为EC2 G3机型的GPU实例安装Windows下3D驱动 – PCMAN的技术博客

注意：本篇编写于2019年，当时云端GPU机型较少，目前在针对3D设计、3D游戏、仿真等场景的最佳机型为G5，或者也可选上一代G4机型。在远程管理协议的选择上，推荐使用NICE DCV替代之前普遍使用的RDP和VNC。Windows场景可参考这篇，Linux场景可参考这篇。

一、背景

GPU实例的用法分成两种，一种是偏向桌面图形的加速和渲染的，AWS提供了G3、G4系列，配合M60等图形加速卡；一种是偏向机器学习的训练、推理等场景，AWS提供了P2、P3系列，配合V100加速卡。

如果是机器学习场景，请使用AMI镜像中的deep learning镜像，Windows和Linux版本都可以。镜像会预装好多个机器学习框架，做到开箱即用。在创建实例的时候，可以选择输入关键字来搜索镜像。如下截图。

与机器学习的Python+Linux环境不一样，针对与需要3D渲染等场景，需要使用Windows或者是Linux启动Xwin图形管理器，那么选择G3实例搭配Windows系统。

另外需要注意的是，由于微软的RDP版本默认是不支持3D加速的，因此针对3D图形的操作，需要更换其他远程管理工具，开源的有VNC，商用的有Teradici的PC-Over-IP，Citrix的ICA，NICE Desktop Cloud Virtualization（DCV）等。本使用开源的VNC为例做配置。

主要的配置过程如下：

1、选择AMI镜像
2、安装VNC
3、安装驱动
4、注册表配置
5、测试

接下来以AWS国内Region北京为例，讲解Windows Server 2016安装GPU驱动弃启用3D加速。具体配置。

二、原理

虚拟机GPU是基于Nvidia的Tesla系列GPU实现的，需要使用Xen虚拟化，而非KVM虚拟化来支撑，并映射虚拟设备到EC2实例中。来自Nvidia官网的这张图片，解释了具体原理。

更多信息请参考Nvidia官网这里。

由此可以看出，虚拟机内部和底层宿主机是需要分别安装专用的驱动的，只是从官网下载普通PC机游戏卡用的雷管驱动这种方法是不行的，需要在EC2实例内安装专门的Grid驱动。

Grid驱动是收费的，用户需要额外购买license。请参考Nvidia官网的这里。

通过如下截图也可以看到，Grid驱动的License配置界面，这也是普通游戏领域的3D加速卡用户所看不到的菜单。

在AWS上使用EC2实例的GPU型号，例如G3实例，将使用由AWS提供的含有软件授权的Grid驱动。只有完整装好了驱动，才可以启动GPU进行加速和渲染。因此用户在安装时候就不需要在输入License信息了。

三、选择镜像

根据前文的解释，选择镜像的有三大类型：

1、干净的Windows Server 2016标准镜像，需要自行安装所有驱动，本文不适用

这时候只要选择Windows Server 2016就可以了，中英文版本都可以。这是个裸的镜像，不包含机器学习套件，也不包含Nvidia基础驱动，也不包含Grid驱动。本测试中不选择这个版本。

2、带有机器学习框架的Deep Learning镜像，含基础GPU驱动，本文适用

选择这样的镜像，在国内区域也是可以使用的，例如如下截图。选择这个镜像，将包含机器学习套件和Nvidia基础驱动。

3、预装有Nvidia Grid的驱动，包含所有驱动，需要从镜像市场申请，只对海外有效，本文不适用

入口网址在这里。

如下截图是通过海外的Market Place上，可以直接搜索到带Grid驱动的Windows镜像。

需要注意，目前AWS国内的Market Place尚未提供。如果去搜索，是找不到的。如下截图。

本文使用第二种方式，就是AWS国内Region可以选的Deep Learning的Windows Server 2016镜像，已经包含了NVidia的基础驱动，再去手工安装Grid驱动，然后投入使用。

