🥇Digitālā darba vietas arhitektūra Citrix Cloud platformā

Ievads

Raksts apraksta Citrix Cloud mākoņplatformas iespējas un arhitektūras iezīmes, kā arī Citrix Workspace servisu kopumu. Šie risinājumi ir centrālais elements un pamats digitālo darba vietu (digital workspace) koncepcijas īstenošanai, ko piedāvā uzņēmums Citrix.

Šajā rakstā es centos noskaidrot un formulēt cēloņsakarības starp mākoņplatformām, servisiem un Citrix abonamentiem, kuru apraksti oficiālajos avotos (citrix.com un docs.citrix.com) dažreiz šķiet diezgan neskaidri. Mākoņtehnoloģijas – citādi laikam nekādi! Jāatzīmē, ka arhitektūra un tehnoloģijas ir atklātas kopumā saprotamā veidā. Grūtības rada hierarhiskās savstarpējās attiecības starp servisiem un platformām:

kura platforma ir primāra – Citrix Cloud vai Citrix Workspace Platform?
kurā no iepriekš minētajām platformām ietilpst daudzie Citrix servisi, kas nepieciešami digitālo darba vietu infrastruktūras izveidei?
cik maksā šis prieks un kādos variantos to var iegūt?
vai iespējams īstenot visas Citrix digital workspace funkcijas bez Citrix Cloud izmantošanas?

Atbildes uz šiem jautājumiem un iepazīšanās ar Citrix risinājumiem digitālajām darba vietām ir zemāk.

Citrix Cloud

Citrix Cloud ir mākoņplatforma, kurā tiek izvietoti visi servisi, kas nepieciešami digitālo darba vietu organizēšanai. Šo mākoņu tieši pārvalda uzņēmums Citrix, kas arī nodrošina tās atbalstu un garantē norādīto SLA (servisa pieejamība – ne mazāk kā 99,5% mēnesī).

Citrix klienti atkarībā no izvēlētā abonementa (servisu pakas) iegūst piekļuvi noteiktam servisu sarakstam pēc SaaS modeļa. Citrix Cloud kalpo kā mākoņu pārvaldības panelis uzņēmuma digitālajām darba vietām. Citrix Cloud ir multi-tenant arhitektūra, klienti un viņu infrastruktūras ir izolētas viena no otras.

Citrix Cloud darbojas kā vadības drošība (control plane), kurā ir izvietoti daudzi Citrix mākoņu pakalpojumi, tostarp administratīvie un vadības pakalpojumi digital workspace infrastruktūrai. Datu plūsma, kas ietver lietotāju lietojumprogrammas, darba virsmas un datus, atrodas ārpus Citrix Cloud. Izņēmums ir tikai Secure Browser Service, kas tiek nodrošināts pilnīgi mākoņa modelī. Datu plūsma var būt izvietota klienta datu centrā (on-premises), pakalpojumu sniedzēja datu centrā, hipermākonos (AWS, Azure, Google Cloud). Iespējami jaukti un sadalīti risinājumi, kad klienta dati atrodas vairākos laukos un mākoņos, tomēr to pārvaldība tiek centralizēti veikta no Citrix Cloud.

Šādai pieejai ir vairāki acīmredzami ieguvumi klientiem:

brīvība izvēlēties laukus datu izvietošanai;
iespēja izveidot hibrīdo sadalīto infrastruktūru, kas paredz vairākas izvietošanas pie dažādiem pakalpojumu sniedzējiem, vairākiem mākoņiem un on-premises;
nav tieša piekļuve lietotāju datiem no Citrix puses, jo tie atrodas ārpus Citrix Cloud;
iespēja patstāvīgi noteikt nepieciešamo veiktspēju, kļūdu toleranci, uzticamību, konfidencialitāti, integritāti un datu pieejamību; pēc tam izvēlēties atbilstošos laukus datu izvietošanai;
nav nepieciešams izvietot un uzturēt daudzas digitālo darba vietu vadības pakalpojumus, jo visi tie atrodas Citrix Cloud un ir Citrix galvassāpes; līdz ar to samazinās izdevumi.

Citrix Workspace

Citrix Workspace ir transcendents, būtisks un visaptverošs jēdziens. Apskatīsim to sīkāk un sapratīsim, kāpēc.

