Produktdokumentation
Citrix ADC
Current Release 13.0 12.1 11.1
PDF anzeigen

Administrator-Partition

September 8, 2021
Beitrag von: 
C

Eine Citrix ADC-Appliance kann in logische Entitys partitioniert werden, die als Admin-Partitionen bezeichnet werden Jede Partition kann konfiguriert und als separate Citrix ADC-Appliance verwendet werden. Die folgende Abbildung zeigt die Partitionen eines Citrix ADC, die von verschiedenen Kunden und Abteilungen verwendet werden:

Administrator-Partition

Eine partitionierte Citrix ADC-Appliance verfügt über eine einzelne Standardpartition und eine oder mehrere Admin-Partitionen. Die folgende Tabelle enthält weitere Details zu den beiden Partitionstypen:

Hinweis:

In einer partitionierten Appliance kann der Modus BridgeGPDUs nur in der Standardpartition und nicht in den Administratorpartitionen aktiviert werden.

Verfügbarkeit:

Die Citrix ADC-Appliance wird mit einer einzigen Partition ausgeliefert, die als Standardpartition bezeichnet wird. Die Standardpartition wird auch nach der Partitionierung der Citrix ADC-Appliance beibehalten.

Muss explizit erstellt werden, wie unter Admin-Partitionen konfigurierenbeschrieben.

Anzahl der Partitionen:

Eins

Eine Citrix ADC-Appliance kann eine oder mehrere (maximal 512) Admin-Partitionen haben.

Benutzerzugriff und Rollen:

Alle Citrix ADC-Benutzer, die nicht mit einer partitionsspezifischen Befehlsrichtlinie verknüpft sind, können auf die Standardpartition zugreifen und diese konfigurieren. Wie immer schränkt die zugehörige Befehlsrichtlinie die Vorgänge ein, die ein Benutzer ausführen kann.

Der Benutzerzugriff und die Rollen werden von Citrix ADC Superusers erstellt, die auch die Benutzer für diese Partition angeben. Nur Superuser und zugehörige Benutzer der Partition können auf die Admin-Partition zugreifen und diese konfigurieren.

Hinweis:

Partitionsbenutzer haben keinen Shell-Zugriff.

Datei-Struktur:

Alle Dateien in einer Standardpartition werden in der standardmäßigen Citrix ADC-Dateistruktur gespeichert.

Das Verzeichnis /nsconfig speichert beispielsweise die Citrix ADC-Konfigurationsdatei und das Verzeichnis /var/log/ speichert die Citrix ADC-Protokolle.

Alle Dateien in einer Admin-Partition werden in Verzeichnispfaden gespeichert, die den Namen der Admin-Partition haben.

Beispielsweise wird die Citrix ADC-Konfigurationsdatei (ns.conf) im /nsconfig/partitions/<partitionName> Verzeichnis gespeichert. Andere partitionsspezifische Dateien werden in den /var/partitions/<partitionName> Verzeichnissen gespeichert.

Einige andere Pfade in einer Admin-Partition:

  • Heruntergeladene Dateien: /var/partitions/<partitionName>/download/
  • Log-Dateien: /var/partitions/<partitionName>/log/

Hinweis:

Derzeit wird die Protokollierung auf Partitionsebene nicht unterstützt. Daher ist dieses Verzeichnis leer und alle Protokolle werden im /var/log/ Verzeichnis gespeichert.

  • Dateien im Zusammenhang mit dem SSL-CRL-Zertifikat: /var/partitions/<partitionName>/netscaler/ssl

Verfügbare Ressourcen:

Alle Citrix ADC-Ressourcen.

Citrix ADC-Ressourcen, die explizit der Admin-Partition zugewiesen sind.

Benutzerzugriff und Rollen

Bei der Authentifizierung und Autorisierung einer partitionierten Citrix ADC-Appliance kann ein Root-Administrator einer oder mehreren Partitionen einen Partitionsadministrator zuweisen. Der Partitionsadministrator kann Benutzer für diese Partition autorisieren, ohne andere Partitionen zu beeinträchtigen. Die Partitionsbenutzer sind berechtigt, nur über die SNIP-Adresse auf diese Partition zuzugreifen. Sowohl der Root-Administrator als auch der Partitionsadministrator können den rollenbasierten Zugriff (RBA konfigurieren, indem Benutzer für den Zugriff auf verschiedene Anwendungen autorisiert werden.

