Architecture Digital Workspace sur la plateforme Citrix Cloud

Introduction

Cet article décrit les fonctionnalités et les caractéristiques architecturales de la plateforme cloud Citrix Cloud et de l'ensemble des services Citrix Workspace. Ces solutions sont des éléments centraux et la base de la mise en œuvre du concept de postes de travail numériques (digital workspace) proposé par Citrix.

Dans cet article, j'ai essayé de comprendre et de formuler les relations de cause à effet entre les plateformes cloud, les services et les abonnements Citrix, dont la description dans les sources ouvertes de l'entreprise (citrix.com et docs.citrix.com) semble parfois très floue. Les technologies cloud – apparemment, c'est inévitable! Il convient de noter que l'architecture et les technologies sont globalement présentées de manière acceptable. La complexité réside dans la compréhension de l'interconnexion hiérarchique entre les services et les plateformes :

• quelle plateforme est primaire — Citrix Cloud ou Citrix Workspace Platform ?
• dans laquelle des plateformes susmentionnées se trouvent de nombreux services Citrix nécessaires à la construction de l'infrastructure des postes de travail numériques ?
• combien coûtent ces services et sous quelles variations peuvent-ils être obtenus ?
• est-il possible de réaliser toutes les fonctionnalités de digital workspace Citrix sans utiliser Citrix Cloud ?

Les réponses à ces questions et une introduction aux solutions Citrix pour les postes de travail numériques sont ci-dessous.

Citrix Cloud

Citrix Cloud est une plateforme cloud dans laquelle sont hébergés tous les services nécessaires à l'organisation des postes de travail numériques. Cette infrastructure est directement gérée par Citrix, qui en assure également le support et garantit la disponibilité SLA (des services - au moins 99,5 % par mois).

Les clients de Citrix, en fonction de l'abonnement choisi (ensemble de services), ont accès à une certaine liste de services selon le modèle SaaS. Pour eux, Citrix Cloud sert de panneau de contrôle cloud pour les postes de travail numériques de l'entreprise. Citrix Cloud a une architecture multi-tenant, les clients et leurs infrastructures étant isolés les uns des autres.

Citrix Cloud sert de plan de contrôle, accueillant de nombreux services cloud Citrix, y compris des services opérationnels et de gestion pour l'infrastructure digital workplace. Le plan de données, qui englobe les applications utilisateur, les bureaux et les données, se trouve en dehors de Citrix Cloud. La seule exception est le Secure Browser Service, proposé entièrement selon un modèle cloud. Le plan de données peut être hébergé dans le centre de données du client (on-premises), dans le centre de données du fournisseur de services, ou dans des hyperservices (AWS, Azure, Google Cloud). Des solutions hybrides et distribuées sont possibles, lorsque les données du client sont situées sur plusieurs sites et clouds, tout en étant gérées de manière centralisée depuis Citrix Cloud.

Cette approche présente plusieurs avantages évidents pour les clients :

• liberté de choisir l'emplacement de stockage des données ;
• possibilité de construire une infrastructure hybride distribuée, impliquant de multiples emplacements chez différents fournisseurs, dans plusieurs clouds et on-premises ;
• absence d'accès direct aux données des utilisateurs de la part de Citrix, puisque celles-ci se trouvent en dehors de Citrix Cloud ;
• capacité à définir le niveau de performance, de résilience, de fiabilité, de confidentialité, d'intégrité et de disponibilité des données ; après quoi, il est possible de choisir les emplacements appropriés pour leur stockage ;
• pas besoin de déployer et de maintenir de nombreux services de gestion des espaces de travail numériques, puisque tous se trouvent dans Citrix Cloud et sont la responsabilité de Citrix ; par conséquent, réduction des coûts.

Citrix Workspace

Citrix Workspace est un concept transcendant, fondamental et englobant. Examinons-le plus en détail pour comprendre pourquoi.

Dans l'ensemble, Citrix Workspace représente la conception des espaces de travail numériques proposée par Citrix. C'est à la fois une solution, un service et un ensemble de services pour créer des environnements de travail intégrés, sécurisés, conviviaux et gérables.

Les utilisateurs bénéficient d'un SSO transparent pour un accès rapide aux applications/services, aux bureaux et aux données depuis une console unique sur n'importe quel appareil pour un travail productif. Ils peuvent ainsi oublier la multitude de comptes, de mots de passe et les complications liées à la recherche d'applications (raccourcis, menu Démarrer, navigateurs – tout est éparpillé).

