Von Omnissa Horizon 2212 zu 2503: ESB-Upgrade einer produktiven VDI-Umgebung

Dieser Projektbericht dokumentiert das technische Upgrade der virtuellen Desktop-Infrastruktur (VDI) von der Version Horizon 2212 auf die Version Omnissa Horizon 8 2503.

Das Hauptziel der Migration war das Upgrade auf Horizon 2503 (Version 8.15), um die Vorteile einer ESB-Version mit verlängerten Support-Zeiträumen für kritische Fixes und Betriebssystem-Support zu nutzen.

Ein weiterer wichtiger Aspekt war die vollständige Umstellung auf das Omnissa-Branding sowie die Einführung moderner Sicherheitsfunktionen wie SAML und neuer Cipher-Suites.

Zusätzlich wurde die Performance optimiert, insbesondere bei den DEM-Anmeldezeiten. Das Upgrade brachte darüber hinaus Verbesserungen in der Ressourcennutzung für höhere Leistung, eine intuitivere Benutzeroberfläche für bessere Nutzererfahrung, aktuelle Sicherheitsupdates zum Schutz der Infrastruktur sowie neue Funktionen, die die Verwaltung und Nutzung virtueller Desktops erleichtern.

Das beschriebene Upgrade-Szenario wurde nicht als isoliertes Einzelprojekt umgesetzt, sondern basiert auf einer Reihe vergleichbarer Aktualisierungen in produktiven Umgebungen bei verschiedenen Kunden in Deutschland und Europa.

Darunter befinden sich Organisationen aus dem KRITIS-Umfeld sowie dem Finanzsektor, bei denen erhöhte Anforderungen an Sicherheit, Datenschutz, Verfügbarkeit und Lifecycle-Management bestehen.

Ausgangssituation

Die bestehende Umgebung basierte auf VMware Horizon 2212 (8.8.0), verwaltet über einen vCenter Server 8.0.3 und ESXi-Hosts der Version 8.0.3.

Die Infrastruktur nutzte die klassische VMware-Branding-Struktur, einschließlich der ADAM-Datenbankpartitionen unter dem Namen „vmware“.

Die Lizenzierung erfolgte über herkömmliche Horizon 8 Lizenzkeys.

Die bestehende Horizon‑Umgebung bestand vor dem Upgrade aus:

Die Umgebung war stabil, jedoch zunehmend eingeschränkt durch:

• veraltete TLS‑Cipher
• eingeschränkte Windows‑11‑Kompatibilität
• fehlende neue Blast‑Optimierungen
• abgekündigte APIs
• steigende Anforderungen an Sicherheit und Compliance
• Neues Omnissa Lizenzmodell

Zusätzlich entstand ein zunehmender Handlungsdruck durch externe und strukturelle Faktoren. Dazu zählten insbesondere das absehbare Support-Ende relevanter Komponenten, steigende Anforderungen an IT-Sicherheit und regulatorische Compliance sowie die Notwendigkeit, aktuelle Windows-Versionen langfristig und supportkonform betreiben zu können.

In dieser Kombination war ein reines Weiterbetreiben der bestehenden Version keine nachhaltige Option mehr.

Implementierungsdetails und Schnittstellen

Das Update wurde in einem sorgfältig geplanten, mehrstufigen Prozess durchgeführt, um eine stabile und sichere Migration zu gewährleisten.

Sämtliche Upgrade-Vorgänge wurden strikt entlang der von Omnissa definierten Best Practices geplant und umgesetzt. Dies umfasste sowohl die empfohlene Upgrade-Reihenfolge der Komponenten als auch die Berücksichtigung unterstützter Zielversionen, Abhängigkeiten und Migrationspfade.

Ziel war es, ein reproduzierbares, revisionssicheres Vorgehen zu etablieren, das sich auch in hochregulierten Umgebungen zuverlässig anwenden lässt.

Zu Beginn stand die Phase der Planung und Vorbereitung, in der die neuen Funktionen der Version 2503 umfassend analysiert wurden. Dabei wurden alle relevanten Änderungen bewertet und die erforderlichen Anpassungen dokumentiert, um sicherzustellen, dass die bestehende Infrastruktur optimal auf die neue Version abgestimmt ist.

