【正文】 的的軟件對(duì)藍(lán)牙和紅外設(shè)備的管理能力有限 ? 對(duì)數(shù)據(jù)進(jìn)行加密，開(kāi)發(fā)人員可以通過(guò)各種手段進(jìn)行反向破解 ? 移動(dòng)設(shè)備的普及使得用戶(hù)可以不通過(guò)傳統(tǒng)存儲(chǔ)設(shè)備，利用藍(lán)牙和紅外將數(shù)據(jù)傳輸?shù)绞謾C(jī)等設(shè)備上 ? 用戶(hù)也可以通過(guò)將硬盤(pán) PC 上拆卸下來(lái)，帶走通過(guò)其他 PC進(jìn)行拷貝 而這些手段實(shí)施也存在以下的問(wèn)題和局限： ? 當(dāng)前解決方案都是在客戶(hù)端實(shí)現(xiàn)，而開(kāi)發(fā)人員可以通 過(guò)各種手段將并不處于管理員可控范圍內(nèi)的客戶(hù)端上的數(shù)據(jù)拷貝出來(lái) ? 開(kāi)發(fā)人員使用桌面上各種應(yīng)用的行為無(wú)法記錄，對(duì)于不合理行為無(wú)法進(jìn)行控制 ? 采用多種軟硬件技術(shù)進(jìn)行管控，成本高，效果差，像補(bǔ)丁一樣對(duì)各個(gè)潛在風(fēng)險(xiǎn)進(jìn)行修補(bǔ)，無(wú)法根本上解決問(wèn)題 ? 為了滿足業(yè)務(wù)需求，目前開(kāi)發(fā)人員都必須得在企業(yè)進(jìn)行開(kāi)發(fā)，占用企業(yè)大量的設(shè)備，場(chǎng)地，整個(gè)開(kāi)發(fā)成本高。 ? 對(duì)于允許人員自行安裝應(yīng)用的狀況，可以為每個(gè)用戶(hù)設(shè)置一個(gè)虛擬操作系統(tǒng)，人員可以自行安裝應(yīng)用，滿足其應(yīng)用需求，但同時(shí)通過(guò)策略控制用戶(hù)將數(shù)據(jù)與代碼存放本地。 管理 方案 完整的虛擬桌面的解決方案可以通過(guò)一個(gè)平臺(tái)，采用不同的策略和管理方案，很好地滿足不同類(lèi)型的用戶(hù)的使用特點(diǎn)： ? 對(duì)于不需要桌面的用戶(hù)，可以直接把所需要的應(yīng)用通過(guò)虛擬桌面產(chǎn)品中的虛擬應(yīng)用技術(shù)交付到人員自有 PC 桌面上，或者 通過(guò)瘦客戶(hù)端進(jìn)行使用；利用后臺(tái)策略，禁止用戶(hù)將數(shù)據(jù)和代碼保存到本地磁盤(pán)和設(shè)備上，實(shí)現(xiàn)數(shù)據(jù)在數(shù)據(jù)中心的統(tǒng)一存儲(chǔ)和管理。 7. 所有數(shù)據(jù)的打印，可以通過(guò)策略進(jìn)行配置，必須將打印數(shù)據(jù)輸出到指定的打印機(jī)，從而控制由于打印造成的數(shù)據(jù)泄漏。 6. 通過(guò)虛擬桌面調(diào)度服務(wù)器上的策略設(shè)置，可以禁止終端的磁盤(pán)， USB 等設(shè)備以及剪貼板，所有用戶(hù)使用的文檔無(wú)法保存在本地桌面，而都會(huì)駐留在數(shù)據(jù)中心，從機(jī)制上保證數(shù)據(jù)的安全。 4. 虛擬 桌面調(diào)度服務(wù)器通過(guò)遠(yuǎn)程協(xié)議將虛擬基礎(chǔ)架構(gòu)上的桌面操作系統(tǒng)交付到最終用戶(hù)，用戶(hù)就像使用本地計(jì)算機(jī)一樣方便。 3. 認(rèn)證成功后，虛擬基礎(chǔ)架構(gòu)按需從鏡像管理服務(wù)器獲取標(biāo)準(zhǔn) Windows 桌面、應(yīng)用軟件、用戶(hù)個(gè)性配置文件。