🥇Arhitektura Digital Workspace na platformi Citrix Cloud

Uvod

Članak opisuje mogućnosti i arhitektonske karakteristike oblaka Citrix Cloud i skupa usluga Citrix Workspace. Ova rješenja su središnji element i osnova za ostvarivanje koncepta digitalnih radnih mjesta tvrtke Citrix.

U ovom članku sam pokušao razumjeti i formulirati uzročno-posljedične veze između oblaka, usluga i pretplata Citrix, čiji opis u otvorenim izvorima tvrtke (citrix.com i docs.citrix.com) djeluje pomalo mutno. Oblačne tehnologije – na drugi način nije moguće! Treba napomenuti da su arhitektura i tehnologije u cjelini objašnjene razumljivo. Poteškoće se javljaju u razumijevanju hijerarhijske međusobne povezanosti između usluga i platformi:

koja platforma je primarna — Citrix Cloud ili Citrix Workspace Platform?
u koju od gore navedenih platformi ulaze brojne usluge Citrix potrebne za izgradnju infrastrukture digitalnih radnih mjesta?
kolika je cijena ovog zadovoljstva i na koje načine ga se može dobiti?
je li moguće implementirati sve značajke digitalnog radnog mjesta Citrix bez korištenja Citrix Clouda?

Odgovori na ova pitanja i upoznavanje s rješenjima Citrix za digitalna radna mjesta su ispod.

Citrix Cloud

Citrix Cloud je oblačna platforma na kojoj su smještene sve usluge potrebne za organizaciju digitalnih radnih mjesta. Ovo je oblak u vlasništvu tvrtke Citrix, koja se također brine o njegovom održavanju i osigurava određenu SLA (dostupnost usluga – najmanje 99,5% mjesečno).

Klijenti tvrtke Citrix, ovisno o odabranoj pretplati (paketu usluga), dobivaju pristup određenom popisu usluga prema modelu SaaS. Za njih, Citrix Cloud služi kao oblačna upravljačka ploča digitalnih radnih mjesta tvrtke. Citrix Cloud ima multi-tenant arhitekturu, a klijenti i njihova infrastruktura su međusobno izolirani.

Citrix Cloud služi kao kontrolna ravnina, gdje se nalaze brojne Citrix usluge u oblaku, uključujući usluge za administraciju i upravljanje infrastrukturom digitalnog radnog prostora. Podatkovna ravnina, koja uključuje korisničke aplikacije, radne površine i podatke, nalazi se izvan Citrix Clouda. Jedina iznimka je Secure Browser Service, koji se potpuno pruža prema oblaku. Podatkovna ravnina može biti smještena u centru podataka klijenta (on-premises), centru podataka davatelja usluga, ili u hibridnim oblačnim okruženjima (AWS, Azure, Google Cloud). Moguće su mješovite i distribuirane solucije, kada se podaci klijenta nalaze na nekoliko mjesta i u oblakima, uz centralizirano upravljanje iz Citrix Clouda.

Ovaj pristup ima nekoliko očitih prednosti za klijente:

sloboda izbora mjesta za pohranu podataka;
mogućnost izgradnje hibridne distribuirane infrastrukture koja podrazumijeva više smještaja kod različitih pružatelja usluga, u nekoliko oblaka i on-premises;
nema izravnog pristupa korisničkim podacima od strane Citrixa, budući da se oni nalaze izvan Citrix Clouda;
mogućnost samostalnog određivanja potrebne razine performansi, otpornosti, pouzdanosti, povjerljivosti, cjelovitosti i dostupnosti podataka; nakon toga treba odabrati odgovarajuća mjesta za pohranu;
nema potrebe za postavljanjem i održavanjem brojnih usluga za upravljanje digitalnim radnim mjestima, budući da su sve one smještene u Citrix Cloudu i predstavljaju bolnu točku za Citrix; kao posljedica toga – smanjenje troškova.

Citrix Workspace

Citrix Workspace je transcendentalni, osnovni i sveobuhvatan pojam. Poglejmo ga malo detaljnije kako bi postalo jasno - zašto.

U globalu, Citrix Workspace utjelovljuje koncept digitalnih radnih mjesta od strane tvrtke Citrix. To je istovremeno rješenje, usluga i skup usluga za stvaranje integriranih, sigurnih, jednostavnih za korištenje i upravljanih radnih mjesta.

Korisnici dobivaju mogućnost besprijekornog SSO-a za brz pristup aplikacijama/uslugama, radnim stolovima i podacima iz jedinstvene konzole s bilo kojeg uređaja za produktivno poslovanje. Sa radošću mogu zaboraviti na mnoštvo računa, lozinki i poteškoća u pronalaženju aplikacija (prečaci, izbornik Start, preglednici – sve na različitim mjestima).