Administratoren und Benutzerrollen können wie folgt beschrieben werden:

Root-Administrator. Greift über ihre NSIP-Adresse auf die partitionierte Appliance zu und kann dem Benutzer Zugriff auf eine oder mehrere Partitionen gewähren. Der Administrator kann auch Partitionsadministratoren einer oder mehreren Partitionen zuweisen. Der Administrator kann einen Partitionsadministrator von der Standardpartition mithilfe einer NSIP-Adresse erstellen oder zu einer Partition wechseln und dann einen Benutzer erstellen und einen Partitionsadministratorzugriff mit einer SNIP-Adresse zuweisen.

Partitions-Administrator. Greift über eine vom Root-Administrator zugewiesene NSIP-Adresse auf die angegebene Partition zu. Der Administrator kann rollenbasierten Zugriff auf den Partitionsbenutzerzugriff auf diese Partition zuweisen und auch die externe Serverauthentifizierung mithilfe einer partitionsspezifischen Konfiguration konfigurieren.

Systembenutzer. Greift über die NSIP-Adresse auf Partitionen zu. Hat Zugriff auf die vom Root-Administrator angegebenen Partitionen und Ressourcen.

Benutzer partitionieren. Greift über eine SNIP-Adresse auf eine Partition zu. Das Benutzerkonto wird vom Partitionsadministrator erstellt und der Benutzer hat Zugriff auf Ressourcen, nur innerhalb der Partition.

Wichtige Punkte

Im Folgenden sind einige Punkte aufgeführt, die Sie beim Bereitstellen eines rollenbasierten Zugriffs in einer Partition beachten sollten.

  1. Citrix ADC-Benutzer, die über die NSIP-Adresse auf die GUI zugreifen, verwenden die Standard-Partitionsauthentifizierungskonfiguration, um sich bei der Appliance anzumelden.
  2. Benutzer von Partitionssystemen, die über eine Partitions-SNIP-Adresse auf die GUI zugreifen, verwenden eine partitionsspezifische Authentifizierungskonfiguration, um sich bei der Appliance anzumelden.
  3. Der in einer Partition erstellte Partitionsbenutzer kann sich nicht mit der NSIP-Adresse anmelden.
  4. Der an eine Partition gebundene Citrix ADC-Benutzer kann sich nicht mit der SNIP-Adresse der Partition anmelden.
  5. Systembenutzer, die sich über einen externen Authentifizierungsserver authentifizieren (z. B. LDAP, RADIUS, TACACS), müssen über eine SNIP-Adresse auf eine Partition zugreifen.

Anwendungsfall für die Verwaltung des rollenbasierten Zugriffs in einem partitionierten Setup

Betrachten Sie ein Szenario, in dem eine Unternehmensorganisation www.example.com mehrere Geschäftseinheiten und einen zentralisierten Administrator hat, der alle Instanzen in ihrem Netzwerk verwaltet. Sie möchten jedoch exklusive Benutzerberechtigungen und -umgebungen für jede Geschäftseinheit bereitstellen.

Im Folgenden finden Sie die Administratoren und Benutzer, die von der Standardkonfiguration für die Partitionsauthentifizierung und partitionenspezifische Konfiguration in einer partitionierten Appliance verwaltet