Le service informatique obtient des outils pour la gestion centralisée des services et des dispositifs clients, assurant la sécurité, le contrôle d'accès, la surveillance, les mises à jour, l'optimisation des interactions réseau et l'analyse.

Citrix Workspace permet un accès unifié aux ressources suivantes :

• Citrix Virtual Apps and Desktops – virtualisation des applications et des bureaux;
• Applications web;
• Applications SaaS cloud;
• Applications mobiles;
• Fichiers dans divers stockages, y compris cloud.

L'accès aux ressources de Citrix Workspace s'effectue via :

• Un navigateur standard – prise en charge de Chrome, Safari, MS IE et Edge, Firefox
• ou l'application cliente « native » – Citrix Workspace App.

L'accès est possible depuis tous les dispositifs clients populaires :

• Ordinateurs complets sous Windows, Linux, MacOS et même Chrome OS ;
• Dispositifs mobiles sous iOS ou Android.

Citrix Workspace Platform est une partie des nombreux services cloud de Citrix Cloud, destinés à organiser des espaces de travail numériques. Il convient de noter que Workspace comprend la plupart des services présents dans Citrix Cloud, nous nous attarderons davantage sur ceux-ci plus tard.

Ainsi, les utilisateurs finaux obtiennent la fonctionnalité des espaces de travail numériques sur leurs dispositifs clients préférés via Workspace App ou son équivalent navigateur (Workspace App pour HTML5). Pour atteindre cette fonctionnalité, Citrix propose Workspace Platform sous la forme d'un ensemble de services cloud, gérés par les administrateurs de l'entreprise via Citrix Cloud.

Citrix Workspace est disponible en trois forfaits: Standard, Premium, Premium Plus. Ils diffèrent par le nombre de services inclus dans le forfait. Il est également possible d'acheter certains services séparément, en dehors du forfait. Par exemple, le service fondamental Virtual Apps and Desktops n'est inclus que dans le forfait Premium Plus, et son coût séparé est supérieur à celui du forfait Standard et presque égal à celui du Premium.

Il s'avère que Workspace est à la fois l'application cliente – Workspace App, et la plateforme cloud (une de ses parties) – Workspace Platform, ainsi que le nom des différentes formules de services, et le concept des espaces de travail numériques de Citrix dans son ensemble. C'est donc une entité aux multiples facettes.

Architecture et exigences système

On peut conditionnellement identifier 3 domaines dans la structure de Digital Workspace de Citrix :

• Une multitude de dispositifs clients avec l'application Workspace App ou un accès par navigateur aux espaces de travail numériques.
• La plateforme Workspace elle-même dans le cloud Citrix Cloud, qui vit quelque part sur Internet dans le domaine cloud.com.
• Les emplacements des ressources (resource location) – des sites propres ou loués, des clouds privés ou publics, où sont hébergées les ressources avec des applications, des bureaux virtuels et des données clients, publiées dans Citrix Workspace. C'est le fameux data-plane dont il a été question plus haut, rappelons que pour un seul client, il peut y avoir plusieurs resource location.

Des exemples de ressources peuvent inclure des hyperviseurs, des serveurs, des dispositifs réseau, des domaines AD et d'autres éléments nécessaires à la fourniture de services d'espaces de travail numériques aux utilisateurs.

Un scénario d'infrastructure distribué peut impliquer :

• plusieurs emplacements de ressources dans les propres centres de données du client,
• des emplacements dans des clouds publics,
• de petits emplacements dans des succursales distantes.

Lors de la planification des emplacements, il convient de prendre en compte :

• la proximité des utilisateurs, des données et des applications ;
• la possibilité d'évolutivité, y compris la capacité à augmenter ou réduire rapidement les ressources ;
• les exigences en matière de sécurité et de réglementation.

Les communications entre Citrix Cloud et les emplacements de ressources du client se font via des composants appelés Citrix Cloud Connector. Ces composants permettent au client de se concentrer sur la gestion des ressources fournies aux utilisateurs, tout en oubliant les complexités des services opérationnels et de gestion qui sont déjà déployés dans le cloud et gérés par Citrix.

Pour l'équilibrage de la charge et la tolérance aux pannes, il est recommandé de déployer au moins deux Cloud Connectors dans chaque emplacement de ressources. Le Cloud Connector peut être installé sur une machine physique ou virtuelle dédiée avec Windows Server (2012 R2 ou 2016). Il est de préférence placé dans le réseau interne de l'emplacement des ressources, et non dans la DMZ.

