参考架构：Citrix DaaS Standard for Azure

读者

本文档面向技术专业人员、IT 决策者、合作伙伴和系统集成商。本文档还允许管理员探索并采用 Citrix DaaS Standard for Azure，为其员工提供基于云的 Workspace。读者必须基本了解 Citrix 产品、Citrix Cloud 和 Microsoft® Azure 服务。

本文件的目标

本文档包含 Citrix DaaS Standard for Azure 的技术概述、架构概念和采用方法。此外，还包括具有概念体系结构的不同垂直行业的多个使用案例，以便读者了解并制定基于云的虚拟桌面解决方案。

Citrix DaaS Standard for Azure 简介

Citrix DaaS Standard for Azure 是一种基于云的虚拟应用程序和桌面解决方案。它使企业能够从任何位置通过网络向任何设备提供云托管的虚拟应用程序和桌面。操作系统在 Azure 公有云上的虚拟机中运行。Citrix 提供所有必要的基础架构 (IaaS) 支持。Citrix 托管 Azure 订阅由运行 Virtual Delivery Agent (VDA) 的 Citrix 拥有和管理。虚拟应用程序和桌面通过安全网络呈现给客户的终端设备，最终用户可以通过 Citrix Workspace 应用程序或 Web 浏览器访问它们。

Citrix DaaS Standard 架构分为多个部分。所有细分组合在一起，为组织创建完整的端到端基于云的虚拟桌面解决方案。

• 用户区段-本节介绍用于连接到资源的最终用户环境和端点设备。本节介绍端点设备和 Citrix Workspace 应用程序。

• 访问分段-本节介绍与用户分段中设备的外部连接。本节介绍 Citrix Gateway 服务和 Workspace 配置详细信息。

• 控制区段-本节介绍用于支持环境其余部分的组件，其中包括 Citrix Cloud 服务的站点设计、映像管理和 Citrix DaaS Standard 监视。

• 资源区段-此部分捕获有关 Citrix DaaS Standard 环境的用户个性化、应用程序和映像的信息。

• 平台分段-本节介绍用于置备目录的云平台。Citrix 托管 Azure 平台基于适用于 Citrix VDA 的 Microsoft® Azure 平台，该平台完全由 Citrix 管理。客户管理的 Azure 订阅用于根据需要提供对其他资源的混合连接。

• 运营部分-本部分包含客户管理的组件，例如 Windows Active Directory 服务、Azure Active Directory、文件服务器和 Windows 许可证服务器。可以在客户管理的 Azure 订阅或具有 Azure 与本地数据中心之间混合连接的客户数据中心配置文件服务器和许可证服务器。

分层图片提供了 Citrix DaaS Standard 服务的整体视图。以下各节将介绍 Citrix 托管 Azure 平台、混合连接、映像管理方法和多种部署方法的详细信息和内部体系结构。

Citrix DaaS Standard for Azure 和传统桌面解决方案

组织通常会根据其业务需求采用虚拟桌面解决方案。随着公司扩大其全球足迹和提高生产力，IT 往往面临着满足不断增长的需求和使用案例的挑战。各组织已开始采用基于传统桌面解决方案的数字化工作空间解决方案。虚拟桌面解决方案已经存在了很长时间，传统上是运行虚拟桌面的唯一方法。对于在单一地区或地理位置拥有大量员工的公司而言，这是具有成本效益的。

传统的虚拟桌面解决方案需要IT专业人员的大力支持。这包括定制台式机、通过最新更新保持效率、确保稳定的连接以及提供出色的用户体验。

在传统的虚拟桌面基础架构解决方案中，IT 管理员负责管理实施。组织通常需要在基础设施的资本支出方面进行大量投资。除此过程外，还必须为保护基础架构进行额外投资，例如，必须实施本地化威胁检测解决方案以避免任何数据泄露。

大多数云服务提供商都已观察到客户面临的这些挑战。为了克服这个问题，许多领先的供应商向市场推出了台式机即服务 (DaaS)。DaaS 解决方案使客户能够快速实现 VDI 的优势，从资本支出转换为运营支出模式，并减少所需的持续管理工作。作为桌面虚拟化领域的先驱之一，Citrix 推出了名为“Citrix DaaS Standard for Azure”的 DaaS 解决方案。

Citrix DaaS Standard 与 VDI 解决方案类似。它提供了相同的用户体验和灵活性，并提高了基础体系结构的可视性，并克服了初始部署时间和投资。Citrix DaaS Standard 与传统的桌面解决方案的不同之处在于，Citrix DaaS Standard 使用来自 Microsoft® Azure 云平台的基于云的后端，而不是将桌面托管在本地数据中心甚至需要全面基础架构管理的公共云位置，同时大大提高了在一个简单的交钥匙解决方案中简化设置和管理任务。

Citrix DaaS Standard 只需极少的投资即可启动，非常适合中小型企业。该组织无需投资 VDI 或虚拟化专家 - Citrix DaaS Standard 非常适合 IT 通才来处理。

下表将 Citrix DaaS Standard 解决方案与传统虚拟桌面解决方案进行了比较：

优势	Citrix DaaS Standard	传统虚拟桌面解决方案
简化的虚拟桌面实施	易于部署	适度的部署步骤
集中式台式机管理	完整的集中管理解决方案	需要管理多个基础架构孤岛
数据安全性	Citrix 维护关键后端，减少攻击面	持续实现最佳安全性的其他注意事项
问题解决和恢复	简化	适中，拥有坚固的 IT 资源
资本支出 ($)	不需要预付投资	适度至所需的大量投资
运支出（$）	最低部署成本	中等，适合小规模部署
地理覆盖范围（工作负载）	支持跨 Azure 区域的多个地理位置	绑定到数据中心位置
复杂性和风险	最小	温和
即用即付模式	高度适用	不适用
熟练资源需求	基本 IT 通才	经常需要熟练的专家

为什么组织采用 Citrix DaaS Standard for Azure 解决方案

许多组织都希望从这个数字 Workspace 时代中受益。他们的员工期望有一套不同的工作文化，这意味着可以随时随地通过任何设备访问他们的工作。同时，管理层希望控制 IT 开支。当公司正在寻找经济高效、简单的解决方案来安全地将应用和桌面交付给员工时，基于云的虚拟应用程序和桌面解决方案是更好的选择。

