第5章終端服務(wù)及應(yīng)用程序

和服務(wù)器虛擬化終端服務(wù)——讓相對性能較差的客戶端計算機在遠(yuǎn)程服務(wù)器上直接運行要求較高運算量的應(yīng)用程序，好像這些程序是直接在本地計算機上運行。終端服務(wù)會話Broker（TSSessionBroker）服務(wù)可簡化大量負(fù)載平衡終端服務(wù)器的設(shè)置工作。終端服務(wù)網(wǎng)關(guān)（TSGateway）服務(wù)使得授權(quán)用戶可通過Internet直接連接到終端服務(wù)器，不需要配置VPN服務(wù)器。另外RemoteApp

功能使得我們可直接將特定應(yīng)用程序（而非整個遠(yuǎn)程桌面）部署給網(wǎng)絡(luò)中的客戶端。1第5章終端服務(wù)及應(yīng)用程序

和服務(wù)器虛擬化服務(wù)器和應(yīng)用程序虛擬化——Hyper-V是微軟的一款虛擬化產(chǎn)品。Hyper-V設(shè)計的目的是為用戶提供更為熟悉以及成本效益更高的虛擬化基礎(chǔ)設(shè)施軟件，降低運作成本、提高硬件利用率、優(yōu)化基礎(chǔ)設(shè)施并提高服務(wù)器的可用性。虛擬化技術(shù)可以定義為將一個計算機資源從另一個計算機資源中剝離的一種技術(shù)。在沒有虛擬化技術(shù)的單一情況下，一臺計算機只能同時運行一個操作系統(tǒng)，雖然可以在一臺計算機上安裝兩個甚至多個操作系統(tǒng)，但同時運行的操作系統(tǒng)只有一個；而通過虛擬化可以在一臺計算機上同時啟動多個操作系統(tǒng)，每個操作系統(tǒng)上可以有許多不同的應(yīng)用，多個應(yīng)用之間互不干擾。2第5章終端服務(wù)及應(yīng)用程序

和服務(wù)器虛擬化第1課終端服務(wù)第2課服務(wù)器和應(yīng)用程序虛擬化3第1課終端服務(wù)本課將介紹在為企業(yè)規(guī)劃WindowsServer2008

終端服務(wù)角色的部署時，需要考慮的授權(quán)策略，以及一些新技術(shù)（例如TS會話Broker服務(wù)）對企業(yè)總部和分支辦公室站點部署終端服務(wù)器產(chǎn)生的影響。規(guī)劃終端服務(wù)基礎(chǔ)架構(gòu)規(guī)劃終端服務(wù)授權(quán)配置和監(jiān)控終端服務(wù)配置終端服務(wù)會話Broker規(guī)劃終端服務(wù)網(wǎng)關(guān)服務(wù)器的配置45.1.1規(guī)劃終端服務(wù)器基礎(chǔ)架構(gòu)終端服務(wù)器可以為客戶端提供通過遠(yuǎn)程方式訪問的桌面?？蛻舳酥恍枰惭b兼容的遠(yuǎn)程桌面協(xié)議（RemoteDesktopProtocol，RDP），即可連接到承載其他內(nèi)容的終端服務(wù)器。

