【正文】 虛擬桌面承載服務(wù)器底層使用XenServer或HyperV/VMware服務(wù)器虛擬化技術(shù)，每臺(tái)物理機(jī)上虛擬出一定數(shù)量的虛擬桌面，目前虛擬桌面以Windows XP操作系統(tǒng)為主，虛擬桌面上除了承載標(biāo)準(zhǔn)的企業(yè)應(yīng)用外，還運(yùn)行著兩個(gè)Citrix的服務(wù)：控制器服務(wù)進(jìn)行虛擬桌面注冊(cè)并保持虛擬桌面狀態(tài)； 桌面虛擬化控制器Desktop Delivery Controller（DDC）是基礎(chǔ)架構(gòu)服務(wù)器的核心組件，提供如下服務(wù)： 活動(dòng)目錄（AD）服務(wù)器提供標(biāo)準(zhǔn)的LDAP目錄服務(wù)，負(fù)責(zé)用戶的身份驗(yàn)證和所有桌面虛擬化組件之間的信任互訪。從服務(wù)器網(wǎng)段到終端網(wǎng)段所有的通訊都被安全接入網(wǎng)關(guān)設(shè)備封裝在加密通道中。用戶還可根據(jù)場(chǎng)景的需求，實(shí)現(xiàn)僅對(duì)虛擬應(yīng)用的交付，通過(guò)直接訪問(wèn)應(yīng)用虛擬化云平臺(tái)，實(shí)現(xiàn)應(yīng)用環(huán)境的交付。Citrix桌面交付云平臺(tái)在終端用戶層與最終業(yè)務(wù)層建立了一個(gè)云接入平臺(tái)，為ERP、OA等業(yè)務(wù)系統(tǒng)的訪問(wèn)提供一個(gè)更安全、更可管理的集中接入平臺(tái)，無(wú)論是互聯(lián)網(wǎng)用戶、廣域網(wǎng)用戶還是內(nèi)網(wǎng)用戶，均可通過(guò)接入平臺(tái)接入并訪問(wèn)企業(yè)內(nèi)部業(yè)務(wù)系統(tǒng)，云接入平臺(tái)為企業(yè)的各種終端訪問(wèn)提供總體的接入解決方案。思杰交付中心（Citrix Delivery CenterTM），將數(shù)據(jù)中心轉(zhuǎn)變成交付中心，其組成架構(gòu)如下圖所示：圖: 思杰交付中心架構(gòu)圖關(guān)鍵組件解釋如下：l Citrix XenApp? – 虛擬應(yīng)用：支持客戶端和服務(wù)器端應(yīng)用虛擬化的端到端Windows應(yīng)用交付系統(tǒng)；l Citrix XenDesktop? –虛擬桌面：以更低成本更安全、更可靠地直接通過(guò)數(shù)據(jù)中心交付Windows桌面；l Citrix XenServer? – 虛擬服務(wù)器：交付動(dòng)態(tài)數(shù)據(jù)中心最簡(jiǎn)捷、最有效的方式；l Citrix174。 作為最終目標(biāo)的桌面虛擬化的基礎(chǔ)建設(shè)，在設(shè)計(jì)中支持更多的并發(fā)虛擬桌面。 所有功能組件必須支持冗余或高可用性，某些功能組件出現(xiàn)故障也不受影響所有用戶，其次允許個(gè)別用戶會(huì)話盡可能自動(dòng)恢復(fù)。 未來(lái)終端用戶可以通過(guò)下列不同類型的網(wǎng)絡(luò)：高帶寬的LAN、低帶寬的WAN、Internet/3G、甚至用電話撥號(hào)的鏈路都可以流暢地進(jìn)行工作。如：筆記本、PC機(jī)、thinclient、各種智能手機(jī)、PDA、IPAD等。 可以制定嚴(yán)格的訪問(wèn)策略，細(xì)粒度地控制最終用戶對(duì)桌面應(yīng)用的訪問(wèn)權(quán)限，例如是否可以打印、復(fù)制粘貼或?qū)⑽募４娴奖镜兀粁x集團(tuán)桌面虛擬化的一期項(xiàng)目，期望達(dá)成以下目標(biāo)：1. 