未來(lái)可以通過(guò)采購(gòu)瘦客戶(hù)端，代替當(dāng)前的 PC，降低終端設(shè)備的采購(gòu)和維護(hù)成本。什么樣的設(shè)備和什么樣的人可以接入，需要通過(guò)安全、智能的網(wǎng)絡(luò)接入手段來(lái)根據(jù)企業(yè)的管理規(guī)范和安全策略進(jìn)行自動(dòng)的判定，將適當(dāng)?shù)臋?quán)限和應(yīng)用交付給遠(yuǎn)程接入的用戶(hù)，在保證業(yè)務(wù)安全的同時(shí)，讓網(wǎng)絡(luò)更加安全，可靠。 安全智能的網(wǎng)絡(luò)接入 由于虛擬桌面技術(shù)使得通過(guò)互聯(lián)網(wǎng)和 VPN 訪問(wèn)桌面成為可能，那么開(kāi)發(fā)人員可以回到自己的公司或者家里進(jìn)行開(kāi)發(fā)。所有的部分進(jìn)行動(dòng)態(tài)組裝，讓用戶(hù)感覺(jué)和使用一個(gè)獨(dú)占的 PC 沒(méi)有任何差別。所有的升級(jí)、安裝工作只需要對(duì)一個(gè)鏡像進(jìn)行處理，之后所有的用戶(hù)就可以使用最新更新的操作系統(tǒng)。 高效的鏡像管理 當(dāng)大量的虛擬桌面產(chǎn)生，鏡像 管理是一個(gè)非常關(guān)鍵的問(wèn)題，好的鏡像管理將會(huì)大大減少I(mǎi)T 管理人員的管理工作量和復(fù)雜度。當(dāng)然用戶(hù)也可以遠(yuǎn)程訪問(wèn)這個(gè)虛擬機(jī)。 ? 本地虛擬桌面 這種技術(shù)可以幫助用戶(hù)在本地運(yùn)行一個(gè)虛擬操作系統(tǒng)，并進(jìn)行正常的操作。用戶(hù)可以通過(guò)本地安裝了操作系統(tǒng)的 PC，也可以通過(guò)沒(méi)有“操作系統(tǒng)”的瘦客戶(hù)端訪問(wèn)后臺(tái)服務(wù)器的虛擬應(yīng)用，開(kāi)展業(yè)務(wù)工作。 ? 托管刀片 PC 對(duì)用某些需要硬件級(jí)別資源支持的應(yīng)用開(kāi)發(fā)，可以將后臺(tái)的刀片 PC或者獨(dú)立PC，工作站發(fā)布出來(lái)，用戶(hù)可以從遠(yuǎn)程進(jìn)行使用，進(jìn)行這些對(duì)硬件資源要求比較高的應(yīng)用的開(kāi)發(fā) ? 無(wú)盤(pán) PC 在保證數(shù)據(jù)不可以被隨意帶走的前提下，但要更充分利用現(xiàn)有 PC 的資源，可以通過(guò)事先無(wú)盤(pán) PC 的方式，將操作系統(tǒng)通過(guò)網(wǎng)絡(luò)啟動(dòng)的方式引導(dǎo)，開(kāi)發(fā)人員可以像本地機(jī)一樣進(jìn)行操作，但是無(wú)法將對(duì)系統(tǒng)的更改保存，操作系統(tǒng)重啟之后，將恢復(fù)原來(lái)狀態(tài)。 ? 共享托管桌面 對(duì)于很多權(quán)限比較低的，只限于使用數(shù)據(jù)處理等固定應(yīng)用的，而且沒(méi)有權(quán)限更改桌面配置的用戶(hù)，可以使用基于服務(wù)器的共享托管桌面；其最大程度共享操作系統(tǒng)資源，實(shí)現(xiàn)最高的投資回報(bào)率 ? 托管虛擬操作系統(tǒng)桌面（ VDI） 對(duì)于需要獨(dú)立的操作系統(tǒng)資源控制能力的用戶(hù)，使用這種方案，能夠很好地滿足開(kāi)發(fā)人員的對(duì)操作系統(tǒng)的配置需求，并提供獨(dú)占的操作系統(tǒng)資源支持開(kāi)發(fā)工作。 