四、安装VNC

1、安装VNC

前文提到过，必须使用非RDP协议才能启用3D加速。RDP协议本质上是RPC方式的，传输的不是图像，而是窗口的调用。如果用RDP协议连接到Windows后，使用dxdiag命令去看GPU信息，会发现显示如下。

如上截图展示的信息，已经是基于一个Deep Learning Windows Server 2016的AMI了，已经是包含了基础Nvidia驱动的版本。从设备管理器中可以看到M60加速卡，从右下角插拔设备中可以看到M60。但是运行检查3D设备的命令 dxdiag 是并不能正常显示的。这是因为RDP使用的显示驱动是WDDM，并不支持3D加速。因此，就需要部署VNC了。

VNC是一个有着20年历史的跨平台协议，早些年前和Terminal Service、NT4.0、Pcanywhere等工具一并活在系统管理员心中。VNC的主要厂家有RealVNC（功能最多，商业版本和免费并行），UltraVNC（界面复杂，配置选项多），TightVNC（简单易用）等厂家。此外还有各Linux发行版都有自己原生的VNC工具，MacOS自己也可以起VNC Server把桌面share出去。本文档以TightVNC为基础编写。

下载地址不推荐用baidu搜索，搜出来很多下载站都含木马，最好从官网下载。点击这里跳转到官网。觉得官网速度太慢的，可以从本文作者的镜像这里下载。

下载到桌面上开始安装。

在安装方式这个界面，选择完全安装。

在下一个界面，选择所有默认值，其中有一个项目是注册为服务随机自动启动。

这一步点击Install安装。

安装提示设置VNC认证密码。VNC协议在独立于OS账号，另外有一个密码设置。以前很多人在内网临时调试都不设置密码，或者密码强度不够，这样都很不安全。如下截图，设置密码完成。

安装完成。

2、提升安全的配置（可选）

接下来进行配置。从任务栏中，找到TightVNC图标，点击鼠标邮件，选择配置。如下截图。

现在VNC Server已经启动成功了。为了提升安全，我们进一步做一些配置。如下两个截图是可选配置，可以跳过，不影响使用，为了安全，最好修改配置。

进入配置界面后，第一个标签页“Server”中，左上角可以看到默认监听在5900端口，改端口就在这里操作。右侧还有一个WEB版本的Java的VNC，这个其实用处不大，另外不安全，默认是开启的，建议关闭它。另外左下角的红色框，移除桌面背景，可以提升网络速度，酌情可修改配置。如下截图。

接下来几个标签页都不需要修改。来到最后一个标签页，Adminsitration。这里最重要的是右上角，当VNC断开后，自动锁屏。不锁屏的话，就等于人在办公室上洗手间，电脑没锁屏了。这里更严格的安全可以选注销，不过应用就都会自动退出丢失掉了。下边的红色框，是一个多进程复用的选项。VNC可以允许Shared进程，就是说两个人都用VNC客户端连接同一个Server，A用户做操作，B可以看见。这个选项是决定是否允许多人Shared的，可酌情调整。不修改默认值不影响使用。本页的两个选项，就锁屏是处于安全角度必须修改的。如下截图。

在上图中点击OK配置完成。

3、开放EC2实例的安全规则组（注意确认）

上文可选的配置做完了，请确认EC2实例的安全规则组放行了5900 TCP协议。

经确认，5900端口开放。具体过程设置安全规则组的方法略过。

4、开放Windows操作系统防火墙（可选步骤，默认自动配置成功）

Windows OS是自带软件防火墙的，默认只开放了3389端口，5900不是系统标准服务端口，需要确认打开。如果上文的安装顺利，安装程序会自动将5900端口加入Windows防火墙的开放列表。如下步骤是一个确认步骤。

