Entornos de Google Cloud
Citrix Virtual Apps and Desktops™ le permite aprovisionar y administrar máquinas en Google Cloud.
Requisitos
- Cuenta de Citrix Cloud™. La función descrita en este artículo solo está disponible en Citrix Cloud.
- Un proyecto de Google Cloud. El proyecto almacena todos los recursos informáticos asociados al catálogo de máquinas. Puede ser un proyecto existente o uno nuevo.
- Habilite cuatro API en su proyecto de Google Cloud. Para obtener más información, consulte Habilitar las API de Google Cloud.
- Cuenta de servicio de Google Cloud. La cuenta de servicio se autentica en Google Cloud para permitir el acceso al proyecto. Para obtener más información, consulte Configurar y actualizar cuentas de servicio.
- Habilite el acceso privado de Google. Para obtener más información, consulte Habilitar el acceso privado de Google.
Habilitar las API de Google Cloud
Para usar la funcionalidad de Google Cloud a través de Web Studio, habilite estas API en su proyecto de Google Cloud:
- API de Compute Engine
- API de Cloud Resource Manager
- API de Identity and Access Management (IAM)
- API de Cloud Build
- Cloud Key Management Service (KMS)
Desde la consola de Google Cloud, complete estos pasos:
-
En el menú superior izquierdo, seleccione APIs y servicios > Panel.
-
En la pantalla Panel, asegúrese de que la API de Compute Engine esté habilitada. Si no lo está, siga estos pasos:
-
Vaya a APIs y servicios > Biblioteca.
-
En el cuadro de búsqueda, escriba Compute Engine.
-
En los resultados de búsqueda, seleccione API de Compute Engine.
-
En la página API de Compute Engine, seleccione Habilitar.
-
-
Habilite la API de Cloud Resource Manager.
-
Vaya a APIs y servicios > Biblioteca.
-
En el cuadro de búsqueda, escriba Cloud Resource Manager.
-
En los resultados de búsqueda, seleccione API de Cloud Resource Manager.
-
En la página API de Cloud Resource Manager, seleccione Habilitar. Aparecerá el estado de la API.
-
-
Del mismo modo, habilite la API de Identity and Access Management (IAM) y la API de Cloud Build.
También puede usar Google Cloud Shell para habilitar las API. Para ello:
- Abra la Consola de Google y cargue Cloud Shell.
-
Ejecute los cuatro comandos siguientes en Cloud Shell:
- gcloud services enable compute.googleapis.com
- gcloud services enable cloudresourcemanager.googleapis.com
- gcloud services enable iam.googleapis.com
- gcloud services enable cloudbuild.googleapis.com
- Haga clic en Autorizar si Cloud Shell lo solicita.
Configurar y actualizar cuentas de servicio
Nota:
GCP introducirá cambios en el comportamiento predeterminado y el uso de las cuentas de servicio de Cloud Build Service después del 29 de abril de 2024. Para obtener más información, consulte Cambio en la cuenta de servicio de Cloud Build. Sus proyectos de Google existentes con la API de Cloud Build habilitada antes del 29 de abril de 2024 no se ven afectados por este cambio. Sin embargo, si desea mantener el comportamiento existente de Cloud Build Service después del 29 de abril, puede crear o aplicar la política de la organización para inhabilitar la aplicación de restricciones antes de habilitar la API de Cloud Build. Como resultado, el siguiente contenido se divide en dos: Antes del 29 de abril de 2024 y Después del 29 de abril de 2024. Si establece la nueva política de la organización, siga la sección Antes del 29 de abril de 2024.
Antes del 29 de abril de 2024
Citrix Cloud utiliza tres cuentas de servicio independientes dentro del proyecto de Google Cloud:
-
Cuenta de servicio de Citrix Cloud: Esta cuenta de servicio permite a Citrix Cloud acceder al proyecto de Google, aprovisionar y administrar máquinas. Esta cuenta de servicio se autentica en Google Cloud mediante una clave generada por Google Cloud.
Debe crear esta cuenta de servicio manualmente como se describe aquí. Para obtener más información, consulte Crear una cuenta de servicio de Citrix Cloud.
