桌面虛擬化系統(tǒng)解決方案

1、-作者xxxx-日期xxxx桌面虛擬化系統(tǒng)解決方案【精品文檔】桌面虛擬化系統(tǒng)解決方案【精品文檔】目 錄第1章概述4項(xiàng)目背景和目的4第2章項(xiàng)目需求5功能需求5集中管理5應(yīng)用虛擬化5桌面虛擬化5存儲(chǔ)隔離5數(shù)據(jù)保護(hù)5遠(yuǎn)程接入訪問控制5訪問日志5技術(shù)需求6水平擴(kuò)展6負(fù)載均衡62.3 服務(wù)器安全防護(hù)6第3章解決方案及對(duì)應(yīng)項(xiàng)目需求的實(shí)現(xiàn)7總體方案構(gòu)架7應(yīng)用場(chǎng)景描述7內(nèi)部辦公人員：7內(nèi)部研發(fā)人員：7對(duì)應(yīng)功能需求的實(shí)現(xiàn)8集中管理8應(yīng)用虛擬化9桌面虛擬化10存儲(chǔ)隔離10數(shù)據(jù)保護(hù)11遠(yuǎn)程接入訪問控制12訪問日志13技術(shù)需求的實(shí)現(xiàn)14水平擴(kuò)展14負(fù)載均衡14服務(wù)器安全防護(hù)14第4章系統(tǒng)預(yù)算18第1章 概述1.1 項(xiàng)

2、目背景和目的隨著公司內(nèi)部辦公項(xiàng)規(guī)模擴(kuò)大，辦公環(huán)境的管理更加復(fù)雜，安全管理的要求也日益提升。利用現(xiàn)有硬件資源，建立一個(gè)簡(jiǎn)單、易用、安全的統(tǒng)一接入平臺(tái)，以有效進(jìn)行辦公環(huán)境的規(guī)范管理，支持可控的遠(yuǎn)程訪問模式，同時(shí)對(duì)于研發(fā)環(huán)境如何保護(hù)重要數(shù)據(jù)與代碼的安全提出了挑戰(zhàn)。（1）每臺(tái)使用C/S系統(tǒng)的設(shè)備都需要安裝各個(gè)模塊的客戶端，部署和維護(hù)客戶端需要花費(fèi)大量的時(shí)間和人力（2）如何進(jìn)行遠(yuǎn)程的維護(hù)、技術(shù)支持以及靈活的擴(kuò)展與搬遷，這是IT人員希望亟待解決的問題；（3）由于大量的數(shù)據(jù)在廣域網(wǎng)上傳輸，因此遠(yuǎn)程的訪問速度和網(wǎng)絡(luò)性能經(jīng)常得不到保障，數(shù)據(jù)安全面臨挑戰(zhàn)；（4）隨著軟硬件的頻繁升級(jí)與更新，客戶端設(shè)備不可避免地要被

3、淘汰，應(yīng)該如何控制系統(tǒng)追加投資？（5）不同的B/S應(yīng)用系統(tǒng)需要在用戶的瀏覽器中安裝或升級(jí)不同的插件，修改相關(guān)安全設(shè)置，這就產(chǎn)生了插件版本管理問題、插件維護(hù)問題等。（6）遠(yuǎn)程低帶寬時(shí)訪問效率不理想。第2章 項(xiàng)目需求2.1 功能需求2.1.1 集中管理將辦公環(huán)境中的應(yīng)用軟件進(jìn)行集中管理，可以根據(jù)需要隨時(shí)調(diào)整辦公環(huán)境的應(yīng)用部署，簡(jiǎn)化辦公人員客戶端的辦公環(huán)境配置及部署要求。2.1.2 應(yīng)用虛擬化具有包括各類辦公工具在內(nèi)的應(yīng)用軟件發(fā)布功能和Web網(wǎng)頁發(fā)布功能。2.1.3 桌面虛擬化特定企業(yè)用戶可使用集中部署的虛擬桌面進(jìn)行日常辦公和設(shè)計(jì)工作，工作數(shù)據(jù)均保存在后臺(tái)服務(wù)器。2.1.4 存儲(chǔ)隔離每個(gè)用戶能建立各

