Úvod
Článok popisuje možnosti a architektonické vlastnosti cloudovej platformy Citrix Cloud a súboru služieb Citrix Workspace. Tieto riešenia sú centrálnym prvkom a základom na realizáciu konceptu digitálnych pracovísk (digital workspace) od spoločnosti Citrix.
V tomto článku som sa snažil pochopiť a formulovať príčinné súvislosti medzi cloudovými platformami, službami a predplatnými od spoločnosti Citrix, ktorých opis v otvorených zdrojoch spoločnosti (citrix.com a docs.citrix.com) vyzerá miestami veľmi nejasne. Cloudové technológie – inak to asi nejde! Je potrebné poznamenať, že architektúra a technológie sú v podstate celkom zrozumiteľné. Zložitosti vznikajú pri porozumení hierarchickej vzájomnosti medzi službami a platformami:
- ktorá platforma je základná — Citrix Cloud alebo Citrix Workspace Platform?
- do ktorej z vyššie uvedených platforiem patria množstvo služieb od Citrix, ktoré sú potrebné na vybudovanie infraštruktúry digitálnych pracovísk?
- koľko to stojí a v akých variantoch je to možné získať?
- je možné implementovať všetky funkcie digitálneho pracoviska Citrix bez využitia Citrix Cloud?
Odpovede na tieto otázky a oboznámenie sa s riešeniami Citrix pre digitálne pracoviská nájdete pod katom.
Citrix Cloud
Citrix Cloud je cloudová platforma, v ktorej sú umiestnené všetky služby potrebné na organizáciu digitálnych pracovísk. Toto cloudové riešenie vlastní priamo spoločnosť Citrix, ktorá sa zaoberá jeho údržbou a zabezpečuje požadovanú (dostupnosť služieb – minimálne 99,5 % mesačne).
Zákazníci (klienti) spoločnosti Citrix v závislosti od vybraného predplatného (balíka služieb) získavajú prístup k určitému výberu služieb v modeli SaaS. Pre nich Citrix Cloud funguje ako cloudová správa digitálnych pracovísk spoločnosti. Citrix Cloud má multi-tenant architektúru, zákazníci a ich infraštruktúry sú navzájom izolované.
Citrix Cloud funguje ako riadiaca vrstva (control plane), kde sú umiestnené rôzne cloudové služby Citrix, vrátane služieb správy a infraštruktúry digital workspace. Dátová vrstva, ktorá obsahuje používateľské aplikácie, pracovné plochy a dáta, sa nachádza mimo Citrix Cloud. Výnimkou je len Secure Browser Service, ktorý je poskytovaný výlučne v cloudovom modeli. Dátová vrstva môže byť umiestnená v dátovom centre zákazníka (on-premises), v dátovom centre poskytovateľa služieb alebo v hyper-cloudoch (AWS, Azure, Google Cloud). Možno realizovať zmiešané a distribuované riešenia, kde sú dáta zákazníka uložené na viacerých lokalitách a v cloudoch, pričom ich správa je centralizovaná z Citrix Cloud.
Tento prístup má niekoľko zjavne výhod pre zákazníkov:
- sloboda vo výbere lokality pre ukladanie dát;
- možnosť vytvorenia hybridnej distribuovanej infraštruktúry, ktorá predpokladá množstvo umiestnení u rôznych poskytovateľov, v niekoľkých cloudoch a on-premises;
- neexistencia priameho prístupu k používateľským dátam zo strany Citrix, keďže sú mimo Citrix Cloud;
- možnosť samostatne určiť požadovanú úroveň výkonnosti, dostupnosti, spoľahlivosti, dôvernosti, integrity a dostupnosti dát; následne vybrať vhodné lokality na umiestnenie;
- nepotreba spravovať a podporovať množstvo služieb na správu digitálnych pracovných miest, keďže všetky sú v Citrix Cloud a sú starosťou Citrix; v dôsledku toho - zníženie nákladov.
