🥇Arkitektur för Digital Workspace på Citrix Cloud-plattformen

Introduktion

Artikeln beskriver möjligheterna och arkitekturens speciella drag hos Citrix Cloud, samt uppsättningen av Citrix Workspace-tjänster. Dessa lösningar är centrala element och grunden för implementeringen av konceptet digitala arbetsytor från Citrix.

I denna artikel har jag försökt att reda ut och formulera orsakssamband mellan Citrixs molnplattformar, tjänster och prenumerationer, vars beskrivning i offentliga källor från företaget (citrix.com och docs.citrix.com) ibland kan verka mycket otydlig. Molnteknik – på annat vis verkar det inte fungera! Det är värt att notera att arkitekturen och teknologierna generellt är rimligt presenterade. Svårigheterna uppstår i att förstå den hierarkiska relationen mellan tjänsterna och plattformarna:

vilken plattform är primär – Citrix Cloud eller Citrix Workspace Platform?
vilken av de ovan nämnda plattformarna innehåller de många Citrix-tjänster som behövs för att bygga upp infrastrukturen för digitala arbetsytor?
vad kostar detta nöje och på vilka sätt kan man få det?
är det möjligt att implementera alla funktioner i Citrix digitala arbetsyta utan att använda Citrix Cloud?

Svar på dessa frågor och en introduktion till Citrix-lösningarna för digitala arbetsytor finns under inlägget.

Citrix Cloud

Citrix Cloud är en molnplattform där alla tjänster som behövs för att organisera digitala arbetsytor finns. Detta moln ägs av Citrix, som också ansvarar för dess underhåll och säkerställer den angivna SLA (tillgänglighet av tjänster – minst 99,5% per månad).

Kunder (klienter) till Citrix får, beroende på den valda prenumerationen (paket av tjänster), tillgång till ett visst utbud av tjänster enligt SaaS-modellen. För dem fungerar Citrix Cloud som en molnpanel för att hantera företagets digitala arbetsytor. Citrix Cloud har en multi-tenant arkitektur, där kunder och deras infrastrukturer är isolerade från varandra.

Citrix Cloud fungerar som en kontrollplan, där många av Citrixs molntjänster, inklusive tjänster för infrastrukturens digitala arbetsmiljö, finns. Dataplanet, som inkluderar användarapplikationer, skrivbord och data, finns utanför Citrix Cloud. Det enda undantaget är Secure Browser Service, som erbjuds helt i molnmodell. Dataplanet kan finnas i kundens datacenter (on-premises), i tjänsteleverantörens datacenter, eller i hyperskaliga moln (AWS, Azure, Google Cloud). Blandade och distribuerade lösningar är möjliga, där kundens data finns på flera platser och i olika moln, samtidigt som de centralt hanteras från Citrix Cloud.

Denna metod har flera uppenbara fördelar för kunderna:

friheten att välja plats för datalagring;
möjligheten att skapa en hybrid distribuerad infrastruktur med många placeringar hos olika leverantörer, i flera moln och on-premises;
avsaknad av omedelbar åtkomst till användardata från Citrix, eftersom de finns utanför Citrix Cloud;
möjligheten att själv ställa in nödvändig nivå av prestanda, redundans, tillförlitlighet, sekretess, integritet och tillgänglighet för data; efter detta välja lämpliga platser för lagring;
ingen nödvändighet att placera och underhålla många digitala arbetsplatsers styrtjänster, eftersom alla finns i Citrix Cloud och är Citrixs huvudvärk; vilket i sin tur minskar kostnaderna.

Citrix Workspace

Citrix Workspace är ett transcendent koncept, grundläggande och heltäckande. Låt oss titta närmare på det så att det blir tydligt varför.

Övergripande representerar Citrix Workspace konceptet för digitala arbetsplatser från Citrix. Det är både en lösning, en tjänst och en uppsättning tjänster för att skapa en integrerad, säker, bekväm och hanterad arbetsmiljö.

Användare får möjlighet till sömlös SSO för snabb åtkomst till applikationer/tjänster, skrivbord och data från en enda konsol på vilken enhet som helst för produktivt arbete. De kan glatt glömma bort flera konton, lösenord och svårigheter med att hitta applikationer (genvägar, Startmeny, webbläsare – allt på olika ställen).

