🥇Digitaalse töökohaarhitektuur Citrix Cloudi platvormil

Sissejuhatus

Artiklis käsitletakse Citrix Cloudi pilveplatvormi ning Citrix Workspace'i teenuste arhitektuuri ja võimalusi. Need lahendused on ettevõtte Citrix digitaalse töökoha (digital workspace) kontseptsiooni kesksed elemendid ja alus.

Käesolevas artiklis püüdsin välja selgitada ja sõnastada põhjuslikud seosed pilveplatvormide, teenuste ja Citrixi tellimuste vahel, mille kirjeldus ettevõtte avatud allikates (citrix.com ja docs.citrix.com) näib kohati väga ebaselge. Pilvetehnoloogiad – muidu pole näha kuidagi! Tõsiasi on, et arhitektuuri ja tehnoloogiaid on laiemalt arutatud arusaadavalt. Raskused tekivad teenuste ja platvormide hierarhiliste seoste mõistmisel:

milline platvorm on esmane — Citrix Cloud või Citrix Workspace Platform?
millisesse ülalnimetatud platvormi kuuluvad mitmed Citrixi teenused, mis on vajalikud digitaalse töökoha infrastruktuuri rajamiseks?
kui palju see lõbu maksab ja millistes variantides on seda võimalik saada?
kas on võimalik ellu viia kõik Citrixi digital workspace'i funktsioonid ilma Citrix Cloudi kasutamata?

Vastused nendele küsimustele ja tutvumine Citrixi lahendustega digitaalse töökohaga on allpool.

Citrix Cloud

Citrix Cloud on pilveplatvorm, kus asuvad kõik teenused, mis on vajalikud digitaalsete töökohtade korraldamiseks. Selle pilve omanikuks on otseselt ettevõte Citrix, kes tegeleb selle haldamisega ja tagab ettenähtud SLA (teenuste kättesaadavus - vähemalt 99,5% kuus).

Ettevõtte Citrix kliendid, sõltuvalt valitud tellimusest (teenuste paketist), saavad juurdepääsu teatud teenuste loetelule SaaS mudeli kohaselt. Citrix Cloud toimib neile pilvepõhise digitaalse töökeskkonna haldamise paneelina. Citrix Cloud'il on multi-tenant arhitektuur, kus kliendid ja nende infrastruktuurid on üksteisest isoleeritud.

Citrix Cloud toimib juhtpaneelina, kus asuvad mitmed Citrixi pilveteenused, sealhulgas teenindavad ja haldavad teenused digital workspace'i infrastruktuuri jaoks. Andmeplaneet, kuhu kuuluvad kasutajate rakendused, töölauad ja andmed, jääb Citrix Cloud'ist väljapoole. Ainsaks erandiks on Secure Browser Service, mis on täielikult pilvepõhine mudel. Andmeplaneet võib paikneda kliendi andmekeskuses, teenusepakkuja andmekeskuses või hüperekraanides (AWS, Azure, Google Cloud). Saadud on hübriid- ja jaotatud lahendused, kus kliendi andmed asuvad mitmes kohas ja pilves, samas kui nende haldamine toimub tsentraliseeritult Citrix Cloud'ist.

Sellisel lähenemisel on mitu ilmset eelist klientidele:

andmete salvestamise koha valimise vabadus;
võimalus luua hübriidne jaotatud infrastruktuur, mis hõlmab mitmeid paigutusi erinevate teenusepakkujate juures, mitmetes pilvedes ja on-premises;
Citrixil puudub otsene juurdepääs kasutajate andmetele, kuna need asuvad väljaspool Citrix Cloud'i;
võimalus ise määrata vajalik töötlustaseme, tõrketaluvuse, usaldusväärsuse, privaatsuse, andmete terviklikkuse ja kättesaadavuse; seejärel valida sobivad platvormid paigutamiseks;
pole vaja paigutada ja hallata mitut digitaalsete töökeskkondade haldusteenust, kuna kõik need asuvad Citrix Cloudis ja on Citrixi peavalu; seega väheneb kulutused.

