桌面虚拟化技术介绍

1、目录1 microsoft enterprise desktop virtualization (med-v) 简介1.1业务用例1.2主要功能2 高级体系结构3 虚拟镜像生命周期概览4 med-v 客户端33579114.1身份验证与策略实施114.2虚拟机操作114.3 虚拟镜像加密124.4脱机模式124.5 远程访问与非托管端点124.6公开的应用程序和菜单 一致的桌面用户体验134.7 web 浏览器重定向134.8打印144.9文件传输144.10 复制/粘贴控制145 med-v 客户端部署155.1客户端部署和镜像交付方法 155.2自定义的初次设置155.3med-v 客户端

2、升级156 虚拟镜像管理166.1 工作区类型166.2租期与过期 167 med-v 镜像管理 177.1 trimtransfer 技术188 med-v 管理服务器198.1工作区策略198.2 事件数据库与 med-v 仪表板 199 med-v 企业体系结构209.1dmz 结构209.2可伸缩性和多位置209.3高可用性 201 microsoft enterprise desktop virtualization（med-v）简介microsoft enterprise desktop virtualization（med-v）增强了 virtual pc 镜像在 windows

3、 桌面上的部署和管理，还提供了 virtual pc 环境的无缝用户体验，独立于本地桌面配置和操作系统（os）。med-v 利用 microsoft virtual pc 提供桌面虚拟化企业解决方案。利用 med-v，您可在任何 windows 桌面上轻松创建、交付和管理企业 virtual pc 镜像。med-v 是 microsoft desktop optimization pack 的一个完整组成部分，这种动态解决方案适合软件保障客户，可帮助降低应用程序部署成本，支持将应用程序作为服务交付，并帮助更好地管理和控制企业桌面环境。1.1 业务用例l 应用于解决 os 不兼容问题并加速升级到

4、新 os 的过程：旧版应用程序与较新版本的 microsoft windows 之间的不兼容问题往往是妨碍企业升级到最新版本 windows（如 windows vista）的一大阻碍，使企业无法利用最新版本提供的众多新特性和增强。med-v 可利用运行旧版本 os（如 windows xp 或 windows 2000）的 virtual pc 交付这些应用程序，从而允许管理员切断计算机底层硬件与操作系统之间的密切关联，使用户能够受益于最新版本的 windows。从用户的角度而言，这些应用程序可以通过“开始”菜单访问，与位于与普通应用程序相同的位置，因而用户体验仅存在最小限度的改变。4l 员

5、工管理的台式机和便携计算机：用户（如使用计算机处理个人和工作事项的远程工作者）可受益于运行标准 pc 操作系统环境以外的独立虚拟操作系统的能力。举例来说，一名用户可在个人便携计算机（主机）或家用计算机上使用 windows vista，并且使用 virtual pc 在虚拟机（来宾）上运行企业桌面，在同一个物理设备上同步运行这两种用途不同的操作系统。med-v 允许企业集中管理和控制所有这些虚拟企业桌面，并应用策略甚至可应用到非企业设备之上。这有助于消除 it 控制和用户灵活性之间存在的一贯矛盾，并且可在企业环境中支持员工拥有的便携计算机。l 灵活的企业计算：在非托管设备上交付企业管理的 vi

6、rtual pc，从而提高企业客户端计算的可管理性和灵活性： 承包商和第三方：在第三方管理的主机之上（也就是说，并非由用户或企业 it 管理）提供企业管理的 it 环境。可通过 dvd、usb 或 web 提供部署包（包括虚拟化软件和 virtual pc 镜像）。 这提高了承包商在现场或海外所用计算机的可用性和可管理性，更简化了不同 it 环境的整 合（例如，针对新分支办公室或 m&a 新子公司）。 业务连续性：允许 it 在任何 windows 桌面上迅速重设企业管理的虚拟桌面，而与硬件或操作系统配置无关。在出现妨碍员工前往办公室的意外事件时，支持经济有效的桌面灾难恢复计划，而不必依赖于服

