桌面虛擬化 虛擬桌面基礎架構 VDI Windows虛擬桌面 Azure;公有雲

遠距辦公Azure即刻部署 底層網路儲存虛擬化無需費心

雲端Windows虛擬桌面 零硬體免建構立享VDI

2020-10-05
過去建構虛擬桌面基礎架構(VDI)時,管理人員必須自行建構和管理所有的基礎架構。而Windows虛擬桌面(WVD),由於是建構在Azure公有雲之上,所以在導入初期便能達到快速部署的目的,無須採購大量的硬體設備,本文將透過實作進行詳細示範。

 

提到「Windows虛擬桌面」(Windows Virtual Desktop,WVD),想必許多人並不陌生,這並非新的名詞和應用。早在過去,企業和組織便已經在內部資料中心內透過虛擬化技術打造「虛擬桌面基礎架構」(Virtual Desktop Infrastructure,VDI),並運作Windows虛擬桌面或Linux虛擬桌面。

那麼管理人員對於WVD虛擬桌面的第一個疑問,通常是它與過去的VDI相較有何不同?簡單來說,過去在建構VDI虛擬桌面基礎架構時,管理人員必須自行建構和管理所有的基礎架構,舉例來說,從底層的實體網路、儲存設備、虛擬化基礎架構等等,搭配上層運作的Windows Server並建構「遠端桌面服務」(Remote Desktop Services,RDS),其中遠端桌面服務還有許多運作元件,例如RD Session Host、RD Connection Broker、RD Gateway、RD Web Access等等,如圖1所示,可以想像在初期架構導入和建置費用以及後續管理維護上,對於企業來說需要一筆不小的IT預算,而且會增加管理人員大量各式各樣的工作任務。

圖1  RDS遠端桌面服務基礎部署架構示意圖。 (圖片來源:Microsoft Docs - Remote Desktop Services architecture)

反觀WVD虛擬桌面,由於是建構在Azure公有雲之上,因此在導入初期便能達到快速部署的目的,並且無須投入大量硬體設備採購預算。除此之外,還能提供企業組織對於WVD虛擬桌面的安全監控機制,後續也可以輕鬆管理WVD虛擬桌面的安全性更新。

WVD虛擬桌面簡介

在2019年3月時,微軟發佈了WVD虛擬桌面公開預覽版本,而在2019年9月則正式發表WVD虛擬桌面,除了具備「Windows 10多重工作階段」(Windows 10 Multi-Session)機制外,如圖2所示,也將2018年收購的FSLogix桌面虛擬化技術導入至WVD虛擬桌面中,以便提供最佳化後的Office 365服務。

圖2  Windows 10多重工作階段運作機制示意圖。 (圖片來源:Microsoft Mechanics - What is Windows Virtual Desktop?)

過去採用RDS虛擬桌面基礎架構時,使用者僅能連線Windows Server後執行及存取應用程式,而WVD虛擬桌面則提供使用者直接連線至Windows 10桌面環境,達到最佳使用者操作體驗。而除了透過PC桌機和NB筆電連接WVD虛擬桌面之外,也支援經由Mac、iOS、Android、HTML5瀏覽器連接至WVD虛擬桌面。

Windows 7和Windows Server 2008 R2延伸支援服務已於2020年1月終止,但還是有許多企業因為應用程式環境或其他因素還沒正式遷移至Windows 10和Windows Server 2019環境,因此微軟提供企業在WVD虛擬桌面中運作Windows 7和Windows Server 2008 R2環境,並得到免費延伸安全性更新支援至2023年1月。

在今年(2020)4月,微軟發佈WVD虛擬桌面「整合Azure ARM」的公開預覽版本,並在7月正式發佈,幫助管理人員能夠更方便地部署和管理WVD虛擬桌面運作架構。簡單來說,整合至Azure ARM之後,管理人員便能提供「角色型存取控制」(Role-Based Access Control,RBAC)角色,並且更容易將資源與Azure AD整合,同時搭配Azure Monitor Log和Log Analytics機制,輕鬆協助管理人員管理及維護WVD虛擬桌面運作架構。

除此之外,受到COVID-19疫情的影響,除了採用WVD虛擬桌面使用者人數增多外,更多的是透過WVD虛擬桌面搭配Microsoft Teams進行線上會議流暢度的需求。因此,微軟也順勢推出增強的「音訊∕視訊重新導向」(Audio/Video Redirection)機制,讓使用者在WVD虛擬桌面環境中,也能得到最佳的視訊會議體驗,如圖3所示。

