🥇Architettura del Digital Workspace sulla piattaforma Citrix Cloud

Introduzione

L'articolo descrive le capacità e le caratteristiche architettoniche della piattaforma cloud Citrix Cloud e del set di servizi Citrix Workspace. Queste soluzioni sono un elemento centrale e la base per l'implementazione del concetto di spazi di lavoro digitali (digital workspace) di Citrix.

In questo articolo, ho cercato di comprendere e formulare le relazioni di causa ed effetto tra le piattaforme cloud, i servizi e gli abbonamenti di Citrix, la cui descrizione nelle fonti aperte dell'azienda (citrix.com e docs.citrix.com) risulta talvolta molto poco chiara. Le tecnologie cloud – altrimenti non si può apparire! Va notato che l'architettura e le tecnologie sono spiegate in modo sostanzialmente ragionevole. Le difficoltà sorgono nella comprensione della reciproca relazione gerarchica tra servizi e piattaforme:

quale piattaforma è primaria — Citrix Cloud o Citrix Workspace Platform?
in quale delle piattaforme sopra menzionate rientrano i numerosi servizi Citrix necessari per costruire l'infrastruttura degli spazi di lavoro digitali?
quanto costa questa gioia e in quali varianti è possibile ottenerla?
è possibile implementare tutte le funzionalità del digital workspace Citrix senza utilizzare Citrix Cloud?

Scopri le risposte a queste domande e le soluzioni Citrix per gli spazi di lavoro digitali qui sotto.

Citrix Cloud

Citrix Cloud è una piattaforma cloud che ospita tutti i servizi necessari per creare spazi di lavoro digitali. Questo cloud è di proprietà di Citrix, che si occupa anche della sua manutenzione e garantisce un SLA (disponibilità dei servizi – non meno del 99,5% al mese).

I clienti di Citrix, a seconda del pacchetto di servizi scelto, possono accedere a un elenco specifico di servizi tramite il modello SaaS. Per loro, Citrix Cloud funge da pannello di controllo cloud per gli spazi di lavoro digitali dell'azienda. Citrix Cloud possiede un'architettura multi-tenant, con clienti e le loro infrastrutture isolate l'una dall'altra.

Citrix Cloud funge da piano di controllo, ospitando numerosi servizi cloud di Citrix, inclusi i servizi operativi e di gestione per l'infrastruttura del digital workspace. Il piano dati, che include applicazioni utente, desktop e dati, risiede al di fuori di Citrix Cloud. L'unica eccezione è il Secure Browser Service, fornito completamente in modalità cloud. Il piano dati può essere ospitato presso il data center del cliente (on-premises), in un data center di un fornitore di servizi, o in iper-cloud (AWS, Azure, Google Cloud). Sono possibili soluzioni ibride e distribuite, in cui i dati del cliente sono distribuiti su più siti e cloud, con gestione centralizzata da Citrix Cloud.

Questo approccio offre diversi vantaggi evidenti per i clienti:

libertà di scegliere il luogo di archiviazione dei dati;
possibilità di costruire un'infrastruttura ibrida distribuita, con molteplici archiviazioni presso diversi fornitori, in vari cloud e on-premises;
assenza di accesso diretto ai dati degli utenti da parte di Citrix, poiché si trovano al di fuori di Citrix Cloud.
la possibilità di impostare autonomamente il livello necessario di prestazioni, resilienza, affidabilità, riservatezza, integrità e disponibilità dei dati; dopodiché selezionare i siti appropriati per l'hosting;
l'assenza della necessità di gestire e mantenere molti servizi per la gestione degli spazi di lavoro digitali, poiché tutti si trovano in Citrix Cloud e rappresentano un problema per Citrix; di conseguenza, una riduzione dei costi.

Citrix Workspace

Citrix Workspace è un concetto trascendentale, fondamentale e onnicomprensivo. Esaminiamolo più da vicino e sarà chiaro il perché.

In generale, Citrix Workspace incarna il concetto di spazi di lavoro digitali offerto da Citrix. Si tratta allo stesso tempo di una soluzione, di un servizio e di un insieme di servizi per creare spazi di lavoro unificati, sicuri, comodi e gestibili.