Le Cloud Connector authentifie et chiffre le trafic entre Citrix Cloud et l'emplacement des ressources via https, en utilisant par défaut le port TCP 443. Seules les sessions sortantes sont autorisées – du Cloud Connector vers le cloud, les connexions entrantes sont interdites.

Citrix Cloud nécessite la présence d'un service Active Directory (AD) dans l'infrastructure du client. L'AD joue le rôle de fournisseur principal d'IdAM et est nécessaire pour autoriser l'accès des utilisateurs aux ressources de Workspace. Les Cloud Connectors doivent avoir accès à l'AD. Pour la tolérance aux pannes, il est recommandé d'avoir une paire de contrôleurs de domaine dans chaque emplacement de ressources, qui interagiront avec les Cloud Connectors de cet emplacement.

Services Citrix Cloud

Il est maintenant nécessaire de s'attarder sur les principaux services Citrix Cloud, qui sont à la base de la plateforme Citrix Workspace et permettent aux clients de déployer des postes de travail numériques complets.

Examinons les objectifs et la fonctionnalité de ces services.

Applications et Bureaux Virtuels

C'est le service principal de Citrix Digital Workspace, permettant l'accès terminal aux applications et un VDI complet. Il prend en charge la virtualisation des applications Windows et Linux ainsi que des bureaux.

En tant que service cloud, le service Applications et Bureaux Virtuels de Citrix Cloud comprend les mêmes composants que le Virtual Apps and Desktops traditionnel (non cloud), comme il est montré dans l'illustration ci-dessous. La différence réside dans le fait que tous les composants de gestion (control plane) sont dans le cloud de Citrix Cloud. Le client n'a plus besoin de déployer et de maintenir ces composants, Citrix s'en occupe.

Du côté du client, les composants suivants doivent être déployés dans les emplacements de ressources :

• Cloud Connectors ;
• Contrôleurs de domaine AD ;
• Agentes de livraison virtuelle (VDAs) ;
• Hyperviseurs – en général, ils sont présents, mais il existe des situations où il est possible de se passer de la virtualisation ;
• Composants optionnels – Citrix Gateway et StoreFront.

Tous les composants énumérés, à l'exception des Cloud Connectors, sont gérés par le client. C'est logique, car c'est ici que se trouve le data-plane, en particulier pour les nœuds physiques et les hyperviseurs avec VDA, où sont hébergées directement les applications et les bureaux des utilisateurs.

Les Cloud Connectors doivent être installés uniquement par le client, c'est une procédure très simple, effectuée depuis la console Citrix Cloud. Leur gestion ultérieure se fait automatiquement.

Contrôle d'accès

Ce service offre les fonctionnalités suivantes :

• SSO (authentification unique) vers un large éventail d'applications SaaS populaires ;
• Filtrage d'accès aux ressources Internet ;
• Suivi de l'activité des utilisateurs sur Internet.

Le SSO des clients vers les services SaaS via Citrix Workspace est une alternative plus pratique et plus sécurisée par rapport à l'accès habituel via un navigateur. La liste des applications SaaS prises en charge est assez vaste et s'élargit constamment.

Le filtrage d'accès à Internet peut être configuré sur la base de listes blanches ou noires de sites créées manuellement. De plus, la restriction d'accès selon les catégories de sites est prise en charge, sur la base de listes URL commerciales mises à jour. L'accès des utilisateurs à des catégories de sites telles que les réseaux sociaux, le commerce, le contenu pour adultes, les logiciels malveillants, les torrents, les proxys, etc., peut être restreint.

En plus de permettre l'accès direct aux sites/SaaS ou de bloquer l'accès, il est possible de rediriger les clients vers le Secure Browser. Cela signifie que, pour réduire les risques, l'accès à certaines catégories/listes de ressources Internet ne sera possible que via le Secure Browser.

Le service fournit également une analyse détaillée pour le suivi de l'activité des utilisateurs sur Internet : sites et applications visités, ressources dangereuses et attaques, accès bloqué, volumes de données téléchargées/partagées.

Secure Browser

Permet de publier pour les utilisateurs de Citrix Workspace un navigateur Internet (Google Chrome) sous forme d'application virtuelle. Secure Browser est un service SaaS, dont la gestion et l'assistance sont assurées par Citrix. Il est entièrement hébergé dans Citrix Cloud (y compris le data-plane), le client n'a pas besoin de le déployer et de le gérer dans ses propres infrastructures.