7、务器，也不必一直维护恢复中心。 家庭办公和便携企业计算（v1 中提供了部分支持）：用户可在企业桌面环境中获得全面的移动性。可通过 usb 驱动器随身携带 virtual pc，并在任何主机（包括家用计算机）上使用，而企业控制和可管理性仍可得到维护，应用于企业桌面的所有策略仍可得到实施。virtual pc 直接通过 usb 驱动器运行，所有用户数据和设置将随 usb 漫游。61.2 主要功能med-v 在 virtual pc 的基础上添加了四个额外的组件，支持桌面虚拟化的企业部署：l 虚拟镜像存储库与交付 med-v 提供了在用户的台式计算机上存储和交付标准 virtual pc 镜像的机制

8、。这些机制简化了从中央位置创建、测试、部署和维护虚拟镜像的过程。 虚拟镜像创建和测试控制台，以及虚拟镜像中央存储库 自动安装包创建向导，以便通过可移动的介质（例如，dvd、usb key）进行远程部署 允许用户使用标准 web 基础结构（iis 服务器）检索虚拟镜像的客户端组件 高效、节省带宽的 trim transfer 机制，用于通过高速 lan 和低速 wan 连接交付和更新虚拟镜像 自动化虚拟机初次设置的机制，例如，指定唯一的计算机名、执行初始网络设置、加入域以及其他必要的部署步骤l 集中管理与监控 med-v 提供了管理部署在企业内台式计算机之上的虚拟机的整个生命周期的手段。med-

9、v 提供的集中管理与监控功能包括： 中央管理服务器，可用于控制已部署在台式计算机上的虚拟机。 与 microsoft active directory domain services 集成，支持根据组成员或用户身份提供虚拟镜像。 在访问虚拟镜像之前进行用户身份验证（无论主机处于联机还是脱机状态）。 包含所有客户端活动和事件的中央数据库，使支持人员可以更轻松地远程监控问题情况，并简化故障排除。l 使用策略和数据传输控制 med-v 客户端实施企业使用策略、对虚拟镜像的访问权限和数据传输权限： 能够为虚拟机配置过期日期，并指定虚拟机脱机使用的时限。 能够配置虚拟机和端点之间的入站和出站数据传输无论

10、数据传输是通过复制/粘贴、文件传输还是打印执行。 能够自动重定向指定 web 站点（例如企业内部网或需要旧版浏览器的站点），从端点浏览器重定向到虚拟机内的浏览器。无缝的最终用户体验 - med-v 可配置为提供无缝体验，使用户注意不到在后台运行的虚拟机。这从整体上减少了部署 virtual pc 镜像所需的培训： 对端点透明的部署流程，通过用户友好的托盘菜单提供简化的虚拟机使用过程。 公开的应用程序：在虚拟机中安装的应用程序可通过用户的“开始”菜单使用。 不可见的虚拟机：在 virtual pc 中运行的应用程序无缝地整合到用户桌面之中，与本地应用程序出现在相同的位置。2 高级体系结构基于收购

11、的 kidaro 技术开发出来的 med-v 解决方案包括：l 管理员定义的虚拟机（1），封装企业桌面环境：在标准桌面上常用的 os、企业应用程序和可选的管理工具。l 镜像存储库（2），在标准 web 服务器上存储所有虚拟镜像，支持虚拟镜像版本管理、客户端认证的镜像检索，并通过 trimtransfer 技术提供高效下载和更新。l 管理服务器（3），根据 microsoft active directory 用户和组将镜像存储库中的虚拟镜像关联到通过身份验证的用户，并分配使用策略和数据传输控制权限。管理服务器还会将客户端事件聚合到中央数据库中，以便监控和报告。l 统一的管理控制台（4），使管理

12、员能够控制所有管理服务器和镜像存储库功能。8l 最终用户客户端（5）提供两项主要功能：1. 根据管理员定义的策略管理虚拟机操作（即启动、停止、挂起）和生命周期。2. 无缝地使虚拟机中安装的应用程序可通过“开始”菜单使用，并整合到用户桌面之中。客户端和服务器（管理服务器与镜像存储库）之间的所有通信都是在标准 https 信道上进行的。对于企业网络以外的最终用户，可在 dmz 上部署标准网关，使其能够远程访问管理服务器和镜像存储库。microsoft desktop optimization pack103 虚拟镜像生命周期概览med-v 虚拟镜像的典型生命周期如下所述：l 在 microsoft