Parallel dazu erfolgte eine detaillierte Prüfung der Kompatibilitätsmatrix. Diese Analyse war entscheidend, um die Interoperabilität zwischen den aktuellen Versionen der eingesetzten Komponenten und der geplanten Update-Version sicherzustellen und mögliche Konflikte frühzeitig zu erkennen.

Im Anschluss wurde eine dedizierte Testumgebung eingerichtet, die als Grundlage für umfangreiche Kompatibilitätstests diente. In dieser Umgebung konnten alle kritischen Prozesse simuliert und überprüft werden, bevor die Änderungen in die produktive Umgebung übernommen wurden.

Gleichzeitig bot die Testumgebung die Möglichkeit, das IT-Personal gezielt zu schulen und mit den neuen Funktionen sowie den geänderten Abläufen vertraut zu machen.

Vor der eigentlichen Aktualisierung wurde eine vollständige Sicherung aller bestehenden Konfigurationen und virtuellen Desktops durchgeführt. Dieser Schritt war von zentraler Bedeutung, um im Falle unerwarteter Probleme eine schnelle Wiederherstellung der Systeme zu ermöglichen und die Betriebskontinuität zu gewährleisten.

Erst nach Abschluss dieser Vorbereitungen wurde das Update in der Hauptumgebung durchgeführt. Dabei wurde darauf geachtet, die Ausfallzeiten so gering wie möglich zu halten und die Migration kontrolliert und schrittweise umzusetzen.

Nach der erfolgreichen Durchführung des Updates folgte eine gründliche Validierung der gesamten Umgebung. Hierbei wurden alle zentralen Funktionen und Prozesse überprüft, um die Stabilität, Sicherheit und Leistungsfähigkeit der Systeme nach der Aktualisierung sicherzustellen. Diese abschließende Prüfung war entscheidend, um die Qualität des Updates zu bestätigen und einen reibungslosen Betrieb zu gewährleisten.

Upgrade-Vorgehen und technische Umsetzung

Das Update wurde in einem klar strukturierten und sorgfältig abgestimmten Prozess durchgeführt, der sich an den von Omnissa empfohlenen Best Practices orientierte, um die Dienstverfügbarkeit während des gesamten Prozesses sicherzustellen.

Die Reihenfolge der Aktualisierung war dabei von zentraler Bedeutung, da bestimmte Komponenten voneinander abhängen und nur in einer definierten Abfolge aktualisiert werden können. Zunächst wurde der App Volumes Manager und der DEM Manager auf die neue Version gebracht, gefolgt vom Connection Server, der eine Schlüsselrolle in der Horizon-Architektur einnimmt.

Danach erfolgte die Aktualisierung des Unified Access Gateway, das für den sicheren externen Zugriff zuständig ist, bevor schließlich die Horizon Agents auf den Master-VMs aktualisiert wurden, um die vollständige Kompatibilität mit der neuen Plattformversion zu gewährleisten.

Neben der eigentlichen Aktualisierung der Komponenten mussten auch zentrale Schnittstellenänderungen berücksichtigt werden. Eine der wichtigsten Anpassungen betraf die ADAM-Datenbank-Migration. Mit Horizon 2503 wurde der Name der Anwendungspartition in den lokalen und globalen AD LDS-Instanzen von „vmware“ auf „horizon“ geändert.

Um die Datenintegrität sicherzustellen, wurde nach dem Upgrade ein spezielles Migrationsskript ausgeführt, dass diese Umstellung automatisiert und konsistent umsetzt.

Ein weiterer bedeutender Schritt war die Einführung des nativen SAML-Supports direkt auf dem Connection Server. Diese Neuerung ermöglicht es, interne Benutzer nahtlos an externe Identity Provider weiterzuleiten, ohne dass zwingend ein Unified Access Gateway im internen Netzwerk erforderlich ist. Dadurch wird die Authentifizierung flexibler und sicherer gestaltet.

Darüber hinaus wurde die Cloud-Integration erheblich erweitert. Die Schnittstelle zu Amazon WorkSpaces Core wurde aktualisiert, sodass automatisierte Pools nun auch Grafikkarten-Instanzen wie G4DN mit NVIDIA T4 unterstützen. Dies eröffnet neue Möglichkeiten für grafikintensive Anwendungen und sorgt für eine bessere Performance in virtuellen Umgebungen.