Gli utenti possono usufruire di un accesso SSO senza soluzione di continuità per accedere rapidamente ad applicazioni/servizi, desktop e dati da un'unica console da qualsiasi dispositivo, facilitando il loro lavoro. Possono dimenticare con piacere i numerosi account, le password e le difficoltà nel trovare le applicazioni (icone, barra delle applicazioni, browser – tutto disperso in vari luoghi).

Il servizio IT riceve strumenti per la gestione centralizzata dei servizi e dei dispositivi client, per garantire la sicurezza, gestire gli accessi, monitorare, aggiornare, ottimizzare le interazioni di rete e analizzare.

Citrix Workspace consente di fornire un accesso unificato alle seguenti risorse:

Citrix Virtual Apps and Desktops – virtualizzazione di applicazioni e desktop;
Applicazioni web;
Applicazioni SaaS cloud;
Applicazioni mobili;
File in vari archivi, inclusi quelli cloud.

L'accesso alle risorse di Citrix Workspace avviene attraverso:

Browser standard — supportati Chrome, Safari, MS IE e Edge, Firefox
o l'app client «nativa» — Citrix Workspace App.

L'accesso è possibile da tutti i popolari dispositivi client:

Computer completi con Windows, Linux, MacOS e persino Chrome OS;
Dispositivi mobili con iOS o Android.

La Citrix Workspace Platform è parte di molti servizi cloud offerti da Citrix Cloud, progettati per creare spazi di lavoro digitali. È importante notare che Workspace include gran parte dei servizi disponibili in Citrix Cloud, di cui parleremo più avanti.

In questo modo, gli utenti finali possono accedere alle funzionalità degli spazi di lavoro digitali sui loro dispositivi preferiti tramite l'app Workspace o la sua versione web (Workspace App per HTML5). Per ottenere questa funzionalità, Citrix offre la Workspace Platform come un insieme di servizi cloud gestiti dagli amministratori aziendali tramite Citrix Cloud.

Citrix Workspace è disponibile in tre pacchetti: Standard, Premium, Premium Plus. Si differenziano per il numero di servizi inclusi nel pacchetto. È anche possibile acquistare alcuni servizi singolarmente, al di fuori del pacchetto. Ad esempio, il servizio fondamentale Virtual Apps and Desktops è incluso solo nel pacchetto Premium Plus, e il suo costo separato è superiore a quello del pacchetto Standard e quasi equivalente a quello del Premium.

Risulta che Workspace sia sia l'applicazione client – Workspace App, sia la piattaforma cloud (una sua parte) – Workspace Platform, sia il nome delle varie tipologie di pacchetti servizi, sia il concetto di spazi di lavoro digitali di Citrix in generale. Un'entità così poliedrica.

Architettura e requisiti di sistema

In linea di massima, nella struttura del Digital Workspace di Citrix si possono individuare 3 aree:

Un numero crescente di dispositivi client con l'applicazione Workspace App o accesso tramite browser agli spazi di lavoro digitali.
La Workspace Platform direttamente nel cloud di Citrix Cloud, che si trova da qualche parte nella rete Internet nel dominio cloud.com.
Le posizioni delle risorse (resource location) – spazi propri o affittati, cloud privati o pubblici, in cui vengono ospitate risorse con applicazioni, desktop virtuali e dati dei clienti, pubblicati in Citrix Workspace. Questo è il data-plane di cui si parlava precedentemente; ricordo che un cliente può avere più di una resource location.

Esempi di risorse possono includere hypervisor, server, dispositivi di rete, domini AD e altri elementi necessari per fornire agli utenti i servizi appropriati degli spazi di lavoro digitali.

Uno scenario infrastrutturale distribuito può prevedere:

diverse posizioni delle risorse nei data center del cliente,
posizioni nei cloud pubblici,
piccole posizioni in filiali remote.

Nella pianificazione delle posizioni, è importante considerare:

la prossimità degli utenti, dei dati e delle applicazioni;
la possibilità di scalabilità, incluso il rapido aumento e riduzione delle capacità;
i requisiti di sicurezza e normativi.

Le comunicazioni tra Citrix Cloud e le posizioni delle risorse del cliente avvengono tramite componenti chiamati Citrix Cloud Connector. Questi componenti consentono al cliente di concentrarsi sulla gestione delle risorse fornite agli utenti, dimenticando le complessità dei servizi operativi e di gestione già implementati nel cloud e supportati da Citrix.

