🥇Arkitektur for Digital Workspace på Citrix Cloud-platformen

Introduktion

Artiklen beskriver mulighederne og de arkitektoniske træk ved Citrix Cloud og Citrix Workspace-tjenestesæt. Disse løsninger er centrale elementer og fundamentet for realiseringen af konceptet om digitale arbejdspladser (digital workspace) fra Citrix.

I denne artikel har jeg forsøgt at finde frem til og formulere årsagssammenhængen mellem Citrixs cloud-platforme, tjenester og abonnementer, hvis beskrivelse i åbne kilder fra virksomheden (citrix.com og docs.citrix.com) til tider fremstår meget uklar. Cloud-teknologier – kan man ikke gøre det anderledes! Det skal bemærkes, at arkitekturen og teknologierne generelt forklares fornuftigt. Udfordringer opstår i forståelsen af det hierarkiske forhold mellem tjenester og platforme:

hvilken platform er primær – Citrix Cloud eller Citrix Workspace Platform?
hvilken af de ovennævnte platforme inkluderer de mange Citrix-tjenester, der er nødvendige for at opbygge infrastrukturer til digitale arbejdspladser?
hvor meget koster denne fornøjelse, og hvilke muligheder findes der?
er det muligt at implementere alle funktioner i Citrix digital workspace uden at bruge Citrix Cloud?

Svarene på disse spørgsmål og introduktionen til Citrix-løsninger for digitale arbejdspladser findes nedenfor.

Citrix Cloud

Citrix Cloud er en cloud-platform, hvor alle de tjenester, der er nødvendige for at organisere digitale arbejdspladser, er placeret. Denne cloud ejer direkte Citrix, som også står for dens vedligeholdelse og sikrer den angivne SLA (tilgængelighed af tjenester – mindst 99,5 % om måneden).

Kunderne (klienterne) hos Citrix får adgang til et bestemt udvalg af tjenester efter en valgt abonnement (servicesæt) baseret på SaaS-modellen. For dem fungerer Citrix Cloud som en cloud kontrolpanel for virksomhedens digitale arbejdspladser. Citrix Cloud har multi-tenant arkitektur, hvor kunderne og deres infrastrukturer er isoleret fra hinanden.

Citrix Cloud fungerer som en kontrolplan, hvor mange Citrix-cloudtjenester, herunder de administrative og styrende tjenester i digital workspace-infrastrukturen, er placeret. Dataplanen, der omfatter brugerapplikationer, desktops og data, ligger uden for Citrix Cloud. Den eneste undtagelse er Secure Browser Service, som leveres fuldt ud i en cloud-model. Dataplanen kan placeres i kundens datacenter (on-premises), i serviceudbyderens datacenter eller i hyper-clouds (AWS, Azure, Google Cloud). Der er mulighed for blandede og distribuerede løsninger, hvor kundedata findes på flere placeringer og clouds, mens styringen centraliseres fra Citrix Cloud.

Denne tilgang har en række åbenlyse fordele for kunderne:

friheden til at vælge placering for datalagring;
muligheden for at bygge en hybrid distribueret infrastruktur, der inkluderer mange placeringer hos forskellige udbydere, i flere clouds og on-premises;
ingen direkte adgang til brugerdata fra Citrix, da de ligger uden for Citrix Cloud;
muligheden for selv at fastsætte det nødvendige niveau af ydeevne, fejl tolerance, pålidelighed, fortrolighed, integritet og tilgængelighed af data; derefter vælge passende placeringer til lagring;
ingen behov for at implementere og vedligeholde mange tjenester til styring af digitale arbejdspladser, da alle disse findes i Citrix Cloud og er Citrix's ansvar; som følge heraf reduceres omkostningerne.

Citrix Workspace

Citrix Workspace er et transcendentalt, grundlæggende og altomfattende begreb. Lad os se nærmere på det, så det bliver klart hvorfor.

