重定向

此处仅显示以“设备重定向”模式透传的设备列表，包括剪切板、文件夹、打印机、摄像头、麦克风、游戏手柄等。

灰色：表示该设备并未以“设备重定向”的方式透传。
亮白色 + 绿点：表示该设备已经以“设备重定向”的方式透传并生效。
亮白色（无绿点）：表示该设备被允许重定向，但是实际并未生效。

1.2.2 UDP数据通道

图标位于设备重定向图标行的最后一个位置。它表示当前会话是否开启了 UDP 数据通道。

加速机制：开启后可加速键盘、鼠标交互的灵敏度，优化设计、游戏类场景的体验。
限制说明：经由 SDWAN 网关接入的桌面会话不支持 UDP 数据通道。

1.1.2 性能参数说明

状态栏主体内容显示了当前云桌面连接会话实际生效的参数选项：

视频格式：显示当前传输的视频编码格式（如 H264/H265/AV1）以及像素格式（如 YUV420/YUV444）。
视频编码：表示远程桌面中对视频画面编码的方式是软件编码还是硬件编码。
视频解码：表示在客户端对视频画面解码的方式是软件解码还是硬件解码。
区域优化：显示当前画面是整幅编码还是对小区域变化内容进行了增量传输。
画面渲染：表示在客户端进行画面展示时使用的解码和渲染机制。
视频帧率：表示每秒传输到客户端的视频帧数量。如果开启了扩展屏，此处会显示两个数值：第一个是主屏帧率，第二个是副屏帧率。
画面延迟：指从桌面内主屏抓到画面到画面最终在客户端上渲染完成显示输出的全流程延迟。该指标除受网络影响外，还会受到桌面内 CPU 利用率等因素干扰。
外网接入：表示当前云桌面会话是否经由接入网关中转连接。
发送速率：表示当前从客户端发送到远程桌面中的数据速率。
接收速率：表示当前客户端从远程桌面中接收到的数据速率。

二、会话控制操作

2.1 退出全屏

点击浮动条上的“退出全屏”按钮，可以将全屏窗口画面变成普通窗口模式。若显示模式为“自适应”，将会触发远程桌面内部的分辨率调整。

2.2 离开会话

点击浮动条上的“离开”按钮，可以断开远程会话连接。此时云端将继续保持云桌面运行，不影响其中打开的应用软件窗口。

2.3 关于信息

点击“更多 -> 关于”，可提供现场使用的远程桌面协议组件详细版本，帮助技术人员快速收集背景信息。

外设重定向

成功进入云桌面后，通过桌面会话上方浮动工具条中的 “设备按钮”，可以打开设备管理对话框，对本地外设进行按需透传管理。

在该对话框中，您可以实时查看本地设备列表（包括物理设备与逻辑设备）、当前的连接状态及连接模式，并手动执行“连接”或“断开”操作。

一、透传模式对比与选择

在云桌面场景中，外设透传分为 “设备重定向” 与 “端口重定向” 两种模式。在性能表现上，设备重定向模式通常远高于端口重定向模式。

特性	设备重定向 (Device Redirection)	端口重定向 (USB Redirection)
工作原理	共享模式。将本地设备功能透传至远端。	独占模式。将物理端口完全映射至远端。
传输性能	性能极高。例如 U 盘在不限速时，读写速度可达 60MB/s 以上。	性能较低。由于协议封装开销，U 盘读写速度通常在 10MB/s 以内。
本地状态	本地与远端可同时使用。	本地设备将 “移除”，远端独占使用。
驱动要求	远程桌面内无需安装驱动。	远程桌面内必须安装原厂驱动。
适用设备	剪切板、文件夹、打印队列、摄像头、麦克风、游戏手柄等。	Ukey、指纹仪、扫描仪、光盘刻录机等。
依赖服务	HSRServer (端口：15702)	USBRedirect (端口：5703)

