Environnements de virtualisation Google Cloud
Citrix DaaS (anciennement le service Citrix Virtual Apps and Desktops™) vous permet de provisionner et de gérer des machines sur Google Cloud.
Prérequis
Avant de commencer à provisionner les machines virtuelles sur Google Cloud Platform (GCP), vous devez vous assurer que les prérequis suivants sont remplis.
- L’abonnement Citrix doit inclure la prise en charge des charges de travail hybrides multicloud. Pour plus d’informations, consultez Comparer les fonctionnalités d’abonnement Citrix.
- Le compte administrateur doit disposer des autorisations suffisantes pour créer des connexions d’hôte, des catalogues de machines et des groupes de mise à disposition. Pour plus d’informations, consultez Configurer l’administration déléguée.
- Identifiez un projet Google Cloud dans lequel toutes les ressources de calcul associées au catalogue de machines sont stockées. Il peut s’agir d’un projet existant ou d’un nouveau projet. Pour plus d’informations, consultez Projets Google Cloud.
- Activez les API Google Cloud requises pour l’intégration avec Citrix DaaS. Pour plus d’informations, consultez Activer les API Google Cloud.
- Créez les comptes de service dans Google Cloud et accordez les autorisations appropriées. Pour plus d’informations, consultez Configurer et mettre à jour les comptes de service.
-
- Téléchargez le fichier de clé pour le compte de service Citrix Cloud. Pour plus d’informations, consultez Clé de compte de service Citrix Cloud.
-
- Les machines virtuelles doivent avoir accès aux API Google sans adresse IP publique. Pour plus d’informations, consultez Activer l’accès privé Google.
Projets Google Cloud
-
Il existe principalement deux types de projets Google Cloud :
- Projet de provisioning : dans ce cas, le compte administrateur actuel est propriétaire des machines provisionnées dans le projet. Ce projet est également appelé projet local.
- Projet VPC partagé : projet dans lequel les machines créées dans le projet de provisioning utilisent le VPC du projet VPC partagé. Le compte administrateur utilisé pour les projets de provisioning dispose d’autorisations limitées dans ce projet, spécifiquement, uniquement des autorisations d’utiliser le VPC.
URL des points de terminaison de service
-
Vous devez avoir accès aux URL suivantes :
https://oauth2.googleapis.comhttps://cloudresourcemanager.googleapis.comhttps://compute.googleapis.comhttps://storage.googleapis.comhttps://cloudbuild.googleapis.com
Activer les API Google Cloud
Pour utiliser les fonctionnalités de Google Cloud via Studio, activez ces API dans votre projet Google Cloud :
- Compute Engine API
- Cloud Resource Manager API
- Identity and Access Management (IAM) API
- Cloud Build API
Depuis la console Google Cloud, suivez ces étapes :
- 1. Dans le menu supérieur gauche, sélectionnez **API et services > API et services activés**.
- 1. Sur l’écran **API et services activés**, assurez-vous que l’API Compute Engine est activée. Si ce n’est pas le cas, suivez ces étapes :
- 1. Accédez à **API et services > Bibliothèque**.
- 1. Dans la zone de recherche, saisissez *Compute Engine*.
1. Dans les résultats de la recherche, sélectionnez **API Compute Engine**.
1. Sur la page **API Compute Engine**, sélectionnez **Activer**.
- Activez l’API Cloud Resource Manager.
- Accédez à API et services > Bibliothèque.
- Dans la zone de recherche, saisissez Cloud Resource Manager.
- Dans les résultats de la recherche, sélectionnez API Cloud Resource Manager.
-
- Sur la page API Cloud Resource Manager, sélectionnez Activer. L’état de l’API s’affiche.
-
- De même, activez l’API Identity and Access Management (IAM), l’API Cloud Build et l’API Cloud Key Management Service (KMS).
Vous pouvez également utiliser Google Cloud Shell pour activer les API. Pour ce faire :
- 1. Ouvrez la console Google et chargez le Cloud Shell.
- 1. Exécutez les quatre commandes suivantes dans le Cloud Shell :
- gcloud services enable compute.googleapis.com
- gcloud services enable cloudresourcemanager.googleapis.com
- gcloud services enable iam.googleapis.com
- gcloud services enable cloudbuild.googleapis.com
- gcloud services enable cloudkms.googleapis.com
- Cliquez sur Autoriser lorsque le Cloud Shell vous y invite.
