桌面虛擬化系統(tǒng)解決方案.doc

桌面虛擬化解決方案桌面虛擬化系統(tǒng)解決方案2目 錄第1章概述41.1項目背景和目的4第2章項目需求52.1功能需求52.1.1集中管理52.1.2應(yīng)用虛擬化52.1.3桌面虛擬化52.1.4存儲隔離52.1.5數(shù)據(jù)保護52.1.6遠程接入訪問控制52.1.7訪問日志52.2技術(shù)需求62.2.1水平擴展62.2.2負載均衡62.3 服務(wù)器安全防護6第3章解決方案及對應(yīng)項目需求的實現(xiàn)73.1總體方案構(gòu)架73.2應(yīng)用場景描述73.2.1內(nèi)部辦公人員：73.2.2內(nèi)部研發(fā)人員：73.3對應(yīng)功能需求的實現(xiàn)83.3.1集中管理83.3.2應(yīng)用虛擬化93.3.3桌面虛擬化103.3.4存儲隔離103.3.5數(shù)據(jù)保護113.3.6遠程接入訪問控制123.3.7訪問日志133.4技術(shù)需求的實現(xiàn)143.4.1水平擴展143.4.2負載均衡143.4.3服務(wù)器安全防護14第4章系統(tǒng)預(yù)算18第1章 概述1.1 項目背景和目的隨著公司內(nèi)部辦公項規(guī)模擴大，辦公環(huán)境的管理更加復(fù)雜，安全管理的要求也日益提升。利用現(xiàn)有硬件資源，建立一個簡單、易用、安全的統(tǒng)一接入平臺，以有效進行辦公環(huán)境的規(guī)范管理，支持可控的遠程訪問模式，同時對于研發(fā)環(huán)境如何保護重要數(shù)據(jù)與代碼的安全提出了挑戰(zhàn)。（1）每臺使用C/S系統(tǒng)的設(shè)備都需要安裝各個模塊的客戶端，部署和維護客戶端需要花費大量的時間和人力（2）如何進行遠程的維護、技術(shù)支持以及靈活的擴展與搬遷，這是IT人員希望亟待解決的問題；（3）由于大量的數(shù)據(jù)在廣域網(wǎng)上傳輸，因此遠程的訪問速度和網(wǎng)絡(luò)性能經(jīng)常得不到保障，數(shù)據(jù)安全面臨挑戰(zhàn)；（4）隨著軟硬件的頻繁升級與更新，客戶端設(shè)備不可避免地要被淘汰，應(yīng)該如何控制系統(tǒng)追加投資？（5）不同的B/S應(yīng)用系統(tǒng)需要在用戶的瀏覽器中安裝或升級不同的插件，修改相關(guān)安全設(shè)置，這就產(chǎn)生了插件版本管理問題、插件維護問題等。（6）遠程低帶寬時訪問效率不理想。第2章 項目需求2.1 功能需求2.1.1 集中管理將辦公環(huán)境中的應(yīng)用軟件進行集中管理，可以根據(jù)需要隨時調(diào)整辦公環(huán)境的應(yīng)用部署，簡化辦公人員客戶端的辦公環(huán)境配置及部署要求。2.1.2 應(yīng)用虛擬化具有包括各類辦公工具在內(nèi)的應(yīng)用軟件發(fā)布功能和Web網(wǎng)頁發(fā)布功能。2.1.3 桌面虛擬化特定企業(yè)用戶可使用集中部署的虛擬桌面進行日常辦公和設(shè)計工作，工作數(shù)據(jù)均保存在后臺服務(wù)器。2.1.4 存儲隔離每個用戶能建立各自的文件系統(tǒng)或存儲空間，相互之間不能訪問。但授權(quán)用戶可以訪問特定用戶組的存儲空間，可以通過FTP或者其它方式獲取用戶存儲空間的數(shù)據(jù)。2.1.5 數(shù)據(jù)保護研發(fā)人員所有的代碼及辦公數(shù)據(jù)只在服務(wù)器端傳遞，提高系統(tǒng)數(shù)據(jù)訪問的安全性。