Windows Sandbox introduceert eenvoudige configuratiebestanden in Windows 10

Windows Sandbox is een geïsoleerde, tijdelijke desktopomgeving waar u niet-vertrouwde software kunt uitvoeren zonder bang te hoeven zijn voor blijvende gevolgen voor uw pc. Windows Sandbox biedt nu ondersteuning voor eenvoudige configuratiebestanden (bestandsextensie .wsb), die minimale scriptondersteuning bieden. U kunt deze functie gebruiken in de nieuwste Windows Insider-build 18342.

Alle software die in Windows Sandbox is geïnstalleerd, blijft alleen in de sandbox en heeft geen invloed op uw host. Zodra Windows Sandbox is gesloten, wordt alle software met al zijn bestanden en status permanent verwijderd.

Windows Sandbox heeft de volgende eigenschappen:

• Onderdeel van Windows - alles wat nodig is voor deze functie wordt geleverd met Windows 10 Pro en Enterprise. U hoeft geen VHD te downloaden!
• Onschuldig – elke keer dat Windows Sandbox wordt uitgevoerd, is het zo schoon als een gloednieuwe installatie van Windows
• Wegwerpbaar – er blijft niets op het apparaat staan; alles wordt weggegooid nadat u de toepassing sluit
• Zeker - maakt gebruik van op hardware gebaseerde virtualisatie voor kernelisolatie, die afhankelijk is van de hypervisor van Microsoft om een ​​afzonderlijke kernel uit te voeren die Windows Sandbox isoleert van de host
• Efficiënt – maakt gebruik van geïntegreerde kernelplanner, slim geheugenbeheer en virtuele GPU

Er zijn de volgende vereisten voor het gebruik van de Windows Sandbox-functie:

• Windows 10 Pro of Enterprise build 18305 of hoger
• AMD64-architectuur
• Virtualisatiemogelijkheden ingeschakeld in BIOS
• Minimaal 4 GB RAM (8 GB aanbevolen)
• Minimaal 1 GB vrije schijfruimte (SSD aanbevolen)
• Minimaal 2 CPU-cores (4 cores met hyperthreading aanbevolen)

U kunt leren hoe u Windows Sandbox inschakelt en gebruikt HIER.

Windows Sandbox-configuratiebestanden

Sandbox-configuratiebestanden zijn geformatteerd als XML en zijn gekoppeld aan Windows Sandbox via de .wsb-bestandsextensie. Met een configuratiebestand kan de gebruiker de volgende aspecten van Windows Sandbox beheren:

1. vGPU (gevirtualiseerde GPU)
   • Schakel de gevirtualiseerde GPU in of uit. Als vGPU is uitgeschakeld, gebruikt Sandbox WARP (software-raster).
2. Netwerken
   • Schakel netwerktoegang tot de Sandbox in of uit.
3. Gedeelde mappen
   • Deel mappen van de host met lees- of schrijfrechten. Houd er rekening mee dat het vrijgeven van hostdirectory's ertoe kan leiden dat schadelijke software uw systeem kan beïnvloeden of gegevens kan stelen.
4. Opstartscript
   • Aanmeldingsactie voor de sandbox.

Door te dubbelklikken op een *.wsb-bestand opent u het in Windows Sandboxю

Ondersteunde configuratie-opties

VGpu

Schakelt GPU-deling in of uit.

waarde

Ondersteunde waarden:

• Uitzetten - schakelt vGPU-ondersteuning in de sandbox uit. Als deze waarde is ingesteld, gebruikt Windows Sandbox softwarerendering, wat langzamer kan zijn dan gevirtualiseerde GPU.
• Standaard – dit is de standaardwaarde voor vGPU-ondersteuning; momenteel betekent dit dat vGPU is ingeschakeld.

Opmerking: het inschakelen van gevirtualiseerde GPU kan het aanvalsoppervlak van de sandbox mogelijk vergroten.

Netwerken

Schakelt netwerken in de sandbox in of uit. Het uitschakelen van netwerktoegang kan worden gebruikt om het aanvalsoppervlak dat door de Sandbox wordt blootgelegd, te verkleinen.

waarde

Ondersteunde waarden:

• Uitzetten - schakelt netwerken in de sandbox uit.
• Standaard – dit is de standaardwaarde voor netwerkondersteuning. Dit maakt netwerken mogelijk door een virtuele switch op de host te maken en de sandbox ermee te verbinden via een virtuele NIC.

