Úvod
Článek popisuje možnosti a architektonické rysy cloudové platformy Citrix Cloud a sady služeb Citrix Workspace. Tato řešení jsou centrálním prvkem a základem pro realizaci konceptu digitálních pracovních míst (digital workspace) od společnosti Citrix.
V tomto článku jsem se pokusil objasnit a formulovat příčinné vazby mezi cloudovými platformami, službami a předplatnými Citrixem, jejichž popis ve veřejných zdrojích společnosti (citrix.com a docs.citrix.com) je místy velmi nejasný. Cloudové technologie se zřejmě jinak nevysvětlují! Je třeba poznamenat, že architektura a technologie jsou celkově prezentovány rozumně. Obtíže vznikají při chápání hierarchických vztahů mezi službami a platformami:
- která platforma je primární — Citrix Cloud nebo Citrix Workspace Platform?
- do které z výše uvedených platforem patří mnohé služby Citrix, které jsou nezbytné pro vybudování infrastruktury digitálních pracovních míst?
- kolik to stojí a v jakých variantách je možné to získat?
- je možné realizovat všechny funkce digital workspace Citrix bez použití Citrix Cloud?
Odpovědi na tyto otázky a seznámení se se schématy Citrix pro digitální pracovní místa pod katem.
Citrix Cloud
Citrix Cloud je cloudová platforma, na které jsou umístěny všechny služby potřebné k organizaci digitálních pracovních míst. Tuto cloudovou službu přímo vlastní společnost Citrix, která se také stará o její údržbu a zajišťuje stanovenou (dostupnost služeb – nejméně 99,5 % měsíčně).
Zákazníci společnosti Citrix v závislosti na zvoleném předplatném (balíčku služeb) získávají přístup k určitým službám podle modelu SaaS. Pro ně Citrix Cloud funguje jako cloudové řídicí rozhraní digitálních pracovních míst společnosti. Citrix Cloud má multi-tenant architekturu, zákazníci a jejich infrastruktury jsou navzájem izolovány.
Citrix Cloud funguje jako řídící rovina (control plane), kde jsou umístěny četné cloudové služby Citrix, včetně služeb pro správu a infrastrukturu digitální pracovní plochy. Datová rovina, která zahrnuje uživatelské aplikace, pracovní plochy a data, se nachází mimo Citrix Cloud. Výjimkou je pouze služba Secure Browser Service, která je poskytována kompletně na základě cloudového modelu. Datová rovina může být umístěna v zákaznickém datovém centru (on-premises), datovém centru poskytovatele služeb, hypercloudech (AWS, Azure, Google Cloud). Možná jsou hybridní a distribuovaná řešení, kdy jsou zákaznická data umístěna na několika místech a cloudových platformách, přičemž jejich řízení je centralizováno z Citrix Cloud.
Tento přístup má řadu zřejmých výhod pro zákazníky:
- svoboda volby místa pro umístění dat;
- možnost vytvoření hybridní distribuované infrastruktury, která zahrnuje mnoho umístění u různých poskytovatelů, v několika cloudech a on-premises;
- absence přímého přístupu k uživatelským datům ze strany Citrix, neboť se nacházejí mimo Citrix Cloud;
- možnost samostatně nastavit požadovanou úroveň výkonu, odolnosti proti selhání, spolehlivosti, důvěrnosti, integrity a dostupnosti dat; poté vybrat odpovídající místa pro umístění;
- absence nutnosti umisťovat a spravovat množství služeb pro správu digitálních pracovních míst, neboť všechny se nacházejí v Citrix Cloud a jsou starostí Citrix; jako důsledek – snížení nákladů.
Citrix Workspace
Citrix Workspace je transcendentální, základní a komplexní pojem. Podívejme se na něj podrobněji a pochopíme proč.
Obecně Citrix Workspace ztělesňuje koncept digitálních pracovních míst od společnosti Citrix. Je to současně řešení, služba a soubor služeb pro vytváření integrovaných, bezpečných, pohodlných a řízených pracovních míst.
Uživatelé mají možnost bezproblémového SSO pro rychlý přístup k aplikacím/službám, desktopům a datům z jediné konzole z jakéhokoli zařízení pro produktivní práci. Mohou s radostí zapomenout na mnoho účtů, hesel a komplikací při hledání aplikací (zástupci, nabídka Start, prohlížeče – vše na různých místech).
