🥇Arkitektur for Digital Workspace på Citrix Cloud-plattformen

Innledning

Artikkelen beskriver mulighetene og de arkitektoniske egenskapene ved den skybaserte plattformen Citrix Cloud og settet av tjenester fra Citrix Workspace. Disse løsningene er kjernen og grunnlaget for implementering av konseptet digitale arbeidsplasser (digital workspace) fra Citrix.

I denne artikkelen har jeg forsøkt å forstå og formulere årsaks- og virkningsforholdene mellom skyplattformer, tjenester og abonnementer fra Citrix, der beskrivelsene i selskapets åpne kilder (citrix.com og docs.citrix.com) noen ganger kan virke ganske uklare. Skyteknologi – ser ut til at det ikke finnes noen annen løsning! Det er verdt å merke seg at arkitekturen og teknologiene generelt er beskrevet på en rimelig måte. Problemer oppstår i forståelsen av det hierarkiske forholdet mellom tjenestene og plattformene:

hvilken plattform er primær – Citrix Cloud eller Citrix Workspace Platform?
hvilken av plattformene nevnt ovenfor inkluderer de mange Citrix-tjenestene som er nødvendige for å bygge infrastrukturen for digitale arbeidsplasser?
hvor mye koster denne tjenesten, og hvilke alternativer er tilgjengelige?
er det mulig å implementere alle funksjonene i digital workspace Citrix uten å bruke Citrix Cloud?

Svarene på disse spørsmålene og en introduksjon til Citrix-løsningene for digitale arbeidsplasser er under.

Citrix Cloud

Citrix Cloud er en skyplattfom som huser alle tjenestene som er nødvendige for organiseringen av digitale arbeidsplasser. Denne skyen tilbys direkte av Citrix, som også håndterer vedlikeholdet og sikrer den nødvendige SLA (tilgjengelighet av tjenester – minst 99,5 % per måned).

Kunder (klienter) av Citrix, avhengig av valgt abonnement (pakke med tjenester), får tilgang til et bestemt sett med tjenester etter SaaS-modellen. For dem fungerer Citrix Cloud som et skybasert kontrollpanel for selskapets digitale arbeidsplasser. Citrix Cloud har en multi-tenant-arkitektur der kunder og deres infrastrukturer er isolert fra hverandre.

Citrix Cloud fungerer som kontrollplanet, hvor en rekke Citrix-sky tjenester er plassert, inkludert tjenester for drift og styring av digital workspace-infrastruktur. Dataplanet, som inkluderer brukerprogrammer, skrivebord og data, ligger utenfor Citrix Cloud. Det eneste unntaket er Secure Browser Service, som tilbys i sin helhet via en skybasert modell. Dataplanet kan plasseres i kundens datasenter (on-premises), datasenteret til tjenesteleverandøren, eller i hyperskyer (AWS, Azure, Google Cloud). Det er mulig med hybrid- og distribuerte løsninger, der kundedata er plassert på flere steder og i ulike skyer, samtidig som administrasjonen sentraliseres fra Citrix Cloud.

Denne tilnærmingen har flere åpenbare fordeler for kunder:

frihet til å velge hvor dataene skal plasseres;
mulighet for å bygge en hybrid, distribuert infrastruktur som omfatter mange plasseringer hos forskjellige leverandører, i flere skyer og on-premises;
ingen direkte tilgang til brukerdata fra Citrix, siden de ligger utenfor Citrix Cloud;
muligheten til selv å definere nødvendig ytelsesnivå, tilgjengelighet, pålitelighet, konfidensialitet, integritet og datatilgjengelighet; deretter velge passende plasseringssteder;
ingen behov for å plassere og vedlikeholde mange tjenester for styring av digitale arbeidsplasser, siden alle disse finnes i Citrix Cloud og er Citrix' ansvar; som et resultat – reduksjon av kostnader.

Citrix Workspace

Citrix Workspace er et transcendentalt, grunnleggende og altomfattende begrep. La oss se nærmere på det for å forstå hvorfor.

