Da Mitarbeiter weiterhin remote arbeiten, cloudbasierte virtuelle Desktops haben sich zu einer beliebten Plattform entwickelt, um die für produktives Arbeiten benötigten Daten und Anwendungen sicher bereitzustellen.
Infolgedessen sind virtuelle Desktops zu einer geschäftskritischen Komponente vieler IT-Umgebungen geworden. Ihre Ausfallsicherheit ist daher ein wichtiger Designaspekt, wenn der Dienst für den Zugriff auf Unternehmensanwendungen und Daten.
Unabhängig davon, ob Ihr Unternehmen gerade mit cloudbasierten virtuellen Desktops wie Azure Virtual Desktop (AVD) beginnt oder bereits seit einiger Zeit eine Desktop-as-a-Service-Lösung (DaaS) einsetzt, ist es ratsam, Ihre Sicherheitslage zu bewerten und gleichzeitig die Ausfallsicherheit durch Datensicherung und -wiederherstellung zu gewährleisten.
Hier sind konkrete Praktiken für alle Kernkomponenten eines cloudbasierten virtuellen Desktops in Microsoft Azure, die zur Gewährleistung der Datensicherheit beitragen:
Siehe auch: Führende Cloud-Unternehmen
1) Dienst für virtuelle Desktops
Wenn Sie Ihre virtuellen Desktops in der Cloud hosten, verwaltet der Cloudanbieter – in diesem Fall Microsoft – den Dienst. Es sind keine zusätzlichen Schritte erforderlich, damit dieser Dienst bei einem regionalen Azure-Ausfall weiterbetrieben werden kann.
Wenn in einer Region ein Ausfall auftritt, wechseln die Infrastrukturkomponenten des Dienstes automatisch zum sekundären Standort und funktionieren normal weiter. Der Zugriff auf dienstbezogene Metadaten bleibt möglich, und Benutzer können eine Verbindung zu verfügbaren Hosts herstellen. Endbenutzerverbindungen bleiben online, solange die Mandantenumgebung und die Hosts zugänglich bleiben.
2) Verzeichnis/Identität
Stellen Sie sicher, dass Sie bewährte Verfahren für Verzeichnisse und Identitäten anwenden. Die für die Identitätsverwaltung in Azure zuständigen Dienste – Azure AD, Active Directory oder Azure AD DS – sind kritische Komponenten einer AVD-Umgebung, da sie für die Authentifizierung der Benutzeranmeldungen bei domänengebundenen Sitzungs-Host-VMs zuständig sind.
Es wird empfohlen, das native Azure AD zu verwenden, da Microsoft dafür verantwortlich ist, diesen Dienst innerhalb der bereitgestellten SLA betriebsbereit zu halten. Wenn Sie Active Directory verwenden, erstellen Sie mehrere AD-Controller in mehreren Regionen und sichern Sie den Systemstatus von AD.
3) Desktop-Images
Bei der Bereitstellung neuer Kapazitäten für Sitzungs-Hosts sind Desktop-Images für diese Aufgabe von entscheidender Bedeutung. Sie werden verwendet, um neue Sitzungs-Host-VMs zu erstellen oder vorhandene mit Windows- oder Softwareupdates zu aktualisieren.
Als bewährtes Verfahren für Backup und Wiederherstellung sollten Sie Images mit ZRS (Zone Redundant Storage) speichern, das bei einem Ausfall einer Verfügbarkeitszone verfügbar bleibt. Außerdem empfiehlt sich die Azure Compute Gallery, um bei einem Ausfall einer einzelnen Region eine georedundante Replikation der Desktop-Images zu ermöglichen.
Siehe auch: Wie Datenbankvirtualisierung bei der Migration eines Data Warehouse in die Cloud hilft
4) Sitzungs-Host-VMs
Azure-VMs sind für die Bereitstellung der Desktops und Apps der Benutzer zuständig. Sie müssen verfügbar sein, damit Benutzer eine Verbindung herstellen können. In den meisten Szenarien mit gepoolten AVD-Bereitstellungen sind Sitzungs-Host-VMs Klone eines Desktop-Images und enthalten keine eindeutigen Benutzerdaten.
Sitzungs-Host-VMs, die in dem Rechenzentrum ausgeführt werden, in dem ein Ausfall auftritt, gehen offline. Es wird empfohlen, diese Host-VMs über mehrere Azure-Verfügbarkeitszonen und über zwei Azure-Regionen zu verteilen, um Unterbrechungen zu minimieren.