Generelt repræsenterer Citrix Workspace konceptet for digitale arbejdspladser fra Citrix. Det er samtidig en løsning, en service og et sæt tjenester til oprettelse af sammenkoblede, sikre, brugervenlige og styrede arbejdspladser.

Brugere får mulighed for sømløs SSO for hurtig adgang til applikationer/tjenester, stationære computere og data fra en enkelt konsol fra enhver enhed til produktivt arbejde. De kan gladeligt glemme alt om mange konti, adgangskoder og problemer med at finde applikationer (genveje, startmenu, browsere – alt ligger forskellige steder).

IT-afdelingen får værktøjer til centraliseret styring af tjenester og klientenheder, sikring af sikkerhed, adgangsbegrænsning, overvågning, opdatering, optimering af netværk, og analytics.

Citrix Workspace giver mulighed for samlet adgang til følgende ressourcer:

Citrix Virtual Apps and Desktops – virtualisering af applikationer og stationære computere;
Web-applikationer;
Cloud SaaS-applikationer;
Mobile applikationer;
Filer i forskellige lagringssteder, herunder cloud.

Adgang til ressourcerne i Citrix Workspace sker via:

Standardbrowser — understøtter Chrome, Safari, MS IE og Edge, Firefox
eller den 'native' klientapplikation — Citrix Workspace App.

Adgang er mulig fra alle populære klientenheder:

Fuldgyldige computere, der kører Windows, Linux, MacOS og endda Chrome OS;
Mobile enheder med iOS eller Android.

Citrix Workspace Platform er en del af mange cloud-tjenester fra Citrix Cloud, der er designet til at organisere digital arbejdspladser. Det skal bemærkes, at Workspace inkluderer de fleste tjenester, der findes i Citrix Cloud, som vi vil uddybe senere.

Således får slutbrugerne funktionaliteten til digitale arbejdspladser på deres foretrukne klientenheder via Workspace App eller dens browsererstatning (Workspace App til HTML5). For at opnå denne funktionalitet tilbyder Citrix Workspace Platform en række cloud-tjenester, som virksomhedens administratorer kontrollerer via Citrix Cloud.

Citrix Workspace er tilgængelig i tre pakker: Standard, Premium, Premium Plus. De adskiller sig i antal tjenester, der er inkluderet i pakken. Derudover er det muligt at købe nogle tjenester separat, uden for pakken. For eksempel er den grundlæggende tjeneste Virtual Apps and Desktops kun inkluderet i pakken Premium Plus, og dens individuelle pris er højere end Standard-pakken og næsten lig med Premium.

Det viser sig, at Workspace både er klientapplikationen – Workspace App, og cloud-platformen (en del af den) – Workspace Platform, og navnet på forskellige servicepakker, samt konceptet for digitale arbejdspladser fra Citrix generelt. En så mangfoldig enhed.

Arkitektur og systemkrav

I strukturen af Digital Workspace fra Citrix kan man условно выделить 3 områder:

Mange klientenheder med Workspace App eller browseradgang til de digitale arbejdspladser.
Direkte Workspace Platform i Citrix Cloud, som er til stede et sted på internettet under domænet cloud.com.
Ressourceplaceringer (resource location) – egne eller lejede steder, private eller offentlige clouds, hvor ressourcer med applikationer, virtuelle desktops og kundedata, der offentliggøres i Citrix Workspace, placeres. Det er det såkaldte data-plane, som der blev nævnt tidligere. Husk at en enkelt kunde kan have flere resource locations.

Eksempler på ressourcer kan være hypervisorer, servere, netværksenheder, AD-domæner og andre elementer, der er nødvendige for at levere de relevante tjenester til brugerne af digitale arbejdspladser.

Et distribueret infrastruktur-scenario kan forudsætte:

flere ressourceplaceringer i kundens egne datacentre,
placeringer i offentlige clouds,
små placeringer i fjerne filialer.

Når man planlægger placeringer, bør man tage højde for:

nærhed til brugere, data og applikationer;
muligheden for skalering, herunder hurtig op- og nedskaleringskapacitet;
sikkerheds- og reguleringskrav.