4、自的文件系統(tǒng)或存儲(chǔ)空間，相互之間不能訪問。但授權(quán)用戶可以訪問特定用戶組的存儲(chǔ)空間，可以通過FTP或者其它方式獲取用戶存儲(chǔ)空間的數(shù)據(jù)。2.1.5 數(shù)據(jù)保護(hù)研發(fā)人員所有的代碼及辦公數(shù)據(jù)只在服務(wù)器端傳遞，提高系統(tǒng)數(shù)據(jù)訪問的安全性。2.1.6 遠(yuǎn)程接入訪問控制支持分公司遠(yuǎn)程接入的辦公模式，能有效控制用戶的剪貼板、本地硬盤、打印機(jī)、端口等操作，做到分公司人員未經(jīng)授權(quán)無法從任何渠道獲取代碼、文檔和辦公數(shù)據(jù)。對(duì)于合作公司的遠(yuǎn)程訪問要求能有效控制，包括登錄時(shí)間段、登錄用戶的監(jiān)控。2.1.7 訪問日志用戶登錄及對(duì)辦公工具和應(yīng)用軟件的訪問，應(yīng)該有日志記錄。2.2 技術(shù)需求2.2.1 水平擴(kuò)展服務(wù)器端支持水平擴(kuò)展，

5、能通過水平增加服務(wù)器來適應(yīng)辦公需求的擴(kuò)大。2.2.2 負(fù)載均衡可根據(jù)用戶訪問量和資源使用情況，動(dòng)態(tài)分配到到負(fù)載量最低的服務(wù)器上?？芍С质謩?dòng)負(fù)載均衡操作。2.3 服務(wù)器安全防護(hù)保證服務(wù)器對(duì)外服務(wù)時(shí)，系統(tǒng)安全性，確保數(shù)據(jù)安全。第3章 解決方案及對(duì)應(yīng)項(xiàng)目需求的實(shí)現(xiàn)3.1 總體方案構(gòu)架通過Citrix XenApp集中部署和發(fā)布應(yīng)用客戶端軟件，整個(gè)的后臺(tái)應(yīng)用服務(wù)器架構(gòu)沒有變化，客戶端可以通過XenApp來訪問集中發(fā)布的各種企業(yè)應(yīng)用和辦公工具。其整體構(gòu)架如下圖所示：3.2 應(yīng)用場(chǎng)景描述3.2.1 內(nèi)部辦公人員：內(nèi)部辦公人員直接訪問Citrix統(tǒng)一身份驗(yàn)證平臺(tái)，獲取授權(quán)的虛擬桌面和虛擬應(yīng)用程序，開展日常辦

6、公工作，用戶數(shù)據(jù)集中保存在文件服務(wù)器。3.2.2 內(nèi)部研發(fā)人員：研發(fā)人員使用沒有硬盤的PC機(jī)，通過Citrix Provisioning Server網(wǎng)絡(luò)引導(dǎo)，創(chuàng)建無盤工作站環(huán)境，操作系統(tǒng)鏡像保存在Citrix Provisioning Server上，軟件更新及系統(tǒng)補(bǔ)丁只需在服務(wù)器上進(jìn)行一次更新即可完成。研發(fā)數(shù)據(jù)均保存在數(shù)據(jù)中心服務(wù)器上，未經(jīng)允許研發(fā)人員無法通過任何途徑獲得相關(guān)數(shù)據(jù)文件。常用辦公軟件（OA，ERP，CRM等）集中安裝在Citrix XenApp上，而所有訪問用戶使用終端設(shè)備只需通過IE就可以運(yùn)行授權(quán)的虛擬桌面和應(yīng)用程序（第一次訪問時(shí)會(huì)自動(dòng)提示下載安裝一個(gè)幾兆大小的Citrix

7、 ICA插件），多用戶同時(shí)訪問時(shí)，由XenApp管理和運(yùn)行應(yīng)用客戶端軟件的多進(jìn)程訪問，并控制向不同用戶發(fā)布的權(quán)限。Citrix可整合企業(yè)現(xiàn)有的活動(dòng)目錄中的用戶賬戶來進(jìn)行用戶身份認(rèn)證。圖中的文件服務(wù)器，提供了用戶的個(gè)人數(shù)據(jù)存儲(chǔ)功能。通過使用Windows的目錄權(quán)限控制，及文件夾重定向功能，可以做到用戶數(shù)據(jù)的安全保存及漫游訪問。對(duì)于未來非辦公網(wǎng)段的應(yīng)用的部署，可以通過在相應(yīng)的網(wǎng)段部署XenApp服務(wù)器來實(shí)現(xiàn)。備注：在本建議書中，由于項(xiàng)目初步階段的應(yīng)用都集中在辦公網(wǎng)段，所以在軟件及硬件配置清單中，只考慮了在辦公網(wǎng)段部署XenApp和Xendesktop服務(wù)器。若在其他網(wǎng)段部署額外的XenApp和Xe