IT služba dobiva alate za centralizirano upravljanje uslugama i korisničkim uređajima, osiguravanje sigurnosti, razgraničavanje pristupa, praćenje, ažuriranje, optimizaciju mrežne interakcije i analitiku.

Citrix Workspace omogućuje objedinjeni pristup sljedećim resursima:

Citrix Virtual Apps and Desktops – virtualizacija aplikacija i radnih stolova;
Web aplikacije;
Oblačne SaaS aplikacije;
Mobilne aplikacije;
Datoteke u različitim spremištima, uključujući i oblačna.

Pristup resursima Citrix Workspace ostvaruje se putem:

Standardnog preglednika — podržavaju se Chrome, Safari, MS IE i Edge, Firefox
ili 'izvorne' klijentske aplikacije — Citrix Workspace App.

Pristup je moguć sa svih popularnih klijentskih uređaja:

Potpuni računalni sustavi na Windows, Linux, MacOS pa čak i Chrome OS;
Mobilni uređaji s iOS ili Android.

Citrix Workspace Platform – dio je mnoštva oblačnih usluga Citrix Cloud, namijenjenih organizaciji digitalnog radnog prostora. Važno je napomenuti da Workspace obuhvaća većinu usluga prisutnih u Citrix Cloud, o njima ćemo detaljnije govoriti kasnije.

Tako završni korisnici dobivaju funkcionalnost digitalnih radnih prostora na omiljenim klijentskim uređajima putem Workspace App-a ili njegove pregledničke alternative (Workspace App za HTML5). Za postizanje ove funkcionalnosti Citrix nudi Workspace Platform u obliku skupa oblačnih usluga kojima administratori kompanije upravljaju putem Citrix Cloud.

Citrix Workspace dostupna je u tri paketa: Standard, Premium, Premium Plus. Razlikuju se po broju usluga uključenih u paket. Također, postoji mogućnost kupovine nekih usluga odvojeno, izvan paketa. Na primjer, osnovna usluga Virtual Apps and Desktops uključena je samo u paket Premium Plus, dok je njena zasebna cijena viša od cijene paketa Standard i gotovo jednaka Premium.

Izgleda da je Workspace i klijentska aplikacija – Workspace App, i cloud platforma (njena deo) — Workspace Platform, i naziv različitih paketa usluga, i koncept digitalnih radnih mesta od Citrix-a u celini. To je tako višeznačna entitet.

Arhitektura i sistemski zahtevi

U strukturi Digital Workspace-a kompanije Citrix možemo uslovno izdvojiti 3 oblasti:

Mnoštvo klijentskih uređaja s aplikacijom Workspace App ili pristupom digitalnim radnim mestima putem pretraživača.
Sam Workspace Platform u oblaku Citrix Cloud, koji se nalazi negde u mreži Internet u domeni cloud.com.
Lokacije resursa (resource location) — vlastite ili iznajmljene lokacije, privatne ili javne oblake, u kojima se smeštaju resursi s aplikacijama, virtualnim desktopima i podacima klijenta, koji se objavljuju u Citrix Workspace-u. To je onaj data-plane o kojem smo govorili ranije, podsećam da jedan klijent može imati nekoliko resource location.

Primeri resursa mogu biti hipervizori, serveri, mrežni uređaji, AD domene i drugi elementi potrebni za obezbeđivanje korisnicima relevantnih usluga digitalnih radnih mesta.

Distribuirani scenarij infrastrukture može podrazumevati:

više lokacija resursa u vlastitim data centrima klijenta,
lokacije u javnim oblacima,
male lokacije u udaljenim filijalama.

Prilikom planiranja lokacija treba uzeti u obzir:

blizinu korisnika, podataka i aplikacija;
mogućnost skaliranja, uključujući brzo povećanje i smanjivanje kapaciteta;
zahteve za sigurnost i regulative.

Komunikacije između Citrix Cloud-a i lokacija resursa klijenta ostvaruju se putem komponenti koje se nazivaju Citrix Cloud Connector. Ove komponente omogućavaju klijentu da se fokusira na održavanje resursa koji se pružaju korisnicima, i da zaboravi na komplikacije sa servisima za administraciju i upravljanje, koji su već implementirani u oblaku i kojima upravlja Citrix.

