Virtual Server 2005 - Bereitstellungshandbuch
Einrichten von Virtual Server
Auf dieser SeiteEinrichten des physikalischen ComputersDer physikalische Computer muss bestimmte Software- und Hardwarevoraussetzungen erfüllen, damit Virtual Server 2005 unterstützt wird. Bei der Planung der Bereitstellung müssen Sie die Betriebssysteme und Anwendungen bedenken, die mit Virtual Server ausgeführt werden sollen. Dies erleichtert Entscheidungen über Konfigurationsaspekte wie Speicherplatz und Arbeitsspeicher. Informationen zu speziellen Hardware- und Softwareanforderungen finden Sie unter Systemanforderungen. Sie müssen weiterhin Folgendes betrachten:
Bestimmte Features von Virtual Server können unabhängig von der im physikalischen Computer vorhandenen Hardware für alle virtuellen Computer spezielle Hardware emulieren. Weitere Informationen finden Sie unter Emulierte Hardware. Installieren von Virtual ServerSie können Virtual Server 2005 auf jedem Computer installieren, der die minimalen Systemanforderungen erfüllt. Informationen darüber, ob die Hardware und Software des Computers die Systemanforderrungen erfüllt, finden Sie unter Systemanforderungen. Einrichten von Virtual ServerDas Einrichten von Virtual Server umfasst die folgenden Schritte:
Installieren von Virtual Server von der BefehlszeileAnleitungen zum Installieren von Virtual Server 2005 finden Sie unter Einrichten von Virtual Server. Sie können Virtual Server auch mithilfe von Msiexec.exe von der Befehlszeile installieren. Weitere Informationen zu Msiexec.exe finden Sie unter "Command Line Options" (englischsprachig) auf der Microsoft-Website. Syntaxmsiexec.exe {/i|/a} "MSI-Datei" [ALLUSERS=Wert] [PIDKEY=Wert] [SERVICESSTARTUPMANUAL=Wert] [WEBSITEDEFAULTPORT=Wert] [{INSTALLDIR=Wert|TARGETDIR=Wert}] [ALLUSERS=Wert] [NOSUMMARY=Wert] [/qb | /qn | /qr | /qf] [/lProtokolldatei] Parameter/i /a /q
Weitere Informationen zu den Stufen für die Benutzeroberfläche finden Sie unter "Command Line Options" (englischsprachig) auf der Microsoft-Website. /l Protokolldatei Gibt den Pfad zur Protokolldatei an. PIDKEY=Wert Gibt den für die Installation erforderlichen eindeutigen Produktschlüssel an. Die Nummer muss ohne Bindestriche eingegeben werden. SERVICESSTARTUPMANUAL=Wert Geben Sie für diesen Parameter den Wert 1 an, wenn die Virtual Server-Dienste manuell gestartet werden sollen. Der Standardwert ist 0. WEBSITEDEFAULTPORT=Wert Gibt den Port für die Verwaltungswebsite an. INSTALLDIR=Wert Gibt einen benutzerdefinierten Ordner an, in dem das Programm installiert wird. Wird dieser Parameter nicht angegeben, wird das Programm in \Programme installiert. TARGETDIR=Wert Gibt ein Verzeichnis an, in dem das Virtual Server-Installationspaket bei Verwendung der administrativen Installationsoption (/a) installiert wird. Die Datendateien des Pakets werden in dieses Verzeichnis dekomprimiert. ALLUSERS=Wert Legt die Einträge im Startmenü und in Software fest. Wenn ALLUSERS nicht eingestellt ist, wird eine Pro-Computer-Installation durchgeführt. Wenn ALLUSERS auf eine leere Zeichenfolge eingestellt ist (ALLUSERS=""), wird eine Pro-Benutzer-Installation durchgeführt. In allen Fällen werden Ordner im Profil All Users verwendet. NOSUMMARY=Wert Wenn dieser Wert auf 1 eingestellt ist, wird keine Zusammenfassungsseite angezeigt. Bei der Option /qn wird die Zusammenfassungsseite ebenfalls unterdrückt. BeispielDas folgende Beispiel zeigt, wie eine unbeaufsichtigte Installation durchgeführt und das Programm für alle Benutzer des Computers zugänglich gemacht wird. Bei einer unbeaufsichtigten Installation wird das Setupprogramm ohne Eingabeaufforderungen ausgeführt. Msiexec.exe /i "Virtual Server 2005 Install.msi" PIDKEY=PID-Schlüsselnummer/qn Soll Virtual Server über Gruppenrichtlinien bereitgestellt werden, muss die administrative Installationsoption (/a) zusammen mit der Option TARGETDIR verwendet werden. Beispiel: Msiexec.exe /a "Virtual Server 2005 Install.msi" PIDKEY=PID-SchlüsselnummerTARGETDIR=Netzwerkpfad zum Installationsordner/qn Die folgende Tabelle enthält eine Beschreibung der Formatierung für Befehlszeileninformationen.
