PVS Imageerstellung am Bespiel von Windows Server 2019 Build 1906

In diesem Artikel wird beschrieben, wie Sie ein optimiertes Image (wird auch Master-Image oder Gold-Image genannt) von Windows Server 2016 + 2019 erstellen und per PVS an die Ziel-Systeme verteilen.

Welche Punkte sollten bei der Erstellung des Images beachtet werden?

Diese Frage ist vor allem an Kunden gerichtet, die eine existierende Bereitstellungsmethode durch PVS ersetzen wollen. Bevor Sie mit der Erstellung eines Images anfangen, sollten Sie die bestehenden Ziel-Systeme gründlich analysieren und versuchen folgenden Fragen zu beantworten:

1. Mit welchen Mittel werden neue VMs aktuell bereitgestellt (SCCM, Matrix42, LANDesk & Co.)?
2. Wie wird die Bestellung initiiert? Es könnte z.B. ein Selbst-Service-Portal sein, der es Ihnen ermöglicht eine Cloud-ähnliche Auswahl von fertigen Vorlagen zu erstellen. Oder ist Ihre Infrastruktur bereits so fortschrittlich gestaltet, dass die VMs nach Anforderung konfiguriert (zusammengeklickt) werden können?
   Beachten Sie auch, dass die per PVS provisionierten VMs kein Laufwerk C: mehr benötigt. Ein Laufwerk D: (formatiert) wird vorausgesetzt.
3. Eine weitere wichtige Frage bezieht sich auf verschiedene, installierte Agenten, die meistens zu Überwachungszwecken eingesetzt werden. Da die Ziel-Systeme aus einem einzigen Image geklont werden, sind alle Merkmale aus Sicht eines Monitoring Systems gleich. Es sollten entsprechende Mechanismen gefunden werden, die Alleinstellungsmerkmale (SIDs, Registry-Werte usw.) eines Systems nach Erstellung des Images zurücksetzen.
4. Auch die installierten Viren-Scanner sollten analog zu den oberen Punkt angepasst werden. Dieser Punkt ist von den eingesetzten Virenscanner und der Methode abhängig, wie die VM seitens Virenscanner eindeutig identifiziert wird.
5. Alle installierten Anwendungen sollten ebenfalls verifiziert werden, ob bestimmte System-Eigenschaften bei der Software-Installation auf C: Partition gespeichert werden.
6. Da die PVS Ziel-Systeme in gewissen Abständen neu gestartet werden, sollten die Überwachungssysteme auch dementsprechend angepasst sein, um unnötige Meldungen zu unterdrücken.

Systemaktualisierung

Unabhängig von den Sicherheitsanforderungen in Ihrem Unternehmen sollten die provisionierten Systeme aktuell gehalten werden. Das Thema Systemaktualisierung lässt sich grob in drei Bereiche untergliedern:

1. Virenscanner-Signatur-Aktualisierung – es gehört zur Selbstverständlichkeit, dass die Virensignaturen aktuell gehalten werden. Normalerweise sind die Signaturen ziemlich klein, sodass diese nach jedem Reboot erneut geladen bzw. installiert werden können. Wenn aber der Virenscanner-Agent aktualisiert werden sollte, führt kein Weg an einer Image-Anpassung vorbei. Nach der Image-Anpassung sollte auch die vDisk vollständig gescannt werden, bevor diese erneut versiegelt wird.  Man sollte auch nicht vergessen, die Optionen Scan on Boot oder sonstige Tasks-gesteuerte Scanvorgänge zu deaktivieren.