將300個(gè)場(chǎng)景相對(duì)簡(jiǎn)單的用戶，平穩(wěn)切換到虛擬化桌面平臺(tái)；用戶數(shù)據(jù)將不能通過(guò)終端泄露；2. 對(duì)于本期交付的平臺(tái)，結(jié)合技術(shù)、流程、組織等手段建立恰當(dāng)?shù)倪\(yùn)維機(jī)制；3. 上述兩項(xiàng)工作應(yīng)該使終端信息安全，桌面管理，用戶桌面使用體驗(yàn)等多個(gè)方面有顯著的提升；4. 完成對(duì)于xx集團(tuán)所有用戶桌面虛擬化和應(yīng)用虛擬化的技術(shù)方案設(shè)計(jì)和實(shí)施規(guī)劃以及運(yùn)維機(jī)制的設(shè)計(jì)，其中包括對(duì)于各種必要軟硬件的選型標(biāo)準(zhǔn)和推薦。 提供盡可能靈活地部署方式，以適應(yīng)不同類型用戶的需求，如設(shè)計(jì)用戶和普通辦公用戶，涉密終端和非涉密終端等； 前端桌面使用瘦客戶端，減少終端維護(hù)量，增強(qiáng)終端安全性； 桌面集中托管于數(shù)據(jù)中心，在數(shù)據(jù)中心進(jìn)行集中的部署、維護(hù)和管理；通過(guò)桌面虛擬化的改造，項(xiàng)目可達(dá)到以下目標(biāo):xx集團(tuán)計(jì)劃對(duì)現(xiàn)有的用戶桌面進(jìn)行逐步改造，建立企業(yè)私有虛擬桌面云。而利用虛擬桌面中帶有的虛擬應(yīng)用技術(shù)，基于相關(guān)功能模塊，可以根據(jù)業(yè)務(wù)策略和安全規(guī)定，選擇對(duì)特定用戶使用特定應(yīng)用時(shí)的所有行為進(jìn)行全程錄像，利用遠(yuǎn)程反問(wèn)協(xié)議的基本原理和優(yōu)勢(shì)，一般性的業(yè)務(wù)操作錄像，每天錄像文件大小不會(huì)超過(guò)30M的數(shù)據(jù)量。企業(yè)通過(guò)虛擬桌面可以構(gòu)建“標(biāo)準(zhǔn)開(kāi)發(fā)桌面”。 由于在工作過(guò)程中，虛擬桌面也是需要連接到網(wǎng)絡(luò)進(jìn)行工作的，所以虛擬桌面本身并不能解決數(shù)據(jù)通過(guò)網(wǎng)絡(luò)傳輸外泄的風(fēng)險(xiǎn)，但是由于只有這一條潛在外泄通道，企業(yè)IT管理人員可以通過(guò)網(wǎng)絡(luò)工具和設(shè)備來(lái)對(duì)網(wǎng)絡(luò)進(jìn)行管理，解決這一問(wèn)題從整體對(duì)比來(lái)看，虛擬桌面解決方案從數(shù)據(jù)安全的角度，相對(duì)于傳統(tǒng)本地桌面，從成本，管理，安全和環(huán)保層面，都有很大優(yōu)勢(shì)，而且已經(jīng)成為了未來(lái)趨勢(shì)。 需要采用虛擬桌面的解決方案，將傳統(tǒng)的桌面計(jì)算轉(zhuǎn)換到服務(wù)器計(jì)算，所以需要投入一定數(shù)量的服務(wù)器與軟件開(kāi)發(fā)環(huán)境被分為可控的虛擬開(kāi)發(fā)環(huán)境與物理的自有環(huán)境，在滿足開(kāi)發(fā)人員的特殊需求同時(shí)，能夠管控開(kāi)發(fā)環(huán)境，減少企業(yè)IT人員的管理復(fù)雜性。 