对于希望通过标准化虚拟桌面基础架构进行集中管理的客户而言，Citrix DaaS Standard 是一个可行的解决方案。在数字 Workspace 时代，Citrix 使组织能够交付基于云的应用程序和桌面。

上图显示了 Citrix DaaS Standard 的高级骨架视图。控制平面托管在 Citrix Cloud 中，所有资源都在由 Citrix 管理的 Microsoft® Azure 平台上进行配置。Citrix DaaS Standard 客户可以根据自己的要求选择工作负载区域（受 Citrix 支持）。

Citrix DaaS Standard 通过简化操作并向员工安全地交付 Windows 桌面和应用程序，为 IT 提供了许多优势：

• 在 Citrix 托管 Azure 平台上托管的 Azure 虚拟桌面 (AVD) 实例

• 卓越的用户体验，使用户能够与他们的工作文化进行协作

• 通过 Citrix Cloud 简化管理和监视

• 通过多因素身份验证实现安全的远程访问

• 在 Microsoft® Azure 平台（Citrix 托管）中运行的 Citrix Virtual Delivery Agent (VDA)。管理员可以从客户管理的 Azure 订阅中带来多个 Azure 服务，包括 ExpressRoute、VPN 服务、Azure 文件。

Citrix DaaS Standard for Azure 用例

Citrix DaaS标准能够管理不同垂直细分市场上不可预见它的基础架构业务转变。Citrix DaaS Standard 为企业提供了从复杂的 IT 基础架构实施和管理操作中解放出来。购买、支持、升级方面的复杂性，最重要的是安全性。

本节将讨论一些关于不同垂直行业的有用和建设性用例。

教育服务中的 Citrix DaaS Standard for Azure

今天，大多数大学正在改变他们的学习道路和技能发展活动。学生和讲师必须在校园里访问学习所需的软件和服务。此过程可能会影响或降低整体时间效率。在当前的 IT 基础架构下，许多教育服务机构都面临着满足需求的挑战。通常 IT 组织购买和构建一个在一年中大部分时间未使用的基础设施。

为了克服大学面临的所有挑战，Citrix 看到了通过在 Citrix DaaS Standard 服务上托管所有必要的软件和工具来提高学生工作效率和参与度的机会。学生可以随时随地通过任何设备访问他们必要的资源。

上图显示了 Citrix DaaS Standard 在大学中的概念用法。管理员必须为单个计算机类型创建目录。学生目录使用未加入域的目录。管理员必须在创建主映像期间安装所需的应用程序。对于讲师目录，可以使用单独的映像来配置作为加入域的桌面的 VDA。如果大学已经将 Azure AD 与 Office 365 结合使用，则无需使用 VNet 对等或客户管理的组件。

在这里，多个目录共享一个资源位置和虚拟网络。虚拟网络是加入域的目录的唯一每个连接，对于非加入域的目录，对于每个区域来说，虚拟网络是唯一的。

使用 Citrix DaaS Standard for Azure 的医疗保健解决方案

在医疗保健领域，现场专业人员迫切需要远程或从多台设备访问实时患者数据和应用程序。今天，许多医疗保健机构都面临监管负担和不断缩减的 IT 预算，这使得他们的双手与传统台式机技术相关。Citrix DaaS Standard 提供了一种直接的方法来提高技术影响力，而无需对公司的系统和流程进行重大翻新。

整体降低成本是最大的挑战。Citrix DaaS Standard 通常可以节省金钱和时间，并且不会产生与实施相关的成本。上图显示了医疗机构在多个资源位置使用 Citrix DaaS Standard，提供随处访问、集中管理和灵活工作是该解决方案的关键驱动因素。

在医疗机构中使用 Citrix DaaS Standard 的主要好处：

• 从任何地方访问文件和患者的数据

• 升级和管理 IT 基础设施不会产生任何成本

• 更轻松的数据备份和恢复

• 灵活且可预测的规模

• 安全性和合规性

• 专注于主要使命，为患者提供最佳护理

适用于物流行业的 Citrix DaaS Standard for Azure

物流公司员工在随时随地访问关键任务数据方面始终面临挑战。这些数据包括仓库的库存清单、跟踪订单、账单信息等。这种情况总是降低生产力。

通过在 Citrix DaaS Standard 中托管桌面和应用程序，客户可以专注于核心业务，而不必在采购和管理基础架构上浪费时间和金钱。

采用 Citrix DaaS Standard 的主要好处包括：

• 总拥有成本低

• 移动性

• 可扩展性

• 安全性

• 集中管理

兼并和收购

今天，将两家独立公司的资产合并为一家存在巨大的障碍。合并和收购发生在当今的商业世界，以增长和扩大商业市场。但是，合并 IT 基础设施时面临着真正的挑战。

为两个独立实体定位 IT 基础体系结构，需要未来的基础设施规划、利用和管理传统应用程序及其基础设施。

在组织具有多个林和多个交换服务器的情况下，合并会更加麻烦。

上图描述了合并或收购发生时本地存在的多个 Active Directory 林。当组织有多个林时，所有林都必须可通过单个 Azure AD Connect 同步服务器访问。不必将服务器加入域。在需要访问所有林的情况下，管理员可以将服务器置于外围网络（如 DMZ）中。此解决方案的目标是在 Azure AD 中只表示一次用户。

Citrix DaaS Standard 的优势在于，管理员可以使用单个 Azure AD 轻松整合两个林。台式机的新需求和要求可在 Citrix DaaS Standard 上轻松配置。该解决方案提高了用户的工作效率。

还有其他可用于 Azure AD 连接的拓扑，它们是：

• 多个林、单个同步服务器、用户仅在一个目录中表示

• 多个森林：全网格与可选的 GAL Sync

• 多重森林：帐户-资源森林

有关 Azure AD Connect 的不同拓扑结构的详细信息，请参阅以下链接。

面向 DevOps 和季节性工作人员的非域加入桌面

在 Citrix DaaS Standard 中，虚拟桌面可以是加入域或未加入域。当迫切需要让第三方开发人员参与项目时，很难提供具有可靠连接性的桌面。例如，与组织员工一样需要参与项目的季节性工人或承包商。除此任务外，管理员还必须确保他们正在安全地访问资源。

上图显示了为承包商和任何开发运营工作人员配置的未加入域的桌面。管理员为开发运营团队创建一个目录，并使用未加入公司域的必要应用程序置备桌面。管理员可以提供或使用 Azure 多因素身份验证来添加一层安全保护。