IT oddělení získává nástroje pro centrální řízení služeb a klientských zařízení, zajištění bezpečnosti, správu přístupu, monitorování, aktualizaci, optimalizaci síťové interakce a analýzu.
Citrix Workspace umožňuje poskytnout sjednocený přístup k následujícím zdrojům:
- Citrix Virtual Apps and Desktops – virtualizace aplikací a desktopů;
- Webové aplikace;
- Cloudové SaaS aplikace;
- Mobilní aplikace;
- Soubory v různých úložištích, včetně cloudových.
Přístup k zdrojům Citrix Workspace je zajištěn prostřednictvím:
- Standardního prohlížeče — podporujícího Chrome, Safari, MS IE a Edge, Firefox
- nebo 'nativní' klientské aplikace — Citrix Workspace App.
Přístup je možný ze všech populárních klientských zařízení:
- Plnohodnotné počítače běžící na Windows, Linux, MacOS a dokonce Chrome OS;
- Mobilní zařízení s iOS nebo Android.
Citrix Workspace Platform – je součástí mnoha cloudových služeb Citrix Cloud, určených k organizaci digital workspace. Je třeba zdůraznit, že Workspace zahrnuje většinu služeb přítomných v Citrix Cloud, podrobněji se na ně zaměříme později.
Takto koncoví uživatelé získávají funkčnost digitálních pracovních míst na oblíbených klientských zařízeních prostřednictvím Workspace App nebo jeho alternativy v prohlížeči (Workspace App pro HTML5). Pro dosažení této funkčnosti Citrix nabízí Workspace Platform ve formě sady cloudových služeb, kterými správci společnosti řídí přes Citrix Cloud.
Citrix Workspace je k dispozici ve : Standard, Premium, Premium Plus. Liší se počtem služeb zahrnutých v balíčku. Také je možné zakoupit některé služby samostatně, mimo balíček. Například základní služba Virtual Apps and Desktops je součástí pouze balíčku Premium Plus, a její samostatná cena je vyšší než balíček Standard a téměř rovná balíčku Premium.
Ukazuje se, že Workspace zahrnuje jak klientskou aplikaci – Workspace App, tak cloudovou platformu (její část) – Workspace Platform, a také názvy různých balíčků služeb a koncept digitálních pracovních míst od Citrix jako celku. Taková mnohotvárná entita.
Architektura a systémové požadavky
V rámci struktury Digital Workspace od společnosti Citrix lze typicky vyčlenit 3 oblasti:
- Mnoho klientských zařízení s aplikací Workspace App nebo webovým přístupem k digitálním pracovním místům.
- Samotná Workspace Platform v cloudu Citrix Cloud, která existuje někde v síti Internet v doméně cloud.com.
- Umístění zdrojů (resource location) – vlastní nebo pronajaté plochy, veřejné nebo soukromé cloudy, ve kterých jsou umístěny zdroje s aplikacemi, virtuálními desktopi a daty zákazníka, publikovanými v Citrix Workspace. To je ten správný datový plán, o kterém bylo zmíněno výše. Připomínám, že jeden zákazník může mít několik resource locations.
Příklady zdrojů mohou zahrnovat hypervizory, servery, síťová zařízení, AD domény a další prvky nezbytné pro poskytování odpovídajících služeb digitálních pracovních míst uživatelům.
Distribuovaný scénář infrastruktury může předpokládat:
- několik umístění zdrojů ve vlastních datových centrech zákazníka,
- umístění v veřejných cloudech,
- malá umístění v odlehlých pobočkách.
Při plánování umístění je třeba vzít v úvahu:
- blízkost uživatelů, dat a aplikací;
- možnost škálování, včetně zajištění rychlého zvyšování a snižování výkonu;
- požadavky na bezpečnost a regulátory.
Komunikace mezi Citrix Cloud a umístěními zdrojů zákazníka se uskutečňuje prostřednictvím komponentů nazývaných Citrix Cloud Connector. Tyto komponenty umožňují zákazníkovi soustředit se na správu zdrojů poskytovaných uživatelům a zapomenout na tanec se službami a spravujícími komponentami, které jsou již nasazeny v cloudu a jsou udržovány společností Citrix.
Pro vyvážení zátěže a zajištění vysoké dostupnosti se doporučuje nasadit alespoň dva Cloud Connector v každém umístění zdrojů. Cloud Connector může být nainstalován na vyhrazeném fyzickém nebo virtuálním stroji se systémem Windows Server (2012 R2 nebo 2016). Je preferováno umístit je do interní sítě umístění zdrojů, nikoli do DMZ.