Za ravnotežu opterećenja i otpornu arhitekturu preporučuje se postavljanje najmanje dva Cloud Connector-a na svakom mjestu resursa. Cloud Connector može biti instaliran na namjenskom fizičkom ili virtualnom stroju s Windows Serverom (2012 R2 ili 2016). Preporučuje se da budu smješteni u unutarnju mrežu lokacije resursa, a ne u DMZ.

Cloud Connector autentificira i šifrira promet između Citrix Cloud-a i lokacije resursa putem https, standardno – TCP port 443. Dopuštene su samo odlazne sesije – od Cloud Connector-a prema oblaku, dolazne veze su zabranjene.

Citrix Cloud zahtijeva postojanje Active Directory (AD) usluge u infrastrukturi klijenta. AD služi kao glavni IdAM pružatelj i nužan je za autorizaciju pristupa korisnika resursima Workspace. Cloud Connector-i trebaju imati pristup AD-u. Za otpornost, dobra praksa je imati po paru kontrolera domene na svakoj lokaciji resursa, koji će komunicirati s Cloud Connector-ima te lokacije.

Citrix Cloud usluge

Sada treba razjasniti osnovne usluge Citrix Cloud-a, koje čine osnovu platforme Citrix Workspace i omogućuju klijentima da postave potpune digitalne radne prostore.

Razmotriti ćemo svrhu i funkcionalnost ovih usluga.

Virtual Apps and Desktops

Ovo je osnovna usluga Citrix Digital Workspace-a, koja omogućava terminalni pristup aplikacijama i punom VDI-u. Podržava virtualizaciju Windows i Linux aplikacija i desktop-a.

Kao oblaka usluga Citrix Cloud, Virtual Apps and Desktops service sadrži iste komponente kao i tradicionalni (neoblačni) Virtual Apps and Desktops, kako je prikazano na slici ispod. Razlika je u tome što su sve upravljačke komponente (control plane) u slučaju usluge smještene u oblaku Citrix Cloud. Klijentu više nije potrebno postavljati i održavati ove komponente, što obavlja tvrtka Citrix.

Na svojoj strani, klijent na lokacijama resursa treba postaviti sljedeće komponente:

Cloud Connector-e;
Kontrolere domene AD;
Virtual Delivery Agents (VDAs);
Hypervisore – obično su prisutni, ali postoje situacije gdje je moguće koristiti fizičke servere;
Opcionalne komponente – Citrix Gateway i StoreFront.

Sve navedene komponente, osim Cloud Connector-a, kupac prati samostalno. To je logično, s obzirom na to da se ovdje nalazi data-plane, posebno se to odnosi na fizičke čvorove i hipervizore s VDA, gdje se nalaze korisničke aplikacije i radne površine.

Cloud Connector-i moraju biti instalirani samo od strane kupca, to je vrlo jednostavna procedura koja se izvršava iz konzole Citrix Cloud. Daljnje održavanje odvija se automatski.

Kontrola pristupa

Ova usluga pruža sljedeće mogućnosti:

SSO (single sign-on) za veliki broj popularnih SaaS aplikacija;
Filtriranje pristupa internetu;
Praćenje aktivnosti korisnika na internetu.

SSO klijenata za SaaS usluge putem Citrix Workspace predstavlja pogodniju i sigurniju alternativu u odnosu na uobičajeni pristup putem preglednika. Popis podržanih SaaS aplikacija je prilično dugačak i neprestano se proširuje.

Filtriranje pristupa internetu može se konfigurirati na temelju ručno kreiranih bijelih ili crnih lista web stranica. Osim toga, podržava se ograničenje pristupa prema kategorijama web stranica, temeljenim na opsežnim ažuriranim komercijalnim popisima URL-ova. Korisnicima može biti ograničen pristup kategorijama web stranica kao što su društvene mreže, online kupovina, web stranice za odrasle, zlonamjerni softver, torrenti, proxy i dr.

Osim dopuštanja pristupa web stranicama/SaaS direktno ili blokiranja pristupa, postoji mogućnost preusmjeravanja klijenata na Secure Browser. Dakle, za smanjivanje rizika, pristup odabranim kategorijama/listama internet resursa bit će moguć samo putem Secure Browser-a.

Usluga također pruža detaljnu analitiku za praćenje aktivnosti korisnika na internetu: posjećene web stranice i aplikacije, opasni resursi i napadi, blokirani pristupi, količine učitanih/preuzetih podataka.

Secure Browser

Omogućava objavljivanje internetskog preglednika (Google Chrome) za korisnike Citrix Workspace u obliku virtualne aplikacije. Secure Browser je SaaS usluga kojom upravlja i održava kompanija Citrix. Potpuno se smješta u Citrix Cloud (uključujući data-plane), kupcu nije potrebno razvijati i održavati ga u vlastitim resursima.

