高偉

（中國(guó)聯(lián)合網(wǎng)絡(luò)通信有限公司山西省分公司云網(wǎng)運(yùn)營(yíng)中心 山西省太原市 030006）

在信息時(shí)代的今天，企業(yè)傳統(tǒng)PC終端的數(shù)量越來(lái)越多，成本高、能耗大、維護(hù)難的問(wèn)題越來(lái)越凸顯，同時(shí)，面臨的網(wǎng)絡(luò)不安全因素日益增多，數(shù)據(jù)安全變得日益重要。如何改善這樣的被動(dòng)局面，是企業(yè)管理者面臨的急需解決的管理難題。

在云計(jì)算時(shí)代，桌面云作為最容易落地的云計(jì)算方案，已經(jīng)在各行各業(yè)普遍應(yīng)用。在桌面云表現(xiàn)出來(lái)得高安全、集中管理、移動(dòng)化等優(yōu)勢(shì)的吸引下，越來(lái)越多的企業(yè)選擇使用桌面云技術(shù)方案來(lái)替換傳統(tǒng)的PC 終端。

1 案例背景

2012年，山西聯(lián)通以省集中方式建設(shè)了終端虛擬化桌面云平臺(tái)，采用VDI（Virtual Desktop Infrastructure，虛擬桌面基礎(chǔ)架構(gòu)）方式達(dá)到支持900 個(gè)虛擬化終端的規(guī)模，終端虛擬化系統(tǒng)配置了18 臺(tái)華為BH640 V2刀片服務(wù)器，每臺(tái)配置4路E5-4620CPU、128Gb內(nèi)存；2014年二期項(xiàng)目新增終端虛擬化終端21 臺(tái)DELL M820 刀片服務(wù)器，每臺(tái)配置4 路E5-4610 V2CPU、128Gb 內(nèi)存，新增了1200 個(gè)終端的支撐能力。

舊桌面云平臺(tái)使用至今，由于運(yùn)行期間一直沒(méi)有進(jìn)行產(chǎn)品更新的換代，造成產(chǎn)品斷代，舊產(chǎn)品已經(jīng)EOS（End of service&support，停止對(duì)軟件版本提供服務(wù)或支持），沒(méi)有后臺(tái)研發(fā)技術(shù)支撐，所以無(wú)法通過(guò)升級(jí)來(lái)完成系統(tǒng)的改造換新，加上現(xiàn)有設(shè)備老舊，配置較低，故障頻出，已經(jīng)無(wú)法滿足現(xiàn)有客服生產(chǎn)的日常需求。另一方面舊桌面云系統(tǒng)二期配置的550 個(gè)營(yíng)業(yè)云終端配置較低、USB 口數(shù)量不足、設(shè)備兼容性差，無(wú)法滿足一線營(yíng)業(yè)需求，尤其是無(wú)法適應(yīng)無(wú)紙化營(yíng)業(yè)辦公的需求，導(dǎo)致后續(xù)營(yíng)業(yè)云終端逐漸被傳統(tǒng)PC 替代，實(shí)際使用率不高。

綜合上述實(shí)際需求，以及考慮到現(xiàn)有桌面云技術(shù)的日趨成熟，結(jié)合輕無(wú)紙化（以手機(jī)拍照、簽名取代高拍儀和手寫板的使用，從而緩解了營(yíng)業(yè)終端外設(shè)太多的壓力）在營(yíng)業(yè)前臺(tái)的推廣使用，在2019年第4 次總經(jīng)理辦公會(huì)上明確提出，公司在計(jì)算機(jī)終端配置方面，也應(yīng)逐步向桌面云過(guò)渡，資產(chǎn)運(yùn)營(yíng)部牽頭負(fù)責(zé)，市場(chǎng)營(yíng)銷部和信息化配合，共同研究公司辦公 、營(yíng)業(yè)用計(jì)算機(jī)終端桌面云更新方案。

2 案例描述

根據(jù)山西聯(lián)通終端的現(xiàn)狀和需求，本期桌面云新建工程建設(shè)目標(biāo)為部署客服710 個(gè)云桌面，用于解決客服坐席的迫切需求，同時(shí)部署200 個(gè)營(yíng)業(yè)云桌面進(jìn)行試點(diǎn)應(yīng)用。在此基礎(chǔ)上建立和完善省、市、縣三級(jí)運(yùn)維機(jī)制；增強(qiáng)系統(tǒng)的標(biāo)準(zhǔn)化、共享化、虛擬化；實(shí)現(xiàn)了終端系統(tǒng)優(yōu)化和節(jié)能降耗；促進(jìn)客戶滿意度的提升，并提高山西聯(lián)通的市場(chǎng)占有率。