Citrix est responsable de l'allocation des ressources dans son cloud pour le VDA, sur lequel sont hébergés les navigateurs publiés pour les clients, tout en garantissant la sécurité et la mise à jour du système d'exploitation ainsi que des navigateurs eux-mêmes.

L'accès des clients au Secure Browser se fait via l'application Workspace ou le navigateur client. La session est chiffrée par TLS. Pour utiliser le service, le client n'a besoin de rien télécharger ni installer.

Les sites et applications web lancés via le Secure Browser s'exécutent dans le cloud, le client ne reçoit qu'une image de la session terminale, rien n'est exécuté sur le dispositif final. Cela permet d'augmenter considérablement le niveau de sécurité et de se protéger contre les attaques par navigateur.

La connexion et la gestion du service se font via le tableau de bord du client Citrix Cloud. La connexion s'effectue en quelques clics :


La gestion est également assez simple, elle consiste à définir des politiques et des listes blanches :


La politique permet de réguler les paramètres suivants :

• Clipboard – permet d'activer la fonction copier-coller dans la session de navigateur ;
• Printing – possibilité de sauvegarder des pages web sur le dispositif client au format PDF ;
• Non-kiosk – activé par défaut, permet une utilisation complète du navigateur (plusieurs onglets, barre d'adresse) ;
• Region failover – possibilité de redémarrer le navigateur dans une autre région du Citrix Cloud en cas de panne de la région principale ;
• Client drive mapping – possibilité de monter le disque du dispositif client pour télécharger ou charger des fichiers de la session de navigateur.

Les listes blanches (Whitelists) permettent de spécifier une liste de sites auxquels les clients auront accès. L'accès aux ressources en dehors de cette liste sera interdit.

Content Collaboration

Ce service permet un accès partagé des utilisateurs de Workspace aux fichiers et documents situés sur les ressources internes du client (sur site) et supportés par des services cloud publics. Cela peut inclure les dossiers personnels de l'utilisateur, des partages de fichiers d'entreprise, des documents SharePoint ou des dépôts cloud tels que OneDrive, DropBox ou Google Drive.

Le service fournit SSO pour l'accès aux données sur tous les types de ressources de stockage. Les utilisateurs de Citrix Workspace ont un accès sécurisé à leurs fichiers de travail depuis leurs dispositifs, tant au bureau qu'à distance, sans aucune complexité supplémentaire.

La collaboration de contenu offre les fonctionnalités suivantes pour travailler avec des données :

• échange de fichiers entre les ressources Workspace et l'appareil client (téléchargement et mise en ligne),
• synchronisation des fichiers de l'utilisateur sur tous les appareils,
• partage de fichiers et synchronisation pour plusieurs utilisateurs Workspace,
• configuration des droits d'accès aux fichiers et dossiers pour d'autres utilisateurs Workspace,
• demande d'accès aux fichiers, création de liens pour le téléchargement sécurisé (upload) des fichiers.

En outre, des mécanismes de protection supplémentaires sont fournis :

• accès aux fichiers par des mots de passe à usage unique,
• chiffrement des fichiers,
• ajout de filigranes aux fichiers partagés.

Gestion des points de terminaison

Ce service fournit les fonctionnalités nécessaires à la gestion des appareils mobiles (Mobile Device Management – MDM) et des applications (Mobile Application Management – MAM) pour les postes de travail numériques. Citrix le positionne comme une solution SaaS-EMM – Gestion de la mobilité d'entreprise en tant que service.

Les fonctionnalités MDM permettent :

• de diffuser des applications, des politiques d'appareils, et des certificats pour se connecter aux ressources du client,
• de suivre les appareils,
• de bloquer et d'effectuer une suppression complète ou partielle (wipe) des appareils.

Les fonctionnalités MAM permettent :

• de garantir la sécurité des applications et des données sur les appareils mobiles,
• de fournir des applications mobiles d'entreprise.

D'un point de vue architectural et concernant le principe de fourniture du service au client, la gestion des points de terminaison est très similaire à l'option cloud décrite ci-dessus pour Virtual Apps and Desktops. Le Control Plane et les services qui le composent sont situés dans Citrix Cloud, leur maintenance étant assurée par Citrix, ce qui permet de considérer ce service comme SaaS.

