🥇Arquitetura do Digital Workspace na plataforma Citrix Cloud

Introdução

O artigo descreve as capacidades e características arquitetônicas da plataforma de nuvem Citrix Cloud e o conjunto de serviços Citrix Workspace. Essas soluções são um elemento central e a base para a implementação do conceito de locais de trabalho digitais (digital workspace) da empresa Citrix.

Neste artigo, procurei entender e formular as relações de causa e efeito entre as plataformas de nuvem, serviços e assinaturas da Citrix, cuja descrição em fontes abertas da empresa (citrix.com e docs.citrix.com) muitas vezes parece bastante nebulosa. Tecnologias de nuvem – aparentemente, não há outra forma! Vale ressaltar que a arquitetura e as tecnologias são, de maneira geral, explicadas de forma razoável. As dificuldades surgem na compreensão das inter-relações hierárquicas entre os serviços e plataformas:

qual plataforma é primária — Citrix Cloud ou Citrix Workspace Platform?
quais dos serviços Citrix, necessários para construir a infraestrutura dos locais de trabalho digitais, estão incluídos em uma das plataformas mencionadas acima?
qual é o custo dessa solução e em que opções ela pode ser obtida?
é possível implementar todas as funcionalidades do digital workspace da Citrix sem utilizar o Citrix Cloud?

As respostas a essas perguntas e a apresentação das soluções da Citrix para locais de trabalho digitais estão abaixo.

Citrix Cloud

Citrix Cloud é uma plataforma de nuvem onde são hospedados todos os serviços necessários para a organização de locais de trabalho digitais. Esse ambiente é administrado diretamente pela empresa Citrix, que também fornece suporte e garante a SLA (disponibilidade dos serviços — não menos que 99,5% por mês).

Os clientes da Citrix, dependendo da assinatura escolhida (pacote de serviços), têm acesso a uma lista específica de serviços sob o modelo SaaS. Para eles, o Citrix Cloud atua como um painel de controle na nuvem para os locais de trabalho digitais da empresa. O Citrix Cloud possui uma arquitetura multi-tenant, onde clientes e suas infraestruturas estão isolados uns dos outros.

O Citrix Cloud atua como uma camada de controle, onde diversos serviços em nuvem da Citrix, incluindo serviços operacionais e de gerenciamento da infraestrutura digital workspace, são hospedados. A camada de dados, que inclui aplicativos para usuários, desktops e dados, está fora do Citrix Cloud. A única exceção é o Secure Browser Service, que é fornecido totalmente como um modelo baseado em nuvem. A camada de dados pode ser hospedada em um data center do cliente (on-premises), em um data center de provedores de serviços, ou em nuvens hiperescaláveis (AWS, Azure, Google Cloud). Existem soluções híbridas e distribuídas em que os dados do cliente estão em várias localizações e nuvens, com o gerenciamento centralizado a partir do Citrix Cloud.

Essa abordagem traz uma série de vantagens claras para os clientes:

liberdade de escolha do local para armazenamento de dados;
capacidade de construir uma infraestrutura híbrida e distribuída, prevendo múltiplos locais com diferentes provedores, em várias nuvens e on-premises;
ausência de acesso direto aos dados dos usuários por parte da Citrix, uma vez que estão fora do Citrix Cloud;
capacidade de definir autonomamente o nível necessário de desempenho, resistência a falhas, confiabilidade, privacidade, integridade e disponibilidade dos dados; e então escolher os locais adequados para o armazenamento;
não é necessário hospedar e gerenciar diversos serviços de gerenciamento de ambientes de trabalho digitais, pois todos estão no Citrix Cloud e são uma preocupação da Citrix; como resultado, redução de custos.

Citrix Workspace

Citrix Workspace é um conceito transcendental, fundamental e abrangente. Vamos examiná-lo em detalhes para entender por quê.

De forma geral, o Citrix Workspace personifica a concepção de ambientes de trabalho digitais da Citrix. É ao mesmo tempo uma solução, um serviço e um conjunto de serviços para criar ambientes de trabalho unificados, seguros, convenientes e gerenciáveis.

Os usuários têm a opção de SSO sem costura para acesso rápido a aplicativos/serviços, desktops e dados a partir de um único console em qualquer dispositivo para um trabalho produtivo. Eles podem se esquecer das múltiplas contas, senhas e das dificuldades em encontrar aplicativos (atalhos, menu Iniciar, navegadores – tudo em lugares diferentes).

