Максим Федотенко

gallery/1435337774_facebook
gallery/1435337799_twitter
gallery/logo
gallery/view.avatar

2013 год

Таблица 1. Службы View Security [5,6,7]

Список литературы

[1] VMware View Installation. Chapter 4. Installing View Composer. “Configuring the vSphere Environment for View Composer”

[2] VMware View Installation. Chapter 3. Preparing Active Directory. “Creating a User Account for vCenter Server”

[3] Deployment and Technical Considerations Guide “VMware View Backup Best Practices”. Раздел View Backup and Restore. “Backup frequency Recommendations

[4] VMware Knowledge Base. Статья 1024610 “Using Windows Firewall and Dual Network Interface Cards with VMware View Servers”

[5] VMware View Security. VMware View Security Reference. “Services on a Security Server”

[6] VMware View Installation. Chapter 5. Installing View Connection Server. “Install View Connection Server with a New Configuration”

[7] VMware View Administration. Chapter 15. Maintaining View components. “Services on a View Security Server”

[8] VMware White Paper “Vmware View Security Server Hardening Guide”. Пункт VSS06

[9] VMware View Security. VMware View Security Reference. “VMware View Resources”

[10] VMware View Administration. Chapter 8. Configuring Policies. “View Common Configuration ADM Template Settings”

[11] VMware Knowledge Base. Статья 1024610 “Using Windows Firewall and Dual Network Interface Cards with VMware View Servers”

[12] VMware View Installation. Chapter 1 System Requirements for Server Components. “Network Requirements for Replicated View Connection Server Instances”

[13] VMware View Installation. Chapter 3. Preparing Active Directory. “Configuring Domains and Trust Relationships”

[14] VMware View Installation. Chapter 5. Installing View Connection Server. “Installation Prerequisites for View Connection Server”

[15] VMware View Security. VMware View Security Reference. “Services on a View connection Host”

[16] VMware View Installation. Chapter 5. Installing View Connection Server. “Install View Connection Server with a New Configuration”

[17] VMware View Administration. Chapter 15. Maintaining View components. “Services on a View Connection Server Host”

[18] VMware White Paper “Vmware View Security Server Hardening Guide”. Пункт VSS06

[19] VMware White Paper “VMware View Security Server Hardening Guide”. Пункт VSS 07

[20] VMware View Installation. Chapter 3. Preparing Active Directory. “Trust Relationships and Domain Filtering”

[22] VMware View Installation. Chapter 6. Installing View Transfer Server. “Install View Transfer Server”

[23] VMware View Architecture Planning. Chapter 4. Architecture Design Elements and Planning Guidelines. “View Transfer Server Configuration”

[24] VMware View Administration. Chapter 15. Maintaining View components. “Services on a View Transfer Server Host”

[25] VMware View Administration. Chapter 2. Configuring Role-Based Delegated Administration. “Predefined Administrator Roles”

[26] VMware View Administration. Chapter 2. Configuring Role-Based Delegated Administration. “Predefined Roles and Privileges”

[27] VMware View Administration. Chapter 2. Configuring Role-Based Delegated Administration. “Required Privileges for Common Tasks”

[28] VMware View Installation. Chapter 3. Preparing Active Directory. “Creating a User Account for vCenter Server”

[29] VMware View Installation. Chapter 8. Configuring View for the First Time. “Configure a vCenter Server User for View Manager, View Composer, and Local Mode”

[30] VMware View Installation. Chapter 5. Installing View Connection Server. “Add vCenter Server Instances to View Manager”

[31] VMware View Installation. Chapter 5. Installing View Connection Server. “Configuring User Accounts for vCenter Server and View Composer”

[32] VMware View Installation. Chapter 4. Installing View Composer. “Configure an Oracle Database User for View Composer”

[33] VMware View Installation. Chapter 5. Installing View Connection Server. “Configure View Composer Settings for vCenter Server”]

[34] VMware View Installation. Chapter 3. Preparing Active Directory. “Create User Account for View Composer”

[35] VMware Knowledge Base. Статья 1007659 “Minimum permissions required for View Composer”

[36] VMware View Installation. Chapter 9. Creating an Event [Database. “Add a Database and Database User for View Events”

