优化 VDI 桌面的 Windows 配置

尽管 Windows 操作系统已现成优化，但你有机会进一步优化它，特别是针对企业Microsoft虚拟桌面基础结构（VDI）环境。 在 VDI 环境中，默认情况下会禁用许多后台服务和任务。

本文是有关如何优化配置的指导或起点。 某些建议会禁用你喜欢使用的功能，因此必须考虑成本与在方案中调整特定设置的好处。

VDI 优化原则

“完整的”虚拟桌面环境可通过网络向计算机用户提供完整的桌面会话（包括应用程序）。 网络传送载体可以是本地网络和/或 Internet。 虚拟桌面环境的一些实现使用“基本”操作系统映像，然后成为桌面的基础，然后向用户呈现工作。 虚拟桌面实现（如持久性、非持久性和桌面会话）存在变体。

• 切换会话时，持久类型会保留对虚拟桌面操作系统所作的更改。
• 非持久性类型不会保留对虚拟桌面操作系统的更改，从一个会话更改为下一个会话。
• 桌面会话类似于其他虚拟或物理设备上的会话，并通过网络访问。

可在参考计算机上实施优化设置。 虚拟机（VM）是生成 VM 的理想位置，因为已保存状态、存在检查点和备份。 在基础 VM 上执行默认 OS 安装。 然后，通过执行删除不需要的应用、安装更新、删除临时文件和应用设置等操作来优化该基本 VM。

在产品和服务方面，Microsoft 最看重的是安全性和稳定性。 在虚拟桌面领域，安全性的处理方式与物理设备没有太大的区别。 企业客户可选择使用 Windows 安全的内置 Windows 服务；Windows 安全是一套服务的一部分，无论是否连接到 Internet，它们都运行良好。 对于未连接到 Internet 的虚拟桌面环境，每天可多次主动下载安全签名，因为 Microsoft 每天可能会多次发布签名更新。 然后，可将这些签名提供给虚拟桌面设备，且无论持久性还是非持久的生产，都将其安排在生产期间安装。 这样，VM 保护功能就能尽量保持最新状态。

某些安全设置不适用于未连接到 Internet 且无法参与已启用云的安全性的虚拟桌面环境。 还有其他“正常”Windows 设备可以使用的设置，例如云体验或 Windows 应用商店。 删除对未使用的功能的访问权限可以减少占用空间、网络带宽和受攻击面。

Windows 使用每月更新节奏。 在某些情况下，虚拟桌面管理员通过关闭基于“主”或“黄金”映像的 VM 来控制更新过程，取消密封该只读映像，修补映像，然后重新密封该映像并将其恢复生产。 因此，无需虚拟桌面设备检查Windows 更新。 但在有些情况下，会发生一般的修补过程，例如在持久性“个人”虚拟桌面设备的情况下。 在一些情况下，可使用 Windows 更新。 而在一些情况下，可使用 Intune。 在某些情况下，Microsoft Endpoint Configuration Manager（前 SCCM）用于处理更新和其他包传递。 由每个组织决定更新虚拟桌面设备的最佳方法，同时减少开销周期。

可以使用基于域的策略替代本地策略设置以及本指南中的许多其他设置。 建议彻底完成策略设置，删除或不使用任何不需要或适用于你的环境的任何设置。 本文档中的列出的设置会尝试在虚拟桌面环境中实现性能优化的最佳平衡，同时维持卓越的用户体验。

非持久性虚拟桌面环境

如果非持久性虚拟桌面实现基于基本映像或“黄金”映像，则优化主要在基本映像中执行，然后通过本地设置和本地策略执行。

使用基于映像的非持久性 (NP) 虚拟桌面环境时，基本映像是只读的。 启动 NP 虚拟桌面设备 (VM) 时，会将基本映像的副本流式传输到该 VM。 从启动开始一直到下一次重新启动为止所发生的活动将重定向到临时位置。 为用户提供用于存储其数据的网络位置。 在某些情况下，用户的配置文件将与标准 VM 合并，以便为用户提供设置。

基于单一映像的 NP 虚拟桌面需要考虑的一个重要方面是维护。 对操作系统 (OS) 和 OS 组件的更新每月提供一次。 使用基于映像的虚拟桌面环境时，必须执行一组进程才能获取映像的更新：