最终用户必须使用 Citrix 管理员提供的 URL 通过 Citrix Workspace 应用程序访问其桌面。

Citrix DaaS Standard for Azure 体系结构的技术概述

Citrix DaaS Standard 是交付在 Microsoft® Azure 中托管的 Windows 应用程序和桌面的最简单、最快的方法。Citrix DaaS Standard 解决方案通过 Citrix Cloud 进行管理。资源配 Provisioning、容量管理和 Workspace 配置都是通过 Citrix Cloud 基于 Web 的工具完成的。

上图描述了 Citrix DaaS Standard 的体系结构。在 Citrix DaaS Standard 解决方案中，Azure 订阅由 Citrix 管理。客户管理的 Azure 订阅和客户数据中心资源由客户拥有和管理。管理员有权从 Citrix Cloud 调配和监视 VDA。最终用户可以从任何地方、任何设备访问他们的桌面。上图分为四个部分：

Citrix Cloud：Citrix Cloud 托管了 Citrix DaaS Standard 的完整控制平面。交付控制器、数据库实例、监视工具和其他基础架构组件是 Citrix DaaS Standard 的一部分。除了 Citrix DaaS Standard 之外，其他服务，包括 Citrix Gateway 服务、Secure Private Access、SD-WAN Orchestrator、Content Collaboration 和其他服务都托管在 Citrix Cloud 上。

Citrix 管理的 Azure 平台：Citrix VDA 在此平台上配置。Windows 服务器和客户端操作系统托管在此平台上。该平台通过 Citrix Cloud Connector 与 Citrix Cloud 进行通信。在每个资源位置的虚拟网络中托管一对 Cloud Connector。最终客户无权访问 Citrix 托管的 Azure 订阅，包括 Cloud Connector。因此，Citrix 负责 Cloud Connector 的性能和管理。

如果客户希望与其 Azure 平台上的现有资源进行通信，则可以在两个虚拟网络之间使用 VNet 对等。 在 Citrix Cloud 中，客户可以通过提供现有 Azure 订阅凭据来配置与其客户管理的虚拟网络的 VNet 对等。

客户管理的 Azure 平台：此平台完全归客户所有。此 Azure 平台是客户提供的多个 Azure 服务的家。这些服务的应用方法是使用 VNet 对等连接到 Citrix 托管 Azure 平台提供高吞吐量连接。目前，VNet 对等作用域为单个区域。

客户数据中心：数据中心中的资源完全由客户管理。如果组织需要使用按照 Citrix DaaS Standard 运行的服务，则客户必须使用站点到站点 VPN 或 SD-WAN 网络服务在 Azure 平台（由客户拥有）和数据中心之间建立连接。

Citrix DaaS Standard for Azure 实例类型

Citrix DaaS Standard 使用 Azure 平台的通用计算能力来提供不同类型的目录。目录是一组相同的虚拟机。Citrix DaaS Standard 使用来自 Azure 的 D 系列虚拟机。D 系列虚拟机具有快速 CPU 和最佳 CPU 到内存配置，使其适合桌面工作负载。

管理员可以选择在目录创建期间选择计算机（CPU 和内存的组合）。可用的计算机类型如下：

多会话：包含多个用户同时访问的计算机。支持的主映像有 Windows 10 EVD（多会话）和 Windows 2016 服务器。

计算机类型	会话	虚拟 CPU	内存(GB)
轻型 (d2s v3)	16	2	8
中型 (D2s v3)	10	2	8
重型 (D2s v3)	4	2	8
自定义虚拟机	-	2, 4, 8	4, 8, 16, 32

静态（个人桌面）：此计算机是在登录时分配给用户的专用计算机。该桌面将仅由该特定用户使用。对桌面所做的任何更改都会在注销时保留。

随机（池桌面）：此计算机为非持久桌面。在桌面上所做的任何更改都将在注销后丢弃。任何经过身份验证的用户都可以访问此计算机。

计算机类型	虚拟 CPU	内存(GB)
B2s	2	4
D2s v3	2	8
D4s v3	4	16
D8s v3	8	32

Citrix DaaS Standard for Azure 网络连接

为了向用户提供最佳体验，Citrix DaaS Standard 支持使用网络服务的混合云或全包云策略。只有当客户在该工作负载区域中存在 Azure 订阅时，管理员才可以选择通过 VNet 对等连接其现有云和本地基础结构和服务。

要建立与企业数据中心或其他资源的连接，管理员必须使用 Azure VNet 对等互连功能。此过程需要 Microsoft® Azure 订阅所有者权限。

阿祖re 虚拟网络对等互连

虚拟网络 (VNet) 是 Azure 平台中专用网络的基本构造块。虚拟机可以安全地与彼此、Internet 和本地网络进行通信。Citrix 托管 Azure 平台完全由 Citrix 管理，包括创建 VNet、应用策略等。客户只能看到为其配置的计算机，这使得 Citrix DaaS Standard 成为纯粹的 DaaS 解决方案。

Citrix DaaS Standard 门户提供了一个选项，可通过在 Citrix 托管和客户托管的 Azure 虚拟网络之间配置 VNet 对等来连接客户现有 Azure 资源。VNet 对等作用域为单个区域。

Citrix DaaS Standard 中的 VDA 需要使用 VNet 对等互连才能联系本地域控制器、文件共享和其他资源。客户的 Azure 平台需要使用 ExpressRoute、IPsec 隧道、SD-WAN 和其他站点到站点 VPN 技术连接到他们的本地资源。

访问链接，了解有关 VNet 概念和 VNet 对等互连的更多信息。

与本地资源的混合连接

要使在 Citrix DaaS Standard 上运行的 VDA 能够与本地资源进行通信，客户必须在客户管理的 Azure 平台与其本地资源之间建立混合连接。Microsoft® Azure 为混合连接提供了多个选项。本节概述了将本地网络连接到 Azure 的可行解决方案。

VPN 连接

VPN 网关用于通过公共 Internet 在客户的 Azure 虚拟网络和本地位置之间发送加密流量。每个 VNet 只能有一个 VPN Gateway，但管理员可以创建到同一 VPN 网关的多个连接。在这种情况下，所有 VPN 隧道共享可用的网关带宽。