Kopumā Citrix Workspace iemieso uzņēmuma Citrix digitālo darba vietu koncepciju. Tas ir vienlaikus risinājums, pakalpojums un pakalpojumu kopums apvienotu, drošu, ērtu un pārvaldītu darba vietu izveidošanai.

Lietotāji iegūst iespēju bezšuvju SSO ātrai piekļuvei lietojumprogrammām/pakalpojumiem, darbvirsmām un datiem no vienas konsoles no jebkuras ierīces produktīvai darbībai. Viņi ar prieku var aizmirst par daudziem kontiem, parolem un sarežģījumiem ar lietojumprogrammu meklēšanu (ikonas, sākuma panelis, pārlūkprogrammas – viss dažādās vietās).

IT dienests iegūst rīkus centralizētai pakalpojumu un klientu ierīču pārvaldībai, drošības nodrošināšanai, piekļuves ierobežojumiem, uzraudzībai, atjauninājumiem, tīkla mijiedarbības optimizēšanai, analītikai.

Citrix Workspace ļauj nodrošināt apvienotu piekļuvi sekojošiem resursiem:

Citrix Virtual Apps un Desktops – lietojumprogrammu un darbvirsmu virtualizācija;
Web lietojumprogrammas;
Mākoņi SaaS lietojumprogrammas;
Mobilās lietojumprogrammas;
Faili dažādos krātuvēs, tostarp mākoņos.

Piekļuve Citrix Workspace resursiem tiek nodrošināta caur:

Standarta pārlūkprogrammu — atbalstītas Chrome, Safari, MS IE un Edge, Firefox,
vai «native» klienta lietojumprogrammu — Citrix Workspace App.

Piekļuve ir iespējama no visām populārajām klientu ierīcēm:

Pilnvērtīgas datoru sistēmas ar Windows, Linux, MacOS un pat Chrome OS;
Mobilās ierīces ar iOS vai Android.

Citrix Workspace Platform – tas ir daļa no daudziem mākoņu pakalpojumiem Citrix Cloud, kas paredzēti digital workspaсe organizēšanai. Vērts atzīmēt, ka Workspace ietver lielāko daļu pakalpojumu, kas ir pieejami Citrix Cloud, par to sīkāk apspriedīsim vēlāk.

Tādējādi galalietotāji iegūst digitālo darba vietu funkcionalitāti uz savām iecienītajām klientu ierīcēm, izmantojot Workspace App vai tās pārlūkprogrammas aizvietotāju (Workspace App HTML5 versiju). Lai sasniegtu šo funkcionalitāti, Citrix piedāvā Workspace Platform kā mākoņu pakalpojumu komplektu, kuru pārvalda uzņēmuma administratori caur Citrix Cloud.

Citrix Workspace ir pieejams trīs paketēs: Standard, Premium, Premium Plus. Tās atšķiras pēc iekļauto pakalpojumu skaita. Tāpat ir iespējams iegādāties dažus pakalpojumus atsevišķi, ārpus paketes. Piemēram, pamatpakalpojums Virtual Apps un Desktops ietilpst tikai Premium Plus paketē, bet tā atsevišķā cena ir augstāka par Standard paketi un gandrīz līdzīga Premium.

Izrādās, ka Workspace ir gan klienta lietotne – Workspace App, gan mākoņplatforma (tās daļa) — Workspace Platform, gan dažādu pakalpojumu pakotņu nosaukums, gan Citrix digitālo darba vietu koncepcija kopumā. Šāda daudzveidīga būtība.

Arhitektūra un sistēmas prasības

Nosacīti Digital Workspace struktūrā no kompānijas Citrix var izdalīt 3 jomas:

Daudz klienta ierīču ar Workspace App vai pārlūkprogrammas piekļuvi digitālajām darba vietām.
Tieši Workspace Platform mākoņos Citrix Cloud, kas dzīvo kaut kur Internetā domēnā cloud.com.
Resursu atrašanās vietas (resource location) — pašu vai nomātu vietu, privātu vai publisku mākoņu, kur tiek izvietoti resursi ar lietojumprogrammām, virtuālajiem galddatoriem un klienta datiem, kas tiek publicēti Citrix Workspace. Tas ir tas data-plane, par kuru tika runāts iepriekš, atgādinu, ka vienam klientam var būt vairāki resource location.