• 在给定主机上，基于基础映像的所有 VM 必须关闭或关闭该主机上的所有 VM。 这意味着，用户将重定向到其他 VM。
• 在一些实现中，这称为“排出”。虚拟机或会话主机在被设置为排出模式时，会停止运行来接受新的请求，但会继续对当前已连接到设备的用户提供服务。
• 在排出模式中，当最后一名用户注销设备时，该设备就准备好为操作提供服务了。
• 然后，基本映像将会打开并启动。 接下来，执行所有维护活动，例如 OS 更新、.NET 更新和应用更新等等。
• 此时将会应用需要应用的任何新设置。
• 此时会执行任何其他维护。
• 然后，基本映像关闭。
• 基本映像是密封的，设置为传回到生产环境。
• 允许用户重新登录。

Get-ScheduledTask | Where-Object {$_.Settings.MaintenanceSettings}

非持久性虚拟桌面的其中一项弊端是当用户注销时，几乎所有的 OS 活动都会被放弃。 用户的配置文件和/或状态可保存到某个中心位置，但虚拟机本身会放弃自上次启动以来所作的几乎全部更改。 因此，适用于将状态从一个会话保存到下一个会话的 Windows 计算机的优化不适用。

根据虚拟桌面设备的体系结构，PreFetch 和 SuperFetch 等内容不会从一个会话到下一个会话提供帮助，因为 VM 重启时会丢弃所有优化。 索引可能会给资源带来一定的浪费，传统的碎片整理等任何磁盘优化方法也是如此。

是否运行 sysprep

Windows 具有称为 系统准备工具的内置功能，也称为 sysprep。 sysprep 工具用于准备用于复制的自定义 Windows 10 或 Windows 11 映像。 sysprep 进程可确保生成的 OS 具有独特性，可在生产环境中正常运行。

运行或不运行 sysprep 都有适当的理由。 对于虚拟桌面环境，你可能希望能够自定义默认用户配置文件，该配置文件将用作使用此映像登录的更高版本的用户的配置文件模板。 你可能安装了要安装的应用，但也希望能够控制每应用设置。

替代方法是使用标准 .ISO 进行安装（也许可以使用无人参与的安装应答文件），并使用任务序列来安装或删除应用程序。 还可以使用任务序列在映像中设置本地策略设置（也许可以使用本地组策略对象实用工具 (LGPO)）。

若要详细了解针对 Azure 的映像准备，请参阅准备 Windows VHD 或 VHDX 以上传到 Azure

可支持性

每次 Windows 默认设置发生更改时，用户都会提出有关可支持性的问题。 自定义虚拟桌面映像（VM 或会话）后，需要在更改日志中跟踪对映像所作的每项更改。 进行故障排除时，往往可在池中隔离某个映像并对其进行配置，以分析问题。 将问题跟踪到根本原因后，就可以先将更改推出到测试环境，并最终部署到生产工作负荷。

本文档有意规避了影响安全性的系统服务、策略或任务。 接下来讨论 Windows 维护。 我们删除了在维护时段以外维护虚拟桌面映像的功能，因为在维护时段，除安全软件更新之外的其他大多数维护事件都是在虚拟桌面环境中发生的。 虚拟桌面环境中的Windows 安全Microsoft指南记录在虚拟桌面基础结构（VDI）环境中的 Windows Defender 防病毒部署指南中

更改默认的 Windows 设置时，请考虑到可支持性。 有时，在更改系统服务、策略或计划任务时，以强化、“减轻”等名义更改系统服务、策略或计划任务时，会出现难以解决的问题。 有关已更改的默认设置的当前已知问题，请参阅 Microsoft 知识库。 本文档中的指南以及 GitHub 上的关联脚本与已知问题（如果出现）相关维护。 此外，可以通过多种方式报告问题以Microsoft。

可在偏好的搜索引擎中使用关键字 "start value" site:support.microsoft.com 查找有关服务默认起始值的已知问题。

本文档和 GitHub 上的关联脚本不会修改任何默认权限。 如果有兴趣增加安全设置，请从名为 AaronLocker 的项目开始。 有关详细信息， 请参阅“AaronLocker”概述。