8、nDestktop服務(wù)器，由于Citrix的軟件許可是基于并發(fā)用戶數(shù)，只要并發(fā)用戶數(shù)不變，可以共用已有的Citrix XenApp和XenDesktop軟件許可，無需另外采購。只需要增加相應(yīng)的服務(wù)器硬件及Windows授權(quán)即可。在后端的服務(wù)器資源方面，可以采用服務(wù)器虛擬化整合之后剩余的服務(wù)器。3.3 對(duì)應(yīng)功能需求的實(shí)現(xiàn)3.3.1 集中管理Citrix的集中部署模式只將企業(yè)應(yīng)用部署在數(shù)據(jù)中心，由于客戶端和服務(wù)器位于同一局域網(wǎng)內(nèi)，因而應(yīng)用性能和安全性得到提升，用戶可以通過任意終端和任意網(wǎng)絡(luò)進(jìn)行訪問數(shù)據(jù)中心，非常方便；而企業(yè)只需對(duì)局域網(wǎng)內(nèi)的數(shù)據(jù)中心進(jìn)行管理，實(shí)現(xiàn)了管理維護(hù)的簡(jiǎn)化。應(yīng)用軟件的安裝及配置

9、變化，均可以在服務(wù)器端集中進(jìn)行，大大簡(jiǎn)化了辦公環(huán)境的配置和部署。3.3.2 應(yīng)用虛擬化XenApp為用戶提供了基于服務(wù)器的計(jì)算模式（Server-based Computing），實(shí)現(xiàn)了虛擬化應(yīng)用發(fā)布。其技術(shù)核心是ICA協(xié)議，ICA協(xié)議連接了運(yùn)行在XENAPP服務(wù)器上的應(yīng)用進(jìn)程和遠(yuǎn)端客戶端設(shè)備，通過ICA的32個(gè)虛擬通道（包括鼠標(biāo)、鍵盤、圖像、聲音、端口、打印等等），運(yùn)行在中心服務(wù)器上的應(yīng)用進(jìn)程的輸入輸出數(shù)據(jù)重新定向到遠(yuǎn)端客戶端機(jī)器的輸入輸出設(shè)備上，因此雖然應(yīng)用客戶端軟件并沒有運(yùn)行在客戶端設(shè)備上，但是用戶使用起來和在客戶端安裝運(yùn)行客戶端軟件相比，沒有感覺任何操作上的改變。XenApp虛擬化應(yīng)用

10、發(fā)布原理如下圖所示：由于ICA協(xié)議是一種高效率的數(shù)據(jù)交換協(xié)議，同時(shí)在中心服務(wù)器和遠(yuǎn)端終端設(shè)備之間傳遞的是經(jīng)過壓縮和加密的屏幕刷新和鼠標(biāo)鍵盤信息，因此每一個(gè)連接只占用十幾K的網(wǎng)絡(luò)帶寬。這種模式使得企業(yè)應(yīng)用部署架構(gòu)上發(fā)生變化，從一種分布式部署變成了大集中的應(yīng)用部署，因而帶來了應(yīng)用訪問、性能及安全等各個(gè)方面的提升。3.3.3 桌面虛擬化Citrix XenDesktop可提供一種端到端的桌面交付解決方案?？蓜?dòng)態(tài)按需產(chǎn)生虛擬桌面，用戶每次登錄時(shí)都能獲得一個(gè)干凈的、個(gè)性化的全新桌面從而確保性能不會(huì)下降。此外，XenDesktop采用的高速交付協(xié)議還可在任何網(wǎng)絡(luò)條件下提供無與倫比的響應(yīng)速度。對(duì)于IT機(jī)構(gòu)而

11、言，XenDesktop可通過分別交付桌面操作系統(tǒng)、應(yīng)用和用戶設(shè)置，大大簡(jiǎn)化桌面生命周期管理并顯著降低擁有成本。Citrix XenDesktop可為任意地點(diǎn)的用戶按需交付桌面，同時(shí)顯著簡(jiǎn)化生命周期管理。它可提供一種端到端的桌面交付解決方案，為最終用戶加速交付桌面，提供更強(qiáng)大的數(shù)據(jù)保護(hù)和監(jiān)控，并降低高達(dá)40%的擁有成本。采用桌面虛擬化技術(shù)可以在數(shù)據(jù)中心集中化管理桌面，還可輕松實(shí)現(xiàn)安全防護(hù)及備份。然而，經(jīng)常出現(xiàn)的同一生命周期管理問題依然存在IT部門仍需對(duì)每個(gè)虛擬桌面鏡像及其所安裝的應(yīng)用程序和用戶設(shè)置進(jìn)行管理、維護(hù)和更新。另外，桌面虛擬化還會(huì)帶來新的挑戰(zhàn)尤其是會(huì)使用戶的網(wǎng)絡(luò)性能大大降低，使每位用戶