Citrix je odgovoran za dodjelu resursa za VDA u svom oblaku, na kojima se nalaze preglednici dostupni klijentima, osigurava sigurnost i ažuriranje operativnog sustava i samih preglednika.

Pristup klijenata sigurnom pregledniku ostvaruje se putem aplikacije Workspace ili klijentskog preglednika. Sesija se šifrira putem TLS-a. Klijentu nije potrebno ništa preuzeti i instalirati za korištenje usluge.

Web stranice i web aplikacije koje se pokreću putem sigurnog preglednika funkcioniraju u oblaku, klijent samo dobiva sliku terminalne sesije, ništa se ne izvršava na krajnjem uređaju. To značajno povećava razinu sigurnosti i pruža zaštitu od napada na preglednike.

Povezivanje i upravljanje uslugom obavlja se putem panela narudžbe Citrix Cloud. Povezivanje se izvršava u nekoliko klikova:

Upravljanje je također vrlo jednostavno, svodi se na postavljanje politika i bijelih lista:

Politika omogućuje regulaciju sljedećih parametara:

Clipboard – omogućuje uključivanje mogućnosti kopiranja i lijepljenja u pregledničkoj sesiji;
Printing – mogućnost spremanja web stranica na klijentskom uređaju u PDF formatu;
Non-kiosk – prema zadanim postavkama uključeno, omogućuje punu upotrebu preglednika (više kartica, adresa);
Region failover – mogućnost ponovno pokretanja preglednika u drugoj regiji Citrix Clouda u slučaju pada glavne regije;
Client drive mapping – mogućnost montiranja diska klijentskog uređaja za preuzimanje ili učitavanje datoteka pregledničke sesije.

Bijeli listovi (Whitelists) omogućuju definiranje popisa web stranica kojima će klijenti imati pristup. Pristup resursima izvan ovog popisa bit će zabranjen.

Content Collaboration

Ova usluga omogućuje zajednički pristup korisnika Workspace datotekama i dokumentima smještenim na internim resursima klijenta (on-premises) i podržanim javnim oblačnim uslugama. To mogu biti osobne mape korisnika, korporativni mrežni sharedovi, dokumenti SharePoint ili takvi oblačni repozitoriji kao što su OneDrive, DropBox ili Google Drive.

Usluga pruža SSO za pristup podacima na svim tipovima skladišnih resursa. Korisnici Citrix Workspace dobivaju siguran pristup radnim datotekama sa svojih uređaja ne samo u uredu, već i daljinski, bez ikakvih dodatnih poteškoća.

Content Collaboration pruža sljedeće mogućnosti rada s podacima:

razmjenu datoteka između resursa Workspace i klijentskog uređaja (preuzimanje i učitavanje),
synchronizaciju datoteka korisnika na svim uređajima,
zajednički pristup datotekama i njihovu synchronizaciju za više korisnika Workspace-a,
postavljanje prava pristupa datotekama i mapama za druge korisnike Workspace-a,
zahtjev za pristupom datotekama, generiranje linkova za sigurno učitavanje (upload) datoteka.

Osim toga, osigurani su dodatni mehanizmi zaštite:

pristup datotekama putem jednokratnih zaporki,
enkripcija datoteka,
označavanje zajedničkih datoteka vodenim žigovima (watermark).

Upravljanje krajnjim točkama

Ova usluga osigurava funkcionalnost potrebnu za upravljanje mobilnim uređajima (Mobile Device Management — MDM) i aplikacijama (Mobile Application Management — MAM) na digitalnim radnim mjestima. Citrix je pozicionira kao SaaS-EMM rješenje – Upravljanje mobilnošću kao usluga.

MDM funkcionalnost omogućava:

distribuciju aplikacija, politika uređaja, certifikata za povezivanje s resursima klijenta,
evidenciju uređaja,
blokiranje i provođenje potpunog ili djelomičnog brisanja (wipe) uređaja.

MAM funkcionalnost omogućava:

osiguravanje sigurnosti aplikacija i podataka na mobilnim uređajima,
dostavljanje poslovnih mobilnih aplikacija.

S aspekta arhitekture i načina pružanja usluge klijentu, Upravljanje krajnjim točkama vrlo je slično kao opisana ranija cloud opcija Virtual Apps and Desktops. Control Plane i usluge koje ju čine nalaze se u Citrix Cloud-u, a njihovo održavanje obavlja Citrix, što omogućava da se ova usluga promatra kao SaaS.