Cloud Connector autentizuje a šifruje provoz mezi Citrix Cloud a umístěním zdrojů přes https, standardně na TCP portu 443. Povolené jsou pouze odchozí relace – od Cloud Connector do cloudu, příchozí spojení jsou zakázána.
Citrix Cloud vyžaduje existenci služby Active Directory (AD) v infrastruktuře zákazníka. AD hraje roli hlavního IdAM poskytovatele a je nezbytná pro autorizaci přístupu uživatelů k prostředkům Workspace. Cloud Connector musí mít přístup k AD. Pro zajištění vysoké dostupnosti je dobrou praxí mít po páru řadičů domény v každém umístění zdrojů, které budou komunikovat s Cloud Connector v daném umístění.
Služby Citrix Cloud
Nyní se zaměříme na hlavní služby Citrix Cloud, které tvoří základ platformy Citrix Workspace a umožňují zákazníkům nasazovat plnohodnotná digitální pracovní místa.
Podívejme se na účel a funkčnost těchto služeb.
Virtual Apps and Desktops
To je hlavní služba Citrix Digital Workspace, která umožňuje poskytovat terminálový přístup k aplikacím a plnohodnotnému VDI. Podporuje virtualizaci aplikací a desktopů Windows a Linux.
Jako cloudová služba Citrix Cloud má služba Virtual Apps and Desktops stejné komponenty jako tradiční (ne-cloudová) Virtual Apps and Desktops, jak je znázorněno na obrázku níže. Rozdíl spočívá v tom, že všechny řídící komponenty (control plane) služby jsou umístěny v cloudu Citrix Cloud. Zákazník už nemusí nasazovat a udržovat tyto komponenty, což za něj vyřizuje společnost Citrix.
Na své straně by zákazník v umístění zdrojů měl nasadit následující komponenty:
- Cloud Connector;
- Řadiče domény AD;
- Virtual Delivery Agents (VDA);
- Hypervizory – obvykle jsou k dispozici, ale jsou situace, kdy lze obejít fyzické prostředky;
- Volitelné komponenty – Citrix Gateway a StoreFront.
Všechny uvedené komponenty kromě Cloud Connectorů si zákazník spravuje sám. To dává smysl, protože zde se nachází data-plane, zejména se to týká fyzických uzlů a hypervizorů s VDA, kde se nacházejí přímo uživatelské aplikace a desktopy.
Cloud Connectory by měly být nainstalovány pouze silami zákazníka, je to velmi jednoduchý postup prováděný z konzole Citrix Cloud. Další jejich správa je prováděna automaticky.
Řízení přístupu
Tato služba poskytuje následující možnosti:
- SSO (single sign-on) k širokému spektru populárních SaaS aplikací;
- Filtrace přístupu k internetovým zdrojům;
- Sledování aktivity uživatelů na internetu.
SSO klientů k SaaS službám přes Citrix Workspace je pohodlnější a bezpečnější alternativou v porovnání s běžným přístupem přes prohlížeč. Seznam podporovaných SaaS aplikací je poměrně rozsáhlý a neustále se rozšiřuje.
Filtrace přístupu k internetu může být nastavena na základě ručně vytvářených bílých nebo černých seznamů webových stránek. Dále je podporováno omezení přístupu podle kategorií webů, na základě rozsáhlých aktualizovaných obchodních seznamů URL. Uživatelům může být omezen přístup k takovým kategoriím webů jako jsou sociální sítě, nakupování, pro dospělé, malware, torrentovací služby, proxy atd.
Kromě povolení přístupu na weby/SaaS přímo nebo blokování přístupu k nim existuje možnost přesměrovat klienty na Secure Browser. Tj. pro snížení rizik bude přístup k vybraným kategoriím/seznamům internetových zdrojů možný pouze přes Secure Browser.
Služba také poskytuje podrobnou analýzu pro monitorování aktivity uživatelů na internetu: navštěvované stránky a aplikace, nebezpečné zdroje a útoky, zablokovaný přístup, objemy nahraných/stáhnutých dat.