IT-avdelningen får verktyg för centraliserad hantering av tjänster och klientenheter, säkerställande av säkerhet, kontroll av åtkomst, övervakning, uppdatering, optimering av nätverksinteraktion och analys.

Citrix Workspace möjliggör enhetlig åtkomst till följande resurser:

Citrix Virtual Apps and Desktops – virtualisering av applikationer och skrivbord;
Webbapplikationer;
Molnbaserade SaaS-applikationer;
Mobilapplikationer;
Filer i olika lagringsutrymmen, inklusive molntjänster.

Åtkomst till resurser i Citrix Workspace sker via:

Standardwebbläsare – stöder Chrome, Safari, MS IE och Edge, Firefox
eller den "inhemska" klientapplikationen – Citrix Workspace App.

Åtkomst är möjlig från alla populära klientenheter:

Fullständiga datorer som kör Windows, Linux, MacOS och till och med Chrome OS;
Mobilenheter med iOS eller Android.

Citrix Workspace Platform är en del av många molntjänster i Citrix Cloud, avsedda för att organisera digitala arbetsytor. Det bör noteras att Workspace inkluderar de flesta tjänster som finns i Citrix Cloud, som vi kommer att gå igenom mer ingående senare.

Således får slutanvändarna funktionalitet för digitala arbetsplatser på sina favoritklientenheter via Workspace App eller dess webbläsarversion (Workspace App för HTML5). För att uppnå denna funktionalitet erbjuder Citrix Workspace Platform som en uppsättning molntjänster, som företagets administratörer styr via Citrix Cloud.

Citrix Workspace finns i tre paket: Standard, Premium, Premium Plus. De skiljer sig åt i antal tjänster som ingår i paketet. Det finns också möjlighet att köpa vissa tjänster separat, utanför paketet. Till exempel, den grundläggande tjänsten Virtual Apps and Desktops ingår endast i paketet Premium Plus, och dess separata kostnad är högre än paketet Standard och nästan lika med Premium.

Det visar sig att Workspace är både klientapplikationen – Workspace App, och den molnbaserade plattformen (en del av den) – Workspace Platform, och namnet på olika paket av tjänster, samt konceptet för digitala arbetsplatser från Citrix som helhet. Så här mångfacetterad är denna entitet.

Arkitektur och systemkrav

I strukturen för Digital Workspace från Citrix kan man grovt dela in det i tre områden:

Mängder av klientenheter med Workspace App eller webbläsartillgång till de digitala arbetsplatserna.
Workspace Platform direkt i Citrix Cloud, som finns någonstans på Internet i domänen cloud.com.
Resursplatser (resource location) – egna eller hyrda platser, privata eller offentliga moln, där resurser med applikationer, virtuella skrivbord och kunddata placeras och publiceras i Citrix Workspace. Detta är själva data-plane som nämndes tidigare, kom ihåg att en kund kan ha flera resursplatser.

Exempel på resurser kan vara hypervisorer, servrar, nätverksenheter, AD-domäner och andra element som behövs för att tillhandahålla användarna de relevanta tjänsterna för digitala arbetsplatser.

Ett distribuerat infrastruktur-scenario kan innehålla:

flera resursplatser i kundens egna datacenter,
platser i offentliga moln,
små resursplatser i avlägsna filialer.

Vid planering av resursplatser bör man ta hänsyn till:

nära avstånd till användare, data och applikationer;
möjlighet till skalbarhet, inklusive snabb upp- och nedskalning av resurser;
säkerhetskrav och regleringar.

Kommunikationen mellan Citrix Cloud och kundens resursplatser sker genom komponenter som kallas Citrix Cloud Connector. Dessa komponenter gör det möjligt för kunden att fokusera på att underhålla de resurser som tillhandahålls till användarna och glömma besvären med tjänster och styrsystem som redan är implementerade i molnet och stöds av Citrix.

För belastningsutjämning och redundans rekommenderas det att minst två Cloud Connector installeras i varje resursläge. Cloud Connector kan installeras på en dedikerad fysisk eller virtuell maskin med Windows Server (2012 R2 eller 2016). Det är önskvärt att placera dem i det interna nätverket av resursläget, inte i DMZ.