Par resursiem var kalpot hipervizori, serveri, tīkla ierīces, AD domēni un citi elementi, kas nepieciešami, lai nodrošinātu lietotājiem attiecīgos digitālo darba vietu pakalpojumus.

Izplatītais infrastruktūras scenārijs var paredzēt:

vairākas resursu atrašanās vietas klienta pašu datu centros,
atrašanās vietas publiskajos mākoņos,
mazas atrašanās vietas attālinātās filiālēs.

Plānojot atrašanās vietas, jāņem vērā:

lietotāju, datu un lietojumprogrammu tuvums;
pārvaldīšanas iespējas, t.sk. iespēja ātri palielināt un samazināt jaudu;
drošības un regulējošās prasības.

Komunikācija starp Citrix Cloud un klienta resursu atrašanās vietām tiek veikta, izmantojot komponentus, kuru nosaukums ir Citrix Cloud Connector. Šie komponenti ļauj klientam koncentrēties uz resursu atbalstīšanu, ko sniedz lietotājiem, un aizmirst par problēmām ar dienesta un pārvaldes pakalpojumiem, kas jau ir izvietoti mākoņos un atbalstīti no Citrix.

Lai nodrošinātu slodzes līdzsvarošanu un noturību pret traucējumiem, ieteicams izvērst vismaz divus Cloud Connector katrā resursu atrašanās vietā. Cloud Connector var tikt uzstādīts uz atsevišķas fiziskas vai virtuālas mašīnas ar Windows Server (2012 R2 vai 2016). Ieteicams tos izvietot iekšējā tīklā resursu atrašanās vietā, nevis DMZ.

Cloud Connector autentificē un šifrē datplūsmu starp Citrix Cloud un resursu atrašanās vietu, izmantojot https, standartā – TCP ports 443. Atļautas tikai izejošās sesijas – no Cloud Connector uz mākoņiem, ienākošās savienojumi ir aizliegti.

Citrix Cloud prasa Active Directory (AD) pakalpojuma esamību klienta infrastruktūrā. AD kalpo kā galvenais IdAM pakalpojumu sniedzējs un ir nepieciešams, lai autorizētu lietotāju piekļuvi Workspace resursiem. Cloud Connectoriem jābūt piekļuvei AD. Lai nodrošinātu noturību pret traucējumiem, laba prakse ir, ja katrā resursu atrašanās vietā ir vismaz divi domēna kontrolieri, kas komunicē ar šīs atrašanās vietas Cloud Connectoriem.

Citrix Cloud pakalpojumi

Tagad pievērsīsimies galvenajiem Citrix Cloud pakalpojumiem, kas veido Citrix Workspace platformas pamatu un ļauj klientiem izveidot pilnvērtīgas digitālas darba vietas.

Apskatīsim šo pakalpojumu nolūku un funkcionalitāti.

Virtual Apps and Desktops

Tas ir galvenais Citrix Digital Workspace pakalpojums, kas nodrošina termināla piekļuvi lietojumprogrammām un pilnvērtīgu VDI. Atbalsta Windows un Linux lietojumprogrammu un darbvirsmu virtualizāciju.

Kā mākoņa pakalpojums, Citrix Cloud Virtual Apps and Desktops pakalpojums ietver tos pašus komponentus, kas tradicionālajam (ne mākoņa) Virtual Apps and Desktops, kā parādīts zemāk redzamajā attēlā. Atšķirība ir tāda, ka visi pārvaldības komponenti (control plane) mākoņa pakalpojuma gadījumā ir izvietoti Citrix Cloud. Klientam vairs nav nepieciešams izvērst un uzturēt šos komponentus, tiem piešķirt aprēķinu resursus, to paveiks uzņēmums Citrix.

Savā pusē klientam resursu atrašanās vietās jāizvieto šādi komponenti:

Cloud Connectori;
AD domēna kontrolieri;
Virtual Delivery Agents (VDAs);
Hiperdaudze – parasti tās ir pieejamas, bet ir gadījumi, kad var iztikt bez tām;
Papildu komponenti — Citrix Gateway un StoreFront.