Secure Browser
Umožňuje publikovat pro uživatele Citrix Workspace internetový prohlížeč (Google Chrome) ve formě virtuální aplikace. Secure Browser je SaaS služba, jejímž řízením a správou se zabývá společnost Citrix. Je plně umístěn v Citrix Cloud (včetně data-plane), zákazník nemusí tento službu rozvíjet a spravovat na vlastních umístěních zdrojů.
Citrix zajišťuje přidělení zdrojů ve svém cloudu pro VDA, na kterých jsou umístěny pro klienty publikované prohlížeče, zajišťuje bezpečnost a aktualizaci operačního systému a samotných prohlížečů.
Klienti mají přístup k Secure Browser prostřednictvím aplikace Workspace nebo klientského prohlížeče. Relace je šifrována pomocí TLS. Pro využití služby si klient nemusí nic stahovat a instalovat.
Webové stránky a aplikace spouštěné přes Secure Browser běží v cloudu, klient pouze získává obraz terminálové relace, na koncovém zařízení se nic nespouští. To výrazně zvyšuje úroveň bezpečnosti a chrání před útoky na prohlížeče.
Připojení služby a správa se provádí prostřednictvím zákaznického panelu Citrix Cloud. Připojení se provádí během několika kliknutí:
Správa je také dostatečně jednoduchá, spočívá v nastavení politiky a bílých seznamů:
Politika umožňuje regulovat následující parametry:
- Schránka – umožňuje aktivovat možnost kopírování a vkládání v prohlížečové relaci;
- Tisk – možnost ukládat webové stránky na klientském zařízení ve formátu PDF;
- Non-kiosk – je ve výchozím nastavení povolena, umožňuje plné používání prohlížeče (několik karet, adresní řádek);
- Region failover – možnost restartovat prohlížeč v jiném regionu Citrix Cloud při výpadku hlavního regionu;
- Mapování klientských disků – možnost připojit disk klientského zařízení pro stahování nebo nahrávání souborů z prohlížečové relace.
Bílé seznamy (Whitelists) umožňují definovat seznam webových stránek, ke kterým bude otevřen přístup klientů. Přístup k prostředkům mimo tento seznam bude zakázán.
Content Collaboration
Tato služba zajišťuje možnost sdíleného přístupu uživatelů Workspace k souborům a dokumentům umístěným na interních zdrojích zákazníka (on-premises) a podporovaných veřejnými cloudovými službami. Může se jednat o osobní složky uživatele, podnikové síťové sdílení, dokumenty SharePoint nebo cloudové úložiště jako OneDrive, DropBox nebo Google Drive.
Služba poskytuje SSO pro přístup k datům na všech typech úložišť. Uživatelé Citrix Workspace získávají bezpečný přístup k pracovním souborům ze svých zařízení nejen v kanceláři, ale i na dálku, bez jakýchkoli dodatečných komplikací.
Obsahová spolupráce nabízí následující funkce pro práci s daty:
- sdílení souborů mezi zdroji Workspace a klientským zařízením (stažení a nahrání),
- synchronizaci uživatelských souborů na všech zařízeních,
- společný přístup k souborům a jejich synchronizaci pro více uživatelů Workspace,
- nastavení přístupových práv k souborům a složkám pro ostatní uživatele Workspace,
- žádat o přístup k souborům, vytvářet odkazy pro bezpečné nahrávání (upload) souborů.
Kromě toho poskytujeme další mechanismy ochrany:
- přístup k souborům pomocí jednorázových hesel,
- šifrování souborů,
- označování sdílených souborů vodotisky (watermark).
Správa koncových zařízení
Tato služba poskytuje funkčnost potřebnou pro digitální pracovní místa pro správu mobilních zařízení (Mobile Device Management – MDM) a aplikací (Mobile Application Management – MAM). Citrix ji představuje jako SaaS-EMM řešení – Enterprise Mobility Management jako službu.
Funkčnost MDM umožňuje:
- distribuovat aplikace, politiky zařízení, certifikáty pro připojení k zdrojům zákazníka,
- sledovat zařízení,
- blokovat a provádět úplné nebo částečné vymazání (wipe) zařízení.
Funkčnost MAM umožňuje:
- zajistit bezpečnost aplikací a dat na mobilních zařízeních,
- distribuovat firemní mobilní aplikace.
Z pohledu architektury a principu poskytování služby zákazníkovi je Správa koncových zařízení velmi podobná výše popsané cloudové variantě Virtual Apps and Desktops. Ovládací plán a její služby se nacházejí v Citrix Cloud, o jejich údržbu se stará Citrix, což umožňuje považovat tuto službu za SaaS.