Zusätzlich können Desktops nun direkt über Workspace ONE Access gestartet werden, was die Benutzerfreundlichkeit und die Integration in bestehende Cloud-Workflows deutlich verbessert.

Setup- und Konfigurationsdetails

Ein zentraler Bestandteil war die Anpassung der Infrastruktur-Server an die neuen Anforderungen.

Jeder Connection Server wurde für den produktiven Betrieb so konfiguriert, dass er mit 10GB RAM und 4 vCPUs ausgestattet ist, um eine hohe Skalierbarkeit und die Unterstützung von bis zu 4.000 gleichzeitigen Verbindungen zu gewährleisten.

Darüber hinaus wurde die gesamte Umgebung für den Betrieb unter Windows Server 2025 validiert. Diese Validierung war entscheidend, da sie es ermöglicht, ältere Umgebungen ohne Unterbrechung der Dienste auf die neue Plattform zu migrieren und gleichzeitig die Kompatibilität mit zukünftigen Updates sicherzustellen.

Ein weiterer wichtiger Aspekt war die Lizenzierung. Da Horizon 2503 neue Omnissa-Lizenzschlüssel erfordert, mussten diese im Vorfeld über das Lizenzportal generiert werden. Frühere Lizenzschlüssel aus Horizon 7 oder frühen Horizon-8-Versionen vor 8.14 sind nicht mehr gültig, weshalb eine rechtzeitige Aktualisierung notwendig war, um den reibungslosen Betrieb nach dem Upgrade sicherzustellen.

Zusätzlich war im Rahmen des Updates die Bereitstellung eines Horizon Edge Gateways erforderlich. Dieses Gateway wurde über die Omnissa Cloud-Konsole erstellt und anschließend in die bestehende Infrastruktur ausgerollt. Die Implementierung des Edge Gateways war entscheidend, um die sichere externe Anbindung zu gewährleisten und die neuen Funktionen der Plattform vollständig nutzen zu können.

Durch diese Maßnahme konnte die Umgebung nicht nur die aktuellen Sicherheitsanforderungen erfüllen, sondern auch eine verbesserte Skalierbarkeit und optimierte Performance für den Zugriff auf virtuelle Desktops sicherstellen.

Security- und Image-spezifische Konfiguration

Auch das Zertifikatsmanagement spielte eine zentrale Rolle.

Horizon 2503 nutzt die in Version2212 eingeführte Zertifikatsverwaltung direkt in der Konsole unter „Settings > Certificate Management“.

Für die korrekte Erkennung durch das Secure Gateway ist weiterhin der Friendly Name „vdm“ erforderlich, was bei der Konfiguration berücksichtigt wurde.

Neben der Infrastruktur wurde auch die Master-VM, das sogenannte Gold Image, optimiert. Hier kam das Windows OS Optimization Tool in der Version 2503 zum Einsatz, um unnötige Dienste zu deaktivieren und die Performance zu steigern.

Für die Nutzung von Microsoft Teams mit Real-Time Audio-Video (RTAV) wurde die Hardware entsprechend angepasst: Die VM erhielt 4 vCPUs und 4 GB RAM, als Netzwerkadapter wurde VMXNET 3 und als Controller paravirtuell-SCSI gewählt, um eine optimale Stabilität und Geschwindigkeit zu gewährleisten.

Bei der Installation des Horizon Agents wurden essenzielle Komponenten wie USB-Redirection und Scanner-Redirection explizit aktiviert, da diese Funktionen für die Produktivität der Endbenutzer von großer Bedeutung sind.

Durch diese umfassenden Maßnahmen konnte sichergestellt werden, dass die aktualisierte Umgebung nicht nur den neuen technischen Anforderungen entspricht, sondern auch eine verbesserte Performance, höhere Sicherheit und eine optimale Benutzererfahrung bietet.

Herausforderungen, Risiken und entsprechende Lösungen

Eine der größten Herausforderungen bestand in der potenziellen Inkompatibilität bei einem direkten Upgrade von Version 2212 auf 2503.

Erfahrungen aus vergleichbaren Umgebungen hatten gezeigt, dass bei einem solchen Sprung die Kommunikation zwischen den Clients und der Administrationskonsole unterbrochen werden kann.