虚拟桌面优化类别

以下类别是可以优化虚拟桌面的方法：

• 通用 Windows 平台 (UWP) 应用清理
• 可选功能清理
• 本地策略设置
• 系统服务
• 计划任务
• 应用 Windows（和其他）更新
• 自动 Windows 跟踪
• 使用 VDI 进行 Windows Defender 优化
• 通过注册表设置优化客户端网络性能
• “Windows 受限流量限制功能基线”指南中的其他设置。
• 磁盘清理

以下部分更详细地介绍了每个类别。

通用 Windows 平台 (UWP) 应用程序清理

虚拟桌面映像的目标之一是在持久性存储方面尽量占用较少内存。 减少映像大小的一种方法是删除未使用的 UWP 应用程序（应用）。 UWP 应用附带一些应用程序主文件（称为有效负载）。 每个用户配置文件中存储的少量数据用于特定于应用程序的设置。 “所有用户”配置文件中也有少量数据。

此外，在设备启动和用户登录后的某个时间点，会在用户或计算机级别注册所有 UWP 应用。 UWP 应用包含开始菜单和 Windows Shell，它会在安装时或安装后执行各项任务，在用户首次登录时再次执行这些任务，并在用户后续登录时稍微操作一下。 对于所有 UWP 应用，偶尔都会发生评估，例如：

• 是否需要将应用更新到最新版本？
• 如果应用已固定到开始菜单，则它可能有动态磁贴数据要下载
• 应用是否具有需要更新的数据缓存，例如地图或天气？
• 应用是否具有需要在登录时显示的来自用户配置文件的持久性数据（例如便笺）

使用 Windows 的默认安装时，组织不太可能使用所有 UWP 应用。 因此，如果删除这些不可用的应用，则会出现需执行的评估更少、缓存更少等情况。 此处的第二种方法是指示 Windows 禁用“使用者体验”。这减少了应用商店活动，因为必须检查每个用户已安装哪些应用、哪些应用可用，然后开始下载某些 UWP 应用。 如果有上百名或上千名用户，而他们几乎同时开始工作，或者甚至跨时区在滚动时间开始工作，那么性能节约可能非常明显。

执行 UWP 应用清理时，连接和计时是重要的因素。 如果将基础映像部署到没有网络连接的设备，Windows 无法连接到 Microsoft 应用商店并下载应用，并尝试在尝试卸载应用时安装它们。 这可能是一种很好的策略，可以让你从容地自定义映像，然后在映像创建过程的后续阶段更新保留的内容。

如果修改基数。用于安装 Windows 和从中删除不需要的 UWP 应用的 WIM。安装前的 WIM 不会安装应用，后续配置文件创建时间较短。 本节后面提供了一个链接，其中包含有关如何从安装中删除 UWP 应用的信息。WIM 文件。

对于虚拟桌面环境，一种好的策略是在基本映像中预配所需的应用，然后限制或阻止访问 Microsoft Store。 在普通的计算机上，Store 应用会定期在后台更新。 在维护期间，可以在应用其他更新的同时更新 UWP 应用。

删除 UWP 应用的有效负载

不需要的 UWP 应用仍位于占用少量磁盘空间的文件系统中。 对于不需要的应用，可以使用 PowerShell 命令从基本映像中删除不需要的 UWP 应用的有效负载。 如果从安装中删除 UWP 应用有效负载。使用本节稍后提供的链接的 WIM 文件，可以从一个精简的 UWP 应用列表开始。

运行以下 PowerShell 命令来枚举本地计算机上当前运行的预配的 UWP 应用：

Get-AppxProvisionedPackage -Online

预配到系统的 UWP 应用可在 OS 安装期间作为任务序列的一部分删除，也可在安装 OS 后删除。 这可能是首选的方法，因为这样可使映像的整个创建或维护过程模块化。 开发脚本后，如果后续的生成发生更改，则你可以编辑现有的脚本，而无需从头开始重复该过程。

然后运行以下 PowerShell 命令来删除 UWP 应用有效负载：

Remove-AppxProvisionedPackage -Online - PackageName MyAppxPackage

就该主题最后提一点：应在每个独特的环境中评估每个 UWP 应用的适用性。 安装 Windows 10 或 Windows 11 的默认安装，然后记下运行和使用内存的应用。 例如，可以删除自动启动的应用，或者自动在“开始”菜单上显示信息的应用，例如天气和新闻。