Citrix Workspace
Citrix Workspace je transcendentný, základný a komplexný koncept. Pozrime sa na to podrobnejšie a pochopíme prečo.
Celkovo Citrix Workspace predstavuje koncept digitálnych pracovných miest od spoločnosti Citrix. Je to zároveň riešenie, služba a súbor služieb na vytvorenie integrovaných, bezpečných, pohodlných a spravovaných pracovných miest.
Používatelia majú možnosť bezproblémového SSO pre rýchly prístup k aplikáciám/službám, desktopom a dátam z jednotného panela na akomkoľvek zariadení pre produktívnu prácu. Môžu s radosťou zabudnúť na množstvo účtov, hesiel a zložitosti pri vyhľadávaní aplikácií (skratky, panel s nástrojmi, prehliadače – všetko na rôznych miestach).
IT oddelenie získa nástroje na centralizované riadenie služieb a klientskych zariadení, zabezpečenie, rozdelenie prístupu, monitorovanie, aktualizáciu a optimalizáciu sieťového prepojenia, ako aj analytiku.
Citrix Workspace umožňuje poskytnúť zlúčený prístup k nasledujúcim zdrojom:
- Citrix Virtual Apps and Desktops – virtualizácia aplikácií a desktopov;
- Webové aplikácie;
- Cloudové SaaS aplikácie;
- Mobilné aplikácie;
- Súbory v rôznych úložiskách, vrátane cloudových.
Prístup k zdrojom Citrix Workspace sa zabezpečuje prostredníctvom:
- Štandardného prehliadača — podporujú sa Chrome, Safari, MS IE a Edge, Firefox
- alebo „natívnej“ klientskej aplikácie — Citrix Workspace App.
Prístup je možný zo všetkých populárnych klientskych zariadení:
- Plnohodnotných počítačov s Windows, Linux, MacOS a dokonca aj Chrome OS;
- Mobilných zariadení s iOS alebo Android.
Citrix Workspace Platform je súčasťou mnohých cloudových služieb Citrix Cloud, určených na organizáciu digitálnych pracovísk. Je dôležité poznamenať, že Workspace zahŕňa väčšinu služieb prítomných v Citrix Cloud, na ktorých sa podrobnejšie pozrieme neskôr.
Týmto spôsobom koncoví používatelia získavajú funkčnosť digitálnych pracovísk na obľúbených klientských zariadeniach prostredníctvom Workspace App alebo jeho webovej alternatívy (Workspace App pre HTML5). Na dosiahnutie tejto funkčnosti Citrix ponúka Workspace Platform vo forme súboru cloudových služieb, ktorým administrátori spoločnosti riadia prostredníctvom Citrix Cloud.
Citrix Workspace je dostupná v : Standard, Premium, Premium Plus. Rozlišujú sa množstvom služieb, ktoré sú zahrnuté v balíku. Rovnako je možné nakupovať niektoré služby samostatne, mimo balíka. Napríklad základná služba Virtual Apps and Desktops je zahrnutá iba v balíku Premium Plus, a jej samostatná cena je vyššia ako pri balíku Standard a takmer rovná balíku Premium.
Zjavuje sa, že Workspace je klientská aplikácia – Workspace App, oblúková platforma (je jej časť) – Workspace Platform, názov rôznych typov balíčkov služieb a celková koncepcia digitálnych pracovných miest od Citrix. Takáto mnohĺika entita.
Architektúra a systémové požiadavky
V štruktúre Digital Workspace od spoločnosti Citrix môžeme vyčleniť 3 oblasti:
- Množstvo klientskych zariadení s aplikáciou Workspace App alebo cez prehliadač prístupom k digitálnym pracovným miestam.
- Priamo Workspace Platform v oblaku Citrix Cloud, ktoré žije niekde v sieti Internet v doméne cloud.com.
- Umiestnenia zdrojov (resource location) – vlastné alebo prenajaté priestory, súkromné alebo verejné oblaky, kde sú umiestnené zdroje s aplikáciami, virtuálnymi desktopmi a údajmi zákazníka, publikovanými v Citrix Workspace. Toto je ten takzvaný data-plane, o ktorom sa hovorilo vyššie, pripomínam, že jeden zákazník môže mať niekoľko resource location.
