La virtualisation de prsentation et de postes de

La virtualisation de présentation et de postes de travail dans tout ses états ! WIN 304 Christian-Pierre BELIN Jérôme MOMBELLI Microsoft 2

Agenda Les nouveaux services RDS de Windows Server 2008 R 2 VDI vs Sessions? Les différents rôles RDS Bâtir une infrastructure RDS Rassembler les différentes briques Le meilleur des 2 approches… Q&A 3

vi er p. S to sk ces De rvi te Se mo al Re rmin Te Les évolutions de Terminal Services Remote. App Accès Web RDP 6. 0 s ce Ferme TS RDP 5. 0 Redirection x 64 RDP 7. 0 Connection broker Filtrage applicatif App-V VDI RDP 4. 0 Client Web Déport d’affichage Aujourd’hui 4

Les points clef que propose RDS & VDI – Une solution intégrée Applications distantes Experience Full-Fidelity Capitalisation sur Hyper-V™ pour héberger les VMs Remote. App & Desktop Connection Support d’écrans multiples Un connexion broker unifié Remote. App & Desktop Web Access Support multimédia & audio bidirectionnel Une seule infrastructure de publication Améliorations sécuritaires pour RD Gateway Accélération graphique pour les appli 3 D et le contenu riche Plateforme & Management Nouvelles API, Extensibilité du Connection Broker, Support de Power. Shell™, IP virtualisation, RD Easy. Print 5

Virtualisation de session VS virtualisation d’OS client Hypervisor Client OS 1 Server OS 6 Client OS OS n Client

Pourquoi s’appuyer sur 2 technologies? Sessions Vs VDI Session VDI Maturité de la technologie Prouvée Emergeante Montée en charge Le meilleur ratio user/Server Ratio User/Server moindre Isolation/Sécurité Isolation par session L’OS est partagé Utilisateurs standards Isolation par VM L’OS est dédié Administrateur Expérience utilisateur distante Dépend du réseau Flexibilité Utilisateur sans privilèges L’utilisateur peut être admin Compatibilité applicative Windows Server OS Windows Client desktop La technologie VDI permet de répondre à certaines limites ou contraintes du modèle « sessions» 7

Notre vision au travers de RDS Une approche basée sur 2 technologies Infrastructure VDI Infrastructure TS Connection Broker 8

La solution RDS de Microsoft Et les extensions partenaires Solutions Partenaires R 2 9

Les différents rôles RDS RD Session Host RD Virtualization Host • Propose un environnement multi-sessions (ex Serveur TS) • Héberge les sessions pour les Remote. App et bureaux virtuels • Propose un environnement pour des OS clients virtualisés • Héberge les machines virtuelles VDI • Répond au pilotage du Connection Broker RD Connection Broker • Assure les rôles de gestionnaire de ferme, publication et routage vers les ressources • Agrège les différentes ressources (Remote. App, VDI en Pool ou personal) • Route les utilisateurs vers les bonnes ressources, pilote les serveurs RDVH RD Web Access • Propose une interface de publication des ressources • 2 modes pour recueillir les ressources: Depuis un RDSH ou un CB • Possibilité de définir plusieurs sources afin d’agréger les ressources RD Gateway • Propose l’accès aux ressources en HTTPS • Permet de gérer les scénarii d’usage depuis Internet • Intègre des mécanismes sécuritaires pour les postes externes et les flux 10

RD Session Host Nouveau nom du serveur Terminal service C’est le serveur sur lequel sont installées les applications Installation locale Installation via App-V Il propose un accès Soit à un Bureau virtuel (Remote Desktop) Soit juste à une application (Remote. App) Peut être intégré au sein d’une ferme 11 RD Session Host 2. Le serveur RDSH instancie un contexte de sécurité (session) et démarre l’application 1. L’utilisateur accède à une Remote. App Remote Desktop Client

RD Virtualization Host En charge de l’orchestration des VMs VDI Héberge les VMs Gère les opérations relatives aux VMs: Démarrage Arrêt Pause Retour arrière (Snapshot) Ce rôle est installé via le service du rôle Remote Desktop Virtualization Host (Vm. Host. Agent Service, tsvmhasvc. dll) Le rôle Hyper-V est installé et utilisé Le serveur RDVH est pilote par le connection Broker Collecte les informations sur les VMs afin d’alimenter le Connection Broker Le serveur RDVH peut être intégrer au sein d’un cluster (LM, QSM, HA…) 12 3. Le RDCB demande au RDVH de démarrer la VM 2. Le RDCB détermine la bonne VM 1. L’utilisateur demande l’accès à une VM RD Virtualization Host RD Connection Broker & Redirecteur Remote Desktop Client 4. Le RDVH indique la VM est accessible 5. Le RDCB (redirecteur) redirige le client vers la VM

