Введение

Среди множества задач, стоящих перед службой IT в области управления инфомационной средой предприятия, одной из главных является поддержка и обслуживание пользовательского окружения. Прежде всего, необходимо представить пользователям максимально удобное и в то же время безопасное рабочее пространство для эффективного выполнения своих функций. С этой дилеммой и сейчас сталкиваются многие системные администраторы.
С развитием высоких технологий растут и требования к пользовательскому рабочему окружению, как со стороны самих пользователей (доступ к большему количеству локальных и сетевых ресурсов), так и со стороны IT (новые приложения требуют больше вычислительных мощностей).
Приход эры виртуализации еще больше повысил важность управления пользовательским окружением в связи с перемещением его с физических рабочих станций в Дата-центры (виртуальные рабочие столы, терминальные серверы). В результате, распределенная пользовательская среда требует более сложной и комплексной настройки и поддержки, что в свою очередь приводит к снижению ее производительности, так как стандартные средства управления (групповые политики, логон-скрипты и т.д.) не справляются с задачей в новых условиях. Это побуждает службу IT присмотреться к специализированным решениям для данной задачи.
Одним их таких решений является Norskale VUEM, о котором и пойдет речь ниже.

Обзор возможностей

Norskale VUEM – это полнофункциональное решение для управления пользовательским окружением (User Environment Management).
К основным особенностям можно отнести:

Простая архитектура даже для комплексных сред;
Простота развертывания и настройки. Для развертывания пилотного окружения достаточно 1 дня;
Возможность замены скриптов входа (logon-scripts), а также GPP (Group Policy Preferences) и GPO (Group Policy Objects), отвечающих за настройку пользовательского окружения;
Гибкость при назначении ресурсов пользователям за счет создания правил и условий;
Повышение производительности рабочей станции за счет оптимизации использования ресурсов процессора и памяти;
Возможность контролировать запускаемые процессы без необходимости настраивать AppLocker или Software Restriction Policy;
Мгновенный выход из системы при закрытии сессии за счет технологии Fast Logoff;
Поддержка Citrix User Profile Management;
Возможность предоставления пользователям функций Self-Service без нарушения уровня безопасности окружения;
Возможность преобразования устаревших рабочих станций в полнофункциональные «тонкие клиенты» с помощью Transformer.

Далее рассмотрим особенности архитектуры решения VUEM, а также основные этапы его установки и базовой настройки.

Архитектура

Решение состоит из следующих компонентов:

Брокер, выполняющий управленческую функцию. С одной стороны, взаимодействует с агентами, назначая им политики и параметры окружения. С другой стороны, отвечает за сохранение конфигурации окружения в выделенной базе данных.
База данных. Отвечает за хранение конфигурации всего окружения VUEM.
Агенты. Клиентский компонент, устанавливаемый на рабочие станции и сервервы, для управления которыми и развертывается все окружение VUEM. К главным задачам агента относятся взаимодействие с брокером для получения параметров политик и применение этих параметров к локальной системе. Прямого доступа к базе данных агенты не имеют.
Консоль управления. Основной инструмент управления окружением VUEM, включая настройку агентов и параметров пользовательского рабочего пространства.

Схематично, взаимодействие компонентов VUEM можно представить следующим образом:

В логической структуре окружения VUEM основным элементом является сайт, представляющий собой не что иное, как логическую группу агентов, связанных общностью параметров окружения, например, рабочие станции, работающие в режиме киоска или терминальные серверы. Кроме общих параметов окружения (настройки рабочего стола, меню Start, проводника Windows и т.д.), в рамках сайта можно настраивать доступ к ресурсам (приложения, принтеры, сетевые диски и т.д.) для индивидуальных групп пользователей.
Практика показывает, что подавляющее большинство сценариев внедрения VUEM предполагает наличие более одного сайта. Хотя оптимальное количество сайтов VUEM должно определяться на этапе проектирования архитектуры VUEM, ошибки проектирования не являются критичными и не приводят, как правило, к переделыванию всего окружения. Сайты легко можно добавлять и удалять, а также связывать с ними агентов, после установки.
Пример относительно несложной архитектуры представлен на следующей схеме:

Даже в случае более сложной инфраструктуры с наличием удаленных офисов с ограниченной полосой пропускания, решение VUEM можно спроектировать оптимальным образом:

Примечание:

В режиме «Local Mode» брокер использует встроенный локальный кэш вместо постоянного обращения к базе данных. База данных используется только в случае отсутствия необходимых данных в кэше, что приводит к оптимизации использования полосы пропускания между центральным и удаленными офисами.