Príkladmi zdrojov môžu byť hypervízory, servery, sieťové zariadenia, domény AD a iné prvky potrebné na poskytovanie používateľom príslušných služieb digitálnych pracovných miest.
Distribuovaný scenár infraštruktúry môže zahŕňať:
- niekoľko umiestnení zdrojov vo vlastných datacentrách zákazníka,
- umiestnenia vo verejných oblahoch,
- malé umiestnenia v remote pobočkách.
Pri plánovaní umiestnení by sa malo zohľadniť:
- blízkosť používateľov, údajov a aplikácií;
- možnosť škálovania, vrátane rýchleho navýšenia a zníženia kapacít;
- požiadavky na bezpečnosť a regulátorov.
Komunikácia medzi Citrix Cloud a umiestneniami zdrojov zákazníka sa uskutočňuje prostredníctvom komponentov nazývaných Citrix Cloud Connector. Tieto komponenty umožňujú zákazníkovi sústrediť sa na údržbu zdrojov poskytovaných používateľom a zabudnúť na tance so služobnými a riadiacimi službami, ktoré už boli nasadené v oblaku a sú podporované spoločnosťou Citrix.
Na vyváženie zaťaženia a odolnosť voči výpadkom sa odporúča nasadiť minimálne dva Cloud Connector v každej lokalite zdrojov. Cloud Connector môže byť nainštalovaný na vyhradenej fyzickej alebo virtuálnej mašine so systémom Windows Server (2012 R2 alebo 2016). Je preferované umiestniť ich do vnútornej siete lokalizácie zdrojov, nie do DMZ.
Cloud Connector autentifikuje a šifruje prenos medzi Citrix Cloud a lokalizáciou zdrojov prostredníctvom https, štandardne – TCP port 443. Povolené sú iba odchádzajúce relácie – od Cloud Connector do cloudu, prichádzajúce pripojenia sú zakázané.
Citrix Cloud vyžaduje existenciu služby Active Directory (AD) v infraštruktúre zákazníka. AD plní úlohu hlavného IdAM poskytovateľa a je potrebná na autorizáciu prístupu používateľov k zdrojom Workspace. Cloud Connectory musia mať prístup k AD. Pre odolnosť voči výpadkom je dobrou praxou mať po dvoch kontroléroch domény v každej lokalite zdrojov, ktorí budú spolupracovať s Cloud Connector-ami tejto lokalizácie.
Služby Citrix Cloud
Teraz sa zastavíme pri hlavných službách Citrix Cloud, ktoré tvoria základ platformy Citrix Workspace a umožňujú zákazníkom nasadiť plnohodnotné digitálne pracovné miesta.
Pozrime sa na účel a funkčnosť týchto služieb.
Virtual Apps and Desktops
Toto je hlavná služba Citrix Digital Workspace, ktorá umožňuje zabezpečiť terminálový prístup k aplikáciám a plnohodnotný VDI. Podporuje virtualizáciu aplikácií a desktopov Windows a Linux.
Ako cloudová služba Citrix Cloud, služba Virtual Apps and Desktops obsahuje tie isté komponenty, ktoré má tradičný (ne-cloudový) Virtual Apps and Desktops, ako je znázornené na obrázku nižšie. Rozdiel spočíva v tom, že všetky riadiace komponenty (control plane) sú v prípade služby umiestnené v cloude Citrix Cloud. Zákazník už nemusí nasadzovať a spravovať tieto komponenty, zabezpečenie výpočtových zdrojov pre ne zabezpečuje spoločnosť Citrix.
Na svojej strane by mal zákazník v lokalizáciách zdrojov nasadiť nasledujúce komponenty:
- Cloud Connectory;
- Kontroléry domény AD;
- Virtual Delivery Agents (VDAs);
- Hypervízory – zvyčajne sú k dispozícii, avšak môžu nastať situácie, kedy sa dá urobiť bez nich;
- Voliteľné komponenty — Citrix Gateway a StoreFront.