John: Root-Administrator

George: Partitionsadministrator

Adam: Systembenutzer

Jane: Partitions-Benutzer

John, ist der Root-Administrator einer partitionierten Citrix ADC-Appliance. John verwaltet alle Benutzerkonten und Administratorbenutzerkonten über Partitionen (z. B. P1, P2, P3, P4 und P5) innerhalb der Appliance. John bietet granularen rollenbasierten Zugriff auf Entitäten von der Standardpartition der Appliance. John erstellt Benutzerkonten und weist jedem Konto Partitionszugriff zu. George, der ein Netzwerkingenieur innerhalb der Organisation ist, bevorzugt einen rollenbasierten Zugriff auf wenige Anwendungen, die auf der Partition P2 ausgeführt werden. Basierend auf der Benutzerverwaltung erstellt John eine Partitionsadministratorrolle für George und verknüpft sein Benutzerkonto mit einer Partition-Admin-Befehlsrichtlinie in der P2-Partition. Adam ist ein weiterer Netzwerkingenieur, zieht es vor, auf eine Anwendung zuzugreifen, die auf P2 ausgeführt wird. John erstellt ein Systembenutzerkonto für Adam und verknüpft sein Benutzerkonto einer P2-Partition. Sobald das Konto erstellt wurde, kann sich Adam bei der Appliance anmelden, um über die NSIP-Adresse auf die Citrix ADC-Verwaltungsschnittstelle zuzugreifen, und kann basierend auf der Benutzer-/Gruppenbindung zur Partition P2 wechseln.

Angenommen, Jane, die eine andere Netzwerkingenieurin ist, möchte direkt auf eine Anwendung zugreifen, die nur auf der Partition P2 ausgeführt wird, George (Partitionsadministrator) kann ein Partitionsbenutzerkonto für sie erstellen und ihr Konto mit Befehlsrichtlinien für Autorisierungsberechtigungen verknüpfen. Janes Benutzerkonto, das in der Partition erstellt wurde, ist jetzt direkt mit P2 verknüpft. Jetzt kann Jane über die SNIP-Adresse auf die Citrix ADC-Verwaltungsschnittstelle zugreifen und kann nicht zu einer anderen Partition wechseln.

Hinweis:

Wenn Janes Benutzerkonto von einem Partitionsadministrator in der Partition P2 erstellt wird, kann der Administrator nur über die SNIP-Adresse (die innerhalb der Partition erstellt wurde) auf die Citrix ADC-Verwaltungsschnittstelle zugreifen. Dem Administrator ist es nicht gestattet, über die NSIP-Adresse auf die Schnittstelle zuzugreifen. Ebenso, wenn Adams Benutzerkonto von einem Root-Administrator in der Standardpartition erstellt und an eine P2-Partition gebunden ist. Der Administrator kann auf die Citrix ADC-Verwaltungsschnittstelle nur über die NSIP-Adresse oder SNIP-Adresse zugreifen, die in der Standardpartition erstellt wurde (mit aktiviertem Verwaltungszugriff). Und es ist nicht gestattet, über die in der Administratorpartition erstellte SNIP-Adresse auf die Partitionsoberfläche zuzugreifen.

Konfigurieren von Rollen und Zuständigkeiten für Partitionsadministratoren

Im Folgenden finden Sie die Konfigurationen, die von einem Root-Administrator in einer Standardpartition durchgeführt werden.

Erstellen von Administratorpartitionen und Systembenutzern — Ein Root-Administrator erstellt Administratorpartitionen und Systembenutzer in der Standardpartition der Appliance. Der Administrator verknüpft die Benutzer dann verschiedenen Partitionen. Wenn Sie an eine oder mehrere Partitionen gebunden sind, können Sie basierend auf Benutzerbindungen von einer Partition zur anderen wechseln. Außerdem wird Ihr Zugriff auf eine oder mehrere gebundene Partitionen nur vom Root-Administrator autorisiert.

Autorisieren des Systembenutzers als Partitionsadministrator für eine bestimmte Partition — Sobald ein Benutzerkonto erstellt wurde, wechselt der Root-Administrator zu einer bestimmten Partition und autorisiert den Benutzer als Partitionsadministrator. Dies geschieht durch Zuweisen der Partition-Admin-Befehlsrichtlinie dem Benutzerkonto. Jetzt kann der Benutzer als Partitionsadministrator auf die Partition zugreifen und Entitäten innerhalb der Partition verwalten.

Im Folgenden finden Sie die Konfigurationen, die von einem Partitionsadministrator in einer administrativen Partition durchgeführt werden.

Konfigurieren der SNIP-Adresse in einer Administratorpartition- Der Partitionsadministrator meldet sich bei der Partition an und erstellt eine SNIP-Adresse und bietet Verwaltungszugriff auf die Adresse.