可选功能清理

本部分介绍可优化的可选功能。

使用 PowerShell 管理可选功能

可以使用 PowerShell 管理 Windows 可选功能。 若要枚举当前已安装的 Windows 功能，请运行以下 PowerShell 命令：

Get-WindowsOptionalFeature -Online

通过 PowerShell，已枚举的 Windows 可选功能可配置为“已启用”或“已禁用”，如下例中所示：

Enabled-WindowsOptionalFeature -Online -FeatureName "DirectPlay" -All

下面是一个在虚拟桌面映像中禁用 Windows Media Player 功能的示例命令：

Disable-WindowsOptionalFeature -Online -FeatureName "WindowsMediaPlayer"

接下来，可删除 Windows Media Player 包。 此示例命令演示如何查找包名称：

Get-WindowsPackage -Online -PackageName *media*

该命令的输出显示如下信息：

PackageName              : Microsoft-Windows-MediaPlayer-Package~31bf3856ad364e35~amd64~~10.0.19041.153
Applicable               : True
Copyright                : Copyright (c) Microsoft Corporation. All Rights Reserved
...

若要删除 Windows Media Player 包（以释放大约 60 MB 的磁盘空间），可运行以下命令：

PS C:\Windows\system32> Remove-WindowsPackage -PackageName Microsoft-Windows-MediaPlayer-Package~31bf3856ad364e35~amd64~~10.0.19041.153 -Online

使用 DISM 启用或禁用 Windows 功能

可以使用内置 Dism.exe 工具枚举和控制 Windows 可选功能。 可以使用按需功能在操作系统安装任务序列期间开发和运行Dism.exe脚本。

默认用户设置

可在 C:\Users\Default\NTUSER.DAT 自定义 Windows 注册表文件。 对此文件所做的任何设置更改都应用于从运行此映像的计算机创建的任何后续用户配置文件。 可通过编辑 DefaultUserSettings.txt 文件来控制要将哪些设置应用于默认用户配置文件。

若要减少通过虚拟桌面基础结构传输图形数据的传输，可以将默认背景设置为纯色而不是默认 Windows 映像。 还可以将登录屏幕设置为纯色，并关闭登录时不透明的模糊效果。

以下设置应用于默认用户配置文件注册表配置单元，主要目的是减少动画效果。 如果某些或所有这些设置都不需要，请删除不希望根据此映像应用到新用户配置文件的设置。 使用这些设置的目的是启用以下等效设置：

• 在鼠标指针下显示阴影
• 在窗口下显示阴影
• 平滑屏幕字体边缘

并且有一种方法可以禁用运行优化后创建的任何用户配置文件的以下两个隐私设置：

• “允许网站通过访问我的语言列表来提供本地相关内容”
• “在‘设置’应用中为我显示建议的内容”

（可选）为运行优化后创建的任何用户配置文件禁用以下两个隐私设置：

• “允许网站通过访问我的语言列表来提供本地相关内容”
• “在‘设置’应用中为我显示建议的内容”

下面是应用于默认用户配置文件注册表配置单元来优化性能的优化设置。 此操作首先加载默认用户配置文件注册表配置单元 NTUser.dat，作为临时键名称 Temp，然后进行以下修改：