2.1.6 遠程接入訪問控制支持分公司遠程接入的辦公模式，能有效控制用戶的剪貼板、本地硬盤、打印機、端口等操作，做到分公司人員未經(jīng)授權(quán)無法從任何渠道獲取代碼、文檔和辦公數(shù)據(jù)。對于合作公司的遠程訪問要求能有效控制，包括登錄時間段、登錄用戶的監(jiān)控。2.1.7 訪問日志用戶登錄及對辦公工具和應(yīng)用軟件的訪問，應(yīng)該有日志記錄。2.2 技術(shù)需求2.2.1 水平擴展服務(wù)器端支持水平擴展，能通過水平增加服務(wù)器來適應(yīng)辦公需求的擴大。2.2.2 負載均衡可根據(jù)用戶訪問量和資源使用情況，動態(tài)分配到到負載量最低的服務(wù)器上?？芍С质謩迂撦d均衡操作。2.3 服務(wù)器安全防護保證服務(wù)器對外服務(wù)時，系統(tǒng)安全性，確保數(shù)據(jù)安全。第3章 解決方案及對應(yīng)項目需求的實現(xiàn)3.1 總體方案構(gòu)架通過Citrix XenApp集中部署和發(fā)布應(yīng)用客戶端軟件，整個的后臺應(yīng)用服務(wù)器架構(gòu)沒有變化，客戶端可以通過XenApp來訪問集中發(fā)布的各種企業(yè)應(yīng)用和辦公工具。其整體構(gòu)架如下圖所示：3.2 應(yīng)用場景描述3.2.1 內(nèi)部辦公人員：內(nèi)部辦公人員直接訪問Citrix統(tǒng)一身份驗證平臺，獲取授權(quán)的虛擬桌面和虛擬應(yīng)用程序，開展日常辦公工作，用戶數(shù)據(jù)集中保存在文件服務(wù)器。3.2.2 內(nèi)部研發(fā)人員：研發(fā)人員使用沒有硬盤的PC機，通過Citrix Provisioning Server網(wǎng)絡(luò)引導(dǎo)，創(chuàng)建無盤工作站環(huán)境，操作系統(tǒng)鏡像保存在Citrix Provisioning Server上，軟件更新及系統(tǒng)補丁只需在服務(wù)器上進行一次更新即可完成。研發(fā)數(shù)據(jù)均保存在數(shù)據(jù)中心服務(wù)器上，未經(jīng)允許研發(fā)人員無法通過任何途徑獲得相關(guān)數(shù)據(jù)文件。常用辦公軟件（OA，ERP，CRM等）集中安裝在Citrix XenApp上，而所有訪問用戶使用終端設(shè)備只需通過IE就可以運行授權(quán)的虛擬桌面和應(yīng)用程序（第一次訪問時會自動提示下載安裝一個幾兆大小的Citrix ICA插件），多用戶同時訪問時，由XenApp管理和運行應(yīng)用客戶端軟件的多進程訪問，并控制向不同用戶發(fā)布的權(quán)限。Citrix可整合企業(yè)現(xiàn)有的活動目錄中的用戶賬戶來進行用戶身份認證。圖中的文件服務(wù)器，提供了用戶的個人數(shù)據(jù)存儲功能。通過使用Windows的目錄權(quán)限控制，及文件夾重定向功能，可以做到用戶數(shù)據(jù)的安全保存及漫游訪問。對于未來非辦公網(wǎng)段的應(yīng)用的部署，可以通過在相應(yīng)的網(wǎng)段部署XenApp服務(wù)器來實現(xiàn)。備注：在本建議書中，由于項目初步階段的應(yīng)用都集中在辦公網(wǎng)段，所以在軟件及硬件配置清單中，只考慮了在辦公網(wǎng)段部署XenApp和Xendesktop服務(wù)器。