Erstellen und Binden eines Partitionssystembenutzers mit Partitionsbefehlsrichtlinie - Der Partitionsadministrator erstellt Partitionsbenutzer und definiert den Umfang des Benutzerzugriffs. Dies geschieht durch Binden des Benutzerkontos an Partitionsbefehlsrichtlinien.

Erstellen und Binden einer Partitionssystem-Benutzergruppen mit Partitionsbefehlsrichtlinie -Der Partitionsadministrator erstellt Partitionsbenutzergruppen und definiert den Umfang des Zugriffs auf Benutzergruppen. Dies geschieht durch Binden des Benutzergruppenkontos an Partitionsbefehlsrichtlinien.

Konfigurieren der externen Serverauthentifizierung für externe Benutzer (optional) -Diese Konfiguration dient zur Authentifizierung externer TACACS-Benutzer, die mit der SNIP-Adresse auf die Partition zugreifen.

Im Folgenden werden die Aufgaben aufgeführt, die beim Konfigurieren des rollenbasierten Zugriffs für Partitionsbenutzer in einer Administratorpartition ausgeführt werden

  1. Erstellen einer administrativen Partition — Bevor Sie Partitionsbenutzer in einer Administratorpartition erstellen, müssen Sie zuerst die Partition erstellen. Als Root-Administrator können Sie mit dem Konfigurationsdienstprogramm oder einer Befehlszeilenschnittstelle eine Partition von der Standardpartition erstellen.
  2. Benutzerzugriff von der Standardpartition auf Partition P2 wechseln - Wenn Sie Partitionsadministrator von der Standardpartition aus auf die Appliance zugreifen, können Sie von der Standardpartition zu einer bestimmten Partition wechseln. Partitionieren Sie beispielsweise P2 basierend auf Benutzerbindung.
  3. Hinzufügen einer SNIP-Adresse zum Partitions-Benutzerkonto mit aktiviertem Verwaltungszugriff - nachdem Sie Ihren Zugriff auf eine Administrationspartition umgestellt haben. Sie erstellen eine SNIP-Adresse und gewähren Verwaltungszugriff auf die Adresse.
  4. Erstellen und Binden eines Partitionssystembenutzers mit Partitionsbefehlsrichtlinie - Wenn Sie ein Partitionsadministrator sind, können Sie Partitionsbenutzer erstellen und den Umfang des Benutzerzugriffs definieren. Dies geschieht durch Binden des Benutzerkontos an Partitionsbefehlsrichtlinien.
  5. Erstellen und Binden von Partitionsbenutzergruppen mit Partitionsbefehlsrichtlinie - Wenn Sie ein Partitionsadministrator sind, können Sie Partitionsbenutzergruppen erstellen und den Umfang der Benutzerzugriffssteuerung definieren. Dies geschieht durch Binden des Benutzergruppenkontos an Partitionsbefehlsrichtlinien.

Konfigurieren der externen Serverauthentifizierung für externe Benutzer (optional) -Diese Konfiguration dient zur Authentifizierung externer TACACS-Benutzer, die mit einer SNIP-Adresse auf die Partition zugreifen.

Vorteile der Verwendung von Admin-Partitionen

Sie können die folgenden Vorteile nutzen, indem Sie Admin-Partitionen für Ihre Bereitstellung verwenden:

  • Ermöglicht die Delegierung des Verwaltungseigentums an eine Anwendung an den Kunden.
  • Reduziert die Kosten des ADC-Eigentums, ohne Kompromisse bei Leistung und Benutzerfreundlichkeit einzugehen.
  • Schützt vor ungerechtfertigten Konfigurationsänderungen. In einer nicht partitionierten Citrix ADC-Appliance können autorisierte Benutzer der anderen Anwendung absichtlich oder unbeabsichtigt Konfigurationen ändern, die für Ihre Anwendung erforderlich sind. Es kann zu unerwünschtem Verhalten führen. Diese Möglichkeit ist in einer partitionierten Citrix ADC-Appliance reduziert.
  • Isoliert den Datenverkehr zwischen verschiedenen Anwendungen durch Verwendung dedizierter VLANs für jede Partition.
  • Beschleunigt und ermöglicht die Skalierung von Anwendungsbereitstellungen.
  • Ermöglicht die Verwaltung und Berichterstellung auf Anwendungsebene oder lokalisiert.