Kommunikation mellem Citrix Cloud og kundens ressourceplaceringer sker gennem komponenter, der kaldes Citrix Cloud Connector. Disse komponenter gør det muligt for kunden at fokusere på at vedligeholde ressourcerne, der tilbydes brugerne, og glemme alt om besværet med service- og administrationssystemer, der allerede er implementeret i cloud'en og vedligeholdes af Citrix.

For load balancing and fault tolerance, it is recommended to deploy at least two Cloud Connectors in each resource location. The Cloud Connector can be installed on a dedicated physical or virtual machine with Windows Server (2012 R2 or 2016). It is preferable to host them within the internal network of the resource location, not in the DMZ.

The Cloud Connector authenticates and encrypts traffic between Citrix Cloud and the resource location via https, typically using TCP port 443. Only outgoing sessions are allowed – from the Cloud Connector to the cloud, incoming connections are prohibited.

Citrix Cloud requires an Active Directory (AD) service in the customer's infrastructure. AD serves as the primary IdAM provider and is essential for authorizing user access to Workspace resources. The Cloud Connectors must have access to AD. For fault tolerance, it is good practice to have a pair of domain controllers in each resource location that will interact with the Cloud Connectors of that location.

Citrix Cloud Services

Now let's focus on the core services of Citrix Cloud that underpin the Citrix Workspace platform and enable customers to deploy fully functional digital workspaces.

Let's examine the purpose and functionality of these services.

Virtual Apps and Desktops

This is the primary service of Citrix Digital Workspace, allowing terminal access to applications and full VDI. It supports virtualization of Windows and Linux applications and desktops.

As a cloud service of Citrix Cloud, the Virtual Apps and Desktops service comprises the same components as the traditional (non-cloud) Virtual Apps and Desktops, as shown in the illustration below. The difference is that all control plane components for the service are hosted in Citrix Cloud. The customer no longer needs to deploy and maintain these components or allocate computing resources for them; Citrix handles this.

On the customer's side in the resource locations, the following components must be deployed:

Cloud Connectors;
AD domain controllers;
Virtual Delivery Agents (VDAs);
Hypervisors – they are usually available, but there are situations where physical resources can suffice;
Optional components – Citrix Gateway and StoreFront.

Alle nævnte komponenter, undtagen Cloud Connector, håndteres af kunden selv. Dette er logisk, da data-planen befinder sig her, især hvad angår fysiske noder og hypervisorer med VDA, hvor brugerens applikationer og desktops placeres direkte.

Cloud Connector skal kun installeres af kunden, dette er en meget simpel procedure, der udføres fra Citrix Cloud-konsollen. Further support is handled automatically.

Adgangskontrol

Den tjeneste tilbyder følgende muligheder:

SSO (single sign-on) til et stort udvalg af populære SaaS-applikationer;
Filtrering af adgang til internetressourcer;
Overvågning af brugeraktivitet på internettet.

Kundernes SSO til SaaS-tjenester gennem Citrix Workspace er en mere bekvem og sikker alternativ i forhold til normal adgang gennem en browser. Listen over understøttede SaaS-applikationer er ret stor og udvides konstant.

Filtrering af internetadgang kan konfigureres baseret på manuelle hvide eller sorte lister over websider. Derudover understøttes adgangsbegrænsning efter kategorier af websteder, baseret på omfattende opdaterede kommercielle URL-lister. Brugere kan få begrænset adgang til kategorier som sociale netværk, shopping, for voksne, malware, torrent og lignende.

Udover at give adgang til websteder/SaaS direkte eller blokere adgangen til dem, er der mulighed for at omdirigere kunder til Secure Browser. Det vil sige, for at reducere risici vil adgangen til bestemte kategorier/lister af internetressourcer kun være muligt gennem Secure Browser.

Tjenesten leverer også detaljeret analyse til overvågning af brugeraktivitet på internettet: besøgte websteder og applikationer, farlige ressourcer og angreb, blokeret adgang, mængder af uploadede/downloadede data.