若在其他網(wǎng)段部署額外的XenApp和XenDestktop服務(wù)器，由于Citrix的軟件許可是基于并發(fā)用戶數(shù)，只要并發(fā)用戶數(shù)不變，可以共用已有的Citrix XenApp和XenDesktop軟件許可，無需另外采購。只需要增加相應(yīng)的服務(wù)器硬件及Windows授權(quán)即可。在后端的服務(wù)器資源方面，可以采用服務(wù)器虛擬化整合之后剩余的服務(wù)器。3.3 對應(yīng)功能需求的實現(xiàn)3.3.1 集中管理Citrix的集中部署模式只將企業(yè)應(yīng)用部署在數(shù)據(jù)中心，由于客戶端和服務(wù)器位于同一局域網(wǎng)內(nèi)，因而應(yīng)用性能和安全性得到提升，用戶可以通過任意終端和任意網(wǎng)絡(luò)進行訪問數(shù)據(jù)中心，非常方便；而企業(yè)只需對局域網(wǎng)內(nèi)的數(shù)據(jù)中心進行管理，實現(xiàn)了管理維護的簡化。應(yīng)用軟件的安裝及配置變化，均可以在服務(wù)器端集中進行，大大簡化了辦公環(huán)境的配置和部署。3.3.2 應(yīng)用虛擬化XenApp為用戶提供了基于服務(wù)器的計算模式（Server-based Computing），實現(xiàn)了虛擬化應(yīng)用發(fā)布。其技術(shù)核心是ICA協(xié)議，ICA協(xié)議連接了運行在XENAPP服務(wù)器上的應(yīng)用進程和遠端客戶端設(shè)備，通過ICA的32個虛擬通道（包括鼠標(biāo)、鍵盤、圖像、聲音、端口、打印等等），運行在中心服務(wù)器上的應(yīng)用進程的輸入輸出數(shù)據(jù)重新定向到遠端客戶端機器的輸入輸出設(shè)備上，因此雖然應(yīng)用客戶端軟件并沒有運行在客戶端設(shè)備上，但是用戶使用起來和在客戶端安裝運行客戶端軟件相比，沒有感覺任何操作上的改變。XenApp虛擬化應(yīng)用發(fā)布原理如下圖所示：由于ICA協(xié)議是一種高效率的數(shù)據(jù)交換協(xié)議，同時在中心服務(wù)器和遠端終端設(shè)備之間傳遞的是經(jīng)過壓縮和加密的屏幕刷新和鼠標(biāo)鍵盤信息，因此每一個連接只占用十幾K的網(wǎng)絡(luò)帶寬。這種模式使得企業(yè)應(yīng)用部署架構(gòu)上發(fā)生變化，從一種分布式部署變成了大集中的應(yīng)用部署，因而帶來了應(yīng)用訪問、性能及安全等各個方面的提升。3.3.3 桌面虛擬化Citrix XenDesktop可提供一種端到端的桌面交付解決方案。可動態(tài)按需產(chǎn)生虛擬桌面，用戶每次登錄時都能獲得一個干凈的、個性化的全新桌面從而確保性能不會下降。此外，XenDesktop采用的高速交付協(xié)議還可在任何網(wǎng)絡(luò)條件下提供無與倫比的響應(yīng)速度。對于IT機構(gòu)而言，XenDesktop可通過分別交付桌面操作系統(tǒng)、應(yīng)用和用戶設(shè)置，大大簡化桌面生命周期管理并顯著降低擁有成本。Citrix XenDesktop可為任意地點的用戶按需交付桌面，同時顯著簡化生命周期管理。它可提供一種端到端的桌面交付解決方案，為最終用戶加速交付桌面，提供更強大的數(shù)據(jù)保護和監(jiān)控，并降低高達40%的擁有成本。