Data Plane u smještaju resursa klijenta uključuje:

Cloud Connector-e potrebne za interakciju s cloudom Citrix,
Citrix Gateway-e koji osiguravaju siguran udaljeni pristup korisnika internim resursima klijenta (aplikacije, podaci) i funkcionalnost mikro-VPN-a,
Active Directory, PKI
Exchange, datoteke, virtualne aplikacije i desktopi.

Gateway

Citrix Gateway osigurava sljedeću funkcionalnost:

gateway za udaljeni pristup – sigurna povezanost s poslovnim resursima za mobilne i udaljene korisnike izvan zaštićenog perimetra,
IdAM-provider (Identity and Access Management) za osiguravanje SSO-a za poslovne resurse.

Pod korporativnim resursima u ovom kontekstu podrazumijevaju se ne samo virtualne aplikacije i radne površine, već i brojne SaaS aplikacije.

Za optimizaciju mrežnog prometa i postizanje funkcionalnosti micro VPN potrebno je implementirati Citrix Gateway na svakoj od lokacija resursa, obično u DMZ-u. U tom slučaju, odluke o potrebnim resursima i održavanju leže na ramenima naručitelja.

Alternativna opcija je korištenje Citrix Gateway u obliku usluge Citrix Cloud, u tom slučaju naručitelj ne mora ništa implementirati i održavati, to čini Citrix u svom oblaku.

Analitika

To je analitička usluga Citrix Clouda, integrirana sa svim gore opisanim uslugama u oblaku. Namijenjena je prikupljanju podataka generiranih Citrix uslugama i njihovoj analizi putem ugrađenih mehanizama strojnog učenja. Pri tome se uzimaju u obzir metrike povezane s korisnicima, aplikacijama, datotekama, uređajima i mrežom.

Kao rezultat, formiraju se izvještaji o sigurnosti, performansama i korisničkim operacijama.

Osim formiranja statističkih izvještaja, Citrix Analytics također može djelovati proaktivno. To uključuje formiranje profila normalnog ponašanja korisnika i otkrivanje anomalija. Ako korisnik počne neobično koristiti aplikaciju ili aktivno dijeliti podatke, on i njegov uređaj mogu biti automatski blokirani. Isto će se dogoditi u slučaju pristupa opasnim internetskim resursima.

Pažnja se posvećuje ne samo sigurnosti, već i performansama. Analitika omogućava praćenje i brzo rješavanje problema vezanih za dugo prijavljivanje korisnika i mrežne kašnjenja.

Zaključak

Upoznali smo se s arhitekturom Citrix oblaka, platformom Workspace i njenim osnovnim uslugama potrebnim za organizaciju infrastrukture digitalnih radnih mjesta. Valja napomenuti da smo razmotrili daleko od svih usluga Citrix Clouda, ograničivši se na osnovni skup za organizaciju digitalnog radnog prostora. Potpuni popis usluga Citrix oblaka također uključuje mrežne alate, dodatne funkcionalnosti za rad s aplikacijama i radnim mjestima.

Također je važno napomenuti da se osnovna funkcionalnost digitalnih radnih mjesta može implementirati i bez Citrix Clouda, isključivo on-premises. Osnovni proizvod Virtual Apps and Desktops još uvijek je dostupan u klasičnom obliku, gdje ne samo VDA, već i svi upravljački servisi, klijent postavlja i održava na svojoj lokaciji, u tom slučaju nisu potrebni Cloud Connector-i. Isto vrijedi i za Endpoint Management – njegov on-premises prethodnik naziva se XenMobile Server, iako je u oblaku nešto funkcionalniji. Klijent također može implementirati dio mogućnosti Access Control na svojoj lokaciji. Funkcionalnost Secure Browser može se implementirati on-premises, pri čemu izbor preglednika ostaje na klijentu.

Težnja da se sve postavi na svojoj lokaciji dobra je u smislu sigurnosti, kontrole i sumnje prema stranim oblacima. Međutim, bez Citrix Clouda funkcionalnost Content Collaboration i Analytics bit će potpuno nedostupna. Funkcionalnost drugih Citrix rješenja na on-premises, kako je ranije spomenuto, može zaostajati za njihovom Cloud implementacijom. I što je najvažnije – razinu upravljanja morat ćete zadržati kod sebe i sami administrirati.

Korisne veze:

Tehnička dokumentacija o Citrix proizvodima, uključujući Citrix Cloud
Citrix Tech Zone – tehnički videozapisi, članci i dijagrami
Biblioteka resursa Citrix Workspace

Izvor: habr.com