基于 VPN 的架构适用于混合应用程序，如果 Azure 云和本地之间的流量是轻量级的，并且客户愿意用延迟换取云的处理能力。

当客户使用本地 Active Directory 服务、从现有虚拟机访问工具和服务、连接分支机构等时，此服务更适用。

阿祖re 快速路线

本地网络到 Microsoft® Azure 云连接通过服务提供商使用 Azure ExpressRoute 提供的专用连接进行扩展。通过此连接，组织可以有效地利用 Citrix DaaS Standard 的本地资源。例如，可以存储其配置文件本地文件服务器、共享点或 Content Collaboration 服务的现有存储等。

部署 ExpressRoute 的主要好处是本地网络和 Azure 云之间的第 3 层连接、更高的可靠性、动态路由以及跨所有区域与 Microsoft® 服务的全球连接。

ExpressRoute 电路的带宽范围从 50 Mbps 到 10 Gbps 不等。客户需要向当地服务提供商查询。

适用于 Citrix DaaS Standard for Azure 的 Citrix SD-WAN

使用虚拟桌面的组织往往难以获得高质量的用户体验和始终在线的连接。如果虚拟桌面与基于云的 VOIP 或视频会议一起使用，则可靠、高性能的连接变得更加重要。Citrix DaaS Standard 解决方案为最终客户提供了各种混合连接选项，Citrix SD-WAN 为实现最佳用户体验和经济高效的连接提供了合理的选择。

Citrix SD-WAN 体系结构

让我们回顾一下 Citrix SD-WAN 体系结构，该架构可帮助组织从可靠的网络连接中受益。

上图表示了 Citrix SD-WAN 架构以及 Citrix DaaS Standard 解决方案。

Citrix SD-WAN 架构概述

Citrix SD-WAN 提供了灵活性，可以在多种部署模式下进行部署，并将物理和虚拟设备集成到客户的现有网络设计和云部署中。有关 SD-WAN 的概述，请参阅Citrix Tech Zone 链接。

该解决方案演示了 SD-WAN 非常适合客户的现有网络设计，以及它如何简化适用于 Citrix DaaS Standard 的 Azure 平台中的集成流程。管理员部署 Citrix SD-WAN VPX（虚拟设备），该虚拟设备利用互联网路径建立从 Azure 环境到数据中心和分支办公室网络的网络连接。

主控制节点 (MCN) 使用可用的 Internet 链接使用 Azure 环境 VPX 建立虚拟路径。这样就无需建立从客户托管位置到 Azure 订阅的直接连接。

Citrix 建议实施适用于 Citrix DaaS Standard 的 Citrix SD-WAN 解决方案，以提高交付 DaaS 产品和所有相关应用程序所需的网络连接和性能。此外，通过 Citrix SD-WAN 进行的虚拟桌面访问专门针对Citrix HDX 技术进行了优化，从而提供了最佳的用户体验。

Citrix SD-WAN 提供始终在线的体验，当特定路径出现故障时，可在 10 毫秒内更改网络路径，从而确保与 Citrix DaaS Standard 的高可用性连接。

上图描述了 Citrix SD-WAN 解决方案的部署架构，用于优化为 Citrix DaaS Standard 和应用程序提供卓越用户体验所需的每个连接。Zscaler 云安全平台（或其他 SWG）是一个可选组件。

Citrix SD-WAN 如何帮助建立与客户托管位置的连接

在 Azure for Citrix DaaS Standard 中的虚拟网络上托管的 Citrix SD-WAN 虚拟设备与办公地点的本地 SD-WAN 设备以及本地数据中心（如果适用）建立虚拟网络连接。连接始于廉价的互联网，客户可以使用自己选择的宽带、固定电话或 4G/LTE。在实现低延迟和 QoS 功能时，Citrix SD-WAN 解决方案比其他混合连接选项便宜得多。

与 Azure ExpressRoute 相比，Citrix SD-WAN 的部署速度更快、更便宜

• 从 Azure 到本地的廉价商业互联网连接（电缆、DSL、4G/LTE）

• 增强或消除现有昂贵的 MPLS 链路

• 消除与 MPLS 和 ExpressRoute 的部署相关的长时间

• Citrix SD-WAN VPX（包含在 Citrix DaaS Standard 中）无需许可费用

Citrix SD-WAN 功能可以帮助：

• 用户及其虚拟桌面和应用程序之间的 ICA 连接

• 从虚拟桌面和应用程序到网站、SaaS 应用程序和其他云资源的互联网访问

• 从 Citrix DaaS Standard 访问本地资源，例如 Windows Active Directory 服务和数据库服务器

• 从 Citrix Workspace 应用程序中的媒体引擎到云托管的统一通信服务（如 Microsoft® Teams）的实时传输协议

• 客户端从 YouTube 和 Vimeo 等网站获取视频，并使用 Secure Web Gateway 和第三方（Zscaler、Palo Alto、Symantec 或 Check Point）云安全解决方案过滤访问

上图描绘了 Citrix SD-WAN 与 Citrix DaaS Standard 集成的框架视图。Citrix SD-WAN 解决方案提供了交付 Citrix DaaS Standard 以及所有关联的 Windows、SaaS 和云应用程序的最简单、最佳的方法。它还可以实现最佳的虚拟化Microsoft ® Office 365 体验。

• 直接在用户设备上为 Microsoft® Teams 执行 HDX 实时媒体处理

• 来自 Citrix DaaS Standard 的本地突破音频视频流量通过 Azure SD-WAN VPX，然后转向最近的 Microsoft® Office 365 PoP

• 互联网的统一通信和视频突破

将 Citrix SD-WAN 与 Citrix DaaS Standard for Azure 集成的主要优势

与不同的混合连接解决方案相比，Citrix SD-WAN 解决方案与 Citrix DaaS Standard 配合使用时，可提供各种优势。下面介绍了其中一些。

Citrix SD-WAN 提供了最佳的最终用户体验

• 通过高级 SD-WAN 功能实现可靠和高性能的连接

• 跨所有连接（VDA 到 DC、用户到 VDA、VDA 到云、用户到云）的优势

• 与向数据中心回传流量相比，降低了延迟

• 链路绑定（更多带宽可提高性能）

• 阿祖re 上具有无缝链路故障切换和 SD-WAN 冗余的高可用性

• 优化的 VoIP 体验（数据包赛用于减少抖动和减少数据包丢失、QoS、本地突破以减少延迟）

• 流量管理：HDX 流量流的 QoS、用户之间的 HDX 公平共享以及 HDX 和其他流量之间的 QoS

参考：Citrix SD-WAN 与 Citrix DaaS Standard for Azure 集成

面向 Microsoft® Azure 的 Citrix SD-WAN

Citrix SD-WAN 和 Azure 云使组织能够重新设计其现有网络以优化云访问。Citrix SD-WAN 提供简化且经济高效的本地连接。

与 Azure ExpressRoute 相比，Citrix SD-W SD-WAN 的主要优势是安全性。许多组织更喜欢集成安全性、编排和策略的网络架构。Citrix SD-WAN 通过安全的连接覆盖了所有这些因素。