Configurer et mettre à jour les comptes de service
Remarque :
GCP apporte des modifications au comportement par défaut du service Cloud Build et à l’utilisation des comptes de service après le 29 avril 2024. Pour plus d’informations, consultez Modification du compte de service Cloud Build. Vos projets Google existants avec l’API Cloud Build activée avant le 29 avril 2024 ne sont pas affectés par ce changement. Toutefois, si vous souhaitez conserver le comportement existant du service Cloud Build après le 29 avril, vous pouvez créer ou appliquer la stratégie d’organisation pour désactiver l’application de la contrainte avant d’activer l’API Cloud Build. Par conséquent, le contenu suivant est divisé en deux : Avant le 29 avril 2024 et Après le 29 avril 2024. Si vous définissez la nouvelle stratégie d’organisation, suivez la section Avant le 29 avril 2024.
Avant le 29 avril 2024
- Citrix Cloud™ utilise trois comptes de service distincts au sein du projet Google Cloud :
- Compte de service Citrix Cloud : ce compte de service permet à Citrix Cloud d’accéder au projet Google, de provisionner et de gérer les machines. Ce compte de service s’authentifie auprès de Google Cloud à l’aide d’une [clé](https://console.cloud.google.com/iam-admin/serviceaccounts) générée par Google Cloud.
- Vous devez créer ce compte de service manuellement, comme indiqué ici. Pour plus d'informations, consultez [Créer un compte de service Citrix Cloud](/fr-fr/citrix-daas/install-configure/resource-location/google#create-a-citrix-cloud-service-account).
- Vous pouvez identifier ce compte de service par une adresse e-mail. Par exemple, `<my-service-account>@<project-id>.iam.gserviceaccount.com`.
- *Compte de service Cloud Build* : Ce compte de service est provisionné automatiquement après avoir activé toutes les API mentionnées dans [Activer les API Google Cloud](/fr-fr/citrix-daas/install-configure/resource-location/google.html#enable-google-cloud-apis). Pour afficher tous les comptes de service créés automatiquement, accédez à **IAM et administration > IAM** dans la console **Google Cloud** et cochez la case **Inclure les attributions de rôles fournies par Google**.
Vous pouvez identifier ce compte de service par une adresse e-mail qui commence par l'**ID de projet** et le mot **cloudbuild**. Par exemple, `<project-id>@cloudbuild.gserviceaccount.com`
Vérifiez si les rôles suivants ont été attribués au compte de service. Si vous devez ajouter des rôles, suivez les étapes décrites dans [Ajouter des rôles au compte de service Cloud Build](/fr-fr/citrix-daas/install-configure/resource-location/google#add-roles-to-the-cloud-build-service-account).
- Compte de service Cloud Build
- Administrateur d'instances Compute
- Utilisateur de compte de service
- *Compte de service Cloud Compute* : Ce compte de service est ajouté par Google Cloud aux instances créées dans Google Cloud une fois l'API Compute activée. Ce compte dispose du rôle d'éditeur de base IAM pour effectuer les opérations. Cependant, si vous supprimez l'autorisation par défaut pour un contrôle plus granulaire, vous devez ajouter un rôle d'**Administrateur de stockage** qui nécessite les autorisations suivantes :
- resourcemanager.projects.get
- storage.objects.create
- storage.objects.get
- storage.objects.list
Vous pouvez identifier ce compte de service par une adresse e-mail qui commence par l’ID de projet et le mot compute. Par exemple, <project-id>-compute@developer.gserviceaccount.com.
Créer un compte de service Citrix Cloud
Pour créer un compte de service Citrix Cloud, procédez comme suit :
- Dans la console Google Cloud, accédez à IAM et administration > Comptes de service.
- Sur la page Comptes de service, sélectionnez CRÉER UN COMPTE DE SERVICE.
- Sur la page Créer un compte de service, saisissez les informations requises, puis sélectionnez CRÉER ET CONTINUER.
-
Sur la page Accorder à ce compte de service l’accès au projet, cliquez sur le menu déroulant Sélectionner un rôle et sélectionnez les rôles requis. Cliquez sur +AJOUTER UN AUTRE RÔLE si vous souhaitez ajouter d’autres rôles.
