🥇A Citrix Cloud platformon működő Digital Workspace architektúrája

Bevezetés

A cikk bemutatja a Citrix Cloud felhőplatform lehetőségeit és architekturális jellemzőit, valamint a Citrix Workspace szolgáltatáscsomagját. Ezek a megoldások a digitális munkahelyek (digital workspace) megvalósításának középpontjában állnak, amelyeket a Citrix kínál.

A jelen cikkben megpróbáltam tisztázni és megfogalmazni az ok-okozati összefüggéseket a Citrix felhőplatformjai, szolgáltatásai és előfizetései között, amelyek leírása a cég nyilvános forrásaiban (citrix.com és docs.citrix.com) néhol nagyon zavarosnak tűnik. A felhőtechnológiák - látszólag másképp nem lehet! Érdemes megjegyezni, hogy az architektúra és a technológiák egészében érthetően vannak feltárva. Nehézségek merülnek fel a szolgáltatások és platformok közötti hierarchikus összefüggések megértésében:

melyik platform az elsődleges – a Citrix Cloud vagy a Citrix Workspace Platform?
melyik fenti platformba tartoznak a digital workspace infrastruktúrájához szükséges számos Citrix szolgáltatás?
mennyi ennek az örömnek az ára, és milyen változatokban érhető el?
lehetséges-e a Citrix digital workspace összes funkcióját megvalósítani a Citrix Cloud használata nélkül?

A kérdésekre adott válaszok és a Citrix megoldásaival való ismerkedés lent található.

Citrix Cloud

A Citrix Cloud egy felhőplatform, amelyen az összes szükséges szolgáltatás található a digitális munkahelyek megszervezéséhez. Ezt a felhőt közvetlenül a Citrix üzemelteti, amely gondoskodik a karbantartásáról és biztosítja a kívánt SLA (a szolgáltatások elérhetősége minimum 99,5% havonta).

A Citrix ügyfelei az előfizetett csomagtól függően hozzáférést kapnak bizonyos szolgáltatásokhoz SaaS modellben. Számukra a Citrix Cloud a vállalat digitális munkahelyeinek felhőkezelő paneljeként működik. A Citrix Cloud multi-tenant architektúrával rendelkezik, az ügyfelek és infrastruktúráik elszigeteltek egymástól.

A Citrix Cloud a vezérlő sík szerepét tölti be, ahol a Citrix számos felhőszolgáltatása, köztük a digitális munkahelyek infrastruktúrájának szolgáltatásai és kezelőszolgáltatásai találhatók. Az adat sík, amely a felhasználói alkalmazásokat, asztalokat és adatokat tartalmazza, a Citrix Cloud-on kívül helyezkedik el. Kivétel ez alól a Secure Browser Service, amely teljesen felhőalapú modellben működik. Az adatsík elhelyezkedhet a megrendelő adatközpontjában (on-premises), a szolgáltató adatközpontjában, vagy hiperskálázott felhőkben (AWS, Azure, Google Cloud). Lehetséges vegyes és elosztott megoldások is, amikor a megrendelő adatai több helyszínen és felhőben találhatók, miközben a kezelésük központosítottan történik a Citrix Cloud-ból.

Ez a megközelítés számos nyilvánvaló előnnyel jár a megrendelők számára:

az adatok elhelyezésének szabad megválasztása;
lehetővé teszi a hibrid elosztott infrastruktúrák kiépítését, amelyek számos elhelyezést feltételeznek különböző szolgáltatóknál, több felhőben és on-premises;
nincs közvetlen hozzáférés a felhasználói adatokhoz a Citrix részéről, mivel azok a Citrix Cloud-on kívül helyezkednek el;
lehetőség van arra, hogy a szükséges teljesítményi, további felügyeleti, megbízhatósági, adatvédelmi, integritási és elérhetőségi szintet önállóan meghatározzuk; ezt követően megfelelő elhelyezéseket találni;
nincs szükség számos digitális munkahely-kezelő szolgáltatás elhelyezésére és karbantartására, mivel ezek mind a Citrix Cloud-ban találhatók, és a Citrix aggodalmát képezik; ennek következtében pedig csökkennek a költségek.