2019年中國(guó)聯(lián)通山西桌面云項(xiàng)目新建工程經(jīng)過(guò)前期調(diào)研、多個(gè)廠家技術(shù)交流、兄弟單位經(jīng)驗(yàn)交流學(xué)習(xí)、技術(shù)規(guī)范書制定、公開招投標(biāo)等環(huán)節(jié)，最后由華為技術(shù)有限公司中標(biāo)建設(shè)，采用桌面云技術(shù)比較成熟的FusionAccess 桌面云系統(tǒng)。

新桌面云系統(tǒng)采用8 個(gè)華為2288H V5 計(jì)算節(jié)點(diǎn)（CNA）+ 7個(gè)華為2288H V5 存儲(chǔ)&計(jì)算節(jié)點(diǎn)（SCNA），每個(gè)節(jié)點(diǎn)服務(wù)器均配置2 路16 核英特爾至強(qiáng)金牌處理器，系統(tǒng)內(nèi)云桌面操作系統(tǒng)采用全固態(tài)硬盤（SSD），云桌面業(yè)務(wù)數(shù)據(jù)采用傳統(tǒng)SATA 盤存儲(chǔ)。

FusionAccess 桌面虛擬化以服務(wù)器虛擬化為基礎(chǔ)，允許多個(gè)用戶桌面以虛擬機(jī)的形式獨(dú)立運(yùn)行，同時(shí)共享CPU、內(nèi)存、網(wǎng)絡(luò)連接和存儲(chǔ)器等底層物理硬件資源。這種架構(gòu)將虛機(jī)彼此隔離開來(lái)，同時(shí)可以實(shí)現(xiàn)精確的資源分配，并能保護(hù)用戶免受由其他用戶活動(dòng)所造成的應(yīng)用程序崩潰和操作系統(tǒng)故障所帶來(lái)的影響。

如圖1所示，華為桌面云系統(tǒng)主要功能模塊如下：

圖1

2.1 云終端

云終端，即用戶用來(lái)接入云桌面的客戶端，通過(guò)云終端接入顯示器，可以向用戶顯示云桌面操作界面，華為桌面云的兼容性比較強(qiáng)，云終端可以是瘦終端TC、筆記本電腦、Pad、智能手機(jī)等等，如果使用瘦終端TC 接入，可以提供最對(duì)8 個(gè)USB 口的外設(shè)接入能力，比如這次應(yīng)用到營(yíng)業(yè)廳的瘦終端，接入的外設(shè)多達(dá)九種，包括鍵盤鼠標(biāo)、身份證讀卡器、寫卡器、MIS-POS、打印機(jī)、手寫板、高拍儀、服務(wù)評(píng)價(jià)器等。

瘦終端等接入客戶端通過(guò)桌面接入網(wǎng)關(guān)代理訪問(wèn)相應(yīng)的云桌面，同桌面接入網(wǎng)關(guān)之間采用SSL 加密的HDP（Huawei Desktop Protocol，是實(shí)現(xiàn)通過(guò)客戶端遠(yuǎn)程訪問(wèn)虛擬桌面的接入?yún)f(xié)議）協(xié)議進(jìn)行信息傳遞。桌面云系統(tǒng)通過(guò)策略來(lái)控制外設(shè)至虛擬機(jī)的重定向，達(dá)到容許或禁止某些外設(shè)的接入使用，這也是一種安全防護(hù)的手段。

用戶通過(guò)在云終端上輸入域用戶名和密碼就能訪問(wèn)對(duì)應(yīng)的云桌面，外出時(shí)，也可以通過(guò)有線或無(wú)線網(wǎng)絡(luò)，撥入VPN 進(jìn)行遠(yuǎn)程辦公。

2.2 桌面云軟件FusionAccess

FusionAccess 桌面云為用戶提供了Web 形式的登錄界面，在用戶發(fā)起登錄請(qǐng)求時(shí)，將用戶的登錄信息經(jīng)過(guò)加密以后轉(zhuǎn)發(fā)給身份認(rèn)證系統(tǒng)（如微軟AD），認(rèn)證通過(guò)后將提供的虛擬機(jī)列表呈現(xiàn)給用戶，為用戶訪問(wèn)虛擬機(jī)提供入口。

FusionAccess 還具有虛擬桌面管理功能，主要用來(lái)完成虛擬機(jī)的鏡像制作和管理，云桌面業(yè)務(wù)發(fā)放，虛擬桌面生命周期管理，虛擬桌面登錄管理，虛擬機(jī)的策略管理等功能。另外FusionAccess 還提供桌面云License 的管理，用于控制接入桌面云的用戶數(shù)。

AD/DNS/DHCP：AD 域控提供登陸鑒權(quán)功能，防止非法用戶接入，DHCP 實(shí)現(xiàn)了AD 域內(nèi)IP 的自動(dòng)分配功能，當(dāng)然也可以人工指定IP 分配，DNS 主要用來(lái)提供AD 域內(nèi)計(jì)算機(jī)名、桌面云登錄域名的解析服務(wù)。