Puede identificar esta cuenta de servicio con una dirección de correo electrónico. Por ejemplo,
<my-service-account>@<project-id>.iam.gserviceaccount.com. -
Cuenta de servicio de Cloud Build: Esta cuenta de servicio se aprovisiona automáticamente después de habilitar todas las API mencionadas en Habilitar las API de Google Cloud. Para ver todas las cuentas de servicio creadas automáticamente, vaya a IAM y administración > IAM en la consola de Google Cloud y marque la casilla Incluir concesiones de roles proporcionadas por Google.
Puede identificar esta cuenta de servicio por una dirección de correo electrónico que comienza con el ID del proyecto y la palabra cloudbuild. Por ejemplo,
<project-id>@cloudbuild.gserviceaccount.comVerifique si a la cuenta de servicio se le han concedido los siguientes roles. Si debe agregar roles, siga los pasos descritos en Agregar roles a la cuenta de servicio de Cloud Build.
- Cuenta de servicio de Cloud Build
- Administrador de instancias de Compute
- Usuario de cuenta de servicio
-
Cuenta de servicio de Cloud Compute: Google Cloud agrega esta cuenta de servicio a las instancias creadas en Google Cloud una vez que se activa la API de Compute. Esta cuenta tiene el rol de editor básico de IAM para realizar las operaciones. Sin embargo, si elimina el permiso predeterminado para tener un control más granular, debe agregar un rol de Administrador de almacenamiento que requiere los siguientes permisos:
- resourcemanager.projects.get
- storage.objects.create
- storage.objects.get
- storage.objects.list
Puede identificar esta cuenta de servicio por una dirección de correo electrónico que comienza con el ID del proyecto y la palabra compute. Por ejemplo, <project-id>-compute@developer.gserviceaccount.com.
Crear una cuenta de servicio de Citrix Cloud
Para crear una cuenta de servicio de Citrix Cloud, siga estos pasos:
- En la consola de Google Cloud, vaya a IAM y administración > Cuentas de servicio.
- En la página Cuentas de servicio, seleccione CREAR CUENTA DE SERVICIO.
- En la página Crear cuenta de servicio, introduzca la información requerida y, a continuación, seleccione CREAR Y CONTINUAR.
-
En la página Conceder acceso a este proyecto a la cuenta de servicio, haga clic en el menú desplegable Seleccionar un rol y seleccione los roles requeridos. Haga clic en +AÑADIR OTRO ROL si desea añadir más roles.
Cada cuenta (personal o de servicio) tiene varios roles que definen la gestión del proyecto. Conceda los siguientes roles a esta cuenta de servicio:
- Compute Admin
- Storage Admin
- Cloud Build Editor
- Service Account User
- Cloud Datastore User
- Cloud KMS Crypto Operator
El Cloud KMS Crypto Operator requiere los siguientes permisos:
- cloudkms.cryptoKeys.get
- cloudkms.cryptoKeys.list
- cloudkms.keyRings.get
- cloudkms.keyRings.list
Nota:
Habilite todas las API para obtener la lista completa de roles disponibles al crear una nueva cuenta de servicio.
- Haga clic en CONTINUAR
- En la página Conceder acceso de usuario a esta cuenta de servicio, agregue usuarios o grupos para concederles acceso a realizar acciones en esta cuenta de servicio.
- Haga clic en LISTO.
- Vaya a la consola principal de IAM.
- Identifique la cuenta de servicio creada.
- Valide que los roles se hayan asignado correctamente.
Consideraciones:
Al crear la cuenta de servicio, tenga en cuenta lo siguiente:
- Los pasos Conceder acceso de esta cuenta de servicio al proyecto y Conceder acceso de usuario a esta cuenta de servicio son opcionales. Si decide omitir estos pasos de configuración opcionales, la cuenta de servicio recién creada no se mostrará en la página IAM y administración > IAM.
- Para mostrar los roles asociados a una cuenta de servicio, agregue los roles sin omitir los pasos opcionales. Este proceso garantiza que los roles aparezcan para la cuenta de servicio configurada.
