🥇Arhitektura Digital Workspace na platformi Citrix Cloud

Uvod

Članek opisuje možnosti in arhitekturne značilnosti oblačne platforme Citrix Cloud in niza storitev Citrix Workspace. Ta rešitev je osrednji element in osnova za izvajanje koncepta digitalnih delovnih mest podjetja Citrix.

V tem članku sem poskušal razjasniti in oblikovati vzročno-posledične povezave med oblačnimi platformami, storitvami in naročninami Citrix, katere opis je v odprtih virih družbe (citrix.com in docs.citrix.com) včasih zelo nejasen. Oblačne tehnologije – očitno jih ni mogoče razumeti drugače! Treba je omeniti, da sta arhitektura in tehnologija v splošnem razkrite razumljivo. Težave nastanejo pri razumevanju hierarhične medsebojne povezanosti med storitvami in platformami:

katera platforma je primarna – Citrix Cloud ali Citrix Workspace Platform?
v katero od zgoraj navedenih platform so vključene številne storitve Citrix, potrebne za izgradnjo infrastrukture digitalnih delovnih mest?
kako drago je to veselje in v katerih različicah ga lahko pridobite?
ali je mogoče uresničiti vse funkcije digitalnega delovnega mesta Citrix brez uporabe Citrix Cloud?

Odgovori na ta vprašanja in spoznavanje rešitev Citrix za digitalna delovna mesta so pod robom.

Citrix Cloud

Citrix Cloud je oblačna platforma, v kateri so gostovane vse storitve, potrebne za organizacijo digitalnih delovnih mest. To oblačno rešitev neposredno upravlja podjetje Citrix, ki se prav tako ukvarja z njegovo podporo in zagotavlja določeno SLA (razpoložljivost storitev – najmanj 99,5% na mesec).

Stranke (odjemalci) podjetja Citrix, odvisno od izbrane naročnine (paketa storitev), pridobijo dostop do določenega nabora storitev po modelu SaaS. Za njih Citrix Cloud deluje kot oblačna nadzorna plošča za digitalna delovna mesta podjetja. Citrix Cloud ima multi-tenant arhitekturo, odjemalci in njihova infrastruktura so med seboj izolirani.

Citrix Cloud služi kot upravljalska ploskev (control plane), kjer so nameščene številne oblačne storitve Citrix, vključno s storitvami infrastrukture digital workspaces. Ploskev podatkov, ki vključuje uporabniške aplikacije, delovne površine in podatke, se nahaja zunaj Citrix Clouda. Edina izjema je Secure Browser Service, ki je v celoti na voljo v oblaku. Ploskev podatkov je mogoče namestiti v podatkovnem centru naročnika (on-premises), podatkovnem centru ponudnika storitev oziroma v hiperkončnih oblakih (AWS, Azure, Google Cloud). Možna so mešana in porazdeljena rešitev, ko so podatki naročnika shranjeni na več lokacijah in oblakih, pri čemer se upravljanje centralizirano izvaja iz Citrix Clouda.

Takšen pristop prinaša številne očitne prednosti za naročnike:

svoboda izbire lokacije za shranjevanje podatkov;
možnost gradnje hibridne porazdeljene infrastrukture, ki predvideva številne lokacije pri različnih ponudnikih, v več oblakih in on-premises;
brez neposrednega dostopa do uporabniških podatkov s strani Citrixa, saj se ti nahajajo zunaj Citrix Clouda;
možnost samostojno določiti želeno raven zmogljivosti, odpornosti na napake, zanesljivosti, zasebnosti, celovitosti in dostopnosti podatkov; nato izbrati ustrezne lokacije za shranjevanje;
brez potrebe po gostovanju in vzdrževanju številnih storitev za upravljanje digitalnih delovnih mest, saj so te vse shranjene v Citrix Cloudu in predstavljajo skrb Citrixa; kot posledica – znižanje stroškov.

Citrix Workspace

Citrix Workspace je transcendentna, temeljna in obsežna koncept. Poglejmo ga podrobneje, da boste razumeli, zakaj.

Na splošno Citrix Workspace predstavlja koncept digitalnih delovnih mest podjetja Citrix. Gre tako za rešitev, storitev kot za nabor storitev za ustvarjanje združenih, varnih, prijaznih in upravljanih delovnih mest.

Uporabniki imajo možnost brezšivnega SSO za hiter dostop do aplikacij/sistemov, namizij in podatkov iz enotne konzole s kateregakoli naprav za produktivno delo. Z veseljem lahko pozabijo na številne račune, gesla in zaplete pri iskanju aplikacij (ikone, plošča Start, brskalniki – vse na različnih mestih).

