🥇 Digitaalsete töökohtade arhitektuur Citrix Cloud platvormil

Sissejuhatus

Artikkel kirjeldab Citrix Cloudi pilveplatvormi ja Citrix Workspace'i teenuste arhitektuuri ja võimalusi. Need lahendused on keskne element ja alus Citrixi digitaalsete töökohtade (digital workspace) kontseptsiooni rakendamiseks.

Käesolevas artiklis püüdsin välja selgitada ja formuleerida põhjuslikud seosed pilveplatvormide, teenuste ja Citrixi tellimuste vahel, mille kirjeldused ettevõtte avatud allikates (citrix.com ja docs.citrix.com) on mõnes osas väga ebaselged. Pilvetehnoloogiat – muidu ei paista see kuidagi võimalik olema! Tuleb märkida, et arhitektuur ja tehnoloogiad on üldiselt kogu arusaadavalt esitatud. Probleemid tekivad teenuste ja platvormide hierarhilise seose mõistmisel:

milline platvorm on esmase tähtsusega — Citrix Cloud või Citrix Workspace Platvorm?
millisesse ülalmainitud platvormi kuuluvad mitmed Citrixi teenused, mis on vajalikud digitaalsete töökohtade infrastruktuuri loomiseks?
kui palju see lõbu maksab ja millistes variantides seda saab?
kas on võimalik rakendada kõiki Citrixi digitaalsete töökohtade funktsioone ilma Citrix Cloudi kasutamiseta?

Need küsimused ja tutvumine Citrixi lahendustega digitaalsetele töökohtadele allpool.

Citrix Cloud

Citrix Cloud on pilveplatvorm, kuhu on paigutatud kõik teenused, mis on vajalikud digitaalsete töökohtade korraldamiseks. Selle pilve omab otse Citrix, kes tegeleb ka selle haldamise ja tagab soovitud SLA (teenuste saadavus — vähemalt 99,5% kuus).

Citrixi kliendid saavad sõltuvalt valitud tellimusest (teenuste paketist) ligipääsu teatud teenuste nimekirjale SaaS mudeli alusel. Citrix Cloud toimib nende jaoks ettevõtte digitaalsete töökohtade pilvepõhise juhtpaneelina. Citrix Cloud'il on mitme kasutaja arhitektuur, kus kliendid ja nende infrastruktuurid on üksteisest isoleeritud.

Citrix Cloud toimib halduspinna (control plane) rollis, kus asuvad mitmed Citrixi pilveteenused, sealhulgas teenused, mis toetavad ja haldavad digitaalse töökeskkonna infrastruktuuri. Andmepind, kuhu kuuluvad kasutajate rakendused, töölauad ja andmed, jääb väljapoole Citrix Cloudi. Erandiks on ainult Secure Browser Service, mis pakutakse täielikult pilvemudelis. Andmepind võib asuda kliendi andmekeskuses (on-premises), teenusepakkuja andmekeskuses või hübriidpilvedes (AWS, Azure, Google Cloud). On võimalikud segatud ja jaotatud lahendused, kus kliendi andmed asuvad mitmes kohas ja pilves, samas kui nende haldamine toimub tsentraliseeritult Citrix Cloudist.

Sellisel lähenemisel on klientide jaoks mitmeid ilmselgeid eeliseid:

andmete paigutamise platvormi vabaduse valimine;
võimalus luua hübriidne jaotatud infrastruktuur, mis hõlmab mitmeid paigutusi erinevates teenusepakkujates, mitmetes pilvedes ja on-premises;
otsese juurdepääsu puudumine kasutajate andmetele Citrixi poolt, kuna need asuvad väljaspool Citrix Cloudi;
võimalus iseseisvalt määrata vajalikud jõudluse, rikke- ja usaldusväärsuse, konfidentsiaalsuse, terviklikkuse ja andmete kättesaadavuse tasemed; seejärel valida vastavad paigutused;
ülesannete ja mitmete digitaalsete töökohaga seotud haldusteenuste paigutamise ja hooldamise vajaduse puudumine, kuna kõik need asuvad Citrix Cloudis ja on Citrixi probleem; sellest tulenevalt kulude vähendamine.

