预装的任务
在安装和配置Provisioning Services之前,您必须完成以下任务。
选择并配置MS SQL数据库
一个场只能关联一个数据库。Provisioning Services数据库软件可以安装在:
- 现有的SQL数据库,如果该机器可以与场中的所有配置服务器通信
- 一个新的SQL Express数据库机器,使用微软免费的SQL Express创建。
在生产环境中,最佳实践是将数据库和Provisioning Server软件安装在单独的服务器上,以避免在负载平衡期间分布不佳。
数据库管理员可能更喜欢创建Provisioning Services数据库。在这种情况下,向MS SQL数据库管理员提供使用DbScript.exe实用程序创建的文件。此实用程序与Provisioning Services软件一起安装。
数据库大小
有关数据库大小的信息,请参见估计数据库的大小。
创建数据库时,数据库初始大小为20mb,增长大小为10mb。数据库日志初始大小为10mb,增长大小为10%。
所需的基本空间量为112 KB,不会改变。这包括以下内容:
- 数据库版本记录大约需要32 KB
- 农场记录大约需要8 KB
- 磁盘创建记录大约需要16kb
- 通知大约需要40 KB
- 服务器映射记录大约需要16 KB
根据对象的不同,所需的可变空间量如下:
- 访问和分组(每个)
- 对系统具有访问权限的用户组大约需要50 KB
- Site记录大约需要4 KB
- 一个Collection大约需要10 KB
- 农场视图(每个)
- 农场视图大约需要4 KB
- FarmView/Device关系大约需要5 KB
- 地盘视图(每个)
- 站点视图大约需要4 KB
- SiteView/Device关系大约需要5 KB
- 目标设备(每个)
- 目标设备大约需要2kb
- 设备引导大约需要10 KB
- 设备:磁盘关系大约需要35 KB
- 设备:打印机关系大约需要1 KB
- 设备特性大约需要1 KB
- 设备启动时的设备状态,大约需要1kb
- DeviceCustomProperty大约需要2 KB
- 磁盘(每个)
- 唯一磁盘大约需要1kb
- DiskVersion大约需要3kb
- 磁盘定位器大约需要10 KB
- DiskLocatorCustomProperty大约需要2 KB
- 配置服务器(每个)
- 一台服务器大约需要5 KB
- ServerIP大约需要2 KB
- 服务器启动大约需要1 KB时的服务器状态
- ServerCustomProperty大约需要2 KB
- 存储(每个)
- 存储大约需要8 KB
- 存储:服务器关系大约需要4 KB
- 磁盘更新(每个)
- VirtualHostingPool大约需要4kb
- UpdateTask大约需要10 KB
- DiskUpdateDevice大约需要2kb
- 每个DiskUpdateDevice:Disk关系大约需要35 KB
- 磁盘:UpdateTask关系大约需要1kb
以下变化导致尺寸要求增加:
- 每个处理的任务(例如:vDisk版本合并)大约需要2kb
- 如果启用审计,管理员在Console、MCLI或PowerShell界面中进行的每次更改大约需要1 KB
数据库镜像
为了使Provisioning Services支持MS SQL数据库镜像,数据库需要配置带见证的高安全模式(同步)。
如果打算使用数据库镜像特性,则需要在服务器上安装SQL本机客户机。如果不存在,则在安装SQL时提供安装SQL本机客户机x64或x86的选项。
有关如何配置和使用数据库镜像的信息,请参见数据库镜像。
数据库集群
要实现数据库集群,请遵循Microsoft的说明,然后运行Provisioning Services Configuration向导。不需要额外的步骤,因为向导将集群视为单个SQL Server。
配置身份验证
“Provisioning Services”使用Windows认证方式访问数据库。除了配置向导之外,不支持Microsoft SQL Server身份验证。
配置向导用户权限
运行配置向导的用户需要以下MS SQL权限:
- Dbcreator用于创建数据库
- 用于为流和SOAP服务创建SQL登录的安全管理员。
如果您在测试环境中使用MS SQL Express,您可以选择为运行配置向导的用户提供sysadmin特权(最高数据库特权级别)。
或者,如果数据库管理员提供了一个空数据库,则运行Configuration向导的用户必须是数据库的所有者,并且具有查看任意定义权限(创建空数据库时由数据库管理员设置)。
服务帐户权限
流和SOAP服务的用户上下文需要以下数据库权限:
- db_datareader
- db_datawriter
- 存储过程的执行权限
使用Configuration向导为Stream和SOAP服务用户帐户自动配置Datareader和datwriter数据库角色。如果用户具有安全管理权限,则配置向导将分配这些权限。此外,业务用户还必须具有以下系统权限:
- 作为服务运行
- 注册表读访问
- 访问程序文件\Citrix\Provisioning Services
- 读写访问任何虚拟磁盘位置
确定流和SOAP服务在以下哪个受支持的用户帐户下运行:
网络服务帐号
最小权限本地帐户,在网络上作为计算机域机器帐户进行身份验证
指定的用户帐号(使用Windows共享时需要),可以是工作组或域用户帐号
对KMS许可的Provisioning Services支持要求SOAP Server用户帐户是本地管理员组的成员。
由于身份验证在工作组环境中并不常见,因此必须在每个服务器上创建最小权限用户帐户,并且每个实例必须具有相同的凭据。
确定要在此场中使用的适当安全选项(每个场只能选择一个选项,您选择的选项会影响基于角色的管理):
- 使用活动目录组来保证安全性(默认);如果您在Windows上,请选择此选项域运行Active Directory。此选项允许您将Active Directory用于配置服务管理角色。注:不支持Windows 2000域。
- 使用Windows组来保证安全性。如果您在单个服务器上或在工作组中,请选择此选项。此选项使您能够将特定服务器上的本地用户/组用于Provisioning Services管理角色。
Console用户不直接访问数据库。
更多配置服务功能所需的最低权限包括:
- 发放服务XenDesktop安装向导、流式虚拟机安装向导和ImageUpdate服务
- vCenter、SCVMM和XenServer的最低权限
- 当前用户在现有XenDesktop控制器上的权限
- 配置为XenDesktop管理员并加入PVS Site Admin或更高级别组的Provisioning Services Console用户帐户
- Active Directory Create Accounts在控制台中创建帐户的权限。要使用现有帐户,Active Directory帐户必须存在于已知OU中以供选择
- 如果与XenDesktop一起使用Personal vDisks, SOAP Server用户帐户必须具有XenDesktop Full管理员权限。
- AD帐号同步:创建、重置、删除权限
- vDisk:执行卷维护任务的权限
Kerberos安全
默认情况下,配置服务控制台、成像向导、PowerShell管理单元和MCLI在与Active Directory环境中的配置服务SOAP服务通信时使用Kerberos身份验证。Kerberos体系结构的一部分是让服务向域控制器(Kerberos密钥分发中心)注册(创建服务主体名称SPN)。注册是必要的,因为它允许Active Directory识别Provisioning Services SOAP服务运行的帐户。如果不进行注册,Kerberos身份验证将失败,Provisioning Services将恢复使用NTLM身份验证。
Provisioning Services SOAP服务在每次服务启动时注册,并在服务停止时注销。但如果业务用户帐号没有权限,则注册失败。默认情况下,网络服务帐户和域管理员具有权限,而普通域用户帐户没有权限。
要解决此权限问题,请执行以下操作之一:
- 使用具有创建spn权限的其他帐户。
- 为服务帐户分配权限。| | | |—————- |————————| |帐户类型|许可计算机帐户|写入已验证的SPN | |用户帐户|写入公共信息|