2.3 服務(wù)器虛擬化軟件FusionSphere

FusionSphere 是華為自主知識(shí)產(chǎn)權(quán)的云操作系統(tǒng)，集虛擬化引擎FusionCompute 和云管理FusionManager 特性于一身。

FusionCompute 是云操作系統(tǒng)基礎(chǔ)軟件，主要由虛擬化基礎(chǔ)平臺(tái)和云基礎(chǔ)服務(wù)平臺(tái)組成，主要負(fù)責(zé)硬件資源的虛擬化，以及對(duì)虛擬資源、業(yè)務(wù)資源、用戶資源的集中管理。它采用虛擬計(jì)算、虛擬存儲(chǔ)、虛擬網(wǎng)絡(luò)等技術(shù)，完成計(jì)算資源、存儲(chǔ)資源、網(wǎng)絡(luò)資源的虛擬化。

FusionManager 是云管理系統(tǒng)，通過(guò)統(tǒng)一的接口，對(duì)計(jì)算、網(wǎng)絡(luò)和存儲(chǔ)等虛擬資源進(jìn)行集中調(diào)度和管理，實(shí)現(xiàn)管理維護(hù)自動(dòng)化與動(dòng)態(tài)化，便于業(yè)務(wù)的快速部署與發(fā)放，縮短業(yè)務(wù)上線周期，提升運(yùn)維效率，保證系統(tǒng)的安全性和可靠性。

近年來(lái)，網(wǎng)絡(luò)與信息安全越來(lái)越得到重視，并上升到了國(guó)家安全層面，那么華為桌面云系統(tǒng)在信息系統(tǒng)安全方面又做了哪些工作呢？基于云計(jì)算的特征，從資源層、平臺(tái)層、應(yīng)用層、管理層到用戶訪問(wèn)層，實(shí)現(xiàn)了層層設(shè)防、相互隔離的安全架構(gòu)，重點(diǎn)強(qiáng)化了虛擬化隔離和網(wǎng)絡(luò)隔離，安全架構(gòu)層面主要采用了分層和縱深防御的思想。

華為桌面云具備了“進(jìn)不來(lái)，拿不走，打不開，賴不掉，丟不了”的五不法則，從這五個(gè)方面來(lái)保障桌面云的安全：“進(jìn)不了”指的是對(duì)接入用戶采取了多種認(rèn)證方式，只有通過(guò)授權(quán)才能訪問(wèn)系統(tǒng)，同時(shí)還要接受監(jiān)控和審計(jì)；“拿不走”指的是信息實(shí)現(xiàn)集中管控，用戶終端與信息相互分離，桌面和數(shù)據(jù)在后臺(tái)集中存儲(chǔ)和處理；“打不開”則是指桌面云采用華為文檔安全管理解決方案，通過(guò)實(shí)時(shí)權(quán)限控制，提供安全授權(quán)下的機(jī)密信息共享；“賴不掉”就是對(duì)用戶操作的每一項(xiàng)行為都要進(jìn)行監(jiān)控、記錄與審計(jì)；“丟不了”指的是對(duì)資源回收時(shí)虛擬機(jī)剩余信息進(jìn)行徹底的清除，以及對(duì)用戶的數(shù)據(jù)盤進(jìn)行加密處理。

具體的安全措施主要從以下幾個(gè)方面展開：

2.3.1 終端接入管理

桌面云支持對(duì)終端進(jìn)行合法性認(rèn)證，如終端與用戶或用戶組綁定、802.1X 認(rèn)證（密碼方式或證書方式）、CA 認(rèn)證等方式，防止非法終端接入保證終端安全。

2.3.2 用戶認(rèn)證鑒權(quán)

桌面云采用了多種認(rèn)證鑒權(quán)方式來(lái)保證接入用戶的合法性，比如使用AD 域用戶(支持桌面云AD 域或?qū)佑脩糇约旱奈④汚D域)、動(dòng)態(tài)口令、手機(jī)短信、USB 介質(zhì)以及指紋等單一認(rèn)證方式和雙因子組合認(rèn)證方式，另外還可提供LiteAD 域用戶名/密碼認(rèn)證。

2.3.3 系統(tǒng)架構(gòu)安全

桌面云在系統(tǒng)架構(gòu)規(guī)劃時(shí)就將業(yè)務(wù)、存儲(chǔ)和管理三個(gè)層面進(jìn)行了劃分，以不同的網(wǎng)段實(shí)現(xiàn)了三個(gè)層面之間的隔離，有效解決了系統(tǒng)安全隔離問(wèn)題。在虛擬化層，依據(jù)虛擬化的實(shí)現(xiàn)原理，也保證了CPU、內(nèi)存、虛擬機(jī)網(wǎng)絡(luò)、存儲(chǔ)等空間的相互隔離，達(dá)到了虛擬機(jī)間的安全隔離目的。