Visi minētie komponenti, izņemot Cloud Connector, tiek apkalpoti klienta patstāvīgi. Tas ir saprātīgi, jo šeit atrodas datu plāns, īpaši attiecībā uz fiziskajiem mezgliem un hipervizoriem ar VDA, kur tiek izvietotas tieši lietotāja lietojumprogrammas un darbvirsmas.

Cloud Connector var uzstādīt tikai klienta spēkiem, tas ir ļoti vienkāršs process, ko veic no Citrix Cloud konsoles. Turpmāko apkalpošanu veic automātiski.

Piekļuves kontrole

Šis pakalpojums piedāvā šādas iespējas:

SSO (vienotā pieslēgšanās) pie lielā skaita populāru SaaS lietojumprogrammu;
Piekļuves filtrēšana uz interneta resursiem;
Lietotāju aktivitātes monitorēšana internetā.

Klientu SSO pie SaaS pakalpojumiem, izmantojot Citrix Workspace, ir ērtāka un drošāka alternatīva salīdzinājumā ar parasto piekļuvi caur pārlūku. Atbalstīto SaaS lietojumprogrammu saraksts ir diezgan liels un nepārtraukti paplašinās.

Piekļuves filtrēšana atkarībā no manuāli izveidotajiem baltajiem vai melnajiem sarakstiem. Turklāt tiek atbalstīta piekļuves diferencēšana pēc vietņu kategorijām, balstoties uz plašiem, regulāri atjaunināmiem komerciāliem URL sarakstiem. Lietotājiem var ierobežot piekļuvi tādām vietņu kategorijām kā sociālie tīkli, iepirkšanās, pieaugušajiem, ļaunprogrammatūra, torenti u.c.

Papildus piekļuves atļaušanai vai bloķēšanai, ir iespēja novirzīt klientus uz Secure Browser. Proti, lai samazinātu riskus, piekļuve izvēlētajām interneta resursu kategorijām/sarakstiem būs iespējama tikai caur Secure Browser.

Pakalpojums arī nodrošina detalizētu analītiku lietotāju aktivitātes monitorēšanai internetā: apmeklētas vietnes un lietojumprogrammas, bīstami resursi un uzbrukumi, bloķētā piekļuve, lejupielādēto/augšupielādēto datu apjomi.

Secure Browser

Atļauj publicēt internetā pārlūku (Google Chrome) Citrix Workspace lietotājiem kā virtuālu lietojumprogrammu. Secure Browser ir SaaS pakalpojums, kura vadību un apkalpošanu nodrošina uzņēmums Citrix. Tas pilnībā tiek izvietots Citrix Cloud (tostarp datu plānā), klientam nav nepieciešams to izvietot un apkalpot savās resursu atrašanās vietās.

Citrix atbild par resursu piešķiršanu savā mākoņpakalpojumā VDA, kur tiek izvietoti klientiem piedāvātie pārlūkprogrammas un nodrošina operētājsistēmas un pārlūkprogrammu drošību un atjaunināšanu.

Klientu piekļuve Secure Browser tiek nodrošināta caur Workspace aplikāciju vai klienta pārlūkprogrammu. Sesija tiek šifrēta, izmantojot TLS. Lai izmantotu pakalpojumu, klientam nav jālejupielādē un jāinstalē nekas.

Mākoņos darbinātās vietnes un tīmekļa lietojumprogrammas, kas tiek palaistas caur Secure Browser, ir pieejamas tikai attēla veidā termināla sesijai, un nekas netiek izpildīts galap ierīcē. Tas ievērojami palielina drošības līmeni un aizsargā pret pārlūkprogrammu uzbrukumiem.

Pakalpojuma pieslēgšana un pārvaldība notiek caur Citrix Cloud klientu paneli. Pieslēgšana tiek veikta ar pāris klikšķiem:

Pārvaldība ir arī diezgan vienkārša, tās ir saistītas ar politikas iestatījumiem un baltām sarakstiem:

Politika ļauj regulēt šādus parametrus:

Clipboards – ļauj aktivizēt iespēju kopēt un ielīmēt pārlūkprogrammas sesijā;
Printing – iespēja saglabāt tīmekļa lapas klienta ierīcē PDF formātā;
Non-kiosk – pēc noklusējuma ieslēgta, ļauj pilnvērtīgi izmantot pārlūkprogrammu (vairākas cilnes, adreses josla);
Region failover – iespēja pārlūkprogrammu restartēt citā Citrix Cloud reģionā, kad galvenais reģions ir izkritis;
Client drive mapping – iespēja pievienot klienta ierīces diskus failu lejupielādei vai augšupielādei pārlūkprogrammas sesijā.