Clave de la cuenta de servicio de Citrix Cloud
La clave de la cuenta de servicio de Citrix Cloud es necesaria para crear una conexión en Citrix DaaS. La clave está contenida en un archivo de credenciales (.json). El archivo se descarga y guarda automáticamente en la carpeta Descargas después de crear la clave. Al crear la clave, asegúrese de establecer el tipo de clave en JSON. De lo contrario, Web Studio no podrá analizarla.
Para crear una clave de cuenta de servicio, vaya a IAM y administración > Cuentas de servicio y haga clic en la dirección de correo electrónico de la cuenta de servicio de Citrix Cloud. Cambie a la pestaña Claves y seleccione Añadir clave > Crear nueva clave. Asegúrese de seleccionar JSON como tipo de clave.
Sugerencia:
Cree claves utilizando la página Cuentas de servicio en la consola de Google Cloud. Le recomendamos que cambie las claves regularmente por motivos de seguridad. Puede proporcionar nuevas claves a la aplicación Citrix Virtual Apps and Desktops editando una conexión de Google Cloud existente.
Añadir roles a la cuenta de servicio de Citrix Cloud
Para añadir roles a la cuenta de servicio de Citrix Cloud:
- En la consola de Google Cloud, vaya a IAM y administración > IAM.
-
En la página IAM > PERMISOS, localice la cuenta de servicio que creó, identificable por una dirección de correo electrónico.
Por ejemplo,
<my-service-account>@<project-id>.iam.gserviceaccount.com - Seleccione el icono del lápiz para editar el acceso al principal de la cuenta de servicio.
- En la página Editar acceso a “ID de proyecto” para la opción principal seleccionada, seleccione AÑADIR OTRO ROL para añadir los roles necesarios a su cuenta de servicio uno por uno y, a continuación, seleccione GUARDAR.
Añadir roles a la cuenta de servicio de Cloud Build
Para añadir roles a la cuenta de servicio de Cloud Build:
- En la consola de Google Cloud, vaya a IAM y administración > IAM.
-
En la página IAM, localice la cuenta de servicio de Cloud Build, identificable por una dirección de correo electrónico que comienza con el ID del proyecto y la palabra cloudbuild.
Por ejemplo,
<project-id>@cloudbuild.gserviceaccount.com - Seleccione el icono del lápiz para editar los roles de la cuenta de Cloud Build.
-
En la página Editar acceso a “project-id” para la opción de principal seleccionada, seleccione AÑADIR OTRO ROL para añadir los roles necesarios a su cuenta de servicio de Cloud Build uno por uno y, a continuación, seleccione GUARDAR.
Nota:
Habilite todas las API para obtener la lista completa de roles.
Después del 29 de abril de 2024
Citrix Cloud utiliza dos cuentas de servicio separadas dentro del proyecto de Google Cloud:
-
Cuenta de servicio de Citrix Cloud: Esta cuenta de servicio permite a Citrix Cloud acceder al proyecto de Google, aprovisionar y administrar máquinas. Esta cuenta de servicio se autentica en Google Cloud mediante una clave generada por Google Cloud.
Debe crear esta cuenta de servicio manualmente.
Puede identificar esta cuenta de servicio con una dirección de correo electrónico. Por ejemplo,
<my-service-account>@<project-id>.iam.gserviceaccount.com. -
Cuenta de servicio de Cloud Compute: Esta cuenta de servicio se aprovisiona automáticamente después de habilitar todas las API mencionadas en Habilitar API de Google Cloud. Para ver todas las cuentas de servicio creadas automáticamente, vaya a IAM y administración > IAM en la consola de Google Cloud y seleccione la casilla de verificación Incluir concesiones de roles proporcionadas por Google. Esta cuenta tiene el rol básico de editor de IAM para realizar las operaciones. Sin embargo, si elimina el permiso predeterminado para tener un control más granular, debe agregar el rol de Administrador de almacenamiento que requiere los siguientes permisos:
- resourcemanager.projects.get
- storage.objects.create
- storage.objects.get
- storage.objects.list
Puede identificar esta cuenta de servicio por una dirección de correo electrónico que comienza con el ID del proyecto y la palabra compute. Por ejemplo,
<project-id>-compute@developer.gserviceaccount.com.Verifique si a la cuenta de servicio se le han concedido los siguientes roles.