点击开始菜单，在Windows Server 2016的这里选择系统管理。

在弹出的对话框中，选择Windows Firewall and Advanced Security。这里将直接进入Windows防火墙的高级设置，直接开进出栈双向安全规则。

进入高级防火墙配置界面后，左上角选择入栈规则，最上方第一条就是TightVNC安装程序，将自己加入了放行名单。因此本步骤主要是确认防火墙开放正常。

5、测试VNC

测试VNC又一个需要特别注意的场景，很多地方的网络存在一些屏蔽和管控，会造成5900端口无法访问。因此，从家里的网络连接过去不成功，并不意味着Server没有配置正确。

本文中的测试采用如下方式：

VNC Server端是一个G3实例（Tesla M60 GPU），运行地点在AWS北京Region
发起访问的VNC Client是一个T2实例（不带GPU），运行地点在AWS宁夏Region
客户端访问Server端，从Internet公网访问，使用EIP
全通道没有配置VPN或其他专线

按照以上场景测试，先登录到用于发起测试的客户端Windows节点。

前文介绍过，VNC客户端有很多厂家很多版本，本文使用的是TightVNC客户端。另一款使用更多的是RealVNC Viewer。TightVNC官网前文已经提供，RealVNC官网入口在这里。从本文作者镜像下载地址在这里。

如果使用TightVNC，从开始菜单进去，选择TightVNC Viewer。

启动后的TightVNC客户，在Remote地址中输入要登录的Server的EIP地址。然后点击Connect。

VNC认证步骤，输入安装VNC Server时候设定的VNC密码。注意：VNC自己的认证体系只有密码，没有用户名。

认证通过后，可以看到VNC连接成功，远端的终端控制台画面投射过来了。

接下来要继续完成Windows登录认证。Windows登录时候需要按Ctrl+Alt+Del键，这是从Windows NT3.5时代延续了20年的微软的习惯。不同厂家的VNC客户端一般都会提供发送组合键的快捷键，因为一般透过远程桌面等工具，快捷键都是不生效的。如下截图，红框里边就是发送登录Ctrl+Alt+Del键。

随手输入Windows管理员密码就可以了。

这里还需要补充一点，这种形式的VNC登录，是在虚拟机Guest OS内部安装VNC Server端实现的，与传统的VMware ESXi自带VNC Console、与Openstack的NoVNC可以映射Hypervisor Console还是不一样的。当Guest OS的操作系统坏掉无法启动的时候，VNC自然也不能启动了。

6、设置Administrator之外的第二用户方便登录（可选）

本步骤是为了降低AWS上使用难度而添加，可选可跳过。

在AWS上创建好的Windows实例，管理员密码非常的变态而安全。对于不熟悉EC2 Windows的人来说我们增加一点解释。从EC2进去，找到Windows实例，点击上方的按钮连接，这时候提示，需要按Get Password才可以获取密码。如下截图。

接下来可以看到，AWS提供的EC2 Windows的AMI镜像，是没有默认管理员密码直接暴露可见的，创建Windows的第一时间也不能配置。这与国内一些云直接在模版中明文提供密码的安全方式有非常大的区别。为了获取密码，您需要上传证书文件，也就是登录Linux实例时候用的pem文件。然后点击解码，才能显示出来密码。如下图所示。

当解码后，获得是一串32个字母的随机字符串，包含大小写、数字、特殊符号。这一大串，要输入到VNC Console且还不能粘贴，可想是比较痛苦的。因此本文将建立一个密码稍短的新Windows用户，也包含特殊字符，强度比较高，但是方便VNC登录输入。

设置方法是，点击开始菜单，选择Windows管理。如下截图。

在弹出的一大堆管理工具中，选择“Computer Management”，如下截图。

在左侧找到“Local User and Groups”用户管理，右侧可以看到，除了Administrator外，其他用户是禁用的。

在空白处点击鼠标右键，选择“New User”。如下截图。

在弹出的新建用户界面，输入登录名“VNC”，密码注意一定要设置的足够复杂，当然不需要32位那么夸张。还有更多密码选项，例如首次登录是否强制修改密码，是否允许用户修改密码、和密码是否过期，这里为保证安全，不要选择密码用不过期。然后点击Create按钮，完成创建。

