Wdi что это за программа
VDI: как работает, плюсы, минусы и кому подходит
По статистике SearchInform главная угроза для компаний не киберпреступники или мошенники со стороны, а сотрудники. Они допускают утечки персональных данных коллег, договоров с клиентами, коммерческих предложений или бухгалтерской отчетности.
В 2019 году 91% компаний сталкивались с инцидентами безопасности, а 13% пострадали финансово.
Украсть или потерять данные не сложно: их можно скопировать на флешку, отправить на почту, распечатать на бумаге или вынести жесткий диск. Люди забывают ноутбуки в общественных местах, их воруют, на них регулярно проливают жидкости. Для многих компаний это является существенной проблемой.
Один из способов повысить защищенность — VDI, или виртуализация рабочих столов. VDI затруднит утечку конфиденциальных данных, а администратор может посмотреть, кто странно себя вел, например, изучал документы соседнего отдела. VDI не идеален, но у него есть множество достоинств, которые выгодны бизнесу. Что такое виртуализация, ее плюсы и минусы, и кому подойдет, расскажем в статье. Будет полезно компаниям, которые еще не внедряли VDI, чтобы понять чего ожидать.
Что такое VDI и как работает
VDI, или Virtual Desktop Infrastructure, — инфраструктура виртуальных рабочих столов. До появления персональных компьютеров, сотрудник организации сидел за столом с бумагами, отчетами, скрепками, папками. С распространением ПК данные постепенно перенесли в них. На мониторе у сотрудника появились те же папки и «бумаги», к которым добавились программы. Все это хранилось локально — на жестком диске компьютера.
VDI, или виртуализация рабочих мест, — это концепция, в которой данные с ПК сотрудника хранятся централизованно, а у каждого сотрудника ПК виртуальный. Это удобно бизнесу, потому что на жестком диске сотрудника уже нет никаких бизнес-данных. Администратор сервера создает виртуальное рабочее место с отдельным набором приложений, программ, документов и доступов, которые хранятся на сервере — в ЦОД. Подключение и вся работа сотрудника идет через «прослойку» — «тонкий клиент».
«Тонкий клиент» — это специализированный мини-ПК с характеристиками, достаточными, чтобы поддерживать работу протоколов передачи данных (RDP, ICA, PCoIP). Клиент ничего не хранит, не проводит вычисления, не рисует графику, а транслирует изображение с сервера на монитор. Именно поэтому он называется «тонким» (это не физическая характеристика).
Клиент потребляет гораздо меньше электричества — 7-15 Вт (зависит от модели), а ПК — около 100 ВТ. У клиента прочный корпус, устойчив к перепадам температуры, влажности и работает непрерывно годами. В устройстве отсутствуют движущиеся части, чаще всего нет охлаждения и жесткого диска. Как следствие, когда оно ломается, данные пользователя не теряются.
Современные «тонкие клиенты» работают со всеми ОС, например, Windows, Mac OS или Linux, поддерживают локальные сети, удаленный доступ, аудио и видеоконференции. Дополнительно позволяют работать с флешками, смарт-картами, E-token, сканерами и принтерами.
Иногда вместо «тонкого клиента» используют обычный ПК. Технические характеристики здесь не важны, потому что удаляется жесткий диск и другие «лишние» детали и ставится специализированное ПО.
Преимущества, недостатки и особенности VDI
Для сотрудника с VDI ничего не меняется — на экране тот же рабочий стол, та же ОС и программы. Но такая система удобнее для IT-департамента благодаря нескольким преимуществам:
Безопасность
Утечки случаются как у маленьких кофеен, так и у корпораций. Именно поэтому на черном рынке появляются данные кредитных карт крупных российских банков или записи колл-центров операторов связи.
Обычно, слабое звено в безопасности — это человек. Сотрудник может взять работу домой, стать жертвой корпоративного шпионажа или случайно загрузить вредоносный файл. Кроме того жесткий диск выходит из строя из-за естественного износа, сильной вибрации или случайного удара, а часть данных могут случайно удалить.
С VDI эти случаи маловероятны:
Централизованное управление
VDI облегчает управление рабочими местами. Обычно системные администраторы и руководители IT-подразделений работают с «зоопарком» приложений, лицензий и офисной техники разных вендоров разной степени «усталости». Обслуживание занимает много времени, а хаос затрудняет использование единых решений и стандартов.
С виртуализацией все гораздо проще.
Преимущество централизации особенно заметно для компаний с филиалами или удаленными офисами. С VDI администратор управляет десятками компьютеров в разных филиалах в разных городах из одного кабинета из центрального офиса. Это экономия времени, затрат на командировки и штат техподдержки.