12、的桌面鏡像網(wǎng)絡(luò)存儲(chǔ)成本大大增加。3.3.4 存儲(chǔ)隔離通過選擇NTFS文件系統(tǒng)和Windows Server的用戶Profile機(jī)制，每個(gè)用戶可以有自己的存儲(chǔ)空間。利用NTFS的文件權(quán)限的管理機(jī)制，用戶在服務(wù)器端的私有存儲(chǔ)空間，工作目錄，臨時(shí)文件可以被安全的管理和限制。可限制用戶的對(duì)其他用戶數(shù)據(jù)的交叉訪問。也可給予特定管理員訪問、獲取用戶數(shù)據(jù)的權(quán)限。同時(shí)可以通過配置Windows Server 2003的文件夾重定向，將My Documents等目錄集中重定向到集中的文件服務(wù)器，從而保證用戶不管登錄到哪臺(tái)服務(wù)器，都能一致地訪問其用戶數(shù)據(jù)。3.3.5 數(shù)據(jù)保護(hù)傳統(tǒng)模式應(yīng)用分布在企業(yè)的所有客戶端上，

13、其安全要考慮各個(gè)環(huán)節(jié)：服務(wù)器、客戶機(jī)和端到端的網(wǎng)絡(luò)；其維護(hù)和安全管理范圍需要涵蓋企業(yè)的每一臺(tái)終端設(shè)備和跨廣域網(wǎng)段。因?yàn)榭蛻舳酥苯釉L問后臺(tái)時(shí)，之間傳輸?shù)臄?shù)據(jù)是真實(shí)的企業(yè)應(yīng)用數(shù)據(jù)，該數(shù)據(jù)會(huì)被緩存在用戶本地或在傳輸中被截獲，這些都是不安全因素；而用戶訪問XenApp或XenDesktop服務(wù)器時(shí)，之間傳輸?shù)氖瞧聊辉隽孔兓畔⒑褪髽?biāo)鍵盤變化信息，用戶端無任何應(yīng)用數(shù)據(jù)緩存在本地，同時(shí)中途截獲這些信息然后反推出用戶真正的辦公操作和數(shù)據(jù)比直接截獲辦公數(shù)據(jù)困難上千倍。因而可以說數(shù)據(jù)總是存放在最安全的地方。XenApp和XenDesktop帶來的最大益處是采用應(yīng)用虛擬化方式阻止數(shù)據(jù)任何時(shí)候離開數(shù)據(jù)中心。對(duì)于遠(yuǎn)程

14、用戶從公網(wǎng)訪問內(nèi)網(wǎng)，XenApp和XenDesktop通過嚴(yán)格的用戶認(rèn)證進(jìn)行安全權(quán)限控制。由于網(wǎng)絡(luò)上傳輸?shù)闹皇强蛻舳说逆I盤、鼠標(biāo)動(dòng)作以及顯示界面的刷新部分，辦公數(shù)據(jù)和代碼的并不下載到客戶端本地；數(shù)據(jù)、緩存、Cookie等等全部在中央受限的環(huán)境中控制；另外ICA協(xié)議還含有多種加密技術(shù)，保證顯示界面和用戶操作數(shù)據(jù)的安全傳輸；客戶端的操作感覺雖然就像在本機(jī)操作一樣，但未經(jīng)權(quán)限許可，不得擅自修改、備份、拷盤、打印等。通過應(yīng)用發(fā)布的方式，內(nèi)部員工和外部合作公司的員工只能使用本崗位的應(yīng)用程序，而不能打開其他的應(yīng)用軟件或數(shù)據(jù)信息。對(duì)于研發(fā)人員可采用無盤工作站的工作原理，客戶端均為無硬盤的PC機(jī)通過Citri