二、使用建议与注意事项

2.1 模式选择逻辑

性能与功能导向（首选设备重定向）：若仅关注设备的功能（如优盘存取文件、摄像头视频），且希望获得更高的读写性能，建议使用“设备重定向”。
硬件与兼容性导向（必须端口重定向）：若远程桌面内的应用必须识别特定厂商、型号的硬件（如网银 Ukey、专业指纹识别），则必须使用“端口重定向”，即便其传输效率较低。
优盘特例：
- 已格式化：推荐使用设备重定向（文件夹模式），可获得最佳的读写带宽。
- 未格式化：只能使用“端口重定向”透传。

2.2 故障排查

服务检查：若“端口重定向”失败，请检查远程桌面内是否已安装 USBRedirect 代理端软件包，并确认网络策略已放开 5703 端口。
策略限制：若两种模式均无法生效，请联系管理员确认是否通过策略组禁用了该类设备的透传权限。

三、个性化外设设置

为了避免重复手动操作，您可以在客户端的 “高级设置 -> 外设设置” 中配置个人的使用习惯：

自动重定向：例如将优盘设为“自动设备重定向”，则每次插入新优盘时，系统将自动以该模式将其透传至当前云桌面。

⚠️ 注意事项：此处的“自动重定向”机制仅在客户端连接单台云桌面时生效。若客户端同时连接了多台云桌面，系统将无法自动识别目标桌面，此时自动机制将失效，需由用户手动选择要重定向的目标桌面。

四、操作须知

特别提醒

交互限制：当“设备管理”窗口处于前置弹出状态时，您将无法操作云桌面内部画面。请在完成设备配置并关闭该窗口后再继续使用桌面。

窗口位置：请勿将设备管理窗口拖动到扩展屏（副屏）进行操作，以免产生显示或交互异常。

使用打印机

云空间支持通过多种方式使用打印机。根据打印机类型（USB 或网络）以及接入设备（PC 或瘦终端）的不同，建议采用不同的配置策略。

一、 USB 打印机

瘦终端（TC）场景：通常建议采取 “端口重定向” 方式直接透传。
- 优点：云桌面内识别为原生硬件，且可免去在瘦终端本地安装驱动的麻烦。
PC/笔记本场景：若需同时支持本地主机和云桌面打印，推荐使用 “设备重定向”。
- 注意：此模式下必须在本地电脑上安装打印机驱动。

二、网络打印机

2.1 接入建议：直连 vs 重定向

在局域网云桌面环境下，关于网络打印机的接入策略建议如下：

首选方式：桌面直连 如果云桌面网络能够直接访问打印机 IP，建议直接在桌面内添加网络打印机。
- 优点：性能最好，且能完整保留打印机的高级功能（如自动翻页、A3 纸张选择、色彩管理等）。
- 缺点：难以通过云平台策略进行管控，存在数据通过打印泄露的风险。
备选方式：设备重定向 若出于安全合规需求，需对打印行为进行策略审计，则需使用设备重定向。
- 缺点：通过“打印队列重定向”可能会丢失部分高级打印选项。

2.2 重定向配置步骤

使用设备重定向（网络打印机）时，必须先确保本地主机能正常驱动并使用该打印机。

单/双面打印设置：若需支持特定页码逻辑，请在 连接桌面之前，进入“高级设置 -> 外设设置”进行预设。

三、瘦终端（TC）打印机管理

3.1 驱动安装

若通过瘦终端将网络打印机重定向至云桌面，需在瘦终端本地安装打印机的 Linux 版本驱动：

参考故障排查指南 -> 2. 瘦终端本地调试进入本地终端窗口。
通过优盘或网络将驱动包拷贝至终端。
执行安装（具体命令参考驱动配套文档）。
验证：执行 /usr/sbin/lpinfo -m 可查看已安装的驱动列表。