Per garantire il bilanciamento del carico e la resilienza, si raccomanda di implementare almeno due Cloud Connector in ogni posizione delle risorse. Il Cloud Connector può essere installato su una macchina fisica o virtuale dedicata con Windows Server (2012 R2 o 2016). È preferibile posizionarli all'interno della rete della posizione delle risorse, non nella DMZ.

Il Cloud Connector autentica e crittografa il traffico tra Citrix Cloud e la posizione delle risorse tramite https, utilizzando il porto TCP 443 come standard. Sono consentite solo sessioni in uscita - dal Cloud Connector verso il cloud, mentre le connessioni in ingresso sono vietate.

Citrix Cloud richiede la presenza di un servizio Active Directory (AD) nell'infrastruttura del cliente. AD funge da principale fornitore di IdAM ed è necessario per l'autorizzazione dell'accesso degli utenti alle risorse di Workspace. I Cloud Connector devono avere accesso ad AD. Per garantire la resilienza, è buona pratica avere un paio di controller di dominio in ogni posizione delle risorse, che interagiranno con i Cloud Connector di quella posizione.

Servizi Citrix Cloud

È ora di soffermarci sui servizi principali di Citrix Cloud, alla base della piattaforma Citrix Workspace, che consentono ai clienti di implementare postazioni di lavoro digitali complete.

Esaminiamo la destinazione e le funzionalità di questi servizi.

App e Desktop Virtuali

Questo è il servizio principale di Citrix Digital Workspace, che fornisce accesso terminale a applicazioni e un VDI completo. Supporta la virtualizzazione di applicazioni e desktop Windows e Linux.

Essendo un servizio cloud di Citrix Cloud, il servizio App e Desktop Virtuali include gli stessi componenti del tradizionale (non cloud) App e Desktop Virtuali, come mostrato nell'immagine qui sotto. La differenza è che tutti i componenti di gestione (control plane) sono ospitati nel cloud di Citrix Cloud. I clienti non devono più implementare e gestire questi componenti, né dedicare risorse computazionali per essi; questo è compito di Citrix.

Dalla propria parte, il cliente deve implementare i seguenti componenti negli ambienti di risorse:

Cloud Connector;
Controller di dominio AD;
Virtual Delivery Agents (VDAs);
Ipervisori – di solito già presenti, ma ci sono situazioni in cui è possibile farne a meno;
Componenti opzionali — Citrix Gateway e StoreFront.

Tutti i componenti elencati, ad eccezione dei Cloud Connector, sono gestiti autonomamente dal cliente. Questo è logico, poiché qui si trova il data-plane, soprattutto per quanto riguarda i nodi fisici e gli hypervisor con VDA, dove sono ospitate le applicazioni e i desktop degli utenti.

I Cloud Connector devono essere installati solo dal cliente, è una procedura molto semplice che si esegue dalla console di Citrix Cloud. La loro ulteriore gestione avviene automaticamente.

Controllo Accessi

Questo servizio offre le seguenti funzionalità:

SSO (single sign-on) per un ampio elenco di popolari applicazioni SaaS;
Filtraggio dell'accesso alle risorse Internet;
Monitoraggio delle attività degli utenti su Internet.

L'SSO per i clienti verso i servizi SaaS tramite Citrix Workspace è un'alternativa più comoda e sicura rispetto all'accesso normale tramite browser. L'elenco delle applicazioni SaaS supportate è piuttosto ampio e in continua espansione.

La filtrazione dell'accesso a Internet può essere configurata in base a liste bianche o nere di siti create manualmente. Inoltre, è supportata la limitazione dell'accesso per categorie di siti, basata su ampie liste URL commerciali aggiornate. Gli utenti possono avere accesso limitato a categorie di siti come social network, acquisti, contenuti per adulti, malware, torrent, proxy, e così via.

Oltre a consentire l'accesso diretto ai siti/SaaS o a bloccarne l'accesso, è possibile reindirizzare i clienti al Secure Browser. Cioè, per ridurre i rischi, l'accesso a categorie o liste selezionate di risorse Internet sarà possibile solo tramite Secure Browser.

Il servizio fornisce anche analisi dettagliate per monitorare l'attività degli utenti su Internet: siti e applicazioni visitati, risorse pericolose e attacchi, accessi bloccati, volumi di dati caricati/scaricati.