Load HKLM\Temp C:\Users\Default\NTUSER.DAT
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\Explorer" /v ShellState /t REG_BINARY /d 240000003C2800000000000000000000 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v IconsOnly /t REG_DWORD /d 1 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v ListviewAlphaSelect /t REG_DWORD /d 0 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v ListviewShadow /t REG_DWORD /d 0 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v ShowCompColor /t REG_DWORD /d 1 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v ShowInfoTip /t REG_DWORD /d 1 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v TaskbarAnimations /t REG_DWORD /d 0 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\Explorer\VisualEffects" /v VisualFXSetting /t REG_DWORD /d 3 /f
add "HKLM\Temp\Software\Microsoft\Windows\DWM" /v EnableAeroPeek /t REG_DWORD /d 0 /f
add "HKLM\Temp\Software\Microsoft\Windows\DWM" /v AlwaysHiberNateThumbnails /t REG_DWORD /d 0 /f
add "HKLM\Temp\Control Panel\Desktop" /v DragFullWindows /t REG_SZ /d 0 /f
add "HKLM\Temp\Control Panel\Desktop" /v FontSmoothing /t REG_SZ /d 2 /f
add "HKLM\Temp\Control Panel\Desktop" /v UserPreferencesMask /t REG_BINARY /d 9032078010000000 /f
add "HKLM\Temp\Control Panel\Desktop\WindowMetrics" /v MinAnimate /t REG_SZ /d 0 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\StorageSense\Parameters\StoragePolicy" /v 01 /t REG_DWORD /d 0 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\ContentDeliveryManager" /v SubscribedContent-338393Enabled /t REG_DWORD /d 0 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\ContentDeliveryManager" /v SubscribedContent-353694Enabled /t REG_DWORD /d 0 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\ContentDeliveryManager" /v SubscribedContent-353696Enabled /t REG_DWORD /d 0 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\ContentDeliveryManager" /v SubscribedContent-338388Enabled /t REG_DWORD /d 0 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\ContentDeliveryManager" /v SubscribedContent-338389Enabled /t REG_DWORD /d 0 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\ContentDeliveryManager" /v SystemPaneSuggestionsEnabled /t REG_DWORD /d 0 /f
add "HKLM\Temp\Control Panel\International\User Profile" /v HttpAcceptLanguageOptOut /t REG_DWORD /d 1 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\BackgroundAccessApplications\Microsoft.Windows.Photos_8wekyb3d8bbwe" /v Disabled /t REG_DWORD /d 1 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\BackgroundAccessApplications\Microsoft.Windows.Photos_8wekyb3d8bbwe" /v DisabledByUser /t REG_DWORD /d 1 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\BackgroundAccessApplications\Microsoft.YourPhone_8wekyb3d8bbwe" /v Disabled /t REG_DWORD /d 1 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\BackgroundAccessApplications\Microsoft.YourPhone_8wekyb3d8bbwe" /v DisabledByUser /t REG_DWORD /d 1 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\BackgroundAccessApplications\Microsoft.MicrosoftEdge_8wekyb3d8bbwe" /v Disabled /t REG_DWORD /d 1 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\BackgroundAccessApplications\Microsoft.MicrosoftEdge_8wekyb3d8bbwe" /v DisabledByUser /t REG_DWORD /d 1 /f
add "HKLM\Temp\Software\Microsoft\InputPersonalization" /v RestrictImplicitInkCollection /t REG_DWORD /d 1 /f
add "HKLM\Temp\Software\Microsoft\InputPersonalization" /v RestrictImplicitTextCollection /t REG_DWORD /d 1 /f
add "HKLM\Temp\Software\Microsoft\Personalization\Settings" /v AcceptedPrivacyPolicy /t REG_DWORD /d 0 /f
add "HKLM\Temp\Software\Microsoft\InputPersonalization\TrainedDataStore" /v HarvestContacts /t REG_DWORD /d 0 /f
add "HKLM\Temp\Software\Microsoft\Windows\CurrentVersion\UserProfileEngagement" /v ScoobeSystemSettingEnabled /t REG_DWORD /d 0 /f
Unload HKLM\Temp

禁止在后台启动和运行 Windows 应用的设置。 虽然在单个设备上并不重要，但 Windows 在给定设备或会话主机上启动每个用户会话的多个进程。 如果需要按原样使用此功能，请删除文件中包含应用名称（如 DefaultUserSettings.txt 和/或 MicrosoftEdge）的行。

本地策略设置

可以使用 Windows 策略对虚拟桌面环境中的 Windows 进行许多优化。 本部分的表格中列出的设置可在本地应用到基础映像/黄金映像。 如果未以任何其他方式（如组策略）指定等效设置，则仍会应用这些设置。

某些决策可能基于环境的具体情况。

• 虚拟桌面环境是否可访问 Internet？
• 虚拟桌面解决方案是持久性还是非持久性的？

选择以下设置不会违反安全相关的任何设置，或者与之发生冲突。 选择这些设置是为了删除或禁用可能不适用于虚拟桌面环境的设置或功能。

* 摘自 Windows 受限流量限制功能基线。

系统服务

如果你在考虑禁用系统服务来节省资源，请确保这些服务不是其他一些服务的组件。 在本白皮书和可用 GitHub 脚本中，某些服务不在列表中，因为它们不能以受支持的方式禁用。