2.3.4 操作日志審計(jì)

桌面云具備完善的日志記錄功能，對(duì)管理員的所有操作動(dòng)作都進(jìn)行了詳細(xì)的記錄，以便于為今后的審計(jì)提供依據(jù)。同時(shí)桌面云系統(tǒng)能夠給系統(tǒng)管理、安全管理和安全審計(jì)三種角色提供不同的權(quán)限，實(shí)現(xiàn)三員分離，相互制衡。

2.3.5 終端防病毒能力

桌面云提供了豐富的防病毒接口能力，支持業(yè)界主流的無(wú)代理終端防護(hù)產(chǎn)品，在為用戶虛擬終端提供安全保障的同時(shí)，一并解決了桌面云大量部署時(shí)一些常規(guī)的殺毒方案引起的殺毒風(fēng)暴隱患。

3 分析總結(jié)

依托華為FusionAccess 桌面云系統(tǒng)技術(shù)優(yōu)勢(shì)，同時(shí)建設(shè)方案綜合考慮現(xiàn)有桌面云平臺(tái)所表現(xiàn)出來(lái)的問(wèn)題，在以下幾個(gè)方面進(jìn)行了設(shè)計(jì)優(yōu)化和改善：

（1）云桌面分“籃”存放，具體表現(xiàn)在：系統(tǒng)不再只建設(shè)一個(gè)大的資源池，而是建設(shè)兩個(gè)或兩個(gè)以上規(guī)模相當(dāng)?shù)馁Y源池，同時(shí)把同一個(gè)營(yíng)業(yè)廳的云桌面放在不同的資源池里面，這樣做的目的是當(dāng)一個(gè)資源池出現(xiàn)故障的時(shí)候，處于其他資源池的的云桌面仍能正常運(yùn)行，這樣就能保障該營(yíng)業(yè)廳仍然能正常運(yùn)轉(zhuǎn)，提升桌面云系統(tǒng)抗風(fēng)險(xiǎn)能力，防止出現(xiàn)一個(gè)籃子里的雞蛋都打了的局面。同樣客服呼叫桌席也按這種方式部署。

（2）制定外設(shè)采購(gòu)準(zhǔn)入標(biāo)準(zhǔn)和采購(gòu)測(cè)試流程，各種各樣的外設(shè)品類增加了維護(hù)工作量和難度，同時(shí)也是制約云終端發(fā)展的一個(gè)關(guān)鍵因素，因而嚴(yán)格把控外設(shè)采購(gòu)流程，限定采購(gòu)清單就顯得十分必要。依托云終端廠商提供的外設(shè)兼容清單，結(jié)合實(shí)際需要，經(jīng)過(guò)兼容性測(cè)試后，選擇適合自己的外設(shè)清單，遵循的原則就是少而精，目的是為了同步減少云桌面模板的數(shù)量，優(yōu)化系統(tǒng)資源利用。

（3）建立考核機(jī)制和日常運(yùn)維知識(shí)庫(kù)，營(yíng)業(yè)終端從傳統(tǒng)PC 過(guò)渡到云終端，必然會(huì)有一定的阻力，這和營(yíng)業(yè)員的使用習(xí)慣、操作熟練程度有很大的關(guān)系，因此建立考核機(jī)制，可以迫使?fàn)I業(yè)員下功夫盡快熟悉云終端的使用操作；建立日常運(yùn)維知識(shí)庫(kù)的目的是方便大家知識(shí)共享，云終端的日常使用中，必然會(huì)出現(xiàn)各種各樣的問(wèn)題，讓每個(gè)人把遇到的問(wèn)題、以及問(wèn)題的處理方法共享出來(lái)，這樣可以方便其他人遇到同樣問(wèn)題時(shí)快速定位、及時(shí)處理。

（4）完善安全接入機(jī)制，提升移動(dòng)生產(chǎn)力水平，移動(dòng)化在工作場(chǎng)所變得越來(lái)越普遍，為員工提供更高、更便捷的靈活性，使他們能夠在任何位置，使用任何設(shè)備和網(wǎng)絡(luò)工作，而且使所有這些工作都具有安全、無(wú)縫的體驗(yàn)。

4 結(jié)束語(yǔ)

隨著5G 網(wǎng)絡(luò)覆蓋范圍的擴(kuò)大，以及無(wú)線接入安全技術(shù)水平的提升，在有線接入困難的區(qū)域?qū)崿F(xiàn)無(wú)線安全接入，達(dá)到隨時(shí)隨地營(yíng)業(yè)、辦公的目的將不再是奢望，持續(xù)跟進(jìn)桌面云技術(shù)演進(jìn)，助力公司移動(dòng)辦公生產(chǎn)，讓我們拭目以待。