Citrix Workspace

A Citrix Workspace egy transzcendentális, alapvető és átfogó fogalom. Nézzük meg alaposabban, hogy miért.

Összességében a Citrix Workspace a Citrix vállalat digitális munkahelyek koncepcióját jelképezi. Ez egyszerre megoldás, szolgáltatás és egy sor olyan szolgáltatás, amely lehetővé teszi a központosított, biztonságos, kényelmes és kezelhető munkahelyek létrehozását.

A felhasználók zökkenőmentes SSO-hozzáférést kapnak az alkalmazásokhoz/szolgáltatásokhoz, asztali gépekhez és adatokhoz egyetlen konzolon keresztül, bármilyen eszközről, hogy hatékonyan dolgozhassanak. Örömmel felejthetik el a sok felhasználónevet, jelszót és az alkalmazások (ikonsáv, Start menü, böngészők – mind különböző helyeken) keresésével járó nehézségeket.

Az IT-szolgáltatás központosított eszközöket kap a szolgáltatások és a kliens eszközök kezelésére, a biztonság biztosítására, a hozzáférés korlátozására, a figyelésre, a frissítésre, a hálózati interakció optimalizálására és az elemzésre.

A Citrix Workspace lehetővé teszi az alábbi források egyesített hozzáférését:

Citrix Virtual Apps és Desktops – alkalmazás és asztali virtualizáció;
Webalkalmazások;
Felhőben futó SaaS-alkalmazások;
Mobil alkalmazások;
Fájlok különböző tárolókban, beleértve a felhő alapúakat is.

A Citrix Workspace forrásaihoz való hozzáférés az alábbi módokon lehetséges:

Szabványos böngésző – támogatja a Chrome, Safari, MS IE és Edge, Firefox böngészőket.
vagy a „natív” kliens alkalmazás – Citrix Workspace App.

Hozzáférés lehetséges minden népszerű kliens eszközről:

Teljes értékű számítógépek Windows, Linux, MacOS és még Chrome OS alatt is;
Mobil eszközök iOS vagy Android operációs rendszeren.

A Citrix Workspace Platform a Citrix Cloud számos felhőszolgáltatásának része, amely a digitális munkaterületek kialakítására szolgál. Fontos megjegyezni, hogy a Workspace magában foglalja a Citrix Cloud-ban elérhető szolgáltatások nagy részét, amelyről később részletesebben fogunk beszélni.

Így a végfelhasználók digitális munkaterük funkcióit az általuk kedvelt kliens eszközökön a Workspace App vagy annak böngészőbeli alternatíváján (Workspace App HTML5-höz) keresztül kapják meg. A kívánt funkció eléréséhez a Citrix Workspace Platformot felhőszolgáltatások halmazaként kínálja, amelyeket a cég adminisztrátorai a Citrix Cloud-on keresztül irányítanak.

A Citrix Workspace elérhető három csomagban: Standard, Premium, Premium Plus. Ezek a csomagok a csomagba tartozó szolgáltatások számában különböznek. Ezen kívül lehetőség van néhány szolgáltatás külön vásárlására is a csomagon kívül. Például az alap Virtual Apps és Desktops szolgáltatás csak a Premium Plus csomagban található, míg a külön ár meghaladja a Standard csomag árát és majdnem egyenlő a Premium-éval.

A Workspace tehát egy kliensalkalmazásként működik – Workspace App, és egy felhőplatform részeként – Workspace Platform, valamint szolgáltatáscsomagok nevét, és a Citrix digitális munkahelyek koncepcióját összefoglaló fogalom. Ilyen sokoldalú entitás.

Architektúra és rendszerkövetelmények

A Citrix Digital Workspace struktúrájában három területet lehet kiemelni:

Számos klienskészülék, amely Workspace App alkalmazással vagy böngészőn keresztül hozzáfér a digitális munkahelyekhez.
Kifejezetten a Workspace Platform a Citrix Cloud-ban, amely valahol az Interneten található a cloud.com domainen.
Erőforráshelyek (resource location) – saját vagy bérelt helyszínek, privát vagy nyilvános felhők, ahol az alkalmazások, virtuális asztalok és az ügyfelek adatai találhatók, amelyeket a Citrix Workspace-ben publikálnak. Ez az a data-plane, amiről korábban szó volt, emlékeztetem, hogy egy ügyfélnek több resource locationja is lehet.