Um dieses Risiko zu vermeiden, wurde ein sicherer Upgrade-Pfad gewählt, der zunächst ein Zwischen-Upgrade auf Version 2406 vorsah. Diese Version fungierte als Brückenkopf, da sie die grundlegenden Änderungen im Branding und in der Architektur einführte, bevor die finale Migration auf 2503 erfolgte.

Ein weiteres Risiko ergab sich aus den Änderungen im Branding, die sich direkt auf die Gruppenrichtlinien auswirkten. In der neuen Version befinden sich die Horizon-spezifischen Einstellungen nicht mehr unter den VMware-Knoten, sondern unter Omnissa-Knoten. Ohne Anpassungen hätte dies zu Konflikten in den bestehenden Richtlinien geführt.

Um dies zu verhindern, wurden die ADMX-Templates im Sysvol-Verzeichnis rechtzeitig aktualisiert, bevor die Agenten der Master-Images auf die neue Version hochgestuft wurden. Diese Maßnahme stellte sicher, dass die Richtlinien weiterhin korrekt angewendet werden und die Benutzerumgebung stabil bleibt.

Darüber hinaus traten nach dem Upgrade vereinzelt Verbindungsprobleme bei HTML-Clients auf, die sich in Gateway-Timeouts mit den Fehlercodes HTTP 403 oder 503 äußerten. Die Ursache lag in nicht aktualisierten Unified Access Gateways, die noch auf einer älteren Version liefen. Um die Stabilität der externen Zugriffe zu gewährleisten, wurden alle UAGs auf Version 2503 gebracht.

In Umgebungen mit Load-Balancern war zusätzlich eine Anpassung erforderlich: Die IP-Adressen der Load-Balancer mussten als „allow-origin“-Hosts in der Connectionbroker-Konfiguration hinterlegt werden, um die Kommunikation fehlerfrei zu ermöglichen.

Durch diese sorgfältig geplanten Maßnahmen konnte das Upgrade erfolgreich durchgeführt werden, ohne dass es zu größeren Unterbrechungen oder Funktionsausfällen kam. Die gewählte Strategie stellte sicher, dass sowohl die technische Integrität als auch die Benutzererfahrung während des gesamten Prozesses gewährleistet blieb.

Erfahrungen aus dem Alltagsbetrieb

Das Update brachte eine Reihe betrieblicher Erkenntnisse, die die Verwaltung und den Betrieb der Umgebung nachhaltig verbessert haben.

Besonders hervorzuheben ist die Erweiterung der Monitoring-Funktionen.

Die neue Administrationskonsole ermöglicht nun eine integrierte Überwachung der Unified Access Gateways sowie der Connection Server. Administratoren können direkt auf wichtige Systeminformationen zugreifen, darunter die Auslastung von CPU und Arbeitsspeicher sowie den Status der eingesetzten Zertifikate.

Zusätzlich wurden Warnmechanismen für bevorstehende Zertifikatsabläufe implementiert, was eine proaktive Verwaltung und die Vermeidung von Ausfällen erleichtert.

Auch die Performance beim Anmeldevorgang wurde deutlich optimiert. Durch die Einführung einer asynchronen Task-Ausführung im Dynamic Environment Manager (DEM) können Aufgaben parallel statt sequenziell abgearbeitet werden. Diese Änderung reduziert die Boot-Zeiten der virtuellen Desktops erheblich und sorgt für eine spürbar schnellere Bereitstellung der Arbeitsumgebung, was die Produktivität der Endbenutzer steigert.

Darüber hinaus wurde die Stabilität des Blast-Protokolls verbessert. Der asynchrone Bandbreitenschätzer, der bisher nur für Windows-Clients verfügbar war, wurde nun auch auf Mac- und Linux-Systeme ausgeweitet. Diese Erweiterung trägt dazu bei, die Sitzungsqualität selbst unter schwankenden Netzwerkbedingungen zu sichern, was insbesondere für mobile und remote arbeitende Benutzer von großer Bedeutung ist.

Insgesamt zeigen diese Verbesserungen, dass das Update nicht nur neue Funktionen eingeführt hat, sondern auch die Grundlage für eine effizientere, stabilere und benutzerfreundlichere Infrastruktur geschaffen wurde.