Opmerking: als u netwerken inschakelt, kunnen niet-vertrouwde toepassingen worden blootgesteld aan uw interne netwerk.

Toegewezen mappen

Wrapt een lijst met MappedFolder-objecten.

lijst met MappedFolder-objecten. 

Opmerking: bestanden en mappen die vanaf de host zijn toegewezen, kunnen worden aangetast door apps in de Sandbox of de host mogelijk beïnvloeden.

Mappedmap

Specificeert een enkele map op de hostcomputer die wordt gedeeld op het containerbureaublad. Apps in de Sandbox worden uitgevoerd onder het gebruikersaccount "WDAGUtilityAccount". Daarom worden alle mappen toegewezen onder het volgende pad: C:\Users\WDAGUtilityAccount\Desktop.

bijv. "C:\Test" wordt toegewezen als "C:\users\WDAGUtilityAccount\Desktop\Test".

pad naar de hostmapwaarde

Hostmap: Specificeert de map op de hostcomputer die moet worden gedeeld met de sandbox. Houd er rekening mee dat de map al op de host moet bestaan, anders start de container niet als de map niet wordt gevonden.

Alleen lezen: Indien waar, wordt alleen-lezen toegang tot de gedeelde map vanuit de container afgedwongen. Ondersteunde waarden: waar/onwaar.

Opmerking: bestanden en mappen die vanaf de host zijn toegewezen, kunnen worden aangetast door apps in de Sandbox of de host mogelijk beïnvloeden.

LogonCommand

Specificeert een enkele opdracht die automatisch wordt aangeroepen nadat de container is aangemeld.

opdracht die moet worden aangeroepen

Opdracht: Een pad naar een uitvoerbaar bestand of script in de container dat wordt uitgevoerd na het inloggen.

Opmerking: hoewel zeer eenvoudige commando's zullen werken (het starten van een uitvoerbaar bestand of script), moeten meer gecompliceerde scenario's met meerdere stappen in een scriptbestand worden geplaatst. Dit scriptbestand kan via een gedeelde map aan de container worden toegewezen en vervolgens worden uitgevoerd via de LogonCommand-richtlijn.

Configuratievoorbeelden

voorbeeld 1

Het volgende configuratiebestand kan worden gebruikt om eenvoudig gedownloade bestanden in de sandbox te testen. Om dit te bereiken, schakelt het script netwerken en vGPU uit en beperkt het de gedeelde downloadmap tot alleen-lezen toegang in de container. Voor het gemak opent de aanmeldingsopdracht de downloadmap in de container wanneer deze wordt gestart.

Downloads.wsb

UitzettenUitzettenC:\Gebruikers\Openbaar\Downloadswaarexplorer.exe C:\users\WDAGUtilityAccount\Desktop\Downloads

Voorbeeld 2

Het volgende configuratiebestand installeert Visual Studio Code in de container, waarvoor een iets gecompliceerdere LogonCommand-configuratie vereist is.

Twee mappen zijn toegewezen aan de container; de eerste (SandboxScripts) bevat VSCodeInstall.cmd, die VSCode zal installeren en uitvoeren. De tweede map (CodingProjects) wordt verondersteld projectbestanden te bevatten die de ontwikkelaar wil wijzigen met VSCode.

Met het VSCode-installatiescript al toegewezen aan de container, kan de LogonCommand ernaar verwijzen.

VSCodeInstall.cmd

REM Download VSCode. krul -L " https://update.code.visualstudio.com/latest/win32-x64-user/stable" --output C:\users\WDAGUtilityAccount\Desktop\vscode.exe REM Installeer en voer VSCode uit. C:\users\WDAGUtilityAccount\Desktop\vscode.exe /verysilent /suppressmsgboxes

VSCode.wsb

C:\SandboxScriptswaarC:\CodingProjectsvalsC:\users\wdagutilityaccount\desktop\SandboxScripts\VSCodeInstall.cmd

Bron: Microsoft