IT služba pridobi orodja za centralizirano upravljanje storitev in uporabniških naprav, zagotavljanje varnosti, razmejevanje dostopa, spremljanje, posodabljanje, optimizacijo omrežnega delovanja ter analitiko.

Citrix Workspace omogoča združen dostop do naslednjih virov:

Citrix Virtual Apps and Desktops – virtualizacija aplikacij in namizij;
Spletne aplikacije;
Oblačne SaaS aplikacije;
Mobilne aplikacije;
Datoteke v različnih shranjevanjih, vključno z oblačnimi.

Dostop do virov Citrix Workspace je omogočen preko:

Standardnega brskalnika — podprti so Chrome, Safari, MS IE in Edge, Firefox
ali 'native' odjemalske aplikacije — Citrix Workspace App.

Dostop je mogoč z vseh priljubljenih odjemalskih naprav:

Polnopravni računalniki z operacijskimi sistemi Windows, Linux, MacOS in celo Chrome OS;
Mobilne naprave s sistemoma iOS ali Android.

Citrix Workspace Platform je del številnih oblačnih storitev Citrix Cloud, namenjenih organizaciji digitalnih delovnih prostorov. Omeniti velja, da Workspace vključuje večino storitev, prisotnih v Citrix Cloud, o njih pa se bomo podrobneje pogovorili pozneje.

Tako končni uporabniki pridobijo funkcionalnost digitalnih delovnih mest na svojih najljubših odjemalskih napravah preko Workspace App ali njegove spletne različice (Workspace App za HTML5). Za dosego te funkcionalnosti Citrix ponuja Workspace Platform v obliki niza oblačnih storitev, ki jim administer podjetja upravlja preko Citrix Cloud.

Citrix Workspace je na voljo v treh paketih: Standard, Premium, Premium Plus. Razlikujejo se po številu storitev, vključenih v paket. Prav tako je mogoče kupiti nekatere storitve ločeno, izven paketa. Na primer, osnovna storitev Virtual Apps and Desktops je vključena samo v paket Premium Plus, njena ločena cena pa je višja od paketa Standard in skoraj enaka Premium.

Izgleda da je Workspace i klijentska aplikacija – Workspace App, i oblačna platforma (njen deo) – Workspace Platform, i naziv različitih paketa usluga, kao i koncept digitalnih radnih mesta od Citrix-a u celini. Takva višeznačna entitet.

Arhitektura i sistemski zahtevi

Struktura Digital Workspace-a kompanije Citrix može se podeliti na 3 oblasti:

Mnoštvo klijentskih uređaja sa aplikacijom Workspace App ili putem web pretrage digitalnih radnih mesta.
Sama Workspace Platform u oblačnom servisu Citrix Cloud, koja se nalazi negde u mreži Internet pod domenom cloud.com.
Lokacije resursa (resource location) – sopstvene ili iznajmljene lokacije, privatni ili javni oblaci, u kojima se smeštaju resursi sa aplikacijama, virtuelnim desktopima i podacima korisnika, objavljenim u Citrix Workspace-u. Ovo je onaj data-plane o kojem je ranije bilo reči, a podsetiću da jedan korisnik može imati više resource location-a.

Primere resursa mogu činiti hipervizori, serveri, mrežne uređaje, AD domene i ostali elementi potrebni za pružanje usluga digitalnih radnih mesta korisnicima.

Distribuirani scenarij infrastrukture može pretpostaviti:

nekoliko lokacija resursa u sopstvenim data centrima korisnika,
lokacije u javnim oblacima,
male lokacije u udaljenim filijalama.

Prilikom planiranja lokacija treba uzeti u obzir:

blizinu korisnika, podataka i aplikacija;
mogućnost skaliranja, uključujući osiguranje brzog povećanja i smanjenja kapaciteta;
zahteve za bezbednost i regulative.

Komunikacija između Citrix Cloud i lokacija resursa korisnika vrši se putem komponenti koje se nazivaju Citrix Cloud Connector. Ove komponente omogućavaju korisniku da se fokusira na upravljanje resursima koji se pružaju korisnicima, zaboravljajući na upravljanje servisima koji su već implementirani u oblaku i kojima upravlja Citrix.

Za uravnoteženje obremenitve i otpornosti na greške preporučuje se implementacija najmanje dva Cloud Connector-a u svakoj lokaciji resursa. Cloud Connector može biti instaliran na posvećenom fizičkom ili virtuelnom računaru sa Windows Server-om (2012 R2 ili 2016). Preporučuje se da budu smešteni unutar unutrašnje mreže lokacije resursa, a ne u DMZ.