Generelt sett representerer Citrix Workspace konseptet for digitale arbeidsplasser fra Citrix. Dette er både en løsning, en tjeneste og et sett med tjenester for å skape integrerte, sikre, brukervennlige og administrerte arbeidssteder.

Brukerne får tilgang til sømløs SSO for rask tilgang til applikasjoner/tjenester, skrivebord og data fra en enkelt konsoll fra hvilken som helst enhet for produktivitet. De kan med glede glemme flere kontoer, passord og kompliserte søk etter applikasjoner (snarveier, Startmeny, nettlesere – alt er på forskjellige steder).

IT-avdelingen får verktøy for sentralisert styring av tjenester og klientenheter, sikring av sikkerhet, tilgangskontroll, overvåking, oppdatering og optimalisering av nettverksinteraksjon og analyse.

Citrix Workspace gjør det mulig å gi samlet tilgang til følgende ressurser:

Citrix Virtual Apps og Desktops – virtualisering av applikasjoner og skrivebord;
Web-applikasjoner;
Skybaserte SaaS-applikasjoner;
Mobilapplikasjoner;
Filer i forskjellige lagringsplasser, inkludert skybaserte.

Tilgang til ressursene i Citrix Workspace skjer via:

Standard nettleser – støtter Chrome, Safari, MS IE og Edge, Firefox
eller den "naturlige" klientapplikasjonen – Citrix Workspace App.

Tilgang er mulig fra alle populære klientenheter:

Fullverdige datamaskiner som kjører Windows, Linux, MacOS og til og med Chrome OS;
Mobilenheter med iOS eller Android.

Citrix Workspace-plattformen er en del av mange skytjenester i Citrix Cloud, designet for å organisere digitale arbeidsplasser. Det er verdt å merke seg at Workspace omfatter de fleste av tjenestene som er tilgjengelige i Citrix Cloud, som vi senere vil gå nærmere inn på.

Dermed får sluttbrukerne funksjonalitet for digitale arbeidsplasser på sine foretrukne klientenheter gjennom Workspace App eller dens nettleserversjon (Workspace App for HTML5). For å oppnå denne funksjonaliteten tilbyr Citrix Workspace-plattformen som et sett med skytjenester, som administratorer i selskapet styrer gjennom Citrix Cloud.

Citrix Workspace er tilgjengelig i tre pakker: Standard, Premium, Premium Plus. De skiller seg i antall tjenester som er inkludert i pakken. Det er også mulig å kjøpe enkelte tjenester separat, utenfor pakken. For eksempel inngår den grunnleggende tjenesten Virtual Apps og Desktops kun i pakken Premium Plus, og dens separate pris er høyere enn pakken Standard og nesten lik Premium.

Det viser seg at Workspace er både klientapplikasjonen – Workspace App, og skyplattformsdelen — Workspace Platform, samt navnet på de ulike tjenestepakkene, og konseptet med digitale arbeidsplasser fra Citrix som helhet. En slik multilateral enhet.

Arkitektur og systemkrav

Man kan grovt dele strukturen til Digital Workspace fra Citrix inn i 3 områder:

Mange klientenheter med Workspace App eller nettlesertilgang til digitale arbeidsplasser.
Selve Workspace Platform ligger i skyen Citrix Cloud, som eksisterer et sted på Internett under domenet cloud.com.
Ressursplasseringer (resource location) — egne eller leide plattformer, private eller offentlige skyer, der ressurser med applikasjoner, virtuelle skrivebord og kundedata publiseres i Citrix Workspace. Dette er den nevnte data-plane, og jeg minner om at en kunde kan ha flere ressursplasseringer.

Eksempler på ressurser kan være hypervisorer, servere, nettverksenheter, AD-domener og andre elementer som er nødvendige for å tilby brukerne de aktuelle tjenestene til digitale arbeidsplasser.

Et distribuert infrastrukturscenario kan innebære:

flere ressursplasseringer i kundens egne datasentre,
plasseringer i offentlige skyer,
små plasseringer i fjernkontorer.

Når man planlegger plasseringer, bør man vurdere:

nærhet til brukere, data og applikasjoner;
mulighet for skalering, inkludert rask oppskalering og nedskalering av kapasitet;
sikkerhetskrav og regulatoriske forhold.

