Wprowadzenie
Artykuł opisuje możliwości i cechy architektoniczne platformy chmurowej Citrix Cloud i zestawu usług Citrix Workspace. Rozwiązania te są centralnym elementem i podstawą do realizacji koncepcji cyfrowych miejsc pracy od firmy Citrix.
W niniejszym artykule próbowałem zrozumieć i sformułować związki przyczynowo-skutkowe między platformami chmurowymi, usługami i subskrypcjami Citrix, których opisy w publicznych źródłach firmy (citrix.com i docs.citrix.com) czasami wyglądają bardzo niejasno. Technologie chmurowe – w inny sposób chyba się nie da! Warto zauważyć, że architektura i technologie są na ogół przedstawione w miarę sensownie. Trudności pojawiają się przy zrozumieniu hierarchicznej zależności między usługami a platformami:
- która platforma jest nadrzędna — Citrix Cloud czy Citrix Workspace Platform?
- do której z wymienionych powyżej platform wchodzą liczne usługi Citrix, potrzebne do budowy infrastruktury cyfrowych miejsc pracy?
- ile kosztuje ta przyjemność i w jakich wariantach można ją uzyskać?
- czy możliwe jest zrealizowanie wszystkich funkcji cyfrowego miejsca pracy Citrix bez korzystania z Citrix Cloud?
Odpowiedzi na te pytania oraz zapoznanie się z rozwiązaniami Citrix dla cyfrowych miejsc pracy znajdziesz poniżej.
Citrix Cloud
Citrix Cloud to platforma chmurowa, na której znajdują się wszystkie usługi niezbędne do organizacji cyfrowych miejsc pracy. Zarządza tą chmurą bezpośrednio firma Citrix, która również zajmuje się jej utrzymywaniem i zapewnia ustaloną (dostępność usług – nie mniej niż 99,5% w miesiącu).
Klienci firmy Citrix w zależności od wybranej subskrypcji (pakietu usług) mają dostęp do określonego zestawu usług w modelu SaaS. Dla nich Citrix Cloud pełni rolę chmurowego panelu sterowania cyfrowymi miejscami pracy firmy. Citrix Cloud ma architekturę multi-tenant, klienci oraz ich infrastruktury są od siebie izolowane.
Citrix Cloud pełni rolę platformy zarządzającej (control plane), na której znajdują się liczne usługi chmurowe Citrix, w tym usługi infrastruktury cyfrowego miejsca pracy. Płaszczyzna danych, obejmująca aplikacje użytkowników, pulpity i dane, znajduje się poza Citrix Cloud. Wyjątek stanowi jedynie Secure Browser Service, który jest w pełni dostarczany w modelu chmurowym. Płaszczyzna danych może znajdować się w centrum danych klienta (on-premises), w centrum danych dostawcy usług, w hiperskalowych chmurach (AWS, Azure, Google Cloud). Istnieją również mieszane i rozproszone rozwiązania, w których dane klienta są przechowywane w różnych lokalizacjach i chmurach, przy centralnym zarządzaniu realizowanym z Citrix Cloud.
Takie podejście ma szereg oczywistych korzyści dla klientów:
- wolność wyboru lokalizacji dla przechowywania danych;
- możliwość budowy hybrydowej infrastruktury rozproszonej, zakładającej wiele lokalizacji u różnych dostawców, w różnych chmurach i on-premises;
- brak bezpośredniego dostępu do danych użytkowników ze strony Citrix, ponieważ znajdują się one poza Citrix Cloud;
- możliwość samodzielnego określenia wymaganego poziomu wydajności, odporności na awarie, niezawodności, poufności, integralności i dostępności danych; następnie dobranie odpowiednich lokalizacji do przechowywania;
- brak konieczności umieszczania i prowadzenia wielu usług zarządzających cyfrowymi miejscami pracy, ponieważ wszystkie znajdują się w Citrix Cloud i są zmartwieniem Citrix; w efekcie – redukcja wydatków.
Citrix Workspace
Citrix Workspace to pojęcie transcendentne, fundamentalne i wszechobecne. Przyjrzyjmy się mu dokładniej, a stanie się jasne – dlaczego.