Všetky uvedené komponenty, okrem Cloud Connector-ov, si zákazník spravuje samostatne. Je to logické, keďže tu sa nachádza data-plane, pričom sa to najmä týka fyzických uzlov a hypervízorov s VDA, kde sú umiestnené priamo používateľské aplikácie a desktopy.
Cloud Connector-y musia byť nainštalované iba silami zákazníka, ide o veľmi jednoduchý proces vykonávaný z konzoly Citrix Cloud. Ďalšia údržba sa vykonáva automaticky.
Riadenie prístupu
Tento servis poskytuje nasledujúce možnosti:
- SSO (single sign-on) k veľkému množstvu populárnych SaaS aplikácií;
- Filtrovanie prístupu k Internetovým zdrojom;
- Monitorovanie aktivity používateľov na Internete.
SSO klientov k SaaS službám cez Citrix Workspace je pohodlnejšia a bezpečnejšia alternatíva v porovnaní s bežným prístupom cez prehliadač. Zoznam podporovaných SaaS aplikácií je pomerne veľký a neustále sa rozširuje.
Filtrovanie prístupu na Internet môže byť nastavené na základe ručne vytváraných bielych alebo čiernych zoznamov stránok. Okrem toho sa podporuje rozdelenie prístupu podľa kategórií stránok na základe rozsiahlych aktualizovaných komerčných zoznamov URL. Používateľom môže byť obmedzený prístup k takýmto kategóriám stránok, ako sú sociálne siete, nakupovanie, pre dospelých, škodlivý software, torrenty, proxy a pod.
Okrem povolenia prístupu na stránky/SaaS priamo alebo blokovania prístupu k nim existuje možnosť presmerovať klientov na Secure Browser. T.j. na zníženie rizík bude prístup k vybraným kategóriám/zoznamom Internetových zdrojov možný iba cez Secure Browser.
Servis tiež poskytuje podrobnú analytiku na monitorovanie aktivity používateľov na internete: navštevované stránky a aplikácie, nebezpečné zdroje a útoky, zablokovaný prístup, objemy nahraných/stiahnutých dát.
Secure Browser
Umožňuje publikovať pre používateľov Citrix Workspace internetový prehliadač (Google Chrome) vo forme virtuálnej aplikácie. Secure Browser – je SaaS služba, ktorú spravuje a udržiava spoločnosť Citrix. Jeho celé umiestnenie je v Citrix Cloud (vrátane data-plane), zákazník ho nemusí nasadzovať ani spravovať vo vlastných umiestneniach zdrojov.
Citrix sa zameriava na prideľovanie zdrojov vo svojom cloude pre VDA, na ktorých sú umiestnené pre klientov sprístupnené prehliadače, zabezpečuje bezpečnosť a aktualizáciu OS aj samotných prehliadačov.
Prístup klientov k Secure Browser sa realizuje prostredníctvom aplikácie Workspace alebo klientskej verzie prehliadača. Séria je šifrovaná pomocou TLS. Na využívanie služby si klient nemusí nič sťahovať a inštalovať.
Webové stránky a aplikácie, ktoré sú spustené cez Secure Browser, fungujú v cloude, klient len dostáva obraz z terminálovej relácie, na koncovom zariadení sa nevykonáva žiadna činnosť. To výrazne zvyšuje úroveň bezpečnosti a chráni pred prehliadačovými útokmi.
Pripojenie služby a jej správa sa realizuje prostredníctvom ovládacieho panela zákazníka Citrix Cloud. Pripojenie sa vykonáva v pár kliknutiach:
Správa je tiež pomerne jednoduchá, spočíva v nastavení politík a bielych zoznamov:
Politika umožňuje regulovať nasledujúce parametre:
- Clipboard – umožňuje aktivovať funkciu kopírovania a vkladania v prehliadačovej relácii;
- Printing – možnosť ukladať webové stránky na klientské zariadenie vo formáte PDF;
- Non-kiosk – predvolene zapnutá, umožňuje plnohodnotné používanie prehliadača (viacero záložiek, adresný riadok);
- Region failover – možnosť reštartovať prehliadač v inom regióne Citrix Cloud pri páde primárneho regiónu;
- Client drive mapping – možnosť pripojenia disku klientského zariadenia na sťahovanie alebo nahrávanie súborov v prehliadačovej relácii.