Erőforrásként működhetnek hiperelmélet, szerverek, hálózati eszközök, AD domainek és más elemek, amelyek szükségesek a digitális munkahelyekkel kapcsolatos szolgáltatások nyújtásához.

A decentralizált infrastruktúra-scenario a következőket feltételezheti:

több erőforráshely az ügyfél saját adatközpontjában,
helyszínek nyilvános felhőkben,
kis helyszínek távoli fiókokban.

A helyszínek tervezésekor figyelembe kell venni:

a felhasználók, adatok és alkalmazások közelségét;
a skálázhatóság lehetőségét, ideértve a gyors kapacitásnövelés és -csökkentés biztosítását;
a biztonsági és szabályozási követelményeket.

A Citrix Cloud és az ügyfél erőforráshelyei közötti kommunikációt olyan komponensek biztosítják, amelyeket Citrix Cloud Connector néven ismerünk. Ezek a komponensek lehetővé teszik az ügyfél számára, hogy a felhasználóknak nyújtott erőforrások fenntartására összpontosítson, és elfelejtheti a felügyeleti és vezérlő szolgáltatások körüli bonyodalmakat, amelyek már a felhőben vannak telepítve és a Citrix általi felügyelet alatt állnak.

A terheléselosztás és a hibajavítás érdekében ajánlott legalább két Cloud Connector telepítése minden erőforrás-elhelyezésben. A Cloud Connector telepíthető dedikált fizikai vagy virtuális gépre Windows Server (2012 R2 vagy 2016) rendszerrel. Előnyös, ha azokat az erőforrás-elhelyezés belső hálózatában helyezik el, nem a DMZ-ben.

A Cloud Connector hitelesíti és titkosítja a forgalmat a Citrix Cloud és az erőforrás-elhelyezés között HTTPS-en keresztül, alapértelmezetten a TCP 443. csak kimenő sessziókat engedélyez – a Cloud Connector-tól a felhőbe, a bejövő kapcsolatok tilosak.

A Citrix Cloud Active Directory (AD) szolgáltatást igényel az ügyfél infrastruktúrájában. Az AD az alapvető IdAM-szolgáltató szerepét tölti be, és szükséges a felhasználók Workspace-erőforrásokhoz való hozzáférésének jogosultságához. A Cloud Connectoroknak hozzáféréssel kell rendelkezniük az AD-hoz. A hibajavítás érdekében jó gyakorlat, ha minden erőforrás-elhelyezésben van pár tartományvezérlő, amely interakcióba lép a helyi Cloud Connectorokkal.

Citrix Cloud Szolgáltatások

Most áttekintjük a Citrix Cloud alapvető szolgáltatásait, amelyek a Citrix Workspace platform alapját képezik, és lehetővé teszik az ügyfelek számára, hogy teljes értékű digitális munkahelyeket indítsanak.

Tekintsük át ezen szolgáltatások célját és funkcionalitását.

Virtual Apps and Desktops

Ez a Citrix Digital Workspace alapvető szolgáltatása, amely terminális hozzáférést biztosít az alkalmazásokhoz és teljes értékű VDI-t. Támogatja a Windows és Linux alkalmazások valamint asztalok virtualizálását.

Mivel a Citrix Cloud egy felhőalapú szolgáltatás, a Virtual Apps and Desktops szolgáltatás ugyanazokat az összetevőket tartalmazza, mint a hagyományos (nem felhőalapú) Virtual Apps and Desktops, ahogy az alábbi ábra is mutatja. A különbség az, hogy a szolgáltatás kezelő komponensei (control plane) a Citrix Cloudban helyezkednek el. Az ügyfélnak már nem kell ezeket a komponenseket telepítenie és karbantartania, a Citrix vállalkozás foglalkozik ezzel.

Az ügyfélnek az erőforrás-elhelyezésben a következő komponenseket kell telepítenie:

Cloud Connectorok;
AD tartományvezérlők;
Virtual Delivery Agents (VDAs);
Hipervizorok – általában már vannak, de előfordulhatnak olyan helyzetek, amikor fizikailag is elégséges;
Opcionális komponensek – Citrix Gateway és StoreFront.