O time de TI recebe ferramentas para gerenciamento centralizado de serviços e dispositivos do cliente, garantindo segurança, controle de acesso, monitoramento, atualização, otimização da interação em rede e análise.

O Citrix Workspace permite o acesso unificado aos seguintes recursos:

Citrix Virtual Apps and Desktops – virtualização de aplicativos e desktops;
Aplicativos web;
Aplicativos SaaS em nuvem;
Aplicativos móveis;
Arquivos em diferentes armazenamentos, inclusive na nuvem.

O acesso aos recursos do Citrix Workspace é feito através de:

Navegadores padrão — suportando Chrome, Safari, MS IE e Edge, Firefox
ou através do aplicativo cliente "nativo" — Citrix Workspace App.

O acesso é possível a partir de todos os dispositivos de cliente populares:

Computadores completos rodando Windows, Linux, MacOS e até Chrome OS;
Dispositivos móveis com iOS ou Android.

Citrix Workspace Platform é parte de diversos serviços em nuvem do Citrix Cloud, destinado à organização do espaço de trabalho digital. É importante destacar que o Workspace inclui a maioria dos serviços disponíveis no Citrix Cloud, que vamos detalhar mais adiante.

Assim, os usuários finais recebem funcionalidade de espaços de trabalho digitais em seus dispositivos favoritos por meio do Workspace App ou sua versão em navegador (Workspace App para HTML5). Para alcançar esta funcionalidade, a Citrix oferece a Workspace Platform como um conjunto de serviços em nuvem que os administradores da empresa gerenciam através do Citrix Cloud.

O Citrix Workspace está disponível em três pacotes: Standard, Premium, Premium Plus. Eles diferem na quantidade de serviços incluídos no pacote. Além disso, há a possibilidade de comprar alguns serviços separadamente, fora do pacote. Por exemplo, o serviço fundamental Virtual Apps and Desktops está incluído apenas no pacote Premium Plus, e seu custo separado é superior ao pacote Standard e quase igual ao Premium.

Portanto, o Workspace é tanto um aplicativo cliente – Workspace App, quanto uma plataforma em nuvem (uma de suas partes) – Workspace Platform, além de ser o nome das diferentes variedades de pacotes de serviços e a concepção de ambientes de trabalho digitais da Citrix como um todo. Essa é uma entidade multifacetada.

Arquitetura e Requisitos do Sistema

Na estrutura do Digital Workspace da Citrix, podemos distinguir, de forma condicional, 3 áreas:

Vários dispositivos clientes com o aplicativo Workspace App ou acesso via navegador aos ambientes de trabalho digitais.
A própria Workspace Platform na nuvem Citrix Cloud, que reside em algum lugar na rede Internet no domínio cloud.com.
Localizações de Recursos (resource location) — locais próprios ou alugados, nuvens privadas ou públicas, onde estão armazenados recursos com aplicativos, desktops virtuais e dados dos clientes, publicados no Citrix Workspace. Este é o data-plane mencionado anteriormente; cabe lembrar que um cliente pode ter várias localizações de recursos.

Exemplos de recursos podem incluir hipervisores, servidores, dispositivos de rede, domínios AD e outros elementos necessários para fornecer aos usuários os serviços adequados de ambientes de trabalho digitais.

Um cenário de infraestrutura distribuída pode prever:

várias localizações de recursos em data centers próprios do cliente,
localizações em nuvens públicas,
pequenas localizações em filiais remotas.

Ao planejar as localizações, deve-se considerar:

a proximidade dos usuários, dados e aplicativos;
a capacidade de escalabilidade, incluindo a possibilidade de rápida expansão e retração de recursos;
as exigências de segurança e regulatórias.

As comunicações entre o Citrix Cloud e as localizações de recursos do cliente são realizadas por meio de componentes chamados Citrix Cloud Connector. Esses componentes permitem que o cliente se concentre na manutenção dos recursos oferecidos aos usuários e esqueça as complicações com serviços de suporte e gerenciamento, que já estão implementados na nuvem e são mantidos pela Citrix.