Citrix Workspace

Citrix Workspace on kontseptsioon, mis on transcendentne, põhimõtteline ja ulatuslik. Vaatame seda lähemalt, et mõista, miks.

Üldiselt kehastab Citrix Workspace Citrixi digitaalsete töökeskkondade kontseptsiooni. See on samal ajal lahendus, teenus ja teenuste komplekt, et luua integreeritud, turvalisi, mugavaid ja hallatavaid töökohti.

Kasutajad saavad sujuva SSO võimaluse, et kiiresti juurde pääseda rakendustele/teenustele, töölauatele ja andmetele ühest konsoolist mis tahes seadmes, et olla produktiivsed. Nad võivad rõõmuga unustada mitu konto ja parooli ning rakenduste otsimisega seotud keerukused (ikoonid, Start-menüü, brauserid - kõik erinevates kohtades).

IT-teenus saab tööriistu teenuste ja kliendiseadmete keskseks haldamiseks, turvalisuse tagamiseks, juurdepääsu haldamiseks, jälgimiseks, uuendamiseks, võrgu lahenduse optimeerimiseks ja analüüsiks.

Citrix Workspace võimaldab ühtset juurdepääsu järgmistele ressurssidele:

Citrix Virtual Apps ja Desktops – rakenduste ja töölaua virtualiseerimine;
Veebirakendused;
Pilvepõhised SaaS rakendused;
Mobiilirakendused;
Failid erinevates salvestustes, sealhulgas pilves.

Juurdepääs Citrix Workspace'i ressurssidele toimub järgmiste kaudu:

Tavaline brauser — toetatakse Chrome'i, Safari't, MS IE-d ja Edge'i, Firefoxi.
või 'natiivse' kliendi rakenduse — Citrix Workspace App.

Juurdepääs on võimalik kõikidest populaarsetest kliendiseadmetest:

Täisversioonide arvutid, mis töötavad Windowsi, Linuxi, MacOS-i ja isegi Chrome OS-i all;
iOS- või Android-seadmed.

Citrix Workspace Platform on osa mitmetest Citrix Cloudi pilveteenustest, mis on mõeldud digitaalsete töökeskkondade korraldamiseks. Oluline on märkida, et Workspace hõlmab enamikku teenustest, mis on saadaval Citrix Cloudis, millest räägime lähemalt hiljem.

Sel viisil saavad lõppkasutajad oma armastatud seadmetes kasutada digitaalsete töökeskkondade funktsioone Workspace App'i või selle brauseriversiooni (Workspace App HTML5 jaoks) kaudu. Sellise funktsionaalsuse saavutamiseks pakub Citrix Workspace Platformi rikka pilveteenuste kogumina, mida haldavad ettevõtte administraatorid Citrix Cloudi kaudu.

Citrix Workspace on saadaval kolmes paketis: Standard, Premium, Premium Plus. Need erinevad omavahel paketti kaasatud teenuste arvuga. Samuti on võimalus osta teatud teenuseid ka eraldi, väljaspool paketti. Näiteks põhiteenus Virtual Apps and Desktops kuulub ainult Premium Plus paketti, samas kui selle erihind on kõrgem kui Standard paketil ja peaaegu võrdne Premium paketiga.

Tuleb välja, et Workspace on nii kliendirakendus – Workspace App, kui ka pilveteenus (selle osa) – Workspace Platform, teenuste pakettide nimetus ja Citrixi digitaalsete töökohtade kontseptsioon tervikuna. Selline mitmekesine olemus.

Arhitektuur ja süsteeminõuded

Eraldi võib Citrixi Digital Workspace struktuuris eristada kolme valdkonda:

Paljud kliendiseadmed, millel on Workspace App rakendus või brauseripõhine juurdepääs digitaalsetele töökohtadele.
Otsekohe Workspace Platform pilves, mis asub Citrix Cloudis ja mis asub kuskil Internetis domeenis cloud.com.
Ressursside asukohad (resource location) – isiklikud või renditud platvormid, privaatsete või avalike pilvede seas, kus asuvad ressursid koos rakendustega, virtuaalsed lauad ja kliendi andmed, mis on avaldatud Citrix Workspace'is. See on see data-plane, millest eelnevalt räägiti, ning meenutan, et ühel kliendil võib olla mitu resource locationit.