使用 Citrix DaaS Standard 交付的 Citrix SD-WAN 的好处。

• SD-WAN 提供经济、高度可靠的连接

• SD-WAN 支持直接访问从客户数据中心呈现的视频点播

• SDWAN 提供从 VDA 到其他本地属性的智能流量引导

• VoIP 和实时视频流量从企业数据中心导航

上图描述了使用客户 Azure 平台的 Citrix DaaS Standard 环境中 SD-WAN 的使用情况。Citrix SD-WAN 提供了两个安全连接选项：

• 基于标准的高速 IPsec

• 智能SD-WAN控制器

Citrix SD-WAN 可直接从 Azure 市场获得。客户可以携带自己的许可证，并将其与订阅或永久许可选项一起使用。

Citrix DaaS Standard for Azure 部署方案

Citrix DaaS Standard 支持多个部署框架以及用户身份验证。通过简化的方式，这些都是基于 Active Directory 服务或 Azure Active Directory 域服务使用情况。

未加入域的目录

所有未加入域的目录都包含未加入域的 VDA。此外，VDA 无法访问本地网络。

未加入域的共识的典型用途是DevOps,它为第三方用户提供代码开发和测试活动的访问权限。在普通工作组中，客户端计算机管理员无法控制管理用户、部署更新等。但是在 Citrix DaaS Standard for Azure 中，管理员可以控制经过身份验证的计算机和用户。对于用户身份验证，有三个选项：

1. 使用 Citrix 托管 Azure AD 的未加入域的目录

   Citrix 管理的 Azure AD 用于管理用户。在这里，客户不必从本地网络访问资源。此部署是为非加入域的 VDA 执行 POC 的最简单方法。有限的用户管理是通过 Citrix DaaS Standard 用户界面执行的。Citrix 托管 Azure AD 不提供 Azure AD 身份验证的所有选项，例如，MFA 不能与 Citrix 托管 Azure AD 配置。

2. 使用客户管理的 Azure AD 的未加入域的目录

   对于最终用户身份验证，可能会使用客户管理的 Azure AD。在这里，客户可以使用 Azure 多重身份验证 (MFA) 来帮助保护对数据和应用程序的访问。对于最终用户而言，此方法是最简单的，并且由管理员负责基于 MFA 的配置决策。

3. 带有客户本地 Active Directory 的非域加入目录

   最终用户身份验证使用客户的本地 Active Directory 服务。此处，管理员必须在客户本地网络中安装 Citrix Cloud Connector。此方法使 Citrix Workspace 能够访问本地Active Directory 并对用户进行身份验证。但是，VDA 将无法访问本地网络。

加入域的目录

加入域的目录包含加入域的 VDA，它们可以访问客户管理的 Active Directory。此 Active Directory 用于用户身份验证。

1. 使用 Azure Active Directory 域服务 (AADDS) 加入域的 VDA

   在这种类型的部署中，客户在其客户管理的 Azure 平台中设置 AADDS。他们可以在 Citrix 管理的 VNet 和客户管理的 VNet 之间建立 VNet 对等，以便 VDA 可以访问 AADDS。对于最终用户身份验证，客户可以使用 Azure 订阅中提供的 Azure Active Directory，也可以使用 AADDS 进行常规 Active Directory 身份验证。

   客户管理的 Azure 订阅资源（包括 AADDS）正在使用该区域或位置内的两个虚拟网络之间的 VNet 对等。Azure AD 域服务具有所有类型的域服务，包括域加入、组策略、LDAP、Kerberos/NTLM 身份验证与 Windows Server Active Directory 兼容。

2. 使用客户本地Active Directory 域服务加入域的 VDA

   在这种类型的部署中，所有 VDA 都加入了域。对于最终用户身份验证，客户可以使用在其本地环境中托管的 Windows Active Directory 域服务。在这里，Citrix DaaS Standard 在 Azure 区域的任何部分（在 Citrix DaaS Standard 范围内）运行。

如果客户使用 Azure Active Directory 身份验证，客户必须安装 Azure AD 连接。组织必须在其数据中心运行 Azure AD 连接，该数据中心将与 Azure AD 同步。Azure AD 由客户使用其 Azure 订阅托管在 Azure 上。Citrix DaaS Standard 环境将需要 VNet 对等。对于身份验证，此类部署使用在其数据中心内托管的客户 AD。

参考：部署方案

Profile Management

使用配置文件管理保留应用于用户虚拟桌面和应用程序的用户个人设置。Citrix Profile Management可确保个人设置、文档、快捷方式、模板、桌面壁纸、Cookie 和收藏夹始终跟随非持久桌面中的用户。

Active Directory 组策略对象允许管理员控制 Citrix 用户配置文件的行为。Profile Management 以简单可靠的方式优化了配置文件。在注销期间和临时阶段，配置文件中的注册表更改、文件和文件夹将保存到每个用户的用户存储中。

Citrix DaaS Standard 提供多个目录，包括受 Windows 10 EVD 和 Windows 2016 服务器支持的多会话、随机桌面。客户必须在 Azure 订阅中创建用户存储，并将配置文件提取并写入客户的文件共享。管理员必须确保 Citrix DaaS Standard（多会话和随机目录）与存储用户配置文件的文件服务器之间存在可靠的网络连接。

用户存储是用于存储 Citrix 用户配置文件的中央网络位置。文件服务器在客户的 Azure 订阅中创建，并设置了可用性。对于用户存储，可以使用的任何 SMB 或 CIFS 文件共享。确保用于 Citrix 用户配置文件的帐户可以访问共享路径。

配置文件将通过网络从该共享路径加载到任何非持久性桌面。VNet 对等互连使用 Azure 主干网，可提供低延迟和强大的网络。该区域内支持 VNet 对等，因此此选项的作用域为单个区域或位置。