Az összes felsorolt komponens, kivéve a Cloud Connectorokat, a megrendelő általi önálló adminisztrálásra kerül. Ez logikus, mivel itt található a data-plane, különösen a fizikai csomópontok és a VDA-val rendelkező hypervisorok esetében, ahol közvetlenül a felhasználói alkalmazások és munkaasztalok helyezkednek el.

A Cloud Connectorokat csak a megrendelőnek kell telepítenie, ez egy nagyon egyszerű eljárás, amely a Citrix Cloud konzolból végezhető. További karbantartásuk automatikusan történik.

Hozzáférés-ellenőrzés

Ez a szolgáltatás a következő lehetőségeket kínálja:

SSO (single sign-on) egy nagy népszerű SaaS-alkalmazáslistához;
Internetes erőforrások hozzáférésének szűrése;
Felhasználói aktivitás monitorozása az Interneten.

Az ügyfelek SSO-ja a SaaS-szolgáltatásokhoz a Citrix Workspace-on keresztül kényelmesebb és biztonságosabb alternatíva a hagyományos böngészőn keresztüli hozzáféréshez képest. A támogatott SaaS-alkalmazások listája meglehetősen széles és folyamatosan bővül.

Az internet hozzáférésének szűrése kézzel létrehozott fehér vagy fekete listák alapján állítható be. Ezenkívül a hozzáférés kategóriák szerint is korlátozható egy széleskörűen frissített kereskedelmi URL-lista alapján. A felhasználók hozzáférése korlátozható olyan kategóriákhoz, mint a közösségi média, vásárlás, felnőtt tartalom, rosszindulatú szoftverek, torrentek, proxy stb.

A weboldalak/SaaS közvetlen hozzáférésének engedélyezése vagy blokkolása mellett lehetőség van az ügyfeleket a Secure Browserre átirányítani. Vagyis a kockázatok csökkentése érdekében a kiválasztott kategóriákhoz/sorokhoz az Internetes erőforrásokhoz való hozzáférés csak a Secure Browseren keresztül lesz lehetséges.

A szolgáltatás részletes elemzéseket is nyújt a felhasználói aktivitás monitorozásához az interneten: látogatott weboldalak és alkalmazások, veszélyes erőforrások és támadások, blokkolt hozzáférés, feltöltött/letöltött adatok mennyisége.

Secure Browser

Lehetővé teszi, hogy a Citrix Workspace felhasználói számára internetböngészőt (Google Chrome) publikáljunk virtuális alkalmazásként. A Secure Browser egy SaaS-szolgáltatás, amelynek irányítását és karbantartását a Citrix cég végzi. Teljes mértékben a Citrix Cloudban található (beleértve a data-plane-t), a megrendelőnek nem kell azt saját erőforrásainál telepítenie és karbantartania.

A Citrix a VDA-hoz tartozó erőforrások kiemeléséért felelős az adatközpontjában, ahol a ügyfelek számára közzétett böngészők találhatók, valamint biztosítja az operációs rendszer és a böngészők frissítését és biztonságát.

A Secure Browserhez való ügyfélhozzáférés a Workspace app-on vagy az ügyfél böngészőjén keresztül történik. A munkamenet TLS titkosítással védett. A szolgáltatás használatához az ügyfeleknek nem kell semmit letölteniük és telepíteniük.

A Secure Browser-en keresztül futó weboldalak és webalkalmazások az adatközpontban működnek, az ügyfél csupán a terminális munkamenet képét kapja, a végberendezésen semmilyen művelet nem zajlik. Ez jelentősen növeli a biztonsági szintet és védi a böngésző támadásoktól.

A szolgáltatás csatlakozása és kezelése a Citrix Cloud ügyfélpanelezőjén keresztül történik. A csatlakozás néhány kattintással elvégezhető:

A kezelés is meglehetősen egyszerű, csupán a szabályzatok és fehérlisták megadására korlátozódik:

A szabályzat lehetővé teszi az alábbi paraméterek szabályozását:

Clipboard – lehetővé teszi a másolás-beillesztés funkció aktiválását a böngésző munkamenetében;
Printing – a weboldalak mentése PDF formátumban az ügyfél eszközén;
Non-kiosk – alapértelmezés szerint engedélyezve van, teljes körű böngészési élményt biztosít (több lap, címsor);
Region failover – lehetőség a böngésző egy másik Citrix Cloud régióban való újraindítására, ha az alapértelmezett régió leáll;
Client drive mapping – lehetőség az ügyfél eszközének meghajtójának csatolására a fájlok böngésző munkamenetén keresztüli letöltéséhez vagy feltöltéséhez.

