Windows Sandbox introduce semplici file di configurazione in Windows 10

Windows Sandbox è un ambiente desktop isolato e temporaneo in cui è possibile eseguire software non attendibile senza il timore di un impatto duraturo sul PC. Windows Sandbox ora supporta file di configurazione semplici (estensione file .wsb), che forniscono un supporto minimo per gli script. Puoi usare questa funzionalità nell'ultima build di Windows Insider 18342.

Qualsiasi software installato in Windows Sandbox rimane solo nella sandbox e non può influenzare il tuo host. Una volta chiuso Windows Sandbox, tutto il software con tutti i suoi file e lo stato viene eliminato in modo permanente.

Windows Sandbox ha le seguenti proprietà:

• Parte di Windows – tutto il necessario per questa funzionalità viene fornito con Windows 10 Pro ed Enterprise. Non c'è bisogno di scaricare un VHD!
• Incontaminato – ogni volta che Windows Sandbox viene eseguito, è pulito come una nuova installazione di Windows
• Monouso – nulla persiste sul dispositivo; tutto viene scartato dopo aver chiuso l'applicazione
• Sicuro – utilizza la virtualizzazione basata su hardware per l'isolamento del kernel, che si basa sull'hypervisor di Microsoft per eseguire un kernel separato che isola Windows Sandbox dall'host
• Efficiente – utilizza lo scheduler del kernel integrato, la gestione intelligente della memoria e la GPU virtuale

Esistono i seguenti prerequisiti per l'utilizzo della funzionalità Sandbox di Windows:

• Windows 10 Pro o Enterprise build 18305 o successive
• Architettura AMD64
• Funzionalità di virtualizzazione abilitate nel BIOS
• Almeno 4 GB di RAM (8 GB consigliati)
• Almeno 1 GB di spazio libero su disco (consigliato SSD)
• Almeno 2 core CPU (4 core con hyperthreading consigliato)

Puoi imparare come abilitare e usare Windows Sandbox QUI.

File di configurazione della sandbox di Windows

I file di configurazione di Sandbox sono formattati come XML e sono associati a Windows Sandbox tramite l'estensione del file .wsb. Un file di configurazione consente all'utente di controllare i seguenti aspetti di Windows Sandbox:

1. vGPU (GPU virtualizzata)
   • Abilita o disabilita la GPU virtualizzata. Se vGPU è disabilitato, verrà utilizzato Sandbox ORDITO (rasterizzatore software).
2. Rete
   • Abilita o disabilita l'accesso di rete alla sandbox.
3. Cartelle condivise
   • Condividi cartelle dall'host con permessi di lettura o scrittura. Tieni presente che l'esposizione delle directory host può consentire a software dannoso di influenzare il tuo sistema o rubare dati.
4. Script di avvio
   • Azione di accesso per la sandbox.

Facendo doppio clic su un file *.wsb lo aprirai in Windows Sandboxю

Opzioni di configurazione supportate

VGpu

Abilita o disabilita la condivisione della GPU.

valore

Valori supportati:

• disattivare – disabilita il supporto vGPU nella sandbox. Se questo valore è impostato, Windows Sandbox utilizzerà il rendering software, che può essere più lento della GPU virtualizzata.
• Predefinito – questo è il valore predefinito per il supporto vGPU; attualmente questo significa che vGPU è abilitato.

Nota: l'abilitazione della GPU virtualizzata può potenzialmente aumentare la superficie di attacco della sandbox.

Rete

Abilita o disabilita la rete nella sandbox. La disabilitazione dell'accesso alla rete può essere utilizzata per ridurre la superficie di attacco esposta dal Sandbox.

valore

Valori supportati:

• disattivare – disabilita la rete nella sandbox.
• Predefinito – questo è il valore predefinito per il supporto di rete. Ciò consente il networking creando uno switch virtuale sull'host e connettendo la sandbox tramite una NIC virtuale.

Nota: l'abilitazione della rete può esporre le applicazioni non attendibili alla rete interna.

Cartelle mappate

Racchiude un elenco di oggetti MappedFolder.

elenco di oggetti MappedFolder. 

Nota: i file e le cartelle mappati dall'host possono essere compromessi dalle app nella sandbox o potenzialmente influenzare l'host.

Cartella mappata

Specifica una singola cartella sul computer host che verrà condivisa sul desktop del contenitore. Le app nella sandbox vengono eseguite con l'account utente "WDAGUtilityAccount". Quindi, tutte le cartelle sono mappate nel seguente percorso: C:\Users\WDAGUtilityAccount\Desktop.

Per esempio. "C:\Test" verrà mappato come "C:\users\WDAGUtilityAccount\Desktop\Test".

percorso della cartella hostvalore

Cartella host: specifica la cartella sul computer host da condividere con la sandbox. Si noti che la cartella deve già esistere nell'host o il contenitore non verrà avviato se la cartella non viene trovata.

Sola lettura: se true, impone l'accesso in sola lettura alla cartella condivisa dall'interno del contenitore. Valori supportati: vero/falso.

Nota: i file e le cartelle mappati dall'host possono essere compromessi dalle app nella sandbox o potenzialmente influenzare l'host.

Comando di accesso

Specifica un singolo comando che verrà richiamato automaticamente dopo l'accesso del contenitore.

comando da invocare

Comando: Un percorso a un eseguibile o script all'interno del contenitore che verrà eseguito dopo l'accesso.

Nota: sebbene funzionino comandi molto semplici (avvio di un eseguibile o di uno script), gli scenari più complicati che coinvolgono più passaggi dovrebbero essere inseriti in un file di script. Questo file di script può essere mappato nel contenitore tramite una cartella condivisa e quindi eseguito tramite la direttiva LogonCommand.

Esempi di configurazione

Esempio 1

Il seguente file di configurazione può essere utilizzato per testare facilmente i file scaricati all'interno della sandbox. Per ottenere ciò, lo script disabilita la rete e la vGPU e limita la cartella dei download condivisi all'accesso di sola lettura nel contenitore. Per comodità, il comando di accesso apre la cartella dei download all'interno del contenitore quando viene avviato.

Downloads.wsb

disattivaredisattivareC:\Utenti\Pubblico\Downloadveroexplorer.exe C:\users\WDAGUtilityAccount\Desktop\Downloads

Esempio 2

Il file di configurazione seguente installa Visual Studio Code nel contenitore, che richiede un'impostazione LogonCommand leggermente più complicata.

Nel contenitore vengono mappate due cartelle; il primo (SandboxScripts) contiene VSCodeInstall.cmd, che installerà ed eseguirà VSCode. Si presume che la seconda cartella (CodingProjects) contenga file di progetto che lo sviluppatore desidera modificare utilizzando VSCode.

Con lo script di installazione di VSCode già mappato nel contenitore, LogonCommand può farvi riferimento.

VSCodeInstall.cmd

REM Scarica VSCode. arricciatura -L " https://update.code.visualstudio.com/latest/win32-x64-user/stable" --output C:\users\WDAGUtilityAccount\Desktop\vscode.exe REM Installa ed esegui VSCode. C:\users\WDAGUtilityAccount\Desktop\vscode.exe /verysilent /suppressmsgboxes

VSCode.wsb

C:\SandboxScriptsveroC:\CodingProjectsfalsoC:\users\wdagutilityaccount\desktop\SandboxScripts\VSCodeInstall.cmd

Fonte: Microsoft