根據(jù)類(lèi)型用戶(hù)使用不同的解決方案 虛擬桌面技術(shù)是一整套的實(shí)現(xiàn)用于遠(yuǎn)程使用桌面操作系統(tǒng)的技術(shù)，而不僅僅局限于使 用虛擬操作系統(tǒng)一種技術(shù)（俗稱(chēng) VDI）。所以虛擬桌面技術(shù)需要很好地能夠支持開(kāi)發(fā)人員使用這些新技術(shù)進(jìn)行工作，更重要的是能夠讓開(kāi)發(fā)人員開(kāi)發(fā)出基于這些技術(shù)的創(chuàng)新的企業(yè)業(yè)務(wù)系統(tǒng)，支持企業(yè)的業(yè)務(wù)創(chuàng)新。虛擬桌面需要很好地解決多媒體，甚至是高清媒體的播放，自動(dòng)探知客戶(hù)端和服務(wù)器的計(jì)算能力，并基于網(wǎng)絡(luò)選擇最優(yōu)的播放方式，讓用戶(hù)獲得最佳的體驗(yàn)，這樣才能讓開(kāi)發(fā)人員有更好的使用體驗(yàn)，更積極地支持虛擬桌面的管理方式。這些設(shè)備是日常開(kāi)發(fā)工作中往往必不可少的，所以實(shí)現(xiàn)這些設(shè)備的自動(dòng)辨識(shí)和使用時(shí)對(duì)開(kāi)發(fā)工作的正常進(jìn)行至關(guān)重要的。 良好的用戶(hù)體驗(yàn) 只有系統(tǒng)有良好的用戶(hù)體驗(yàn)，開(kāi)發(fā)人員才能夠使用虛擬桌面來(lái)很好地進(jìn)行開(kāi)發(fā)，如果體驗(yàn)很差，無(wú)法滿足開(kāi)發(fā)人員的要求，不但不可能幫助開(kāi)發(fā)工作，反而會(huì)影響開(kāi)發(fā)的正常進(jìn)行；即使能夠滿足開(kāi)發(fā)人員要求，用戶(hù)體驗(yàn)差，也可能造成開(kāi)發(fā)人員的抵觸，造成項(xiàng)目失敗。 虛擬桌面技術(shù)要點(diǎn) 用虛擬桌面技術(shù)來(lái)解決 IT 管理中的各種問(wèn)題，以及虛擬桌面方案最終被廣泛應(yīng)用， 需要解決以下幾個(gè)關(guān)鍵問(wèn)題： 高效的遠(yuǎn)程訪問(wèn)協(xié)議 由于是遠(yuǎn)程訪問(wèn)虛擬桌面，則對(duì)網(wǎng)絡(luò)具有很高的依賴(lài)性，所以遠(yuǎn)程協(xié)議必須具有很高的效率，才能滿足用戶(hù)的要求，即在滿足使用需求和體驗(yàn)的情況向，以很低的帶寬實(shí)現(xiàn)遠(yuǎn)程訪問(wèn)。 同時(shí) ICA協(xié)議可以分別針對(duì)單獨(dú)的虛擬通道進(jìn)行控制，這樣為用戶(hù)的訪問(wèn)和使用帶來(lái)了細(xì)粒度的控制。 ICA協(xié)議如下圖所示： 圖： ICA 協(xié)議邏輯示意圖 虛擬化的桌面與應(yīng)用 實(shí)現(xiàn)了 操作系統(tǒng)與 應(yīng)用軟件運(yùn)行在服務(wù)器 或后臺(tái)工作站上，但是 操作（輸入輸出）在客戶(hù)端機(jī)器上，所有的輸入如鼠標(biāo)鍵盤(pán)的操作被 ICA協(xié)議同步到服務(wù)器上執(zhí)行，所有的輸出如屏幕的刷新也被 ICA協(xié)議同步到客戶(hù)端。 終端機(jī)可以在第一次訪問(wèn) Citrix服務(wù)器時(shí)下載并安裝 Citrix ICA插件， ICA插件和虛擬應(yīng)用服務(wù)器的平臺(tái) 及虛擬桌面操作系統(tǒng) 之間通過(guò) ICA協(xié)議建立連接通道，使得 PC機(jī)用戶(hù)可以正常使用服務(wù)器上 或者桌面操作系統(tǒng)上 運(yùn)行的各種業(yè)務(wù)軟件。 