A fehérlisták (Whitelists) lehetővé teszik azon webhelyek listájának megadását, amelyekhez az ügyfelek hozzáférhetnek. A listán kívüli erőforrásokhoz való hozzáférés tilos.

Content Collaboration

Ez a szolgáltatás lehetőséget biztosít a Workspace felhasználók közös hozzáférésére a belső erőforrásokon (on-premises) tárolt fájlokhoz és dokumentumokhoz, amelyek támogatottak nyilvános felhő szolgáltatások által. Ezek lehetnek a felhasználó személyes mappái, vállalati hálózati megosztások, SharePoint dokumentumok vagy olyan felhőalapú tárolók, mint a OneDrive, Dropbox vagy Google Drive.

A szolgáltatás SSO-t biztosít az adatokhoz való hozzáféréshez mindenféle tárolóforráson. A Citrix Workspace felhasználói biztonságos hozzáférést kapnak munkafájljaikhoz saját eszközeikről nemcsak az irodában, hanem távolról is, bármilyen további nehézség nélkül.

A Tartalmi Együttműködés a következő lehetőségeket kínálja az adatok kezelésére:

fájlok megosztása a Workspace és az ügyféleszköz között (letöltés és feltöltés),
a felhasználó fájljainak szinkronizálása minden eszközön,
fájlok közös használata és szinkronizálása több Workspace felhasználó számára,
hozzáférési jogok beállítása fájlokhoz és mappákhoz más Workspace felhasználók számára,
fájlok hozzáférésének kérése, biztonságos fájlok feltöltésére szolgáló linkek kialakítása.

Ezen kívül további védelmi mechanizmusok is biztosítva vannak:

fájlok elérhetősége egyszer használatos jelszavakkal,
fájlok titkosítása,
megjelölt közös fájlok vízjelekkel való ellátása.

Eszközkezelési Menedzsment

Ez a szolgáltatás biztosítja a digitális munkahelyek számára szükséges mobil eszközkezelő (Mobile Device Management — MDM) és alkalmazáskezelő (Mobile Application Management — MAM) funkciókat. A Citrix ezt SaaS-EMM megoldásként pozicionálja – Vállalati Mobilitás Menedzsment mint szolgáltatás.

Az MDM funkció lehetővé teszi:

alkalmazások, eszközpolitikák, tanúsítványok terjesztését az ügyfél erőforrásaihoz való csatlakozáshoz,
az eszközök nyilvántartásának vezetését,
az eszközök blokkolását és teljes vagy részleges törlést (wipe) végrehajtását.

A MAM funkció lehetővé teszi:

alkalmazások és adatok biztonságának biztosítását mobil eszközökön,
vállalati mobilalkalmazások biztosítását.

Az építkezés és a szolgáltatás nyújtásának elvei szempontjából az Eszközkezelési Menedzsment nagyon hasonló a fent leírt felhőalapú Virtual Apps and Desktops változathoz. A Vezérlőréteg és az azt alkotó szolgáltatások a Citrix Cloudban találhatók, karbantartásukkal a Citrix foglalkozik, ami lehetővé teszi, hogy ezt a szolgáltatást SaaS-ként tekintsük.

Az Adat Síkkal a megrendelő erőforrásainak elhelyezése tartalmazza:

Cloud Connector-ek, amelyek szükségesek a Citrix felhővel való interakcióhoz,
Citrix Gateway-ek, amelyek biztonságos távoli hozzáférést biztosítanak a felhasználók számára az ügyfél belső erőforrásaihoz (alkalmazások, adatok) és mikro-VPN funkciót biztosítanak,
Active Directory, PKI
Exchange, fájlok, virtuális alkalmazások és asztalok.

Gateway

A Citrix Gateway a következő funkciókat biztosít:

távoli hozzáférési átjáró – biztonságos kapcsolat a vállalati erőforrásokhoz mobil és távoli felhasználók számára a védett perimen kívül,
IdAM-szolgáltató (Identity and Access Management) a vállalati erőforrásokhoz való SSO biztosításához.