Kommunikasjonen mellom Citrix Cloud og kundens ressursplasseringer skjer via komponenter som kalles Citrix Cloud Connector. Disse komponentene lar kunden fokusere på vedlikehold av ressurser som tilbys brukerne, og glemme om kompleksiteten med tjenester for drift og administrasjon som allerede er implementert i skyen og vedlikeholdes av Citrix.

For load balancing and fault tolerance, it is recommended to deploy at least two Cloud Connectors in each resource location. The Cloud Connector can be installed on a dedicated physical or virtual machine with Windows Server (2012 R2 or 2016). It is preferable to place them in the internal network of the resource location, not in the DMZ.

The Cloud Connector authenticates and encrypts traffic between Citrix Cloud and the resource location via https, typically using TCP port 443. Only outgoing sessions from the Cloud Connector to the cloud are allowed; incoming connections are prohibited.

Citrix Cloud requires an Active Directory (AD) service in the customer's infrastructure. AD acts as the primary IdAM provider and is necessary for authorizing user access to Workspace resources. Cloud Connectors must have access to AD. For fault tolerance, a good practice is to have pairs of domain controllers in each resource location that will interact with the Cloud Connectors of that location.

Citrix Cloud Services

Now let's focus on the key services of Citrix Cloud that form the foundation of the Citrix Workspace platform and enable customers to deploy complete digital workspaces.

Let's consider the purpose and functionality of these services.

Virtual Apps and Desktops

This is the core service of Citrix Digital Workspace, providing terminal access to applications and full VDI. It supports virtualization of Windows and Linux applications and desktops.

Being a cloud service, the Virtual Apps and Desktops service includes the same components as the traditional (non-cloud) Virtual Apps and Desktops, as shown in the figure below. The difference is that all management components (control plane) for the service are hosted in the Citrix Cloud. Customers no longer need to deploy and maintain these components or allocate computing resources for them; Citrix handles this.

On its side, the customer must deploy the following components in the resource locations:

Cloud Connectors;
AD domain controllers;
Virtual Delivery Agents (VDAs);
Hypervisors – they are usually present, but there are situations where physical resources can suffice;
Optional components – Citrix Gateway and StoreFront.

Alle nevnte komponenter, unntatt Cloud Connector, håndteres av kunden selv. Dette er logisk, ettersom dette er data-plane, spesielt med tanke på fysiske noder og hypervisorer med VDA, hvor brukerapplikasjoner og skrivebord er plassert.

Cloud Connector må bare installeres av kunden, dette er en veldig enkel prosedyre utført fra Citrix Cloud-konsollen. Videre vedlikehold skjer automatisk.

Access Control

Denne tjenesten tilbyr følgende funksjoner:

SSO (single sign-on) til et stort utvalg av populære SaaS-applikasjoner;
Filtrering av tilgang til Internett-ressurser;
Overvåking av brukernes aktivitet på Internett.

SSO for kunder til SaaS-tjenester gjennom Citrix Workspace er en mer praktisk og sikker alternativ enn tradisjonell tilgang via nettleser. Listen over støttede SaaS-applikasjoner er ganske omfattende og utvides kontinuerlig.

Filtrering av tilgang til Internett kan konfigureres basert på håndlagde hvite eller svarte lister av nettsteder. I tillegg støttes tilgangsbegrensning basert på kategorier av nettsteder, basert på omfattende oppdaterte kommersielle URL-lister. Brukere kan få begrenset tilgang til kategorier som sosiale medier, shopping, voksne, skadelig programvare, torrenting, proxy osv.

I tillegg til å gi tilgang til nettsteder/SaaS direkte eller blokkere tilgang, er det mulig å omdirigere kunder til Secure Browser. Det vil si at for å redusere risikoene, vil tilgang til utvalgte kategorier/lister av Internett-ressurser kun være mulig gjennom Secure Browser.