技術(shù)原理 之所以 Citrix的虛擬桌面和虛擬應(yīng)用技術(shù)可以從更本上解決終端上的信息安全問(wèn)題，由于 Citrix產(chǎn)品使用的技術(shù)原理造成的。同時(shí)遠(yuǎn)程訪問(wèn)能夠接近甚至達(dá)到本地使用的效果，例如實(shí)現(xiàn)雙向語(yǔ)音， VOIP，高清視頻的應(yīng)用，并能夠很好地支持各種 USB 設(shè)備和smart card 的辨識(shí)。利用用戶(hù)個(gè)性化，用戶(hù)設(shè)置會(huì)被保存起來(lái)，并且無(wú)論用戶(hù)接入哪個(gè)桌面都可使用保存的個(gè)性化設(shè)置，實(shí)現(xiàn)了一致的用戶(hù)體驗(yàn)。通過(guò)將應(yīng)用與基本桌面鏡像分離，所需的桌面鏡像數(shù)量大大減少，這就簡(jiǎn)化了維護(hù)過(guò)程，并可以利用其他手段對(duì)用戶(hù)使用應(yīng)用的行為進(jìn)行錄像，進(jìn)行行為控制。 4. 虛擬應(yīng)用：虛擬應(yīng)用技術(shù)被融合到虛擬桌面中，目標(biāo)就是通過(guò)將每個(gè)用戶(hù)使用應(yīng)用的差異，從操作系統(tǒng)中分離出來(lái)，從而降低系統(tǒng)管理復(fù)雜性，其負(fù)責(zé)識(shí)別分配給用戶(hù)的應(yīng)用，并將其交付給虛擬桌面。當(dāng)每個(gè)虛擬桌面啟動(dòng)時(shí)，操作系統(tǒng)會(huì)經(jīng)由網(wǎng)絡(luò) 通過(guò)流技術(shù)交付給虛擬桌面 。 3. 鏡像管理 ： 對(duì)于大量用戶(hù)的虛擬桌面管理，良好的鏡像管理可以很好地解決管理面臨的各種問(wèn)題 。 2. 虛擬桌面交付控制器：虛擬桌面交付控制器負(fù)責(zé)整個(gè)虛擬桌面系統(tǒng)的調(diào)度，例如新虛擬桌面的注冊(cè)以及將虛擬桌面的請(qǐng)求指向可用的系統(tǒng)。 桌面虛擬化 解決方案 一般的架構(gòu)如下圖所示： 圖：整體架構(gòu) 虛擬桌面方案將一般包含以下核心要素： 1. Virtualization Infrastructure（虛擬化基礎(chǔ)架構(gòu)）：虛擬化基礎(chǔ)架構(gòu)通過(guò)使用服務(wù)器虛擬化軟件，將單個(gè)物理服務(wù)器分成多個(gè)共享資源的虛擬操作系統(tǒng)，對(duì)外提供桌面的服務(wù)。通過(guò)單一鏡像管理，可動(dòng)態(tài)按需產(chǎn)生虛擬桌面，該桌面所有的運(yùn)行都發(fā)生在遠(yuǎn)程數(shù)據(jù)中心的機(jī)房里 ,不用再擔(dān)心數(shù)據(jù)駐留在客戶(hù)端導(dǎo)致的安全漏洞。這種技術(shù)實(shí)現(xiàn)了操作系統(tǒng)與應(yīng)用軟件運(yùn)行在服務(wù)器或后臺(tái)工作站上，但是操作（輸入輸出）在客戶(hù)端機(jī)器上，所有的輸入如鼠標(biāo)鍵盤(pán)的操作被同步到服務(wù)器上執(zhí)行，所有的輸出如屏幕的刷新也被同步到客戶(hù)端。 ? 提高網(wǎng)絡(luò)安全，由于只使用需要開(kāi)放 1 個(gè)端口，所以可以實(shí)現(xiàn)網(wǎng)絡(luò)的邏輯隔離和嚴(yán)格控制，在不影響應(yīng)用的前提下，全面提升網(wǎng)絡(luò)安全性。 ? 應(yīng)用管理更簡(jiǎn)單，管理員在服務(wù)器進(jìn)行統(tǒng)一一次管理，就可以將最新更新交付給所有用戶(hù)； ? 桌面的性能能夠得到提升，因?yàn)樗蛻?yīng)用后端的服務(wù)器都運(yùn)行在數(shù)據(jù)中心； ? 桌面可以分享最新最強(qiáng)大的服務(wù)器硬件，配置資源可以按照用戶(hù)需求動(dòng)態(tài)調(diào)整。目前桌面虛擬化技術(shù)融合了應(yīng)用虛擬化技術(shù)，在虛擬桌面模式下，每個(gè)人獨(dú)享的遠(yuǎn)程操作系統(tǒng)，并利用內(nèi)含的應(yīng)用虛擬化技術(shù)，實(shí)現(xiàn)更 靈活，高效的管理和應(yīng)用。而虛擬桌面技術(shù)被逐步接受，尤其是和虛擬應(yīng)用的結(jié)合，使得桌面虛擬化技術(shù)能被更廣泛地使用幫助企業(yè)以更低成本、更好地實(shí)現(xiàn)桌面管理。目前虛擬化技術(shù)主要包含：服務(wù)器虛擬化，應(yīng)用虛擬化和桌面虛擬化技術(shù)。要求可以保證敏感數(shù)據(jù)的安全、集中化管理用戶(hù)的桌面環(huán)境，同時(shí)盡量保證用戶(hù)的桌面使用體驗(yàn)。 目前， xx集團(tuán) 公司 正處于 IT系統(tǒng)架構(gòu)逐步豐富和完善的建設(shè)過(guò)程中，隨著各業(yè)務(wù)系統(tǒng)的不斷建設(shè)和集中， IT 系統(tǒng)架構(gòu)也越來(lái)越趨于復(fù)雜，分散的用戶(hù)訪問(wèn)和集中的辦公及業(yè)務(wù)應(yīng)用，要求系統(tǒng)管理，特別是面對(duì)最終用戶(hù)的應(yīng)用訪問(wèn)環(huán)境和用戶(hù)桌面環(huán)境的管理，能夠在便捷、高效的基礎(chǔ)上提供更加集中和安全的訪問(wèn)模式，便于 IT部門(mén)的運(yùn)維支持，降低安全和穩(wěn)定性風(fēng)險(xiǎn)，減少 IT管理成本 ， 因此 如何實(shí)現(xiàn)高效、安全的客戶(hù)端安全管理，是當(dāng)前擺在面前的重要議題 。 IT 管理人員為了能夠給最終用戶(hù)良好的應(yīng)用訪問(wèn)體驗(yàn)，不得不不斷提升用戶(hù)終端的性能，不斷建設(shè)相應(yīng)的維護(hù)、支持和防護(hù)系統(tǒng)，用于對(duì)用戶(hù)運(yùn)行環(huán)境的升級(jí)更新、安全防護(hù)。對(duì)于運(yùn)行于用戶(hù)終端之上的應(yīng)用訪問(wèn)客戶(hù)端 ，通常采取各自為政的策略，由應(yīng)用的 訪問(wèn)模式來(lái)決定應(yīng)用訪問(wèn)客戶(hù)端的運(yùn)行和部署模式及運(yùn)行環(huán)境。這 一龐大繁瑣的過(guò)程往往拖延了許多對(duì)企業(yè)有利的升級(jí)，進(jìn)而可能導(dǎo)致企業(yè)無(wú)法快速應(yīng)對(duì)市場(chǎng)需求 。 如果用戶(hù)無(wú)法使用他們的 桌面 或應(yīng)用程序， 公司就 無(wú)法 高效率 運(yùn)作。 ? 新的移動(dòng)設(shè)備支持：目前市場(chǎng)上的 iPad、 iPhone、安卓等新的移動(dòng)設(shè)備無(wú)法運(yùn)行和訪問(wèn)公司的內(nèi)部系統(tǒng)，無(wú)法滿足移動(dòng)辦公用戶(hù)的需求。 ? 