Optimierungen

Im Rahmen des Updates wurden zahlreiche Optimierungen umgesetzt, die sowohl die Performance als auch die Stabilität der Umgebung deutlich verbessert haben.

Besonders im Bereich des Blast-Protokolls gab es entscheidende Weiterentwicklungen.

Die Aktivierung von H.264 sorgt für eine effizientere Video-Kompression und damit für eine bessere Bildqualität bei gleichzeitig reduzierter Bandbreitennutzung.

Ergänzend dazu wurde die dynamische Bitrate optimiert, sodass die Übertragung nun noch flexibler auf wechselnde Netzwerkbedingungen reagieren kann. Auch der UDP-Fallback wurde verbessert, um die Stabilität der Verbindung in Situationen mit eingeschränkter Netzwerkqualität sicherzustellen.

Diese Anpassungen tragen dazu bei, die Benutzererfahrung insbesondere bei grafikintensiven Anwendungen und Remote-Arbeitsplätzen erheblich zu steigern.

Parallel dazu wurden auch im Dynamic Environment Manager (DEM) wichtige Verbesserungen vorgenommen. Durch die Einführung des asynchronen Ladens können Konfigurationsaufgaben nun parallel ausgeführt werden, was die Anmeldezeiten signifikant reduziert.

Zudem wurde die Anzahl der Logon-Skripte verringert, wodurch die Startprozesse der virtuellen Desktops schlanker und effizienter gestaltet wurden. Diese Änderungen führen zu einer spürbaren Beschleunigung des Systemstarts und erhöhen die Produktivität der Endbenutzer.

Ein weiterer zentraler Punkt betrifft die Sicherheit und Performance im Bereich der Verschlüsselung. Mit der Implementierung der ChaCha-Cipher-Suites konnte die Leistung auf Endgeräten verbessert werden, die keine Hardware-Beschleunigung für AES unterstützen. Dies ist insbesondere für mobile Geräte und ältere Hardware von Vorteil, da die Verschlüsselung nun ressourcenschonender erfolgt, ohne die Sicherheit zu beeinträchtigen.

Darüber hinaus wurde die Resilienz des Horizon Recording Service optimiert.

Während kurze Netzwerkunterbrechungen in der Vergangenheit zum Abbruch der Sitzungsaufzeichnung führten, erfolgt nun eine automatische Wiederaufnahme, sobald die Verbindung wiederhergestellt ist. Diese Verbesserung stellt sicher, dass wichtige Sitzungsdaten vollständig erfasst werden, selbst unter schwierigen Netzwerkbedingungen, und erhöht die Zuverlässigkeit der gesamten Lösung.

Insgesamt zeigen diese Optimierungen, dass das Update nicht nur neue Funktionen eingeführt hat, sondern auch die Grundlage für eine leistungsfähigere, stabilere und benutzerfreundlichere Infrastruktur geschaffen wurde.

Einordnung und Übertragbarkeit

Typische Treiber für Horizon-Upgrades in regulierten Umgebungen:

• Security-Anforderungen
• Support-Ende kritischer Versionen
• Performance-Engpässe bei steigender Nutzerzahl
• Compliance- und Auditfähigkeit
• Windows-Versionen und Lifecycle-Management

Die im Rahmen dieses Projekts gewonnenen Erkenntnisse basieren auf mehreren produktiven Upgrade-Projekten in unterschiedlichen Organisationen und Branchen. Die beschriebenen Herausforderungen, insbesondere in den Bereichen Security, Support-Lifecycle, Performance und Compliance, sind typisch für viele Horizon-Umgebungen im Enterprise- und KRITIS-Kontext.

Das dargestellte Vorgehen und die getroffenen technischen Entscheidungen lassen sich daher als belastbarer Referenzrahmen für vergleichbare Umgebungen in Deutschland und Europa heranziehen.

Autor: Marc Bourgeois, IT-Consultant bei MightyCare

Sie haben Fragen zum Projekt oder sind auf der Suche nach einer passenden VDI-Lösung?

Fragen Sie uns gerne nach einer kostenlosen Beratung. Wir freuen uns!

oder 👉 Starten Sie mit einem kostenlosen IT Health Check für VMware-Umgebungen

Mehr über die verwendeten Produkte in diesem Projekt erfahren Sie hier:

👉 Omnissa Horizon

👉 MightyCare VDI Plus

Teilen