[37] VMware View Installation. Chapter 5. Installing view Connection Server. “Configure a Security Server Pairing Password”

[38] VMware View Administration. Chapter 1. Configuring View Connection Server. “Add vCenter Server Instances to View Manager”

[39] Mware View Security. VMware View Security Settings. “Security-Related Server Settings in View Administrator”

[40] VMware View Administration. Chapter 1. Configuring View Connection server. “Message Security Mode for View Components”

На сервере View Security следует запретить неиспользуемые инфраструктурой виртуальных десктопов службы (сервисы). Таким образом, следует отключить роль “Сервер”, а также запретить службы, перечисленные в Таблица 2.

В списке контроля доступа к файлу <install_directory>\VMware\VMware View\Server\sslgateway\conf должны присутствовать только учетные записи SYSTEM и администраторов системы VMware View. [9]

Далее обратим внимание на журнальные файлы сервера View Security.

Журналы служб сервера View Security находятся: [9]

  • Windows System Event Logs
  • В файлах:
  • Windows Server 2008:

%ALLUSERSPROFILE%\Application Data\VMware\VMware View\VDM\logs\*.txt

  • Windows Server 2003:

<Drive Letter>:\Documents and Settings\All Users\Application Data\VMware\VDM\logs\*.txt

  • PCoIP Secure Gateway в подкаталог PCoIP Secure Gateway каталога журнальных файлов в файлы SecurityGateway_*.log

Размещение журнальных файлов можно изменить, но делать это не стоит.

Для этого в групповой политике организационной единицы, к которой принадлежат сервера View Connection, необходимо оставить в разделе “VMware View Common Configuration –> Log Configuration” параметр ”Log Directory” в значении “Not Configured”. [10]

Доступ к журнальным файлам следует ограничить списком контроля доступа. [9]

Максимальный размер журнальных файлов рекомендуется увеличить, например до 100 Мб относительно размера по умолчанию (10 Мб).

Для этого в групповой политике организационной единицы, к которой принадлежат сервера View Security, установить в разделе ”VMware View Common Configuration –> Log Configuration” параметр “Maximum debug log size in Megabytes” в значение “Enabled” и установить опцию “Maximum debug log size in Megabytes” в значение “100”. [10]

Максимальное количество журнальных файлов может быть увеличено, например, до 100 относительно количества по умолчанию (10).

Для этого в групповой политике организационной единицы, к которой принадлежат сервера View Security, установить в разделе “VMware View Common Configuration –> Log Configuration” параметр “Maximum number of debug logs” в значение “Enabled” и установить опцию “Maximum number of debug logs” в значение “100”. [10]

Максимальное количество дней, которое хранятся журнальные файлы, может быть также изменено, например, до 90 дней относительно количества по умолчанию (7 дней).

Для этого в групповой политике организационной единицы, к которой принадлежат сервера View Security, установить в разделе “VMware View Common Configuration –> Log Configuration” параметр “Number of days to keep production logs” в значение “Enabled” и установить опцию “Number of days to keep production logs” в значение “100”. [10]

Возможно также изменить пороговое значение минимально оставшегося дискового пространства для журнальных файлов. По умолчанию оно составляет 200 Мб и рекомендуется его не менять.

Для этого в групповой политике организационной единицы, к которой принадлежат сервера View Security, необходимо оставить в разделе “VMware View Common Configuration”  параметр “Disk threshold for log and events in Megabytes” в значении “Not Configured”. [10]

Дополнительно можно включить расширенное журналирование событий (trace и debug).

В групповой политике организационной единицы, к которой принадлежат сервера View Security, установить в разделе “VMware View Common Configuration”  параметр “Enable extended logging” в значение “Enabled”. [10]

Сервер View Connection

Сетевой экран Windows Firewall на сервере View Connection рекомендуется отключить.[11] Необходимо использовать внешний по отношению к серверу межсетевой экран.

Соединение между репликами серверов View Connection должны осуществляться по высокоскоростным линиям связи.[12]

Сервер View Connection должен принадлежать домену AD.[13,14] Однако он не должен быть контроллером домена AD.[13,14] При этом все реплики сервера View Connection должны находиться в одном домене AD или в доменах, имеющих доверительные отношения.