Экономия
Это следствие предыдущих пунктов — централизованное управление уменьшает расходы. Например, закупить рабочую станцию ПК для десятков сотрудников, установить ОС, настроить и прочее — это большие затраты денег и времени. Для VDI нужно гораздо меньше инфраструктуры: понадобится сервер, монитор и «тонкий клиент». При этом «тонкий клиент» проще и быстрее настроить.
У VDI низкие требования к клиентской части, поэтому здесь можно сэкономить, как на обновлении железа, так и на «тонких клиентах». Представим небольшую подрядную организации: 10-20 рабочих мест и устаревший парк ПК. IT-директор думает, что делать: обновить все сразу дорого, а обновлять по частям и растянуть на месяцы — некомфортно для сотрудников. VDI это компромиссный вариант: извлечь из компьютеров все лишнее, зарезервировать сервер, оплатить лицензии, настроить высокоскоростной интернет и перейти на VDI.
Экономия в том, что любой ПК можно превратить в тонкий клиент. Это сразу уменьшает расходы на операционное обслуживание: не нужно обновлять парк техники, из графы «расходные материалы» исчезают жесткие диски и другие комплектующие. Меньше «начинки» у физических машин — меньше обслуживания.
Меньше обслуживания — меньше штат технической поддержки. Сокращается количество инцидентов, которые требуются решать на рабочем месте сотрудника. ПК одинаковы, поэтому большинство работ стандартизированы. Например, восстановление виртуальной машины дело нескольких минут, как и замена тонкого клиента: отсоединить провода и поставить в новую «коробку». Сам «тонкий клиент» может бесперебойно работать тот же срок, что и ПК, потребляя меньше энергии. Заменив даже десяток ПК на виртуальные, будет заметна разница в платежах за электричество.
Недостатки
Теперь о недостатках. Полноценная виртуализация подойдет не всем, потому что основной недостаток VDI — первоначальные вложения.
Оборудование. Цены на новые тонкие клиенты варьируются от 3 до 30 тыс рублей, в зависимости от модели. Закупить одновременно десятки, сотни или даже тысячи, ощутимо для бюджета, не считая оборудования для ЦОД.
Но, как уже говорили выше, частично этот недостаток можно обойти: использовать имеющиеся ПК с минимумом оперативной памяти или закупить б/у «тонкие клиенты».
Инфраструктура. Кроме оборудования, требуется создать инфраструктуру для хранения и обработки данных. Если в офисе невысокая пропускная способность сети, от VDI не получите преимуществ — ПК будут тормозить, а сотрудники с клиентами ругаться. IT-службе придется наладить стабильный и скоростной канал связи.
Высокие требования к безопасности самой сети. VDI подвержена тем же угрозам, что и физические станции, например, инъекциям или эксплойтам. Потребуется дополнительно поработать над безопасностью.
Долгое внедрение в случае крупных компаний. Полноценно развернуть VDI на 1000 рабочих мест и больше занимает от нескольких месяцев до года, с учетом тестирования.
Какому бизнесу подойдет VDI
С учетом достоинств и недостатков есть несколько причин для внедрения виртуализации.
Технология VDI изолирует пользователей друг от друга, поэтому ее применяют там, где важна конфиденциальность. Например, в колл-центрах банков, чтобы данные клиентов не утекли в сеть при постоянной текучке. VDI также поможет в организации удаленного офиса, особенно в текущих условиях.
VDI подойдет организациям, для которых важна гибкость. Например, ритейлу поможет быстро открыть новую торговую точку, или обновлять ПО во всех филиалах одновременно.
В некоторых частных случаях небольшие компании тоже почувствуют пользу виртуализации. Например, VDI подходит для работы с тяжелыми программами: построение графики, проектирование CAD-систем, рендер видеопроектов. Вычисления идут на сервере, а благодаря современным графическим адаптерам и ПО, разница в производительности между физическим ПК и виртуальным незаметна.
Условия для внедрения VDI и стоимость
Есть разные варианты использования. Типовое решение для полноценного масштабного внедрения VDI можно представить в таком виде.
В этом «пироге» есть несколько слоев.
Аппаратная часть. Производительные серверы с достаточным объемом RAM и СХД, либо ЦОД и место для установки нового оборудования, в котором системы питания и охлаждения выдержат дополнительную нагрузку.
Платформы: виртуализации (например стандартные решения от Microsoft или VMware) и программной инфраструктуры VDI\TS (Terminal Server).
Лицензии: на VDI, на обслуживающие сервисы (Active Directory, MS Hyper-V), на ПО. Часто, при переходе на VDI меняется модель лицензирования ПО. Это следует учитывать, поскольку требуется индивидуальный подход к выбору правильной модели.