Lassen Sie uns einige Fälle analysieren, um die Szenarien zu verstehen, in denen Sie Admin-Partitionen verwenden können.

Anwendungsfall 1: Wie Admin-Partition in einem Unternehmensnetzwerk verwendet wird

Betrachten wir ein Szenario, dem ein Unternehmen namens Foo.comgegenübersteht.

  • Foo.com hat einen einzigen Citrix ADC.
  • Es gibt fünf Abteilungen und jede Abteilung hat eine Anwendung, die mit dem Citrix ADC bereitgestellt werden muss.
  • Jede Anwendung muss unabhängig von einer anderen Gruppe von Benutzern oder Administratoren verwaltet werden.
  • Andere Benutzer müssen vom Zugriff auf die Konfigurationen ausgeschlossen werden.
  • Die Anwendung oder das Back-End muss Ressourcen wie IP-Adressen teilen können.
  • Die globale IT-Abteilung muss in der Lage sein, Einstellungen auf Citrix ADC-Ebene zu steuern, die allen Partitionen gemeinsam sein müssen.
  • Die Anwendungen müssen unabhängig voneinander sein. Ein Fehler bei der Konfiguration einer Anwendung darf sich nicht auf die andere auswirken.

Ein nicht partitionierter Citrix ADC könnte diese Anforderungen nicht erfüllen. Sie können jedoch all diese Anforderungen erfüllen, indem Sie einen Citrix ADC partitionieren.

Erstellen Sie einfach eine Partition für jede der Anwendungen, weisen Sie den Partitionen die erforderlichen Benutzer zu, geben Sie für jede Partition ein VLAN an und definieren Sie globale Einstellungen auf der Standardpartition.

Anwendungsfall 2: Wie eine Admin-Partition von einem Dienstanbieter verwendet wird

Betrachten wir ein Szenario, dem ein Dienstanbieter namens BigProvidergegenübersteht:

  • BigProvider hat 5 Kunden: 3 kleine Unternehmen und 2 große Unternehmen.
  • SmallBiz, SmallerBizund StartupBiz benötigen nur die grundlegendste Citrix ADC-Funktionalität.
  • BigBiz und LargeBiz sind größere Unternehmen und haben Anwendungen, die starken Verkehr anziehen. Sie möchten einige der komplexeren Citrix ADC-Funktionalität nutzen.

In einem nicht partitionierten Ansatz würde der Citrix ADC-Administrator normalerweise eine Citrix ADC SDX-Appliance verwenden und für jeden Kunden eine Citrix ADC-Instanz bereitstellen.

Die Lösung passt zu BigBiz und LargeBiz, da ihre Anwendungen die unverminderte Leistungsfähigkeit der gesamten nicht partitionierten Citrix ADC-Appliance benötigen. Diese Lösung ist jedoch möglicherweise nicht so kostengünstig für die Wartung von SmallBiz, SmallerBizund StartupBiz.

Daher entscheidet BigProvider für folgende Lösung:

  • Verwenden einer Citrix ADC SDX-Appliance zum Aufrufen dedizierter Citrix ADC-Instanzen für BigBiz und LargeBz.
  • Verwenden eines einzelnen Citrix ADC, der in drei Partitionen partitioniert ist, jeweils eine für SmallBiz, SmallerBizund StartupBiz.

Der Citrix ADC Administrator (Superuser) erstellt eine Admin-Partition für jeden dieser Kunden und gibt die Benutzer für die Partitionen an. Gibt auch die Citrix ADC-Ressourcen für die Partitionen an und gibt das VLAN an, das von dem Datenverkehr verwendet werden soll, der für jede der Partitionen bestimmt ist.

Administrator-Partition
September 8, 2021
Beitrag von: 
C
September 8, 2021
Beitrag von: 
C

In diesem Artikel

Feedback zur Site | Datenschutz und rechtliche Bestimmungen | Cookie-Einstellungen | Einstellungen für die Zustimmung
© 1999- Citrix Systems, Inc. All rights reserved.