Empfohlene Virenscanner Ausnahmen, sowie Konfigurationsoptionen finden Sie hier:

• Citrix Recommended Antivirus Exclusions
• Citrix Guidelines for Antivirus Software Configuration
• Provisioning Services Antivirus Best Practices
• Citrix Tech Zone - Endpoint Security and Antivirus Best Practices
• Trendmicro - Citrix-recommended exclusions on Deep Security
• Symantec - How to prepare Endpoint Protection clients on virtual disks for use with Citrix Provisioning Server
• Kaspersky - Kaspersky Security for Virtualization, CTX217997
• Sophos - Sophos Endpoint Security and Control

Nicht zu empfehlen: An dieser Stelle sollte erwähnt werden, dass manchmal provisionierte VMs ohne einen installierten Virenscanner genutzt werden. Diese Entscheidung wird damit begründet, dass die VMs täglich gebootet werden und nach jedem Reboot quasi wie frisch installiert sind.  Auf keinen Fall in einer produktiven Umgebung, dürfen die Systeme ohne VirenScaner eingesetzt werden.
Falls die Frage bzgl. Anschaffung des neuen Virenscanners noch offen ist, empfiehlt sich eine  Lösung, die die Scan-Jobs aus einer VM in eine AV Appliance auslagert. Eine weitere und meiner Einschätzung nach, eine perfekte Alternative für einen Agenten-basierenden Virenscanner wäre ein Virenscanner auf Hypervisor-Ebene.

2. Windows-Updates. Ohne regelmäßige Windows-Updates wäre das Leben von IT-Administratoren kaum vorstellbar. Auch die provisionierten VMs bleiben nicht davon verschont.
Identisch, wie mit der Aktualisierung des Virenscanners, wird die vDisk wieder im Private Mode gestartet, aktualisiert und anschließend wieder „versiegelt“. Ob die Windows Updates nach der Installation gründlich getestet werden, ist von Compliance Richtlinien in Ihrem Unternehmen abhängig. Ist aber zweifelsohne zu empfehlen.

3. Software-Updates. Die Software-Updates werden analog zu Windows-Updates behandelt und sollten nach Möglichkeit zeitlich abgestimmt sein.

Systemoptimierung

Die Systemoptimierung ist ein sehr wichtiger Schritt in Richtung Stabilität, Performance und Userzufriedenheit. Besonders in einer virtualisierten Umgebung trägt eine Systemoptimierung im Wesentlichen dazu bei, die Userdichte zu erhöhen und als Folge die Kosten zu senken. Bei der Systemoptimierung sollte primär die Optimierung der User Experience verbessert und sekundär Ressourcen gespart werden.

Es wäre sinnvoll die Optimierungsschritte erst nach der vollständigen Erstellung des Images durchzuführen.

Citrix Optimizer vs. Optimization Settings

Für die Optimierung können sowohl hausinterne Mittel wie z.B. Citrix Optimizer (CTX224676) und  PVS Optimization Settings, aber auch VMware Optimization Tools genutzt werden. Da die genannten Tools mehrere überschneidende Einstellungen haben, sollte die Konfiguration vorher genau verifiziert werden.

CTX125874 - How to Optimize XenDesktop Machines

Eine detaillierte Zusammenfassung finden Sie in der folgenden Tabelle: 

Schritte zur Erstellung des Images

Hier sind die notwendigen Schritte zur Erstellung eines Master-Images (ein Master-Image wird als eine Vorlage für die Bereitstellung der weiteren VMs genutzt).

Diese Schritte sind nicht bindend und können auch in abweichender Reihenfolge durchgeführt werden:

1. Im ersten Schritt wird das Betriebssystem inkl. alle aktuellen Updates installiert.
2. Überprüfen, ob die Hypervisor Tools aktuell sind.
3. Installieren Sie falls nötig verschiedene Monitoring Tools,  Agenten und Virenscanner. Der Virenscanner sollte noch deaktiviert bleiben.
4. Deaktivieren Sie IPv6. Die PVS-Infrastruktur kann damit nicht umgehen.
5. Ändern Sie die Boot-Reihenfolge und setzen Sie das Netzwerk-Boot an die erste Stelle.
6. Installieren Sie die Target Device Software und starten Sie die VM neu.
7. Die Firewall-Einstellungen müssen die Kommunikation zwischen den Target Devices und dem PVS-Server ermöglichen (Ports 54321, 54322, 54323).
8. Erstellen Sie das Master Image durch den Imaging Wizard. Schalten Sie die VM nach einem erfolgreichen Konvertierungsvorgang aus.
9. Klemmen Sie die Disk C: in den Eigenschaften der VM ab. Diese wird nicht mehr benötigt.
10. Auf dem PVS Server passen Sie auch die Eigenschaften der erstellten VM an. Der Boot-Typ wird von Harddisk auf vDisk umgestellt (Boot from: vDisk).
11. Erstellen Sie ein Computerkonto für diese VM im Active Directory.
12. Fügen Sie eine weitere Disk hinzu. Die Partition sollte als NTFS-Partition formatiert werden und den Laufwerksbuchstaben D: zugewiesen bekommen.
13. Konfigurieren Sie die Größe und den Speicherort des Pagefiles.
14. Installieren des Virtual Delivery Agents (VDA)
15. Installieren aller weiteren Applikationen
16. Führen Sie eine Datenträgerbereinigung und Systemdateien aus
17. Führen Sie die Optimierung /Defragmentierung des Laufwerks aus
18. Führen Sie die System-Optimierung durch
19. Virenscanner starten und das System vollständig überprüfen lassen
20. Versiegelung (sealing)
21. Die VM kann heruntergefahren werden
22. Führen Sie die KMS Aktivierung aus und passen Sie die vDisk-Eigenschaften auf der Registerkarte Microsoft Volume Licensing
23. Erstellen Sie eine Vorlagen (Clone to Template)
24. Update VM. Für die zukünftige Wartungszwecke wäre es zu empfehlen eine neue VM zu erstellen, die ebenfalls in einer neuen Device Collection gespeichert wird.

Ab diesem Punkt geht es nur um die Verteilung der provisionierten VMs:

1. Erstellen Sie eine Windows Richtlinie, die bestimmte Parameter auf den provisionierten Ziel-Systemen steuert, wie z.B. die Umleitung der Windows Event-Logs von der C: auf die D: Partition und verlinken Sie diese mit der entsprechenden OUs.
2. Passen Sie die folgende vDisk-Eigenschaften an:
   • Access Mode: auf Standard
   • Cache Type: Device RAM with overflow on hard disk
3. Stellen Sie die weiteren VMs bereit. Je nach Situation können Sie einen von beiden Wizard nutzen (XenDesktop Setup Wizard, Streamed VM Setup Wizard)

Vorbereitung

4. IPv6 Deaktivieren. Es gibt zwei Möglichkeiten IPv6 zu deaktivieren:

New-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\services\TCPIP6\Parameters -Name DisabledComponents -PropertyType DWord -Value 0xff

oder manuell per Regedit. Die Änderungen sind erst nach einem Reboot sichtbar.

Weitere Information: Microsoft - Anleitung zum Konfigurieren von IPv6 in Windows für fortgeschrittene Benutzer

5. Ändern Sie die Boot-Reihenfolge und setzen Sie das Netzwerk-Boot an die erste Stelle.

Wenn Sie ein ähnliches Bild sehen, dann ist Ihr PVS-Server netzwerktechnisch richtig konfiguriert.

6. Target Device Software - Installation

6.1. Die Target Devive Software befindet sich wie alle weiteren PVS-Komponenten auf der Install-CD. Die Installation ist sehr einfach und  erfordert keine besonderen Kenntnisse.

In meinem Fall habe ich den Installer (PVS_Device_x64) von der Partition C: ausgeführt.

6.2. Zuerst wird „Citrix Diagnostic Facility“ (CDF 64-Bit) installiert. Klicken Sie auf „Install“ um die CDF-Installation initiieren.

6.3. Klicken Sie auf „Weiter“

6.4. Wählen Sie die Option „Ich akzeptiere die Bedingungen dieser Lizenzvereinbarung“ und klicken Sie auf „Weiter“. 

6.5. Bei Bedarf geben den “User Name” und die "Organisation” ein und klicken Sie auf „Weiter“.

6.6. Wenn nötig können Sie den Pfad anpassen, sonst klicken Sie auf „Weiter“.

6.7. Klicken Sie auf „Install“, um die Installation zu starten

6.8. Klicken Sie auf „Finish“, um die Installation abzuschließen. Standartmäßig ist Target Device Wizard aktiviert und wird automatsch gestartet.