Citrix Workspace

Citrix Workspace on transtsendentaalne, aluslik ja terviklik mõisted. Vaatame seda põhjalikumalt ja selgub, miks.

Üldiselt kehastab Citrix Workspace Citrixi digitaalsete töökohade kontseptsiooni. See on samas lahendus, teenus ja teenuste kogum, mis loob ühtselt ühendatud, turvalisi, mugavaid ja hallatavaid töökohti.

Kasutajad saavad sujuva SSO võimaluse rakendustele, teenustele, töölauale ja andmetele ligipääsuks ühest kontsoolist igalt seadmelt, et olla produktiivsemad. Nad saavad rõõmsalt unustada mitmed kontod, paroolid ja rakenduste leidmise raskused (otseteed, algusmenüü, brauserid – kõik erinevates kohtades).

IT-teenus saadab tööriistad teenuste ja kliendiseadmete keskseks haldamiseks, turvalisuse tagamiseks, juurdepääsu piiramiseks, jälgimiseks, uuendamiseks, võrgu optimeerimiseks ja analüüsiks.

Citrix Workspace võimaldab ühendada juurdepääsu järgmistele ressurssidele:

Citrix Virtual Apps and Desktops – rakenduste ja töölauade virtualiseerimine;
Veebirakendused;
Pilvepõhised SaaS-rakendused;
Mobiilirakendused;
Failid erinevates salvestuskohtades, sealhulgas pilves.

Juurdepääs Citrix Workspace ressurssidele toimub järgmiste kaudu:

Tavabrowser – toetatakse Chrome'i, Safari, MS IE ja Edge, Firefoxi
või „natiivne“ kliendirakendus – Citrix Workspace App.

Juurdepääs on võimalik kõigilt populaarsetelt kliendiseadmetelt:

Töölauad, mis töötavad Windowsi, Linuxi, MacOSi ja isegi Chrome OS-i peal;
Mobiilseadmed iOS-i või Androidi platvormidel.

Citrix Workspace Platform on osa mitmetest Citrix Cloud'i pilveteenustest, mis on mõeldud digitaalsete tööruumide korraldamiseks. Tuleb märkida, et Workspace sisaldab suurt osa Citrix Cloud'is olevatest teenustest, millele peatume hiljem põhjalikumalt.

Seega saavad lõppkasutajad digitaalsete töökohtade funktsionaalsuse oma lemmik kliendiseadmetes läbi Workspace App või selle brauseriversiooni (Workspace App HTML5 jaoks). Selle funktsionaalsuse saavutamiseks pakub Citrix Workspace Platformi pilveteenuste komplektina, mida ettevõtte administraatorid juhivad läbi Citrix Cloud'i.

Citrix Workspace on saadaval kolmes paketis: Standard, Premium, Premium Plus. Need erinevad teenuste arvu poolest, mis on paketisse kaasatud. Samuti on võimalik osta mõned teenused eraldi, väljaspool paketti. Näiteks põhiteenus Virtual Apps and Desktops kuulub ainult Premium Plus paketti, samas kui selle erihind on kõrgem kui Standard paketil ja peaaegu võrdne Premium paketiga.

Saab, et Workspace hõlmab nii kliendi rakendust – Workspace App, kui ka pilveplatvormi (selle osa) – Workspace Platform, teenuste pakettide variantide nimetusi ja kogu Citrixi digitaalsete töökohtade kontseptsiooni. Selline mitmekesine entiteet.

Arhitektuur ja süsteeminõuded

Tinglikult võib Citrixi Digital Workspace struktuuris eristada kolme valdkonda:

Palju kliendi seadmeid, kus on paigaldatud Workspace App või on veebipõhine juurdepääs digitaalsetele töökohtadele.
Otseselt Workspace Platform Citrix Cloudis, mis asub kuskil Internetis domeenis cloud.com.
Ressursside asukohad – oma või renditud alad, privaatsed või avalikud pilved, kus asuvad rakendustega, virtuaalsete töölauade ja kliendi andmetega ressursid, mida avaldatakse Citrix Workspace'is. See on see andmesild, millest varem räägiti; tuletan meelde, et ühel kliendil võib olla mitu ressursi asukohta.

