Как настроить Windows Sandbox (запускать приложения / скрипты, общие папки и т. Д.)

Рекомендуем:  Как включить Песочницу Windows (и что это такое).

Песочница Windows - это изолированная временная среда рабочего стола, в которой вы можете запускать ненадежное программное обеспечение, не опасаясь вредоносного воздействия на ваш компьютер. Windows Sandbox теперь поддерживает простые файлы конфигурации (расширение .wsb), которые обеспечивают минимальную поддержку сценариев. Вы можете использовать эту функцию в последней сборке Windows с номером 18342.

Любое программное обеспечение, установленное в «песочнице» Windows, остается только в «песочнице» и не может повлиять на ваше устройство. Как только вы закроете Песочницу Windows, все установленное программное обеспечение со всеми его файлами и состоянием удаляется навсегда.

Песочница Windows обладает следующими свойствами:

• Часть Windows  - все необходимое для этой функции по умолчанию присутствует в Windows 10 Pro и Enterprise. Не нужно скачивать VHD!
• Чистота  - каждый раз, когда запускается Песочницу Windows, она так же чиста, как и новая установка Windows 10.
• Одноразовая  - на устройстве ничего не сохраняется; все удаляется после закрытия приложения
• Безопасная - использует аппаратную виртуализацию для изоляции ядра, которая использует гипервизор Microsoft для запуска отдельного ядра, которое изолирует Windows Sandbox от хоста
• Эффективная - использует встроенный планировщик ядра, интеллектуальное управление памятью и виртуальный графический процессор

Файлы конфигурации Песочницы Windows.

Чтобы настроить Песочницу Windows или автоматически запускать приложения и сценарии при старте, необходимо создать файл конфигурации. Для этого вы можете использовать Блокнот или любое другое приложение текстового редактора.

Файлы конфигурации песочницы имеют формат  XML и связаны с песочницей файлом с расширением .wsb. Каждый файл конфигурации, который вы создаете для Windows Sandbox, должен начинаться со строки <Configuration>  и заканчиваться строкой </Configuration>. Весь другой код, который вы собираетесь добавить, должен быть помещен между этими строками кода. Создав файл конфигурации и добавив в него нужный код, вы должны сохранить его, используя расширение файла .wsb. Затем вы можете дважды кликнуть созданный файл .wsb, чтобы запустить свою персональную песочницу Windows.

Файл конфигурации позволяет пользователю контролировать следующие аспекты Песочницы Windows:

1. vGPU (виртуализированный графический процессор)

• Включите или отключите виртуализированный графический процессор. Если vGPU отключен, Sandbox будет использовать  WARP  (программный растеризатор).

2. Сеть

• Включить или отключить сетевой доступ к песочнице.

3. Общие папки

• Делитесь папками с хоста (ваш ПК) с разрешениями на чтение или запись. Обратите внимание, что раскрытие директорий хоста может позволить вредоносному программному обеспечению повлиять на вашу систему или украсть данные.

4. Запуск скрипта

• Автоматическое действие после входа в песочницу.

Поддерживаемые параметры конфигурации:

Как включить или отключить виртуальный графический процессор в песочнице Windows.

VGpu Включает или отключает совместное использование GPU.

<VGpu>value</VGpu>

Поддерживаемые значения:

Disable –  отключить поддержку vGPU в песочнице. Если это значение установлено, будет использовать программный рендеринг, который может быть медленнее, чем ваш графический процессор.

Default - это значение по умолчанию для поддержки vGPU; это означает, что vGPU включен.

Windows Sandbox также позволяет отключить механизм рендеринга виртуального графического оборудования. Другими словами, песочница разделяет вашу видеокарту с Windows 10 по умолчанию. Однако вы можете отключить эту функцию и заставить ее использовать программный рендеринг. Несмотря на то, что она теперь работает медленнее, в некоторых ситуациях это может быть полезно. 

Чтобы отключить поддержку VGpu, в  файле .wsb добавьте следующий код:

<VGpu>Disable</VGpu>

Включить: 

VGpu>Default</VGpu>

Как включить или отключить сеть в Песочнице Windows.

Включает или отключает сеть в песочнице. Отключение доступа к сети может использоваться, чтобы уменьшить вероятность атаки для песочницы.

<Networking>value</Networking>

Disable –  отключить сеть в песочнице.

Default -  это значение по умолчанию для поддержки сети. Позволяет создавать сети путем создания виртуального коммутатора на вашем хосте и подключать к нему изолированную программную среду через виртуальный сетевой адаптер.

Примечание: Включение сетевых подключений может привести к тому, что ненадежные приложения окажутся в вашей внутренней сети.

MappedFolders

Оборачивает список объектов MappedFolder.

<MappedFolders>


list of MappedFolder objects


</MappedFolders>
 

Примечание: Файлы и папки, сопоставленные с хостом, могут быть скомпрометированы приложениями в изолированной программной среде или потенциально повлиять на хост.

Как поделиться папками с Песочницей Windows.