Secure Browser

Giver mulighed for at publicere en internetbrowser (Google Chrome) som en virtuel applikation for brugere af Citrix Workspace. Secure Browser er en SaaS-tjeneste, som administreres og vedligeholdes af Citrix. Den er helt hostet i Citrix Cloud (inklusive data-planen), kunden skal ikke implementere og vedligeholde den i sine egne ressourcesteder.

Citrix står for tildelingen af ressourcer i sit cloud til VDA, hvor de publicerede browsere til kunderne hostes, sikrer sikkerheden samt opdatering af operativsystemet og browserne selv.

Adgang til Secure Browser for kunderne sker gennem Workspace-appen eller klientbrowseren. Sessionen krypteres via TLS. For at bruge tjenesten skal kunden ikke downloade eller installere noget.

Websteder og webapplikationer, der køres gennem Secure Browser, kører i skyen, og kunden modtager blot billedet af terminalsessionen; der udføres ingen handlinger på den endelige enhed. Dette muliggør en betydelig stigning i sikkerhedsniveauet og beskytter mod browserangreb.

Tilslutning til tjenesten og dens administration sker gennem Citrix Cloud-kundenheden. Tilslutningen udføres med et par klik:

Administrationen er også ret enkel, den omfatter fastlæggelse af politikker og hvitelister:

Politikken giver mulighed for at regulere følgende parametre:

Clipboard – giver mulighed for at aktivere kopier og indsæt i browser-sessionen;
Printing – mulighed for at gemme websider på klientens enhed som PDF;
Non-kiosk – aktiveret som standard, giver mulighed for fuld brug af browseren (flere faner, adressefelt);
Region failover – muligheden for at genstarte browseren i en anden region af Citrix Cloud, hvis den primære region fejler;
Client drive mapping – mulighed for at montere disk på klientens enhed til download eller upload af filer fra browser-sessionen.

Hvitelister giver mulighed for at angive en liste over websteder, som kunderne får adgang til. Adgang til ressourcer uden for denne liste vil være forbudt.

Content Collaboration

Denne tjeneste muliggør delt adgang for brugere af Workspace til filer og dokumenter, der er placeret på kundens interne ressourcer (on-premises) samt understøttede offentlige cloud-tjenester. Det kan være brugerens personlige mapper, virksomhedsnetværksandeler, SharePoint-dokumenter eller cloud-repositories som OneDrive, DropBox eller Google Drive.

Tjenesten tilbyder SSO for adgang til data på alle typer lagringsressourcer. Brugere af Citrix Workspace får sikker adgang til arbejdsfiler fra deres enheder, ikke kun på kontoret, men også eksternt, uden nogen yderligere komplikationer.

Content Collaboration tilbyder følgende muligheder for databehandling:

filudveksling mellem Workspace-ressourcer og klientenheder (download og upload),
synkronisering af brugerfiler på alle enheder,
delt adgang til filer og deres synkronisering for flere Workspace-brugere,
indstilling af adgangsrettigheder til filer og mapper for andre Workspace-brugere,
anmodning om adgang til filer, oprettelse af links til sikker upload af filer.

Derudover tilbydes der yderligere beskyttelsesmekanismer:

adgang til filer via engangskoder,
filkryptering,
forsyning af delte filer med vandmærker.

Endpoint Management

Denne service sikrer den nødvendige funktionalitet til håndtering af mobile enheder (Mobile Device Management - MDM) og applikationer (Mobile Application Management - MAM) til digitale arbejdspladser. Citrix positionerer det som en SaaS-EMM-løsning - Enterprise Mobility Management som service.

MDM-funktionaliteten tillader:

distribuering af applikationer, enhedspolitikker, certifikater til forbindelser til kundens ressourcer,
opretholdelse af enhedsoversigt,
blokering og gennemførelse af fuld eller delvis sletning (wipe) af enheder.