用户创建完成。此时用户还是低权限Users，需要安装软件的话，要赋予Admin权限。在用户名上点鼠标右键，选择属性。如下截图。

在弹出的对话框中，切换到第二个标签页“Member Of”，可以看到目前只列出了Users普通用户组。如下截图。

点击Add按钮，在弹出的对话框中输入 administrators ，注意带字母s，这是group的名字。用户名是不带s，group是复述带s。然后点击右下角OK按钮。

如果输入正确，配置完成。如果输入administrators组的名字拼写错误，系统会继续提示从所有组中手工再去选定一个。因此不要输错一步就通过配置。

添加完成后，可以看到用户VNC同时属于Administrators和Users两个组。为了严格管理，建议删除掉Users组，让用户只输入管理员组。如下截图。

至此添加第二用户完成。

现在返回到刚才VNC登录界面上。重新连接下，再发送Ctrl+Alt+Del可以看到，左下角出现了新创建的vnc账户。

输入VNC账户的密码。

登录成功。

本小节额外设置第二账号而不是修改默认的管理员密码，还有一个额外的意义，就是方便从EC2控制台上随时查询初始密码。因此额外添加一个也是一种易用使用的方案。但一定需要注意确保密码复杂度和账户安全。否则带来的是可怕的安全风险和隐患。

7、更换端口绕开屏蔽从公网上直接发起连接

前文解释了以上演示是通过AWS宁夏区域的另外一个Windows跳板去访问位于北京的带有GPU的G3实例。这样的原因是某些运营商限制了VNC常用的5900、5800，并且常见的桌面 :1 和 :2 对应的5901和5902这些都一并封杀了。经过测试，在北京联通的接入地区使用52001端口可以访问。

为了方便使用，我们调整端口到52001。如下图。

修改配置后，点击OK，不需要重启服务，自动生效。

Windows系统自带的防火墙，是无须调整的，因为TightVNC安装时候，设置的通行规则是基于服务的，不是基于端口。所以端口改动后，服务启动的后台对照的exe可执行文件还是同一个，并没有改变，所以Windows会自动放开52001这个端口。

要修改的是安全规则组，必须手工添加52001放行。如下图。

然后我们使用Windows10上的RealVNC Viewer客户端去连接。下文都是基于Windows客户端编写。

启动RealVNC Viewer客户端后，在地址栏输入Server的EIP和端口号。然后按回车键。

接下来弹出的对话框，提示这个访问是没有加密的VNC访问。这里可以忽略并点击以后不再提醒。

RealVNC商用版本的一大特点是支持加密，可以在服务器端和客户端之间建立加密通道传输，并可设置规则如果客户端是低版本或者其他厂家不支持加密的客户端，就自动断开连接。当然，使用这一功能要求服务器端和客户端都是RealVNC的商用版本。

如果没有RealVNC商用版本的加密，要想提升安全，可以选择AWS Direct Connect服务，在您的G3实例所在的Region和您的办公室之间通过专线互联，或者使用site-to-site VPN互联，提升传输安全性。

接下来输入VNC登陆密码。

登陆成功！ RealVNC登陆后的几秒内，页面下方会继续显示未加密的连接，过几秒会自动隐藏。另外，RealVNC的工具栏是悬浮在最上方的一个不起眼的状态条，鼠标移动过去，就会滑动出来按钮。