Задает одну папку на хост-компьютере, которая будет использоваться совместно на рабочем столе контейнера. Приложения в Песочнице запускаются под учетной записью пользователя «WDAGUtilityAccount». Следовательно, все папки отображаются по следующему пути: C: \ Users \ WDAGUtilityAccount \ Desktop.

Windows Sandbox может отображать папки хоста. Другими словами, вы можете сделать так, чтобы ваша песочница Windows «видела» папки, на вашем ПК с Windows 10. Например, «C:\Test» будет отображаться как «C:\users\WDAGUtilityAccount\Desktop\Test». Для этого в файл .wsb, созданный с помощью Блокнота, добавьте следующий код:

<MappedFolder>

    <HostFolder> путь к папке хоста </ HostFolder>

    <ReadOnly> значение </ ReadOnly>

</MappedFolder>

HostFolder: указывает папку на хост-машине для совместного использования в песочнице. Обратите внимание, что папка должна уже существовать, контейнер не запустится, если папка не найдена.

ReadOnly: при значении true обеспечивает доступ только для чтения к общей папке из контейнера. Поддерживаемые значения: true / false.

Примечание: Вы можете добавить столько папок для совместного использования, сколько хотите: просто убедитесь, что их пути указаны между тегами <HostFolder> </ HostFolder>. Кроме того, для каждой папки, которую вы добавляете в список, вы можете указать, хотите ли вы, чтобы песочница Windows имела к ней доступ только для чтения или для записи.

Как автоматически запустить приложение или скрипт в Windows Sandbox.

Песочница, также позволяет открывать приложение (исполняемый файл) или скрипт сразу после запуска. Чтобы сделать это, в файле конфигурации .wsb , вы должны добавить этот код:

<LogonCommand>

   <Command> команда для вызова </Command>

</LogonCommand>

Команда:  Командой может быть путь к любому исполняемому файлу или скрипту, доступному внутри песочницы Windows. Это означает, что вы можете, например, автоматически открывать Проводник, Блокнот или другие системные приложения.

Примечание: Хотя очень простые команды будут работать (запуск исполняемого файла или скрипта), более сложные сценарии, включающие несколько шагов, должны быть помещены в файл скрипта. Этот файл сценария может быть сопоставлен с контейнером через общую папку, а затем выполнен с помощью директивы LogonCommand.

Создать файл конфигурации

Создайте новый текстовый файл с расширением .wsb и скопируйте в него один из примеров.

Двойным кликом по созданному файлу * .wsb вы откроете его в песочнице Windows.

Пример файла конфигурации — 1.

Следующий файл конфигурации можно использовать для простого тестирования загруженных файлов внутри песочницы. Для этого сценарий отключает работу сети и vGPU а также в контейнере ограничивает общую папку «Загрузки» доступом только для чтения. Для удобства команда входа в систему открывает папку загрузок внутри контейнера при запуске.

Downloads.wsb

<Configuration>

<VGpu>Disable</VGpu>

<Networking>Disable</Networking>

<MappedFolders>

   <MappedFolder>

     <HostFolder>C:\Users\Public\Downloads</HostFolder>

     <ReadOnly>true</ReadOnly>

   </MappedFolder>

</MappedFolders>

<LogonCommand>

   <Command>explorer.exe C:\users\WDAGUtilityAccount\Desktop\Downloads</Command>

</LogonCommand>

</Configuration>

Пример файла конфигурации — 2.

Следующий файл конфигурации устанавливает код Visual Studio в контейнер, что требует немного более сложной настройки LogonCommand.

Две папки отображаются в контейнере; первый (SandboxScripts) содержит VSCodeInstall.cmd, который установит и запустит VSCode. Предполагается, что вторая папка (CodingProjects) содержит файлы проекта, которые разработчик хочет изменить с помощью VSCode.

С помощью сценария установщика VSCode, уже сопоставленного с контейнером, LogonCommand может ссылаться на него.

VSCodeInstall.cmd

REM Download VSCode

curl -L "https://update.code.visualstudio.com/latest/win32-x64-user/stable" --output C:\users\WDAGUtilityAccount\Desktop\vscode.exe

REM Install and run VSCode

C:\users\WDAGUtilityAccount\Desktop\vscode.exe /verysilent /suppressmsgboxes

<Configuration>

<MappedFolders>

   <MappedFolder>

     <HostFolder>C:\SandboxScripts</HostFolder>

     <ReadOnly>true</ReadOnly>

   </MappedFolder>

   <MappedFolder>

     <HostFolder>C:\CodingProjects</HostFolder>

     <ReadOnly>false</ReadOnly>

   </MappedFolder>

</MappedFolders>

<LogonCommand>

   <Command>C:\users\wdagutilityaccount\desktop\SandboxScripts\VSCodeInstall.cmd</Command>

</LogonCommand>

</Configuration>

Теперь вам просто нужно дважды кликнуть Text.wsb и запустить Windows Sandbox. Преимущество этого состоит в том, что вы можете создать несколько конфигураций для того, как песочница должна быть запущена. На самом деле довольно практично. Можно только надеяться, что Microsoft затем со временем расширит возможности файла конфигурации.

Рекомендуем: Как установить Песочницу (Sandbox) в Windows 10 Home.