15、x Provisioning Server的無盤啟動(dòng)為開發(fā)人員提供研發(fā)環(huán)境，所有研發(fā)數(shù)據(jù)均保存在文件服務(wù)器，通過設(shè)置禁用本地所有端口（例如：USB端口，打印端口等）確保企業(yè)核心數(shù)據(jù)不被泄露。3.3.6 遠(yuǎn)程接入訪問控制Citrix 為用戶提供了統(tǒng)一的安全接入手段，一個(gè)典型的接入過程如下圖所示：首先用戶需要進(jìn)行身份認(rèn)證，XenApp集成了各種身份認(rèn)證手段，包括雙因素認(rèn)證等，訪問用戶提供用戶名、口令和passcode：當(dāng)用戶通過認(rèn)證后，會(huì)通過加密鏈路進(jìn)入其個(gè)人訪問門戶，看到其所能訪問的各個(gè)應(yīng)用軟件：當(dāng)用戶使用某一軟件，或訪問某一系統(tǒng)，通過Citrix的虛擬化服務(wù)器和口令管理，在幾秒內(nèi)自動(dòng)完成應(yīng)用調(diào)

16、用和登陸，然后用戶就可以如在本地一樣使用所需軟件和應(yīng)用。而管理員不僅可以方便地設(shè)置每個(gè)應(yīng)用允許哪些用戶的訪問，并且可以詳細(xì)地記錄用戶對(duì)各應(yīng)用的使用情況。通過Citrix 應(yīng)用交付平臺(tái)可以嚴(yán)格控制用戶對(duì)應(yīng)用的訪問，根據(jù)不同用戶接入時(shí)的不同場(chǎng)景，將有相應(yīng)的接入策略與之對(duì)應(yīng)，并控制用戶使用企業(yè)資源的過程和操作?？煽刂频牟僮骱唾Y源訪問包括Copy/Paste、打印、保存到本地，端口的訪問等。3.3.7 訪問日志管理員不僅可以方便地設(shè)置每個(gè)應(yīng)用允許哪些用戶的訪問，并且可以使用SQL數(shù)據(jù)庫的方式，詳細(xì)地記錄用戶對(duì)各應(yīng)用的使用情況，可以生成各種報(bào)表，如用戶登錄時(shí)間，運(yùn)行的應(yīng)用等。3.4 技術(shù)需求的實(shí)現(xiàn)3.4

17、.1 水平擴(kuò)展Citrix 內(nèi)置實(shí)現(xiàn)了群集功能，在Citrix服務(wù)器配置中集群稱之為一個(gè)Farm， 當(dāng)用辦公系統(tǒng)規(guī)模擴(kuò)大時(shí)，可以方便地通過在Server Farm中添加服務(wù)器來進(jìn)行水平擴(kuò)展。3.4.2 負(fù)載均衡在Citrix的Server Farm中， “Data Collector”負(fù)載均衡調(diào)度服務(wù)器負(fù)責(zé)收集每一臺(tái)服務(wù)器里面的一些動(dòng)態(tài)信息，如CPU，內(nèi)存等使用情況，并與之進(jìn)行交流；當(dāng)有應(yīng)用請(qǐng)求時(shí)，自動(dòng)將請(qǐng)求轉(zhuǎn)到負(fù)載最輕的服務(wù)器上運(yùn)行。Server Farm同時(shí)提供了高可用性功能，當(dāng)單點(diǎn)服務(wù)器出現(xiàn)故障時(shí)不影響用戶使用，用戶會(huì)重新連接到另外一臺(tái)負(fù)載較輕的服務(wù)器上。從而避免了單點(diǎn)故障。3.4.3 服務(wù)器安全防護(hù)由于Citrix環(huán)境基于Windows身份驗(yàn)證，因此，用戶權(quán)限決定了系統(tǒng)安全性，對(duì)于Citrix用戶，建議按照部門在域控制器上建立OU，僅賦予OU中用戶最基本的用戶權(quán)限，使用組策略隱藏服務(wù)器系統(tǒng)盤符，使用登錄腳本在文件服務(wù)器上為Citrix用戶創(chuàng)建可讀寫的個(gè)人文件夾，用戶個(gè)人數(shù)據(jù)僅允許保存在該目錄，此文件夾存放于文件服務(wù)器。在Citrix XenApp服務(wù)器上安裝防病毒軟件，確保服務(wù)器不被病毒所感染。使用Citrix控制臺(tái)為用戶配置訪問策略，是否允許用戶使用本地設(shè)備（硬盤，光驅(qū)，打印機(jī)等），不允許使用本地硬盤的用戶登錄到Citrix使用相關(guān)應(yīng)用的時(shí)候，則無法將數(shù)據(jù)保存到本地