Baltie saraksti (Whitelists) ļauj izveidot sarakstu ar vietnēm, kam klientiem tiks atvērta piekļuve. Piekļuve resursiem ārpus šī saraksta tiks liegta.

Content Collaboration

Šis pakalpojums nodrošina kopīgu piekļuvi Workspace lietotājiem dokumentiem un failiem, kas glabājas pasūtītāja iekšējos resursos (on-premises) un tiek atbalstīti publiskajos mākoņservisos. Tie var būt lietotāja personīgie mapes, korporatīvie tīkla koplietošanas diskdziņi, SharePoint dokumenti vai tādi mākoņu krātuves risinājumi kā OneDrive, DropBox vai Google Drive.

Pakalpojums nodrošina SSO piekļuvi datiem visos krātuves veidu resursos. Citrix Workspace lietotājiem ir nodrošināta droša piekļuve darbam nepieciešamajiem failiem no savām ierīcēm ne tikai birojā, bet arī attālināti, bez papildu sarežģījumiem.

Satura sadarbība nodrošina šādas datu apstrādes iespējas:

failu apmaiņa starp Workspace resursiem un klienta ierīci (lejupielāde un augšupielāde),
lietotāja failu sinhronizācija visās ierīcēs,
failu koplietošana un to sinhronizācija vairākiem Workspace lietotājiem,
failu un klasifikāciju piekļuves tiesību iestatīšana citiem Workspace lietotājiem,
piekļuves pieprasījums failiem, drošu failu augšupielādes saites izveidošana.

Papildus tam tiek nodrošināti papildu aizsardzības mehānismi:

piekļuve failiem ar vienreizējiem parolēm,
failu šifrēšana,
koplietošanas failu apgāde ar ūdenszīmēm.

Gala ierīču vadība

Šis pakalpojums nodrošina nepieciešamo funkcionalitāti digitālo darba vietu pārvaldībai, mobilajām ierīcēm (Mobile Device Management — MDM) un lietotnēm (Mobile Application Management — MAM). Citrix to pozicionē kā SaaS-EMM risinājumu – uzņēmuma mobilitātes pārvaldību kā pakalpojumu.

MDM funkcionalitāte ļauj:

izplatīt lietotnes, ierīču politikas, sertifikātus, lai pieslēgtos klienta resursiem,
uzskaitīt ierīces,
bloķēt un veikt pilnīgu vai daļēju dzēšanu (wipe) ierīcēm.

MAM funkcionalitāte ļauj:

nodrošināt lietotņu un datu drošību mobilajās ierīcēs,
piegādāt korporatīvās mobilās lietotnes.

Arhitektūras un pakalpojumu nodrošināšanas principa skatījumā Gala ierīču vadība ir ļoti līdzīga iepriekš aprakstītajam mākoņu variantam Virtual Apps and Desktops. Kontroles plāns un to veidojošie pakalpojumi atrodas Citrix Cloud, un Citrix nodrošina to apkalpošanu, tādējādi šo pakalpojumu var uzskatīt par SaaS.

Datu plāns klienta resursu izvietojumos iekļauj:

Cloud Connector, kas nepieciešami mijiedarbībai ar Citrix mākoņu,
Citrix Gateway, kas nodrošina drošu attālinātu piekļuvi lietotājiem iekšējiem klienta resursiem (lietotnēm, datiem) un mikro-VPN funkcionalitāti,
Active Directory, PKI
Exchange, faili, virtuālas lietotnes un darbvirsmas.

Gateway

Citrix Gateway nodrošina šādu funkcionalitāti:

attālinātās piekļuves vārti – droša pieslēgšanās korporatīvajiem resursiem mobilajiem un attālinātajiem lietotājiem ārpus aizsargātā perimetra,
IdAM nodrošinātājs (Identitātes un piekļuves pārvaldība) SSO nodrošināšanai korporatīvajiem resursiem.