Sichern von Virtual ServerDie Sicherheit von Virtual Server 2005 muss in mehreren Bereichen konfiguriert werden:
Darüber hinaus müssen bestimmte Schritte (weiter unten in diesem Thema beschrieben) durchgeführt werden, wenn der Virtual Machine Remote Control (VMRC)-Client hinter einer Firewall verwendet wird.
Sichern der Konfigurationsdatei von Virtual ServerVirtual Server ist standardmäßig sicher konfiguriert. So können beispielsweise nur Mitglieder der lokalen Gruppe Administratoren Virtual Server konfigurieren sowie Ressourcen (virtuelle Computer, virtuelle Netzwerke und virtuelle Datenträger) erstellen und verwalten. Die Sicherheit für die Virtual Server-Konfigurationsoptionen kann auf der Seite Virtual Server Security Properties verwaltet werden. Auf dieser Seite können Sie die Berechtigungen für die Verwaltung von Virtual Server konfigurieren. Die auf dieser Seite festgelegten Berechtigungen gelten für den übergeordneten Ordner der Virtual Server-Konfigurationsdatei (Options.xml). Die Dateien im Ordner übernehmen standardmäßig die Berechtigungen des Ordners. Auf der Seite Virtual Server Security Properties können Sie den Besitzer des Ordners ändern, einen Berechtigungseintrag für ein Benutzerkonto oder eine Gruppe hinzufügen und die Berechtigungen dafür konfigurieren bzw. einen Berechtigungseintrag entfernen. Weitere Informationen finden Sie unter Konfigurieren der Sicherheitseinstellungen für Virtual Server.
Sichern anderer Konfigurations- und RessourcendateienDie Konfigurationsinformationen für virtuelle Computer und die zugehörigen Komponenten werden in einer Vielzahl getrennter Datendateien gespeichert (siehe folgende Tabelle).
Um einen virtuellen Computer einzuschalten, benötigt ein Benutzer die Berechtigungen Lesen und Ausführen sowie Schreiben für alle diese Dateien. Der lokalen Gruppe Administratoren und dem Ersteller des virtuellen Computers wird standardmäßig Vollzugriff für die einzelnen Dateien gewährt. Diese Dateien können nicht direkt in Virtual Server gesichert werden, sondern müssen durch Konfigurieren der entsprechenden Berechtigungen für die Dateien bzw. der übergeordneten Verzeichnisse gesichert werden. Die Art der Sicherung dieser Dateien hängt von den Anforderungen der jeweiligen Organisation ab. Die VMC-Datei (Virtual Machine Configuration, virtuelle Computerkonfiguration) und die VHD-Datei (Virtual Hard Disk, virtuelle Festplatte) sollten sich normalerweise im gleichen Ordner befinden. Der Ordner sollte den gleichen Namen aufweisen wie der virtuelle Computer und sollte mit den entsprechenden Berechtigungen konfiguriert sein. Das Konto, unter dem ein virtueller Computer ausgeführt wird (das Konto des Benutzers, von dem der virtuelle Computer gestartet wurde, oder das Konto Virtual Machine Helper) muss für die VNC-Datei (Virtual Network Configuration, virtuelle Netzwerkkonfiguration) über die Berechtigung Lesen und Ausführen verfügen. Beispiele für die Sicherheitskonfiguration für DatendateienDie Sicherheitskonfigurationsoptionen von Virtual Server sind flexibel und für eine Vielzahl von Szenarios ausgelegt. Die Sicherheit ist standardmäßig optimal für eine Umgebung mit einer Gruppe vertrauter Administratoren konfiguriert. Sie können diese Konfiguration jedoch an Umgebungen mit mehreren Verwaltungsebenen anpassen. Die folgenden Abbildungen veranschaulichen, wie die Sicherheit der Virtual Server-Dateien standardmäßig konfiguriert ist. Anschließend folgen zwei Beispiele für die Sicherheitskonfiguration dieser Dateien in zwei verschiedenen Szenarios mit mehreren Verwaltungsebenen. Dabei handelt es sich lediglich um Beispiele. Die Dateien müssen der jeweiligen Umgebung entsprechend gesichert werden.