采用桌面虛擬化技術(shù)可以在數(shù)據(jù)中心集中化管理桌面，還可輕松實現(xiàn)安全防護及備份。然而，經(jīng)常出現(xiàn)的同一生命周期管理問題依然存在IT部門仍需對每個虛擬桌面鏡像及其所安裝的應(yīng)用程序和用戶設(shè)置進行管理、維護和更新。另外，桌面虛擬化還會帶來新的挑戰(zhàn)尤其是會使用戶的網(wǎng)絡(luò)性能大大降低，使每位用戶的桌面鏡像網(wǎng)絡(luò)存儲成本大大增加。3.3.4 存儲隔離通過選擇NTFS文件系統(tǒng)和Windows Server的用戶Profile機制，每個用戶可以有自己的存儲空間。利用NTFS的文件權(quán)限的管理機制，用戶在服務(wù)器端的私有存儲空間，工作目錄，臨時文件可以被安全的管理和限制。可限制用戶的對其他用戶數(shù)據(jù)的交叉訪問。也可給予特定管理員訪問、獲取用戶數(shù)據(jù)的權(quán)限。同時可以通過配置Windows Server 2003的文件夾重定向，將My Documents等目錄集中重定向到集中的文件服務(wù)器，從而保證用戶不管登錄到哪臺服務(wù)器，都能一致地訪問其用戶數(shù)據(jù)。3.3.5 數(shù)據(jù)保護傳統(tǒng)模式應(yīng)用分布在企業(yè)的所有客戶端上，其安全要考慮各個環(huán)節(jié)：服務(wù)器、客戶機和端到端的網(wǎng)絡(luò)；其維護和安全管理范圍需要涵蓋企業(yè)的每一臺終端設(shè)備和跨廣域網(wǎng)段。因為客戶端直接訪問后臺時，之間傳輸?shù)臄?shù)據(jù)是真實的企業(yè)應(yīng)用數(shù)據(jù)，該數(shù)據(jù)會被緩存在用戶本地或在傳輸中被截獲，這些都是不安全因素；而用戶訪問XenApp或XenDesktop服務(wù)器時，之間傳輸?shù)氖瞧聊辉隽孔兓畔⒑褪髽?biāo)鍵盤變化信息，用戶端無任何應(yīng)用數(shù)據(jù)緩存在本地，同時中途截獲這些信息然后反推出用戶真正的辦公操作和數(shù)據(jù)比直接截獲辦公數(shù)據(jù)困難上千倍。因而可以說數(shù)據(jù)總是存放在最安全的地方。XenApp和XenDesktop帶來的最大益處是采用應(yīng)用虛擬化方式阻止數(shù)據(jù)任何時候離開數(shù)據(jù)中心。對于遠程用戶從公網(wǎng)訪問內(nèi)網(wǎng)，XenApp和XenDesktop通過嚴格的用戶認證進行安全權(quán)限控制。由于網(wǎng)絡(luò)上傳輸?shù)闹皇强蛻舳说逆I盤、鼠標(biāo)動作以及顯示界面的刷新部分，辦公數(shù)據(jù)和代碼的并不下載到客戶端本地；數(shù)據(jù)、緩存、Cookie等等全部在中央受限的環(huán)境中控制；另外ICA協(xié)議還含有多種加密技術(shù)，保證顯示界面和用戶操作數(shù)據(jù)的安全傳輸；客戶端的操作感覺雖然就像在本機操作一樣，但未經(jīng)權(quán)限許可，不得擅自修改、備份、拷盤、打印等。通過應(yīng)用發(fā)布的方式，內(nèi)部員工和外部合作公司的員工只能使用本崗位的應(yīng)用程序，而不能打開其他的應(yīng)用軟件或數(shù)據(jù)信息。對于研發(fā)人員可采用無盤工作站的工作原理，客戶端均為無硬盤的PC機通過Citrix Provisioning Server的無盤啟動為開發(fā)人員提供研發(fā)環(huán)境，所有研發(fā)數(shù)據(jù)均保存在文件服務(wù)器，通過設(shè)置禁用本地所有端口（例如：USB端口，打印端口等）確保企業(yè)核心數(shù)據(jù)不被泄露。