Ressursside näidetena võivad olla hüperviisorid, serverid, võrguseadmed, AD domeenid ja muud elemendid, mis on vajalikud vastava teenuse osutamiseks digitaalsetes töökohtades.

Jaotatud infrastruktuuri stsenaarium võib hõlmata:

mitmeid ressursikohti kliendi enda andmekeskustes,
asukohti avalikes pilvedes,
väikesi asukohti kaugetes harudes.

Asukohtade planeerimisel tuleks arvesse võtta:

kasutajate, andmete ja rakenduste lähedust;
skaalautuvus, sealhulgas kiire ressursi suurendamise ja vähendamise võimalus;
turbe- ja regulatiivnõudeid.

Sidemed Citrix Cloud'i ja kliendi ressursikohtade vahel luuakse komponentide abil, mida nimetatakse Citrix Cloud Connectoriks. Need komponendid võimaldavad kliendil keskenduda ressursside haldamisele, mida kasutatakse kasutajatele, ja unustada pilve juba rakendatud teenustega tegelemise, mis on suporteeritud Citrix'i poolt.

Koormuse tasakaalustamiseks ja tõrkekindluse tagamiseks on soovitatav paigaldada vähemalt kaks Cloud Connectorit igas ressursside asukohas. Cloud Connector saab paigaldada eraldi füüsilisele või virtuaalsusele Windows Serveril (2012 R2 või 2016). Eelistatavalt tuleks need paikneda ressursside asukoha sisemises võrgus, mitte DMZ-s.

Cloud Connector autentib ja krüpteerib liikluse vahel Citrix Cloudi ja ressursside asukoha kaudu https, standardina – TCP port 443. Lubatakse ainult väljuvaid seansse – Cloud Connectorist pilve, sisenevad ühendused on keelatud.

Citrix Cloud nõuab, et kliendi infrastruktuuris oleks Active Directory (AD) teenus. AD täidab põhikirje haldamise pakkuja rolli ja on vajalik, et autoriseerida kasutajate ligipääsu Workspace'i ressurssidele. Cloud Connectorit peab olema ligipääs AD-le. Tõrkekindluse jaoks on hea praktika omada igas ressursside asukohas paar domain controllerit, mis suhtlevad kohalike Cloud Connectoritega.

Citrix Cloudi teenused

Nüüd tasub peatuda Citrix Cloud'i põhiteenustel, mis toetavad Citrix Workspace'i platvormi ja võimaldavad klientidel luua täisväärtuslikke digitaalseid töökeskkondi.

Vaadakem nende teenuste eesmärki ja funktsionaalsust.

Virtuaalsed rakendused ja töölauad

See on peamine teenus Citrix Digital Workspace'is, mis võimaldab tagada terminali juurdepääsu rakendustele ning täielikku VDI-d. Toetab Windowsi ja Linuxi rakenduste ja töölaua virtualiseerimist.

Olles Citrix Cloud'i pilveteenus, sisaldab Virtuaalsed rakendused ja töölauad teenus samu komponente kui traditsioonilised (mitte-pilve) Virtuaalsed rakendused ja töölauad, nagu on näidatud alloleval joonisel. Erinevus seisneb selles, et kõik juhtimisseonduvad komponendid (control plane) asuvad Citrix Cloud'is. Klient ei pea enam neid komponente juurutama ja hooldama, kõik see on Citrixi ettevõtte ülesanne.

Kliendi poolel peab ressursside asukohas olema juurutatud järgmised komponendid:

Cloud Connector'id;
AD domeeni kontrollijad;
Virtuaalsed tarnijad (VDAd);
Hüpperviisorid – tavaliselt need on olemas, kuid on olukordi, kus saab hakkama ka füüsilise hardware'iga;
Valikulised komponendid — Citrix Gateway ja StoreFront.