3.2 打印机增删

在瘦终端上，可通过 “终端设置 -> 系统设置 -> 控制面板 -> 打印机设置” 打开本地打印机管理窗口，对已安装驱动的打印机进行增删管理。

四、在云桌面中执行打印

当采用“设备重定向”方式时，云桌面内部并不会直接显示打印机的真实名称，而是通过一个虚拟转发层实现：

选择设备：请在打印选项中选择 “HSR Virtual Printer”，建议将其设置为默认打印机。
工作原理：发送至该虚拟打印机的文档会被自动重定向至本地选定的真实打印机。

终端设置

在客户端右上角点击 “设置” 按钮即可进入终端配置界面。

一、云平台设置

云平台设置是连接云桌面的首要配置项。

地址与端口：用于填写云空间管理端地址和端口。
详细配置：有关云平台地址填写及首次连接的详细指导，请参考接入设置章节。

注意：若支持

二、系统设置

系统设置模块是管理客户端本地基础环境的入口。

PC 客户端：仅提供控制面板的功能入口，包括显示设置、声音设置、网络设置、时间设置、打印机设置。点击相应模块会直接调起本地操作系统控制面板中对应的功能。
瘦终端（TC）：
- 控制面板：逻辑与 PC 端类似，用于打开瘦终端本地 OS 的控制面板进行设备管理。
- 网络设置：针对瘦终端进行了重新设计。有线网络可查看地址信息、配置静态或动态（DHCP）地址；WiFi 网络可启用/停用、选择信号源并查看地址。注：若瘦终端未选配 WiFi 模块，则WFi网络功能不可用。

三、主题设置

用于调节客户端界面的视觉表现与交互性能。

外观主题：可调节主题颜色风格，如切换深色/浅色背景。
性能优化（针对瘦终端）：
- 动画效果：在弱处理器设备上建议关闭，以节约 CPU 资源。
- 软件渲染：开启后可降低非核心工作界面对处理器的损耗。
- 缩放比例：若界面按钮或文字过小，可在此放大显示比例。
注意：部分瘦终端因硬件性能限制，默认已开启软件渲染并停用动画。请勿随意调整此类配置，否则会导致登录页和桌面卡片显示缓慢，影响视觉效果。

四、高级设置

包含针对运行模式、外设及个性化行为的深度配置。

运行模式：
- 常规模式：默认的客户端运行状态。
- 控制台切换：在瘦终端上，通过运行模式并输入密码后，可打开本地控制台执行高级运维和排障操作。在瘦终端上轻易不要关闭服务亭模式。
外设设置：
- 预设习惯：可根据个人习惯对不同设备默认的透传模式进行预先设置。
- 设置限制：外设设置仅允许在客户端登录前进行配置，登录后将锁定不允许修改。
个性化设置：
- 单桌面自动连接：开启后，若用户名下仅有一台桌面，登录后将跳过桌面卡片列表直接连接桌面。这提供了沉浸式体验，但会丧失桌面开关机、网络诊断及连接配置功能。可通过关闭此选项切回卡片模式。
- 开机自启：勾选后可实现本地主机开机即启动客户端。配合自动登录、自动连接可实现全过程无需人为干预开机自动链接进入云桌面。

五、运维工具

提供了一系列自助排障工具，方便在连接异常时进行自测。

IP 地址检测：通过标准 Ping 工具测试与服务器的连通性。

端口检测：对指定的业务端口进行 TCP Ping 验证。

客户端日志：
- 日志发送：支持通过邮件将本地日志打包发送给技术支持人员。
- 查看限制：PC 客户端可直接打开日志文件夹；瘦终端因服务亭模式限制，不允许访问本地文件系统，因此无法打开。

六、关于

提供客户端版本信息及本地硬件诊断数据。

系统信息：可以查看当前客户端版本号、硬件 ID、处理器、内存、存储容量以及本地操作系统的版本细节。
版本升级：客户端支持自动检测更新。当出现升级弹窗提示时，按照界面引导执行升级操作即可，以确保使用最新的协议优化。