其中的大多数建议按照有关在带有桌面体验的 Windows Server 2016 中禁用系统服务的指导中的说明，摘自针对装有桌面体验的 Windows Server 2016 提供的建议。

有很多看似适合禁用的服务已设置为手动服务启动类型。 这意味着，仅当事件触发对服务的请求时，服务不会自动启动和启动。 此处未列出已设置为启动类型手动的服务。

Get-Service | Where-Object {$_.Status -eq 'Running'} | Select-Object -ExpandProperty Name

下表包含一些可能被视为要在虚拟桌面环境中禁用的服务：

Windows 中的基于用户的服务

每用户服务是在用户登录到 Windows 或 Windows Server 时创建的服务，并在该用户注销时停止和删除。这些服务在用户帐户的安全上下文中运行 - 这比在资源管理器中运行此类服务、与预配置帐户关联的服务或作为任务提供更好的资源管理。 有关详细信息，请参阅 Windows 中基于用户的服务。

计划任务

与 Windows 中的其他项一样，请确保在禁用计划任务之前不需要项目。 虚拟桌面环境中的某些服务（例如 StartComponentCleanup）可能不适合在生产环境中运行，但可能适合在“黄金映像”（参考映像）上的维护时段进行运行。

以下任务列表包含在每次重启后都会保留状态的计算机上执行优化或数据收集的任务。 虚拟桌面设备重启并放弃自上次启动以来的所有更改时，适用于物理计算机的优化将无济于事。

可以使用以下 PowerShell 代码获取所有当前计划的任务（包括说明）：

  Get-ScheduledTask | Select-Object -Property TaskPath,TaskName,State,Description

应用 Windows（和其他）更新

从 Microsoft 更新或内部资源应用可用的更新，包括 Windows Defender 签名。 此时非常适合应用其他可用的更新，包括适用于 Microsoft Office（如果已安装）和其他软件的更新。 如果 PowerShell 保留在映像中，可以通过运行命令 Update-Help下载 PowerShell 的最新可用帮助。

维护 OS 和应用

在映像优化过程中的某个时间点，应应用可用的 Windows 更新。 Windows 更新设置中有一个设置，可提供更多更新。 可通过“设置”“高级选项”找到它 。 找到后，将“更新 Windows 时提供其他 Microsoft 产品的更新”设置为“开” 。

如果要将Microsoft应用程序（如Microsoft 办公室）安装到基础映像，则这是一个很好的设置。 这样，在将映像投放到服务后，Office 就可以保持最新状态。 还可以下载 .NET 更新；某些第三方组件（例如 Adobe）也会通过 Windows 更新提供更新。

非持久性虚拟桌面设备的一个重要考虑因素是安全更新，包括安全软件定义文件。 这些更新可能每天发布一次或多次。

对于 Windows Defender，可能最好是安装更新，即使是在非持久性虚拟桌面环境中。 每次登录时，更新几乎都会应用，但更新很小，不应该是个问题。 此外，设备不会在更新时隐藏，因为仅应用最新的可用内容。 对于第三方定义文件可能也是如此。

Windows 系统启动事件跟踪（自动记录程序）

Windows 默认配置为收集并保存诊断数据。 目的是启用诊断，或者在需要进一步执行故障排除时记录数据。 可以在打开计算机管理并导航到系统工具>数据收集器集时找到自动系统跟踪。

在事件跟踪会话和启动事件跟踪会话下显示的一些跟踪不能且不应停止。 可停止其他跟踪（例如 WiFiSession）。 若要停止“事件跟踪会话”下某个正在运行的跟踪，请右键单击该跟踪，然后选择“停止” 。 使用以下过程防止启动时自动启动跟踪：

1. 选择“启动事件跟踪会话”文件夹。

2. 查找要查看的跟踪文件，并选择它来将其打开。

3. 选择“跟踪会话”选项卡。

4. 取消选中标有“已启用”的框。

5. 选择“确定” 。

下表列出了一些你应考虑在虚拟桌面环境中禁用的系统跟踪：

虚拟桌面环境中的 Windows Defender 优化

有关如何在虚拟桌面环境中优化 Windows Defender 的更多详细信息，请查看 虚拟桌面基础结构 （VDI） 环境中的 Windows Defender 防病毒部署指南。