Tjenesten tilbyr også detaljert analyse for overvåking av brukernes aktivitet på nettet: besøkte nettsteder og applikasjoner, farlige ressurser og angrep, blokkert tilgang, mengder av opplastede/nedlastede data.

Secure Browser

Lar deg publisere en nettleser (Google Chrome) som et virtuelt program for brukere av Citrix Workspace. Secure Browser er en SaaS-tjeneste som administreres og supporteres av Citrix. Den er helt plassert i Citrix Cloud (inkludert data-plane), og kunden trenger ikke å implementere eller vedlikeholde den i egne ressurser.

Citrix håndterer tildeling av ressurser i sitt sky for VDA, der publiserte nettlesere for kunder er plassert, sikrer sikkerhet og oppdatering av operativsystemet og selve nettleserne.

Tilgang for kunder til Secure Browser skjer via Workspace app eller klientnettleser. Økten er kryptert med TLS. For å bruke tjenesten trenger ikke kunden å laste ned eller installere noe.

Nettsider og webapplikasjoner som kjøres gjennom Secure Browser, går gjennom skyen; kunden får bare bildet av terminaløkten, ingen behandling skjer på den sluttbrukenheten. Dette øker betydelig sikkerhetsnivået og beskytter mot nettleserangrep.

Tilkobling og administrasjon av tjenesten skjer gjennom Citrix Cloud-kundepanelet. Tilkoblingen utføres med bare noen få klikk:

Administrasjonen er også ganske enkel; den reduseres til innstilling av policyer og hvitelister:

Policyen lar deg regulere følgende parametere:

Utklippstavle – lar deg aktivere kopiering og liming i nettleserøkten;
Utskrift – mulighet til å lagre websider på klientenheten i PDF-format;
Ikke-kiosk – aktivert som standard, gir mulighet for full bruk av nettleseren (flere faner, adresselinje);
Region failover – mulighet til å starte nettleseren på nytt i en annen region av Citrix Cloud ved nedbrudd i hovedregionen;
Klientdisk kartlegging – mulighet til å montere disken til klientenheten for å laste ned eller laste opp filer fra nettleserøkten.

Hvitelister lar deg angi en liste over nettsteder som kundene vil ha tilgang til. Tilgang til ressurser utenfor denne listen vil bli nektet.

Innholdssamarbeid

Denne tjenesten gir mulighet for delt tilgang for brukere av Workspace til filer og dokumenter lagret på kundens interne ressurser (on-premises) og støttede offentlige sky-tjenester. Dette kan være brukers personlige mapper, selskapsnettverkseksjonering, SharePoint-dokumenter eller sky-lagringsrepositorier som OneDrive, DropBox eller Google Drive.

Tjenesten gir SSO for tilgang til data på alle typer lagringsressurser. Brukere av Citrix Workspace får trygg tilgang til arbeidsfiler fra sine enheter, ikke bare på kontoret, men også eksternt, uten noen ekstra kompliserte prosesser.

Innhaldssamarbeid tilbyr følgjande moglegheiter for arbeid med data:

filutveksling mellom Workspace-resursar og klientenheiter (nedlasting og opplasting),
synkronisering av brukarfiler på alle einingar,
felles tilgang til filer og synkronisering for fleire Workspace-brukarar,
innstilling av tilgangsrettar til filer og mapper for andre Workspace-brukarar,
forespurnad om tilgang til filer, oppretting av lenker for trygg opplasting av filer.

I tillegg blir det tilbudt ekstra beskyttelsesmekanismer:

tilgang til filer med engangspassord,
filkryptering,
forsyning av delte filer med vannmerker.

Endenhetshåndtering

Denne tenesta gir nødvendig funksjonalitet for digitale arbeidsplassar, som administrasjon av mobile einingar (Mobile Device Management — MDM) og applikasjonar (Mobile Application Management — MAM). Citrix posisjonerer denne som ein SaaS-EMM løysing – Enterprise Mobility Management som teneste.

MDM-funksjonaliteten gjer det mogleg å:

distributere applikasjonar, einingspolitikkar, sertifikat for tilgang til kunderessursar,
føre rekneskap over einingar,
blokker og utføre fullstendig eller delvis utsletting (wipe) av einingar.