Es wurden drei virtuelle Computer mit jeweils einem eigenen Ordner erstellt. Die Abbildung verdeutlicht die Standardsicherheitskonfiguration. Die entsprechende VMC-Datei und die zugehörigen VHD-Dateien befinden sich im Ordner der einzelnen virtuellen Computer (Windows 2000 Server, Windows NT Server 4.0 und Windows 2000 Advanced Server). Diese Dateien übernehmen die Berechtigungen der betreffenden Ordner. Administratoren verfügen über Vollzugriff für alle Ordner und die in diesen Ordnern enthaltenen Dateien. Dieses Szenario, in denen alle Administratoren vertrauenswürdig sind, ist normalerweise die einzige Situation, in dem der Ordner für freigegebene virtuelle Computer verwendet wird. Wie in den letzten beiden Abbildungen dieses Themas gezeigt, wird in den anderen Szenarios kein Ordner für freigegebene virtuelle Computer verwendet. Die Sicherheit orientiert sich enger an der Abteilungsorganisation.
Diese Abbildung verdeutlicht die Standardsicherheitskonfiguration für die VNC-Dateien. Diese Standardkonfiguration muss u. U. geändert werden. Das Konto, unter dem ein virtueller Computer ausgeführt wird (das Konto des Benutzers, von dem der virtuelle Computer gestartet wurde, oder das Konto Virtual Machine Helper) muss für die VNC-Datei über die Berechtigung Lesen und Ausführen verfügen.
Diese Abbildung veranschaulicht die Sicherheitskonfiguration, die in einer Umgebung verwendet werden kann, in der jede Abteilung über einen eigenen virtuellen Computer verfügt. Die Ordner für die virtuellen Computer (mit den VMC- und VHD-Dateien) befinden sich im Ordner für die jeweilige Abteilung. Die Sicherheit für diese Ordner und Dateien ist so konfiguriert, dass der Zugriff auf die entsprechenden Personen in den einzelnen Abteilungen beschränkt ist. Die Ordner sind so konfiguriert, dass die Berechtigungen der übergeordneten Ordner nicht übernommen werden und auch der Ordner für freigegebene virtuelle Computer nicht verwendet wird.
Diese Abbildung veranschaulicht die Sicherheitskonfiguration, die in einer Umgebung verwendet werden kann, in der jeder Tester und jeder Entwickler über eigene virtuelle Computer verfügt. Die Ordner sind zunächst nach Abteilung und dann nach Personen organisiert. Die Ordner für die virtuellen Computer (mit den VMC- und VHD-Dateien) befinden sich im Ordner der einzelnen Abteilungen. Die Sicherheit für diese Ordner und Dateien ist so konfiguriert, dass der Zugriff auf die entsprechende Person oder Abteilungen beschränkt ist. Die Ordner sind so konfiguriert, dass die Berechtigungen der übergeordneten Ordner nicht übernommen werden und auch der Ordner für freigegebene virtuelle Computer nicht verwendet wird. Zusätzlich zum Sichern dieser Ordner kann auch die Sicherheit der einzelnen Dateien konfiguriert werden. Die Sicherung der einzelnen Dateien ist nur dann erforderlich, wenn die Zugriffsberechtigungen präziser definiert werden sollen als auf der Ordnerebene. Weitere Informationen finden Sie unter Konfigurieren der Sicherheit von virtuellen Computern und Konfigurieren der Sicherheit von virtuellen Datenträgern. Sichern von IIS und der VerwaltungswebsiteVirtual Server erfordert keine IIS-Sicherheitskonfiguration, die über das für die Umgebung geeignete Sicherheitsmodell hinausgeht. Sie sollten IIS so konfigurieren, dass der Zugriff auf die Verwaltungswebsite Ihre Anforderungen erfüllt. Virtual Server verwendet standardmäßig die integrierte Windows-Authentifizierung mit deaktiviertem anonymen Zugriff. Hierbei handelt es sich um die bevorzugte Authentifizierungsmethode. Diese Einstellung sollte normalerweise nicht geändert werden. Wenn sich ein Computer mit Virtual Server jedoch in einer nicht vertrauenswürdigen Domäne befindet, können Sie mit der integrierten Windows-Authentifizierung nicht auf die Verwaltungswebsite zugreifen. Sie müssen stattdessen die Standardauthentifizierung verwenden. Die Standardauthentifizierung birgt gewisse Risiken. Weitere Informationen diesen Authentifizierungsmethoden finden Sie in der IIS-Dokumentation.