Cloud Connector autentifikuje i šifruje saobraćaj između Citrix Cloud-a i lokacije resursa putem https-a, standardno – TCP port 443. Dozvoljene su samo izlazne sesije – od Cloud Connector-a ka oblaku, ulazne konekcije su zabranjene.

Citrix Cloud zahteva prisustvo Active Directory (AD) usluge u infrastrukturi klijenta. AD igra ulogu glavnog IdAM provajdera i neophodna je za autorizaciju pristupa korisnika resursima Workspace-a. Cloud Connector-i moraju imati pristup AD-u. Za otpornost na greške, dobra praksa je imati po nekoliko kontrolera domene u svakoj lokaciji resursa, koji će komunicirati sa Cloud Connector-ima te lokacije.

Usuge Citrix Cloud

Sada je vreme da se fokusiramo na osnovne usluge Citrix Cloud-a, koje su temelj platforme Citrix Workspace i omogućavaju klijentima da implementiraju potpune digitalne radne prostore.

Razmotrićemo svrhu i funkcionalnost ovih usluga.

Virtual Apps and Desktops

Ovo je glavna usluga Citrix Digital Workspace-a, koja omogućava terminalni pristup aplikacijama i potpuno VDI. Podržava virtualizaciju Windows i Linux aplikacija i desktopova.

Kao cloud usluga Citrix Cloud-a, Virtual Apps and Desktops servis ima iste komponente kao tradicionalni (ne-cloud) Virtual Apps and Desktops, kao što je prikazano na donjoj ilustraciji. Razlika je u tome što su sve upravljačke komponente (control plane) u slučaju servisa smeštene u oblaku Citrix Cloud-a. Klijent više ne mora da implementira i održava te komponente, niti da im obezbeđuje računarske resurse, to je ono čime se bavi kompanija Citrix.

Sa svoje strane, klijent u lokacijama resursa treba da implementira sledeće komponente:

Cloud Connector-e;
Kontrolere domene AD;
Virtual Delivery Agents (VDAs);
Hipervizore – obično su prisutni, ali postoje situacije kada se može izaći sa fizičkom infrastrukturom;
Opcione komponente — Citrix Gateway i StoreFront.

Vsi navedeni komponenti, razen Cloud Connectorjev, jih naročnik vzdržuje sam. To je smiselno, saj je tukaj data-plane, kar velja zlasti za fizične enote in hipervizorje z VDA, kjer so neposredno nameščene uporabniške aplikacije in namizja.

Cloud Connectorji morajo biti nameščeni le s strani naročnika, postopek je zelo preprost in se izvede iz konzole Citrix Cloud. Nadaljnje vzdrževanje poteka samodejno.

Kontrola pristupa

Ta storitev ponuja naslednje možnosti:

SSO (enotna prijava) za širok spekter priljubljenih SaaS aplikacij;
Filtriranje dostopa do internetnih virov;
Spremljanje aktivnosti uporabnikov na spletu.

SSO strank na SaaS storitve preko Citrix Workspace je bolj priročna in varna alternativa v primerjavi s običajnim dostopom preko brskalnika. Seznam podprtih SaaS aplikacij je dokaj obsežen in se nenehno širi.

Filtriranje dostopa do interneta se lahko nastavi na podlagi ročno ustvarjenih belih ali črnih seznamov spletnih mest. Poleg tega je podprto razlikovanje dostopa po kategorijah spletnih mest, na podlagi obsežnih posodobljenih komercialnih seznamov URL. Uporabnikom se lahko omeji dostop do kategorij spletnih mest, kot so družbena omrežja, nakupi, za odrasle, zlonamerna programska oprema, torrent in podobno.

Poleg dovoljenja dostopa do spletnih mest/SaaS neposredno ali blokiranja dostopa, obstaja možnost preusmeritve strank na Secure Browser. To pomeni, da bo za zmanjšanje tveganj dostop do izbranih kategorij/seznamov internetnih virov mogoč le preko Secure Browser.

Storitev prav tako zagotavlja podrobno analitiko za spremljanje aktivnosti uporabnikov na spletu: obiskane spletne strani in aplikacije, nevarni viri in napadi, blokiran dostop, količine prenesenih/naloženih podatkov.