Le Data Plane dans les emplacements des ressources du client comprend :

• Les Cloud Connectors nécessaires pour interagir avec le cloud Citrix,
• Les Citrix Gateways, assurant un accès distant sécurisé des utilisateurs aux ressources internes du client (applications, données) et fonction de micro-VPN,
• Active Directory, PKI
• Exchange, fichiers, applications et bureaux virtuels.

Gateway

Le Citrix Gateway offre les fonctionnalités suivantes :

• passerelle d'accès distant – connexion sécurisée aux ressources de l'entreprise pour les utilisateurs mobiles et distants à l'extérieur du périmètre protégé,
• fournisseur IdAM (Identity and Access Management) pour assurer le SSO aux ressources de l'entreprise.

Sous les ressources d'entreprise dans ce contexte, on entend non seulement des applications virtuelles et des postes de travail, mais aussi de nombreuses applications SaaS.

Pour optimiser le trafic réseau et obtenir les fonctionnalités de micro VPN, il est nécessaire de déployer Citrix Gateway dans chacun des emplacements des ressources, généralement dans la DMZ. Dans ce cas, la nécessité de disposer des capacités requises et de l'assistance repose sur le client.

Une alternative est l'utilisation de Citrix Gateway sous forme de service dans Citrix Cloud, dans ce cas, le client n'a rien à déployer et à gérer lui-même, c'est Citrix qui s'en occupe dans son cloud.

Analytics

C'est un service analytique de Citrix Cloud, intégré à tous les services cloud décrits ci-dessus. Il est destiné à collecter les données générées par les services Citrix et à les analyser grâce aux mécanismes d'apprentissage automatique intégrés. Les métriques relatives aux utilisateurs, aux applications, aux fichiers, aux appareils et au réseau sont prises en compte.

Cela permet de générer des rapports sur la sécurité, la performance et les opérations des utilisateurs.

En plus de la génération de rapports statistiques, Citrix Analytics peut également agir de manière proactive. Cela implique la création de profils de comportement normal des utilisateurs et l'identification des anomalies. Si un utilisateur commence à utiliser l'application de manière atypique ou à partager des données de manière excessive, lui et son appareil peuvent être automatiquement bloqués. La même chose se produira en cas d'accès à des ressources Internet dangereuses.

L'attention est portée non seulement sur la sécurité, mais aussi sur la performance. L'analyse permet de surveiller et de résoudre rapidement les problèmes liés à des connexions lentes des utilisateurs et à des latences réseau.

Conclusion

Nous avons découvert l'architecture de Citrix Cloud, la plateforme Workspace et ses principaux services nécessaires à l'organisation de l'infrastructure des espaces de travail numériques. Il convient de noter que nous n'avons pas examiné tous les services de Citrix Cloud, mais nous nous sommes limités à un ensemble de base pour organiser un espace de travail numérique. Liste complète des services du cloud Citrix comprend également des outils réseau, des fonctionnalités supplémentaires pour travailler avec des applications et des postes de travail.

Il convient également de mentionner que la fonctionnalité principale des espaces de travail numériques peut être déployée sans Citrix Cloud, uniquement on-premises. Le produit de base Virtual Apps and Desktops reste disponible dans sa version classique, où non seulement le VDA, mais tous les services de gestion sont déployés et pris en charge par le client sur son site, sans besoin de Cloud Connectors dans ce cas. Il en va de même pour Endpoint Management – son ancêtre on-premises s'appelle XenMobile Server, bien que dans la version cloud, il soit légèrement plus fonctionnel. Certaines fonctionnalités d'Access Control peuvent également être mises en œuvre sur le site du client. La fonctionnalité Secure Browser peut être réalisée on-premises, et le choix du navigateur revient au client.

Le désir de tout déployer sur son propre site est bon en termes de sécurité, de contrôle et de méfiance envers les clouds occidentaux. Cependant, sans Citrix Cloud, les fonctionnalités de Content Collaboration et d'Analytics seront complètement inaccessibles. Les fonctionnalités d'autres solutions Citrix on-premises, comme mentionné ci-dessus, peuvent être inférieures à leur réalisation cloud. Et surtout, le plan de gestion devra être maintenu en interne et administré par les propres soins.

Liens utiles :

Documentation technique sur les produits Citrix, y compris Citrix Cloud
Citrix Tech Zone – vidéos techniques, articles et diagrammes
Bibliothèque de ressources Citrix Workspace

Source : habr.com