云桌面應用分層技術白皮書

【應用分層技術】本文介紹了應用分層實現的技術原理、實現、應用場景以及使用限制。

#云桌面

發布時間：2020-04-29
點擊量：
點贊：

分享至

我想評論

摘要

本文介紹了應用分層實現的技術原理、實現、應用場景以及使用限制。

關鍵字

應用分層、文件系統分層、注冊表分層、minifilter。

術語清單

縮略語/術語	說明
Minifilter	微軟過濾驅動框架
Composite File System	聯合文件系統
File System Layering tech	文件系統分層技術
Register System Layering tech	注冊表系統分層技術
App Layer	應用分層

概述

隨著云計算技術的飛速發展，作為云計算典型的應用，云桌面以其數據安全、高效運維、統一管理、綠色節能等特性深受用戶的青睞，在各行各業的場景中逐步取代部分傳統的PC。

傳統的廣義上的云桌面技術無論是VDI架構，IDV架構還是VOI架構，都具備了桌面操作系統管理和分發的基本功能。但是仍然存在一些不足，當前管理員通常只能將安裝好應用程序和數據的桌面系統整體分發給用戶。這種方案帶來的一個最大問題是：用戶的桌面系統使用一段時間后，桌面中已經存在一些用戶自己安裝的應用和數據。如果此時管理員要對原來已經分發過的系統重新編輯更新再分發，就會導致用戶的應用或數據丟失，大多數場景這是不能接受的。所以管理員應對該情況通常還是需要到每個用戶那分別一一處理，帶來重復的運維工作量。

下文要介紹的“應用分層技術”就是用來解決這個問題的。它能將管理員管理的操作系統、程序和數據同用戶自己管理的程序和數據實現分離。這樣管理員就可以隨時統一對桌面系統更新如系統設置、程序的安裝和更新等，并隨時將更新推送給用戶。

技術介紹
1. 應用分層技術概述

從技術上講，應用分層技術的“層”對于Windows而言其實是一堆文件和注冊表項的集合，這些文件和注冊表項在軟件安裝過程被捕獲并存儲為虛擬磁盤。當一個“層”被分配給虛擬桌面時，該層所對應的虛擬磁盤中的相關應用和數據會被自動加入到系統中，就像系統安裝了新應用程序效果一樣。再通過該技術將所有這些層合并在一起，讓用戶看到的最終系統就是由多個這樣的層拼裝之后的完整桌面。這些層有的是只讀的，有的是可寫的。

如上圖所示，使用應用分層技術后，用戶桌面的操作系統被邏輯分層多個層。其中“原生操作系統”和“管理員的應用和配置”這兩個層是可以由管理員來統一編輯和管理的，能夠單獨下發更新給用戶。應用分層技術會將更新后的這些層自動和用戶自管理的層合并。

1. 應用分層技術的實現

Windows應用分層主要涉及兩個核心技術，文件系統分層技術和注冊表系統分層技術。

1. 1. 文件系統分層技術實現（File System Layering tech）

文件系統分層是通過文件系統虛擬化實現的。無論是在PC還是虛擬機上運行Windows操作系統，都存在一個安裝Windows的系統盤，通常是C盤。這個邏輯驅動器包含了一些具有一定層次結構的文件和文件夾，他們確保windows正常引導并使windows服務或應用程序能夠正常運行，同時用戶可以在該盤讀寫數據。

對C盤的文件系統分層是按照一系列的層創建一個虛擬的邏輯C盤視圖。這些層或者是一系列的虛擬磁盤或則是一系列的虛擬文件系統文件，在系統啟動時這一系列的虛擬磁盤或虛擬文件系統文件通過文件系統過濾驅動（也被稱為聯合文件系統驅動）被附加合并到C盤內，組成一個虛擬合并的盤邏輯視圖，在任何情況下通過C盤看到的是一個真正的由所有這些虛擬磁盤（或則說文件系統層）的合并視圖。

如上圖示例，每個層包含一個應用程序，它們分別有兩個文件：一個exe和dll，每個層在一個單獨的虛擬磁盤中，把這些虛擬磁盤掛載到虛擬機上后通過文件系統虛擬化驅動工具，將各個層次的文件在邏輯上合并到系統的C盤中，使系統看上去就好像這三個層中的文件系統本來就是C盤的文件一樣。這時C盤的文件系統如下：

它是C盤原有文件和三個層文件的虛擬合并。打開Windows的資源管理器瀏覽C盤，你可以看到類似于上圖的結構，看到來自不同層文件和目錄被并在一起，有AppA、AppB和來自許多層的公共文件夾以及公共文件夾中來之不同層的文件DLL。

聯合文件系統驅動是通過文件系統MiniFilter過濾驅動程序實現的。在邏輯上所有的文件都存在于文件系統中，文件系統層本身在虛擬磁盤中是NTFS，通過虛擬化文件系統的名稱空間，以攔截IO請求文件，并將它們重定向到對應的層。比如，如果雙擊App.exe的快捷方式，對文件系統的調用實際上進入了MiniFilter文件系統微過濾驅動，它將請求傳遞到對應的虛擬磁盤上。