MAM-funktionaliteten gør det muligt:

at sikre applikationer og data på mobile enheder,
at levere virksomhedens mobile applikationer.

Set fra et arkitektonisk perspektiv og prinsipielt for levering af tjenesten til kunden, ligner Endpoint Management meget den ovenfor beskrevne cloud-version af Virtual Apps and Desktops. Control Plane og de tjenester, der udgør det, er placeret i Citrix Cloud, og de vedligeholdes af Citrix, hvilket gør det muligt at betragte denne tjeneste som SaaS.

Data Plane i kundens ressourcelokationer inkluderer:

Cloud Connectors, der er nødvendige for interaktionen med Citrix-clouden,
Citrix Gateways, der sikrer fjernadgang for brugere til kundens interne ressourcer (applikationer, data) og mikro-VPN-funktionalitet,
Active Directory, PKI
Exchange, filer, virtuelle applikationer og desktops.

Gateway

Citrix Gateway tilbyder følgende funktionalitet:

fjernaadgangs-gateway - sikker forbindelse til virksomhedens ressourcer for mobile og fjernbrugere uden for den beskyttede perimeter,
IdAM-udbyder (Identity and Access Management) for at sikre SSO til virksomhedens ressourcer.

Under corporate resources in this context, we should understand not only virtual applications and desktops but also numerous SaaS applications.

To optimize network traffic and gain micro VPN functionality, the deployment of Citrix Gateway is necessary at each resource location, usually in the DMZ. In this case, the responsibility for allocating the necessary capacities and support falls on the client.

An alternative option is to use Citrix Gateway as Citrix Cloud service; in this case, the client does not need to deploy or support anything on their end, as Citrix handles this in its cloud.

Analyse

This is the Citrix Cloud analytics service, integrated with all the cloud services described above. It is designed to collect data generated by Citrix services and analyze it using built-in machine learning mechanisms. Metrics related to users, applications, files, devices, and networks are taken into account.

As a result, reports are generated regarding security, performance, and user operations.

In addition to generating statistical reports, Citrix Analytics can act proactively. This involves creating profiles of normal user behavior and identifying anomalies. If a user begins to use an application unusually or actively shares data, they and their device can be automatically blocked. The same will happen if access to dangerous internet resources is attempted.

Attention is paid not only to security but also to performance. Analytics allows for monitoring and promptly resolving issues related to long user logons and network delays.

Konklusion

We have familiarized ourselves with the architecture of Citrix Cloud, the Workspace platform, and its main services necessary for organizing a digital workplace infrastructure. It is worth noting that we have not covered all Citrix Cloud services; we limited ourselves to the basic set for organizing a digital workspace. The complete list of Citrix Cloud services also includes networking tools, additional features for working with applications and workstations.

Det skal også nævnes, at den primære funktionalitet for digitale arbejdspladser kan implementeres uden Citrix Cloud, udelukkende on-premises. Basisproduktet Virtual Apps and Desktops er fortsat tilgængeligt i den klassiske version, hvor ikke kun VDA, men også alle styringstjenester implementeres og vedligeholdes af kunden selv på sin egen plads, og der er ikke behov for Cloud Connectors i så fald. Det samme gælder Endpoint Management – dens on-premises forgænger kaldes XenMobile Server, dog er den lidt mere funktionel i den cloud-baserede version. Kunden kan også realisere nogle funktioner fra Access Control på sin egen plads. Funktionaliteten Secure Browser kan implementeres on-premises, og valget af browser forbliver hos kunden.

At stræbe efter at have alt rullet ud på sin egen plads er godt med hensyn til sikkerhed, kontrol og mistillid til de vestlige cloud-løsninger. Men uden Citrix Cloud vil funktionaliteten Content Collaboration og Analytics være fuldstændig utilgængelig. Funktionaliteten i andre Citrix-løsninger on-premises, som nævnt ovenfor, kan være mindre end deres cloud-implementation. Og vigtigst af alt – kontrolfladen skal holdes internt og administreres selv.