如何搭建企业级安全远程开发者VM？

你提的需求不需要额外采购Citrix许可，用Azure原生服务完全可以满足。

需求匹配验证 #

先对应你方的核心安全和使用要求：

• 禁止个人设备获取管理员权限、禁用可移动磁盘、禁止Azure数据下载到本地
• 开发者全量工作在远程VM完成，无需本地部署Virtualbox类虚拟化软件
  以上要求Azure原生服务都可以覆盖，不需要第三方组件。

Azure原生实现方案 #

首选：Azure 虚拟桌面（AVD） #

这是Azure原生的云桌面服务，是最贴合你们需求的方案：

• 直接为每个开发者分配专属的远程VM，所有计算、存储、数据操作都在Azure侧完成，全程不落地个人设备
• 内置安全管控能力：可以完全关闭本地设备到VM的文件传输、禁用可移动磁盘映射、禁用跨设备剪贴板、禁止从VM内导出数据到个人设备，完全符合安全评审的限制要求
• 接入门槛极低：开发者仅需要在个人设备安装轻量的AVD客户端即可接入，不需要任何本地虚拟化环境，也不需要给个人设备开放管理员权限

低成本替代：直接使用Azure 虚拟机 #

如果你们不需要云桌面的统一管控能力，也可以直接给开发者分配独立的Azure VM，通过RDP协议接入：

• 搭配Azure AD权限管控、网络安全组规则、VM端点安全策略，同样可以实现磁盘映射禁用、数据导出限制、操作权限管控的要求
• 部署更灵活，成本比AVD更低，适合团队规模不大的场景

Citrix方案说明 #

Citrix属于可选增强方案，并非刚需：

• 仅当你们有存量Citrix许可，或者有超高清图形设计需求、多环境统一接入、复杂外设兼容这类额外需求时，才需要搭配Azure部署Citrix服务
• 仅满足你当前提到的所有基础要求，完全没必要额外采购Citrix许可

内容的提问来源于stack exchange，提问作者opticyclic