Datový plán na umístěních zdrojů zákazníka zahrnuje:
- Cloud Connector potřebné pro interakci s cloudem Citrix,
- Citrix Gateway, které zajišťují bezpečný vzdálený přístup uživatelů k interním zdrojům zákazníka (aplikace, data) a funkčnost mikro-VPN,
- Active Directory, PKI
- Exchange, soubory, virtuální aplikace a pracovní plochy.
Gateway
Citrix Gateway poskytuje následující funkčnost:
- bránu vzdáleného přístupu – bezpečné připojení k firemním zdrojům pro mobilní a vzdálené uživatele zvenčí chráněného perimetru,
- poskytovatele IdAM (Identity and Access Management) pro zajištění SSO k firemním zdrojům.
Pod korporátními zdroji v tomto kontextu rozumíme nejen virtuálním aplikacím a desktopům, ale také mnoha SaaS aplikacím.
Pro optimalizaci síťového provozu a získání funkčnosti micro VPN je nutné nasadit Citrix Gateway na každé lokalitě zdrojů, obvykle v DMZ. V takovém případě nese odpovědnost za potřebné zdroje a údržbu zákazník.
Alternativní možností je použití Citrix Gateway jako služby Citrix Cloud, v tomto případě si zákazník nic sám nenastavuje ani neudržuje, o to se postará Citrix v jeho cloudu.
Analytika
Toto je analytická služba Citrix Cloud, integrovaná se všemi výše popsanými cloudovými službami. Je určena ke sběru dat generovaných službami Citrix a jejich analýze pomocí vestavěných mechanismů strojového učení. Sledovány jsou metriky související s uživateli, aplikacemi, soubory, zařízeními a sítí.
V důsledku toho se vytvářejí zprávy o bezpečnosti, výkonnosti a uživatelských operacích.
Kromě vytváření statistických zpráv umí Citrix Analytics jednat proaktivně. To spočívá ve vytváření profilů běžného chování uživatelů a odhalování anomálií. Pokud uživatel začne aplikaci používat neobvyklým způsobem nebo aktivně sdílet data, může být automaticky zablokován on i jeho zařízení. Totéž se stane v případě přístupu na nebezpečné internetové zdroje.
Pozornost je věnována nejen bezpečnosti, ale také výkonnosti. Analytika umožňuje monitorovat a rychle řešit problémy spojené s dlouhým přihlášením uživatelů a síťovými zpožděními.
Závěr
Seznámili jsme se s architekturou cloudu Citrix, platformou Workspace a jejími hlavními službami potřebnými pro organizaci infrastruktury digitálních pracovních míst. Je třeba poznamenat, že jsme se zabývali daleko ne všemi službami Citrix Cloud, omezili jsme se na základní sadu pro organizaci digital workspace. služeb cloudu Citrix také zahrnuje síťové nástroje, další funkce pro práci s aplikacemi a pracovními místy.
Je také nutné říci, že hlavní funkčnost digitálních pracovních míst lze nasadit i bez Citrix Cloud, výhradně on-premises. Základní produkt Virtual Apps and Desktops je stále k dispozici v klasické podobě, kdy nejen VDA, ale i všechny řídící služby si nasazuje a spravuje zákazník na své infrastruktuře samostatně, žádné Cloud Connectorů v takovém případě nejsou potřeba. To platí také pro Endpoint Management – jeho on-premises předchůdce se nazývá XenMobile Server, avšak v cloudové variantě je o něco funkčnější. Část možností Access Control může zákazník také realizovat na svém vlastním místě. Funkčnost Secure Browser může být realizována on-premises, přičemž volba prohlížeče zůstává na zákazníkovi.
Usilování o to, mít vše nasazeno na vlastní infrastruktuře, je dobré z hlediska bezpečnosti, kontroly a sankční nedůvěry k západním cloudům. Nicméně bez Citrix Cloud bude funkčnost Content Collaboration a Analytics zcela nedostupná. Funkčnost ostatních řešení Citrix on-premises, jak bylo uvedeno výše, může ustoupit jejich cloudové realizaci. A co je nejdůležitější – úroveň managementu bude muset zůstat u zákazníka a spravovat se samostatně.
Užitečné odkazy:
, včetně Citrix Cloud
– technická videa, články a diagramy
Zdroj: habr.com