Установка и начальная конфигурация

Как любое программное обеспечение, компоненты VUEM обладают рядом программно-аппаратных требований к информационной среде, в которой они разворачивается. Прежде всего, стоит отметить, что в качестве операционной системы, как для брокера, так и для агентов можно использовать любую, начиная с Windows XP SP3, включая серверные ОС от Windows Server 2003.
Перед тем, как приступить к установке любого из компонентов, необходимо убедиться в наличие элемента .NET Framework 4.0 или установить его предварительно при необходимости. Остальные необходимые элементы (например, SQL Server Compact Edition, MS Sync Framework) будут установлены автоматически в процессе инсталляции.
В качестве базы данных VUEM поддерживает только Microsoft SQL Server (включая редакцию Express), начиная с версии 2005.
Процесс развертывания решения VUEM можно разделить на следующие этапы:

Установка сервера баз данных. Предварительно создавать и настраивать саму базу данных не нужно.
Установка брокера;
Создание и настройка базы данных;
Подключение брокера к базе данных;
Установка консоли управления;
Установка агентов;
Назначение агентов соответствующим сайтам;
Конфигурирование необходимых элементов сайтов.

Как можно заметить, каждый компонент окружения устанавливается отдельно и независимо, а затем настраиваются необходимые связи между ними.
Процесс установки компонентов VUEM (брокера, консоли управления и агентов) максимально прост и заключается в запуске соответствующего исполняемого файла и слепого следования мастеру установки нажатием кнопки Next. Единственный параметр, который можно изменить в процессе установки, это путь к установочной папке.
Успешность установки данных компонентов можно проверить наличием сервиса Norskale Infrastructure Service для брокера и Norskale Agent Host Service для агента.
Первое, что необходимо выполнить после установки брокера, это создать и настроить базу данных для окружения VUEM. Для этого необходимо воспользоваться утилитой Database Management, установленной в процессе установки брокера.

Далее, необходимо запустить мастер создания базы данных, нажав Create Database.
На первой странице указываются сведения о базе данных (имя сервера, имя и путь к самой базе данных):

ВАЖНО:
Значения параметров Data File и Log File устанавливаются автоматически и указывают на расположение фалов, принятое по умолчанию при установке SQL Server. Если существующий сервер SQL использует другие пути, их следует указать здесь вручную. Если этого не сделать, то по окончании мастера появится малоинформативное сообщение об ошибке «Database creation error!».
Перейдя к следующей странице мастера, необходимо указать учетную запись, с помощью которой будет создана база данных.

По умолчанию используется учетная запись пользователя, запустившего мастер конфигурации. Если данный пользователь не обладает достаточными разрешениями для создания базы данных, то необходимо либо отключить опцию Use Integrated Connection и указать внутреннюю учетную запись SQL-сервера, либо выполнить вход в систему под другим пользователем.
Далее, необходимо определить группу администраторов окружения VUEM, а также учетную запись, под которой брокер будет подключаться к базе данных.

Примечание:
Если не указать учетную запись для брокера, то мастер создаст внутреннюю учетную запись vuemUser на сервере SQL с необходимыми полномочиями.
На последней странице мастера, после проверки правильности введенных данных, необходимо запустить процесс создания базы данных, нажав Create Database.