На сервере View Connection не должна быть установлена роль Windows Terminal Server.[14]

Сервер View Connection следует располагать на отдельном виртуальном или физическом сервере, который не выполняет более других задач.[14] В случае использования виртуального сервера View Connection он должен быть расположен на инфраструктуре серверной виртуализации.

К View Connection относятся службы операционной системы, перечисленные в Таблица 3.

На сервере View Connection следует запретить неиспользуемые инфраструктурой виртуальных десктопов службы (сервисы). Таким образом, следует запретить службы, перечисленные в Таблица 4.

На сервере View Connection следует настроить синхронизацию времени с используемыми в организации серверами времени.[19]

Рекомендуется настроить фильтр доменов, в которых сервер View Connection будет производить поиск пользователей.

Для настройки фильтра доменов в сервере View Connection используется команда “vmadmin”.[20]

Резервная копия файлов LDAP-каталога должна быть защищена при помощи списка управления доступом. В него должны входить только учетные записи “SYSTEM” и группы администраторов View Connection на уровне операционной системы.[9]

Windows Server 2008:

<Drive Letter>:\ProgramData\VMWare\VDM\backups

Windows Server 2003:

<Drive Letter>:\Documents and Settings\All Users\Application Data\VMWare\VDM\backups

В списке контроля доступа к файлу <install_directory>\VMware\VMware View\Server\sslgateway\conf должны присутствовать только учетные записи “SYSTEM” и администраторов VMware View.[9]

Доступ к файлу настройки Web-сервера Tomcat web.xml должен быть ограничен учетными записями “SYSTEM” и администраторов VMware View.[9]

<install_directory>\VMware View\Server\broker\webapps\ROOT\Web INF

Должны быть запрещены рекурсивный сбор и хранение сервером View Connection информации о доверенных доменах. Такую информацию сервер должен собирать каждый раз при аутентификации пользователя доверенного домена в инфраструктуре виртуальных десктопов. Запрещение связано с тем, что сервера View Connection сохраняют в памяти информацию о доверии.

В групповой политике организационной единицы, к которой принадлежат сервера View Connection, установить в разделе “VMware View Server Configuration” параметр “Recursive Enumeration of trusted domains” в значение “Disabled”.[10]

Далее обратим внимание на журнальные файлы сервера View Connection.

Журналы служб сервера View Connection находятся:[9]

  • Windows System Event Logs
  • В файлах:

  • Windows Server 2008:

%ALLUSERSPROFILE%\Application Data\VMware\VMware View\VDM\logs\*.txt

  • Windows Server 2003:

<Drive Letter>:\Documents and Settings\All Users\Application Data\VMware\VDM\logs\*.txt

Размещение журнальных файлов может изменяться, но также как и в случае с сервером View Security делать это не стоит.

Для этого в групповой политике организационной единицы, к которой принадлежат сервера View Connection, установить в разделе “VMware View Common Configuration –> Log Configuration” параметр “Log Directory” в значение “Not Configured”.

Доступ к журнальным файлам должен быть ограничен списком контроля доступа.[9]

Следующие параметры повторяют параметры журналирования View Security, приведенные выше, но, несмотря на это, приведем их в данном разделе также.

Максимальный размер журнальных файлов рекомендуется увеличить, например до 100 Мб относительно размера по умолчанию (10 Мб).

Для этого в групповой политике организационной единицы, к которой принадлежат сервера View Connection, установить в разделе ”VMware View Common Configuration –> Log Configuration” параметр “Maximum debug log size in Megabytes” в значение “Enabled” и установить опцию “Maximum debug log size in Megabytes” в значение “100”.[10]

Максимальное количество журнальных файлов может быть увеличено, например, до 100 относительно количества по умолчанию (10).

Для этого в групповой политике организационной единицы, к которой принадлежат сервера View Connection, установить в разделе “VMware View Common Configuration –> Log Configuration” параметр “Maximum number of debug logs” в значение “Enabled” и установить опцию “Maximum number of debug logs” в значение “100”.[10]

Максимальное количество дней, которое хранятся журнальные файлы, может быть также изменено, например, до 90 дней относительно количества по умолчанию (7 дней).

