Ejen Cloud Microsoft: Gunakan desktop maya Azure (AVD) untuk membina persekitaran pejabat jauh yang cekap dan selamat untuk perusahaan
Dalam senario tadbir urus IT korporat dan pejabat moden hari ini, terdapat "sudut keselamatan" yang membolehkan CIO, pengurus rangkaian dan pemimpin keselamatan yang tidak terkira untuk merebut kepala mereka:
Peralatan pejabat jauh dan pekerja sendiri (BYOD).
Banyak syarikat sering secara langsung menghantar akaun VPN kepada pekerja mereka untuk menyelamatkan masalah ketika menghadapi pasukan telemedicine, kolaborasi multinasional atau penyumberan luar, yang membolehkan mereka menggunakan komputer peribadi mereka sendiri untuk menyambung ke intranet teras syarikat. Pendekatan ini sama dengan "membawa serigala ke dalam bilik" dalam lingkaran keselamatan: komputer pekerja mungkin menyembunyikan kuda Trojan dengan perisian cetak rompak, dan kod teras syarikat dan maklumat pelanggan dapat dengan mudah diambil tangkapan layar atau disalin dengan cakera U. Setelah pekerja pergi, anda bahkan tidak tahu berapa banyak cakera keras peribadi yang telah dikosongkan oleh rahsia perniagaan syarikat.
Walau bagaimanapun, jika anda ingin mengemas dan menghantar komputer riba kelas atas yang dibeli oleh syarikat dan diisi dengan perisian penyulitan kepada setiap pekerja jarak jauh, kos perolehan perkakasan yang tinggi, kitaran logistik yang panjang, dan kitar semula peralatan yang rumit seterusnya akan sangat terseret. Aliran tunai syarikat.
Dalam ekologi awan asli Microsoft, ada senjata serangan pengurangan dimensi yang dirancang untuk menyelesaikan masalah "keselamatan dan kecekapan dan fleksibiliti yang melampau", yang disebut
Azure Virtual Desktop(AVD, desktop maya Azure)
。
Logik terasnya sangat sukar dan elegan:
Data tidak keluar dari awan, dan kekuatan pengkomputeran ada di awan.
Di mana-mana pelosok dunia, pekerja boleh menggunakan komputer, tablet atau bahkan telefon bimbit berprofil rendah untuk log masuk ke desktop profesional Windows 11 yang sepenuhnya milik aset syarikat dan penuh dengan perisian perniagaan dalam satu saat melalui penyemak imbas. Semua data dan kod inti terkunci dalam intranet selamat Azure, dan komputer tempatan hanya bertanggungjawab untuk menerima piksel gambar, yang dengan sempurna mengimpal barisan pertahanan terakhir untuk mencegah kebocoran aset korporat.
Hari ini kami menolak retorik rasmi, bermula dari pertempuran sebenar yang murni, dan membawa anda ke standard peringkat kilang besar untuk mewujudkan persekitaran pejabat jarak jauh AVD yang cekap dan selamat untuk perusahaan dalam masa 10 minit.
Tahap pertama: pembongkaran mendalam, "model operasi fizikal" desktop moden AVD
Sebelum pergi ke konsol, anda mesti memahami sepenuhnya model seni bina asas AVD dalam fikiran anda. VDI tradisional (infrastruktur desktop maya) memerlukan operasi dan penyelenggaraan untuk mengkonfigurasi gateway, pengimbangan beban, ejen sambungan, dan pangkalan data yang menyakitkan, dan AVD mengubah semua ini menjadi hosting penuh.
Keseluruhan persekitaran AVD terdiri daripada tiga kedudukan teras yang saling berkaitan:
Perkhidmatan AVD PaaS Microsoft: termasuk ejen sambungan (Broker), Gateway (Gateway), penerima pelanggan Web. Infrastruktur yang paling membebankan dan paling mudah diserang oleh penggodam sepenuhnya dihoskan dan dijaga oleh Microsoft secara rasmi. Mereka tidak mengambil sesen pun sumber pelayan anda dan secara semula jadi membawa pengimbangan beban global mereka sendiri.
Inti pengkomputeran: Host Pools: Ini adalah kluster pelayan belakang (maya
Mesin). AVD menyokong teknologi hitam eksklusif-Multi-sesi Windows 11. Ini bermaksud bahawa anda boleh membuka mesin maya Azure mewah 32G 8-teras, yang membolehkan 10 pekerja dalam pasukan masuk dan menggunakannya pada masa yang sama. Setiap orang mempunyai desktop peribadi yang terpencil sepenuhnya, yang menekan kuasa pengkomputeran pelayan secara melampau, dan harganya langsung Turun sebanyak 80%.
Soul Carrier: Profil Pengguna (FSLogix): Ini adalah senjata rahsia untuk pengalaman sutera AVD pengeluar utama. Dokumen peribadi pekerja, kuki penyemak imbas, dan tetapan aplikasi semuanya dikemas dan disimpan dalam fail cakera keras maya (VHD) di awan. Tidak kira sama ada pekerja log masuk ke mesin A atau mesin B di kumpulan hos hari ini, cakera keras maya ini akan dipasang seperti kilat pada saat log masuk, mewujudkan pengalaman "orang berjalan di atas meja" yang lancar.