触发Ctrl+Alt+Del输入。

至此在Windows上用VNC客户端登陆服务器端成功。

五、安装Grid驱动并启用GPU加速

1、检查Nvidia显卡驱动（可选）

前文提到过，我们选择的AMI镜像是AWS提供的Deep Learning镜像，包含了机器学习套件和基础GPU驱动，那么是有多Deep呢，我们这个步骤确认一下。

首先点击开始菜单，选择控制面板。如下截图。

接着从控制面板中选择添加删除程序，如下截图红色部分。

打开添加删除程序后，可以看到当前使用的Deep Learning AMI是预装好了基础GPU驱动和完整机器学习框架的。

因此，如果没有按照本文，而是选择了空白的Windows Server镜像，那么所有的工具都需要手工安装，工作量巨大。

2、配置Windows服务组件

点击左侧的安装Windows功能。

这一步要稍等数秒后才会弹出窗口，Windows会弹出Windows Server 2012/2016/2019新版的Server管理界面，在这个界面上添加删除系统组件。这个步骤的向导信息页面直接跳过

这一步是远程桌面配置模式，默认值不要修改，直接点击下一步继续。

继续选择是对本次发起操作还是对其他服务器发起操作。如下截图。

接下来的服务器角色配置界面，点击Next跳过。因为我们要安装的属于“Feature”，而不是“Role”。如下截图，保持默认值，直接按跳过去下一步。

接下来在选择Feature界面，选中如下两个。这两个是AWS官方文档启用GPU要求额外安装的服务。

准备好安装。这一步选择自动重启或手工重启均可。

安装进行中。

安装完成。点击Close关闭。

至此Windows组件安装完成。

注：请重启Windows。

3、切换显卡（可选）

下一步要禁用掉系统默认的显卡。这一步不会造成显示不正常，因此不需要担心像禁用网卡一样把自己的实例完全损坏。而且这个步骤如果不禁用，后文也会讲到他的效果。建议先禁用。

从开始菜单初点击计算机管理。如下截图。

在打开的管理工具中选择计算机管理。如下截图。

进入设备管理器，从中找到显示适配器，可以看到默认微软显卡和M60。如下图。

选择Disable。如下截图。

系统的提示会有点吓人，别担心，点击Yes禁用显卡。

禁用成功后，可以看到默认微软显卡带有一个禁用符号。

至此Windows配置完成。

4、安装Grid驱动

下面安装Nvidia Grid驱动。

前文提到过，海外的Market Place提供了已经包含Grid驱动的AMI镜像。目前国内北京和宁夏暂时不提供。因此我们要手工安装。

安装之前，需要您同意并遵循NVIDIA GRID Cloud 最终用户许可协议。安装程序下载是位于AWS美东的S3的一个专用Bucket上，储存这GPU一系列驱动。为了访问这个bucket，您需要从AWS下载CLI命令行工具，并且配置好命令行，包括必要的密钥，且设置操作的Region是us-east-1区域。

首先使用如下命令查看当前最新版本。

aws s3 ls s3://ec2-windows-nvidia-drivers/latest

然后使用如下命令从S3复制到本地。

aws s3 cp s3://ec2-windows-nvidia-drivers/latest/431.79_grid_win10_server2016_server2019_64bit_international.exe ～/Downloads

注意，以上命令的文件名以当时最新版为准。执行后效果如下图。

为了便于操作，本文作者这里提供一个镜像加速下载。为了安全起见，建议还是从S3原始Bucket内下载，虽然速度会稍慢。

下载到桌面后，开始安装。如下截图。

设置临时文件路径，这里无需调整。如下截图。

安装程序第一步，选择接受许可协议。

选择默认的快速安装即可。如下截图。

安装进行中。

安装完成。

接下来重启桌面。重启的时候Windows Server会询问重启原因，这里随便选择一个就可以了。也可以如实选择。

重启Windows之后，Grid驱动安装完成。

5、设置多屏幕显示分辨率

重启后重新回来，再次链接VNC，可以看到Console已经是高分辨率了。

登陆进来后，分辨率太高，不利于操作，当然如果有27英寸以上的、2K或4K高清显示器还是可以很舒服的。

如果要降低分辨率，此时操作就和一台普通笔记本一样，因为VNC操作的其实就是本机的控制台，所以不像用RDP协议时候是不能调整分辨率和字体大小的。如下截图，点击红色的位置进入限制配置界面。