W zasadzie Citrix Workspace ucieleśnia koncepcję cyfrowych miejsc pracy firmy Citrix. Jest to jednocześnie rozwiązanie, usługa i zestaw usług mających na celu stworzenie zintegrowanych, bezpiecznych, wygodnych i zarządzanych miejsc pracy.
Użytkownicy zyskują możliwość bezproblemowego SSO dla szybkiego dostępu do aplikacji/usług, pulpitu i danych z jednego konsoli na dowolnym urządzeniu, co umożliwia produktywną pracę. Mogą z radością zapomnieć o wielu kontach, hasłach i trudności w znajdowaniu aplikacji (ikony, menu Start, przeglądarki – wszystko w różnych miejscach).
Zespół IT otrzymuje narzędzia do centralnego zarządzania usługami i urządzeniami klienckimi, zapewnienia bezpieczeństwa, zarządzania dostępem, monitorowania, aktualizacji, optymalizacji interakcji sieciowej oraz analizy.
Citrix Workspace umożliwia scentralizowany dostęp do następujących zasobów:
- Citrix Virtual Apps and Desktops – wirtualizacja aplikacji i pulpitu;
- Aplikacje internetowe;
- Chmurowe aplikacje SaaS;
- Aplikacje mobilne;
- Pliki w różnych magazynach, w tym w chmurze.
Dostęp do zasobów Citrix Workspace odbywa się przez:
- Standardową przeglądarkę — obsługiwane są Chrome, Safari, MS IE i Edge, Firefox
- lub „natywne” aplikacje klienckie — Citrix Workspace App.
Dostęp możliwy jest ze wszystkich popularnych urządzeń klienckich:
- W pełni funkcjonalne komputery działające na Windows, Linux, MacOS, a nawet Chrome OS;
- Urządzenia mobilne z iOS lub Android.
Citrix Workspace Platform – to część wielu chmurowych usług Citrix Cloud, przeznaczonych do organizacji cyfrowych miejsc pracy. Warto zauważyć, że Workspace obejmuje większość usług dostępnych w Citrix Cloud, omówimy je szczegółowo później.
W ten sposób użytkownicy końcowi zyskują funkcjonalność cyfrowych miejsc pracy na ulubionych urządzeniach klienckich za pomocą Workspace App lub jego przeglądarkowej wersji (Workspace App dla HTML5). Aby osiągnąć tę funkcjonalność, Citrix oferuje Workspace Platform w postaci zestawu chmurowych usług, którymi zarządzają admini firmy za pośrednictwem Citrix Cloud.
Citrix Workspace jest dostępna w : Standard, Premium, Premium Plus. Różnią się one ilością usług wchodzących w skład pakietu. Dodatkowo istnieje możliwość zakupu niektórych usług osobno, poza pakietem. Na przykład, podstawowa usługa Virtual Apps and Desktops jest dostępna tylko w pakiecie Premium Plus, a jej oddzielna cena jest wyższa niż w pakiecie Standard i prawie równa pakietowi Premium.
Okazuje się, że Workspace to zarówno aplikacja kliencka - Workspace App, jak i chmurowa platforma (jej część) — Workspace Platform, oraz nazwa rodzajów pakietów usług, a także koncepcja cyfrowych miejsc pracy od Citrix w ogóle. Taka wieloaspektowa istota.
Architektura i wymagania systemowe
W strukturze Digital Workspace firmy Citrix można wyróżnić 3 obszary:
- Wiele urządzeń klienckich z aplikacją Workspace App lub dostępem przez przeglądarkę do cyfrowych miejsc pracy.
- Bezpośrednio Workspace Platform w chmurze Citrix Cloud, która znajduje się gdzieś w sieci Internet w domenie cloud.com.
- Lokalizacje zasobów (resource location) — własne lub wynajmowane miejsca, prywatne lub publiczne chmury, w których znajdują się zasoby z aplikacjami, wirtualnymi desktopami i danymi klientów publikowanymi w Citrix Workspace. To właśnie ten data-plane, o którym wspomniano powyżej; przypomnę, że jeden klient może mieć kilka lokalizacji zasobów.