Kõiki loetletud komponente, välja arvatud Cloud Connector'id, toetab klient iseseisvalt. See on mõistlik, kuna siin asub data-plane, eriti kehtib see füüsiliste sõlmede ja hüperviisorite kohta koos VDA-ga, kus asuvad otse kasutaja rakendused ja töölauad.

Cloud Connector'id peavad olema paigaldatud ainult kliendi poolt, see on väga lihtne protseduur, mis viiakse läbi Citrix Cloud konsoolist. Edasi toetamine toimub automaatselt.

Juurdepääsukontroll

See teenus pakub järgmisi võimalusi:

SSO (üksik sisselogimine) paljude populaarsete SaaS-rakenduste jaoks;
Juhtimine internetiressurssidele juurdepääsule;
Kasutajate aktiivsuse jälgimine internetis.

Klientide SSO SaaS-teenustele läbi Citrix Workspace on mugavama ja turvalisema alternatiivi võrreldes tavalise brauseri kaudu juurdepääsuga. Toetatud SaaS-rakenduste nimekiri on piisavalt suur ja pidevalt laieneb.

Internetti juurde pääsu filtreerimist saab seadistada käsitsi loodud lubatud või keelatud veebilehtede nimekirjade põhjal. Samuti on toetatud juurdepääsu piiramine veebilehtede kategooriate järgi, tuginedes ulatuslikele ja pidevalt uuendatavatele kaubanduslikele URL-i nimekirjadele. Kasutajate juurdepääs sellistele kategooriatele nagu sotsiaalmeedia, ostlemine, täiskasvanutele mõeldud, pahavara, torrentid, proksi jne võib olla piiratud.

Lisaks juurdepääsu lubamisele veebilehtedele/SaaS-ile otse või nende blokeerimisele on võimalus suunata kliente Secure Browser'i. See tähendab, et riskide vähendamiseks on juurdepääs valitud kategooriatele/nimekirjadele Interneti-resurssidest võimalik ainult läbi Secure Browser'i.

Teenuse kaudu on saadaval ka detailne analüütika, et jälgida kasutajate tegevust Internetis: külastatud veebilehed ja rakendused, ohtlikud ressursid ja rünnakud, blokeeritud juurdepääs, üles laetud/alla laaditud andmete mahud.

Secure Browser

Lubab publikatsiooniks Citrix Workspace'i kasutajatele Interneti-brauser (Google Chrome) virtuaalse rakendusena. Secure Browser on SaaS-teenus, mille haldamise ja toetamisega tegeleb ettevõte Citrix. See asub täielikult Citrix Cloudis (sealhulgas andmete plaan), tellijal ei ole vaja seda oma ressurssides üles seada ega hallata.

Citrix vastutab oma pilves VDA ressursside eraldamise eest, kus hostitakse klientidele pakutavaid brausereid, tagades süsteemi ja brauserite turvalisuse ning värskendamise.

Klientide juurdepääs Secure Browserile toimub Workspace'i rakenduse või kliendi brauseri kaudu. Seanss on TLS-i abil krüpteeritud. Teenuse kasutamiseks ei pea klient midagi alla laadima ega installima.

Secure Browseri kaudu käivitatavad saidid ja veebirakendused toimuvad pilves, klient saab ainult terminaliseansi ekraanikuva, lõppseadmest ei täideta midagi. See võimaldab oluliselt suurendada turvalisuse taset ja kaitsta ennast brauserirünnakute eest.

Teenuse ühendamine ja haldamine toimub Citrix Cloudi tellijaliidese kaudu. Ühendamine toimub mõne klikiga:

Halduse loomine on samuti piisavalt lihtne, see seisneb poliitika ja valgete nimekirjade seadistamises:

Poliitika võimaldab reguleerida järgmisi parameetreid:

Clipboards – lubab sisse lülitada kopeerimise ja kleepimise funktsiooni brauseri seansis;
Printimine – võimalus salvestada veebilehti kliendi seadmesse PDF-formaadis;
Non-kiosk – vaikimisi aktiveeritud, võimaldab brauseri täisfunktsionaalset kasutamist (mitmed tabid, aadressiriba);
Region failover – võimalus taaskäivitada brauser teises Citrix Cloud piirkonnas peamise piirkonna tõrke korral;
Client drive mapping – võimalus ühendada kliendi seadme ketas brauseri seansi failide allalaadimiseks või üleslaadimiseks.