Chaque compte (personnel ou de service) possède divers rôles définissant la gestion du projet. Attribuez les rôles suivants à ce compte de service :
- Administrateur de calcul
- Administrateur de stockage
- Éditeur Cloud Build
- Utilisateur de compte de service
- Utilisateur Cloud Datastore
- Opérateur de chiffrement Cloud KMS
L’opérateur de chiffrement Cloud KMS nécessite les autorisations suivantes :
- cloudkms.cryptoKeys.get
- cloudkms.cryptoKeys.list
- cloudkms.keyRings.get
- cloudkms.keyRings.list
- cloudkms.cryptoKeyVersions.useToDecrypt
-
cloudkms.cryptoKeyVersions.useToEncrypt
-
Remarque :
-
Activez toutes les API pour obtenir la liste complète des rôles disponibles lors de la création d’un nouveau compte de service.
-
- Cliquez sur CONTINUER.
-
- Sur la page Accorder aux utilisateurs l’accès à ce compte de service, ajoutez des utilisateurs ou des groupes pour leur accorder l’accès afin d’effectuer des actions dans ce compte de service.
-
- Cliquez sur TERMINÉ.
- Accédez à la console principale IAM.
- Identifiez le compte de service créé.
- Validez que les rôles sont attribués avec succès.
Considérations :
Lors de la création du compte de service, tenez compte des éléments suivants :
- Les étapes **Accorder à ce compte de service l'accès au projet** et **Accorder aux utilisateurs l'accès à ce compte de service** sont facultatives. Si vous choisissez d'ignorer ces étapes de configuration facultatives, le compte de service nouvellement créé ne s'affiche pas sur la page **IAM et administration > IAM**.
- Pour afficher les rôles associés à un compte de service, ajoutez les rôles sans ignorer les étapes facultatives. Ce processus garantit que les rôles apparaissent pour le compte de service configuré.
Clé de compte de service Citrix Cloud
La clé de compte de service Citrix Cloud est requise pour créer une connexion dans Citrix DaaS. La clé est contenue dans un fichier d’informations d’identification (.json). Le fichier est automatiquement téléchargé et enregistré dans le dossier Téléchargements après la création de la clé. Lorsque vous créez la clé, assurez-vous de définir le type de clé sur JSON. Sinon, Studio ne peut pas l’analyser.
- Pour créer une clé de compte de service, accédez à **IAM et administration > Comptes de service** et cliquez sur l'adresse e-mail du compte de service Citrix Cloud. Basculez vers l'onglet **Clés** et sélectionnez **Ajouter une clé > Créer une nouvelle clé**. Assurez-vous de sélectionner **JSON** comme type de clé.
- > **Conseil :** > > Créez des clés à l'aide de la page **Comptes de service** dans la console Google Cloud. Nous vous recommandons de modifier régulièrement les clés à des fins de sécurité. Vous pouvez fournir de nouvelles clés à l'application Citrix Virtual Apps and Desktops en modifiant une connexion Google Cloud existante.
Ajouter des rôles au compte de service Citrix Cloud
Pour ajouter des rôles au compte de service Citrix Cloud :
- Dans la console Google Cloud, accédez à IAM et administration > IAM.
-
Sur la page IAM > AUTORISATIONS, localisez le compte de service que vous avez créé, identifiable par une adresse e-mail.
Par exemple,
<my-service-account>@<project-id>.iam.gserviceaccount.com
-
- Sélectionnez l’icône en forme de crayon pour modifier l’accès au compte principal du compte de service.
-
- Sur la page Modifier l’accès à “project-id” pour l’option de principal sélectionnée, sélectionnez AJOUTER UN AUTRE RÔLE pour ajouter les rôles requis à votre compte de service un par un, puis sélectionnez ENREGISTRER.
Ajouter des rôles au compte de service Cloud Build
Pour ajouter des rôles au compte de service Cloud Build :
- Dans la console Google Cloud, accédez à IAM et administration > IAM.
-
Sur la page IAM, localisez le compte de service Cloud Build, identifiable par une adresse e-mail qui commence par l’ID du projet et le mot cloudbuild.
Par exemple,
<project-id>@cloudbuild.gserviceaccount.com - Sélectionnez l’icône en forme de crayon pour modifier les rôles du compte Cloud Build.
-
Sur la page Modifier l’accès à “project-id” pour l’option de principal sélectionnée, sélectionnez AJOUTER UN AUTRE RÔLE pour ajouter les rôles requis à votre compte de service Cloud Build un par un, puis sélectionnez ENREGISTRER.
Remarque :
Activez toutes les API pour obtenir la liste complète des rôles.
Après le 29 avril 2024
Citrix Cloud utilise deux comptes de service distincts au sein du projet Google Cloud :
-
Compte de service Citrix Cloud : Ce compte de service permet à Citrix Cloud d’accéder au projet Google, de provisionner et de gérer des machines. Ce compte de service s’authentifie auprès de Google Cloud à l’aide d’une clé générée par Google Cloud.