Ressurssidena võivad esineda hüperviisorid, serverid, võrguseadmed, AD domeenid ja muud elemendid, mis on vajalikud teenuste pakkumiseks digitaalsetel töökohtadel.

Jaotatud infrastruktuuri stsenaarium võib hõlmata:

mitmeid ressursi asukohti kliendi enda andmekeskustes,
asukohad avalikes pilvedes,
väikesed asukohad kaugetes kontorites.

Asukohtade planeerimisel tuleb arvesse võtta:

kasutajate, andmete ja rakenduste lähedust;
skaalautuvuse võimalusi, sealhulgas kiire arendamise ja vähendamise suutlikkust;
turvanõuded ja normatiivid.

Suhtlus Citrix Cloudi ja kliendi ressursiasukohtade vahel toimub Citrix Cloud Connector'ite kaudu. Need komponendid võimaldavad kliendil keskenduda kasutajatele pakutavate ressursside hooldamisele ning unustada pilves juba juurutatud ja Citrixi poolt hallatavad teenuseid.

Koormuse tasakaalustamise ja katkestusteta teenuse tagamiseks on soovitatav paigutada igas ressursi asukohas vähemalt kaks Cloud Connectorit. Cloud Connector saab paigaldada Windows Server (2012 R2 või 2016) dedikeeritud füüsilisele või virtuaalsele masinale. Soovitav on need asetada ressursi asukoha sisevõrku, mitte DMZ-sse.

Cloud Connector autentib ja krüpteerib liikluse Citrix Cloudi ja ressursi asukoha vahel https kaudu, tavaliselt TCP port 443. Lubatud on ainult väljaminevad sessioonid – Cloud Connectorist edasi taevasse, sissetulevad ühendused on keelatud.

Citrix Cloud nõuab, et kliendi infrastruktuuris oleks olemas Active Directory (AD) teenus. AD toimib peamise IdAM-teenuse pakkujana ja on vajalik kasutajate autentimise jaoks Workspace'i ressurssidele. Cloud Connectoritel peab olema juurdepääs AD-le. Katkestusteta teenuse tagamiseks on hea praktika omada igas ressursi asukohas paar domeeni kontrollerit, mis suhtlevad selle asukoha Cloud Connectoritega.

Citrix Cloudi teenused

Nüüd tasub peatuda Citrix Cloudi põhiteenustel, mis on Citrix Workspace'i aluseks ja võimaldavad klientidel luua täisfunktsionaalseid digitaalseid töökohasid.

Vaatame nende teenuste eesmärki ja funktsioone.

Virtual Apps and Desktops

See on Citrix Digital Workspace'i põhiteenus, mis võimaldab pakkuda terminali ligipääsu rakendustele ja täielikku VDI-d. Toetab Windowsi ja Linuxi rakenduste ning desktoppide virtualiseerimist.

Oma olemuselt on Citrix Cloud Virtual Apps and Desktops teenusel samad komponente kui traditsioonilisel (mitte pilve) Virtual Apps and Desktops, nagu on näidatud alloleval joonisel. Erinevus seisneb selles, et kõik halduskomponendid (control plane) asuvad Citrix Cloudis. Kliendil ei ole enam vaja neid komponente paigaldada ja hooldada, kõik selle eest hoolitseb Citrix.

Kliendi ressursi asukohtades tuleb paigaldada järgmised komponendid:

Cloud Connectorid;
AD domeeni kontrollerid;
Virtual Delivery Agents (VDAs);
Hüperviisorid – tavaliselt on need olemas, kuid on olukordi, kus saab hakkama ka füüsikaga;
Valikulised komponendid — Citrix Gateway ja StoreFront.