RD Connection Broker Il s’agit là encore d’un rôle RD Virtualization RD Session Remote Desktop qui assure: Host Connection Broker Service de publication Redirecteur RD Connection Broker & Les rôles Connection broker 2. RD Web Publication Access & redirecteur peuvent être récupère ces informations dissociés Le serveur peut être mis en RD Web Access haute disponibilité 1. Le RDCB retrouve les ressources et les publie 3. l’utilisateur clique sur ces informations pour accéder à la ressource 4. L’utilisateur se connecte à la ressource 13

RD Connection Broker Installe 2 services Connection Broker : tssdis Service de Publication : tscpubrpc Connection broker Gère l’ensemble des connexions RDS et RDV Stocke l’état des sessions dans une base, ce qui permet d’assurer les reconnexions et l’équilibrage de charge Fait appel au service de « Publication centralisée » afin d’assurer les connexions vers les VM en mode Personnel 14

Service de Publication Agrège l’ensemble des programmes Remote. App depuis les serveurs RDSH Maintient la liste des VMs en mode Pool et requête l’AD pour les VMs en mode Personnel Le serveur RD Web Access fait appel à ce service pour obtenir la liste des ressources disponibles pour un utilisateur donné Recherche les VMs assignées aux utilisateurs pour le compte du Connection Broker Est à l’écoute sur le port 5504 15

Le Redirecteur Il s’agit d’un serveur RDSH configuré pour rediriger les utilisateur (Drain mode) Transmet les demandes de connexions RDP au Connection Broker et retourne la liste des @ IP reçues du CB Un redirecteur peut servir à la fois des VMs en mode Pool et Personnel Les utilisateurs n’ouvrent jamais de session sur le redirecteur, mais doivent tout de même appartenir au groupe local « Remote desktop users » Le redirecteur étant configuré en « Drain mode » , cela implique qu’aucune session RDP ne peut être ouverte sur le redirecteur Pour les accès en mode administration, mstsc /admin 16

RD Web Access RD Connexion Broker & Publication C’est le portail Web utilisé pour RD Session Host publier les ressources aux utilisateurs: Ces ressources sont filtrées en fonction des habilitations des 1. Le RD utilisateurs Web Access OU Les ressources peuvent être: retrouve les ressources Des Remote. Apps et les publie Des bureaux virtuels (session) Des machines virtuelles (VDI) Et un 4 ième type de ressource! 2. Les clients RD Web Access Windows 7 Le portail Web Access est capable accèdent à ces Synchronisent ressources via d’agréger les ressources provenant un portail Web ces ressources de plusieurs sources RD via un flux RSS Le serveur RD Web Access offre l’interface de synchronisation en Remote. App & Desktop feed RSS pour les Remote. App & Connection (windows 7) Desktop Connexion Client RDP 17

RD Gateway Fournit un accès HTTP/s au ressources RDP Ne remplace pas un VPN ou Direct. Access Propose des fonctionnalités de sécurité avancées: AD / NAP / NPS RD Session Host Nouveau: gestion du consentement 18 3. Connexion RDP vers les ressources 2. La gateway évalue les stratégies Intégration avec NPS (Radius) Intégration avec NAP Nouveau: Redirection de périphérique sécurisée Nécessite des Session Hosts 2008 R 2 & VMs Win 7 VDI RD Virtualization Host(s) RD Gateway 1. L’utilisateur demande une connexion basée sur HTTPS