参考：Profile Management

使用带 Azure 文件的 FSLogix 配置文件容器进行配置文件管理

大多数组织都集成了某种形式的档案管理解决方案。配置文件解决方案的结果是，由于配置文件管理无法处理大型文件和现代设置，最终用户有时会在通过网络访问其配置文件时面临挑战。

为了克服这些问题，Microsoft® 推出了适用于配置文件和 Office 365 的 FSLogix 容器解决方案。FSLogix 提供性能最佳的最终用户计算环境，降低管理成本，简化计算基础架构。

FSLogix 配置文件容器

在 Citrix DaaS Standard 中，多会话和随机桌面目录的用户配置文件在注销后不会保留。FSLogix 旨在在 Citrix DaaS Standard 环境中漫游配置文件。此解决方案是通过允许将完整的用户配置文件存储在单个容器中来实现的。

在登录期间，容器会动态连接到使用 VHD 或 VHDX Microsoft® 服务在 Citrix 托管 Azure 订阅上运行的计算机 (VDA)。这些配置文件可作为类似本机的用户配置文件提供给用户的系统。FSLogix 配置文件容器解决方案优雅地处理大文件，以帮助确保最佳用户体验。

Office 365 容器

用户需要使用 Microsoft® Office 的高效体验，包括快速发送电子邮件、快速搜索、快速访问 OneDrive 文件等。数据和搜索索引存储在容器中，而不是整个用户配置文件。

该解决方案易于集成到任何现有的配置文件管理解决方案之上。如果使用配置文件管理解决方案和 Office 容器，建议排除由 Office 365 容器管理的配置文件部分。

阿祖re 文件

如前所述，用户配置文件存储为容器，此容器在登录期间动态附加到 VDA。在 VHD 或 VHDX 的支持下，用户配置文件容器立即可用，并在用户登录后显示。存储在云中可通过 SMB 协议访问的容器或磁盘。Azure 文件提供对客户管理的 Azure 订阅中托管的文件共享的完整管理。

阿祖re 文件可通过 Azure 门户轻松管理，从而提供更高的恢复能力（LRS、ZRS）。在可扩展性方面，它可以通过多个分区增长到 100 TB。鉴于 Azure 文件提供 10,000 到 100,000 IOPS，性能因素也具有优势。

管理员必须创建用于在客户管理的 Azure 订阅中存储配置文件的 Azure 文件。上图显示了 Citrix 托管 VDA 正在通过网络从 Azure 文件中获取配置文件。客户必须在订阅之间设置 VNet 对等。

在准备主映像期间，必须在基础映像上安装 FSLogix 配置文件容器二进制文件。安装完所有工具和应用程序后，必须关闭虚拟机。当用户登录到非持久 VDA（新创建的）时，将在文件共享上创建配置文件。在该桌面中所做的任何更改都将存储在该特定容器上。

通过此链接了解有关 FSLogix 配置文件容器解决方案的更多信息。

参考：fsLogix

监视 Citrix DaaS Standard for Azure

Citrix DaaS Standard监视器仪表板提供部署中桌面使用情况、会话和计算机的详细信息。管理员还可以控制会话、电源管理计算机、运行应用程序的最终用户和最终用户正在运行的进程。

监视器提供：

• 来自后台运行的 Citrix DaaS Standard 服务的实时数据

• 存储在监视器数据库中以访问使用情况报告的历史数据

• 通过 Citrix 托管 Azure 订阅运行的计算机的可见性

• 控制在 VDA 上运行的应用程序的功能

• 还提供会话控制功能和电源管理选项

管理员选择“监控器”选项卡时，将显示“托管桌面使用情况”页面。在这里，它提供了有关所有目录的完整信息。它还提供了包含已打开电源的计算机数量的图形，并在所选时间段内在常规点处高峰并发会话。

控制用户的应用程序和会话

在监视器控制板中，管理员可以应用筛选器来注销或断开会话。通过搜索用户可以找到此选项。

功率控制计算机

通过应用筛选的搜索来显示单个会话或多会话计算机。通过单击门户上的电源控制操作，管理员可以选择重新启动、强制重启、关闭、强制关闭和启动在 Citrix DaaS Standard 环境中运行的计算机。

参考：监视器

用户访问和身份验证

Citrix Workspace 应用程序是访问在 Citrix DaaS Standard 平台上运行的桌面和应用程序的入口点。用户必须首先在登录 Citrix Workspace 时进行身份验证。Citrix DaaS Standard 支持以下用户身份验证方法：

• Citrix 托管 Azure 广告 (AAD)

• 客户选择的身份提供商

Citrix 托管 Azure AD：阿祖re Active Directory 服务由 Citrix 提供和管理。在这里，管理员不需要提供或拥有任何 Azure 基础结构。Citrix 简化了管理，管理员必须使用 Citrix DaaS Standard 用户界面将其用户添加到目录中。

客户选择的身份提供商：在此身份验证方法中，客户可以使用 Citrix Cloud 中任何可用的身份验证方法。包括客户管理的 Azure Active Directory、基于 Okta 和 SAML 2.0 的身份验证机制。

一种选择是在云目录和本地目录之间同步用户身份，以便 Citrix DaaS Standard 用户可以从 Citrix Cloud 访问其资源。使用一组凭据，用户可以通过 Citrix Workspace 应用程序访问其 Citrix DaaS Standard 资源。为此，客户必须在本地安装和配置 Azure AD 连接。

阿祖re AD Connect 同步负责与本地环境和 Azure AD 之间同步身份数据相关的所有操作。

另一种选择是将客户管理的 Azure AD与未加入域的目录结合使用。在这种情况下，客户管理的 Azure AD 将完全位于云中，没有本地连接或同步。此方法非常适合没有任何旧版 Active Directory 或本地基础结构的客户。

参考：用户身份验证

将 Citrix Cloud 连接到 Azure AD

要将现有 Azure Active Directory 与 Citrix Cloud 连接，管理员必须在 Azure AD 中拥有全局管理员权限。除了 Azure AD 中用户的基本配置文件外，Citrix Cloud 还需要访问用户配置文件的权限。管理员必须从 Citrix Cloud 中选择“身份和访问管理”。填写所有必需的详细信息并登录 Azure 帐户以进行连接。然后 Citrix Cloud 访问该帐户并获取连接所需的信息。

