桌面虛擬化虛擬桌面 VDI 虛擬化雲端

學會Horizon 7.6 VDI　虛擬桌面快速部署上線

2019-01-07

王偉任

本文將介紹最新Horizon 7.6 VDI虛擬桌面解決方案所提供的特色功能，說明它如何能夠建立高擴充性、高可用性的VDI虛擬桌面運作環境，並剖析怎樣規劃Horizon 7.6運作架構並妥善管理資源，然後實際操作示範，讓管理人員能夠更深入地了解整個運作架構與建置流程。

11. 組態設定GPO群組原則，以便管控使用者或群組存取虛擬桌面資源池，或是已發布的應用程式的行為。

12. 當企業允許由外部網路存取虛擬桌面資源池或已發布的應用程式時，考量到安全性，建議應整合Smart Card身分驗證機制或RADIUS雙因素身分驗證機制。

建立Windows AD網域環境

事實上，使用者身分驗證的機制非常多樣化，然而一般來說企業組織達成SSO單一登入最普遍的機制便是採用Windows Active Directory，因此在本文實作環境中也將建置Windows AD網域環境，以便透過Windows AD網域的網域控制站DC（Domain Controller），達成使用者身分的「驗證（Authentication）∕授權（Authorization）」機制，後續也可以搭配Horizon True SSO機制，如圖5所示。

▲ 圖5 Windows AD搭配True SSO使用者身分驗證及授權邏輯架構運作示意圖。（圖片來源：VMware Techzone – Horizon 7 Enterprise Edition Architecture）

建議採用的Windows DC網域控制站版本及資源配置如下：

‧Windows Server 2016或後續版本

‧VMware Virtual Hardware 13或後續版本

‧2 vCPU、6GB vRAM、1 vNIC（VMXNET 3）、40GB vDisk（LSI Logic SAS）

在Windows網域環境中，為了確保使用者登入時操作環境的一致性，通常會透過使用者設定檔的方式來達成。在Windows使用者設定檔中共有三種類型，分別是「強制使用者設定檔（Mandatory User Profiles）」、「本機使用者設定檔（Local User Profiles）」以及「漫遊使用者設定檔（Roaming User Profiles）」。

在Horizon VDI虛擬桌面運作環境中，保持使用者登入時操作環境一致性的部分，通常不適合使用「強制使用者設定檔」和「本機使用者設定檔」，而是採用「漫遊使用者設定檔」（Roaming User Profiles）的方式，以便確保使用者登入Horizon VDI虛擬桌面時能有一致的操作環境，如圖6所示。

▲ 圖6 使用者操作環境配置策略架構示意圖。（圖片來源：VMware Techzone – User Environment Manager Architecture）

此外，基於管理考量，也會為Horizon VDI虛擬桌面運作環境建立額外的OU容器。在本文實作環境中建立名稱為「Horizon-VDI」的OU容器，並且再建立名稱為「VDI Users」、「VDI Computers」的兩個子OU容器，用於存放Horizon VDI虛擬桌面的使用者帳號和群組以及VDI虛擬桌面電腦帳戶，以便屆時能夠針對VDI虛擬桌面環境套用GPO群組原則（圖7）。

▲ 圖7 針對Horizon VDI虛擬桌面建立專用的OU容器以利後續管理需求。

建構vSphere虛擬化平台

該如何建構好vSphere虛擬化平台，以下分成三部分來加以說明。

vCenter Server管理平台

在Horizon VDI正式營運環境中，VMware建議應該將擔任「管理」用途的VM虛擬主機，以及擔任VDI虛擬桌面的VM虛擬主機，分別採用「不同台」vCenter Server進行分拆管理，原因在於除了避免vSphere基礎架構複雜化之外，在管理思維上也可以避免SPOF單點失敗的影響。舉例來說，倘若管理VDI虛擬桌面環境的vCenter Server發生故障損壞事件，短期之間難以修復時，可以先讓管理環境的vCenter Server暫時接手管理作業達到備援的效果。

雖然在Horizon VDI運作架構「每個Pod」可以承載「20,000 Sessions」，倘若採用CPA（Cloud Pod Architecutre）架構，將多個Pod串連時更能夠承載高達「140,000 Sessions」。然而，有鑑於組態配置及高可用性管理需求，VMware最佳做法中「每個Block」當中每台vCenter Server，在管理VDI虛擬桌面數量方面建議為4,000～5,000台（圖8）。