Secure Browser

Omogoča objavo internetnega brskalnika (Google Chrome) za uporabnike Citrix Workspace v obliki virtualne aplikacije. Secure Browser je SaaS storitev, ki jo upravlja in vzdržuje podjetje Citrix. Celotno je nameščena v Citrix Cloud (vključno z data-plane), naročniku ni treba razvijati in vzdrževati je v njihovih lastnih lokacijah virov.

Citrix skrbi za zagotavljanje virov v svojem oblaku pod VDA, na katerih so na voljo objavljeni brskalniki za stranke, zagotavlja varnost in posodobitve operacijskega sistema ter samih brskalnikov.

Dostop strank do Secure Browserja je omogočen preko aplikacije Workspace ali odjemalskega brskalnika. Seja je šifrirana s TLS. Za uporabo storitve stranke ne potrebujejo ničesar prenesti in namestiti.

Spletne strani in spletne aplikacije, ki jih zažene Secure Browser, tečejo v oblaku, stranka le prejme sliko terminalske seje, na končnem napravstvu se ne izvaja nič. To znatno povečuje raven varnosti in ščiti pred napadi na brskalnik.

Povezava do storitve in njeno upravljanje se izvaja preko nadzorne plošče Citrix Cloud. Povezava je izvedena v nekaj klikih:

Upravljanje je tudi dovolj preprosto, omejeno je le na dodeljevanje politik in bele liste:

Politika omogoča uravnavanje naslednjih parametrov:

Clipboard – omogoča aktivacijo funkcionalnosti kopiranja in lepljenja v brskalniški seji;
Printing – možnost shranjevanja spletnih strani na odjemalsko napravo v formatu PDF;
Non-kiosk – privzeto omogočena, omogoča polno uporabo brskalnika (več zavihkov, naslovna vrstica);
Region failover – možnost ponovnega zagona brskalnika v drugi regiji Citrix Cloud ob padcu glavne regije;
Client drive mapping – možnost montaže diska odjemalske naprave za prenos ali nalaganje datotek iz brskalniške seje.

Bele liste (Whitelists) omogočajo določitev seznama spletnih strani, do katerih bo odprt dostop strank. Dostop do virov zunaj tega seznama bo prepovedan.

Content Collaboration

Ta storitev omogoča skupen dostop uporabnikov Workspace do datotek in dokumentov, ki so na voljo na notranjih virih naročnika (on-premises) ter podprtih javnih oblačnih storitvah. To so lahko osebne mape uporabnika, korporativne omrežne mape, dokumenti SharePoint ali oblačne shrambe, kot so OneDrive, DropBox ali Google Drive.

Storitev zagotavlja SSO za dostop do podatkov na vseh vrstah shranjevanja. Uporabniki Citrix Workspace prejemajo varen dostop do delovnih datotek s svojih naprav, ne le v pisarni, temveč tudi na daljavo, brez dodatnih zapletov.

Content Collaboration nudi naslednje možnosti dela s podatki:

izmenjavo datotek med viri Workspace in uporabnikovim napravam (prenos in nalaganje),
synchronizacijo datotek uporabnika na vseh napravah,
skupno rabo datotek in njihovo synchronizacijo za več uporabnikov Workspace,
nastavitev pravic dostopa do datotek in map za druge uporabnike Workspace,
zahtevati dostop do datotek, ustvarjanje povezav za varno nalaganje datotek.

Poleg tega so zagotovljeni dodatni mehanizmi zaščite:

dostop do datotek s enkratnimi gesli,
šifriranje datotek,
opremljanje skupnih datotek z vodnimi znaki.

Upravljenje končnih točk

Ta storitev zagotavlja funkcionalnost upravljanja mobilnih naprav (Mobile Device Management – MDM) in aplikacij (Mobile Application Management – MAM), potrebno za digitalna delovna mesta. Citrix jo pozicionira kot rešitev SaaS-EMM – upravljanje podjetniške mobilnosti kot storitev.

Funkcionalnost MDM omogoča:

distribucijo aplikacij, pravilnikov naprav, certifikatov za povezovanje z viri strank,
sledenje napravam,
zaklepanje in izvajanje popolnega ali delnega brisanja naprav.

Funkcionalnost MAM omogoča:

zagotavljanje varnosti aplikacij in podatkov na mobilnih napravah,
dostavo podjetniških mobilnih aplikacij.

Z vidika arhitekture in načela zagotavljanja storitve naročniku je Endpoint Management zelo podoben zgoraj opisani oblačni različici Virtual Apps and Desktops. Control Plane in storitve, ki jo tvorijo, se nahajajo v Citrix Cloud, ter jih vzdržuje Citrix, kar omogoča obravnavo te storitve kot SaaS.