Для этого в групповой политике организационной единицы, к которой принадлежат сервера View Connection, установить в разделе “VMware View Common Configuration –> Log Configuration” параметр “Number of days to keep production logs” в значение “Enabled” и установить опцию “Number of days to keep production logs” в значение “100”.[10]

Возможно также изменить пороговое значение минимально оставшегося дискового пространства для журнальных файлов. По умолчанию оно составляет 200 Мб и рекомендуется его не менять.

Для этого в групповой политике организационной единицы, к которой принадлежат сервера View Connection, необходимо оставить в разделе “VMware View Common Configuration”  параметр “Disk threshold for log and events in Megabytes” в значении “Not Configured”.[10]

Дополнительно можно включить расширенное журналирование событий (trace и debug).

В групповой политике организационной единицы, к которой принадлежат сервера View Connection, установить в разделе “VMware View Common Configuration”  параметр “Enable extended logging” в значение “Enabled”.[10]

Служба View Composer

Для организации пулов виртуальных десктопов следует использовать View Composer. При этом служба View Composer может быть расположена на vCenter Server, который управляет инфраструктурой виртуализации десктопов, или на отдельном виртуальном или физическом сервере. На отдельном сервере ее можно размещать, начиная с версии VMware View 5.1.

Рекомендуется базу данных View Composer располагать на отдельном сервере. Сервер базы данных View Composer не должен совмещаться с сервером vCenter Server или с сервером View Composer. Для управления базой данных View Composer может использоваться СУБД Microsoft SQL Server или СУБД Oracle. База данных View Composer должна находиться в режиме High Availability.[3] Для хранения данных сервера View Composer должен быть создан отдельный экземпляр (instance) базы данных.

Сервер View Transfer

Сервер View Transfer должен быть виртуальным.[22] При этом сервер View Transfer должен располагаться на инфраструктуре виртуализации десктопов и управляться тем же vCenter Server, что и виртуальные десктопы.[23]

К View Transfer относятся службы операционной системы, перечисленные в Таблица 5.

Доступ к файлу настройки Web-сервера Apache httpd.conf должен быть ограничен учетными записями “SYSTEM” и администраторов VMware View.[9]

<install_directory>\VMware\VMware View\Server\httpd\conf

Репозиторий сервера View Transfer должен находиться в общей сетевой папке (Remote Transfer Server Repository). Локальное хранилище использовать не рекомендуется. Доступ к общей сетевой папке репозитория следует ограничить правами на Чтение (Read) и Изменение (Modify) специально созданной для репозитория доменной учетной записи.

Журналы служб сервера View Transfer находятся:[9]

  • Windows Server 2008:

<Drive Letter>:\ProgramData\VMware\VDM\logs\*.txt

  • Windows Server 2003:

%ALLUSERSPROFILE%\Application Data\VMware\VDM\logs\*.txt

Журналы службы Web-сервера Apache находятся:[9]

<Drive Letter>:\Program files\Apache Group\Apache2\logs\error.log

Доступ к журнальным файлам View Transfer и Web-сервера Apache следует ограничить списком контроля доступа.[9]

Раздел 3. Аутентификация и авторизация

На Рисунок 1 приведена схема, показывающая технологические учетные записи и их права, используемые инфраструктурой виртуальных рабочих станций VMware View.

gallery/view.2.01.accounts

Рисунок 10. Учетные записи и их права, используемые инфраструктурой виртуальных десктопов [VMware View Security. VMware View Security Reference. “VMware View Accounts”]

Рассмотрим права учетных записей, используемых инфраструктурой виртуальных десктопов, в порядке, обозначенном на Рисунок 1.

Администраторы VDI

Вначале рассмотрим права администратора(ов) инфраструктуры виртуальных десктопов.

Под номером 1 обозначены права администратора инфраструктуры во View Manager. Привилегии администратора(ов) могут быть глобальными и объектными. Внутренние привилегии View Manager мы рассматривать не будем, т.к. они даются встроенным ролям и обычно использовать их для других целей не приходится. Объектные привилегии даются на конкретные объекты – пулы, десктопы, постоянные диски. Объектные привилегии позволяют давать доступ на администрирование, например, только конкретных пулов виртуальных десктопов, т.е. передавать полномочия, например, филиалам, организациям–потребителям услуг виртуальных десктопов и т.п. Предопределенные административные роли в иерархии View Manager приведен в Таблица 7, а набор возможных привилегий, из которых возможно формировать собственные роли во View Manager приведен в Таблица 7.