Séquence de découverte 1. Accès aux ressources Active Directory DMZ B RDSH RD Web Access RP HTTPS rt 5 1 AP 2 C: P o 504 3. Récupère et agrège les ressources depuis les RDSH. Voir B 4. Requête les VMs assignées / utilisateurs 5. S’il existe une VM assignée, récupère le fichier RDP. LD 3 WMI 4 5 A 7 C WMI 2. Recherche des ressources. Transmet le SID de l’utilisateur pour le filtrage. Voir A 6 RD Connection Broker 6. Récupère les VMs en Pool. 7. Les Remote. Apps sont filtrées en fonction des Security Descriptor définis sur les RDSH. Voir C A. Le compte machine RDWA doit appartenir au groupe “TS Web Access Computers” du RDCB B. Le compte machine RDCB doit avoir les droits d’appel DCOM et WMI (Terminal. Services). Par défaut, le groupe “TS Web Access Computers” a ces droits. Client C. Le filtrage des remote. Apps nécessite que le compte machine du RDCB soit dans le groupe “Windows Authorization Access Group”. 19

Séquence de connexion 1 2 RPC 6 B RD Connection Broker 4 RP C C RDV Host Obtention des @ IP de la machine cible. Le nom d’utilisateur, du domaine et du type de cible sont envoyés. Voir B. 5 WMI 3 Appel au Service de Publication afin d’obtenir les infos sur la VM Récupération des @ IP 4 depuis l’agent sur le RDVH. Voir C. VMs 5 RD Redirector A 1 RDP 2 RPC 3 Début de la connexion RDP à la VM. Voir A. P RD 7 B Client C Préparation de la VM. Une fois la VM prête pour la connexion, renvoi des @ IP. A L’utilisateur doit appartenir au groupe RDU 7 Le client effectue la connexion RDP à partir des @ Le redirecteur doit être dans le groupe “Session Broker Computers” IP 6 Le Connection Broker doit appartenir au groupe “TS Web Access Computers” 20

Bâtir une infrastructure RDS 0 – importance des certificats SSL 1 – Préparer le serveur RD Session Host & les applicatifs 2 – Publier les ressources Remote. App 3 – Préparer Hyper-V & RD Virtualization Host 4 – Préparer les OS client des VMs 5 – Configurer le Redirecteur & le Broker 6 – Définir les modes d’accès VDI 7 – Publier les ressources VDI 21

Etape 0 – Importance des certificats L’utilisation du RDP signing permet de bénéficier de: Web Single sign-on Trusted behaviors Remote. App & Desktop Connections Etc… Assurez-vous d’avoir des certificats SSL Pour l’utilisation sur le RD Web Access Le certificat de la CA Racine déployé Déploiement du certificat de la CA racine sur le parc client Pas nécessaire s’il s’agit d’une CA tierce reconnue Utilisation des GPO pour les clients managés Déploiement manuel pour les autres 22

Etape 1 – Préparer le serveur RD Session Host & les applicatifs Installation du rôle RD Session Host Configuration des paramètres pour rejoindre une ferme, de sécurité… La configuration d’un serveur RDSH peut être automatisée via GPO ou script Installation des applicatifs Possibilité d’utiliser des packages App-V Installation de l’agent App-V pour RDS Des outils permettent de repérer d’éventuel problèmes de compatibilité et de les résoudre: https: //connect. microsoft. com/tsappcompat/Downloads. 23

Etape 2 – Publier les ressources Remote. App Utilisation de la console Remote. App Manager ou de Server Manager Définition des règles d’accès au Remote. App RDP signing RD Gateway Création des Remote. Apps Application des règles de filtrage Définition des méthodes de publication Création de packages MSI ou RDP pour télédistribution Publication sur le portail Web / Remote. App & Desktop Connections 24

Démo RDSH & la gestion des Remote. Apps 25

Etape 3 – Préparer Hyper-V & RD Virtualization Host Installation du rôle Hyper-V Installation du rôle RD Virtualization Host Combien de VMs ce serveur pourra accueillir ? Comme pour les sessions, cela dépend: Des applications au sein des VMs Des données De la nature des OS (Windows 7) 26

Etape 4 – Préparer les OS client des VMs Les OS Windows XP, Vista et Windows 7 sont supportés Pour Windows XP et Vista: Installation des composants d’intégration Hyper-V Configuration des postes en VDI: Activer Remote Desktop Service Ajouter le groupe d’utilisateur VDI dans le groupe RD users Activer les Remote RPC Set HKEY_LOCAL_MACHINESYSTEMCurrent. Control. SetControlTerminal ServerAllow. Remote. RPC from 0 to 1. Autoriser sur le firewall le flux Remote Service Management Positionner les permissions RDP Add the VM Host machine account to the RDP Listener permissions. This must be done by a VB script or a Power. Shell script as the UI is not available on client SKUs The RDVH Server computer account needs the WINSTATION_QUERY, WINSTATION_LOGOFF, and WINSTATION_DISCONNECT permissions on each virtual machine in the virtual desktop pool Can only be done after domain join Heureusement, un script permet d’automatiser toutes ces étapes http: //gallery. technet. microsoft. com/Script. Center/en-us/bd 2 e 02 d 0 -efe 7 -4 f 89 -84 e 5 -7 ad 70 f 9 a 7 bf 0 27