Tahap kedua: latihan praktikal-membina ruang pejabat AVD secara langsung tanpa kod
Pastikan anda sudah mempunyai akaun Azure dan telah membina rangkaian maya asas (VNet). Seterusnya, kami pergi ke bahagian depan untuk membina rangkaian desktop pertahanan tinggi.
Memasuki
Portal Azure
, Masukkan di bar carian di atas
"Desktop Maya Azure"
, Klik untuk memasuki konsol teras.
Langkah 1: Buat Kolam Host Teras
Klik "Host pools" di menu sebelah kiri dan "+ Buat" di bahagian atas.
Maklumat asas: Pilih kumpulan sumber anda, kumpulan tuan rumah diberi nama hp-office-prod, dan lokasinya adalah kawasan yang paling dekat dengan pekerja (seperti East Asia Hong Kong).
Jenis kolam hos: pilih "Pooled" dengan tepat.
Algoritma pengimbangan beban: pilih "Breadth-first" (kelebihan pertama), supaya pekerja dapat diedarkan secara merata pada mesin yang berbeza untuk memastikan kelancaran. Isi 5 untuk jumlah maksimum sesi (mewakili sehingga 5 orang dalam satu mesin).
Langkah 2: Pengeluaran pukal "Mesin Maya" (Mesin Maya)
Klik Seterusnya untuk datang ke halaman konfigurasi mesin maya. Kami ingin "mencetak" komputer untuk pekerja log masuk secara berkumpulan di sini.
Tambah Mesin Maya: Pilih "Ya".
Imej: Klik untuk melihat semua gambar, dan anda mesti mengenal pasti kod khusus ini dengan tepat: Windows 11 Enterprise Multi-sesi (Windows 11 Enterprise Multi-sesi). Anda boleh memilih versi yang dilengkapi dengan suite pejabat Microsoft 365.
Saiz mesin maya: Disarankan untuk memilih Standard_D4ds_v5 (memori 16G 4-teras), yang cukup untuk 4-5 kerani atau pemaju pejabat ringan untuk memerah dalam talian pada masa yang sama.
Kuantiti: input
2. Sistem secara automatik akan membuat dua mesin untuk anda selari di latar belakang.
Domain to join: Untuk amalan terbaru dan paling ringan pada tahun 2026, pilih "Microsoft Entra ID" (dahulunya Azure AD) secara langsung. Tandakan "Enroll VM dengan Intune", tinggalkan sepenuhnya pengawal tempatan yang lama dan berat (AD DC), dan gunakan sepenuhnya pengesahan identiti asli awan.
Masukkan kata laluan akaun pentadbir dan klik Seterusnya.
Langkah 3: Mengemas dan mengedarkan kilang dengan kakitangan (Workspace & Assignments)
Apabila mesin maya dibuat di latar belakang, kita harus memasangkannya dengan "Workspace" dan mengedarkan kunci.
Pada tab Workspace, klik untuk membuat ruang kerja baru, bernama ws-global-hq.
Klik Seterusnya berturut-turut sehingga penciptaan selesai.
Setelah berjaya dibuat, pergi ke halaman Aplikasi (kumpulan aplikasi) dan klik hp-office-prod-DAG (kumpulan aplikasi desktop) yang dihasilkan secara lalai.
Klik "Assignments" di sebelah kiri, klik Tambah, dan periksa akaun pekerja (akaun Microsoft Entra ID) dengan tepat yang memerlukan pejabat jauh di syarikat. Hanya mereka yang berada dalam senarai ini yang berhak mendapatkan tiket masuk ke lobi pejabat.
Tahap ketiga: pemandangan menyaksikan keajaiban-"log masuk sutera di semua platform" di sisi pekerja
Setelah set lengkap konfigurasi diletakkan di awan, sebagai pekerja, bagaimana saya harus berhubung untuk bekerja?
AVD menyediakan pelanggan platform penuh yang sangat elegan (merangkumi Windows, macOS, iOS, Android dan juga penyemak imbas HTML5).
Miracle Moment 1: Tidak perlu memasang, pergi bekerja terus dengan penyemak imbas
Pekerja membuka penyemak imbas mana-mana pada komputer berprofil rendah peribadi mereka di rumah dan mengakses klien web rasmi Microsoft AVD
([Ht
Tps: // client.wvd.microsoft.com/arm/webclient/index.html](ht
Tps: // client.wvd.microsoft.com/arm/webclient/index.html)).
Masukkan akaun e-mel korporat dan kata laluan yang dihantar kepadanya oleh syarikat.
Sebaik sahaja anda log masuk, ikon desktop dengan logo syarikat akan dipaparkan dengan bersih di skrin: Desktop Sesi.