Verwenden von VMRC hinter einer FirewallWenn Sie den VMRC-Client hinter einer Firewall verwenden, müssen Sie mehrere Ports öffnen:
Weitere Informationen finden Sie unter Verwenden des VRMC-Clients für den Zugriff auf virtuelle Computer.
Installieren der VerwaltungswebsiteBei der Verwaltungswebsite handelt es sich um ein browserbasiertes Tool zum Konfigurieren und Verwalten von Virtual Server 2005 sowie den zugehörigen virtuellen Computern und virtuellen Netzwerken. Virtual Server bietet zwei grundlegende Installationsoptionen:
Sie sollten die zweite Option, Installieren der Verwaltungswebsite auf einem anderen physikalischen Computer, erwägen, wenn eine der beiden folgenden Bedingungen gilt:
Auswählen einer Kontokonfiguration für die VerwaltungswebsiteWährend der Installation von Virtual Server müssen Sie ein Konto auswählen, unter dem die Verwaltungswebsite ausgeführt wird. Wählen Sie eine der folgenden Konfigurationsbeschreibungen aus, damit Sie wissen, welche Konfigurationsoption für die Verwaltungswebsite ausgewählt werden muss: Virtual Server wird nur auf einem einzigen Computer installiert.
Virtual Server wird auf mehreren Computern installiert.
Weitere Informationen zum Installieren von Virtual Server und der Verwaltungswebsite mit einer der beiden Konfigurationsoptionen finden Sie unter Installieren von Virtual Server. Konfigurieren der eingeschränkten DelegierungWenn Sie beabsichtigen, alle Ressourcendateien wie VHD-Dateien (virtuelle Festplatten) und ISO-Dateien (ISO-Abbilder) auf dem Computer zu speichern, auf dem der Virtual Server-Dienst (Vssrvc.exe) ausgeführt wird, sind keine weiteren Konfigurationsschritte erforderlich, um Virtual Server zu verwenden. Wenn Sie die Ressourcendateien jedoch auf einem anderen Computer speichern, müssen Sie die folgenden zusätzlichen Schritte ausführen, damit die Benutzer auf die Ressourcendateien zugreifen können:
Um Virtual Server Manager-Suchpfade verwenden zu können, müssen Sie darüber hinaus auch die eingeschränkte Delegierung konfigurieren oder die Standardauthentifizierung aktivieren. Weitere Informationen zu Virtual Server Manager-Suchpfaden finden Sie unter Konfigurieren von Virtual Server Manager-Suchpfaden. Wichtig
Die folgende Abbildung veranschaulicht die Funktionsweise der eingeschränkten Delegierung, wenn sich der Virtual Server-Dienst, die Verwaltungswebsite und die Ressourcendateien auf verschiedenen Servern befinden. Bei aktivierter eingeschränkter Delegierung für den Webserver und den Server mit Virtual Server übergibt Internet Explorer die Benutzeranmeldeinformationen an den Webserver, der die Anmeldeinformationen an den Virtual Server-Dienst weiterleitet, der die Anmeldeinformationen wiederum an den Dateiserver übergibt.
Der restliche Teil dieses Themas enthält Anweisungen zum Konfigurieren der eingeschränkten Delegierung für Virtual Server. Hinweise
Schritt 1: Überprüfen der VoraussetzungenVor dem Konfigurieren der eingeschränkten Delegierung müssen die folgenden Aufgaben durchgeführt werden:
Schritt 2: Ermöglichen der Delegierung von Benutzeranmeldeinformationen vom Webserver an den Virtual Server-DienstFühren Sie die folgenden Schritte aus, damit der Webserver die Anmeldeinformationen des angemeldeten Benutzers an den Computer mit dem Virtual Server-Dienst delegieren kann. Wichtig
Schritt 3: Ermöglichen der Delegierung von Benutzeranmeldeinformationen vom Virtual Server-Dienst an andere ComputerFühren Sie die folgenden Schritte aus, damit der Virtual Server-Dienst die Anmeldeinformationen des angemeldeten Benutzers an einen anderen Computer delegieren kann, damit die Benutzer auf Ressourcendateien zugreifen können, die auf einem anderen Computer gespeichert sind als dem Computer, auf dem der Virtual Server-Dienst ausgeführt wird.
|
In diesem Beitrag
|
Hinweis
Wichtig
Wichtig