Para balanceamento de carga e tolerância a falhas, recomenda-se implementar pelo menos dois Cloud Connectors em cada localização de recursos. O Cloud Connector pode ser instalado em uma máquina física ou virtual dedicada com Windows Server (2012 R2 ou 2016). É preferível hospedá-los na rede interna da localização dos recursos, e não na DMZ.

O Cloud Connector autentica e criptografa o tráfego entre o Citrix Cloud e a localização dos recursos via https, utilizando padrão TCP porta 443. Apenas sessões de saída são permitidas – do Cloud Connector para o cloud, conexões de entrada são proibidas.

O Citrix Cloud requer a presença do serviço Active Directory (AD) na infraestrutura do cliente. O AD atua como o principal provedor de IdAM e é necessário para autorizar o acesso dos usuários aos recursos do Workspace. Os Cloud Connectors devem ter acesso ao AD. Para garantir a tolerância a falhas, é uma boa prática ter um par de controladores de domínio em cada localização de recursos, que interajam com os Cloud Connectors dessa localização.

Serviços do Citrix Cloud

Agora, vamos nos concentrar nos principais serviços do Citrix Cloud, que formam a base da plataforma Citrix Workspace e permitem que os clientes implementem locais de trabalho digitais completos.

Vamos considerar a finalidade e funcionalidade desses serviços.

Apps e Desktops Virtuais

Este é o serviço principal do Citrix Digital Workspace, que permite acesso terminal a aplicativos e um VDI completo. Suporta virtualização de aplicativos e desktops Windows e Linux.

Sendo um serviço em nuvem, o serviço de Apps e Desktops Virtuais possui os mesmos componentes que o tradicional (não em nuvem) Apps e Desktops Virtuais, conforme mostrado na imagem abaixo. A diferença é que todos os componentes de gerenciamento (control plane) deste serviço são hospedados na nuvem do Citrix Cloud. O cliente não precisa mais implementar e manter esses componentes ou alocar recursos computacionais para isso, essa responsabilidade é da Citrix.

Do lado do cliente, na localização dos recursos, devem ser implementados os seguintes componentes:

Cloud Connectors;
Controladores de domínio AD;
Agentes de Entrega Virtual (VDAs);
Hypervisores – como regra geral, eles já existem, mas às vezes é possível utilizar a física;
Componentes opcionais – Citrix Gateway e StoreFront.

Todos os componentes listados, exceto os Cloud Connectors, são geridos pelo cliente. Isso faz sentido, uma vez que aqui se encontra o data-plane, especialmente no que diz respeito aos nós físicos e hipervisores com VDA, onde estão localizados diretamente os aplicativos e desktops dos usuários.

Os Cloud Connectors devem ser instalados exclusivamente pela equipe do cliente, sendo um procedimento de muito simples, realizado a partir do console do Citrix Cloud. Sua manutenção subsequente é realizada automaticamente.

Controle de Acesso

Este serviço oferece as seguintes funcionalidades:

SSO (single sign-on) para uma ampla gama de aplicativos SaaS populares;
Filtragem de acesso a recursos da Internet;
Monitoramento da atividade dos usuários na Internet.

O SSO para os clientes aos serviços SaaS através do Citrix Workspace é uma alternativa mais conveniente e segura em comparação ao acesso comum através do navegador. A lista de aplicativos SaaS suportados é bastante extensa e está em constante crescimento.

A filtragem de acesso à Internet pode ser configurada com base em listas de sites brancas ou negras criadas manualmente. Além disso, o controle de acesso por categorias de sites é suportado, com base em listas de URLs comerciais atualizadas de forma abrangente. O acesso dos usuários a categorias de sites como redes sociais, compras, conteúdo para adultos, malware, torrents, proxies, etc. pode ser restringido.

Além de permitir acesso a sites/SaaS diretamente ou bloquear o acesso, existe a opção de redirecionar os clientes para o Secure Browser. Ou seja, para reduzir riscos, o acesso a determinadas categorias/listas de recursos da Internet só será possível através do Secure Browser.

O serviço também oferece análises detalhadas para monitorar a atividade dos usuários na web: sites e aplicativos visitados, recursos perigosos e ataques, acesso bloqueado, volumes de dados carregados/baixados.