13、 virtual pc 内创建虚拟镜像，通过 med-v 管理控制台进行测试，并将其载入 med-v 镜像存储库。l 定义 med-v 工作区。 工作区就是一个虚拟镜像，与一组使用策略相关联，并提供给特定用户： 创建通过最终用户的“开始”菜单使用的应用程序列表。 定义应在虚拟机浏览器内查看的 web 站点。 将工作区提供给 active directory 用户和组。 为各用户和组设置使用策略（例如，过期、脱机工作的权限）和数据传输权限（文件传输、复制/粘贴和打印）。l 部署 med-v 客户端： 在组织内部部署 使用电子软件分发工具，例如 system center configuratio

14、n manager。 通过 web 远程部署 使用以自解压归档文件形式提供的 med-v“一次单击”式安装包。 安装介质 提供 cd、dvd 或 usb 驱动器，在插入时即可安装 med-v 客户端。无论初始部署方式如何，med-v 客户端均可配置为通过 lan 或 wan 从管理员定义的位置自动检索软件升级。l 交付虚拟镜像： 通过网络 使用上述任何方法安装了 med-v 客户端之后，即可使用标准 http/https 信道通过 lan 或 wan 检索虚拟镜像。trimtransfer 技术可提高下载速度并减少所需带宽，后文将具体说明。 通过可移动的介质（例如 dvd） 在将安装介质提供给

15、最终用户时，可以在介质上添加虚拟镜像。在安装过程中，虚拟镜像将复制到本地驱动器上，以备在用户初次运行 med-v 客户端时使用。 usb 驱动器上的便携程序包 与可移动的介质相似，其中也包括 med-v 客户端和虚拟镜像，但此时虚拟机直接从 usb 驱动器运行，不会部署到设备本地。通过这种方法，用户的企业应用程序和资源都位于一个虚拟镜像内，并且可随其在端点之间漫游。l 最终用户开始工作 med-v 管理服务器对用户进行身份验证，随后用户即可在虚拟机内开始工作。用户通过初次联机身份验证之后，如果管理员允许，也可进行脱机工作。l 管理和更新工作区 管理控制台允许管理员轻松更新使用策略 、将工作区提

16、供给更多用户、为现有用户取消提供更新、自行更新虚拟镜像。所有更新都将在相关用户联机时自动分发给这些用户。microsoft desktop optimization pack124 med-v 客户端4.1 身份验证与策略实施med-v 客户端要求身份验证，这是为了确保只有经过授权的用户才能访问 med-v 虚拟镜像。这样的验证是根据管理服务器执行的，在 active directory 中查询用户和组信息。med-v 利用 active directory 安全策略。如果一个帐户在用户目录中被禁用或被锁定（例如，如果用户 3 次键入错误的密码），该用户就不允许启动工作区。此外，如果密码即将过

17、期，用户将在身份验证完成之前看到更改密码的提示。身份验证和授权流程完成之后，med-v 客户端就会查询 med-v 管理服务器，获取最新策略和设置。这种操作可确保端点使用的是最新的工作区，并允许管理员控制和监控活动的用户，后文将详细说明。用于验证 med-v 客户端的域凭据也可用于登录到虚拟机内的 windows，使用户无需重复键入域凭据（假设域凭据是相同的）。但用户仍需为 med-v 客户端进行验证，即便端点主机已使用相同的凭据登录也是如此。用户可选择保存凭据，以便在下一次希望启动工作区时自动为 med-v 客户端提供凭据。在虚拟机运行时，在预定义的空闲时间之后或当设备进入休眠或睡眠模式时，

18、虚拟机将进入“锁定”模式。只有经过验证的用户在输入正确的密码后才能解锁虚拟机并继续工作。med-v v1 仅支持基于 active directory 域凭据的身份验证（用户名和密码）。未来的版本中还将包括双重身份验证（例如，智能卡证书）。4.2 虚拟机操作med-v 利用行业标准虚拟引擎 microsoft virtual pc 在端点本地运行虚拟机。med-v 客户端控制虚拟机管理的所有方面，包括检索或更新虚拟镜像；为特定用户或设备自定义虚拟机；初始化、挂起或终止虚拟机会话；监控虚拟引擎工作是否正常（“监视程序”）。最终用户仍然不会注意到虚拟机在后台运行。med-v 客户端可配置为在每次工