圖3  WVD虛擬桌面音訊和視訊重新導向機制示意圖。 (圖片來源:Microsoft Mechanics - Windows Virtual Desktop on Azure | Released)

實戰WVD虛擬桌面

在WVD虛擬桌面運作環境中,企業可以在地端資料中心內建立DC網域控制站,或者採用Azure公有雲中的ADDS(Active Directory Domain Services)服務。在本文實作環境中,選擇在地端資料中心建立DC網域控制站,然而因為篇幅的關係,便不贅述如何建置地端資料中心DC網域控制站,以及如何組態設定Azure AD Connect與Azure AD同步作業。簡單來說,完成Azure AD Connect與Azure AD同步作業之後,將會把網域使用者帳戶以及相關資訊同步至Azure AD環境當中,如圖4所示。

圖4  Azure AD Connect與Azure AD同步機制示意圖。 (圖片來源:Microsoft Docs - Tutorial - Integrate an existing forest and a new forest with a single Azure AD tenant using Azure AD Connect cloud provisioning.)

在實作環境中,已經組態設定地端資料中心內DC網域控制站(網域為wvd.weithenn.org),透過Azure AD Connect機制與Azure AD完成同步作業,如圖5所示。

圖5  組態設定Azure AD Connect機制與Azure AD完成同步作業。

允許WVD虛擬桌面服務存取Azure AD

在建立WVD虛擬桌面主機集區之前,必須先允許WVD虛擬桌面服務可以存取Azure AD,以便屆時在雲端環境中的WVD虛擬桌面能夠順利透過Azure AD進行身分驗證程序,如圖6所示。

圖6  使用者連線WVD虛擬桌面身分驗證流程示意圖。 (圖片來源:Microsoft Tech Community - Windows Virtual Desktop technical walkthrough, including other (un)known secrets you did not know)

首先,確認使用的Azure AD「Tenant ID」。點選屆時使用的Azure AD後按下〔Properties〕,即可看到此Azure AD的Tenant ID,然後按下複製圖示,將Tenant ID進行複製。接著,以瀏覽器開啟新的頁籤並連結至「https://rdweb.wvd.microsoft.com」頁面,如圖7所示先在Consent Option欄位選擇【Server App】,然後在AAD Tenant GUID or Name欄位內貼上剛才所複製的Azure AD Tenant ID,確認無誤後按下〔Submit〕按鈕。

圖7  準備允許WVD虛擬桌面服務可以存取Azure AD。

此時,採用具備Azure AD全域管理員權限的使用者帳號登入,系統將會顯示屆時WVD虛擬桌面服務可以通過Azure AD身分驗證程序,並存取Azure AD目錄資料、群組、使用者設定檔等等,接著按下〔Accept〕按鈕允許存取動作,成功允許後就會顯示「AAD Application has been successfully registered」訊息,這個動作將會在Azure AD Enterprise Applications中建立「Windows Virtual Desktop AME」項目。

執行同樣的動作,再次連結至「https://rdweb.wvd.microsoft.com」頁面,這次將Consent Option欄位選擇為【Client App】,然後貼上Azure AD Tenant ID再按下〔Submit〕按鈕,並再次以Azure AD全域管理員權限的使用者帳號登入,按下〔Accept〕按鈕允許存取Azure AD,成功允許後將會出現「AAD Application has been successfully registered」訊息,由於這個動作將會在Azure AD Enterprise Applications中,建立「Windows Virtual Desktop Client」項目。

指派TenantCreator應用程式角色

接著,使用Azure AD全域管理員權限的使用者帳號登入,然後將TenantCreator應用程式角色指派給指定的Azure AD使用者,以便使用者屆時能夠通過Azure AD身分驗證機制,連線至與Azure AD關聯的WVD虛擬桌面租用戶。

在進行TenantCreator應用程式角色指派之前,先確認地端資料中心內的D網域控制站,是否已經順利將網域使用者帳號透過Azure AD Connect機制同步至Azure AD當中。在本次實作環境中,可以看到Source欄位為「Windows Server AD」的使用者帳號,便是由地端資料中心同步至雲端Azure AD的使用者帳號,如圖8所示。

圖8  確認地端網域使用者帳號已同步至Azure AD。

隨後,在Azure Portal中依序點選至「Azure AD > Manage > Enterprise Applications > Windows Virtual Desktop AME > Assign Users and Groups > Add User」項目,本次指派地端資料中心內名稱為「weithenn.wang」的網域使用者帳號,然後按下〔Assign〕按鈕進行指派的動作。當指派完成後,便能看到指派的使用者帳號角色欄位為「TenantCreator」,如圖9所示。