个人设置

成功登录到云空间后，您可以进行个人相关的基础设置。

一、修改密码

为了保障账户安全，您可以定期修改登录密码。

二、调节主题风格

点击界面右上角的按钮，可以根据个人偏好调节界面的主题颜色风格，例如切换深色或浅色背景。

帮助支持

故障排查

云空间客户端软件在日常使用过程中遇到连接或运行问题时，可以利用客户端内置的排查工具进行初步诊断。

1. 网络与端口诊断

当无法连接到服务器或云桌面时，应优先检测本地网络环境与目标地址的连通性：

网络链路检测：检测本地访问云空间管理端或云桌面地址是否存在延迟或丢包。具体操作与参数解析请参考：使用指南 -> 终端设置 -> 运维工具。
服务端口探测：检测云桌面关键业务端口（如认证端口 15701、USB 重定向端口 5703）是否开放。详细的端口作用说明请参考：使用指南 -> 桌面管理 -> 管理云桌面 -> 网络检测。

2. 瘦终端本地调试

如果您使用的是瘦终端设备，且需要执行本地操作系统的命令行工具进行深度排查，请进入设置界面进行切换：

打开本地终端：在“运行模式”中输入管理员密码，即可开启本地终端窗口。请参考：使用指南 -> 终端设置 -> 高级设置。

3. 日志提取与反馈

如果通过上述自检仍无法解决问题，建议将现场日志发送给技术支持人员进行分析。

3.1 客户端日志反馈

点击客户端右上角的“设置”齿轮图标，切换至日志反馈界面：

在线反馈：若故障现场可访问互联网，请在对话框中描述问题现象，点击“发送邮件”。
离线提取：若现场无法上网，请点击“打开日志所在位置”，将日志目录压缩打包后通过其他手段发送给技术支持。

3.2 云桌面内部日志提取

上述方法提取的是客户端本地日志。若技术支持需要分析云桌面内部的运行日志，请联系租户管理员执行以下操作：

租户管理员需登录 Web 管理后台，在“桌面池”中找到对应的云桌面，点击“更多”菜单中的 “提取日志” 按钮。

常见问题

以下是针对云空间客户端日常使用过程中常见疑问的解答。

1. 忘记登录密码

AD 域账号：请按照企业内部域账号管理流程找回密码。
本地用户账号：由云空间管理员开设的本地账号，请联系管理员重置。
短信认证：若系统启用了短信验证功能，可尝试通过短信重置密码。

2. 网络或防火墙设置导致桌面无法连接

网卡状态：云桌面内部用于远程会话连接的网卡设备或网络连接不可禁用，否则将直接导致无法连接。
防火墙开放端口：如需启用防火墙，必须确保云空间代理服务的传输通道开放。默认需放行以下端口：
- 15701 (TCP)：认证服务端口。
- 15702 (TCP/UDP)：协议传输端口。
- 5703 (TCP)：USB 重定向服务端口。
故障排查建议：若桌面无法连上，请重点参考常见连接失败原因分析以及管理云桌面 - 网络检测章节。

3. 云桌面音频异常（无声或音量小）

双重音量调节：用户最终听到的音量受“本地终端设备音量”与“远程桌面内部音量”共同影响。
检查步骤：请确保本地物理设备未静音，且云桌面内 Windows/Linux 系统的音量合成器已调节至正常范围。

4. Windows 云桌面分辨率不匹配

会话重连：新创建的 Windows 桌面在首次连接时，若未自动适配本地屏幕分辨率，请尝试退出当前会话并重新连接。
显卡驱动确认：若重连后分辨率仍不正常，请确认当前实际使用的显示器是否为 HSR IDD 虚拟显示器。

5. Windows 云桌面系统字体或图标太小

DPI 缩放异常：若 Win10 桌面图标或文件浏览器菜单文字偏小，通常是系统 DPI 缩放未成功应用。
操作技巧：可尝试打开系统“显示设置”，手动将“更改文本、应用等项目的大小”自定义为 125% 或更高，生效后再调整回原始比例，以强制触发系统 DPI 刷新。