A vállalati erőforrások alatt ebben a kontextusban nemcsak a virtuális alkalmazásokat és asztali számítógépeket kell érteni, hanem a számos SaaS-alkalmazást is.

A hálózati forgalom optimalizálása és a micro VPN funkcionalitásának megszerzése érdekében szükséges a Citrix Gateway telepítése minden erőforrás elhelyezésénél, általában a DMZ-ben. Így a szükséges teljesítmények elkülönítése és fenntartása a megrendelő vállára hárul.

Egy alternatív lehetőség a Citrix Gateway használata Citrix Cloud szolgáltatásaként, ebben az esetben a megrendelőnek nem kell semmit telepítenie és karbantartania, ezt a Citrix végzi a felhőjében.

Analytics

Ez a Citrix Cloud analitikai szolgáltatás integrált minden fent említett felhőszolgáltatással. Az adatok gyűjtésére, amelyeket a Citrix szolgáltatások generálnak, és azok elemzésére szolgál a beépített gépi tanulási mechanizmusok révén. E közben figyelembe veszik a felhasználókkal, alkalmazásokkal, fájlokkal, eszközökkel és a hálózattal kapcsolatos metrikákat.

Ennek eredményeként jelentések készülnek a biztonságról, a teljesítményről és a felhasználói műveletekről.

A statisztikai jelentések elkészítése mellett a Citrix Analytics proaktívan is képes működni. Ez abban nyilvánul meg, hogy normális felhasználói viselkedési profilokat alakít ki, és az anomáliákat észleli. Ha a felhasználó nem szokványosan használja az alkalmazást, vagy aktívan megosztja az adatokat, automatikusan blokkolhatják őt és az eszközét. Ugyanez történik, ha veszélyes internetes forrásokhoz fér hozzá.

A figyelem nemcsak a biztonságra, hanem a teljesítményre is kiterjed. Az analitika lehetővé teszi a felhasználók hosszú bejelentkezésével és a hálózati késleltetésekkel kapcsolatos problémák gyors monitorozását és megoldását.

Zárás

Megismerkedtünk a Citrix felhő architektúrájával, a Workspace platformmal és annak fő szolgáltatásaival, amelyek szükségesek a digitális munkahelyek infrastruktúrájának megszervezéséhez. Érdemes megjegyezni, hogy nem minden Citrix Cloud szolgáltatást néztünk meg, hanem a digitális munkahely létrehozásához szükséges alapfelszereltséget vizsgáltuk. Teljes lista a Citrix felhő szolgáltatásairól is tartalmaz hálózati eszközöket, alkalmazásokkal és munkakörnyezetekkel kapcsolatos további funkciókat.

Azt is meg kell említeni, hogy a digitális munkahelyek fő funkciói a Citrix Cloud nélkül is telepíthetők, kizárólag helyben. Az alap Virtual Apps and Desktops termék továbbra is elérhető klasszikus változatban, ahol nemcsak a VDA, hanem az összes irányító szolgáltatást is a megrendelő telepíti és kezeli saját telephelyén, ilyenkor nincs szükség Cloud Connectorokra. Ugyanez vonatkozik az Endpoint Managementre is – helyben lévő elődje XenMobile Server néven ismert, bár felhős változatban kicsit funkcionálisabb. Az Access Control egyes lehetőségeit a megrendelő szintén megvalósíthatja a saját telephelyén. A Secure Browser funkcionalitás helyben is megvalósítható, és a böngésző kiválasztása a megrendelőre marad.

A saját telephelyre történő teljes telepítés vágya jó a biztonság, az ellenőrzés és a nyugati felhőkkel szembeni szankcionális bizalmatlanság szempontjából. Azonban a Citrix Cloud nélkül a Content Collaboration és Analytics funkcionalitás teljesen elérhetetlen lesz. A Citrix más helybéli megoldásainak funkcionalitása, ahogy azt fentebb említettük, elmaradhat felhős megvalósításaiktól. És ami a legfontosabb – az irányítási síkot saját kezünkben kell tartanunk és saját magunknak kell adminisztrálnunk.