無(wú)法進(jìn)行行為監(jiān)控：由于計(jì)算機(jī)分散管理，用戶(hù)登錄業(yè)務(wù)系統(tǒng)后， 訪問(wèn)和使用特定應(yīng)用、特定數(shù)據(jù) 時(shí)的行為無(wú)法進(jìn)行 有效、 實(shí)時(shí) 的 監(jiān)控， 無(wú)法進(jìn)行 事后 審計(jì)、 追溯。 ? 業(yè)務(wù)連續(xù)性：采用分散的 PC模式，易造成管理的復(fù)雜度，難以定位故障和損壞，影響業(yè)務(wù)連續(xù)性和效率。 ? 人員成本：針對(duì)分散的終端 PC 機(jī)， IT 人員需要經(jīng)常進(jìn)行操作系統(tǒng)、應(yīng)用系統(tǒng)、硬件等維護(hù)工作； IT 人員日復(fù)一日陷入低效率的重復(fù)手動(dòng)勞動(dòng)中，無(wú)形中增加了 IT 投入的人力成本。 ? 數(shù)據(jù)可管理性： 數(shù)據(jù)都分散存放于用戶(hù)的計(jì)算機(jī)上，由于分散保存，很難對(duì)文檔的進(jìn)出進(jìn)行有效控制，難于實(shí)現(xiàn)對(duì)文檔的統(tǒng)一管理和備份，難于實(shí)現(xiàn)敏感數(shù)據(jù)的安全防護(hù)； ? 系統(tǒng)可用性：隨著辦公的移動(dòng)化和應(yīng)用的集中化，業(yè)務(wù)人員面臨著愈加復(fù)雜的辦公環(huán)境，在各種環(huán)境中甚至移動(dòng)辦公環(huán)境和遠(yuǎn)程辦公環(huán)境中都要求能夠擁有一致的高效的應(yīng)用體驗(yàn)。例如：對(duì)終端 PC 上應(yīng)用和操作系統(tǒng)的安裝管理和更新就消耗了技術(shù)人員大部分的時(shí)間和精力；為了保證終端系統(tǒng)可用性需要為各地配備專(zhuān)門(mén)的 IT技術(shù)人員，這些 IT力量的統(tǒng)籌管理成為 IT管理敏捷性的一大挑戰(zhàn)。 xx 集團(tuán) 虛擬桌面 項(xiàng)目 建議書(shū) 思杰系統(tǒng)信息技術(shù)（北京）有限公司 2020 年 6 月 目錄 管理現(xiàn)狀及存在的問(wèn)題 ...................................................................................................5 解決方案 .........................................................................................................................7 桌面虛擬化技術(shù)簡(jiǎn)介 ...................................................................................................7 系統(tǒng)架構(gòu) ...............................................................................................................8 技術(shù)原理 ............................................................................................................. 10 虛擬桌面技術(shù)要點(diǎn) .................................