采用多種軟硬件技術(shù)進(jìn)行管控，成本高，效果差，像補(bǔ)丁一樣對(duì)各個(gè)潛在風(fēng)險(xiǎn)進(jìn)行修補(bǔ)，無(wú)法根本上解決問(wèn)題 移動(dòng)設(shè)備的普及使得用戶可以不通過(guò)傳統(tǒng)存儲(chǔ)設(shè)備，利用藍(lán)牙和紅外將數(shù)據(jù)傳輸?shù)绞謾C(jī)等設(shè)備上 對(duì)數(shù)據(jù)進(jìn)行加密，防止文件外泄造成信息外流但是這些手段并不能很好地解決當(dāng)前問(wèn)題，仍然存在以下風(fēng)險(xiǎn)：對(duì)于通過(guò)應(yīng)用發(fā)布，管理員可以通過(guò)簡(jiǎn)單的授權(quán)配置，用戶桌面就可以訪問(wèn)到新的應(yīng)用，當(dāng)前這類技術(shù)中也出現(xiàn)了自助式的應(yīng)用選擇，用戶可以自助式選擇自己所需要使用的應(yīng)用，就可以馬上在桌面上使用所需的應(yīng)用。7. 所有數(shù)據(jù)的打印，可以通過(guò)策略進(jìn)行配置，必須將打印數(shù)據(jù)輸出到指定的打印機(jī)，從而控制由于打印造成的數(shù)據(jù)泄漏。4. 虛擬桌面調(diào)度服務(wù)器通過(guò)遠(yuǎn)程協(xié)議將虛擬基礎(chǔ)架構(gòu)上的桌面操作系統(tǒng)交付到最終用戶，用戶就像使用本地計(jì)算機(jī)一樣方便。未來(lái)可以通過(guò)采購(gòu)瘦客戶端，代替當(dāng)前的PC，降低終端設(shè)備的采購(gòu)和維護(hù)成本。由于虛擬桌面技術(shù)使得通過(guò)互聯(lián)網(wǎng)和VPN訪問(wèn)桌面成為可能，那么開(kāi)發(fā)人員可以回到自己的公司或者家里進(jìn)行開(kāi)發(fā)。所有的升級(jí)、安裝工作只需要對(duì)一個(gè)鏡像進(jìn)行處理，之后所有的用戶就可以使用最新更新的操作系統(tǒng)。當(dāng)然用戶也可以遠(yuǎn)程訪問(wèn)這個(gè)虛擬機(jī)。這種情況能夠大大降低對(duì)后臺(tái)服務(wù)器的資源壓力。 無(wú)盤PC在保證數(shù)據(jù)不可以被隨意帶走的前提下，但要更充分利用現(xiàn)有PC的資源，可以通過(guò)事先無(wú)盤PC的方式，將操作系統(tǒng)通過(guò)網(wǎng)絡(luò)啟動(dòng)的方式引導(dǎo)，開(kāi)發(fā)人員可以像本地機(jī)一樣進(jìn)行操作，但是無(wú)法將對(duì)系統(tǒng)的更改保存，操作系統(tǒng)重啟之后，將恢復(fù)原來(lái)狀態(tài)。 托管虛擬操作系統(tǒng)桌面（VDI）對(duì)于需要獨(dú)立的操作系統(tǒng)資源控制能力的用戶，使用這種方案，能夠很好地滿足開(kāi)發(fā)人員的對(duì)操作系統(tǒng)的配置需求，并提供獨(dú)占的操作系統(tǒng)資源支持開(kāi)發(fā)工作。虛擬桌面技術(shù)是一整套的實(shí)現(xiàn)用于遠(yuǎn)程使用桌面操作系統(tǒng)的技術(shù)，而不僅僅局限于使用虛擬操作系統(tǒng)一種技術(shù)（俗稱VDI）。所以虛擬桌面技術(shù)需要很好地能夠支持開(kāi)發(fā)人員使用這些新技術(shù)進(jìn)行工作，更重要的是能夠讓開(kāi)發(fā)人員開(kāi)發(fā)出基于這些技術(shù)的創(chuàng)新的企業(yè)業(yè)務(wù)系統(tǒng)，支持企業(yè)的業(yè)務(wù)創(chuàng)新。 多媒體的支持現(xiàn)代企業(yè)的業(yè)務(wù)工作已經(jīng)越來(lái)越豐富，使用的技術(shù)手段也越來(lái)越多，多媒體的技術(shù)就是其中一種。好的虛擬桌面系統(tǒng)需要能夠在以下方面滿足用戶需求，并做到很好的用戶體驗(yàn)：比如如果控制用戶不許通過(guò)打印機(jī)把信息打印出來(lái)，只需要中斷ICA連接中的打印機(jī)通道即可。