> 專題報導

實戰架設VDI虛擬桌面建置Horizon View環境

VMware的VDI桌面虛擬化解決方案，從早期2008年發行的VMware View Manager 3，至目前最新的版本，也就是2014年6月所發佈的VMware Horizon 6.0 with View，已經逐漸演變為成熟的解決方案，並將相關特色功能再進行增強。本文將示範如何利用最新的版本來建置Horizon View環境。

舉例來說，在具備16台ESXi主機的網路環境內，當需要變更某個虛擬交換器名稱時，在vDS環境中只要修改一次即可，但在vSS環境中就必須要修改16次（逐台修改）。

此外，在儲存資源的部分，除了以往常用的傳統共享儲存設備外，現在還可以導入VMware vSAN（Virtual SAN），它是「軟體定義儲存（Software-Defined Storage，SDS）」的運作架構，具備「垂直擴充（Scale-Up）」及「水平擴充（Scale-Out）」的特色。

值得注意的是，雖然vSAN是以「儲存原則管理（Storage Policy Based Management，SPBM）」方式運作，也就是可以針對不同運作需求的VM虛擬主機來套用不同的vSAN儲存原則，如圖4所示。但是，最新發行的vSAN 1.0版本若結合Horizon VDI一起運作時，那麼屆時透過Composer伺服器角色，利用Linked Clones機制所產生的VDI虛擬桌面，目前僅能套用「vSAN預設儲存原則」。

▲4 Horizon VDI架構結合vSAN運作機制示意圖。（圖片來源：VMware Education – Horizon (with View) Fundamentals v6.0）

建立Windows AD網域

以往在建構vSphere伺服器虛擬化環境時，可以選擇建置或不建置Windows AD網域環境。但是，當需要建構Horizon VDI虛擬桌面環境時，就「必須」建置Windows AD網域環境，因為須要透過Windows AD網域當中的網域控制站DC（Domain Controller）來達成使用者驗證（Authentication）及授權（Authorization）的機制。

舉例來說，當建置的VDI虛擬桌面區分成教師用及學生用，但沒有網域控制站的驗證及授權機制幫助時，該如何處理？當需要指派使用者登入桌面開啟瀏覽器後，首頁便是公司網站首頁時該如何處理？或者要求使用者登入虛擬桌面後便自動連結至所屬的網路磁碟機及印表機等等，這些後續的維運及管理機制便需要透過網域控制站的驗證和授權，以及群組原則（Group Policy）等機制協同合作後達成，如圖5所示。

▲圖5 網域控制站驗證及授權運作機制示意圖。（圖片來源：VMware官網 – View Client with Local Mode how it works）

此外，在目前的運作環境內可能已經有Windows AD網域運作架構，因此可以針對VDI虛擬桌面的部分額外建立相關的OU容器。如圖6所示，便額外建立了Horizon-VDI OU容器，並於其下再建立VDI Users、VDI Computers兩個子OU容器，以便存放會使用VDI虛擬桌面的使用者和群組，以及VDI虛擬桌面的電腦帳戶。

▲圖6 針對VDI虛擬桌面額外建立相關的OU容器。

這樣設計的好處是，方便後續套用GPO群組原則時可以依OU容器進行套用，而不致影響到現有的實體運作架構。

安裝Connection伺服器角色

IT管理人員在初次接觸VDI虛擬桌面技術時，通常第一個產生的技術困惑點是，VDI虛擬桌面與一般用於管理的遠端桌面有何不同？

簡單來說，當IT管理人員透過遠端桌面連線至主機時，需要進行一對一的連接埠對應，例如有10台主機要提供對外的遠端桌面服務，就必須在防火牆端開啟10個連接埠，並分別對應到內網中10台主機的Port 3389。若有100台主機需要對應，相信會造成不小的管理負擔。

但VDI虛擬桌面技術便不是這樣的運作概念，在Horiozn運作架構中，Connection伺服器是負責擔任「代理人（Broker）」的角色，在平常運作時，VDI虛擬桌面透過「代理程式（Agent）」隨時將目前的運作狀況回報給Connection伺服器，這樣Connection伺服器便能得知每台VDI虛擬桌面的狀態，例如該桌面目前狀態為可用、更新中或重開機中等等。

當使用者端送出VDI連線需求，並且通過Windows網域控制站的驗證及授權機制後，此時Connection伺服器便會指派一台（可預先指派或隨機安排）目前運作狀態為「可用」的VDI虛擬桌面給該使用者，如圖7所示。

▲圖7 Connection伺服器運作機制示意圖。（圖片來源：VMware Education – Horizon (with View) Fundamentals v6.0）

除此之外，在先前舊版的View運作環境中，Connection伺服器並無法跨地域進行溝通（例如一台在紐約，一台在倫敦）。而新版Horizon 6已經支援Connection伺服器可以跨地域的功能，所以若企業或組織的規模夠大，需要將Connection伺服器分別架設在不同的地域，並且透過WAN網路進行互相溝通作業，現在也不必擔心Connection伺服器會發生AD LDS資料不同步的情況，如圖8所示。