7. Firewall deaktivieren

Bevor der Imaging Wizard ausgeführt wird, überprüfen Sie, ob die Firewall-Einstellungen richtig konfiguriert sind. Passen Sie diese ggf. an. Öffnen Sie PowerShell Konsole und führen Sie folgende Befehlskette aus:

Set-NetFirewallProfile -Profile Domain, Public, Private -Enabled False

Mit dem Befehl können Sie den Firewall-Zustand verifizieren:

Get-NetFirewallProfile

Wenn Sie die Firewall wieder aktivieren wollen, müssen Sie nur False durch True ersetzen:

Set-NetFirewallProfile -Profile Domain, Public, Private -Enabled True

Auch per CMD lässt sich die Firewall deaktivieren / aktivieren

• netsh advfirewall set allprofiles state off
• netsh advfirewall set allprofiles state on

8. Target Device Wizard

Sie können den Imaging Wizard jede Zeit neu starten

8.1. Klicken Sie auf "Weiter", um den Imaging Wizard zu starten

8.2. Geben Sie die IP-Adresse des PVS-Servers ein. Die Master-VM ist kein Domänenmitglied, deswegen wird auch ein Benutzerkonto mit einstrechenden Rechten (Verbindung aufbauen, Dateien erstellen/schreiben) benötigt.

Beim Versuch eine Verbindung zur PVS-Farm herzustellen, kommt folgende Fehlermeldung:  Fehler-Meldung  "Cannot connect to Server version prior to 7.22"

Diese Meldung ist ziemlich irritierend. Die installierte Version ist auf dem PVS-Server und auf dem Target Device identisch. Der Lösungsvorschlag aus der Communty, nämlich den PVS-Server als db_owner auf die PVS-Datenbank zu berechtigen, oder dem Service Account die db_owner-Rechte zuzuweisen, fand ich in einer produktiven Infrastruktur nicht sofort (rfc) umsetzbar. Das Zurücksetzen des Snapshots und die Installation der PVS-Server-Komponenten haben auch funktioniert.

8.3. Wählen Sie die Option „Create a vDisk“ aus. In diesem Fall wird eine neue vDisk erstellt.

8.4. Geben Sie den Namen des Target Devices  ein. Wenn Ihr Client mehrere Netzwerkarten hat, dann wählen Sie die passende aus. Collection name: hier legen Sie fest, wo die erstellte VM abgelegt wird.

8.5. Geben den Namen der vDisk ein. Wenn Sie mehrere Stores hätten, können Sie einen passenden Store (z.B. mit mehr freien Platz) auswählen.

8.6. Die KMS-Lizensierung wird zu einem späteren Zeitpunkt konfiguriert.

8.7. Klicken Sie auf „Weiter“ wenn sie die bestehende Partition nicht anpassen wollen, sonst wählen Sie die Option  "Choose partitions to image and optionally increase volume size".

8.8. So sieht die Option "Choose partitions to image and optionally increase volume size" aus.

8.9. An dieser Stelle werde ich die Citrix Empfehlung ignorieren. Die Optimierung wird später durchgeführt.

8.10.  Wenn alle Einstellungen korrekt sind, klicken Sie auf „Create“

8.11. Die Erfolgsmeldung zeigt nur die Erstellung des Target Devices in der Datenbank und die Erstellung der vDisk.

Es existieren nur zwei Datei: *.pvp (Eigenschaften) und eine leere Hülle *.vhdx

8.12. Bestätigen Sie die Meldung mit "Ja". Die VM kann rebootet werden.

8.13. Wenn alles richtig konfiguriert ist, wird auch bei Ihnen eine ähnliche Meldung angezeigt.

8.14. Die Konvertierung der lokalen Partition zu einer vDisk beginnt nach einem Reboot.

Nach zirka 40 Sekunden wurde der Vorgang erfolgreich abgeschlossen. Die Geschwindigkeit ist von vielen Faktoren abhängig (Disk Größe, Storage, Netzwerk) 

9. Disk C: Abklemmen. Nun sind wir soweit, dass die VM von einer vDisk auf dem PVS-Store booten kann. Die Partition in dieser Form wird eigentlich nicht mehr benötigt und kann gelöscht werden. Wenn Sie diese virtuelle Platte behalten wollen, nutzen Sie die Option „Detach“ auf Ihrem Hypervisor.