Secure Browser

Consente di pubblicare per gli utenti di Citrix Workspace un browser web (Google Chrome) come un'applicazione virtuale. Secure Browser è un servizio SaaS gestito e supportato da Citrix. È interamente ospitato in Citrix Cloud (compreso il data-plane), quindi il cliente non deve implementarlo e gestirlo nelle proprie strutture.

Citrix è responsabile della fornitura di risorse nel proprio cloud per il VDA, su cui vengono ospitati i browser pubblicati per i clienti, garantendo la sicurezza e l'aggiornamento del sistema operativo e dei browser stessi.

L'accesso dei clienti a Secure Browser avviene tramite Workspace app o browser client. La sessione è crittografata tramite TLS. Per utilizzare il servizio, il cliente non deve scaricare e installare nulla.

I siti e le applicazioni web avviati tramite Secure Browser girano nel cloud; il cliente riceve solo l'immagine della sessione terminale, senza che nulla venga eseguito sul dispositivo finale. Questo consente di aumentare significativamente il livello di sicurezza e proteggere dagli attacchi basati sul browser.

La connessione al servizio e la sua gestione vengono effettuate tramite il pannello del cliente di Citrix Cloud. La connessione avviene con un paio di clic:

La gestione è piuttosto semplice e consiste nell'impostare politiche e liste bianche:

La politica consente di regolare i seguenti parametri:

Clipboard – consente di attivare la possibilità di copiare e incollare nella sessione del browser;
Stampa – possibilità di salvare le pagine web sul dispositivo client in formato PDF;
Non kiosk – abilitato per impostazione predefinita, consente di utilizzare pienamente il browser (più schede, barra degli indirizzi);
Failover della regione – possibilità di riavviare il browser in un'altra regione di Citrix Cloud in caso di caduta della regione principale;
Mappatura del disco client – possibilità di montare il disco del dispositivo client per scaricare o caricare file dalla sessione del browser.

Le liste bianche (Whitelists) consentono di definire un elenco di siti ai quali i clienti avranno accesso. L'accesso alle risorse al di fuori di questo elenco sarà vietato.

Collaborazione dei contenuti

Questo servizio consente l'accesso unificato degli utenti di Workspace a file e documenti archiviati su risorse interne del cliente (on-premises) e supportati da servizi cloud pubblici. Questi possono includere cartelle personali degli utenti, condivisioni di rete aziendale, documenti SharePoint o repository cloud come OneDrive, DropBox o Google Drive.

Il servizio offre SSO per l'accesso ai dati su tutti i tipi di risorse di archiviazione. Gli utenti di Citrix Workspace ottengono accesso sicuro ai file di lavoro dai propri dispositivi, sia in ufficio che da remoto, senza ulteriori complicazioni.

La Content Collaboration offre le seguenti funzionalità per la gestione dei dati:

scambio di file tra risorse di Workspace e dispositivi client (download e upload),
sincronizzazione dei file dell'utente su tutti i dispositivi,
accesso condiviso ai file e sincronizzazione per più utenti di Workspace,
configurazione dei diritti di accesso a file e cartelle per altri utenti di Workspace,
richiesta di accesso ai file, generazione di link per il caricamento sicuro (upload) dei file.

In aggiunta, vengono forniti ulteriori meccanismi di protezione:

accesso ai file tramite password usa e getta,
crittografia dei file,
fornitura di file condivisi con filigrana (watermark).

Gestione degli Endpoint

Questo servizio offre la funzionalità necessaria per le postazioni di lavoro digitali nella gestione dei dispositivi mobili (Mobile Device Management — MDM) e delle applicazioni (Mobile Application Management — MAM). Citrix lo posiziona come una soluzione SaaS-EMM – Enterprise Mobility Management come servizio.

La funzionalità MDM consente di:

distribuire applicazioni, politiche dei dispositivi, certificati per l'accesso alle risorse del cliente,
tenere traccia dei dispositivi,
bloccare e eseguire la cancellazione totale o parziale (wipe) dei dispositivi.

La funzionalità MAM consente di:

garantire la sicurezza delle applicazioni e dei dati sui dispositivi mobili,
fornire applicazioni mobili aziendali.

Dal punto di vista architetturale e in base ai principi di erogazione del servizio, l'Endpoint Management è molto simile alla variante cloud di Virtual Apps and Desktops descritta sopra. Il Control Plane e i servizi che la costituiscono si trovano in Citrix Cloud, gestiti da Citrix, il che consente di considerare questo servizio come SaaS.