连接 Azure AD 用户帐户后，用户可以使用在初始连接期间配置的 URL 或选择“使用我的公司凭据登录”来登录 Citrix Cloud。

参考：AAD 到 Citrix Cloud

高级多因素身份验证由 Azure AD 提供。打开客户 Azure AD 上的可用功能，这使 Citrix Cloud 用户可以默认使用这些功能。

映像管理

映像管理是创建包含操作系统和所有必需应用程序的主映像或黄金映像的过程。通过映像置 Provisioning 机制将单个映像传递到多个目标虚拟机。Citrix DaaS Standard 解决方案使用 Citrix 经过验证的计算机创建服务 (MCS) 技术在 Citrix 托管 Azure 订阅上置备虚拟机。

Machine Creation Services 使用 Microsoft® Azure API 配置、启动、停止和删除虚拟机。MCS 是一种基于磁盘的 Provisioning 方法，可以很好地集成到 Microsoft® Azure 云平台中。Citrix DaaS Standard 提供了几个 Citrix 管理的主映像：

• Windows 10 Enterprise（单会话）

• Windows 10 EVD 和 Windows Server 2016（多会话）

Citrix DaaS Standard 同时支持服务器和桌面操作系统环境。Citrix 管理员可以使用 Citrix Machine Creation Services 创建三种类型的计算机目录。计算机类型有：

• 多会话——使用最新 VDA 的 Windows 10 EVD（多会话）或 Windows Server 2016

• 静态（个人桌面）-使用最新 VDA 的 Windows 10 Pro

• 随机（池化桌面）-带有最新 VDA 的 Windows 10 Pro

Citrix 为客户提供了使用现有主映像构建自己的映像的选项。管理员使用这些主映像创建虚拟机，以便为 Citrix DaaS Standard 构建其自定义映像。

从 Azure 导入主映像

如果客户的 Azure 订阅中提供了自定义映像，则映像将直接导入到 Citrix DaaS Standard 中。管理员必须为虚拟硬盘 (VHD) 输入阿祖re 生成的 URL。

Citrix 对导入的映像运行验证测试。管理员必须确保映像具备在 Citrix DaaS Standard 上运行的所有要求。要求是：

• 操作系统支持（Windows 10 企业版、Windows 10 企业版虚拟桌面预览版或 Windows Server 2016）

• 未配置传递控制器

• 已安装的有效 Citrix VDA 新于 7.11 且与操作系统匹配（例如服务器操作系统上的服务器 VDA）

• 个性化 .ini 文件必须存在于系统驱动器上（VDA 设置为 MCS Provisioning）

注意：从 Azure 导入主映像之前，管理员确保该映像上安装了 Azure 虚拟机代理。

通过此链接，详细了解如何从 Azure 导入主映像以及在主映像上安装 VDA。

要创建和管理主映像，请参阅产品文档。

图像的优化

该映像可能包含多个未使用的服务，这些服务用于在 Citrix DaaS Standard 上创建计算机目录。操作系统优化有助于删除或禁用在映像上运行的不需要的服务。Citrix 开发了一种名为“Citrix 优化器”的优化工具。此工具可帮助 Citrix 管理员优化环境中的各种组件。该工具基于 PowerShell，还包括图形用户界面。

Citrix Optimizer 在三种不同的模式下运行：

• 分析-根据指定的模板分析当前系统并显示任何差异

• 执行-应用模板中的优化

• 回滚-还原之前应用的优化更改

管理员必须从选择的模板中选择相应的模板以进行操作系统优化。此外，管理员还可以选择从映像中选择和禁用不需要的服务。通过禁用此类服务，主映像可以更轻松地在 Azure 云平台上使用。此工具有助于优化资源消耗和整体性能。

了解有关 Citrix OptimizerCTX224676安装和更新的更多信息。

许可和 Azure 订阅

Citrix DaaS Standard 的许可由 Citrix 处理。管理员有权为 Windows Server 工作负载设置 Microsoft® RDS 许可证服务器。

多会话目录需要远程桌面服务客户端访问许可证 (RDS CAL)。远程桌面服务许可证服务器向设备和用户颁发客户端访问许可证。管理员可以使用远程桌面授权管理器激活许可证服务器。

通过远程桌面授权管理器在任何一台可用计算机上激活许可证服务器。虚拟机必须始终可用，并且 Citrix VDA 必须能够访问此许可证服务器。使用 Microsoft® 组策略指定许可证服务器地址和每用户许可证模式。在远程桌面服务器上配置的远程桌面许可模式必须与许可证服务器上可用的 RDS CAL 类型相匹配。

阿祖re 订阅

Citrix 托管 Azure 订阅：此订阅完全由 Citrix 拥有，最终用户的桌面在此平台上运行。

客户托管 Azure 订阅：此订阅由在 Microsoft® Azure 平台上运行自己的许可工作负载的客户所拥有，必须通过 Azure 混合权益。

自带 Azure 订阅

Citrix DaaS Standard 解决方案允许客户使用 Citrix 的 Azure 订阅或客户的 Azure 订阅。客户可以自带 Azure 订阅，这反过来又允许任何现有的 Microsoft® Azure 客户轻松采用 Citrix DaaS Standard 作为其整体 Azure 云战略的一部分。

要启用 BYO Azure 灵活性，客户必须向 Citrix DaaS Standard 添加一个或多个现有 Azure 订阅。 此操作授权 Citrix DaaS Standard 访问客户订阅。

BYO Azure 订阅模式存在一些限制，如下所述：

• 仅支持加入域的目录

• 客户只能获得“自定义创建”目录选项

• 客户必须创建一个新的虚拟网络或者可以选择现有的虚拟网络

使用 BYO Azure 订阅模式，客户可以完全控制在其订阅上运行的 VDA。此外，在导入映像和管理现有映像方面，映像管理变得更加容易。

参考：自带 Azure 订阅

Windows 10 EVD 许可

阿祖re 虚拟桌面 (AVD) 也称为 Windows 10 企业虚拟桌面服务和功能，由 Citrix DaaS Standard 通过 Citrix Cloud 扩展和丰富。这种远程桌面服务的进展仅在 Microsoft® Azure 平台上可用。

要使用 Azure 虚拟桌面部署和管理多会话目录，客户将获得 Windows 10 企业版 E3 授权。作为 Azure 中 Azure 虚拟桌面的一部分获得许可的新 Windows 10 EVD 操作系统。