19、作会话结束时或用户注销主机工作站时获取虚拟机的一份快照（类似于便携计算机的睡眠模式）。这可缩短重新初始化虚拟机的全部功能所需的时间。虚拟机像上文所述这样挂起时，如果另外一名经过授权的用户希望使用虚拟机，它将重新启动（经过用户确认）。现有会话将丢失，这与物理设备上的 windows 行为完全相同。4.3 虚拟镜像加密为了保护虚拟镜像免于未经授权的使用（即被未通过身份验证的用户使用，或不符合管理员定义的使用策略），虚拟镜像在载入镜像存储库时将加密。加密密钥在服务器上针对每一个镜像生成，并安全地传输给通过身份验证的客户端。虚拟镜像以加密的形式保留在端点上，当虚拟机运行时，块将“动态”解密/加密。4.

20、4 脱机模式如果用户经过授权，则可脱机使用虚拟机，策略文件和加密密钥将在其初次通过联机身份验证后缓存在本地。在使用 usb 驱动器上的便携包时，缓存内容是存储在 usb 驱动器上的，而非本地驱动器。其他一些机制也会在用户的身份验证尝试失败达到一定次数时阻止用户。此外，当用户帐户在 active directory 中被禁用、被锁定、过期或帐户密码更改时，med-v 会删除脱机缓存的凭据。脱机权限可限制为在预定义的期间内有效，过期后用户必须重新连接。这确保了用户能够持续拥有最新权限，并为顾问或第三方实施可选的过期或取消提供设置（参见“租期与过期”）。4.5 远程访问与非托管端点使用 med-v

21、时（特别是在非企业设备上或在企业网络以外），必须牢记，虚拟机上的来宾 os 依赖于主机 os 的安全性。主机 os 上的恶意软件很可能会影响来宾 os。因而，在非托管系统上执行企业虚拟机之前，建议对主机 os 进行扫描。在连接到企业网络之前，管理员应采用在非托管系统上执行的 vpn 客户端常用的安全性指导原则和修正策略。为了实现主机 os 扫描，med-v 客户端支持执行外部脚本或可执行文件的能力，仅在命令成功通过后才允许来宾 os 运行。就远程访问客户端而言（例如 vpn 客户端），可将其安装在虚拟机内部，仅允许来自虚拟机内部的企业网络连接，也可安装在端点本身之上。144.6 公开的应用程序

22、和菜单 一致的桌面用户体验管理员可在虚拟机中“发布”应用程序，并使最终用户可通过主机的“开始”菜单使用这些应用程序。虚拟机“开始”菜单的全部子菜单均可发布。这些应用程序将直接通过“开始”菜单或桌面快捷方式启动（1）；并与本地应用程序出现在同一位置，但可以选择使用不同颜色的框架作为区分（2）。然而，虚拟机本身并不出现，这简化了用户体验，避免了用户工作流的改变。推荐大多数用户使用“单一桌面”模式，这种做法能够简化培训和工作流程。但若较高级的用户希望明确区分 ui，管理员也可将虚拟机设置为在“全桌面”模式下工作。在这种模式下，用户可在物理桌面和虚拟机桌面之间来回切换。4.7 web 浏览器重定向对于

23、 web 应用程序，管理员可定义一组 web 站点（依据域名后缀或 ip 前缀的允许/拒绝列表），使这组站点在虚拟机中运行的浏览器内启动。企业 web 站点或不兼容的 web 应用程序可在虚拟机内启动，而其他所有站点在主机浏览器中显示。med-v 客户端可自动管理浏览器重定向，为最终用户提供无缝的浏览体验。4.8 打印在 med-v 策略允许的情况下，用户可从工作区应用程序（位于来宾 os 中）打印到任何本地安装的打印机，而无需在虚拟机内安装任何驱动程序。4.9 文件传输用户可根据管理员定义的权限，选择在虚拟机和端点之间传输文件。文件传输基于集中定义的筛选器，允许指定文件类型的入站/出站传输，