Secure Browser

Permite publicar para os usuários do Citrix Workspace um navegador da Internet (Google Chrome) na forma de um aplicativo virtual. O Secure Browser é um serviço SaaS, cuja gestão e manutenção são realizadas pela Citrix. Ele está completamente hospedado no Citrix Cloud (incluindo o data-plane), não sendo necessário que o cliente o implemente ou mantenha em suas próprias localizações de recursos.

A Citrix é responsável pela alocação de recursos em sua nuvem para VDA, onde são hospedados os navegadores publicados para os clientes, garantindo a segurança e a atualização do sistema operacional e dos próprios navegadores.

O acesso dos clientes ao Secure Browser é feito através do aplicativo Workspace ou do navegador do cliente. A sessão é criptografada via TLS. O cliente não precisa baixar ou instalar nada para usar o serviço.

Os sites e aplicativos da web executados através do Secure Browser rodam na nuvem, e o cliente recebe apenas a imagem da sessão de terminal, sem que nada seja executado no dispositivo final. Isso aumenta significativamente o nível de segurança e protege contra ataques de navegador.

A conexão e o gerenciamento do serviço são realizados através do painel do cliente Citrix Cloud. A conexão é feita em poucos cliques:

A gestão também é bastante simples, reduzindo-se à definição de políticas e listas de permissões:

A política permite regular os seguintes parâmetros:

Clipboard – permite ativar a funcionalidade de copiar e colar na sessão do navegador;
Printing – possibilidade de salvar páginas da web no dispositivo do cliente em formato PDF;
Non-kiosk – ativada por padrão, permite o uso completo do navegador (várias abas, barra de endereços);
Region failover – possibilidade de reiniciar o navegador em outra região do Citrix Cloud caso a região principal falhe;
Client drive mapping – possibilidade de montar o disco do dispositivo do cliente para baixar ou carregar arquivos da sessão do navegador.

As listas de permissões (Whitelists) permitem definir uma lista de sites aos quais os clientes terão acesso. O acesso a recursos fora dessa lista será negado.

Colaboração de Conteúdo

Este serviço oferece acesso colaborativo para usuários do Workspace a arquivos e documentos armazenados em recursos internos do cliente (on-premises) e suportados por serviços de nuvem públicos. Isso pode incluir pastas pessoais do usuário, compartilhamentos de rede corporativos, documentos do SharePoint ou repositórios em nuvem como OneDrive, DropBox ou Google Drive.

O serviço fornece SSO para acesso a dados em todos os tipos de recursos de armazenamento. Os usuários do Citrix Workspace obtêm acesso seguro a arquivos de trabalho de seus dispositivos, não apenas no escritório, mas também remotamente, sem qualquer complicação adicional.

A Colaboração de Conteúdo oferece as seguintes funcionalidades de trabalho com dados:

compartilhamento de arquivos entre os recursos do Workspace e o dispositivo do cliente (download e upload),
sincronização de arquivos do usuário em todos os dispositivos,
compartilhamento de arquivos e sincronização para vários usuários do Workspace,
configuração de permissões de acesso a arquivos e pastas para outros usuários do Workspace,
solicitação de acesso a arquivos, geração de links para upload seguro de arquivos.

Além disso, são fornecidos mecanismos adicionais de proteção:

acesso a arquivos por meio de senhas temporárias,
criptografia de arquivos,
fornecimento de marcas d'água (watermark) para arquivos compartilhados.

Gerenciamento de Endpoint

Este serviço oferece a funcionalidade necessária para a gestão de dispositivos móveis (Mobile Device Management - MDM) e aplicativos (Mobile Application Management - MAM) para locais de trabalho digitais. A Citrix o posiciona como uma solução SaaS-EMM - Gerenciamento de Mobilidade Empresarial como um serviço.

A funcionalidade MDM permite:

distribuir aplicativos, políticas de dispositivos, certificados para conectar-se aos recursos do cliente,
fazer a gestão de dispositivos,
bloquear e realizar a exclusão total ou parcial (wipe) de dispositivos.

A funcionalidade MAM permite:

garantir a segurança de aplicativos e dados em dispositivos móveis,
entregar aplicativos móveis corporativos.

Em termos de arquitetura e princípio de fornecimento de serviços ao cliente, o Gerenciamento de Endpoint é muito semelhante à opção em nuvem descrita acima, Virtual Apps and Desktops. O Control Plane e os serviços que o compõem estão na Citrix Cloud, sendo geridos pela Citrix, o que permite considerar este serviço como SaaS.