После получения подтверждения об успешном создании базы, мастер установки можно закрыть, также как и саму утилиту Database Management.
На следующем этапе необходимо связать брокер с созданной ранее базой данных с помощью утилиты Broker Service Configuration (устанавливается также вместе с брокером):

Для применения и сохранения конфигурации необходимо нажать Save Configuration, что перезапустит службу брокера Norskale Infrastructure Service.
Теперь серверная часть окружения VUEM готова к дальнейшей настройке.

Знакомство с консолью управления

Как было упомянуто выше, для настройки окружения VUEM используется отдельная консоль, которая устанавливается независимо.
При первом открытии консоли Norskale Administration Console необходимо вручную подключиться к брокеру, нажав кнопку Connect.

В открывшемся окне, указав имя брокера и порт, нажать Connect для подключения.

Примечание:
Для того, чтобы данное окно не появлялось при каждом открытии консоли, достаточно активировать автоматический административный вход:

После открытия консоль имеет следующий вид:

На первый взгляд, многообразие разделов с различными параметрами может отпугнуть неискушенного администратора, создав ложное впечатление о сложности управления окружением. Если присмотреться к каждому разделу внимательнее, то назначение подавляющего большинства параметров станет очевидным и интуитивно-понятным. В общем, если Вы имели дело с настройкой окружения пользователя с помощью групповых политик, то Вам уже знакома большая часть консоли управления.
Тем не менее, в следующей таблице приведу краткое описание каждого из разделов:

Раздел	Назначение	Комментарий
Actions	Локальные ресурсы, доступ к которым необходимо контролировать	Очень напоминает структуру Group Policy Preferences, не так ли? По своей сути это они и есть.
Filters	Условия и правила, по которым ресурсы предоставляются пользователям	Если пользователь или его рабочая станция удовлетворяют условиям, то ресурс будет доступен
Assignments	Назначения ресурсов пользователям с указанием условий из раздела Filters	Перед тем, как назначить ресурс пользователю, последнего необходимо добавить в раздел Configured Users
Configured Users	Пользователи, чей доступ к ресурсам необходимо контролировать	Можно указать как индивидуальных пользователей, так и их группы. С помощью приоритетов решаются конфликты при назначении ресурсов
SystemUtilities	Технологии оптимизации, CPU\RAM, а также белый и черный списки процессов
PoliciesandProfiles	Основной набор параметров для настройки окружения пользователя. Также включает настройку Citrix User Profile Management и Microsoft User State Virtualisation	Именно эти параметры обычно настраиваются в групповых политиках
TransformerSettings	Выделенный раздел для активации и настройки режима киоска на рабочей станции, по сути, трансформируя ее в тонкого клиента
Advanced Settings	Параметры для настройки агентов, а также для дополнительного тюнинга всего окружения	Часть параметров являются обязательными для нормальной работы окружения
Administration	Позволяет делегировать полномочия по управлению окружением, а также просматривать журнал изменений и краткую статистику пользователей

Для большей наглядности сухого описания консоли, ниже приведены примеры некоторых настроек окружения:

Установка и настройка агента

Как говорилось выше, агентом в окружении VUEM может быть как рабочая станция, так и сервер. В общем, любой компьютер под управлением ОС Windows, на котором может располагаться рабочее пространство пользователя (общие или корпоративные рабочие станции, терминальные серверы и т.д.).Для того, чтобы из рабочей станции или сервера сделать агента VUEM достаточно установить специальный программный модуль, не обременяющий систему своей ресурсоемкостью (использует не более 20Mb RAM). Именно он периодически связывается с брокером для отслеживания и контроля параметров рабочей среды пользователя, настроенных в консоли управления.
Аналогично брокеру, установка агента проста и не содержит каких-либо параметров кроме пути к установочной папке. Но ведь для нормального функционирования ему ниобходимо знать как минимум название сайта, которому он принадлежит и имя брокера. Для настройки этих параметров можно воспользоваться прилагаемым административным шаблоном для групповых политик.