Kõiki loetletud komponente, välja arvatud Cloud Connectorid, toetab klient iseseisvalt. See on mõistlik, kuna seal asub data-plane, eriti füüsiliste sõlmede ja hüperviisoritega, kus asuvad otse kasutajate rakendused ja töölauad.

Cloud Connectorid tuleb paigaldada ainult kliendi jõududega, see on väga lihtne protseduur, mida viiakse läbi Citrix Cloud konsoolist. Edasine tugi toimub automaatselt.

Juhtimise kontroll

See teenus pakub järgmisi võimalusi:

SSO (ühekordne sisselogimine) suure hulga populaarsete SaaS-rakenduste jaoks;
Juhtimise filtreerimine internetiressurssidele;
Kasutajate tegevuse jälgimine internetis.

SSO klientide jaoks SaaS-teenustele Citrix Workspace'i kaudu on mugavam ja turvalisem alternatiiv võrreldes tavapärase juurdepääsuga brauseri kaudu. Toetavate SaaS-rakenduste nimekiri on üsna suur ja pidevalt laienev.

Internetile juurdepääsu filtreerimist saab seadistada vastavalt käsitsi loodud lubatud või keelatud veebisaitide nimekirjadele. Lisaks toetatakse juurdepääsu jaotamist veebisaitide kategooriate põhjal, kasutades ulatuslikke uuendatavaid kommertslikke URL-i nimekirju. Kasutajatele võib juurdepääs piirata sellistele veebisaitide kategooriatele nagu sotsiaalmeedia, ostmine, täiskasvanutele, pahavara, torrentid, proxy jne.

Lisaks veebisaitide/SaaSide otsejuurdepääsu lubamisele või blokeerimisele on võimalik suunata kliente turvalisse brauserisse. St, riskide vähendamiseks on juurdepääs valitud kategooriatele/internetiressursside nimekirjadele võimalik ainult turvalise brauseri kaudu.

Teenuse kaudu on ka üksikasjalik analüütika kasutajate tegevuse jälgimiseks internetis: külastatud saidid ja rakendused, ohtlikud ressursid ja rünnakud, blokeeritud juurdepääs, üles- ja allalaaditud andmete mahud.

Secure Browser

Lubab avaldada Citrix Workspace'i kasutajatele interneti brauseri (Google Chrome) virtuaalse rakendusena. Secure Browser on SaaS-teenus, mille haldamise ja toe eest vastutab ettevõte Citrix. See asub täielikult Citrix Cloudis (sealhulgas data-plane), nii et klient ei pea seda oma ressurssides välja arendama ega toetama.

Citrix vastutab VDA jaoks ressursside eraldamise eest oma pilves, kus on paigaldatud klientidele pakutavad brauserid, tagab operatsioonisüsteemi ja brauserite turvalisuse ja uuendamise.

Klientide juurdepääs Secure Browserile toimub Workspace'i rakenduse või kliendi brauseri kaudu. Seanss krüpteeritakse TLS-i kaudu. Teenuse kasutamiseks ei pea klient midagi alla laadima ega installima.

Veebisaidid ja rakendused, mis käivituvad Secure Browserviia, töötavad pilves; klient saab ainult terminalseansi pildi, lõppseadmest ei toimu midagi. See võimaldab oluliselt suurendada turvalisust ja kaitsta brauserirünnakute eest.

Teenuse ühendamine ja haldamine toimub Citrix Cloudi tellijapaneeli kaudu. Ühendamine toimub paari klõpsuga:

Halduse pool on samuti piisavalt lihtne, see seisneb poliitikate ja valgeliste määramises:

Poliitika võimaldab reguleerida järgmisi parameetreid:

Clipboard – võimaldab aktiveerida koopiat ja kleepimist brauseriseansis;
Printing – võimalus salvestada veebilehti kliendi seadmesse PDF-vormingus;
Non-kiosk – vaikimisi aktiveeritud, võimaldab täielikku brauseri kasutamist (mitu vahekaarti, aadressiriba);
Region failover – võimalus käivitada brauser teises Citrix Cloudi regioonis, kui peamine regioon ebaõnnestub;
Client drive mapping – võimalus mountida klientseadmest ketas brauseriseansi failide allalaadimiseks või üleslaadimiseks.