O Data Plane nas localizações dos recursos do cliente inclui:

Conectores em nuvem necessários para interagir com a nuvem da Citrix,
Gateways Citrix que fornecem acesso remoto seguro dos usuários aos recursos internos do cliente (aplicativos, dados) e funcionalidade de micro-VPN,
Active Directory, PKI
Exchange, arquivos, aplicativos e desktops virtuais.

Gateway

O Citrix Gateway fornece a seguinte funcionalidade:

gateway de acesso remoto – conexão segura aos recursos corporativos para usuários móveis e remotos fora do perímetro protegido,
provedor de IdAM (Identity and Access Management) para garantir SSO aos recursos corporativos.

Recursos corporativos, neste contexto, não se referem apenas a aplicativos virtuais e desktops, mas também a numerosos aplicativos SaaS.

Para otimizar o tráfego de rede e obter a funcionalidade de micro VPN, é necessário implementar o Citrix Gateway em cada uma das localizações dos recursos, geralmente na DMZ. Nesse caso, a alocação dos recursos necessários e o suporte ficam sob a responsabilidade do cliente.

Uma alternativa é usar o Citrix Gateway como um serviço Citrix Cloud, onde o cliente não precisa implementar ou gerenciar nada em seu local, pois isso é feito pela Citrix em sua nuvem.

Analytics

Este é um serviço analítico do Citrix Cloud, integrado com todos os serviços de nuvem descritos anteriormente. Ele é destinado à coleta de dados gerados pelos serviços Citrix e sua análise por meio de mecanismos embutidos de machine learning. As métricas relacionadas a usuários, aplicativos, arquivos, dispositivos e rede são consideradas.

Como resultado, são gerados relatórios sobre segurança, desempenho e operações dos usuários.

Além de gerar relatórios estatísticos, o Citrix Analytics pode atuar de forma proativa. Isso envolve a formação de perfis de comportamento normal dos usuários e a identificação de anomalias. Se um usuário começar a usar um aplicativo de maneira não padrão ou compartilhar dados de forma excessiva, ele e seu dispositivo podem ser automaticamente bloqueados. O mesmo ocorrerá no caso de acesso a recursos da internet perigosos.

A atenção não se concentra apenas na segurança, mas também no desempenho. A análise permite monitorar e resolver rapidamente problemas relacionados a logins demorados dos usuários e atrasos na rede.

Conclusão

Nós exploramos a arquitetura da nuvem Citrix, a plataforma Workspace e seus principais serviços necessários para a organização da infraestrutura de locais de trabalho digitais. Vale ressaltar que não examinamos todos os serviços do Citrix Cloud, limitando-nos ao conjunto básico para a organização do digital workspace. Lista completa de serviços da nuvem Citrix também inclui ferramentas de rede, recursos adicionais para trabalhar com aplicativos e locais de trabalho.

É importante mencionar que a funcionalidade principal dos locais de trabalho digitais pode ser implantada sem o Citrix Cloud, exclusivamente on-premises. O produto básico Virtual Apps and Desktops ainda está disponível na sua versão clássica, onde não apenas o VDA, mas também todos os serviços de gerenciamento são implementados e mantidos pelo cliente em sua própria infraestrutura, sem necessidade de Cloud Connectors. O mesmo se aplica ao Endpoint Management – sua versão on-premises é chamada XenMobile Server, embora na versão em nuvem ele tenha um pouco mais de funcionalidades. Algumas capacidades de Controle de Acesso também podem ser implementadas no ambiente do cliente. A funcionalidade do Secure Browser pode ser realizada on-premises, permitindo que o cliente escolha o navegador.

A busca por implementar tudo em sua própria infraestrutura é boa em termos de segurança, controle e desconfiança em relação aos serviços em nuvem estrangeiros. No entanto, sem o Citrix Cloud, a funcionalidade de Colaboração de Conteúdo e Análise estará completamente indisponível. Como mencionado anteriormente, as funcionalidades de outras soluções Citrix on-premises podem ser inferiores às suas implementações em nuvem. E o mais importante – você terá que manter a camada de gerenciamento internamente e administrá-la por conta própria.