24、并且可在传输目标处进行防病毒扫描。4.10 复制/粘贴控制工作区与本地应用程序之间的复制/粘贴操作需服从管理策略。此类操作可在双向或单向上允许或拒绝。但虚拟机内部以及端点主机应用程序之间的所有复制/粘贴操作都是允许的。5 med-v 客户端部署5.1 客户端部署和镜像交付方法med-v 可通过多种方法部署：l 软件分发系统 med-v 客户端安装基于标准 windows msi。因此，在内部部署 med-v 时，管理员可使用现有的任何软件分发系统。med-v msi 包中不包括任何需要独立部署到所有端点的 virtual pc 软件，也不包括虚拟镜像，虚拟镜像需在安装后根据用户的相应策略从镜像

25、存储库下载。l dvd 或 usb 驱动器提供的“一次单击”式安装包 管理员可为最终用户提供包括 med-v 客户端、microsoft virtual pc 和虚拟镜像的安装包。此过程几乎不需要用户干预，可自动安装将 med-v 部署到本地驱动器所需的一切。l web 管理员可将 med-v 安装包（通常不含虚拟镜像）放置在可通过 web 访问的服务器上，并将用户引向下载页面。在安装完成后，med-v 客户端将自动从 med-v 管理服务器检索相应的工作区策略，并从 med-v 镜像存储库下载虚拟镜像。l usb 驱动器上的便携包 管理员可为最终用户提供便携程序包。与安装包类似，它包含虚拟镜

26、像，但不会将其部署到本地驱动器上。virtual pc 直接从 usb 驱动器运行虚拟镜像，所有更改都将保存在该驱动器上，这使用户能够携带该虚拟镜像在端点间漫游。5.2 自定义的初次设置med-v 允许管理员为每次虚拟镜像部署自定义初次设置。此过程可包括为虚拟机分配一个唯一的计算机名（根据用户名、端点参数或随机 id 来确定）、运行 sysprep 为该虚拟机分配一个唯一的 sid、将虚拟机添加到企业 active directory 域，也可运行其他任何自定义脚本。med-v 客户端将为最终用户自动、透明地处理初次设置，包括重复失败步骤或整个流程，并在需要进行故障排除时报告给管理服务器。5.

27、3 med-v 客户端升级对于上述任何方法，med-v 客户端都支持通过网络进行自动客户端升级。只要管理员使用新客户端版本更新了 med-v 管理服务器，所有客户端都会安全地下载并安装新版本。166 虚拟镜像管理6.1 工作区类型med-v 支持两种管理和更新虚拟镜像的方法：? 域管理的虚拟机 med-v 允许管理员按照管理标准企业设备的方式管理虚拟机：使用现有工具（组策略、电子软件分发等）修补、管理和更新。在初次设置期间，虚拟机将成为企业域的一部分。? 自我清理（“可还原”）的虚拟机 med-v 提供了一种独特的方法，可交付管理良好、易于支持的桌面环境。它利用虚拟化的硬件独立性，为多名用户维

28、护相同的镜像。用户对应用程序或 os 做出的所有更改都将在 virtual pc 会话结束时被放弃，虚拟机还原到管理员在端点初次设置过程中自定义并打包的初始镜像。适用于“主虚拟镜像”的更新、补丁、新应用程序和设置更改可作为新版本的镜像上传到 med-v 镜像存储库，并使用 trimtransfer 技术交付给所有端点，而不必独立更新各端点。在使用自我清理虚拟机时，这一优势将得到最大的发挥。6.2 租期与过期在员工离开组织或承包商项目结束时，就需要灵活的镜像生命周期控制。管理员可预先配置租期，在指定日期后暂停对企业虚拟机的任何访问（包括应用程序、资源甚至是本地存储的数据）。此类租期可延长，此外，