6. 更多排查工具

若上述方法无法解决，请参考故障排查章节，利用客户端自带的“网络检测”和“日志提取”功能获取更多信息。

字段	设置值
姓名 / 用户名	`desktopclient`
密码	`请与厂商技术人员联系`
登录选项	去掉勾选：登录时需要密码

云空间产品手册

产品简介

概述

设计思想

技术优势

技术架构

组件构成介绍

一、 组件列表

二、 核心串流技术

三、 组件关系

四、 管理端

4.1 深度集成的云桌面管理（IaaS 协同模式）

4.2 灵活的托管桌面管理（通用资源模式）

4.3 多维度的内部管理通信

4.4 控制面与数据面分离架构

五、 代理端

5.1 远程桌面协议服务端（数据面）

5.1.1 USBRedirect 外设重定向

5.1.2 HSRServer 串流协议服务端

5.2 桌面控制管理程序（控制面）

六、 客户端

6.1 全场景交互

6.2 全终端形态

6.3 网络链路模型

七、 接入网关

7.1 部署场景判定

7.2 NAT 映射备选方案说明

7.3 核心功能与网络要求

7.4 部署形态与高可用集群

7.5 集群管理与资源关联

管理端（AS6）

一、 系统架构与逻辑模型

1.1 容器化底座

1.2 异构平台适配（南向对接）

1.3 多租户与安全运维

二、 模型抽象与资源映射

2.1 资源映射逻辑

2.2 镜像模型映射（Image）

2.3 模板模型映射（Template）

2.4 从实例 (Instance) 到桌面 (Desktop)

三、 部署规范与环境要求

3.1 环境适配限制

3.2 节点规格建议

四、 扩容演进与可靠性

4.1 扩容策略 (Scale-Up & Scale-Out)

4.2 运维特性

代理端（Agent）

一、 组件构成与核心职能

1.1 核心组件列表

1.2 系统服务与进程逻辑

Windows 环境

Linux 环境

二、 架构优势：带内协议技术

三、 支持的操作系统与 CPU 架构

Linux 云桌面特殊要求

四、 环境准备与特殊配置

4.1 专用桌面与动态桌面

4.2 托管桌面

客户端（XSC）

一、 核心串流协议能力

1.1 极致音视频体验

1.2 强大的外设重定向

二、 客户端支持矩阵

2.1 软件客户端支持列表

三、 瘦终端（Thin Client）解决方案

3.1 标准化瘦终端型号

3.2 运行模式与适配限制

SDWAN接入网关

组网与连通性要求

一、 资源规格清单

二、 连通性需求分析

2.1 核心管理链路

2.2 业务访问链路

三、 端口访问矩阵

3.1 基础内网访问

3.2 公网接入访问 (NAT/映射)

四、 公网带宽需求评估

云空间v6.18版本发布说明

版本简介

新增功能

一、组件列表

二、核心串流技术

三、组件关系

四、管理端

五、代理端

六、客户端

七、接入网关

一、系统架构与逻辑模型

二、模型抽象与资源映射

三、部署规范与环境要求

四、扩容演进与可靠性

一、组件构成与核心职能

二、架构优势：带内协议技术

三、支持的操作系统与 CPU 架构

四、环境准备与特殊配置

一、核心串流协议能力

二、客户端支持矩阵

三、瘦终端（Thin Client）解决方案

一、资源规格清单

二、连通性需求分析

三、端口访问矩阵

四、公网带宽需求评估

一、部署环境准备

二、网络与 IP 配置规范

一、已适配的云平台要求

二、虚拟机配置规范

一、镜像获取方式

二、镜像定制与依赖包安装

三、关键运行模式注意

一、创建虚拟机

二、确认虚拟机内部配置

三、系统语言与时区设置

一、获取组件包

二、安装前通用说明

三、构建容器集群

四、准备容器镜像

五、部署管理端组件

一、运行状态检查

二、容器集群维护

三、自动化运维与节点负载再平衡

一、访问场景说明

二、修改配置以支持公网访问

三、使配置生效

四、维护提醒

一、短信认证设置