MAM-funksjonaliteten gjer det mogleg å:

sikre applikasjonar og data på mobile einingar,
leverere bedriftsmobile applikasjonar.

Når det gjeld arkitektur og prinsippet for å tilby tenesta til kunden, er Endenhetshåndtering veldig lik den ovanfor omtala skytjenesten Virtual Apps and Desktops. Control Plane og dei tilknytte tenestene er plassert i Citrix Cloud, og dei vert forvaltet av Citrix, noko som gjer at denne tenesta kan sjåast på som SaaS.

Data Plane i kundens ressurslokasjonar inkluderer:

Cloud Connector-ar som er nødvendige for interaksjon med Citrix-skyen,
Citrix Gateway-er som gir trygg fjernadgang for brukarane til interne ressursar (applikasjonar, data) og mikro-VPN-funksjonalitet,
Active Directory, PKI,
Exchange, filer, virtuelle applikasjonar og skrivebord.

Gateway

Citrix Gateway gir følgjande funksjonalitet:

fjernadgangsportal – trygg tilkopling til bedriftsressursar for mobile og fjernbrukarar utanfor den beskytta perimeteren,
IdAM-leverandør (Identity and Access Management) for å sikre SSO til bedriftsressursar.

Under corporate resources in this context, we should understand not only virtual applications and desktops but also numerous SaaS applications.

To optimize network traffic and obtain micro VPN functionality, it is necessary to deploy Citrix Gateway at each resource location, usually in the DMZ. In this case, the allocation of necessary resources and maintenance falls on the client.

An alternative option is to use Citrix Gateway as a Citrix Cloud service; in this case, the client does not need to deploy or maintain anything themselves, as Citrix takes care of this in its cloud.

Analyse

This is the Citrix Cloud analytics service, integrated with all the cloud services mentioned above. It is designed to collect data generated by Citrix services and analyze it using built-in machine learning mechanisms. It takes into account metrics related to users, applications, files, devices, and the network.

As a result, reports are generated regarding security, performance, and user operations.

In addition to generating statistical reports, Citrix Analytics can act proactively. This involves creating profiles of normal user behavior and identifying anomalies. If a user begins to use an application in an unusual way or actively shares data, they and their device can be automatically blocked. The same will happen in cases of access to dangerous internet resources.

Attention is paid not only to security but also to performance. Analytics allows monitoring and promptly resolving issues related to long user logins and network delays.

Konklusjon

We have become acquainted with the architecture of the Citrix cloud, the Workspace platform, and its main services necessary for organizing the digital workplace infrastructure. It is worth noting that we have not covered all Citrix Cloud services, limiting ourselves to a basic set for organizing the digital workspace. The complete list of Citrix cloud services also includes networking tools, additional features for working with applications and workspaces.

Det er også viktig å si at den grunnleggende funksjonaliteten til digitale arbeidsplasser kan implementeres uten Citrix Cloud, utelukkende on-premises. Den grunnleggende produktet Virtual Apps and Desktops er fortsatt tilgjengelig i klassisk forstand, der ikke bare VDA, men også alle administrasjonstjenester rulles ut og vedlikeholdes av kunden på deres egen infrastruktur, ingen Cloud Connectors er nødvendige i så fall. Det samme gjelder for Endpoint Management – dens on-premises forgjenger heter XenMobile Server, selv om den i skyversjonen er litt mer funksjonell. Deler av funksjonaliteten til Access Control kan kunden også implementere på sin egen plattform. Funksjonaliteten til Secure Browser kan implementeres on-premises, og valget av nettleser forblir opp til kunden.

Ønsket om å ha alt på sin egen plattform er bra med tanke på sikkerhet, kontroll og mistillit til utenlandske skyer. Imidlertid vil funksjonaliteten til Content Collaboration og Analytics være helt utilgjengelig uten Citrix Cloud. Funksjonaliteten til andre Citrix-løsninger on-premises, som nevnt ovenfor, kan være dårligere enn deres skyimplementering. Og viktigst av alt – kontrollflaten må holdes internt og administreres selv.