阿祖re 虚拟桌面的额外好处是客户可以获得带有免费扩展安全更新的Windows 7虚拟桌面。AVD 提供灵活的服务，允许管理员虚拟化桌面和应用程序。

Citrix DaaS Standard for Azure 的最佳实践和设计注意事项

在为组织采用 Citrix DaaS Standard 服务时，解决方案架构师和管理员必须考虑最佳实践和设计注意事项。重要的是要使这些工作符合业务需求。

Citrix DaaS Standard 服务组件计算、存储和网络（在 Citrix 托管的 Azure 订阅中）均由 Citrix 管理。除非需要本地连接，否则体系结构师不需要担心基础设施方面的问题。但有几个重要的要点需要考虑：

• 在迁移到 Citrix DaaS Standard 之前进行预评估

• 部署注意事项和映像优化

• 电源管理

• 安全性

• 应用补丁和防病毒软件

• 多因素身份验证

• Profile Management

在迁移到 Citrix DaaS Standard for Azure 之前进行预评估

要了解工作负载，解决方案架构师必须对在 Citrix DaaS Standard 环境中运行的桌面和应用程序进行预评估。设计和收集 Citrix DaaS Standard 的资源需求数据至关重要。

预评估对于确定用户所需的特定应用程序、许可要求以及计算与部署相关的成本非常有用。Citrix 提供了 Citrix DaaS Standard 成本计算器来了解部署的成本估算。实际价格可能会有所不同，具体取决于其他因素，包括购买日期、与 Citrix 的协议类型等。

使用Citrix DaaS Standard for Azure 成本计算器计算您的 DaaS 总成本。

部署注意事项和映像优化

许多组织都面临着有效扩展资源以满足需求的挑战。如果发生了合并和收购，则组织在数据中心资源不足时面临挑战。Citrix DaaS Standard 可以缓解可扩展性限制。客户可以在距离其数据中心最近且具有可靠连接性的可用区域内配置计算。

所有最终用户都使用 Citrix Workspace 应用来访问其资源，这是唯一的单一入口点。如果客户使用的是文件服务器或其 Azure 订阅上运行的任何其他服务，则客户有责任在订阅之间实施 VNet 对等。在后端，带宽为 25 Gbps 的 Azure 骨干网络用于在订阅之间进行链接。

CPU、内存和带宽消耗会产生一定的成本，因此客户必须根据需要规划部署。

映像优化是管理员必须对主映像执行的一项重要任务。禁用所有不需要的服务，并删除用户未使用的应用程序。这种优化减少了 CPU 周期和内存消耗。

电源管理

电源管理选项可用于包含多会话和单会话计算机的目录。此任务有助于最大限度地减少与 Citrix 托管 Azure 平台上的资源消耗相关的成本。

管理员可以选择根据时区设置工作时间。在某些用例中，计算机不需要在工作时间之后开机。在这种情况下，电源管理是管理员关闭这些计算机电源的可行选择。管理员可以在此处设置开始和停止时间。也许还有其他选项可供管理员调整，以获得最佳的价格平衡响应：

• 断开空闲会话的连接：空闲桌面已断开连接，用户必须登录 Workspace 才能启动计算机

• 注销断开连接的会话：管理员可以设置注销断开连接的会话的时间。用户会经历更长的登录时间并丢失任何未保存的工作，但如果没有登录会话，计算机可能会关闭电源

• 关机延迟：设置计算机在符合关机条件之前的开机时间

• 容量缓冲选项：提供通过保持计算机缓冲区打开电源来满足需求突然激增的选项。此步骤必须以百分比形式输入，较低的值可降低成本，而较高的值可确保最佳的用户体验（无需等待时间）

要创建电源管理计划，请参阅参考部分。

参考：电源管理。

安全性

安全的虚拟桌面通过位于受保护的网络中，显著降低了公司面临的风险。网络级隔离可保护 Citrix DaaS Standard 免受外部威胁的侵害。默认情况下，虚拟机中仅启用与 Internet 的出站连接。要访问这些计算机，Citrix Workspace 应用程序是最终用户的单一入口点。对于已加入域的计算机，管理员可以使用支持和疑难解答选项。Citrix 准备了默认启用 Windows Defender 防病毒的映像。在准备主映像期间，客户可以选择通过安装不同的防病毒软件来提高映像的安全性。管理员在考虑安全性时还需要考虑其他考虑因素：

• 应用修补程序和防病毒软件：在创建主映像期间，最佳做法是应用相关的修补程序。此过程使环境保护安全，防止恶意用户利用操作系统未保持最新状态时处于打开状态的漏洞

• 多重身份验证：这种以多因素身份验证形式提供的安全层可保护通过 Citrix DaaS Standard 解决方案访问的关键企业资源。大多数数据泄露由于启用 MFA 而受到损害，从而降低了风险

阿祖re 多重身份验证有助于保护对 Citrix DaaS Standard 的访问。借助条件访问，管理员可以实施自动访问控制，以便根据条件访问 Citrix DaaS Standard。若要了解有关 Azure MFA 的更多信息，请遵循 Microsoft® 文档。

有关安全性的更多信息，请参阅技术安全概述文档。

参考：技术安全概述

Profile Management

配置文件管理可确保为非持久桌面保留用户的个人设置。配置文件管理为用户提供可靠的漫游体验。最终用户的个人设置、文档、快捷方式、模板、桌面壁纸、Cookie 和收藏夹始终跟随用户在任何设备上的不同 Windows 计算机之间。在环境上实施配置文件管理之前，需要考虑的因素很少。这包括目录类型、了解应用程序行为、对少数用户进行试点测试，然后针对所有用户，以及用于存储所有配置文件的网络共享。

有关决定因素的详细说明，请参阅 Citrix 提供的Profile Management文档。

对于用户共享来存储配置文件，建议在客户 Azure 订阅上创建 Windows 文件共享，并且所有用户配置文件都存储在该特定共享中。在登录期间，使用 Azure 骨干网络通过网络获取配置文件。这样可以减少计算机的延迟和更快的登录时间。

来源

此参考体系结构的目标是帮助您规划自己的实施。为了简化这项工作，我们想为您提供源图，您可以在自己的详细设计和实施指南中进行调整：源图。

引用

为了更好地了解 Citrix DaaS Standard for Azure，引用了以下资源：

Citrix DaaS Standard for Azure

Citrix DaaS Standard 架构