Przykładami zasobów mogą być hipernadzorcy, serwery, urządzenia sieciowe, domeny AD i inne elementy niezbędne do zapewnienia użytkownikom odpowiednich usług cyfrowych miejsc pracy.
Rozproszony scenariusz infrastruktury może zakładać:
- kilka lokalizacji zasobów w własnych centrach danych klientów,
- lokalizacje w publicznych chmurach,
- niewielkie lokalizacje w oddziałach zdalnych.
Przy planowaniu lokalizacji należy uwzględnić:
- bliskość użytkowników, danych i aplikacji;
- możliwość skalowania, w tym zapewnienie szybkiego rozwoju i powiększania mocy obliczeniowej;
- wymagania dotyczące bezpieczeństwa i regulacji.
Komunikacja między Citrix Cloud a lokalizacjami zasobów klienta odbywa się za pomocą komponentów, zwanych Citrix Cloud Connector. Te komponenty pozwalają klientowi skupić się na zarządzaniu zasobami dostarczanymi użytkownikom i zapomnieć o tańcu z serwisami operacyjnymi i zarządzającymi, które są już uruchomione w chmurze i są obsługiwane przez Citrix.
Aby zrównoważyć obciążenie i zapewnić odporność na awarie, zaleca się wdrożenie co najmniej dwóch Cloud Connector w każdej lokalizacji zasobów. Cloud Connector może być zainstalowany na dedykowanej fizycznej lub wirtualnej maszynie z systemem Windows Server (2012 R2 lub 2016). Preferowane jest umieszczanie ich w wewnętrznej sieci lokalizacji zasobów, a nie w DMZ.
Cloud Connector autoryzuje i szyfruje ruch między Citrix Cloud a lokalizacją zasobów za pośrednictwem https, standardowo – port TCP 443. Dozwolone są tylko sesje wychodzące – z Cloud Connector do chmury, połączenia przychodzące są zabronione.
Citrix Cloud wymaga istnienia usługi Active Directory (AD) w infrastrukturze klienta. AD pełni rolę głównego dostawcy IdAM i jest niezbędne do autoryzacji dostępu użytkowników do zasobów Workspace. Cloud Connector-y muszą mieć dostęp do AD. Dla zapewnienia odporności na awarie dobrą praktyką jest posiadanie po parze kontrolerów domeny w każdej lokalizacji zasobów, które będą współpracować z Cloud Connector-ami danej lokalizacji.
Usługi Citrix Cloud
Teraz warto zatrzymać się na głównych usługach Citrix Cloud, które stanowią podstawę platformy Citrix Workspace i umożliwiają klientom wdrożenie pełnoprawnych cyfrowych miejsc pracy.
Przyjrzyjmy się przeznaczeniu i funkcjonalności tych usług.
Virtual Apps and Desktops
To główna usługa Citrix Digital Workspace, która umożliwia dostęp terminalowy do aplikacji oraz pełną wirtualizację VDI. Obsługuje wirtualizację aplikacji i pulpitów Windows oraz Linux.
Będąc usługą w chmurze Citrix Cloud, usługa Virtual Apps and Desktops zawiera te same komponenty, co tradycyjny (niechmurowy) Virtual Apps and Desktops, jak pokazano na poniższym rysunku. Różnica polega na tym, że wszystkie komponenty zarządzające (control plane) są umieszczone w chmurze Citrix Cloud. Klient nie musi już wdrażać i utrzymywać tych komponentów, tym zajmuje się firma Citrix.
Z perspektywy klienta w lokalizacjach zasobów należy wdrożyć następujące komponenty:
- Cloud Connector-y;
- Kontrolery domeny AD;
- Virtual Delivery Agents (VDAs);
- Hyperwizory – zazwyczaj są dostępne, ale bywają sytuacje, w których można obejść się bez sprzętu;
- Opcjonalne komponenty — Citrix Gateway i StoreFront.
