系统门神：虚拟桌面
- 来源：新浪科技 作者：红心 时间：2008-06-13 20:05:53
-
系统门神：虚拟桌面
在寻找保护终端用户安全的救世英雄时，企业不妨考虑一下虚拟桌面基础设施。
文|Jonathan Berdyck，译|蔡晶
目前，瘦客户端(thin client)正卷土重来，这得感谢服务器虚拟化的潮流。我们都记得，前些年IT界曾尝试过给商业桌面瘦身，让它变得小巧精悍易于管理。可是当用户们得知一旦装了瘦客户端之后，就不能随意安装自己喜爱的应用程序时，他们就变得犹豫不决了。无盘瘦客户端提供了基于数据中心的操作系统，但其优势仅仅在于降低了边际成本，增强了管理性能。专业的信息安全人员绝不会因为这些好处而青昧终端服务，因为他们担心一旦入侵者攻入中央服务器，损失将难以估量。不过，现在服务器端的虚拟化为瘦客户端在业界的普及铺平了道路。在取悦终端用户方面，如今的虚拟桌面基础设施(virtual desktop infrastructure，下称VDI)和以往的瘦客户端只在伯仲之间，两者的主要区别在于VDI得到了IT和信息安全专业人员的广泛关注和认可。
在VDI中，服务器内存是在多台虚拟机间分配的，因此更易管理，安全性也得到了显著提高。这是桌面计算(desktop computing)的典型范例：安全、灵活且与平台无关(platform independent)。说客户端“瘦”，是因为操作系统并未绑定到硬件上，而是集中存储。连接客户端和网络的唯一桥梁是一个简洁的专用桌面管理程序(hypervisor)。
所有进军服务器虚拟化市场的知名厂商都有自己的虚拟桌面产品。VMware公司开风气之先推出VDI，让IT界意识到了它的存在。思杰系统公司(Citrix Systems)一直是终端服务领域的老大，它去年收购了XenSource公司。今年3月，微软公司(Microsoft，下称微软)也宣布将收购VDI厂商Kidaro公司。目前，虚拟桌面软件和那些“臃肿”的普通应用程序同样都需要Windows许可证，所以微软公司是左右逢源，处于双赢的境地。当然，虚拟环境并不能支持运行所有的应用程序，比如说欧特克公司(Autodesk)就不建议在虚拟环境中使用它的Productstream或Vault，但好在大多数主流软件都能正常运行。使用VDI的连带好处，是你可以严格地管理许可证，确保只有那些有访问权限的用户能在规定时间内使用指定的应用程序。此外，对需要非标准操作系统的遗留系统的支持也将变得更加容易。
硬件厂商们在VDI大潮中不甘落后，他们也推出了具有针对性的产品。从架构上来说，VDI将客户端的存储库转移至一台或数台中央服务器，这就需要大容量的快速存储系统，一般来说是存储区域网络(storage area network)。配有专为管理程序优化后的CPU的系统将提供最佳的性能，让用户能获得最新最强大的硬件辅助虚拟化(hardware-assisted virtualization)。为了协助VDI的推广，英特尔公司(Intel，下称英特尔)在CPU中内嵌了博锐技术(vPro)和虚拟化技术，而超微半导体公司(Advanced Micro Devices，下称AMD)亦是如此。
说起信息安全，你也许听过下面的一些术语：硬件辅助虚拟化、统一威胁管理(unified threat management)、自适应安全(adaptive security)、可信平台模块(Trusted Platform Modules)。赛门铁克公司(Symantec，下称赛门铁克)承诺在18月内为英特尔的博锐平台提供虚拟安全设备。用户可以在VDI瘦客户机上以访客身份运行虚拟机，同时运行一个安全虚拟机或虚拟安全设备。厂商们知道，对那些考虑采用VDI的企业来说，信息安全迟早会成为一个重要的决定因素。目前厂商吸引企业的方法有两种：一是制造更安全、更易于管理、更加智能化、具有虚拟化感知能力(virtualization-aware)的处理器，这是英特尔和AMD等厂商的做法，二是帮助企业完全摆脱传统的客户端-服务器模式，转投新型的架构，这是VMware公司、Pano Logic公司和Stoneware公司等厂商的做法。
我们不能因为厂商的推销说词而盲目地购买产品，并且VDI的普及也还有一段长路要走。不过，我们认为信息安全专业人士还是应该好好研究一下VDI在安全方面的优势，否则他们也许会错失良机。
精打细算