圖9  指派網域使用者帳號weithenn.wang為TenantCreator。

建立WVD虛擬桌面租用戶 在建立WVD虛擬桌面「租用戶」(Tenant)之前,管理人員必須先準備兩項ID,分別是「Azure AD Tenant ID」和「Azure Subscription ID」,並且已經準備好Windows Virtual Desktop Cmdlets的PowerShell執行環境。

一開始,將會使用到的Broker URL、Azure AD Tenant ID、Azure Subscription ID這三項內容,分別寫入變數名稱$brokerurl、$addTenantId、$azureSubscriptionId,然後執行「Add-RdsAccount -DeploymentUrl $brokerurl」指令,系統會出現身分驗證視窗,將剛才指派為TenantCreator的weithenn.wang網域使用者帳號鍵入,順利通過身分驗證程序之後,再執行「New-RdsTenant -Name "Weithenn-WVD" -AadTenantId $aadTenantId -AzureSubscriptionId $azureSubscriptionId」指令,建立名稱為「Weithenn-WVD」的WVD虛擬桌面租用戶,如圖10所示。

圖10  建立名稱為Weithenn-WVD的WVD虛擬桌面租用戶。

建立WVD虛擬桌面主機集區

完成建立WVD虛擬桌面主機集區的前置作業後,到Azure Portal管理介面中,在上方搜尋框內鍵入關鍵字「Windows Virtual Desktop」,即可導向至建立WVD虛擬桌面頁面,接著按下「Create a host pool」,準備建立WVD虛擬桌面基礎架構「主機集區」(Host Pool)。必須注意的是,在建立主機集區之前,要先確認使用的Azure訂閱帳戶已經啟用「Microsoft.DesktopVirtualization」資源提供者項目,以避免遭遇到非預期產生的錯誤。

在Basics頁面中,除了選擇採用的Azure訂閱帳戶和「資源群組」(Resource Groups),以及WVD虛擬桌面的「主機集區」名稱外,值得注意的是選擇的Azure資料中心,因為屆時WVD虛擬桌面和相關的「中繼資料」(Metadata),將會儲存在所選擇的Azure資料中心內,本文實作環境選擇採用「East US」資料中心。

在「主機集區類型」(Host Pool Type)部分,管理人員可以選擇採用「個人」(Personal)或是「集區」(Pooled)類型。當管理人員選擇採用個人類型時,必須在下方指派類型的欄位選擇採用「自動」(Automatic)或是「直接」(Direct)指派類型。倘若選擇採用集區類型時,則必須鍵入「最大工作階段限制」(Max Session Limit)數值,以便組態設定WVD虛擬桌面在單一工作階段中,主機允許連線的最大使用者數量,同時也必須選擇採用的負載平衡演算法為「廣度優先」(Breadth-First)或者是「深度優先」(Depth-First)。在本次實作中,選擇「集區」類型以及最大使用者連線數量為「5」,並且採用「廣度優先」負載平衡演算法,如圖11所示。

圖11  組態設定WVD虛擬桌面主機集區基本資訊。

建立WVD虛擬桌面並加入網域

在Virtual Machine頁面中,倘若管理人員已經自行建立好VM虛擬主機,並且要將這些建立完成的VM虛擬主機,與屆時建立的主機集區搭配使用的話,則選擇「No」。如果在主機集區建立過程中希望順便建立新的WVD虛擬桌面,並且註冊到主機集區,就選擇「Yes」。

在實作環境中,將會建立全新的WVD虛擬桌面並註冊到主機集區,所以選擇「Yes」。此時,系統將會展開建立WVD虛擬桌面的相關欄位,如圖12所示,下列為相關欄位的組態設定說明:

圖12  組態設定建立WVD虛擬桌面和加入網域環境資訊。

‧Resource group:選擇WVD虛擬桌面所要使用的Azure資源群組,可以選擇與先前主機集區不同的Azure資源群組,本文實作為「RG-EastUS-WVD」。

‧Virtual machine location:選擇WVD虛擬桌面所要使用的Azure資料中心,可以選擇與先前主機集區不同的Azure資源群組,本文實作為「East US」。 ‧Virtual machine size:屆時建立WVD虛擬桌面採用的VM虛擬主機規模大小,預設值為採用「Standard D2s v3」規模,也就是每台WVD虛擬桌面採用的硬體資源為「2 vCPU和8GB vRAM」。當然,管理人員可以點選「Change size」,挑選更小或更大的VM虛擬主機規模大小。本文實作調整為「Standard D4s v3 (4 vCPU和16GB vRAM)」。