10. Die erstellte VM kann noch nicht von der vDisk starten. Deswegen sollen die Eigenschaften der VM angepasst werden. Die PVS-Konsole starten > zu der vDisk navigieren > den Boot-Typ wird von Harddisk auf vDisk umgestellt (Boot from: vDisk).

Soll-Zustand:

11. Die Installation von mehreren Anwendungen setzt eine Domänenmitgliedschaft voraus. Ob Ihre VM mit dem bestehenden Name zur Domäne hinzugefügt wird, ist Ihnen überlassen.

Rechte Maustaste auf dem Target Device > Active Directory > Create Machine Account

12.  WriteCache Disk hinzufügen. Die Partition sollte als NTFS-Partition formatiert werden und den Laufwerksbuchstaben D: zugewiesen bekommen.

12.1. Starten Sie die Datenträgerverwaltung. Die neue Disk wird dabei automatisch erkannt. Bei der Initialisierung beachten Sie die MBR-Option.

12.2. Starten Sie den New Simple Volume Wizard.

12.3. Weisen Sie der Buchstabe D: zu.

12.4. Passen Sie die Eigenschaften wie abgebildet an.

12.5. Der Wizard ist abgeschlossen.

13. Pagefile anpassen. Die optimale Größe des Pagefile kann am effektivsten durch eine  Systemüberwachung ermittelt werden. In diesem Citrix-Blog Betrag finden Sie einige Denkanstöße zum Thema: The Pagefile Done Right!

Konfigurieren Sie die Größe und den Speicherort des Pagefiles > Systemeigenschaften > Erweitert > Leistung > Virtueller Arbeitsspeicher > Ändern:

4096 GB scheint mir für den Server 2019 absolut ausreichend zu sein.

14. VDA-Installation. Bei der Installation beachten Sie die folgende Option:

Die Performance Optimierung wird in einem separaten Schritt durchgeführt

16.  Datenträgerbereinigung durchführen. Die Bereinigung der Systempartition, besonders Windows Update-Bereinigung kann jede nach Windows Version mehrere GB freien Platz bedeuten.

Nach der Installation:

Nach der Aktualisierung:

Nach der Bereinigung:

17. Partition-Optimierung. Führen Sie die Optimierung der Partition aus. Unter einer Optimierung ist eine klassische Defragmentierung zu verstehen. Am einfachsten können die VHDX-Datei in Windows-Explorer des PVS-Servers bereitstellen und eine Defragmentierung durchführen.  

18. Führen Sie die System-Optimierung durch. An dieser Stelle empfiehlt sich die Verwendung des Citrix Optimizers. Citrix Optimizers ist Citrix eigenes Produkt und bestens an die Bedürfnisse der Citrix Infrastruktur abgestimmt.

19. Virenscanner starten und das System vollständig überprüfen lassen

20. KMS Aktivierung. 

Die PVS-Version 1906 hat auch eine sinnvolle Neuerung „Accelerated Office Activation“ im Bereich Office Aktivierung. In den früheren PVS-Versionen wurde die Microsoft Office-Aktivierung erst nach der Benutzer-Anmeldung durchgeführt. Eine Solche Verzögerung konnte dazu führen, dass dem Benutzer eine Warnung über eine nicht lizenzierte Office-Version angezeigt wurde.   

Windows Aktivierung Reihenfolge:

1. Eingabeaufforderungoder PowerShell-Konsole als Administrator starten
2. slmgr /ipk N2KJX-J94YW-TQVFB-DG9YT-724CC - KMS-Schlüssels installieren
3. slmgr /ato - Aktivierung initiieren und verifizieren
4. slmgr /rearm

An dieser Stelle können Sie die mit der Office Aktivierung vorsetzten oder das Betriebssystem herunterfahren und die vDisk- Eigenschaften anpassen.