使用工作站直接運行最少量的軟件，并且只需要很少的維護。用戶數(shù)據(jù)永遠(yuǎn)保存在中央位置，而不需要保存在用戶的工作站上，這樣可簡化數(shù)據(jù)的備份和恢復(fù)工作。反間諜和反病毒軟件的安裝和更新都在終端服務(wù)器上進(jìn)行，可確保所有定義文件都是最新的。這種情況下不需要更新安裝在每位用戶工作站上的應(yīng)用程序，可以集中進(jìn)行更新。55.1.1規(guī)劃終端服務(wù)器基礎(chǔ)架構(gòu)要求到終端服務(wù)器的遠(yuǎn)程桌面連接要具有高帶寬和低延遲。需要在每個分支辦公室站點部署終端服務(wù)器。還需要結(jié)合連接到終端服務(wù)器的客戶端的數(shù)量，以及在每個位置部署終端服務(wù)器的成本，綜合進(jìn)行權(quán)衡。65.1.1規(guī)劃終端服務(wù)器基礎(chǔ)架構(gòu)1、規(guī)劃終端服務(wù)器硬件終端服務(wù)器需要強大的處理器和大量內(nèi)存。每個客戶端會話都要使用終端服務(wù)器的硬件和資源，因此應(yīng)當(dāng)考慮部署x64版本的WindowsServer2008Enterprise或Datacenter版本作環(huán)境中的終端服務(wù)器。應(yīng)盡量避免使用虛擬化的終端服務(wù)器。還可使用一些工具，例如Windows系統(tǒng)資源管理器、性能監(jiān)視器決定終端服務(wù)客戶端的內(nèi)存和處理器使用情況。一旦確定了終端服務(wù)器的資源使用情況，就可以決定需要怎樣的硬件資源，并能充分估計出終端服務(wù)器的整體客戶端容量。75.1.1規(guī)劃終端服務(wù)器基礎(chǔ)架構(gòu)2、規(guī)劃終端服務(wù)器軟件先安裝“終端服務(wù)器”角色，后安裝客戶端連接到終端服務(wù)器后需要使用的軟件。規(guī)劃出測試期，以免應(yīng)用程序之間會產(chǎn)生沖突。85.1.2終端服務(wù)授權(quán)連接到終端服務(wù)器的所有客戶端都需要一種稱為“終端服務(wù)客戶端訪問許可”（TSCAL）的特殊授權(quán)。該授權(quán)是獨立的，通過TS許可證服務(wù)器管理。在規(guī)劃TS許可證服務(wù)器的部署時，需要考慮：許可證服務(wù)器的作用域是怎樣的？如何激活許可證服務(wù)器？需要部署哪種類型的授權(quán)？需要多少臺許可證服務(wù)器？許可證服務(wù)器的版本？95.1.2終端服務(wù)授權(quán)1.許可證服務(wù)器作用域許可證服務(wù)器的搜索范圍（Discoveryscope）決定了哪些終端服務(wù)器和客戶端可以自動發(fā)現(xiàn)該許可證服務(wù)器。許可證服務(wù)器的作用域是在安裝TS許可證服務(wù)器角色服務(wù)時配置的，也可以在設(shè)置完畢后更改。搜索范圍有三個選項：此工作組、此域、林。此工作組：通常用在許可證服務(wù)器和終端服務(wù)角色處于同一臺計算機的情況下，同一個工作組中的終端服務(wù)器和客戶端可以自動發(fā)現(xiàn)該許可證服務(wù)器。此域：域搜索范圍使得同屬于該域的終端服務(wù)器和客戶端可以自動申請TSCAL。林：林搜索范圍使得位于同一個ActiveDirectory林中的終端服務(wù)器和客戶端可以自動申請TSCAL，不足之處在于在具有太多域的大型林中，可能需要頻繁申請TSCAL。105.1.2終端服務(wù)授權(quán)2.許可證服務(wù)器的激活在TS許可證服務(wù)器頒發(fā)CAL之前，必須使用類似Windows產(chǎn)品激活的機制，將該服務(wù)器激活。激活過程中會獲得由微軟頒發(fā)的數(shù)字證書，以驗證服務(wù)器的所有權(quán)，以及安裝在TS許可證服務(wù)器上的標(biāo)識符。許可證服務(wù)器可通過三種方式激活：

通過向?qū)У姆绞竭M(jìn)行。該方法要求服務(wù)器必須使用SSL連接直接訪問Internet，某些防火墻配置下，可能無法使用。通過網(wǎng)頁進(jìn)行。該方法可用于在許可證服務(wù)器外的其他計算機上操作，適合網(wǎng)絡(luò)基礎(chǔ)架構(gòu)無法直接從內(nèi)部網(wǎng)絡(luò)向外部網(wǎng)絡(luò)創(chuàng)建SSL連接的環(huán)境。用電話聯(lián)系微軟Clearinghouse中心。（免費電話）115.1.2終端服務(wù)授權(quán)3.終端服務(wù)客戶端訪問授權(quán)