Etape 5 – Configurer le Redirecteur & le Broker Les 2 rôles peuvent être séparés Le Connection broker est un rôle RD Le redirecteur est en fait un serveur RDSH configuré en tant que redirecteur Une seule étape pour le configurer L’assistant de création des postes en VDI gère automatiquement cette étape 28

Etape 6 – Définir les modes d’accès VDI Bureau virtuel personnel Un OS par utilisateur Poste personnalisable, accès pour des administrateurs Le contexte utilisateur fait à priori parti de l’OS Bureau virtuel personnel Bureau virtuel en Pool Les OS sont partagés et configurés de manière identique Ce mode n’est pas recommandé pour des administrateurs Le contexte utilisateur est temporaire Bureau virtuel en Pool 29

Etape 7 – Publier les ressources VDI Les machines virtuelles en VDI sont des ressources qui seront vues comme les autres ressources RDS, ie les Remote. Apps ou Remote Desktop. On utilise donc les mêmes méthodes de publication: Portail Web Remote. App & Desktop Connection L’approche pourra donc au final: Proposer une vue unifiée aux utilisateurs Capitaliser sur l’infrastructure RDS existante 30

Démo Gestion des machines en VDI Publication unifiée 31

En résumé, les différentes options… Remote. App • Gestion optimisée en terme de coûts • Administration optimisée • Meilleur ratio d’utilisation matérielle & logicielle Poste VDI personnel • Coût élevé en terme de gestion d’images Poste VDI en pool • Coût intermédiaire pour la gestion des images • Accès administrateur • Ratio le plus bas en terme d’utilisation HW & SW • Meilleur niveau de compatibilité pour les applicatifs • Administration plus simple que le mode VDI personnel • Utilise moins de ressources que le mode VDI personnel • Meilleur niveau de compatibilité pour les applicatifs Mixez & Choisissez vos options en fonction des besoins de vos utilisateurs 32

Le meilleur des deux mondes? Remote. App for Hyper-V Publication granulaire d’applications contenues dans une machine virtuelle VDI (OS client) Simplification de la compatibilité applicative Application non compatible RDS ou système d’exploitation des postes riches Fondu de la fenêtre de l’application Utilisation de la même infrastructure RDS Supporté pour des VMs de type: Windows 7 Windows XP SP 3 Windows Vista SP 1 33

Démo Remote. App for Hyper-V 34

Nos premières références Virtualisation de la présentation Lorsqu’il s’agit de moderniser sa plateforme de publication des applications, le numéro un mondial de l’assurance crédit choisit la simplicité et opte pour Windows Server 2008 R 2. À la clé : simplicité de mise en œuvre, facilité de déploiement et économies ! Virtualisation du poste de travail (VDI) 37 Pour limiter l’administration de ses serveurs -aujourd’hui au nombre de 850 -, MAAF Assurances opte pour la virtualisation avec Windows 2008 R 2 et Hyper-V. Objectif : moins de 100 serveurs d’ici 2010 ! Également à la clé : proposer à ses partenaires bancaires un poste de travail complet et simple à administrer.

Questions 38

Les différentes CAL VDI La CAL VDI Microsoft a été développée afin de simplifier la gestion des licences différentes briques de l’infrastructure Windows Virtual Enterprise Centralized Desktop (Windows VECD) $21/device/year OU Hyper-V, MDOP, SCVMM, and VDI -restricted rights to SCOM, SCCM and RDS $53/device/year All components of Standard Suite, plus unrestricted RDS rights and App-V for RDS 3 rd Party Products add value to the Microsoft VDI Suite Simple Licensing Two simple SKUs for Microsoft VDI Simple device based annual subscription model Excellent Value Both SKUs are significantly cheaper than the competition Enterprise grade features at a low price point in conjunction with partners Comprehensive Technology Application virtualization, integrated management included in base SKU Choice of VDI and session based desktops in premium SKU 40