Valgelised (Whitelists) võimaldavad määrata loendi saitidest, millele klientidel on juurdepääs. Juhtimine väljaspool seda loetelu on keelatud.

Content Collaboration

See teenus tagab Workspace'i kasutajatele ühise juurdepääsu failidele ja dokumentidele, mis asuvad tellija sisestruktuurides (on-premises) ja toetatud avalikes pilveteenustes. Need võivad olla kasutaja isiklikud kaustad, ettevõtte võrgu jagamised, SharePoint dokumentide või selliste pilverepositooriumide nagu OneDrive, DropBox või Google Drive.

Teenust pakub SSO juurdepääs andmetele kõigil salvestustüüpide ressurssidel. Citrix Workspace'i kasutajad saavad turvalise juurdepääsu oma tööfailidele mitte ainult kontoris, vaid ka eemalt, ilma igasuguste lisaraskusteta.

Sisu koostöö võimaldab andmetega töötamiseks järgmisi võimalusi:

failide jagamine Workspace'i ressursside ja kliendi seadme vahel (allalaadimine ja üleslaadimine),
kasutaja failide sünkroniseerimine kõigil seadmetel,
failide jagamine ja nende sünkroniseerimine mitme Workspace'i kasutaja jaoks,
failide ja kaustade juurdepääsuõiguste seadistamine teistele Workspace'i kasutajatele,
failide juurdepääsu taotlemine, turvaliste allalaadimislinkide (upload) genereerimine.

Lisaks sellele pakutakse täiendavaid kaitsemehhanisme:

failide juurdepääs ühekordsete paroolidega,
failide krüpteerimine,
ja jagatud failide veekaupadega varustamine (watermark).

Lõpp-punkti haldamine

See teenus pakub digitaalsete töökeskkondade jaoks vajalikku mobiilsete seadmete haldamise (Mobile Device Management — MDM) ja rakenduste haldamise (Mobile Application Management — MAM) funktsionaalsust. Citrix positsioneerib seda kui SaaS-EMM lahendust – ettevõtte mobiliteedi haldus teenusena.

MDM funktsionaalsus võimaldab:

rakenduste, seadmete poliitikate, sertifikaatide levitamist, et luua ühendus kliendi ressurssidega,
seadmete jälgimist,
seadmete lukustamist ja täielikku või osalist kustutamist (wipe).

MAM funktsionaalsus võimaldab:

rakenduste ja andmete turvalisuse tagamist mobiilsetes seadmetes,
ettevõtte mobiilsete rakenduste kohaletoimetamist.

Teenuse arhitektuuri ja pakkumise printsiibi osas sarnaneb Lõpp-punkti haldamine väga eespool kirjeldatud pilvevariantide Virtual Apps and Desktops teenusega. Kontrolplaneed ja selle teenused asuvad Citrix Cloudis, nende hooldamise eest vastutab Citrix, mis võimaldab seda teenust pidada SaaS-iks.

Andmeplaneet kliendi ressursside asukohtades sisaldab:

Cloud Connector'id, mis on vajalikud Citrixi pilvega suhtlemiseks,
Citrix Gateway'id, mis tagavad turvalise kaugjuurdepääsu kasutajatele kliendi sisemistele ressurssidele (rakendused, andmed) ja mikro-VPN funktsionaalsuse,
Active Directory, PKI
Exchange, failid, virtuaalsed rakendused ja töölauad.

Gateway

Citrix Gateway pakub järgmisi funktsioone:

kaugjuurdepääsu tõkkepood – turvaline ühendus ettevõtte ressurssidega liikuvate ja eemalolevate kasutajate jaoks kaitstud piiri väljastpoolt,
IdAM-provider (identiteedi- ja juurdepääsu haldamine) ettevõtte ressurssidele SSO tagamiseks.