Wszystkie wymienione składniki, poza Cloud Connectorami, klient obsługuje samodzielnie. To jest logiczne, ponieważ znajduje się tutaj data-plane, szczególnie dotyczy to fizycznych węzłów i hypervisorów z VDA, gdzie znajdują się bezpośrednio aplikacje użytkowników i pulpity.
Cloud Connector-y powinny być jedynie zainstalowane przez klienta, jest to bardzo prosta procedura, wykonywana z konsoli Citrix Cloud. Dalsza ich obsługa odbywa się automatycznie.
Kontrola dostępu
Usługa ta oferuje następujące możliwości:
- SSO (single sign-on) do dużej liczby popularnych aplikacji SaaS;
- Filtrowanie dostępu do zasobów Internetowych;
- Monitorowanie aktywności użytkowników w Internecie.
SSO dla klientów do usług SaaS przez Citrix Workspace jest bardziej wygodną i bezpieczną alternatywą w porównaniu do tradycyjnego dostępu przez przeglądarkę. Lista wspieranych aplikacji SaaS jest dość duża i stale się powiększa.
Filtrowanie dostępu do Internetu może być konfigurowane na podstawie ręcznie tworzonych białych lub czarnych list stron. Ponadto wspierane jest ograniczenie dostępu według kategorii witryn, na podstawie rozbudowanych, aktualizowanych komercyjnych list URL. Użytkownikom może zostać ograniczony dostęp do kategorii stron takich jak sieci społecznościowe, zakupy, dla dorosłych, złośliwe oprogramowanie, torrenty, proxy itp.
Oprócz zezwolenia na dostęp do stron/SaaS bezpośrednio lub zablokowania tego dostępu istnieje możliwość przekierowania klientów na Secure Browser. Tzn. w celu zmniejszenia ryzyka dostęp do wybranych kategorii/list zasobów internetowych będzie możliwy tylko przez Secure Browser.
Usługa ta zapewnia również szczegółową analitykę do monitorowania aktywności użytkowników w sieci Internet: odwiedzane strony i aplikacje, niebezpieczne zasoby i ataki, zablokowany dostęp, ilość przesłanych/pobranych danych.
Secure Browser
Pozwala na publikację dla użytkowników Citrix Workspace przeglądarki internetowej (Google Chrome) w formie aplikacji wirtualnej. Secure Browser to usługa SaaS, którą zarządza i obsługuje firma Citrix. Całościowo umiejscowiona jest w Citrix Cloud (w tym data-plane), klient nie musi jej wdrażać i obsługiwać w swoich lokalizacjach zasobów.
Citrix odpowiada za przydzielanie zasobów w swoim chmurze dla VDA, na których uruchamiane są przeglądarki publikowane dla klientów, zapewniając bezpieczeństwo i aktualizacje systemu operacyjnego oraz samych przeglądarek.
Dostęp klientów do Secure Browser odbywa się za pośrednictwem aplikacji Workspace lub przeglądarki klienta. Sesja jest szyfrowana przy użyciu TLS. Aby skorzystać z usługi, klient nie musi niczego pobierać i instalować.
Strony i aplikacje internetowe uruchamiane przez Secure Browser działają w chmurze, klient jedynie otrzymuje obraz sesji terminalowej, nic nie jest wykonywane na urządzeniu końcowym. Pozwala to znacznie zwiększyć poziom bezpieczeństwa i chronić przed atakami przeglądarkowymi.
Podłączenie do usługi i zarządzanie nią odbywa się przez panel klienta Citrix Cloud. Podłączenie wykonuje się w kilka kliknięć:
Zarządzanie również jest dość proste, sprowadza się do ustalania polityki i białych list:
Polityka pozwala regulować następujące parametry:
- Clipboard – umożliwia włączenie funkcji kopiowania i wklejania w sesji przeglądarki;
- Printing – możliwość zapisywania stron internetowych na urządzeniu klienta w formacie PDF;
- Non-kiosk – domyślnie włączona, umożliwia pełne korzystanie z przeglądarki (wiele kart, pasek adresu);
- Region failover – możliwość ponownego uruchomienia przeglądarki w innym regionie Citrix Cloud w przypadku awarii głównego regionu;
- Client drive mapping – możliwość zamontowania dysku urządzenia klienta w celu pobierania lub przesyłania plików z sesji przeglądarki.