‧Number of VMs:首次建立WVD虛擬桌面的VM虛擬主機數量,本文實作組態設定建立「3」台WVD虛擬桌面。值得注意的是,在建立主機集區的流程中,這個WVD虛擬桌面的VM虛擬主機數量最大值為「400」台,若需要更多數量WVD虛擬桌面的話,可於主機集區建構完成後再新增WVD虛擬桌面的數量。

‧Name prefix:組態設定WVD虛擬桌面的電腦名稱首碼,屆時系統會在電腦名稱首碼之後,加上「-」和數值「0」開始依序遞增。本文實作電腦名稱首碼為「WVD-VM」。

‧Image type:選擇WVD虛擬桌面所要採用的VM虛擬主機映像檔,支援採用「資源庫」(Gallery)或「Blob儲存體」(Storage Blob),而本次實作採用資源庫。

‧Image:由於選擇採用資源庫,所以可以直接選擇微軟官方已經打包好的Windows 10企業版映像檔。倘若下拉式選單中沒有列出所要採用的VM虛擬主機映像檔時,則先按下「Browse all images and disks」列出所有VM虛擬主機映像檔,再選擇所要採用的VM虛擬主機映像檔。本次實作採用最新「Windows 10 Enterprise multi-session, version 2004」映像檔。

‧OS disk type:選擇WVD虛擬桌面作業系統磁碟類型,分別支援「標準HDD」、「標準SSD」、「進階SSD」,本次採用「Standard SSD」磁碟類型。

‧Virtual network:選擇WVD虛擬桌面採用的虛擬網路環境。請確認這個虛擬網路環境可以與DC網域控制站互相連線,因為屆時的WVD虛擬桌面必須透過這個虛擬網路環境加入DC網域控制站所管理的網域環境。本次實作環境為「RG-EastUS-WVD-vnet」虛擬網路。

‧Subnet:選擇虛擬網路環境採用的IP網段,本次實作環境為「10.0.0.0/24」IP網段。

‧Public IP:選擇WVD虛擬桌面建立後是否指派公用IP位址或使用私有IP位址,本次實作選擇「No」,也就是採用私有IP位址,避免WVD虛擬桌面採用公用IP位址,直接與網際網路接觸而產生安全性風險。

‧Network security group:選擇管理WVD虛擬桌面的NSG網路安全性群組,分別支援「無」、「基本」、「進階」,本次實作選擇「Advanced」和已經建立的「ws2019-wvd-dc-nsg」網路安全性群組。

‧Specify domain or unit:選擇WVD虛擬桌面是否加入網域環境,並且是否加入網域環境中特定的OU組織。本次實作選擇「Yes」,將WVD虛擬桌面加入網域環境。

‧Domain to Join:鍵入WVD虛擬桌面加入的網域名稱,本文實作環境為「wvd.weithenn.org」。

‧Administrator account:鍵入具備網域管理者權限的使用者帳號和密碼。

此外,管理人員也無須擔心部署的WVD虛擬桌面安全性不足,因為管理人員隨時可以透過Azure Firewall,如圖13所示,針對Layer 3~Layer 7的網路流量進行管控,確保WVD虛擬桌面運作環境的安全性。

圖13  透過Azure Firewall保護WVD虛擬桌面運作架構示意圖。 (圖片來源:Microsoft Docs - Use Azure Firewall to protect Windows Virtual Desktop)

將應用程式群組註冊到工作區

在Workspace頁面中,管理人員必須為即將建立的主機集區,進行桌面應用程式群組的註冊動作,屆時才能順利地將允許的應用程式群組,發佈給使用WVD虛擬桌面的使用者或群組使用。在本文實作環境中選擇「Yes」,並且按下「Create new」,然後鍵入「WVD-App-Group」名稱,如圖14所示。

圖14  建立桌面應用程式群組名稱同時執行註冊的動作。

最後,確認建立主機集區和WVD虛擬桌面資訊無誤並通過系統驗證程序,再按下〔Create〕按鈕執行建立主機集區和WVD虛擬桌面的動作,如圖15所示。

圖15  確認主機集區和WVD虛擬桌面資訊無誤並通過系統驗證程序。

經過一段部署作業時間後,在Azure Portal將會得到「Your deployment is complete」訊息,表示WVD虛擬桌面主機集區已經部署完成。此時,可以切換到DC網域控制站,確認建立的WVD虛擬桌面是否也順利加入網域環境。在本文實作環境中,依照剛才的組態設定加入網域的電腦帳戶名稱依序為「WVD-VM-0」、「WVD-VM-1」、「WVD-VM-2」共三台,如圖16所示。