WindowsServer2008TS許可證服務(wù)器可頒發(fā)兩種類型的CAL：每設(shè)備CAL和每用戶CAL。TS每設(shè)備CAL：TS每設(shè)備CAL可以讓特定計算機或設(shè)備連接到終端服務(wù)器。TS每用戶CAL：TS每用戶CAL可以讓特定用戶帳戶，用任何一臺計算機或設(shè)備，連接到企業(yè)內(nèi)的任何終端服務(wù)器。如果許可證服務(wù)器可以直接創(chuàng)建到Internet的SSL連接，則可自動購買TSCAL。或者，在激活許可證服務(wù)器時，也可使用其他連接到Internet的計算機瀏覽網(wǎng)站，或打電話給微軟Clearinghouse，直接購買TSCAL。125.1.2終端服務(wù)授權(quán)4.備份和恢復(fù)許可證服務(wù)器要備份TS許可證服務(wù)器，需要備份計算機的系統(tǒng)狀態(tài)數(shù)據(jù)，以及保存TS授權(quán)數(shù)據(jù)庫的文件夾。要恢復(fù)許可證服務(wù)器，請重建服務(wù)器，重新安裝TS許可證服務(wù)器角色，恢復(fù)系統(tǒng)狀態(tài)數(shù)據(jù)，然后恢復(fù)TS授權(quán)數(shù)據(jù)庫。如果要恢復(fù)到其他計算機，則無法恢復(fù)未頒發(fā)的授權(quán)，需要重新聯(lián)系微軟Clearinghouse以獲得這些授權(quán)。135.1.2終端服務(wù)授權(quán)5.許可證服務(wù)器的部署在規(guī)劃WindowsServer2008終端服務(wù)器的部署時，如果環(huán)境中的終端服務(wù)需要運行于老版本的微軟服務(wù)器操作系統(tǒng)，則需要考慮一個問題，WindowsServer2003TS許可證服務(wù)器和Windows2000ServerTS許可證服務(wù)器無法為WindowsServer2008終端服務(wù)器頒發(fā)授權(quán)。然而WindowsServer2008終端服務(wù)器可支持老版本的終端服務(wù)。如果企業(yè)計劃在一定時期內(nèi)需要有WindowsServer2003終端服務(wù)器與WindowsServer2008終端服務(wù)器共存，則應(yīng)當(dāng)首先升級企業(yè)的許可證服務(wù)器為WindowsServer2008，這樣才能支持新的和老的終端服務(wù)器。145.1.3配置終端服務(wù)器在規(guī)劃終端服務(wù)器的部署時，一定要注意，有些配置設(shè)置會應(yīng)用到整個終端服務(wù)器和協(xié)議的層面上，而我們需要進(jìn)行的大部分配置設(shè)置都只需要應(yīng)用到協(xié)議層面上。要在協(xié)議層面上修改設(shè)置，可打開終端服務(wù)配置控制臺，該控制臺位于管理工具菜單的終端服務(wù)子菜單下。隨后用鼠標(biāo)右鍵單擊“連接”區(qū)域的RDP-Tcp

項，并選擇“屬性”即可。這樣可以打開RDP-Tcp

屬性對話框。155.1.3配置終端服務(wù)器管理員可以配置安全層、加密級別以及其他連接安全設(shè)置。安全層的默認(rèn)設(shè)置是“協(xié)商”，而加密級別的默認(rèn)設(shè)置是“客戶端兼容”。安全層設(shè)置還可用于配置服務(wù)器的驗證，也就是服務(wù)器向客戶端證明自己身份的方法。加密級別選項可用于保護終端服務(wù)器的內(nèi)容不被第三方竊聽。有下列選項可用：高：該級別的加密使用128位密鑰。符合FIPS標(biāo)準(zhǔn)：主要被政府機構(gòu)使用。

客戶端兼容：該方法會通過與客戶端進(jìn)行協(xié)商，確定并使用客戶端可支持的最強密鑰。低：從客戶端發(fā)往服務(wù)器的數(shù)據(jù)被使用56位密鑰加密，從服務(wù)器發(fā)往客戶端的數(shù)據(jù)完全不被加密。165.1.3配置終端服務(wù)器使用組策略配置終端服務(wù)在大型終端服務(wù)器部署中，不需要針對每臺服務(wù)器分別配置RDP-Tcp