3.3.6 遠程接入訪問控制Citrix 為用戶提供了統(tǒng)一的安全接入手段，一個典型的接入過程如下圖所示：首先用戶需要進行身份認證，XenApp集成了各種身份認證手段，包括雙因素認證等，訪問用戶提供用戶名、口令和passcode：當(dāng)用戶通過認證后，會通過加密鏈路進入其個人訪問門戶，看到其所能訪問的各個應(yīng)用軟件：當(dāng)用戶使用某一軟件，或訪問某一系統(tǒng)，通過Citrix的虛擬化服務(wù)器和口令管理，在幾秒內(nèi)自動完成應(yīng)用調(diào)用和登陸，然后用戶就可以如在本地一樣使用所需軟件和應(yīng)用。而管理員不僅可以方便地設(shè)置每個應(yīng)用允許哪些用戶的訪問，并且可以詳細地記錄用戶對各應(yīng)用的使用情況。通過Citrix 應(yīng)用交付平臺可以嚴格控制用戶對應(yīng)用的訪問，根據(jù)不同用戶接入時的不同場景，將有相應(yīng)的接入策略與之對應(yīng)，并控制用戶使用企業(yè)資源的過程和操作?？煽刂频牟僮骱唾Y源訪問包括Copy/Paste、打印、保存到本地，端口的訪問等。3.3.7 訪問日志管理員不僅可以方便地設(shè)置每個應(yīng)用允許哪些用戶的訪問，并且可以使用SQL數(shù)據(jù)庫的方式，詳細地記錄用戶對各應(yīng)用的使用情況，可以生成各種報表，如用戶登錄時間，運行的應(yīng)用等。3.4 技術(shù)需求的實現(xiàn)3.4.1 水平擴展Citrix 內(nèi)置實現(xiàn)了群集功能，在Citrix服務(wù)器配置中集群稱之為一個Farm， 當(dāng)用辦公系統(tǒng)規(guī)模擴大時，可以方便地通過在Server Farm中添加服務(wù)器來進行水平擴展。3.4.2 負載均衡在Citrix的Server Farm中， “Data Collector”負載均衡調(diào)度服務(wù)器負責(zé)收集每一臺服務(wù)器里面的一些動態(tài)信息，如CPU，內(nèi)存等使用情況，并與之進行交流；當(dāng)有應(yīng)用請求時，自動將請求轉(zhuǎn)到負載最輕的服務(wù)器上運行。Server Farm同時提供了高可用性功能，當(dāng)單點服務(wù)器出現(xiàn)故障時不影響用戶使用，用戶會重新連接到另外一臺負載較輕的服務(wù)器上。從而避免了單點故障。3.4.3 服務(wù)器安全防護1.Windows部分由于Citrix環(huán)境基于Windows身份驗證，因此，用戶權(quán)限決定了系統(tǒng)安全性，對于Citrix用戶，建議按照部門在域控制器上建立OU，僅賦予OU中用戶最基本的用戶權(quán)限，使用組策略隱藏服務(wù)器系統(tǒng)盤符，使用登錄腳本在文件服務(wù)器上為Citrix用戶創(chuàng)建可讀寫的個人文件夾，用戶個人數(shù)據(jù)僅允許保存在該目錄，此文件夾存放于文件服務(wù)器。在Citrix XenApp服務(wù)器上安裝防病毒軟件，確保服務(wù)器不被病毒所感染。2.Citrix部分使用Citrix控制臺為用戶配置訪問策略，是否允許用戶使用本地設(shè)備（硬盤，光驅(qū)，打印機等），不允許使用本地硬盤的用戶登錄到Citrix使用相關(guān)應(yīng)用的時候，則無法將數(shù)據(jù)保存到本地