ICA協(xié)議連接了運(yùn)行在前端服務(wù)器上的應(yīng)用進(jìn)程和業(yè)務(wù)PC機(jī)的輸入輸出設(shè)備，通過(guò)ICA的32個(gè)虛擬通道（分別傳遞各種輸入輸出數(shù)據(jù)如鼠標(biāo)、鍵盤、圖像、聲音、端口、打印等等），運(yùn)行在前端服務(wù)器上的應(yīng)用進(jìn)程的輸入輸出數(shù)據(jù)重新定向到遠(yuǎn)端客戶端機(jī)器的輸入輸出設(shè)備上，因此業(yè)務(wù)用戶使用前端服務(wù)器上的柜臺(tái)應(yīng)用時(shí)感覺(jué)就像在使用本地模式一樣。以上只是高度概括了整個(gè)架構(gòu)，以下部分將會(huì)更加詳細(xì)地介紹，系統(tǒng)如何共同協(xié)作來(lái)交付虛擬化桌面以滿足預(yù)定的工作環(huán)境。5. 個(gè)性化：解決方案的個(gè)性化允許用戶按照需求自定義他們的工作環(huán)境。由于只要求對(duì)基本鏡像進(jìn)行升級(jí)，并且所有虛擬桌面將會(huì)在下一次重啟時(shí)使用最新的鏡像。用戶通過(guò)與控制器進(jìn)行交互進(jìn)行身份認(rèn)證，最終獲得授權(quán)使用的桌面。用戶每次登錄時(shí)都能獲得一個(gè)干凈的、個(gè)性化的全新桌面——從而確保性能不會(huì)下降。虛擬桌面技術(shù)可以從很好地從根本上解決辦公人員使用終端進(jìn)行業(yè)務(wù)開(kāi)發(fā)過(guò)程中的信息安全與系統(tǒng)安全問(wèn)題，是由于虛擬桌面本身的工作原理造成的。 應(yīng)用管理更簡(jiǎn)單，管理員在服務(wù)器進(jìn)行統(tǒng)一一次管理，就可以將最新更新交付給所有用戶 桌面可以分享最新最強(qiáng)大的服務(wù)器硬件，配置資源可以按照用戶需求動(dòng)態(tài)調(diào)整。 在數(shù)據(jù)中心對(duì)所有的桌面進(jìn)行統(tǒng)一的高效維護(hù)，無(wú)需特定的補(bǔ)丁與應(yīng)用的分發(fā)軟件，統(tǒng)一進(jìn)行安裝和升級(jí)，維護(hù)桌面的費(fèi)用大大降低。 數(shù)據(jù)更安全，通過(guò)策略配置，用戶無(wú)法將機(jī)密數(shù)據(jù)保存在本地設(shè)備上，只能在數(shù)據(jù)中心進(jìn)行存儲(chǔ)，備份，保證數(shù)據(jù)的安全性和可用性；而虛擬桌面技術(shù)被逐步接受，尤其是和虛擬應(yīng)用的結(jié)合，使得桌面虛擬化技術(shù)能被更廣泛地使用幫助企業(yè)以更低成本、更好地實(shí)現(xiàn)桌面管理。要求可以保證敏感數(shù)據(jù)的安全、集中化管理用戶的桌面環(huán)境，同時(shí)盡量保證用戶的桌面使用體驗(yàn)。IT管理人員為了能夠給最終用戶良好的應(yīng)用訪問(wèn)體驗(yàn)，不得不不斷提升用戶終端的性能，不斷建設(shè)相應(yīng)的維護(hù)、支持和防護(hù)系統(tǒng)，用于對(duì)用戶運(yùn)行環(huán)境的升級(jí)更新、安全防護(hù)。這一龐大繁瑣的過(guò)程往往拖延了許多對(duì)企業(yè)有利的升級(jí)，進(jìn)而可能導(dǎo)致企業(yè)無(wú)法快速應(yīng)對(duì)市場(chǎng)需求。 新的移動(dòng)設(shè)備支持：目前市場(chǎng)上的iPad、iPhone、安卓等新的移動(dòng)設(shè)備無(wú)法運(yùn)行和訪問(wèn)公司的內(nèi)部系統(tǒng)，無(wú)法滿足移動(dòng)辦公用戶的需求。 