Białe listy (Whitelists) pozwalają ustalić listę stron, do których klienci będą mieli dostęp. Dostęp do zasobów spoza tej listy będzie zabroniony.
Content Collaboration
Ta usługa zapewnia możliwość wspólnego dostępu użytkowników Workspace do plików i dokumentów przechowywanych na wewnętrznych zasobach klienta (on-premises) oraz wspieranych publicznych usługach chmurowych. Mogą to być osobiste foldery użytkownika, firmowe udostępnione foldery sieciowe, dokumenty SharePoint lub takie chmurowe repozytoria jak OneDrive, DropBox czy Google Drive.
Usługa zapewnia SSO do dostępu do danych na wszystkich rodzajach zasobów przechowywania. Użytkownicy Citrix Workspace uzyskują bezpieczny dostęp do plików roboczych ze swoich urządzeń nie tylko w biurze, ale także zdalnie, bez dodatkowych trudności.
Content Collaboration oferuje następujące możliwości pracy z danymi:
- wymiana plików pomiędzy zasobami Workspace a urządzeniem klienckim (pobieranie i wysyłanie),
- synchronizacja plików użytkownika na wszystkich urządzeniach,
- współdzielenie plików i ich synchronizacja dla wielu użytkowników Workspace,
- konfiguracja uprawnień dostępu do plików i folderów dla innych użytkowników Workspace,
- wnioski o dostęp do plików, tworzenie linków do bezpiecznego pobierania plików.
Ponadto zapewniane są dodatkowe mechanizmy zabezpieczeń:
- dostęp do plików za pośrednictwem jednorazowych haseł,
- szyfrowanie plików,
- oznakowanie współdzielonych plików wodnymi znakami (watermark).
Zarządzanie punktami końcowymi
Ta usługa zapewnia funkcjonalność zarządzania mobilnymi urządzeniami (Mobile Device Management — MDM) i aplikacjami (Mobile Application Management — MAM) niezbędną dla cyfrowych miejsc pracy. Citrix promuje ją jako rozwiązanie SaaS-EMM – Zarządzanie Mobilnością Przedsiębiorstwa jako usługa.
Funkcjonalność MDM pozwala:
- wdrażać aplikacje, polityki urządzeń, certyfikaty do łączenia się z zasobami klienta,
- prowadzić rejestr urządzeń,
- blokować oraz przeprowadzać całkowite lub częściowe usuwanie (wipe) urządzeń.
Funkcjonalność MAM pozwala:
- zapewniać bezpieczeństwo aplikacji i danych na urządzeniach mobilnych,
- dostarczać korporacyjne aplikacje mobilne.
Z perspektywy architektury i zasady świadczenia usługi dla klienta, Zarządzanie Punktami Końcowymi jest bardzo podobne do opisanego powyżej chmurowego wariantu Aplikacji Wirtualnych i Pulpitów. Control Plane i usługi ją tworzące znajdują się w Citrix Cloud, a ich obsługą zajmuje się Citrix, co pozwala traktować tę usługę jako SaaS.
Data Plane w lokalizacjach zasobów klienta obejmuje:
- Cloud Connector-y niezbędne do interakcji z chmurą Citrix,
- Citrix Gateway-e, zapewniające bezpieczny zdalny dostęp użytkowników do wewnętrznych zasobów klienta (aplikacje, dane) i funkcjonalność mikro-VPN,
- Active Directory, PKI
- Exchange, pliki, aplikacje wirtualne i pulpity.
Gateway
Citrix Gateway zapewnia następującą funkcjonalność:
- bramę dostępu zdalnego – bezpieczne połączenie z zasobami firmy dla użytkowników mobilnych i zdalnych spoza zabezpieczonego obszaru,
- dostawcę IdAM (Zarządzanie Tożsamością i Dostępem) w celu zapewnienia SSO do zasobów firmy.