Klik dua kali ikon untuk memasukkan kelayakan. Hanya dalam beberapa saat, desktop Windows 11 yang lengkap, asli, dan sangat pantas dipenuhi dengan darah secara langsung di dalam penyemak imbas. Pekerja boleh menggunakan intranet syarikat, menulis kod, dan menghantar e-mel di dalamnya. Selagi halaman tab penyemak imbas dimatikan, cache setengah bait tidak akan ditinggalkan secara tempatan.
Tahap keempat: sejarah mengelakkan darah dan air mata struktur pertahanan tinggi peringkat kilang besar
Setelah persekitaran pejabat terpencil ini dibina, pengalamannya menyegarkan dan pengembangannya sangat mudah. Tetapi untuk bertahan dalam audit keselamatan yang benar-benar di peringkat perusahaan dan ketat, sebagai Ketua Pegawai Keselamatan (CISO), anda mesti segera mengeluarkan perintah pentadbiran untuk mengimpal dua lubang tersembunyi berikut yang mungkin menyebabkan kebocoran data besar:
1. Secara fizikal memotong "dua saluran"-papan keratan yang dikimpal dan pemetaan cakera tempatan
Secara lalai, AVD membolehkan pekerja menyalin fail secara langsung di desktop awan, dan kemudian menampalnya di komputer peribadinya sendiri, atau membaca dan menulis pemacu C di rumah tempatan secara langsung di awan.
Bencana maut: Sekiranya pekerja tidak betul, dia dapat menyeret semua fail pangkalan data teras beberapa pelanggan GB syarikat ke komputer rumahnya sendiri melalui papan keratan atau pemetaan cakera pada malam sebelum meninggalkan pekerjaannya.
Konfigurasi pingat emas pengecualian arkitek: Pada konsol AVD, klik untuk memasukkan Post pools -> hp-office-prod anda. Klik pada "RDP Properties" (RDP Properties) di sebelah kiri untuk beralih ke tab "Device direction". Potong saluran: ubah paksa arahan papan klip ke "Disappearance"; ubah paksa arahan Drive ke "Disappearance". Klik simpan. Strategi akan diselaraskan ke semua desktop jauh di seluruh dunia dalam masa 1 minit. Sejak itu, awan dan komputer tempatan benar-benar terpencil secara fizikal, dan pekerja dapat melihat dan menaip pada papan kekunci, tetapi tidak pernah mahu mengambil sehelai kertas.
2. Berhati-hati dengan jam pasir kewangan "tidak ada yang menganggur di tengah malam"
Oleh kerana mesin maya AVD dikira mengikut jam dan spesifikasi. Ramai pekerja mematikan penyemak imbas atau pelanggan secara langsung setelah bekerja, dan mereka tidur.
Pembongkaran sebab: Walaupun pekerja sudah tiada, kerana mereka tidak mengklik "Log keluar" yang sebenar dalam sistem maya, bahagian dalam mesin maya akan sentiasa mengekalkan sesi pemutusan mereka. Ini akan menyebabkan mesin maya di seluruh kumpulan tuan rumah secara keliru percaya bahawa "seseorang masih bekerja lebih masa", sehingga terus menghidupkan telefon dengan kekuatan penuh di tengah malam, meninggalkan anda dengan bil pemotongan yang menyakitkan.
Fius strategi kumpulan dinamik tegar: melalui Microsoft Intune atau dalam dasar kumpulan gambar utama (Imej) AVD, konfigurasikan undang-undang besi secara paksa: "Tetapkan had masa untuk sesi yang terputus (tetapkan had masa untuk sesi yang terputus)" = 15 minit. Selagi pekerja menutup pelanggan selama lebih dari 15 minit, Azure akan dengan kejam dan selamat membatalkan akaun dan melepaskan memori. Apabila semua orang dilog keluar, gabungkan A
Strategi Autoscale (zoom automatik) mesin maya zure, tuan rumah secara automatik akan mematikan 90% mesin pada larut malam, hanya meninggalkan jam tangan yang sangat rendah, dan secara automatik menarik mesin secara berkumpulan pada pukul 8 pagi keesokan harinya. Papan kawalan tepat dan tidak ada pembaziran anggaran.
Ringkasan
Dalam desktop jauh Azure, inti pati industri sebenarnya terletak pada enam belas perkataan:
Kawal hosting, perjumpaan berbilang akaun, blok atribut, pemutus litar biasa
。
Anda mengucapkan selamat tinggal kepada bengkel asal yang perlu menghantar perkakasan fizikal kepada setiap pekerja pada masa lalu, atau menambal pelayan setiap hari untuk mengekalkan VPN. Sambungan yang rumit dan tugas pertahanan tinggi secara langsung dihoskan ke had pertahanan fizikal rangkaian tulang belakang global Microsoft. Tidak kira apa jenis peralatan lain yang digunakan oleh pekerja di bahagian depan, aset digital teras syarikat akan stabil di gudang insurans awan di belakang.