Cloud Connector autentiserar och krypterar trafiken mellan Citrix Cloud och resursläget via https, standardmässigt – TCP port 443. Endast utgående sessioner är tillåtna – från Cloud Connector till molnet, inkommande anslutningar är förbjudna.

Citrix Cloud kräver att Active Directory (AD) finns i kundens infrastruktur. AD fungerar som huvud IdAM-leverantör och är nödvändig för att auktorisera användartillgång till Workspace-resurser. Cloud Connector måste ha tillgång till AD. För redundans är det en god praxis att ha ett par domänkontrollanter i varje resursläge som interagerar med Cloud Connector i det aktuella läget.

Citrix Cloud-tjänster

Nu ska vi fokusera på de grundläggande tjänsterna i Citrix Cloud, som ligger till grund för plattformen Citrix Workspace och möjliggör för kunder att implementera fullständiga digitala arbetsplatser.

Låt oss titta på syftet och funktionaliteten hos dessa tjänster.

Virtual Apps and Desktops

Detta är den grundläggande tjänsten i Citrix Digital Workspace, som tillhandahåller terminalåtkomst till applikationer och en fullständig VDI. Den stöder virtualisering av Windows- och Linux-applikationer och -datorer.

Som en molntjänst har Citrix Cloud-tjänsten för Virtual Apps and Desktops samma komponenter som den traditionella (icke-molnbaserade) Virtual Apps and Desktops, som visas i bilden nedan. Skillnaden är att alla styrkomponenter (control plane) i tjänsten ligger i Citrix Cloud. Kunden behöver inte längre implementera och underhålla dessa komponenter eller allokera beräkningsresurser för dem; det hanteras av Citrix.

På sin sida måste kunden i resurslägena implementera följande komponenter:

Cloud Connector;
AD-domänkontrollanter;
Virtual Delivery Agents (VDAs);
Hypervisorer – i regel finns de, men det förekommer situationer där man kan klara sig med fysiska maskiner;
Valfria komponenter – Citrix Gateway och StoreFront.

Alla nämnda komponenter, förutom Cloud Connector, hanteras av kunden själv. Detta är logiskt eftersom det handlar om data-planen, särskilt vad gäller fysiska noder och hypervisorer med VDA, där användarapplikationer och skrivbord direkt placeras.

Cloud Connector måste endast installeras av kunden, detta är en mycket enkel procedur som utförs från Citrix Cloud-konsolen. Vidare underhåll sker automatiskt.

Åtkomstkontroll

Denna tjänst erbjuder följande möjligheter:

SSO (single sign-on) till ett stort antal populära SaaS-applikationer;
Filtrering av åtkomst till internetresurser;
Övervakning av användarnas aktivitet på internet.

SSO för kunder till SaaS-tjänster via Citrix Workspace är en mer bekväm och säker lösning jämfört med vanlig åtkomst via webbläsaren. Listan över stödda SaaS-applikationer är ganska stor och utökas ständigt.

Filtrering av åtkomst till internet kan konfigureras baserat på manuellt skapade vita eller svarta listor. Dessutom stödjer det åtkomstbegränsningar efter kategorier av webbplatser, baserat på omfattande och uppdaterade kommersiella URL-listor. Användare kan begränsas i sin åtkomst till kategorier som sociala medier, inköp, vuxeninnehåll, skadlig programvara, torrenter, proxy osv.

Förutom att tillåta direkt åtkomst till webbplatser/SaaS eller blockera åtkomst finns möjligheten att omdirigera kunder till Secure Browser. Det vill säga, för att minska risker kommer åtkomsten till utvalda kategorier/listor av internetresurser bara att vara möjlig genom Secure Browser.

Tjänsten ger också detaljerad analys för att övervaka användarnas aktivitet på internet: besökta webbplatser och applikationer, farliga resurser och attacker, blockerad åtkomst, volym av laddade/nedladdade data.