В процессе своей работы на рабочей станции, единственное, что выдает присутствие агента VUEM, это иконка в системной области уведомлений на панели задач:

Также, при обновлении параметров на короткое время появляется окно:

При необходимости, оба эти элемента можно скрыть в консоли управления. Там же можно настроить и другие параметры агента, меняющие как его внешний вид, так и поведение при взаимодействии с брокером:

Параметры агента, как и большинство других параметров в консоли, являются глобальными для всего сайта VUEM и применяются к рабочей станции вне зависимости от подключенного пользователя.
Некоторая часть параметров агента тесно связана с настройками пользовательского окружения, выполненными в других разделах консоли. Поэтому, для того чтобы определить какие из них нужно активировать, важно понимать назначение самого сайта, точнее рабочих станций\серверов, входящих в его состав.
Например, создан сайт, предназначенный для ограничения доступа к рабочему столу и параметрам окружения. Назначение ресурсов (ярлыков приложений, сетевых дисков и др.) на рабочих станциях не требуется. В данном случае нет необходимости активировать для агента раздел «Advanced Settings\Main Configuration\Agent Actions» (см. снимок выше).

Transformer

Transformer представляет собой дополнительный компонент VUEM с отдельным лицензированием. Главная задача данного компонента – трансформировать рабочую станцию в «тонкий клиент», избавив, таким образом, службу IT от необходимости утилизировать устаревший парк компьютеров.
Для использования Transformer, на рабочей станции не нужно устанавливать дополнительное ПО, кроме самого агента VUEM. Для конфигурации компонента в консоли управления выделен отдельный раздел, «Transformer Settings», позволяющий не только ограничить доступ к локальным ресурсам компьютера, но и указать дополнительные параметры для таких сред, как Citrix XenApp/XenDesktop, VMware View и Microsoft RDS.
С помощью Transformer можно реализовать несколько вариантов «тонких клиентов».
Прежде всего, речь идет о классическом «тонком клиенте», на котором полностью закрыт доступ к локальным ресурсам. Для нормального функционирования такого клиента необходимо указать адрес сервера Citrix Web Interface для получения доступа к удаленным ресурсам.
На снимках ниже представлен пример настройки Transformer для данного сценария, а также внешний вид рабочей станции в роли «тонкого клиента».

Кроме непосредственной активации Transformer, необходимо выполнить дополнительные настройки, чтобы лишить пользователя возможности переключиться на локальный рабочий стол.

После выполнения этой минимальной конфигурации, внешний вид рабочего стола будет выглядеть следующим образом:

Другой вариант «тонкого клиента» представляет собой рабочую станцию, которой необходимо закрыть свободный доступ к внешним ресурсам, включая окружения Citrix, VMware, RDS. Более того, стоит задача максимально защитить локальные ресурсы рабочей станции, предоставив в использование исключительно те ресурсы, которые определенны администратором.
В этом случае, в настройках Transformer необходимо убрать адрес сервера Web Interface и активировать панель приложений, как указано на снимке ниже:

Таким образом, вместо web-страницы входа в окружение Citrix, пользователю будет предоставлен список локальных приложений, созданных и назначенных предварительно в консоли управления VUEM.
После этих манипуляций пользователь получит рабочий стол следующего вида:

Разумеется, что для того, чтобы предотвратить доступ пользователя к локальным ресурсам (диски, командная строка, панель управления и т.д.) изнутри приложений, необходимо также настроить другие параметры VUEM, речь о которых шла выше.

Заключение

В данной статье представлен обзор одного из лидирующих UEM-решений на IT-рынке, Norskale VUEM, включая дополнительный компонент, Transformer.
Несмотря на простую архитектуру, функционал VUEM способен удовлетворить потребностям и оправдать ожидания компаний разного размера, от небольших офисов, до уровня предприятия. Внедрение решения VUEM для управления рабочим пространством пользователей обеспечивает более высокий уровень гибкости и производительности пользовательского окружения, его однородность при использовании в разных сценариях. Это повышает степень удовлетворенности пользователей удобством своей работы, что приводит к лучшей адаптации новых технологий.

Знакомьтесь, система управления пользовательским окружением, Norskale VUEM