連接設(shè)置，以及終端服務(wù)器屬性?？赏ㄟ^ActiveDirectory進(jìn)行應(yīng)用，所有相關(guān)選項都位于組策略的“計算機配置\策略\管理模板\Windows組件\終端服務(wù)\終端服務(wù)器”節(jié)點下，該節(jié)點下還包含多個子節(jié)點，所對應(yīng)的功能都可和直接針對服務(wù)器設(shè)置的選項相對應(yīng)。175.1.3配置終端服務(wù)器連接設(shè)備和資源重定向授權(quán)打印機重定向配置文件遠(yuǎn)程會話環(huán)境安全會話時間限制臨時文件夾

TS會話Broker

從管理員角度看，如果管理員需要規(guī)劃終端服務(wù)的部署，則最重要的策略都位于“連接”和“會話時間限制”節(jié)點下。通過使用這些節(jié)點，即可控制每臺終端服務(wù)器可接受多少客戶端的連接，以及創(chuàng)建的連接可保持多長時間，這些因素都將影響到終端服務(wù)器的容量。185.1.4TSWeb訪問終端服務(wù)Web訪問（TSWeb訪問）使得客戶端可以通過Web網(wǎng)頁鏈接連接到終端服務(wù)器。而不需要在遠(yuǎn)程桌面連接客戶端軟件中輸入終端服務(wù)器的地址?？蛻舳艘B接，需要使用已經(jīng)安裝在客戶端計算機上的RDC客戶端軟件。TSWeb訪問必須安裝在要提供此類訪問服務(wù)的終端服務(wù)器上，同時要部署TSWeb訪問，不僅要安裝“TSWeb訪問”服務(wù)器角色，還需要安裝”Web服務(wù)器”角色以及一個叫做“Windows進(jìn)程激活服務(wù)”的功能。TSWeb訪問不適合負(fù)載平衡終端服務(wù)器。195.1.5終端服務(wù)器會話Broker終端服務(wù)器會話Broker（TS會話Broker）角色服務(wù)可簡化擴容導(dǎo)致的麻煩，并使得負(fù)載可在一組終端服務(wù)器之間進(jìn)行平衡，并將客戶端重新連接到組中原有會話所在的服務(wù)器上。在TS會話Broker術(shù)語中，一組終端服務(wù)器即可叫做一個“場”。TS會話Broker服務(wù)包含了一個數(shù)據(jù)庫，其中會記錄終端服務(wù)器的會話信息。TS會話Broker可配合DNS循環(huán)或網(wǎng)絡(luò)負(fù)載平衡功能使用，以便將客戶端分散到不同的終端服務(wù)器。205.1.5終端服務(wù)器會話Broker要在企業(yè)中部署TS會話Broker負(fù)載平衡功能，必須首先確保客戶端支持RDP5.2或更新版本。要將終端服務(wù)器加入到場，此時可使用終端服務(wù)配置MMC，該工具可從管理工具菜單的終端服務(wù)子菜單下找到。還必須將終端服務(wù)器的ActiveDirectory計算機帳戶添加到承載TS會話Broker服務(wù)的計算機的SessionDirectoryComputers本地組中。在完成上述任務(wù)后，需要在場中的每臺服務(wù)器上配置負(fù)載平衡功能。215.1.6監(jiān)控終端服務(wù)需要定期監(jiān)控終端服務(wù)器，以確保用戶使用正常，以及確保終端服務(wù)器依然有足夠的硬件資源以承擔(dān)該角色的任務(wù)。終端服務(wù)器的硬件瓶頸主要是處理器和內(nèi)存資源，因此在監(jiān)控時，需要尤其注意這些資源的使用情況?？墒褂脙蓚€工具管理和監(jiān)控終端服務(wù)器的資源：系統(tǒng)監(jiān)視器和Windows系統(tǒng)資源管理器。225.1.6監(jiān)控終端服務(wù)1、使用系統(tǒng)監(jiān)視器監(jiān)控終端服務(wù)除了常用的WindowsServer2008監(jiān)控工具，系統(tǒng)監(jiān)視器中還包含很多與終端服務(wù)器相關(guān)的性能計數(shù)器，可幫助判斷在承載了終端服務(wù)的服務(wù)器上，客戶端會話的性能處于怎樣的情況下。