在显示管理界面，点击高级。如下截图红色框部分。

打开后发现默认分辨率是2K分辨率，即2560×1600。有点高，降低到1024×768吧。选择希望使用的分辨率后，点击应用按钮。

系统询问分辨率是否显示正常。正常的话就点击确认。如下截图。这一步在笔记本、台式机等PC机和图形工作站上常用的反悔步骤，因为调整过高可能显示器直接黑屏。VNC窗口不会有这个问题。直接确认分辨率修改。如下截图。

至此调整完毕。

在上述步骤中，刚才有一个步骤是禁用了默认显卡。这一步如果不禁用会发生什么？我们回到设备管理器中，把显卡给启用，然后看看效果。

调整后VNC窗口成双显示器了，两个开始菜单，而且任意窗口是可以横跨两个窗口的，实现了双屏拼接的效果。

因此，调整分辨率这个步骤中可以看到，禁用默认显卡主要是为了当屏幕操作VNC和应用方便。和前文一样，建议禁用默认显卡。这里操作完成后，请重启Windows才能让启用禁用显卡的过程生效。

后文我们回到单屏幕，禁用了微软默认显卡，并重启让禁用默认显卡的行为生效，然后继续配置。

6、优化GPU设置

这一个步骤的意义是设置GPU的节点模式，关闭在低功耗状态下让GPU低频率运行的保护。这个设置必须要参考不同规格的实例使用的是不同型号的GPU，他们的主频也不同，具体参见AWS官方文档，如果设置错误，可能导致系统运行不正常，甚至死机。

本文的编写是按照G3实例M60加速卡。

首先以管理员身份启动cmd命令行。方法是点击开始菜单后，输入cmd，然后对其点鼠标邮件，选择以管理员身份启动（Run as Administrator）。注意：这个步骤如果不是管理员身份，运行会报错。

在以管理员身份启动cmd后，我们分别输入如下三行：

cd "C:\Program Files\NVIDIA Corporation\NVSMI"
nvidia-smi.exe --auto-boost-default=0
nvidia-smi.exe -ac "2505,1177"

愉快的配置成功。如下截图所示。

7、系统注册表配置修改（脚本和手工两个方式二选一）

安装配置最后一个步骤是修改系统注册表。

如果是使用脚本自动修改，请用文本编辑器编辑如下代码，并保存为grid.reg到桌面上。

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\NVIDIA Corporation\Global\GridLicensing]
"NvCplDisableManageLicensePage"=dword:00000001
"FeatureType "=dword:00000000
"IgnoreSP "=dword:00000001

保存好之后如下效果。

然后双击执行即可。再如下界面中，选择确认允许修改。

系统继续提示是否要修改注册表，点击Yes确认修改。

修改成功。

如果是手工修改，按照如下流程：

（1）导航到 HKEY_LOCAL_MACHINE\SOFTWARE\NVIDIA Corporation\Global\GridLicensing。

（2）对右侧空白处点击鼠标右键，选择新建，然后选择类型是 DWORD（32bit）。在名称位置输入 NvCplDisableManageLicensePage，输入完成后按回车键确认。接着双击打开刚才行创建的 NvCplDisableManageLicensePage ，选择十六进制（HEX），值输入 1，点击确定。参考下图。

（3）遵循上述工作顺序，再新建一个字段，类型是 DWORD（32bit）。在名称位置输入 FeatureType ，选择十六进制（HEX），值 0，点击确定。参考下图。注意，这一步是参考AWS的文档做的修改，但是中文翻译的语法比较不符合本土中文习惯，参考英文文档明确给出这一步设置值为0。英文文档出处在这里。