Pod zasobami korporacyjnymi w tym kontekście należy rozumieć nie tylko aplikacje wirtualne i desktopy, ale także liczne aplikacje SaaS.
Aby zoptymalizować ruch sieciowy i uzyskać funkcjonalność micro VPN, konieczne jest wdrożenie Citrix Gateway w każdym z lokalizacji zasobów, zazwyczaj w DMZ. W takim przypadku odpowiedzialność za przydzielenie niezbędnych zasobów oraz ich wsparcie spoczywa na kliencie.
Alternatywną opcją jest użycie Citrix Gateway w postaci usługi Citrix Cloud, w takim przypadku klient nie musi nic wdrażać ani wspierać na swoim lokalnym systemie, zajmuje się tym Citrix w swoim chmurze.
Analiza
To analityczna usługa Citrix Cloud, zintegrowana ze wszystkimi opisanymi powyżej usługami chmurowymi. Jest przeznaczona do zbierania danych generowanych przez usługi Citrix oraz ich analizy przy użyciu wbudowanych mechanizmów uczenia maszynowego. Przy tym uwzględniane są metryki związane z użytkownikami, aplikacjami, plikami, urządzeniami i siecią.
W rezultacie powstają raporty dotyczące bezpieczeństwa, wydajności i działań użytkowników.
Oprócz tworzenia raportów statystycznych, Citrix Analytics potrafi działać proaktywnie. Polega to na formowaniu profili normalnego zachowania użytkowników oraz identyfikowaniu anomalii. Jeśli użytkownik zaczyna nietypowo używać aplikacji lub intensywnie udostępniać dane, może zostać automatycznie zablokowany wraz ze swoim urządzeniem. To samo wydarzy się w przypadku dostępu do niebezpiecznych zasobów internetowych.
Zwraca się uwagę nie tylko na bezpieczeństwo, ale również na wydajność. Analityka pozwala monitorować i szybko rozwiązywać problemy związane z długim logowaniem użytkowników oraz opóźnieniami w sieci.
Podsumowanie
Poznaliśmy architekturę chmury Citrix, platformę Workspace oraz jej główne usługi potrzebne do zorganizowania infrastruktury cyfrowych miejsc pracy. Należy zauważyć, że nie omówiliśmy wszystkich usług Citrix Cloud, ograniczyliśmy się do podstawowego zestawu do organizacji cyfrowego miejsca pracy. usług chmury Citrix zawiera również narzędzia sieciowe, dodatkowe funkcje związane z aplikacjami oraz miejscami pracy.
Należy również zaznaczyć, że podstawową funkcjonalność cyfrowych miejsc pracy można wdrożyć także bez Citrix Cloud, wyłącznie lokalnie. Podstawowy produkt Virtual Apps and Desktops jest nadal dostępny w klasycznej wersji, gdy nie tylko VDA, ale także wszystkie usługi zarządzające są wdrażane i obsługiwane przez klienta na jego własnym terenie, w takim przypadku nie są potrzebne żadne Cloud Connector-y. To samo dotyczy Endpoint Management – jego lokalny odpowiednik nazywa się XenMobile Server, chociaż w wersji chmurowej jest nieco bardziej funkcjonalny. Klient może również zrealizować część możliwości Access Control na swoim terenie. Funkcjonalność Secure Browser może być zrealizowana lokalnie, przy czym to klient wybiera przeglądarkę.
Dążenie do pełnego wdrożenia na swoim terenie jest korzystne z punktu widzenia bezpieczeństwa, kontroli i wątpliwości związanych z sankcjonowanymi chmurami. Jednak bez Citrix Cloud funkcjonalność Content Collaboration i Analytics będzie całkowicie niedostępna. Funkcjonalność innych rozwiązań Citrix lokalnie, jak wspomniano wcześniej, może ustępować ich chmurowym realizacjom. A najważniejsze – płaszczyzna zarządzania musi być utrzymywana przez klienta i administrowana samodzielnie.
Przydatne linki:
, w tym Citrix Cloud
– techniczne filmy, artykuły i diagramy
Źródło: habr.com