需要的兩類計數(shù)器都位于“TerminalServices”和“TerminalServicesSessions”類別下，其中“TerminalServices”類別的計數(shù)器監(jiān)控的是活動會話和不活動會話的數(shù)量以及總數(shù)；“TerminalServicesSessions”類別的計數(shù)器監(jiān)控的是不同資源的使用情況。可使用該類別的計數(shù)器監(jiān)控內(nèi)存和處理器的使用情況，并獲得非常詳細(xì)的排錯信息，例如幀錯誤的總數(shù)，以及協(xié)議緩存的命中率等。235.1.6監(jiān)控終端服務(wù)2、Windows系統(tǒng)資源管理器WSRM（WindowsSystemResourceManager）是WindowsServer2008上一個可安裝的功能，該功能可控制資源的分配情況，供管理員用于應(yīng)用WSRM策略。WSRM包含四個默認(rèn)策略。另外管理員也可以創(chuàng)建自己的策略。在這些策略中，有兩個策略對需要負(fù)責(zé)規(guī)劃和部署終端服務(wù)基礎(chǔ)架構(gòu)的人比較有用。Equal_Per_User（每用戶均等）策略可確保每個用戶被分配均等的資源，哪怕某位用戶比其他用戶在終端服務(wù)器上連接了更多會話也是如此。Equal_Per_Session（每會話均等）策略可確保每個會話被分配均等的資源。如果在允許用戶創(chuàng)建多個會話的服務(wù)器上應(yīng)用該策略，那么這個策略就可以讓用戶獲得比只使用一個會話的用戶更多的系統(tǒng)資源。245.1.7終端服務(wù)網(wǎng)關(guān)TS網(wǎng)關(guān)可讓Internet客戶端用安全、加密的方式訪問位于企業(yè)防火墻內(nèi)部的終端服務(wù)器，而不需要部署虛擬專用網(wǎng)絡(luò)（VPN）解決方案。TS網(wǎng)關(guān)需要通過RDP協(xié)議使用安全超文本傳輸協(xié)議（HTTPS）。TS網(wǎng)關(guān)服務(wù)器可使用連接授權(quán)策略和資源授權(quán)策略進(jìn)行配置，這主要取決于不同的終端服務(wù)器訪問方式，以及網(wǎng)絡(luò)資源的具體情況。連接授權(quán)策略可實現(xiàn)基于管理員預(yù)先指定的條件進(jìn)行的訪問，而資源授權(quán)策略可根據(jù)用戶帳戶屬性將訪問分配給指定的終端服務(wù)器資源。連接授權(quán)策略的特殊之處在于，TS網(wǎng)關(guān)服務(wù)器還可配合網(wǎng)絡(luò)訪問保護（NAP，NetworkAccessProtection）功能一起使用。NAP會對客戶端執(zhí)行健康程度檢查。25本課小結(jié)終端服務(wù)器許可證服務(wù)器必須首先激活，然后才能安裝TSCAL。許可證服務(wù)器的搜索范圍決定了哪些客戶端和TS服務(wù)器可以自動監(jiān)測到該服務(wù)器。TS會話Broker使得我們可創(chuàng)建終端服務(wù)場。它可配合DNS循環(huán)或網(wǎng)絡(luò)負(fù)載平衡技術(shù)一起使用。TSWeb訪問使客戶端可以使用瀏覽器內(nèi)的快捷方式連接到終端服務(wù)器，不過依然要求客戶端安裝有最新的RDC軟件。TS網(wǎng)關(guān)服務(wù)器可以讓客戶端從Internet連接到防火墻后面的終端服務(wù)器，而不需要實施VPN解決方案。26第2課服務(wù)器和應(yīng)用程序虛擬化兩種不同類型的虛擬化技術(shù)：服務(wù)器虛擬化應(yīng)用程序虛擬化規(guī)劃Hyper-V的部署規(guī)劃TSRemoteApp的部署規(guī)劃應(yīng)用程序虛擬化的部署275.2.1Hyper-VHyper-V是WindowsServer2008中的一項功能，它直接作為角色內(nèi)建于操作系統(tǒng)中，并不是一個應(yīng)用程序，而且可以運行64位虛擬機。特點：硬件資源的使用效率更高?？捎眯愿撸瑢⒎?wù)整合到一套硬件平臺上，可以降低成本和維護費用。