無(wú)法進(jìn)行行為監(jiān)控：由于計(jì)算機(jī)分散管理，用戶登錄業(yè)務(wù)系統(tǒng)后，訪問(wèn)和使用特定應(yīng)用、特定數(shù)據(jù)時(shí)的行為無(wú)法進(jìn)行有效、實(shí)時(shí)的監(jiān)控，無(wú)法進(jìn)行事后審計(jì)、追溯。 數(shù)據(jù)可管理性：數(shù)據(jù)都分散存放于用戶的計(jì)算機(jī)上，由于分散保存，很難對(duì)文檔的進(jìn)出進(jìn)行有效控制，難于實(shí)現(xiàn)對(duì)文檔的統(tǒng)一管理和備份，難于實(shí)現(xiàn)敏感數(shù)據(jù)的安全防護(hù)；例如：對(duì)終端PC上應(yīng)用和操作系統(tǒng)的安裝管理和更新就消耗了技術(shù)人員大部分的時(shí)間和精力；為了保證終端系統(tǒng)可用性需要為各地配備專門的IT技術(shù)人員，這些IT力量的統(tǒng)籌管理成為IT管理敏捷性的一大挑戰(zhàn)。xx集團(tuán)虛擬桌面項(xiàng)目建議書思杰系統(tǒng)信息技術(shù)（北京）有限公司2012年6月目錄管理現(xiàn)狀及存在的問(wèn)題 5解決方案 7 7 8 10 12 15 16 17 18： 18： 19； 19 20 20 21 21 21 21 22 Citrix桌面交付云平臺(tái) 22 24 AD和WI 25 25 26 NetScaler 接入網(wǎng)關(guān) 26 26 XenDesktop HDX ICA協(xié)議 28xx集團(tuán)桌面云方案詳細(xì)設(shè)計(jì) 28 28 31 31 32 32 32 32 32 32 32xx集團(tuán)桌面云解決方案軟硬件需求 33 33 36實(shí)施桌面虛擬化的收益 3安全性加強(qiáng) 3運(yùn)維成本減少 3實(shí)現(xiàn)節(jié)能減排 38 38 39項(xiàng)目實(shí)施建議 39 39 40 40 40 41 41 41 42 42 Citrix產(chǎn)品在終端用戶行為方面的補(bǔ)充 42 4風(fēng)險(xiǎn)分析與應(yīng)對(duì)策略 43項(xiàng)目報(bào)價(jià) 43管理現(xiàn)狀及存在的問(wèn)題隨著xx集團(tuán)業(yè)務(wù)的不斷發(fā)展，IT系統(tǒng)復(fù)雜度的不斷提升，給IT的管理帶來(lái)新的挑戰(zhàn)，特別是終端用戶訪問(wèn)應(yīng)用系統(tǒng)的桌面環(huán)境日趨復(fù)雜，日益更新的對(duì)應(yīng)用的跨網(wǎng)絡(luò)、移動(dòng)和遠(yuǎn)程的安全訪問(wèn)需求，對(duì)桌面終端的管理和應(yīng)用發(fā)布模式構(gòu)成一定的威脅： 管理成本：對(duì)分散的終端PC 機(jī)進(jìn)行管理和維護(hù)需要IT人員大量的工作量。 軟件和硬件的投入成本：信息化建設(shè)的發(fā)展，經(jīng)常要面對(duì)軟件和硬件的不斷更新，軟件硬件的更新需要大量的IT技術(shù)人員進(jìn)行測(cè)試、部署、推廣，這也是IT日常支出的一項(xiàng)龐大費(fèi)用。 系統(tǒng)可靠性：終端操作人員擁有終端過(guò)高的權(quán)限和不規(guī)范操作，可能導(dǎo)致系統(tǒng)可靠性下降，無(wú)形中增加了管理成本和人力成本。每隔幾年，幾乎每個(gè)公司或組織都會(huì)大規(guī)模采用新操作系統(tǒng)、新硬件或新應(yīng)用，這就需要大量的人力來(lái)大規(guī)模地構(gòu)建、測(cè)試并發(fā)布最新系統(tǒng)。