部署指南包含服务“黄金”虚拟桌面映像的过程，以及如何在虚拟桌面客户端运行时维护虚拟桌面客户端。 当虚拟桌面计算机需要更新其 Windows Defender 签名时，为减少网络带宽，请分阶段重启并尽量将重启安排在下班时间。 Windows Defender 签名更新可包含在文件共享内部；如果可行，请将这些文件共享放在虚拟桌面设备所在的相同网段或者与其邻近的网段。

通过注册表设置优化客户端网络性能

有些注册表设置可以提高网络性能。 如果环境中虚拟桌面设备或物理计算机的工作负载主要依赖于网络，则此措施尤为重要。 建议在本部分中的设置通过设置额外的缓冲和缓存（如目录条目等）来优化网络工作负荷配置文件的性能。

以下设置记录在 Windows Server 的性能优化指南中。

DisableBandwidthThrottling

HKLM\System\CurrentControlSet\Services\LanmanWorkstation\Parameters\DisableBandwidthThrottling

适用于 Windows 10 和 Windows 11。 默认值为 0。 默认情况下，SMB 重定向程序会限制高延迟网络连接的吞吐量，在某些情况下可以避免与网络相关的超时。 将此注册表值设置为 1 可禁用此限制，从而在高延迟网络连接上实现更高的文件传输吞吐量。 考虑将此值设置为 1。

FileInfoCacheEntriesMax

HKLM\System\CurrentControlSet\Services\LanmanWorkstation\Parameters\FileInfoCacheEntriesMax

适用于 Windows 10 和 Windows 11。 默认值为 64，有效范围为 1 - 65536。 此值用于确定可以由客户端缓存的文件元数据量。 在访问大量文件时，增加该值可以减少网络流量并提高性能。 请尝试将此值增大至 1024。

DirectoryCacheEntriesMax

HKLM\System\CurrentControlSet\Services\LanmanWorkstation\Parameters\DirectoryCacheEntriesMax

适用于 Windows 10 和 Windows 11。 默认值为 16，有效范围为 1 - 4096。 此值用于确定可以由客户端缓存的目录信息量。 在访问大量目录时，增加该值可以减少网络流量并提高性能。 请考虑将此值增大至 1024。

FileNotFoundCacheEntriesMax

HKLM\System\CurrentControlSet\Services\LanmanWorkstation\Parameters\FileNotFoundCacheEntriesMax

适用于 Windows 10 和 Windows 11。 默认值为 128，有效范围为 1 - 65536。 此值用于确定可由客户端缓存的文件名信息量。 在访问大量文件名时，增加该值可以减少网络流量并提高性能。 请考虑将此值增大至 2048。

DormantFileLimit

HKLM\System\CurrentControlSet\Services\LanmanWorkstation\Parameters\DormantFileLimit

适用于 Windows 10 和 Windows 11。 默认值为 1023。 此参数指定应用程序关闭文件后应在共享资源上保持打开状态的文件的数量上限。 如果有数千个客户端连接到 SMB 服务器，请考虑将此值减小至 256。：Windows Server 2022、Windows Server 2019

可以使用 Set-SmbClientConfiguration 和 Set-SmbServerConfiguration Windows PowerShell cmdlet 配置其中的许多 SMB 设置。 可以使用 Windows PowerShell 配置仅限注册表的设置，如以下示例所示：

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanWorkstation\Parameters" RequireSecuritySignature -Value 0 -Force

Windows 受限流量受限功能基线指南中的更多设置

对于未直接连接到 Internet，或者想要减少发送到 Microsoft 和其他服务的数据的环境，Microsoft 发布了使用 Windows 安全基准所用的相同过程创建的基线。

Windows 受限流量限制功能基线设置在组策略表中标有星号。

磁盘清理

对于黄金映像/主映像虚拟桌面实现，磁盘清理可能特别有用。 准备、更新并配置黄金映像/主映像后，最后要执行的其中一项任务就是磁盘清理。 Github.com 上的优化脚本具有 PowerShell 代码来执行常见的磁盘清理任务