MS Office 2016 (32-Bit) Aktivierung Reihenfolge:

1. Eingabeaufforderungoder PowerShell-Konsole als Administrator starten
2. cd "\Program Files (x86)\Microsoft Office\Office16\"
3. cscript ospp.vbs /inpkey:JNRGM-WHDWX-FJJG3-K47QV-DRTFM - optional, kann während der installation eingegeben werden
4. cscript ospp.vbs /sethst:kms-server.demo.lab – die Adresse des KMS-Servers
5. cscript ospp.vbs /setprt:1688  - optional, falls die KMS-Port-Nummer anders ist.
6. cscript ospp.vbs /act
7. cscript ospp.vbs /dstatusall - optional, um den Status abfragen
8. ospprearm.exe

Wichtig: MS Office darf nach einem Rearm nicht gestartet werden.

Je nach Version unterscheidet sich die Rearm-Anzahl (Windows 10, 2016, 2019: Rearm-Anzahl: 1001). Um die verbliebene Rearm-Anzahl zu erfahren, führen Sie den Befehl slmgr.vbs /dlv im CMD-Fenster (oder PowerShell) als Administrator aus. Warum die Zeile "Verbleibende Windows Rearm-Anzahl" zweimal erscheint, wird in diesem Artikel erklärt: "Remaining Windows rearm count" is displayed two times in German version of Windows Server

Unter diesem Link finden Sie eine detaillierte KMS-Konfigurationsanleitung von Citrix: CTX128276 - Configuring KMS Licensing for Windows and Office

21. Versiegelung (sealing)

Die Versiegelung eines Images ist ziemlich individuell und ist von den installierten Applikationen abhängig.  Die nachfolgend aufgelisteten Befehle können als eine Batch-File abgespeichert werden und zwecks Versiegelung ausgeführt:

gpupdate /force
ipconfig /flushdns
arp.exe -d
shutdown /s /t 0

Es ist empfehlungswerte zwecks Versiegelung der vDisks eine kostenlose Lösung namens Base Image Script Framework (BIS-F) zu verwenden. Das Framework kann Sie unter folgendem Links herunterladen werden:  Base Image Script Framework | Login Consultants

22.1. KMS-Aktivierung. Nachdem die VM heruntergefahren wurde, kehren Sie zur PVS-Management Konsole zurück und öffnen Sie die vDisk Eigenschaften.

Wählen Sie die vDisk aus, rechte Maustaste > Properties >

> Registerkarte Microsoft Volume Licensing. Konfigurieren Sie die Option Key Management Services (KMS) wie abgebildet. Wenn auf den Ziel-System auch ein MS Office installiert ist, setzen Sie das Häkchen in das Kästchen Accelerated Office Activation ein.

22.2. Access mode. Klicken Sie auf die Registerkarte General und ändern Sie die Reihenfolge des Zugriffsmodus von Privat Image auf Standard Image.

23. Erstellen Sie eine Vorlagen (Clone to Template)

Update VM. Für die zukünftige Wartungszwecke wäre es zu empfehlen, eine neue VM (z.B. Wartung-VM) zu erstellen, die ebenfalls in einer neuen Device Collection (Wartungs-VMs) gespeichert wird.

Windows EventLogs umleiten

Es gibt zwei unterschiedliche Methoden, um die Windows Eventslogs von dem Standard-Pfad (%SystemRoot%\System32\Winevt\Logs\) auf die Partition D: zu verschieben.

1. Erstellen Sie eine Windows Richtlinie, die die Umleitung der Windows Event-Logs von der C: auf die D: Partition steuert und verlinken Sie diese mit der entsprechenden OUs.

Group Policy Management Console starten >

• English: Computer Configuration > Policies > Administrative Templates > Windows Components > Event Log Service > Application > Control the location of the log file
• Deutsch: Computerkonfiguration > Richtlinien > Administrative Vorlagen > Windows-Komponenten > Ereignisprotokolldienst > Anwendungen > Speicherort der Protokolldatei steuern

In das Feld Protokolldateipfad (Log File Path) tragen Sie den Pfad zum neuen Ordner ein. (z.B. D:\EventLogs)

2. Die zweite Methode beinhaltet eine statische Anpassung der Einstellungen auf dem Master-Image. Die Konfiguration ist im folgenden Artikel beschrieben: CTX231757 - How to set event log redirection for random published desktop

• Weiter