Клиентские устройства — «тонкие клиенты» или аналоги.
Чтобы все это работало, потребуется понять, как будут связаны между собой серверы, хранилища, конфигурация сетевых адаптеров, портов. А сетевая инфраструктура должна стабильно работать с высокой скоростью передачи данных.
Еще придется рассчитать плановую и пиковую нагрузки на сеть, интервалы резервного копирования, как восстанавливаться после сбоя, какие механизмы защиты организовать. Дополнительно рассчитать производительность: время входа, отклика, загрузки сервера при работе всех виртуальных десктопов.
Затраты придется рассчитать главному человеку — руководителю IT-отдела, который и «продает» проект бизнесу. Для наглядности поможет сравнительная таблица. В нее записываются все затраты на содержание текущего парка, и атраты на VDI, с учетом железа, лицензий. Таблица даст понимание, возможен ли запуск проекта, не только экономически, но и технически.
Варианты и альтернативы VDI
Ограниченный вариант. От виртуализации не получат выгоду подразделения, которым нужна вычислительная мощность или локальные хранилища. Поэтому иногда стоит рассмотреть внедрение VDI только для отдельных подразделений, например, техподдержки. В этот вариант также можно внести гибридную схему, когда VDI арендуется для части пользователей.
Упрощенный вариант. Здесь организация просто настраивает некую локальную сеть: покупает мощный компьютер, как сервер, и «тонкие клиенты». К клиентам запрещается подключение флешек и периферийных устройств и отключается доступ в интернет.
DaaS. Когда начинающим компаниям нужны мощные машины, закупить все сразу дорого. Здесь поможет DaaS — VDI «по подписке» через облачный хостинг. Также подойдет, чтобы протестировать виртуализацию или использовать для временных и удаленных сотрудников.
Терминальный доступ или RDS. Подходит для малого и среднего бизнеса если IT-инфраструктура достаточно просто администрируется. Такие решения предоставляют Citrix XenApp или Microsoft RDS.
В терминальном доступе все сотрудники получают доступ к одной ОС на всех и одному набору приложений через корпоративную сеть или интернет. Например, так работают с программой 1С Предприятие.
Недостатки терминального доступа.
Подытожим
VDI подойдет не всем. Если у компаний нет проблем с безопасностью и производительностью имеющихся в наличии ПК или администраторы справляются с обслуживанием небольшого штата ПК — VDI не нужен.
Виртуализация рабочих столов поможет крупным сетевым компаниям:
Крупный бизнес ощутит преимущества виртуализации за счет снижения капитальных расходов на IT-инфраструктуру.
Для организаций поменьше VDI предпочтительнее использовать в формате аренды (DaaS) высокопроизводительных машин или удаленного доступа. Такое решение поможет:
Установка Windows через Windows Deployment Services и Microsoft Deployment Toolkit
Как было написано в одной умной книге — если в вашем IT-отделе нет автоматизированной установки операционной системы, то её создание может быть самой важной задачей, которую вы когда-либо выполняли.
Для работы MDT необходимо:
Добавление роли Windows Deployment Services (WDS) на сервер
На сервере включаем роль WDS.
Загрузка и установка на сервер необходимых компонентов
С официального сайта скачиваем и устанавливаем Windows Assessment and Deployment Kit (ADK):
1) Download the Windows ADK for Windows 10, version 1809 (возможно, новее)
2) Download the Windows PE add-on for the ADK
Отмечаем для установки:
Запуск и настройка WDS
Открываем консоль WDS
В мастере настройки выбираем интеграцию с доменом.
Задаем служебную папку WDS.
На следующем шаге можно выбрать каким компьютерам будет отвечать сервер WDS:
Завершаем процесс первоначальной настройки. Имеем следующую структуру папок:
WDS нам понадобится только для подключения и передачи образов, поэтому без подробного объяснения:
Install Images — установочные образы (не используем);
Boot Images — загрузочные образы (добавим созданные в MDT);
Pending Devices — появляются устройства запрашивающие соединение если включена опция «требуется подтверждение администратора».
Запуск и настройка MDT
Добавляем новую DeploymentShare. В ней будут храниться все файлы для установки.
Следующие опции относятся к процессу установки и могут быть изменены позже.
На завершающем этапе будет запущен процесс создания который должен пройти успешно.
Общая папка E:\DeploymentShare$ может переноситься на другие сервера простым копированием. Отключение и подключение осуществляется в консоли MDT.
На вкладке Rules настраиваются конфигурационные файлы автоматизации MDT. В самом окне отображается текст файла .\Control\CustomSettings.ini, а под кнопкой Edit Bootstrap.ini файл .\Control\Bootstrap.ini.