Valged nimekirjad (Whitelists) võimaldavad määrata soovitatud saite, millele kliendid pääsevad. Juuru teistele ressurssidele on keelatud.

Sisu koostöö

See teenus võimaldab Workspace'i kasutajatel juurde pääseda failidele ja dokumentidele, mis asuvad kliendi sisemistes ressurssides (on-premises) ja toetatud avalikes pilveteenustes. Need võivad olla kasutaja isiklikud kaustad, ettevõtte võrgu jagamised, SharePoint'i dokumendid või sellised pilverepositooriumid nagu OneDrive, DropBox või Google Drive.

Teenusepakkuja pakub SSO-d, et pääseda juurde andmetele kõigis salvestusressurssides. Citrix Workspace'i kasutajad saavad turvaliselt juurde pääseda oma töösüsteemidele mitte ainult kontoris, vaid ka eemalt, ilma igasuguste täiendavate keerukusteta.

Sisu koostöö pakub järgmisi andmete töötlemise võimalusi:

failide vahetamine Workspace'i ja kliendi seadme vahel (allalaadimine ja üleslaadimine),
kasutaja failide sünkroonimine kõigis seadmetes,
failide ühisjuhtimine ja nende sünkroonimine mitme Workspace'i kasutaja vahel,
failide ja kaustade juurdepääsuõiguste seadistamine teistele Workspace'i kasutajatele,
failide juurdepääsutaotlemine, turvaliste üleslaadimislinkide koostamine.

Lisaks sellele tagatakse täiendavad kaitsemehhanismid:

failidele ligipääs ühekordsete paroolide kaudu,
failide krüpteerimine,
jagatud failide varustamine veekaanete (watermark).

Endpoint Management

See teenus pakub vajalikku funktsionaalsust digitaalsetele töökohtadele mobiiliseadmete halduseks (Mobile Device Management – MDM) ja rakenduste halduseks (Mobile Application Management – MAM). Citrix positsioneerib selle SaaS-EMM lahendusena – ettevõtte mobiilsuse haldus teenusena.

MDM funktsionaalsus võimaldab:

rakenduste, seadme poliitikate ja sertifikaatide levitamist, et pääseda juurde kliendi ressurssidele,
seadmete jälgimist,
seadmete lukustamist ja täielikku või osalist kustutamist (wipe).

MAM funktsionaalsus võimaldab:

rakenduste ja andmete turvalisuse tagamist mobiilseadmetes,
tuua ettevõtte mobiilirakendusi.

Arhitektuuri ja teenuse pakkumise printsiibi poolest sarnaneb Endpoint Management palju eespool kirjeldatud pilvepõhise lahendusega Virtual Apps ja Desktops. Kontrollplaan ja sellega seotud teenused asuvad Citrix Cloudis, mida haldab Citrix, võimaldades vaadata seda teenust kui SaaS-i.

Andmeplaan kliendi ressursikohtades sisaldab:

Cloud Connectorid, mis on vajalikud Citrixi pilviga suhtlemiseks,
Citrix Gateway'd, mis tagavad kasutajatele turvalise kaugjuurdepääsu kliendi siseressurssidele (rakendused, andmed) ja mikro-VPN funktsionaalsuse,
Active Directory, PKI
Exchange, failid, virtuaalsed rakendused ja töölauad.

Gateway

Citrix Gateway pakub järgmisi funktsioone:

kaugjuurdepääsu värav – turvaline ühendus ettevõtte ressursside juurde mobiilsete ja eemalt töötavate kasutajate jaoks kaitstud perimeetri väljast,
IdAM-teenuse pakkuja (Identity and Access Management), et tagada SSO ettevõtte ressurssidele.