В Таблица 8 приведены наиболее распространенные задачи администрирования во View Manager и соответствующие данным задачам привилегии – глобальные и объектные с указанием объектов, на которые они распространяются.

Под номером 2 обозначены права администратора инфраструктуры в vCenter Server. Администратору нужны права на уровне vCenter Server для создания основного образа пула виртуальных десктопов. Права для создания основного образа представлены в Таблица 9.

View Manager

Для доступа View Manager к vCenter Server должна быть создана доменная пользовательская учетная запись в том же домене, что и сервер View Connection, или в разных доменах, но с доверительными отношениями.[28]

Под номером 3 на Рисунок 1 обозначены права учетной записи View Manager на сервере vCenter Server на уровне операционной системы. Данная учетная запись должна иметь пользовательские права на сервере vCenter Server, а в случае использования View Composer она должна иметь права администратора на сервере vCenter Server (входить в локальную группу “Administrators”).[29]

Под номером 4 на Рисунок 1 обозначены права учетной записи View Manager на сервере vCenter Server на уровне самого программного обеспечения vCenter Server.

Подключение View Manager к vCenter Server должно осуществляться при помощи ограниченной учетной записи, имеющей права на vCenter Server в зависимости от использования View Composer или локального режима (Local Mode).

Проверить используемую учетную запись можно во View Administrator. В нем выбрать “View Configuration –> Servers”. В панели “vCenter Servers” выбрать сервер и нажать кнопку “Edit…”. В появившемся окне “Edit vCenter Server” в панели “vCenter Server Settings” проверить имя пользователя “User name” для доступа к vCenter Server.[30]

В Таблица 10 представлены права учетной записи View Manager в vCenter Server в случае, если не используется ни View Composer, ни локальный режим (Local Mode).

Права учетной записи View Manager на уровне vCenter Server в случае использования View Composer расширяются относительно стандартных (см. Таблица 10) привилегиями, перечисленными в Таблица 11.

Права учетной записи View Manager на уровне vCenter Server в случае использования локального режима (Local Mode) расширяются относительно привилегий View Manager в случае использования View Composer (см. Таблица 10 и Таблица 11) привилегиями, перечисленными в Таблица 12.

View Composer

Под номером 5 на Рисунок 1 обозначены права учетной записи View Composer к базе данных View Composer. В качестве системы управления базой данных View Composer может выступать Microsoft SQL Server или Oracle.

В случае использования Microsoft SQL Server в качестве модели аутентификации может быть выбрана интегрированная с операционной системой Windows аутентификация или аутентификация SQL сервера. В случае размещения базы данных на том же сервере, что и vCenter Server, необходимо использовать интегрированный метод аутентификации, а в других случаях – аутентификацию SQL сервера. В случае использования интегрированного метода аутентификации пользователь, под которым происходит обращение viewComposer к базе данных, не должен иметь дополнительных к правам обычного пользователя прав в операционной системе сервера баз данных. Пользователь, под которым происходит обращение View Composer к базе данных СУБД Microsoft SQL Server, должен иметь роль db_owner fixed database в базе данных View Composer.

В случае использования Oracle пользователь, под которым происходит обращение viewComposer к базе данных, должен иметь не следующие права:[32]

grant connect to <user>;

grant resource to <user>;

grant create procedure to <user>;

grant create view to <user>

grant create sequence to <user>;

grant create table to <user>;

grant create materialized view to <user>;

grant execute on dbms_lock to <user>;

grant execute on dbms_job to <user>;

grant unlimited tablespace to <user>;

Под номером 6 на Рисунок 1 обозначены права учетной записи View Composer в корпоративном каталоге Microsoft Active Directory.

Подключение View Composer к AD должно осуществляться при помощи ограниченной учетной записи.

Проверить используемую учетную запись можно во View Administrator. В нем выбрать “View Configuration –> Servers”. В панели “vCenter Servers” выбрать сервер и нажать кнопку “Edit…”. В появившемся окне “Edit vCenter Server” в панели “View Composer settings” в окне “Domains” выбрать имя домена, нажать кнопку “Edit…” в появившемся окне “Edit Domain” проверить имя пользователя “User name”.[33]

View Composer требует, чтобы учетная запись, под которой он работает с Active Directory, обладала привилегиями для добавления и удаления учетных записей компьютеров в определенную организационную единицу OU.

Для этого необходимо: [34,35]

  • Зайти на контроллер домена
  • Запустить “Start –> Programs –> Administrative Tools –> Active Directory User and Computers”
  • Отметить пункт в меню “View –> Advanced Features”
  • Нажать правой кнопкой мыши на организационной единице <VDI Computers>[Организационная единица, в которой располагаются виртуальные рабочие станции] и выбрать пункт меню “Properties” (<VDI Computers> - организационная единица, в которой находятся учетные записи виртуальных десктопов)
  • Выбрать закладку “Security”. Нажать на кнопку “Advanced”
  • Выбрать закладку “Permissions”. Нажать на кнопку “Add” для добавления пользователя View Composer
  • В появившемся окне выбрать пользователя и нажать “Ok”
  • Далее в окне “Permissions Entry for <VDI Computers>” выбрать закладку “Object” и в списке “Permissions” установить “Allow” для:
  • List Contents;
  • Read All Properties;
  • Write All Properties;
  • Read Permissions;
  • Create Computer Objects;
  • Delete Computer Objects.
  • Выбрать закладку “Properties”. В ней в списке “Apply to” выбрать “Descendant Computer objects” и в списке “Permissions” установить “Allow” для “Write All Properties”.

Аудит

Под номером 7 на Рисунок 1 обозначены права учетной записи View Manager к базе данных событий VMware View. Также как и в случае с базой данных View Composer в качестве системы управления базой данных View Composer может выступать Microsoft SQL Server или Oracle, да и права учетной записи к базе данных совпадают с View Composer.[36]

View Transfer

Под номером 8 на Рисунок 1 обозначены права учетной записи сервера View Transfer к репозиторию. Данная учетная запись должна иметь права на чтение и запись в общую сетевую папку репозитория.

Пользователь виртуального десктопа

Под номером 9 на Рисунок 1 обозначены права пользователя на виртуальном десктопе. Более подробно об этих правах мы поговорим в следующей главе, в том числе и при использовании локального режима (см. номер 10 на Рисунок 1).

Раздел 4. Защита взаимодействия

Поговорим немного о том, каким образом можно защитить технологические соединения.

Во-первых, во время установки серверов View Security следует использовать парные пароли для начальной аутентификации серверов View Connection и View Security между собой. При подсоединении сервера Security Server к серверу Connection Server начальный парный пароль (pairing password) должен задаваться исходя из парольной политики[37], а его время жизни должно быть не более, например, 10 минут.[37]

Далее, соединение View Manager (Connection Server) с vCenter Server должно осуществляться по защищенному при помощи SSL каналу.

Для этого необходимо зайти во View Administrator. Выбрать “View Configuration –> Servers”. В панели “vCenter Servers” выбрать сервер и нажать кнопку “Edit…”. В появившемся окне “Edit vCenter Server” в панели “vCenter Server Settings” проверить, что отмечен чекбокс “Connect Using SSL”.[38,39]

Коммуникации между компонентами View Manager должны быть защищены использованием цифровой подписи.[39,40]

Для этого необходимо зайти во View Administrator. Выбрать “View Configuration –> Global Settings”. В панели “Global Settings” нажать кнопку “Edit…”. В появившемся окне “Global Settings” установить параметр “Message security mode” в значение “Enabled”.

Раздел 5. Другие рекомендации

С точки зрения ограничения нагрузки на инфраструктурные сервера можно рекомендовать выполнять следующие требования.

Установить значение максимального количества одновременных запросов View Manager к vCenter Server на инициализацию (provisioning) виртуальных машин.По умолчанию 8. Это значение не влияет на инициализацию виртуальных рабочих станций связанного клонирования (linked-clone).