CustomSettings.ini — находится на сервере и скрывает шаги меню установки, а также определяет некоторые параметры установки.
Bootstrap.ini — находится в загрузочном образе и определяет параметры для подключения к DeploymentShare.
На вкладке Features можем добавить какие-либо компоненты в загрузочный образ. На вкладке Drivers and Patches лучше выбрать созданный специально для загрузочного образа Selection profile с сетевыми драйверами.
На следующей вкладке Monitoring включаем опцию чтобы он начал принимать логи от клиентов во время установки и отображать статус в папке Monitoring.
В соответствии со своей политикой безопасности добавляем разрешения на чтение каталога DeploymentShare$ и на этом простая настройка MDT закончена.
Импорт приложений
В контекстном меню папки Applications выбираем пункт New Application.
Добавим Google Chrome.
Скачиваем Standalone Enterprise на 64 бита и сохраняем в отдельную временную папку, например, E:\Soft. Указываем, где программа находится и выбираем опцию чтобы всё содержимое было перемещено в новую папку.
Далее составляем команду для тихой установки этого приложения и заполняем соответствующее поле.
По аналогии добавляем весь нужный нам софт.
При переходе в свойства импортированного приложения на вкладке General можно редактировать ранее заполненные параметры, скрыть из списка выбора приложений при установке (если хотим устанавливать принудительно через задачу, например) и отключить это приложение в MDT вовсе если нужно исключить его использование в установке, но не желаем удалять (например, тестирование или обновление).
На вкладке Details можно изменить внесенные настройки, обязать перезагружаться после установки и разрешить запуск только на выбранных платформах.
На последней вкладке Dependencies указываются зависимости. Если для приложения нужны какие-то дополнительные установки, то тут указывается их порядок. Только после установки зависимостей установится основное приложение. Софт, указанный в списке, должен быть импортирован заранее.
Импорт установочных образов
Переименовываем в более удобный вид.
Импорт драйверов
Целесообразно создавать подпапки для разделения производителей и моделей компьютерного оборудования. Отдельно стоит выделить драйвера для сетевых карт и дисков для загрузочного образа с помощью Selection Profiles.
Импорт пакетов
Если имеется WSUS, то можно указать на папку с его расположением и все пакеты будут найдены автоматически (из найденных сортировать через Selection Profiles). Если нет, то необходимо вручную скачать пакеты и указать место их расположения.
Создание задач
Task Sequences — это последовательность задач для установки. Можно добавлять, удалять или изменять шаги установки. На первой странице при добавлении задается ID и название.
Выбор операционной системы из добавленных ранее.
Ввод лицензионных ключей. Ключ будет указан после или во время установки, поэтому не задан.
Вводим имя пользователя и название организации.
Пароль будущего локального администратора.
После создания можно аналогично просматривать её свойства и вносить изменения.
На вкладке Task Sequence описан весь процесс выполнения установки. Последовательность необходимо изменять под свои нужды.
Для примера я добавлю скрипт включающий возможность подключиться по RDP т.к. по умолчанию после установки она отключена.
В папке .\Scripts\Custom создан скрипт на PowerShell Enable_RDP.ps1:
Далее выбираем желаемое место в этом порядке и добавляем новый пункт.
На вкладке Options мы можем отключить выполнение этого шага и включить продолжение выполнения установки если на этом шаге возникнет ошибка. Там же добавляются дополнительные необходимые условия для выполнения этого шага.
Рекомендую более детально изучить возможности разных типов задач. После завершения редактирования последовательности можно приступить к созданию загрузочных образов.
Для создания образов выбираем второй пункт.
Обновление DeploymentShare необходимо выполнять после:
Тестирование
Настраиваем на тестовом компьютере загрузку по сети. Сервер WDS определяется автоматически. По умолчанию, компьютер ожидает нажатия F12 для продолжения загрузки. Эта настройка меняется в свойствах сервера WDS на вкладке Boot.
Большинство настроек было определено в конфигурационных файлах, остается заполнить недостающие. Выбираем доступный Task Sequences.
Задаем имя компьютера.
Данная настройка позволяет сохранить профили пользователей. У нас чистая установка, поэтому оставим как есть.
Можно и восстановить откуда-либо.
Выбираем необходимый софт.
Дальнейшая установка производится в автоматическом режиме.
При включенном мониторинге за ходом процесса установки можно наблюдать через консоль.
В конечном итоге, затратив пару минут своего времени (не считая установку) на загрузку по сети и ввод оставшихся настроек, мы получаем готовую к работе отвечающую нашим требованиям операционную систему. Сложность конечного результата определяется заранее, поэтому смысла особого не имеет.
Явные плюсы автоматизации: