桌面云技术在企业办公生产中的应用

高伟

（中国联合网络通信有限公司山西省分公司云网运营中心 山西省太原市 030006）

在信息时代的今天，企业传统PC终端的数量越来越多，成本高、能耗大、维护难的问题越来越凸显，同时，面临的网络不安全因素日益增多，数据安全变得日益重要。如何改善这样的被动局面，是企业管理者面临的急需解决的管理难题。

在云计算时代，桌面云作为最容易落地的云计算方案，已经在各行各业普遍应用。在桌面云表现出来得高安全、集中管理、移动化等优势的吸引下，越来越多的企业选择使用桌面云技术方案来替换传统的PC 终端。

1 案例背景

2012年，山西联通以省集中方式建设了终端虚拟化桌面云平台，采用VDI（Virtual Desktop Infrastructure，虚拟桌面基础架构）方式达到支持900 个虚拟化终端的规模，终端虚拟化系统配置了18 台华为BH640 V2刀片服务器，每台配置4路E5-4620CPU、128Gb内存；2014年二期项目新增终端虚拟化终端21 台DELL M820 刀片服务器，每台配置4 路E5-4610 V2CPU、128Gb 内存，新增了1200 个终端的支撑能力。

旧桌面云平台使用至今，由于运行期间一直没有进行产品更新的换代，造成产品断代，旧产品已经EOS（End of service&support，停止对软件版本提供服务或支持），没有后台研发技术支撑，所以无法通过升级来完成系统的改造换新，加上现有设备老旧，配置较低，故障频出，已经无法满足现有客服生产的日常需求。另一方面旧桌面云系统二期配置的550 个营业云终端配置较低、USB 口数量不足、设备兼容性差，无法满足一线营业需求，尤其是无法适应无纸化营业办公的需求，导致后续营业云终端逐渐被传统PC 替代，实际使用率不高。

综合上述实际需求，以及考虑到现有桌面云技术的日趋成熟，结合轻无纸化（以手机拍照、签名取代高拍仪和手写板的使用，从而缓解了营业终端外设太多的压力）在营业前台的推广使用，在2019年第4 次总经理办公会上明确提出，公司在计算机终端配置方面，也应逐步向桌面云过渡，资产运营部牵头负责，市场营销部和信息化配合，共同研究公司办公 、营业用计算机终端桌面云更新方案。

2 案例描述

根据山西联通终端的现状和需求，本期桌面云新建工程建设目标为部署客服710 个云桌面，用于解决客服坐席的迫切需求，同时部署200 个营业云桌面进行试点应用。在此基础上建立和完善省、市、县三级运维机制；增强系统的标准化、共享化、虚拟化；实现了终端系统优化和节能降耗；促进客户满意度的提升，并提高山西联通的市场占有率。

2019年中国联通山西桌面云项目新建工程经过前期调研、多个厂家技术交流、兄弟单位经验交流学习、技术规范书制定、公开招投标等环节，最后由华为技术有限公司中标建设，采用桌面云技术比较成熟的FusionAccess 桌面云系统。

新桌面云系统采用8 个华为2288H V5 计算节点（CNA）+ 7个华为2288H V5 存储&计算节点（SCNA），每个节点服务器均配置2 路16 核英特尔至强金牌处理器，系统内云桌面操作系统采用全固态硬盘（SSD），云桌面业务数据采用传统SATA 盘存储。

FusionAccess 桌面虚拟化以服务器虚拟化为基础，允许多个用户桌面以虚拟机的形式独立运行，同时共享CPU、内存、网络连接和存储器等底层物理硬件资源。这种架构将虚机彼此隔离开来，同时可以实现精确的资源分配，并能保护用户免受由其他用户活动所造成的应用程序崩溃和操作系统故障所带来的影响。

如图1所示，华为桌面云系统主要功能模块如下：

图1

2.1 云终端

云终端，即用户用来接入云桌面的客户端，通过云终端接入显示器，可以向用户显示云桌面操作界面，华为桌面云的兼容性比较强，云终端可以是瘦终端TC、笔记本电脑、Pad、智能手机等等，如果使用瘦终端TC 接入，可以提供最对8 个USB 口的外设接入能力，比如这次应用到营业厅的瘦终端，接入的外设多达九种，包括键盘鼠标、身份证读卡器、写卡器、MIS-POS、打印机、手写板、高拍仪、服务评价器等。

瘦终端等接入客户端通过桌面接入网关代理访问相应的云桌面，同桌面接入网关之间采用SSL 加密的HDP（Huawei Desktop Protocol，是实现通过客户端远程访问虚拟桌面的接入协议）协议进行信息传递。桌面云系统通过策略来控制外设至虚拟机的重定向，达到容许或禁止某些外设的接入使用，这也是一种安全防护的手段。

用户通过在云终端上输入域用户名和密码就能访问对应的云桌面，外出时，也可以通过有线或无线网络，拨入VPN 进行远程办公。

2.2 桌面云软件FusionAccess

FusionAccess 桌面云为用户提供了Web 形式的登录界面，在用户发起登录请求时，将用户的登录信息经过加密以后转发给身份认证系统（如微软AD），认证通过后将提供的虚拟机列表呈现给用户，为用户访问虚拟机提供入口。

FusionAccess 还具有虚拟桌面管理功能，主要用来完成虚拟机的镜像制作和管理，云桌面业务发放，虚拟桌面生命周期管理，虚拟桌面登录管理，虚拟机的策略管理等功能。另外FusionAccess 还提供桌面云License 的管理，用于控制接入桌面云的用户数。

AD/DNS/DHCP：AD 域控提供登陆鉴权功能，防止非法用户接入，DHCP 实现了AD 域内IP 的自动分配功能，当然也可以人工指定IP 分配，DNS 主要用来提供AD 域内计算机名、桌面云登录域名的解析服务。

2.3 服务器虚拟化软件FusionSphere

FusionSphere 是华为自主知识产权的云操作系统，集虚拟化引擎FusionCompute 和云管理FusionManager 特性于一身。

FusionCompute 是云操作系统基础软件，主要由虚拟化基础平台和云基础服务平台组成，主要负责硬件资源的虚拟化，以及对虚拟资源、业务资源、用户资源的集中管理。它采用虚拟计算、虚拟存储、虚拟网络等技术，完成计算资源、存储资源、网络资源的虚拟化。

FusionManager 是云管理系统，通过统一的接口，对计算、网络和存储等虚拟资源进行集中调度和管理，实现管理维护自动化与动态化，便于业务的快速部署与发放，缩短业务上线周期，提升运维效率，保证系统的安全性和可靠性。

近年来，网络与信息安全越来越得到重视，并上升到了国家安全层面，那么华为桌面云系统在信息系统安全方面又做了哪些工作呢？基于云计算的特征，从资源层、平台层、应用层、管理层到用户访问层，实现了层层设防、相互隔离的安全架构，重点强化了虚拟化隔离和网络隔离，安全架构层面主要采用了分层和纵深防御的思想。

华为桌面云具备了“进不来，拿不走，打不开，赖不掉，丢不了”的五不法则，从这五个方面来保障桌面云的安全：“进不了”指的是对接入用户采取了多种认证方式，只有通过授权才能访问系统，同时还要接受监控和审计；“拿不走”指的是信息实现集中管控，用户终端与信息相互分离，桌面和数据在后台集中存储和处理；“打不开”则是指桌面云采用华为文档安全管理解决方案，通过实时权限控制，提供安全授权下的机密信息共享；“赖不掉”就是对用户操作的每一项行为都要进行监控、记录与审计；“丢不了”指的是对资源回收时虚拟机剩余信息进行彻底的清除，以及对用户的数据盘进行加密处理。

具体的安全措施主要从以下几个方面展开：

2.3.1 终端接入管理

桌面云支持对终端进行合法性认证，如终端与用户或用户组绑定、802.1X 认证（密码方式或证书方式）、CA 认证等方式，防止非法终端接入保证终端安全。

2.3.2 用户认证鉴权

桌面云采用了多种认证鉴权方式来保证接入用户的合法性，比如使用AD 域用户(支持桌面云AD 域或对接用户自己的微软AD域)、动态口令、手机短信、USB 介质以及指纹等单一认证方式和双因子组合认证方式，另外还可提供LiteAD 域用户名/密码认证。

2.3.3 系统架构安全

桌面云在系统架构规划时就将业务、存储和管理三个层面进行了划分，以不同的网段实现了三个层面之间的隔离，有效解决了系统安全隔离问题。在虚拟化层，依据虚拟化的实现原理，也保证了CPU、内存、虚拟机网络、存储等空间的相互隔离，达到了虚拟机间的安全隔离目的。

2.3.4 操作日志审计

桌面云具备完善的日志记录功能，对管理员的所有操作动作都进行了详细的记录，以便于为今后的审计提供依据。同时桌面云系统能够给系统管理、安全管理和安全审计三种角色提供不同的权限，实现三员分离，相互制衡。

2.3.5 终端防病毒能力

桌面云提供了丰富的防病毒接口能力，支持业界主流的无代理终端防护产品，在为用户虚拟终端提供安全保障的同时，一并解决了桌面云大量部署时一些常规的杀毒方案引起的杀毒风暴隐患。

3 分析总结

依托华为FusionAccess 桌面云系统技术优势，同时建设方案综合考虑现有桌面云平台所表现出来的问题，在以下几个方面进行了设计优化和改善：

（1）云桌面分“篮”存放，具体表现在：系统不再只建设一个大的资源池，而是建设两个或两个以上规模相当的资源池，同时把同一个营业厅的云桌面放在不同的资源池里面，这样做的目的是当一个资源池出现故障的时候，处于其他资源池的的云桌面仍能正常运行，这样就能保障该营业厅仍然能正常运转，提升桌面云系统抗风险能力，防止出现一个篮子里的鸡蛋都打了的局面。同样客服呼叫桌席也按这种方式部署。

（2）制定外设采购准入标准和采购测试流程，各种各样的外设品类增加了维护工作量和难度，同时也是制约云终端发展的一个关键因素，因而严格把控外设采购流程，限定采购清单就显得十分必要。依托云终端厂商提供的外设兼容清单，结合实际需要，经过兼容性测试后，选择适合自己的外设清单，遵循的原则就是少而精，目的是为了同步减少云桌面模板的数量，优化系统资源利用。

（3）建立考核机制和日常运维知识库，营业终端从传统PC 过渡到云终端，必然会有一定的阻力，这和营业员的使用习惯、操作熟练程度有很大的关系，因此建立考核机制，可以迫使营业员下功夫尽快熟悉云终端的使用操作；建立日常运维知识库的目的是方便大家知识共享，云终端的日常使用中，必然会出现各种各样的问题，让每个人把遇到的问题、以及问题的处理方法共享出来，这样可以方便其他人遇到同样问题时快速定位、及时处理。

（4）完善安全接入机制，提升移动生产力水平，移动化在工作场所变得越来越普遍，为员工提供更高、更便捷的灵活性，使他们能够在任何位置，使用任何设备和网络工作，而且使所有这些工作都具有安全、无缝的体验。

4 结束语

随着5G 网络覆盖范围的扩大，以及无线接入安全技术水平的提升，在有线接入困难的区域实现无线安全接入，达到随时随地营业、办公的目的将不再是奢望，持续跟进桌面云技术演进，助力公司移动办公生产，让我们拭目以待。