只需要偶爾提供的服務(wù)角色沙盒更大的容量更好的可移植性更簡單的備份和恢復(fù)。281、創(chuàng)建虛擬機從“虛擬機管理”控制臺中運行“新建虛擬機向?qū)А奔纯伞樘摂M機指定名稱和位置指定內(nèi)存分配情況指定網(wǎng)絡(luò)設(shè)置指定虛擬硬盤指定操作系統(tǒng)的安裝選項5.2.1Hyper-V295.2.1Hyper-V2、虛擬化候選項一個企業(yè)版授權(quán)還包括4個虛擬機實例的授權(quán)。需要在分支辦公室位置使用WDS服務(wù)部署任務(wù)，但不希望投入額外的硬件。在同一服務(wù)器上承載兩個互相之間有沖突的應(yīng)用程序。開發(fā)人員需要對應(yīng)用程序進(jìn)行測試。對于有較高I/O需求或較高CPU需求的服務(wù)器，不宜進(jìn)行虛擬化。305.2.1Hyper-V3、對現(xiàn)有服務(wù)器進(jìn)行虛擬化如果需要將現(xiàn)有服務(wù)器進(jìn)行虛擬化，需要將服務(wù)器從原有硬件移動到虛擬化分區(qū)中。兩個工具：VirtualServerMigrationToolkit（VSMT）——命令行工具，適合小數(shù)量遷移，只能遷移，不能管理。SystemCenterVirtualMachineManager——可管理大量虛擬機，需要SQLServer數(shù)據(jù)庫支持，可以遷移，也可以實現(xiàn)監(jiān)控、管理等。315.2.2管理虛擬化的服務(wù)器Hyper-V管理器，可用于管理虛擬網(wǎng)絡(luò)，編輯和查看磁盤，抓取快照，恢復(fù)快照，刪除快照以及編輯每個虛擬機的設(shè)置。快照：虛擬機的時間點備份。優(yōu)勢在于，可以將操作系統(tǒng)用其他技術(shù)無法比擬的速度快速回滾為以前的狀態(tài)。授權(quán)：在虛擬化環(huán)境中運行的所有操作系統(tǒng)都需要授權(quán)。修改硬件設(shè)置：修改虛擬機的設(shè)置。既可以增加資源，還可以配置其它選項。325.2.3終端服務(wù)RemoteAppRemoteApp和普通的終端服務(wù)器會話有所不同，因為前者不再需要連接到用于顯示遠(yuǎn)程計算機的桌面的窗口，而是可以直接顯示在終端服務(wù)器上執(zhí)行的應(yīng)用程序，就好像在本地執(zhí)行一樣。應(yīng)用程序需要的所有內(nèi)存、磁盤和處理器資源都由承載該應(yīng)用程序的終端服務(wù)器提供，而不是由客戶端計算機承擔(dān)。如果有多個應(yīng)用程序需要通過同一臺宿主服務(wù)器處理，則所有這些應(yīng)用程序都可以通過同一個會話提供給客戶端。335.2.3終端服務(wù)RemoteAppRemoteApp具有如下優(yōu)勢：應(yīng)用程序的更新更易于部署。更新程序只需要應(yīng)用到終端服務(wù)器，而不需要分別應(yīng)用給所有客戶端計算機。應(yīng)用程序的升級路徑更簡單。和應(yīng)用程序的更新類似，這種情況下只需要升級安裝在終端服務(wù)器上的應(yīng)用程序即可，客戶端計算機不需要升級即可使用最新版本。345.2.3終端服務(wù)RemoteApp可以使用三種方法將TSRemoteApp

部署給企業(yè)中的客戶端：創(chuàng)建RDP快捷方式文件，并將該文件分發(fā)給客戶端計算機。為此，可以將RDP快捷方式放在共享文件夾中。創(chuàng)建并分發(fā)WindowsInstaller包。讓客戶端連接到“TSWeb訪問”網(wǎng)站，并從頁面上的鏈接啟動RemoteApp

應(yīng)用程序。35Hyper-V可為整個操作系統(tǒng)以及系統(tǒng)承載的不同應(yīng)用程序和服務(wù)創(chuàng)建獨立的分區(qū)空間，而應(yīng)用程序虛擬化技術(shù)還可以為特定的應(yīng)用程序創(chuàng)建這樣的分區(qū)空間。微軟應(yīng)用程序虛擬化（MAV），也就是以前的SoftG