5) FSLogix-Profile
Wenn ein Benutzer eine Verbindung zu einem Desktop oder einer Remoteanwendung herstellen muss, stellen FSLogix-Profile die Windows-Profildaten des Benutzers bereit. Sie sind für die Unterstützung von Remote-Workflows unverzichtbar und sollten für eine optimale Ausfallsicherheit an mehreren Standorten repliziert und verfügbar sein.
Zum Schutz vor Ausfällen sollten Sie ZRS-Speicher mit Azure Files Premium verwenden. Auf diese Weise gespeicherte Dateien sind von einem Ausfall einer Verfügbarkeitszone nicht betroffen. Bei einem Ausfall einer Azure-Region benötigen Sie jedoch eine Replikation der Benutzerprofile.
Siehe auch: Führende Unternehmen der digitalen Transformation
Maßnahmen nach einem Azure-Ausfall
Sollte es zu einem Azure-Ausfall kommen, ist zunächst die Organisation der AVD-Bereitstellung durch Microsoft über Azure-Regionen und Verfügbarkeitszonen zu bewerten. Regionen sind eine Gruppe von Rechenzentren innerhalb eines definierten Gebiets, während Zonen eindeutige physische Standorte innerhalb einer Region sind. Eine Zone schützt Ihre Anwendungen und Daten vor Ausfällen von Rechenzentren. Wenn jedoch eine Zone ausfällt, muss Ihre ursprüngliche AVD-Architektur und -Planung unbedingt über integrierte Redundanz verfügen, um eine Wiederherstellung zu ermöglichen.
Falls im schlimmsten Fall eine gesamte Region ausfällt, besteht die beste Strategie für die Notfallwiederherstellung darin, AVD-Sitzungs-Hosts automatisch über zwei Azure-Regionen zu verteilen und FSLogix-Profildaten zu replizieren und so eine Active/Active-DR-Konfiguration zu schaffen. Wenn eine der Regionen nicht verfügbar ist, können VMs in der zweiten Region weiterhin Benutzer bedienen.
Datenprobleme ohne Ausfall
Die Beschädigung von Daten, Metadaten oder Ressourcen kann auch ohne einen zugrunde liegenden Ausfall eines Rechenzentrums oder einer Region auftreten. Im Rahmen der normalen Wartung einer AVD-Umgebung werden häufig Änderungen an Desktop-Images vorgenommen. Es ist wichtig, Backups von Desktop-Images zu erstellen, um sich schnell von einer Beschädigung erholen zu können. Die Versionierung von Images sowie die Verwendung der Azure Compute Gallery oder einer Image-Bibliothek helfen dabei, bei Bedarf das Backup der richtigen Version zu verwalten.
Sitzungs-Host-VMs können im normalen Betrieb nicht verfügbar oder beschädigt werden. Es wird empfohlen, eine Self-Healing-Automatisierung einzusetzen, die defekte Sitzungs-Hosts automatisch repariert, ohne dass ein Eingreifen von IT-Administratoren erforderlich ist. Auch Container mit Profilen können beschädigt werden. Abhängig von der gewählten FSLogix-Speichertechnologie konfigurieren Sie Azure Backup for Azure Files-Freigaben, Azure NetApp Files snapshots oder verwenden Sie eine beliebige Backup-Methode für Datei-Server-VMs (z. B. Volume Shadow Copies). Stellen Sie beschädigte Profilcontainer nach Bedarf wieder her.
Mehr Remote-Arbeit, mehr AVD
Glücklicherweise ist es nicht besonders schwierig, AVD zu einer sicheren und ausfallsicheren Computing-Umgebung für Ihre remote arbeitenden Mitarbeiter zu machen. Bewerten Sie zunächst äußerst sorgfältig Ihre Abdeckung durch Azure-Regionen und Verfügbarkeitszonen und setzen Sie die verfügbaren Tools für mehrere Regionen und Redundanz ein. Wenn Sie zweitens Active Directory verwenden, sollten Sie unbedingt über ein System für Backup und Wiederherstellung sowie über eine Replikation für FSLogix-Profile verfügen – all dies dient dazu, eine Sperrung des Zugriffs und den Stillstand von Workflows zu verhindern.
Denken Sie schließlich daran, die AVD-Sicherheit künftig zu einem festen Bestandteil Ihrer Sicherheitsplanung zu machen. Das wird sich in der Zufriedenheit der Mitarbeiter und im Umsatzwachstum auszahlen und Sie besser darauf vorbereiten, AVD künftig zu skalieren.
Siehe auch: Technologieprognosen für 2022: Cloud, Daten, Cybersicherheit, KI und mehr
Über den Autor:
Vadim Vladimirskiy ist CEO und Mitgründer von Nerdio.