企业在采用VDI时，应当综合考虑产品的成本以及它对企业竞争力、业务一致性以及信息安全的影响，在预算紧张的情况下更是如此。假如你拥有足够的数据中心预算来支持额外需要的服务器，那么从各方面来看VDI都是项合理的投资。采用VDI必须确保有足够的设备来提供计算能力，如果企业内的机房空间有限、电力供应功率不足或者空调通风系统不堪重负的话，那在决策之前你最好还是先精打细算一番。
VDI的最大好处来自于集中化。VDI对操作系统进行了抽象化，从而极大简化了对桌面端镜像进行更改所需的步骤。从经济角度来说，我们希望通过采用VDI来延长瘦客户端硬件的寿命，减少花费在硬件导致的操作系统错误上的时间，降低软件部署的工作量，从而达到削减成本的目的。业务持续性则是另一大收获。如果公司政策要求在本地存储数据，那你就不得不自己进行备份，这时VDI就能为你排忧解难。那些可能包含敏感信息的文件将不会再储存于容易被入侵的客户端，所有的文件都被集中储存到了服务器端，而那里的一连串数据管理选项将会启动保护功能。
如果你同时也在使用混搭(Mashup)，或是正热火朝天地打造服务导向架构(service-oriented architecture)，那VDI会不会与它们产生冲突呢？事实上，VDI与Web 2.0趋势是井水不犯河水。相反，把软件当作一项服务购买正好为实行虚拟化的必要性提供了佐证，因为“软件即服务”(SaaS)的实质不过是从互联网部署虚拟应用程序而已。VDI和SaaS相辅相成，成为主流生产率应用程序的有效补充。
VDI的精妙架构
在附图中我们展示了虚拟桌面的各个组件是如何交互运作的。通常在企业内部署VDI是从在数据中心里设置一个服务器群集开始的。终端用户可以利用现有的硬件进行连接，只需要删除原有的Windows，然后再安装一个管理程序就可以了。用户打开终端机器的电源后，马上就能进入登录界面，然后会被分配到一个虚拟桌面镜像。真正的IT控制狂一定会喜欢这种新型的哑终端(dumb terminals)。功能齐全的普通台式机价格一般在300到600美元之间，而性能良好的VDI瘦客户端的价格则在250到700美元之间，因此我们认为VDI客户端并不具备什么价格优势。当然，在使用传统台式机的时候，员工们可以利用闪存盘拷贝一个操作系统，然后在电脑上任性捣乱。如果采用VDI客户端也许就不会出现这样的问题了，但是请记住，没什么系统是牢不可破的。另外，有些应用程序只能在本地的Windows系统运行，不能在虚拟系统上运行，有鉴于此你也许会希望保留一些“臃肿的”的传统台式机。一旦员工连上了网络，桌面终端机就只不过是管道而已。数据在传输时将会受到安全套接层(Secure Sockets Layer，SSL)的保护。
现有的系统将被逐步淘汰，让我们来看看经过VDI优化的客户端能提供些什么。“哑终端”这个词可能会带给人们一些糟糕的回忆，因为以往的瘦客户端有两个显著的局限：一是内存有限，二是CPU太小。如今的VDI瘦客户端则突破了这两个局限。桌面客户端硬件采用了模块化设计，只有少数几个活动的组件，没有配备硬盘或复杂的驱动器。
客户端-主机操作系统是一种超轻量级、内嵌于硬件的桌面管理程序，它并不支持够在系统上运行的应用程序。用户可以同时调用一个或多个虚拟操作系统，运行这些虚拟机的本地版本，物理桌面的强劲机能会让用户受益匪浅，而智能的管理程序以及为虚拟化做了特别优化的底层硬件则能带给用户额外的信息安全保障。
无论在服务器端还是在桌面客户端，管理程序都是实现虚拟化的关键。由于管理程序规定了虚拟机的界限和资源需求，同时也是安全堆栈(security stack)的关键，因此需要认真对待。
如果桌面管理程序小巧得能内嵌于硬件中，或者自身就具有虚拟设备的功能，那系统的安全性就会得到很大改善。VMware公司正在将庞大(2GB左右)且较易受到攻击的管理程序和服务控制台缩减为仅32MB大小的完整平台。它内嵌于硬件中，或者储存在U盘或光盘上，可以从这些媒介上启动。一旦管理程序在桌面上启动，用户就可以随心所欲地让它为自己工作，比如说协调网络认证或进行机器隔离(machine isolation)。
芯片制造商们也在紧锣密鼓地进行研发工作。以可信平台模块组织为例。你可以将TPM芯片想像成一个基于硬件的保险柜，用户可以在这里存放凭证和证书，管理密钥，加密电子邮件和文档。VDI管理程序能够利用这种安全机制，向硬件发送调用指令而不用将重要信息储存在软件中。
-
0
- [收藏] [推荐] [评论] [打印] [关闭] 点击：