Korporatiivsete ressursside all mõistetakse antud kontekstis mitte ainult virtuaalseid rakendusi ja töölauasüsteeme, vaid ka mitmeid SaaS-rakendusi.

Võrguliikluse optimeerimiseks ja micro VPNi funktsionaalsuse saamiseks on vajalik Citrix Gateway'i juurutamine igas ressursside asukohas, reeglina DMZ-s. Sel juhul langeb vajalike ressursside eraldamine ja hooldamine tellija õlgadele.

Alternatiivne lahendus on kasutada Citrix Gateway't teenusena Citrix Cloudis, kusjuures tellijal ei pea midagi enda juures juurutama ja hooldama, seda teeb Citrix oma pilves.

Analytics

See on analüütika teenus Citrix Cloudis, mis on integreeritud kõigi eespool kirjeldatud pilveteenustega. Selle eesmärk on koguda andmeid, mida genereerivad Citrixi teenused, ja analüüsida neid sisseehitatud masinõppe mehhanismide kaudu. Samas arvestatakse metrikaid, mis on seotud kasutajate, rakenduste, failide, seadmete ja võrguga.

Kokkuvõttes koostatakse aruanded, mis käsitlevad turvalisust, jõudlust ja kasutajaoperatsioone.

Lisaks statistiliste aruannete koostamisele suudab Citrix Analytics tegutseda proaktiivselt. See hõlmab kasutajate normaalse käitumise profiilide loomist ja kõrvalekallete tuvastamist. Kui kasutaja hakkab rakendust ebatavaliselt kasutama või aktiivselt andmeid jagama, võivad tema ja tema seade automaatselt lukku minna. Sama juhtub ohtlike Interneti-resursside juurde pääsemise korral.

Fookuses on mitte ainult turvalisus, vaid ka jõudlus. Analüütika võimaldab jälgida ja kiiresti lahendada probleemid, mis on seotud pika sisse logimise ja võrgulähedega.

Kokkuvõte

Me tutvusime Citrixi pilve arhitektuuriga, Workspace'i platvormiga ja selle põhiteenustega, mis on vajalikud digitaalsete töökohtade infrastuktuuri korraldamiseks. Tuleb märkida, et me ei käsitlenud kaugeltki kõiki Citrix Cloudi teenuseid, vaid piirdusime põhikomplektiga digitaalsete töökohtade loomiseks. Täielik nimekiri Citrixi pilve teenustest hõlmab samuti võrgutööriistu, täiendavaid funktsioone rakenduste ja töökohtade haldamiseks.

Samuti tuleb märkida, et peamine digitaalsete töökohtade funktsionaalsus on juurutatav ka ilma Citrix Cloudita, puhtalt on-premises. Põhi toode Virtual Apps and Desktops on endiselt saadaval klassikalises variandis, kus mitte ainult VDA, vaid ka kõik haldusseened paigaldab ja hooldab tellija enda ruumides iseseisvalt, ei ole sellisel juhul vaja mingeid Cloud Connector'e. See kehtib ka Endpoint Management'i kohta – selle on-premises eelkäija on XenMobile Server, kuigi pilvevariandi funktsionaalsus on veidi suurem. Osa Access Control'i võimalusi saab tellija samuti enda ruumides realiseerida. Secure Browser'i funktsionaalsus on samuti on-premises rakendatav, kusjuures brauseri valik jääb tellija otsustada.

Soov kõik enda ruumides juurutada on hea turvalisuse, kontrolli ja usaldamatuse tõttu 'kapitalistlike' pilveteenuste suhtes. Kuid ilma Citrix Cloudita on Content Collaboration ja Analytics funktsionaalsus täielikult kättesaamatu. Muude Citrixi on-premises lahenduste funktsionaalsus võib eespool mainitust oma pilveversioonile alla jääda. Ja kõige tähtsam – haldamistasandi peate hoidma enda käes ja iseseisvalt administrerima.