Ettevõtte ressursside all tuleb selles kontekstis mõista mitte ainult virtuaalseid rakendusi ja töölauad, vaid ka paljusid SaaS-rakendusi.

Võrguliikluse optimeerimiseks ja micro VPN funktsionaalsuse saamiseks on vajalik Citrix Gateway'i juurutamine igas ressursside asukohas, tavaliselt DMZs. Sellisel juhul langeb vajalike ressursside eraldamine ja hooldus tellija õlule.

Alternatiivne variant on kasutada Citrix Gateway'd Citrix Cloud teenusena, mille puhul ei ole tellijal mingit juurutamist ja hooldust vaja teha — selle eest hoolitseb Citrix oma pilves.

Analüütika

See on Citrix Cloud'i analüüsiteenus, mis on integreeritud kõikide eelpool kirjeldatud pilveteenustega. See on mõeldud Citrixi teenuste genereeritud andmete kogumiseks ja analüüsimiseks sisseehitatud masinõppe mehhanismide abil. Arvesse võetakse metrikaid, mis on seotud kasutajate, rakenduste, failide, seadmete ja võrguga.

Tulemuseks on aruanded, mis käsitlevad turvalisust, jõudlust ja kasutajate toiminguid.

Lisaks statistikaaruannete koostamisele suudab Citrix Analytics tegutseda ka proaktiivselt, luues kasutajate normaalset käitumist iseloomustavaid profiile ja avastades anomaaliaid. Kui kasutaja hakkab rakendust ebatavaliselt kasutama või andmeid aktiivselt jagama, võivad tema ja tema seade automaatselt lukustuda. Sama juhtub ka ohtlike veebiressursside juurde pääsemisel.

Tähtsustatakse mitte ainult turvalisust, vaid ka jõudlust. Analüüs võimaldab jälgida ja kiiresti lahendada probleemid, mis on seotud pika kasutaja sisselogimise ja võrguläbiltustega.

Kokkuvõte

Oleme tutvunud Citrixi pilvearhitektuuri, Workspace'i platvormi ja selle peamiste teenustega, mis on vajalikud digitaalsete töökohtade infrastruktuuri korraldamiseks. Tasub mainida, et arutasime kaugele mitte kõiki Citrix Cloud'i teenuseid, jäädes piiratuks põhikomplekti juurde digitaalse töökoha korraldamiseks. Täielik loetelu Citrixi pilveteenustest sisaldab ka võrgu tööriistu, lisafunktsioone rakenduste ja töökohtade haldamiseks.

Samuti tuleks mainida, et digitaalsete töökohtade põhifunktsionaalsust saab käivitada ka ilma Citrix Cloudita, täielikult on-premises. Põhitoode Virtual Apps and Desktops on endiselt kergesti ligipääsetav klassikalises variandis, kus mitte ainult VDA, vaid ka kõik haldusteenused paigaldatakse ja hooldatakse kliendi poolt iseseisvalt tema enda seadmetel, ja sellisel juhul ei ole vajadust Cloud Connectorite järele. Sama kehtib ka Endpoint Managementi kohta – selle on-premises eelkäijat nimetatakse XenMobile Serveriks, kuigi pilvevariandil on veidi rohkem funktsioone. Osa Access Controli võimalusi saab klient samuti oma seadmetel rakendada. Secure Browseri funktsionaalsus saab olla rakendatud ka on-premises, ning brauseri valik jääb kliendi kätte.

Igale platvormile keskendumise soov on hea turvalisuse, kontrolli ja sanktsioonide usaldamatuse suhtes lääne pilveteenuste vastu. Siiski on ilma Citrix Cloudita Content Collaboration ja Analytics funktsionaalsus täielikult puuduv. Teiste Citrixi lahenduste on-premises funktsionaalsus võib, nagu eespool mainitud, jääda nende pilveversioonile alla. Ja mis kõige tähtsam – haldustasand peab olema klientide käes ja nad peavad seda iseseisvalt haldama.