下面是针对各种磁盘清理任务的建议。 在实施之前应对这些任务进行测试：

1. 可手动或自动使用存储感知。 有关存储感知的详细信息，请参阅 使用存储感知管理驱动器空间。

2. 手动清理临时文件和日志。 在权限提升的命令提示符下运行以下命令：

   1. Del C:\*.tmp /s
   2. C:\*.etl /s
   3. C:\*.evtx /s

   Get-ChildItem -Path c:\ -Include *.tmp, *.dmp, *.etl, *.evtx, thumbcache*.db, *.log -File -Recurse -Force -ErrorAction SilentlyContinue | Remove-Item -ErrorAction SilentlyContinue
   
   Remove-Item -Path $env:ProgramData\Microsoft\Windows\WER\Temp\* -Recurse -Force -ErrorAction SilentlyContinue
   
   Remove-Item -Path $env:ProgramData\Microsoft\Windows\WER\ReportArchive\* -Recurse -Force -ErrorAction SilentlyContinue
   
   Remove-Item -Path $env:ProgramData\Microsoft\Windows\WER\ReportQueue\* -Recurse -Force -ErrorAction SilentlyContinue
   
   Clear-RecycleBin -Force -ErrorAction SilentlyContinue
   
   Clear-BCCache -Force -ErrorAction SilentlyContinue
   

3. 运行以下命令来删除系统上未使用的所有配置文件：

   wmic path win32_UserProfile where LocalPath="C:\\users\\<users>" Delete

如果对本文中的信息有任何疑问或担忧，请联系 Microsoft 帐户团队、查看 Microsoft 虚拟桌面 IT 专业人员博客、在 Microsoft 虚拟桌面论坛中发布消息，或者联系 Microsoft。

重新启用 Windows 更新

如果要在禁用Windows 更新后启用Windows 更新，请执行以下步骤：

1. 重新启用组策略设置：

   • 转到“本地计算机策略”“计算机配置”>“管理模板”“系统”>“Internet 通信管理”“Internet 通信设置” 。
     • 通过将设置从“已启用”更改为“未配置”，禁用对所有 Windows 更新功能的访问 。
   • 转到“本机计算机策略”“计算机配置”>“管理模板”“Windows 组件”>“Windows 更新” 。
     • 通过将设置从“已启用”更改为“未配置”，移除对所有 Windows 更新功能的访问 。
     • 通过将设置从“已启用”更改为“未配置”，不连接到任何 Windows 更新 Internet 位置 。
   • 转到“本机计算机策略”“计算机配置”>“管理模板”“Windows 组件”>“Windows 更新”“Windows 更新商业版” 。
     • 选择何时接收质量更新（从“已启用”更改为“未配置”）
   • 转到“本机计算机策略”“计算机配置”>“管理模板”“Windows 组件”>“Windows 更新”“Windows 更新商业版” 。
     • 选择何时接收预览版和功能更新（从“已启用”更改为“未配置”）

2. 重新启用服务：

   • 将“更新 Orchestrator 服务”从“已禁用”更改为“自动(延迟启动)”。 。

3. 编辑 Windows 注册表（警告，编辑注册表时要小心）。

   • 转到 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsUpdate\UpdatePolicy\PolicyState。
     • 将 DeferQualityUpdates 从“1”更改为“0”。
   • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsUpdate\UpdatePolicy\Settings
     • 删除 PausedQualityDate 的所有现有值。
   • 转到 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\WAU
     • 设置为“禁用”。

4. 重新启用计划任务：

   • 转到“任务计划程序库”“Microsoft”>“Windows”“InstallService”>“ScanForUpdates” 。
   • 转到“任务计划程序库”“Microsoft”>“Windows”“InstallService”>“ScanForUpdatesAsUser” 。

5. 请重启设备，使所有这些设置生效。

6. 如果不希望此设备提供的功能更新，请转到“设置”>Windows 更新>Advanced 选项>“选择何时安装更新，并手动设置选项 A 功能更新包括新功能和改进。可将此天数推迟到任何非零值，例如 180、365 等。

详细信息

若要详细了解 Microsoft 的 VDI 体系结构，请参阅 Azure 虚拟桌面文档。

如果需要更多有关 sysprep 故障排除的帮助，请在删除或更新包含内置 Windows 映像 Microsoft的应用商店应用后，签出 Sysprep 失败。