Biele zoznamy (Whitelists) umožňujú nastaviť zoznam webových stránok, ku ktorým budú mať klienti prístup. Prístup k zdrojom mimo tohto zoznamu bude zakázaný.
Content Collaboration
Táto služba poskytuje možnosť zdieľaného prístupu používateľov Workspace k súborom a dokumentom umiestneným na interných zdrojoch zákazníka (on-premises) a podporovaných verejných cloudových službách. Môžu to byť osobné priečinky používateľa, podnikové sieťové zdieľania, dokumenty SharePoint alebo také cloudové úložiská ako OneDrive, DropBox alebo Google Drive.
Služba poskytuje SSO na prístup k údajom na všetkých typoch úložných zdrojov. Používatelia Citrix Workspace získavajú bezpečný prístup k pracovným súborom zo svojich zariadení nielen v kancelárii, ale aj na diaľku, bez akýchkoľvek dodatočných komplikácií.
Content Collaboration poskytuje nasledujúce možnosti práce s údajmi:
- zdieľanie súborov medzi zdrojmi Workspace a klientským zariadením (sťahovanie a nahrávanie),
- synchronizácia súborov používateľa na všetkých zariadeniach,
- spoločný prístup k súborom a ich synchronizácia pre viacerých používateľov Workspace,
- nastavenie práv prístupu k súborom a priečinkom pre ostatných používateľov Workspace,
- žiadosti o prístup k súborom, vytváranie odkazov na bezpečné nahrávanie (upload) súborov.
Okrem toho sa poskytujú ďalšie mechanizmy ochrany:
- prístup k súborom pomocou jednorazových hesiel,
- šifrovanie súborov,
- označovanie zdieľaných súborov vodotlačou (watermark).
Endpoint Management
Tento servis poskytuje potrebnú funkčnosť pre digitálne pracovné miesta na správu mobilných zariadení (Mobile Device Management - MDM) a aplikácií (Mobile Application Management - MAM). Citrix ho pozicionuje ako SaaS-EMM riešenie – Podnikové mobilné riadenie ako služba.
Funkčnosť MDM umožňuje:
- distribúciu aplikácií, politiky zariadení, certifikáty na pripojenie k zdrojom zákazníka,
- sledovanie zariadení,
- blokovanie a vykonanie úplného alebo čiastočného vymazania (wipe) zariadení.
Funkčnosť MAM umožňuje:
- zabezpečenie aplikácií a údajov na mobilných zariadeniach,
- doručovanie podnikového mobilného softvéru.
Z hľadiska architektúry a princípu poskytovania služby zákazníkovi je Endpoint Management veľmi podobný vyššie popísanému cloudovému variantu Virtual Apps and Desktops. Control Plane a jej služby sú umiestnené v Citrix Cloud, o ich údržbu sa stará Citrix, čo umožňuje považovať túto službu za SaaS.
Data Plane v umiestneniach zdrojov zákazníka zahŕňa:
- Cloud Connector-y potrebné na interakciu s cloudom Citrix,
- Citrix Gateway-e, zabezpečujúce bezpečný vzdialený prístup používateľov k vnútorným zdrojom zákazníka (aplikácie, údaje) a funkčnosť mikro-VPN,
- Active Directory, PKI
- Exchange, súbory, virtuálne aplikácie a plochy.
Brána
Citrix Gateway zabezpečuje nasledujúcu funkčnosť:
- zariadenie vzdialeného prístupu – bezpečné pripojenie k podnikovým zdrojom pre mobilných a vzdialených používateľov mimo chráneného perimetra,
- IdAM-provodca (Identity and Access Management) na zabezpečenie SSO k podnikovým zdrojom.