29、虚拟机也可设置为使用数字粉碎（删除加密密钥）或彻底删除来完全终止虚拟机磁盘。7 med-v 镜像管理med-v 镜像存储库包含所有可用的虚拟机镜像。med-v 管理控制台提供了一种轻松简便的方法，可创建、管理、更新镜像或从 med-v 镜像存储库中删除镜像。在管理员提供新虚拟机或更新现有虚拟机时，med-v 管理服务器会检测到镜像存储库中的更改，在 med-v 客户端下一次查询策略时发出通知，指导它们从相应的镜像存储库中检索最新的虚拟机。交付是使用 med-v trimtransfer 技术通过网络实现的。另外，虚拟机也可通过 dvd 或 usb 磁盘交付。镜像存储库使用 iis web 服务

30、器，因而利用了标准的 web 可伸缩性和高可用性基础结构。要改进下载性能，组织可在分支办公室或远程位置创建镜像存储库的副本。管理员可选择下载是否通过标准 http/https 会话完成。microsoft desktop optimization pack187.1 trimtransfer 技术trimtransfer 重复消除技术显著加速了镜像的交付，并节约了将一个虚拟镜像传输给多个最终用户所需的网络带宽。它使用端点本地驱动器的数据建立镜像存储库中虚拟镜像的副本，而无需下载整个镜像。通常，端点本地驱动器中已有虚拟镜像中的大量数据块（例如系统和应用程序文件），这是由于端点和虚拟机运行的都是相

31、同或类似的 os 和应用程序。因而，trimtransfer 组件在初次运行时将扫描并索引本地驱动器，并使用本地数据块构建虚拟镜像的本地副本，而不必从镜像存储库中下载。通过使用散列函数，即可确保此过程中使用的本地数据块与所需虚拟镜像中对应的数据块完全相同。类似地，在更新到新版本的镜像时（例如，管理员希望分发新应用程序或补丁时），仅需下载新镜像元素（“增量”），而不必下载整个虚拟机，这节省了所需的网络带宽和交付时间甚至可能优于初始交付时的情况。8 med-v 管理服务器med-v 管理服务器存储和管理所有 med-v 配置，包括用户策略。它可安装在 ms windows 2008 server

32、之上。通过 med-v 管理控制台可控制所有服务器功能，而这个管理控制台是一个独立客户端应用程序。所有 med-v 客户端在初始化、身份验证和检索最近更新策略时都要连接到 med-v 管理服务器。所有会话（由 med-v 客户端或管理控制台发起）均通过 http 或 https（具体取决于服务器配置）传输。8.1 工作区策略使用 med-v 管理控制台，管理员可创建新策略，也可更改 med-v 管理服务器上存储的现有策略。任何更改都将被所有联机客户端自动获取。脱机客户端将在连接时更新。所有策略都使用在服务器安装时生成的私钥标记；med-v 客户端将使用初次与服务器通信时获得的公钥验证检索到的所

33、有策略的真实性和完整性。8.2 事件数据库和 med-v 仪表板med-v 管理服务器聚合来自所有 med-v 客户端的事件。此类事件包括系统通知和 med-v 工作区生命周期监控结果（工作区启动、停止、因磁盘空间不足而启动失败等）。所有事件都存储在一个由管理员定义的数据库中，例如，microsoft sql server 2005。med-v 管理控制台提供了一个报告生成器，它能按照日期和用户筛选事件。此外还提供了一个仪表板状态报告，实现对所有已安装客户端的监控，包括机器名称、用户名、脱机/联机指示、客户端版本、镜像名称、镜像版本等。客户端状态使管理员能够实时监控虚拟镜像的下载或更新进度。2

34、09 med-v 企业体系结构9.1 dmz 结构对于企业网络外部的最终用户来说，可在 dmz 中部署标准网关，允许其远程访问管理服务器和镜像存储库。由于与管理服务器和镜像服务器的通信基于 http/https，因而该网关可用作用户身份验证的端点（基本或集成模式）。med-v 客户端在每一个请求的 http 报头中提供用户名和密码。9.2 可伸缩性和多位置典型的 med-v 管理服务器根据所使用的具体硬件情况，可支持数以千计的用户。客户端-服务器通信是轻量级的：客户端往往配置为每隔 15 分钟轮询服务器中的策略，每 4 小时轮询镜像更新。在客户端-服务器交互中，唯一负载较重的操作是在提供新镜像时出现的，此时，众多客户端分别检索数百兆字节的数据。镜像存储库必须与管理服务器