Il Data Plane nelle posizioni delle risorse del cliente include:

i Cloud Connector necessari per interagire con il cloud di Citrix,
i Citrix Gateway che forniscono un accesso remoto sicuro per gli utenti alle risorse interne del cliente (applicazioni, dati) e la funzionalità di micro-VPN,
Active Directory, PKI
Exchange, file, applicazioni e desktop virtuali.

Gateway

Il Citrix Gateway fornisce la seguente funzionalità:

gateway di accesso remoto – connessione sicura alle risorse aziendali per utenti mobili e remoti al di fuori del perimetro protetto,
fornitore di IdAM (Identity and Access Management) per garantire SSO alle risorse aziendali.

Per risorse aziendali in questo contesto si intende non solo applicazioni e desktop virtuali, ma anche numerosi applicativi SaaS.

Per ottimizzare il traffico di rete e ottenere la funzionalità micro VPN, è necessario implementare Citrix Gateway in ciascuna delle posizioni delle risorse, di solito nella DMZ. In questo caso, la responsabilità per l'allocazione delle risorse necessarie e la manutenzione ricade sul cliente.

Un'alternativa è utilizzare Citrix Gateway come servizio di Citrix Cloud; in questo caso, il cliente non ha bisogno di implementare o gestire nulla, poiché Citrix si occupa di tutto nel proprio cloud.

Analytics

Questo è il servizio di analisi di Citrix Cloud, integrato con tutti i servizi cloud descritti sopra. È progettato per raccogliere i dati generati dai servizi Citrix e analizzarli tramite meccanismi di machine learning incorporati. Vengono considerate le metriche relative agli utenti, alle applicazioni, ai file, ai dispositivi e alla rete.

Di conseguenza, vengono generati rapporti sulla sicurezza, sulle prestazioni e sulle operazioni degli utenti.

Oltre alla creazione di report statistici, Citrix Analytics è in grado di attuare misure proattive. Questo include la formazione di profili di comportamento normale degli utenti e l'identificazione di anomalie. Se un utente inizia a utilizzare l'applicazione in modo non standard o a condividere attivamente dati, lui e il suo dispositivo possono essere bloccati automaticamente. Lo stesso accadrà in caso di accesso a risorse internet pericolose.

L'attenzione non è rivolta solo alla sicurezza, ma anche alle prestazioni. L'analisi consente di monitorare e risolvere tempestivamente i problemi legati ai lunghi tempi di login degli utenti e ai ritardi di rete.

Conclusione

Abbiamo esaminato l'architettura del cloud Citrix, la piattaforma Workspace e i suoi principali servizi necessari per organizzare l'infrastruttura dei posti di lavoro digitali. È importante notare che non abbiamo considerato tutti i servizi di Citrix Cloud, ma ci siamo limitati a un insieme di base per organizzare un digital workspace. Elenco completo dei servizi del cloud Citrix include anche strumenti di rete, ulteriori funzionalità per la gestione delle applicazioni e dei posti di lavoro.

È importante notare che le funzionalità principali degli ambienti di lavoro digitali possono essere implementate anche senza Citrix Cloud, esclusivamente on-premises. Il prodotto base Virtual Apps and Desktops è ancora disponibile nella sua forma tradizionale, dove non solo il VDA, ma anche tutti i servizi di gestione vengono installati e gestiti direttamente dal cliente nella propria infrastruttura, senza bisogno di Cloud Connector. Lo stesso vale per l'Endpoint Management: il suo equivalente on-premises è chiamato XenMobile Server, anche se nella versione cloud è leggermente più funzionale. Alcune funzionalità di Access Control possono anch'esse essere realizzate all'interno dell'infrastruttura del cliente. La funzionalità di Secure Browser può essere implementata on-premises, lasciando al cliente la scelta del browser.

L'intenzione di gestire tutto in proprio è positiva in termini di sicurezza, controllo e diffidenza verso le nuvole straniere. Tuttavia, senza Citrix Cloud, le funzionalità di Content Collaboration e Analytics saranno completamente inaccessibili. Le funzionalità di altre soluzioni Citrix on-premises, come accennato in precedenza, possono essere inferiori rispetto alle loro implementazioni cloud. E, cosa più importante, la gestione dovrà restare sotto il controllo del cliente e dovrà essere amministrata autonomamente.