圖16  確認WVD虛擬桌面是否順利加入網域環境。

連線至WVD虛擬桌面

順利部署WVD虛擬桌面後,使用者可以透過多種方式連接至WVD虛擬桌面,例如Windows桌面用戶端、HTML5瀏覽器、MacOS、iOS、Android等等,連線至WVD虛擬桌面主機集區。

透過Windows桌面用戶端連線

首先,下載最新版本的Windows Desktop Client並進行安裝作業,安裝完成後,在Windows Desktop Client應用程式內按下〔Subscribe〕按鈕。然後,在使用者身分驗證視窗中,鍵入先前指派的TenantCreator使用者帳號。待通過使用者身分驗證程序,便會出現WVD虛擬桌面主機集區圖示,如圖17所示。

圖17  準備連線至WVD虛擬桌面。

點選兩下「WVD-Host-Pool-DAG」圖示,將觸發連線WVD虛擬桌面主機集區,系統會再次要求鍵入網域使用者帳號和密碼,如圖18所示。請確認網域使用者帳戶,是否已具備連線和操作WVD虛擬主機的權限。

圖18  驗證網域使用者帳戶,以便連線至WVD虛擬桌面。

通過使用者驗證程序後,由系統自動指派WVD虛擬桌面主機集區內的其中一台,來負責這位使用者的連線作業。如圖19所示,可以看到由電腦名稱「WVD-VM-1」虛擬桌面主機負責此次的連線作業,並且使用剛剛部署時所指派、最新發佈的Windows 10 Enterprise multi-session, version 2004映像檔進行部署。

圖19  透過Windows Desktop Client連線至WVD虛擬桌面。

透過HTML5瀏覽器連線

倘若使用者無法安裝Windows Desktop Client應用程式,或者臨時需要透過未安裝Windows Desktop Client應用程式的主機連線至WVD虛擬桌面時,也可以輕鬆透過現代化支援HTML5技術的瀏覽器,連線登入至WVD虛擬桌面。簡單來說,使用者可以透過Microsoft Edge、Apple Safari、Mozilla Firefox、Google Chrome瀏覽器,連線登入至WVD虛擬桌面。

以Microsoft Edge瀏覽器為例,在網址列鍵入「https://rdweb.wvd.microsoft.com/arm/webclient」,同樣地,在使用者身分驗證視窗中,鍵入先前指派的TenantCreator使用者帳號,通過使用者身分驗證程序後,便會出現WVD虛擬桌面主機集區圖示。連線WVD虛擬桌面時,再次鍵入網域使用者帳戶,即可順利透過HTML5瀏覽器連線至WVD虛擬桌面,如圖20所示。

圖20  透過HTML5瀏覽器連線至WVD虛擬桌面。

透過Android裝置連線

現在許多智慧型手機已經可以外接鍵盤,並投影畫面至大螢幕上操作。因此,若臨時需要連線至WVD虛擬桌面時,也可以透過智慧型手機安裝Remote Desktop App後連接至WVD虛擬桌面。

這裡以採用Android智慧型手機為例,安裝最新釋出的Remote Desktop client for Android(version 10.0.7)。

先開啟Remote Desktop App並依序點選「右上角加號 > Add Workspaces」,然後鍵入「https://rdweb.wvd.microsoft.com/api/arm/feeddiscovery」網址,同樣在使用者身分驗證視窗中鍵入先前指派的TenantCreator使用者帳號,通過使用者身分驗證程序後,便會出現WVD虛擬桌面主機集區圖示,如圖21所示。

圖21  通過使用者身分驗證程序後,出現WVD虛擬桌面主機集區圖示。

同樣地,連線WVD虛擬桌面時再次鍵入網域使用者帳戶,即可順利透過Remote Desktop App連線至WVD虛擬桌面,如圖22所示。

圖22  即可順利透過Remote Desktop App連線至WVD虛擬桌面。

結語

透過本文的深入剖析和實戰演練,相信管理人員就能夠體會Windows虛擬桌面(WVD)已具備高效能和彈性應用卻又不失安全性的好處。此外,遵照這裡所示範的詳細步驟進行操作,除了可以擺脫過去自建虛擬桌面基礎架構(VDI)的複雜性之外,必定也能夠享受到後續維護時的管理性和便利性。

<本文作者:王偉任,Microsoft MVP及VMware vExpert。早期主要研究Linux/FreeBSD各項整合應用,目前則專注於Microsoft及VMware虛擬化技術及混合雲運作架構,部落格weithenn.org。>

 


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!