Vous devez créer ce compte de service manuellement.
Vous pouvez identifier ce compte de service par une adresse e-mail. Par exemple,
<my-service-account>@<project-id>.iam.gserviceaccount.com. -
Compte de service Cloud Compute : Ce compte de service est provisionné automatiquement après que vous avez activé toutes les API mentionnées dans Activer les API Google Cloud. Pour afficher tous les comptes de service créés automatiquement, accédez à IAM et administration > IAM dans la console Google Cloud et cochez la case Inclure les attributions de rôles fournies par Google. Ce compte dispose du rôle d’éditeur de base IAM pour effectuer les opérations. Cependant, si vous supprimez l’autorisation par défaut pour un contrôle plus granulaire, vous devez ajouter le rôle Administrateur du stockage qui nécessite les autorisations suivantes :
- resourcemanager.projects.get
- storage.objects.create
- storage.objects.get
- storage.objects.list
Vous pouvez identifier ce compte de service par une adresse e-mail qui commence par l’ID du projet et le mot compute. Par exemple,
<project-id>-compute@developer.gserviceaccount.com.Vérifiez si les rôles suivants ont été attribués au compte de service.
- Compte de service Cloud Build
- Administrateur d’instances Compute
- Utilisateur du compte de service
Créer un compte de service Citrix Cloud
- Pour créer un compte de service Citrix Cloud, suivez ces étapes :
- Dans la console Google Cloud, accédez à IAM et administration > Comptes de service.
- Sur la page Comptes de service, sélectionnez CRÉER UN COMPTE DE SERVICE.
- Sur la page Créer un compte de service, saisissez les informations requises, puis sélectionnez CRÉER ET CONTINUER.
-
Sur la page Accorder à ce compte de service l’accès au projet, cliquez sur le menu déroulant Sélectionner un rôle et sélectionnez les rôles requis. Cliquez sur +AJOUTER UN AUTRE RÔLE si vous souhaitez ajouter d’autres rôles.
Chaque compte (personnel ou de service) a différents rôles définissant la gestion du projet. Attribuez les rôles suivants à ce compte de service :
- Administrateur Compute
- Administrateur du stockage
- Éditeur Cloud Build
- Utilisateur du compte de service
- Utilisateur Cloud Datastore
- Opérateur de chiffrement Cloud KMS
L’opérateur de chiffrement Cloud KMS nécessite les autorisations suivantes :
- cloudkms.cryptoKeys.get
- cloudkms.cryptoKeys.list
- cloudkms.keyRings.get
- cloudkms.keyRings.list
Remarque :
Activez toutes les API pour obtenir la liste complète des rôles disponibles lors de la création d’un nouveau compte de service.
- Cliquez sur CONTINUER.
- Sur la page Accorder aux utilisateurs l’accès à ce compte de service, ajoutez des utilisateurs ou des groupes pour leur accorder l’accès afin d’effectuer des actions dans ce compte de service.
- Cliquez sur TERMINÉ.
- Accédez à la console principale IAM.
- Identifiez le compte de service créé.
- Validez que les rôles sont attribués avec succès.
Considérations :
Lors de la création du compte de service, tenez compte des éléments suivants :
- Les étapes Accorder à ce compte de service l’accès au projet et Accorder aux utilisateurs l’accès à ce compte de service sont facultatives. Si vous choisissez d’ignorer ces étapes de configuration facultatives, le compte de service nouvellement créé ne s’affiche pas sur la page IAM et administration > IAM.
- Pour afficher les rôles associés à un compte de service, ajoutez les rôles sans ignorer les étapes facultatives. Ce processus garantit que les rôles apparaissent pour le compte de service configuré.
Clé de compte de service Citrix Cloud
La clé de compte de service Citrix Cloud est requise pour créer une connexion dans Citrix DaaS. La clé est contenue dans un fichier d’informations d’identification (.json). Le fichier est automatiquement téléchargé et enregistré dans le dossier Téléchargements après la création de la clé. Lorsque vous créez la clé, assurez-vous de définir le type de clé sur JSON. Dans le cas contraire, Studio ne peut pas l’analyser.
Pour créer une clé de compte de service, accédez à IAM et administration > Comptes de service et cliquez sur l’adresse e-mail du compte de service Citrix Cloud. Accédez à l’onglet Clés et sélectionnez Ajouter une clé > Créer une nouvelle clé. Assurez-vous de sélectionner JSON comme type de clé.