1. 1. 文件系統分層呈現給用戶的文件系統結構

多個文件系統分層文件系統呈現給用戶Windows環境的文件系統邏輯如下圖示例：

Operating System：基礎的Windows操作系統層；

App Layer(office)：安裝了Office應用的層；

App Layer(fireFox)：安裝了firefox瀏覽器應用的層；

WriteLayer：可寫層，包括windows運行過程產生的一些臨時文件、用戶寫入的數據文件以及對應用層的已有文件修改通過寫時拷貝機制寫入的數據。

1. 1. 文件系統沖突的優先級機制

每個虛擬層安裝的應用程序都有自己的目錄文件列表結構，如果兩個層的同一個路徑下存在相同的文件名就產生了沖突。一般情況每個應用程序安裝都有自己的目錄結構，極少會出現沖突。應用分層技術解決這種文件沖突的主要機制是通過設置層優先級來解決的，層優先級高的文件呈現給windows系統。當通過Windows查看這些層文件時，它遵循一個自上而下的模型，越上層優先級越高。因此，如果同一個文件存在于兩個層的同一路徑中，根據優先級原則只有一個文件會被呈現給一個執行的Windows環境。用戶看到也是這個優先級高的文件。如下圖示例：

1. 注冊表系統分層技術（Register System Layering tech）

注冊表系統分層技術和文件系統分層技術原理上類似，是通過虛擬注冊表系統來實現的。對注冊表系統的分層就是創建一系列虛擬注冊表或者說是一系列虛擬的注冊表蜂巢文件，通過注冊表過濾驅動（聯合注冊表驅動）將這些個獨立的注冊表的視圖虛擬的合并起來，以一個統一的完整注冊表視圖提供給操作系統使用。

注冊表系統分層技術實現和呈現給用戶的注冊表視圖結構以及沖突的優先級機制和文件系統基本一致。

應用分層典型應用
1. 系統批量分發應用場景

場景一：安全補丁升級批量分發

在很多的用戶工作的網絡環境中，出于安全等各方面的考慮往往都是內網工作環境，其工作環境是和Internet隔離的，這就導致用戶的工作環境中的云桌面無法通過internet進行在線升級；

場景二：軟件、系統設置批量下發

云桌面運維過程中，可能會需要對一些辦公軟件進行升級、增加或者刪除；或者是對操作系統做一些設置，比如IE瀏覽器的一些設置，網絡的一些設置等。。

在云桌面中開啟應用分層通過對每個云桌面創建一個個性化層來保存每個桌面的個性化設置、安裝的軟件以及用戶的私有數據。管理員在管理端可以直接打開系統鏡像進行編輯，對系統設置調整、安裝相應的補丁、軟件更新等。然后將編輯好的鏡像重新批量分發給用戶，無論是使用還原桌面的用戶還是需要個性持久化存儲的用戶都能被集中更新，無需再分別到每個桌面上去操作。

1. 還原桌面應用場景

一些云桌面使用場景希望每次關機后能自動還原系統到管理員下發的初始狀態，比如出于安全考慮避免上次桌面使用者的數據殘留，比如為了避免長期運行后系統臃腫變慢，每次還原可以讓系統更干凈、穩定和流暢等等。會議室、多媒體教室、醫生門診室等這些公用的云桌面通常都有這類需求。但是這些場景下不同的桌面因為完成的任務和工作環境不同，往往不同桌面有自己一些特殊的配置并不一樣，即無法由管理員統一配置。比如醫生門診室的桌面、收費窗口桌面他們連接了不同的打印機和其它外設，各用戶打印材料的格式不同（有打發票的，有打清單，有打文檔的）需要對打印機做一些個性的設置。再比如多媒體教室中云桌面連接的觸控顯示屏，每塊觸控顯示屏的校準信息也各不相同。象這類信息都無法由管理員通過基礎系統鏡像統一設置和下發，需要每個桌面分別配置。而這些桌面又希望使用還原的桌面，但是使用還原桌面這些個性化的設置通常就不能被保存下來。通過應用分層技術的靈活應用，就能夠很好解決這個矛盾。

通過在還原桌面模式下開啟應用分層，對桌面按照用戶需求進行還原模式下的個性化設置，比如在一臺還原桌面中配置打印機設置的各種參數，配置默認打印機等等，另外還可以在還原模式下對某些特定軟件配置自動登錄、記錄用戶名和密碼等。這樣就可以解決在還原桌面中保留用戶需要的個性化配置數據，其非個性化配置仍然保持還原桌面的關機還原特性。

限制信息

應用分層實現的模塊本身是以一個底層驅動的方式駐留在Windows系統中，為了保證各個層中的文件或注冊表信息對于操作系統是可見的，該驅動必須保證各個層中的應用啟動的時間點晚于應用分層驅動的啟動時間點，否則操作系統找不到這些層的文件就會導致相關應用啟動失敗?；谠撛驊梅謱哟嬖谝欢ǖ南拗?，對一些應用場景不支持或有條件支持。具體限制包括如下幾類：

非usb類設備驅動：

由于應用分層驅動程序屬于文件系統過濾驅動范疇，其在操作系統初始化啟動過程中初始化順序在系統硬件設備初始化之后，因此非USB類的設備驅動程序（如虛擬磁盤或虛擬顯卡類驅動等）在用戶桌面中用戶自己安裝，桌面重啟時由于設備驅動初始化時應用分層驅動還沒有啟動，將無法找到應用分層磁盤中的驅動相關文件或注冊表信息，導致重啟后驅動不生效。

殺毒軟件：

由于殺毒軟件這類應用一般都涉及到很多底層的驅動程序，其中一些底層驅動程序啟動時間較早，早于應用分層的文件系統過濾驅動，系統重啟時殺毒軟件無法讀取應用分層磁盤中的程序相關文件，出現錯誤或殺毒軟件功能不能用。

服務啟動類型是boot的服務：

由于Windows服務啟動類型有如下幾種啟動類型：boot、system、auto、demand、disabled五種。其在系統中初始化順序是由前到后的順序依次初始化，由于應用分層驅動的服務啟動類型是system類型，晚于boot類型。因此對于是boot類型的服務，應用分層將無法支持。使用boot類型的服務程序一般主要也是非usb類設備驅動、殺毒軟件之類的程序。