Uz korporatīvajiem resursiem šajā kontekstā jāsaprot ne tikai virtuālās lietojumprogrammas un darbvirsmas, bet arī daudzas SaaS lietojumprogrammas.

Lai optimizētu tīkla datu plūsmu un iegūtu micro VPN funkcionalitāti, katrā resursu atrašanās vietā parasti ir jāizvieto Citrix Gateway, tas ir, DMZ. Šādā gadījumā nepieciešamo jaudu nodrošināšana un uzturēšana gulstas uz pasūtītāja pleciem.

Alternatīvs variants ir izmantot Citrix Gateway kā Citrix Cloud pakalpojumu, šajā gadījumā pasūtītājam nav nekas jākonfigurē un jāpārvalda, to viss nodrošina Citrix savā mākoņpakalpojumā.

Analītika

Tas ir analītikas serviss, kas piedāvāts caur Citrix Cloud, kas ir integrēts ar visiem iepriekš minētajiem mākoņsaturiem. Tas ir paredzēts datu apkopošanai, ko ģenerē Citrix pakalpojumi, un to analīzei, izmantojot iebūvētās mašīnmācīšanās mehānismus. Ņemti vērā arī rādītāji, kas saistīti ar lietotājiem, lietojumprogrammām, failiem, ierīcēm un tīklu.

Rezultātā tiek izveidoti ziņojumi par drošību, veiktspēju un lietotāju operācijām.

Papildus statistikas ziņojumu veidošanai Citrix Analytics spēj darboties proaktīvi. Tas ietver lietotāju normālā uzvedības profila veidošanu un anomāliju identificēšanu. Ja lietotājs sāk neparasti izmantot lietojumprogrammu vai aktīvi koplietot datus, viņš un viņa ierīce var tikt automātiski bloķēti. Tas pats notiks, ja viņi piekļūs bīstamiem interneta resursiem.

Uzmanība tiek pievērsta ne tikai drošībai, bet arī veiktspējai. Analītika ļauj uzraudzīt un ātri risināt problēmas, kas saistītas ar ilgu lietotāju pieteikšanos un tīkla aizkavēšanos.

Secinājums

Mēs iepazināmies ar Citrix mākoņu arhitektūru, Workspace platformu un tās galvenajiem pakalpojumiem, kas nepieciešami digitālo darba vietu infrastruktūras veidošanai. Jāatzīmē, ka mēs apskatījām tālu ne visus Citrix Cloud pakalpojumus, bet ierobežojāmies ar pamatpakalpojumu komplektu digitālās darba vietas organizēšanai. Pilns saraksts ar Citrix mākoņu pakalpojumiem ietver arī tīkla rīkus, papildu funkcijas lietojumprogrammu un darba vietu pārvaldībai.

Jāatzīmē, ka galveno digitālo darba vietu funkcionalitāti var ieviest arī bez Citrix Cloud, pilnībā uz vietas. Pamatprodukts Virtual Apps and Desktops joprojām ir pieejams klasiskajā versijā, kad ne tikai VDA, bet arī visi pārvaldības pakalpojumi tiek izvērsti un uzturēti klienta telpās patstāvīgi, šādā gadījumā Cloud Connector nav nepieciešams. Tas attiecas arī uz Endpoint Management – tā uz vietas priekšgājējs tiek saukts par XenMobile Server, tomēr mākoņu versijā tam ir nedaudz paplašināta funkcionalitāte. Daļu Access Control iespēju klients arī var īstenot savās telpās. Secure Browser funkcionalitāti var īstenot uz vietas, un pārlūkprogrammas izvēle paliek klienta ziņā.

Tieksme visu izvērst savās telpās ir laba drošības, kontroles un sankcionētā neuzticamības pret rietumu mākoņiem ziņā. Tomēr bez Citrix Cloud Content Collaboration un Analytics funkcionalitāte būs pilnīgi nepieejama. Citu Citrix on-premises risinājumu funkcionalitāte, kā jau iepriekš minēts, var atpalikt no to mākoņa realizācijas. Un pats galvenais – pārvaldības līmenis būs jāuztur pašam un jāadminē.