Conseil :
Créez des clés à l’aide de la page Comptes de service dans la console Google Cloud. Nous vous recommandons de modifier régulièrement les clés à des fins de sécurité. Vous pouvez fournir de nouvelles clés à l’application Citrix Virtual Apps and Desktops en modifiant une connexion Google Cloud existante.
Ajouter des rôles au compte de service Citrix Cloud
Pour ajouter des rôles au compte de service Citrix Cloud :
- Dans la console Google Cloud, accédez à IAM et administration > IAM.
-
Sur la page IAM > AUTORISATIONS, recherchez le compte de service que vous avez créé, identifiable par une adresse e-mail.
Par exemple,
<my-service-account>@<project-id>.iam.gserviceaccount.com - Sélectionnez l’icône en forme de crayon pour modifier l’accès au principal du compte de service.
- Sur la page Modifier l’accès à « project-id » pour l’option principal sélectionnée, sélectionnez AJOUTER UN AUTRE RÔLE pour ajouter les rôles requis à votre compte de service un par un, puis sélectionnez ENREGISTRER.
Ajouter des rôles au compte de service Cloud Compute
Pour ajouter des rôles au compte de service Cloud Compute :
- Dans la console Google Cloud, accédez à IAM et administration > IAM.
-
Sur la page IAM, recherchez le compte de service Cloud Compute, identifiable par une adresse e-mail qui commence par l’ID de projet et le mot compute.
Par exemple,
<project-id>-compute@developer.gserviceaccount.com - Sélectionnez l’icône en forme de crayon pour modifier les rôles du compte Cloud Build.
-
Sur la page Modifier l’accès à « project-id » pour l’option principal sélectionnée, sélectionnez AJOUTER UN AUTRE RÔLE pour ajouter les rôles requis à votre compte de service Cloud Build un par un, puis sélectionnez ENREGISTRER.
Remarque :
Activez toutes les API pour obtenir la liste complète des rôles.
Autorisations de stockage et gestion des buckets
Citrix DaaS améliore le processus de signalement des échecs de build cloud pour le service Google Cloud. Ce service exécute des builds sur Google Cloud. Citrix DaaS crée un bucket de stockage nommé citrix-mcs-cloud-build-logs-{region}-{5 random characters} où les services Google Cloud capturent les informations de journal de build. Une option est définie sur ce bucket qui supprime le contenu après une période de 30 jours. Ce processus exige que le compte de service utilisé pour la connexion dispose des autorisations Google Cloud définies sur storage.buckets.update. Si le compte de service ne dispose pas de cette autorisation, Citrix DaaS ignore les erreurs et poursuit le processus de création de catalogue. Sans cette autorisation, la taille des journaux de build augmente et nécessite un nettoyage manuel.
Activer l’accès privé Google
Lorsqu’une machine virtuelle ne dispose pas d’une adresse IP externe attribuée à son interface réseau, les paquets ne sont envoyés qu’à d’autres destinations d’adresses IP internes. Lorsque vous activez l’accès privé, la machine virtuelle se connecte à l’ensemble des adresses IP externes utilisées par l’API Google et les services associés.
Remarque :
Que l’accès privé Google soit activé ou non, toutes les machines virtuelles, avec et sans adresses IP publiques, doivent pouvoir accéder aux API publiques de Google, en particulier si des appliances réseau tierces ont été installées dans l’environnement.
Pour vous assurer qu’une machine virtuelle de votre sous-réseau peut accéder aux API Google sans adresse IP publique pour le provisionnement MCS :
- Dans Google Cloud, accédez à la configuration du réseau VPC.
- Identifiez les sous-réseaux utilisés ou l’environnement Citrix® dans l’onglet Sous-réseaux du projet actuel.
- Cliquez sur le nom des sous-réseaux et activez l’Accès privé Google.
Pour plus d’informations, consultez Configuration de l’accès privé Google.
Important :
Si votre réseau est configuré pour empêcher l’accès des machines virtuelles à Internet, assurez-vous que votre organisation assume les risques associés à l’activation de l’accès privé Google pour le sous-réseau auquel la machine virtuelle est connectée.
Étapes suivantes
- Pour un déploiement simple de preuve de concept, installez un VDA sur une machine désignée pour fournir des applications ou un bureau à vos utilisateurs.
- Pour la création et la gestion des connexions, consultez Connexion aux environnements Google Cloud.
- Passez en revue toutes les étapes du processus d’installation et de configuration.