Secure Browser

Möjliggör publicering av en internetwebbläsare (Google Chrome) som ett virtuellt program för användare av Citrix Workspace. Secure Browser är en SaaS-tjänst som hanteras och underhålls av företaget Citrix. Den är helt placerad i Citrix Cloud (inklusive data-plan), kunden behöver inte implementera och underhålla den i sina egna resursutrymme.

Citrix ansvarar för att tilldela resurser i sitt moln för VDA, där de publika webbläsarna för kunderna placeras, och säkerställer säkerhet och uppdatering av operativsystemet och webbläsarna.

Kundernas åtkomst till Secure Browser sker genom Workspace-appen eller en klientwebbläsare. Sessionen är krypterad med TLS. För att använda tjänsten behöver kunden inte ladda ner eller installera något.

Webbplatser och webbapplikationer som körs via Secure Browser går i molnet, kunden får bara en bild av terminalsessionen, ingenting körs på den slutliga enheten. Detta ökar säkerhetsnivån avsevärt och skyddar mot webbläsarattacker.

Anslutning till tjänsten och hantering av den sker via Citrix Clouds kundpanel. Anslutningen görs med några få klick:

Hanteringen är också ganska enkel, den består av att ställa in policyer och vitlistor:

Policyn gör det möjligt att reglera följande parametrar:

Klippbord – möjliggör att kopiera och klistra in i webbläsarsessionen;
Utskrift – möjlighet att spara webbsidor på kundens enhet i PDF-format;
Non-kiosk – är som standard aktiverad och ger möjlighet till fullständig webbläsaranvändning (flera flikar, adressrad);
Region failover – möjlighet att starta om webbläsaren i ett annat Citrix Cloud-region vid ett fel i den primära regionen;
Klientdrivkarta – möjlighet att montera disken från kundens enhet för att ladda ner eller ladda upp filer från webbläsarsessionen.

Vitlistor (Whitelists) gör det möjligt att ange en lista över webbplatser som kunderna får tillgång till. Åtkomst till resurser utanför denna lista kommer att förbjudas.

Innehållssamarbete

Denna tjänst möjliggör gemensam åtkomst för användare av Workspace till filer och dokument som finns på kundens interna resurser (on-premises) och stöds av offentliga molntjänster. Det kan vara användarens personliga mappar, företagsnätverksdelningar, dokument i SharePoint eller molnarkiv som OneDrive, DropBox eller Google Drive.

Tjänsten erbjuder SSO för åtkomst till data på alla typer av lagringsresurser. Användare av Citrix Workspace får säker åtkomst till arbetsfiler från sina enheter, inte bara på kontoret utan också på distans, utan några extra svårigheter.

Innehållssamarbete erbjuder följande funktioner för databehandling:

filutbyte mellan Workspace-resurser och kundens enhet (nedladdning och uppladdning),
synkronisering av användarens filer på alla enheter,
delning av filer och deras synkronisering för flera användare i Workspace,
inställning av åtkomsträttigheter till filer och mappar för andra användare i Workspace,
begäran om åtkomst till filer, generering av länkar för säker uppladdning av filer.

Dessutom tillhandahålls ytterligare skyddsmekanismer:

åtkomst till filer via engångslösenord,
kryptering av filer,
försörjning av delade filer med vattenstämplar.

Slutpunktsförvaltning

Denna tjänst tillhandahåller den funktionalitet som krävs för digitala arbetsplatser för hantering av mobila enheter (Mobile Device Management - MDM) och applikationer (Mobile Application Management - MAM). Citrix positionerar det som en SaaS-EMM-lösning - Enterprise Mobility Management som en tjänst.

MDM-funktionaliteten gör det möjligt att:

distribuera applikationer, enhetspolicyer, certifikat för anslutning till kundens resurser,
hålla reda på enheter,
blockera och utföra fullständig eller partiell radering (wipe) av enheter.

MAM-funktionaliteten gör det möjligt att:

säkerställa säkerheten för applikationer och data på mobila enheter,
leverera företagsmobila applikationer.

Beträffande arkitektur och principen för att tillhandahålla tjänsten till kunden liknar slutpunktsförvaltningen den ovan nämnda molnvarianten av virtuella appar och skrivbord. Kontrollplanet och de tjänster som ingår i det finns i Citrix Cloud, och de underhålls av Citrix, vilket gör det möjligt att betrakta denna tjänst som SaaS.