Data Plane v lokacijah virov naročnika vključuje:

Cloud Connectorje, potrebne za interakcijo z oblakom Citrix,
Citrix Gatewaye, ki zagotavljajo varen oddaljen dostop uporabnikov do notranjih virov naročnika (aplikacije, podatki) in funkcionalnost mikro-VPN,
Active Directory, PKI
Exchange, datoteke, virtualne aplikacije in namizja.

Prehod

Citrix Gateway zagotavlja naslednje funkcionalnosti:

šalj za oddaljen dostop – varna povezava do podjetniških virov za mobilne in oddaljene uporabnike zunaj zaščitenega perimetra,
IdAM-provajder (Upravljanje identitete in dostopa) za zagotavljanje SSO do podjetniških virov.

Pod korporativnimi resursi se v tem kontekstu razumejo ne le virtualne aplikacije in namizja, temveč tudi številne SaaS aplikacije.

Za optimizacijo omrežnega prometa in pridobitev funkcionalnosti micro VPN je potrebno namestiti Citrix Gateway na vsaki lokaciji virov, običajno v DMZ. V tem primeru je potrebna oskrba potrebnih zmogljivosti in vzdrževanje naloga naročnika.

Alternativna možnost je uporaba Citrix Gateway kot storitve Citrix Cloud, v tem primeru naročnik ne potrebuje ničesar namestiti in vzdrževati, to stori Citrix v svojem oblaku.

Analytics

To je analitična storitev Citrix Cloud, integrirana z vsemi zgoraj opisanimi oblačnimi storitvami. Namenjena je zbiranju podatkov, ki jih generirajo storitve Citrix, in njihovi analizi s pomočjo vgrajenih mehanizmov strojnega učenja. Pri tem se upoštevajo metrike, povezane z uporabniki, aplikacijami, datotekami, napravami in omrežjem.

Kot rezultat se oblikujejo poročila o varnosti, uspešnosti in uporabniških operacijah.

Poleg oblikovanja statističnih poročil Citrix Analytics deluje tudi proaktivno. To vključuje oblikovanje profilov normalnega vedenja uporabnikov in odkrivanje anomaliij. Če uporabnik začne nenavadno uporabljati aplikacijo ali aktivno deli podatke, se lahko on in njegova naprava samodejno blokirata. Enako se zgodi v primeru dostopa do tveganih internetnih virov.

Pozornost se posveča ne le varnosti, temveč tudi uspešnosti. Analitika omogoča spremljanje in hitro reševanje težav, povezanih z dolgim prijavljanjem uporabnikov in omrežnimi zakasnitvami.

Zaključek

Seznanili smo se z arhitekturo oblakov Citrix, platformo Workspace in njenimi glavnimi storitvami, potrebnimi za organizacijo infrastrukture digitalnih delovnih mest. Treba je omeniti, da nismo obravnavali vseh storitev Citrix Cloud, temveč smo se omejili na osnovni nabor za organizacijo digitalnih delovnih mest. Poln seznam storitev oblaka Citrix vključuje tudi omrežne pripomočke, dodatne funkcije za delo z aplikacijami in delovnimi mestih.

Prav tako je potrebno reči, da je osnovno funkcionalnost digitalnih delovnih mest mogoče razporediti tudi brez Citrix Cloud, izključno on-premises. Osnovni izdelek Virtual Apps and Desktops je še vedno na voljo v klasični različici, kjer naročnik samostojno razporedi in vzdržuje ne samo VDA, temveč tudi vse upravljalske storitve na svojem mestu, v tem primeru nobeni Cloud Connectorji niso potrebni. To velja tudi za Endpoint Management – njegov on-premises predhodnik se imenuje XenMobile Server, čeprav je v oblačni različici nekoliko bolj funkcionalen. Naročnik lahko del funkcionalnosti Access Control prav tako izvede na svojem mestu. Funkcionalnost Secure Browser je mogoče implementirati on-premises, pri čemer izbira brskalnika ostaja pri naročniku.

Prizadevanje, da vse razporedimo na svojem mestu, je dobro z vidika varnosti, nadzora in sankcijskega nezaupanja do tujih oblakov. Vendar pa bo brez Citrix Cloud funkcionalnost Content Collaboration in Analytics popolnoma nedostopna. Funkcionalnost drugih rešitev Citrix on-premises, kot je bilo omenjeno zgoraj, lahko zaostaja za njihovo oblačno izvedbo. In kar je najpomembneje – raven upravljanja bo morala ostati pri vas in jo upravljati samostojno.