最終為了訪問(wèn)各個(gè)IT系統(tǒng)，不得不面臨各種應(yīng)用訪問(wèn)客戶端的部署、配置、維護(hù)工作，IT支持人員也不得不奔波于對(duì)用戶終端上用戶運(yùn)行環(huán)境的維護(hù)和支持上。針對(duì)上述問(wèn)題，借鑒國(guó)內(nèi)外同行業(yè)用戶的經(jīng)驗(yàn)，建議對(duì)現(xiàn)有的用戶桌面進(jìn)行逐步改造，建立企業(yè)私有虛擬桌面云。服務(wù)器虛擬化技術(shù)在2007年開(kāi)始被廣泛接受并采用，目前已經(jīng)成為一種成熟的滿足企業(yè)應(yīng)用的主流技術(shù)。將桌面操作系統(tǒng)虛擬化帶來(lái)很多好處，包括： 終端設(shè)備支持更廣泛，可以通過(guò)PC，瘦客戶端、甚至是手機(jī)來(lái)訪問(wèn)傳統(tǒng)PC上才能使用到的各種windows 應(yīng)用； 桌面的性能能夠得到提升，因?yàn)樗蛻?yīng)用后端的服務(wù)器都運(yùn)行在數(shù)據(jù)中心； 終端設(shè)備支持更廣泛，可以通過(guò)PC，瘦客戶端、甚至是手機(jī)來(lái)訪問(wèn)傳統(tǒng)PC上才能使用到的各種windows 應(yīng)用 提高網(wǎng)絡(luò)安全，由于只使用需要開(kāi)放1個(gè)端口，所以可以實(shí)現(xiàn)網(wǎng)絡(luò)的邏輯隔離和嚴(yán)格控制，在不影響應(yīng)用的前提下，全面提升網(wǎng)絡(luò)安全性。通過(guò)單一鏡像管理，可動(dòng)態(tài)按需產(chǎn)生虛擬桌面，該桌面所有的運(yùn)行都發(fā)生在遠(yuǎn)程數(shù)據(jù)中心的機(jī)房里,不用再擔(dān)心數(shù)據(jù)駐留在客戶端導(dǎo)致的安全漏洞。2. 虛擬桌面交付控制器：虛擬桌面交付控制器負(fù)責(zé)整個(gè)虛擬桌面系統(tǒng)的調(diào)度，例如新虛擬桌面的注冊(cè)以及將虛擬桌面的請(qǐng)求指向可用的系統(tǒng)。當(dāng)每個(gè)虛擬桌面啟動(dòng)時(shí)，操作系統(tǒng)會(huì)經(jīng)由網(wǎng)絡(luò)通過(guò)流技術(shù)交付給虛擬桌面。通過(guò)將應(yīng)用與基本桌面鏡像分離，所需的桌面鏡像數(shù)量大大減少，這就簡(jiǎn)化了維護(hù)過(guò)程，并可以利用其他手段對(duì)用戶使用應(yīng)用的行為進(jìn)行錄像，進(jìn)行行為控制。同時(shí)遠(yuǎn)程訪問(wèn)能夠接近甚至達(dá)到本地使用的效果，例如實(shí)現(xiàn)雙向語(yǔ)音，VOIP，高清視頻的應(yīng)用，并能夠很好地支持各種USB設(shè)備和smart card的辨識(shí)。終端機(jī)可以在第一次訪問(wèn)Citrix服務(wù)器時(shí)下載并安裝Citrix ICA插件，ICA插件和虛擬應(yīng)用服務(wù)器的平臺(tái)及虛擬桌面操作系統(tǒng)之間通過(guò)ICA協(xié)議建立連接通道，使得PC機(jī)用戶可以正常使用服務(wù)器上或者桌面操作系統(tǒng)上運(yùn)行的各種業(yè)務(wù)軟件。同時(shí)ICA協(xié)議可以分別針對(duì)單獨(dú)的虛擬通道進(jìn)行控制，這樣為用戶的訪問(wèn)和使用帶來(lái)了細(xì)粒度的控制。只有系統(tǒng)有良好的用戶體驗(yàn)，開(kāi)發(fā)人員才能夠使用虛