Для этого необходимо зайти во View Administrator. Выбрать “View Configuration –> Servers”. В панели “vCenter Servers” выбрать сервер и нажать кнопку “Edit…”. В появившемся окне “Edit vCenter Server” в панели “vCenter Server Settings” нажать кнопку “Advanced >>” и установить параметр “Max concurrent provisioning operations” в значение.[38]

Установить значение максимального количества одновременных запросов изменению состояния виртуальных машин (включение, выключение, приостановка (suspend) и т.п.). По умолчанию 5. Это значение влияет на виртуальные рабочих станций и на связанные клоны (linked-clone)

Для этого необходимо зайти во View Administrator. Выбрать “View Configuration –> Servers”. В панели “vCenter Servers” выбрать сервер и нажать кнопку “Edit…”. В появившемся окне “Edit vCenter Server” в панели “vCenter Server Settings” нажать кнопку “Advanced >>” и установить параметр “Max concurrent power operations” в значение.[38]

Раздел 1. Платформа виртуализации vSphere

Как говорилось в Части 1 статьи для инфраструктуры виртуальных десктопов рекомендуется использовать один или несколько отдельных от остальной инфраструктуры виртуализации кластеров ESXi. Следует также  использовать vSphere DRS для эффективного распределения виртуальных десктопов связанного клонирования (linked-clone desktops) между ESXi в кластере.[1]

В Части 2 статьи мы дадим некоторые рекомендации по настройкам серверов и служб технологической инфраструктуры VMware View.

Раздел 2. Серверы/службы

Сервер vCenter Server

Для инфраструктуры виртуальных десктопов следует использовать vCenter Server отдельный от vCenter Server, управляющего инфраструктурой серверной виртуализации (см. Часть 1). В случае использования виртуального сервера vCenter Server он должен быть расположен на инфраструктуре серверной виртуализации.

Сервер vCenter Server инфраструктуры виртуализации десктопов должен входить в домен AD.[2] При этом, в случае использования службы View Composer на сервере vCenter Server, он должен входить в домен AD, в котором находятся виртуальные десктопы, или в домен AD, который имеет с данным доменом доверительные отношения.

Базу данных View Composer следует использовать в режиме High Availability.[3]

Сервер View Security

Сетевой экран Windows Firewall на сервере View Security рекомендуется отключить и использовать внешние, по отношению к серверу, межсетевые экраны. Это могут быть как физические, так и виртуальные межсетевые экраны, использующие технологию VMsafe.

Сервер View Security следует размещать на отдельном виртуальном или физическом сервере, который не выполняет более других задач. В случае использования виртуального сервера View Security он должен быть расположен на инфраструктуре серверной виртуализации.

К View Security относятся службы операционной системы, перечисленные в Таблица 1.

Часть 2. Технологическая инфраструктура

gallery/view.tab.2.01
gallery/view.tab.2.02

Таблица 2. Службы, запрещаемые на сервере View Security [8]

Таблица 3. Службы View Connection[15,16,17]

gallery/view.tab.2.03
gallery/view.tab.2.04

Таблица 4. Службы, запрещаемые на сервере View Connection[18]

gallery/view.tab.2.05

Таблица 5. Службы View Transfer[15,12,24]

gallery/view.tab.2.06

Таблица 6. Предопределенные административные роли во View Manager [25]

Таблица 7. Привилегии ролей во View Manager [26]

gallery/view.tab.2.07

Таблица 8. Соотнесение задач по администрированию инфраструктуры виртуальных десктопов и необходимых для этого привилегий во View Manager [27]

gallery/view.tab.2.08

Таблица 9. Права учетной записи администратора VDI на уровне vCenter Server

gallery/view.tab.2.09

Таблица 10. Привилегии View Manager на уровне vCenter Server[31]

gallery/view.tab.2.10

Таблица 11. Дополнительные привилегии учетной записи View Manager на сервере vCenter Server в случае использования View Composer [31]

gallery/view.tab.2.11

Таблица 12. Дополнительные привилегии учетной записи View Manager на сервере vCenter Server в случае использования локального режима (Local Mode)[31]

gallery/view.tab.2.12