Dataplanen i kundens resurslokaler inkluderar:

Cloud Connectors som är nödvändiga för att interagera med Citrix-molnet,
Citrix Gateways, som tillhandahåller säker fjärråtkomst för användare till kundens interna resurser (applikationer, data) och mikro-VPN-funktionalitet,
Active Directory, PKI
Exchange, filer, virtuella applikationer och skrivbord.

Gateway

Citrix Gateway erbjuder följande funktionalitet:

fjärråtkomstgateway - säker anslutning till företagsresurser för mobila och fjärranvändare utanför en skyddad perimter,
IdAM-leverantör (Identity and Access Management) för att tillhandahålla SSO till företagsresurser.

Med företagsresurser avses i detta sammanhang inte bara virtuella applikationer och skrivbord, utan även många SaaS-applikationer.

För att optimera nätverkstrafik och få funktionalitet av micro VPN krävs en distribution av Citrix Gateway på varje resursplats, vanligtvis i DMZ. I så fall ligger ansvaret för att tillhandahålla nödvändig kapacitet och underhåll på kunden.

Ett alternativt alternativ är att använda Citrix Gateway som en tjänst i Citrix Cloud; i detta fall behöver kunden inte själv distribuera eller underhålla något, det sköter Citrix i sitt moln.

Analys

Detta är en analytisk tjänst från Citrix Cloud, integrerad med alla de ovan nämnda molntjänsterna. Den är avsedd för att samla in data som genereras av Citrix-tjänster och analysera den genom inbyggda maskininlärningsmekanismer. Detta tar hänsyn till mätvärden relaterade till användare, applikationer, filer, enheter och nätverk.

Resultatet är rapporter om säkerhet, prestanda och användaroperationer.

Förutom att generera statistiska rapporter kan Citrix Analytics också agera proaktivt. Detta innebär att skapa profiler för normalt användarbeteende och upptäckta avvikelser. Om en användare börjar använda en applikation på ett icke-standardiserat sätt eller aktivt delar data kan hen och henens enhet automatiskt blockeras. Detsamma gäller vid åtkomst till farliga internetresurser.

Fokus ligger inte bara på säkerhet utan även på prestanda. Analysverktyg möjliggör övervakning och snabb lösning av problem relaterade till lång inloggningstider för användare och nätverksfördröjningar.

Slutsats

Vi har bekantat oss med arkitekturen för Citrix-molnet, plattformen Workspace och dess grundläggande tjänster som behövs för att organisera infrastrukturen för digitala arbetsplatser. Det bör noteras att vi inte har täckt alla tjänster i Citrix Cloud, utan nöjt oss med det grundläggande urvalet för att skapa en digital arbetsyta. Fullständig lista över Citrix-molnets tjänster omfattar också nätverksverktyg och ytterligare funktioner för att hantera applikationer och arbetsplatser.

Det är också värt att nämna att den primära funktionaliteten hos digitala arbetsplatser kan implementeras utan Citrix Cloud, helt och hållet lokalt. Grunden för Virtual Apps and Desktops finns fortfarande i den klassiska versionen, där kunden självständigt implementerar och underhåller både VDA och alla hanteringstjänster på sin egen plats, ingen Cloud Connector behövs i så fall. Samma gäller för Endpoint Management – dess lokala förfader kallas XenMobile Server, men i den molnbaserade versionen är det lite mer funktionellt. Vissa funktioner i Access Control kan kunden också implementera på sin plats. Funktionsmöjligheten hos Secure Browser kan implementeras lokalt, och valet av webbläsare står kvar hos kunden.

Strävan att få allt installerat på sin egen plats är bra ur säkerhetssynpunkt, kontroll och misstro mot dyra molntjänster. Men utan Citrix Cloud kommer funktionaliteten för Content Collaboration och Analytics att vara helt otillgänglig. Funktionaliteten hos andra Citrix-lösningar lokalt, som nämnts ovan, kan vara underlägsen dess molnimplementering. Och viktigast av allt – kontrollplanet måste hållas på plats och underhållas av kunden själv.