Pod firemnými zdrojmi v tomto kontexte rozumieme nielen virtuálnym aplikáciám a desktopom, ale aj mnohým SaaS aplikáciám.
Na optimalizáciu sieťového prenosu a získanie funkčnosti micro VPN je potrebné nasadenie Citrix Gateway na každom z umiestnení zdrojov, zvyčajne v DMZ. V takom prípade prechádza zabezpečenie potrebných zdrojov a ich údržba na plecia zákazníka.
Alternatívny variant – použitie Citrix Gateway ako služby Citrix Cloud, v tomto prípade sa od zákazníka nevyžaduje nič nasadiť a údržbovať, Citrix to robí vo svojom cloude.
Analytika
Je to analytická služba Citrix Cloud, integrovaná so všetkými vyššie opísanými cloudovými službami. Je určená na zber údajov generovaných službami Citrix a ich analýzu pomocou zabudovaných mechanizmov strojového učenia. Zohľadňujú sa pritom metriky súvisiace s používateľmi, aplikáciami, súbormi, zariadeniami a sieťou.
V dôsledku toho sa vytvárajú správy týkajúce sa bezpečnosti, výkonu a používateľských operácií.
Okrem tvorby štatistických správ má Citrix Analytics schopnosť konať proaktívne. To spočíva vo vytváraní profilov normálneho správania používateľov a identifikácii anomálií. Ak používateľ začne nekonvenčne používať aplikáciu alebo aktívne zdieľať údaje, môže byť automaticky zablokovaný, rovnako ako jeho zariadenie. To isté sa stane v prípade prístupu k nebezpečným internetovým zdrojom.
Pozornosť sa venuje nielen bezpečnosti, ale aj výkonu. Analytika umožňuje monitorovať a rýchlo riešiť problémy súvisiace s dlhým prihlásením používateľov a sieťovými oneskoreniami.
Záver
Oboznámili sme sa s architektúrou cloudu Citrix, platformou Workspace a jej hlavnými službami potrebnými na organizáciu infraštruktúry digitálnych pracovných miest. Je potrebné poznamenať, že sme sa nevenovali všetkým službám Citrix Cloud, obmedzili sme sa na základný súbor pre organizáciu digitálneho pracovného priestoru. služieb cloudu Citrix taktiež zahŕňa sieťové nástroje, ďalšie funkcie pre prácu s aplikáciami a pracovnými miestami.
Je tiež potrebné povedať, že hlavnú funkčnosť digitálnych pracovných miest je možné nasadiť aj bez Citrix Cloud, výhradne on-premises. Základný produkt Virtual Apps and Desktops je naďalej k dispozícii v klasickej verzii, keď nie len VDA, ale aj všetky riadiace služby zákazník nasadzuje a spravuje na svojej lokalite samostatne, v takom prípade nie sú potrebné žiadne Cloud Connector-y. Týka sa to aj Endpoint Management – jeho on-premises predchodca sa nazýva XenMobile Server, hoci v cloudovej verzii je o niečo funkčnejší. Časť možností Access Control môže zákazník tiež implementovať na svojej lokalite. Funkcionalita Secure Browser môže byť implementovaná on-premises, pričom výber prehliadača zostáva na zákazníkovi.
Usilovanie o úplné nasadenie na vlastnej lokalite je dobré z pohľadu bezpečnosti, kontroly a sankčného nedôvery voči buržujským cloudom. Avšak bez Citrix Cloud bude funkčnosť Content Collaboration a Analytics úplne nedostupná. Funkcionalita iných riešení Citrix on-premises, ako bolo uvedené vyššie, môže zaostávať za ich cloudovou realizáciou. A najdôležitejšie – rovinu správy bude nutné držať vo vlastnej réžii a spravovať ju samostatne.
Užitočné odkazy:
, vrátane Citrix Cloud
– technické videá, články a diagramy
Zdroj: habr.com