- Cuenta de servicio de Cloud Build
- Administrador de instancias de Compute
- Usuario de cuenta de servicio
Crear una cuenta de servicio de Citrix Cloud
Para crear una cuenta de servicio de Citrix Cloud, siga estos pasos:
- En la consola de Google Cloud, vaya a IAM y administración > Cuentas de servicio.
- En la página Cuentas de servicio, seleccione CREAR CUENTA DE SERVICIO.
- En la página Crear cuenta de servicio, introduzca la información necesaria y, a continuación, seleccione CREAR Y CONTINUAR.
-
En la página Conceder acceso a este proyecto a la cuenta de servicio, haga clic en el menú desplegable Seleccionar un rol y seleccione los roles necesarios. Haga clic en +AÑADIR OTRO ROL si desea añadir más roles.
Cada cuenta (personal o de servicio) tiene varios roles que definen la administración del proyecto. Conceda los siguientes roles a esta cuenta de servicio:
- Administrador de Compute
- Administrador de Storage
- Editor de Cloud Build
- Usuario de cuenta de servicio
- Usuario de Cloud Datastore
- Operador criptográfico de Cloud KMS
El operador criptográfico de Cloud KMS requiere los siguientes permisos:
- cloudkms.cryptoKeys.get
- cloudkms.cryptoKeys.list
- cloudkms.keyRings.get
- cloudkms.keyRings.list
Nota:
Habilite todas las API para obtener la lista completa de roles disponibles al crear una nueva cuenta de servicio.
- Haga clic en CONTINUAR
- En la página Conceder acceso de usuario a esta cuenta de servicio, añada usuarios o grupos para concederles acceso para realizar acciones en esta cuenta de servicio.
- Haga clic en LISTO.
- Vaya a la consola principal de IAM.
- Identifique la cuenta de servicio creada.
- Valide que los roles se hayan asignado correctamente.
Consideraciones:
Al crear la cuenta de servicio, tenga en cuenta lo siguiente:
- Los pasos Conceder a esta cuenta de servicio acceso al proyecto y Conceder a los usuarios acceso a esta cuenta de servicio son opcionales. Si decide omitir estos pasos de configuración opcionales, la cuenta de servicio recién creada no se mostrará en la página IAM y administración > IAM.
- Para mostrar los roles asociados a una cuenta de servicio, agregue los roles sin omitir los pasos opcionales. Este proceso garantiza que los roles aparezcan para la cuenta de servicio configurada.
Clave de la cuenta de servicio de Citrix Cloud
La clave de la cuenta de servicio de Citrix Cloud es necesaria para crear una conexión en Citrix DaaS. La clave está contenida en un archivo de credenciales (.json). El archivo se descarga y guarda automáticamente en la carpeta Descargas después de crear la clave. Al crear la clave, asegúrese de establecer el tipo de clave en JSON. De lo contrario, Web Studio no podrá analizarla.
Para crear una clave de cuenta de servicio, vaya a IAM y administración > Cuentas de servicio y haga clic en la dirección de correo electrónico de la cuenta de servicio de Citrix Cloud. Cambie a la ficha Claves y seleccione Agregar clave > Crear clave nueva. Asegúrese de seleccionar JSON como tipo de clave.
Sugerencia:
Cree claves mediante la página Cuentas de servicio en la consola de Google Cloud. Le recomendamos que cambie las claves con regularidad por motivos de seguridad. Puede proporcionar nuevas claves a la aplicación Citrix Virtual Apps and Desktops editando una conexión de Google Cloud existente.
Agregar roles a la cuenta de servicio de Citrix Cloud
Para agregar roles a la cuenta de servicio de Citrix Cloud:
- En la consola de Google Cloud, vaya a IAM y administración > IAM.
-
En la página IAM > PERMISOS, busque la cuenta de servicio que creó, identificable con una dirección de correo electrónico.
Por ejemplo,
<my-service-account>@<project-id>.iam.gserviceaccount.com - Seleccione el icono del lápiz para editar el acceso al principal de la cuenta de servicio.
- En la página Editar acceso a “project-id” para la opción de principal seleccionada, seleccione AÑADIR OTRO ROL para añadir los roles necesarios a su cuenta de servicio uno por uno y, a continuación, seleccione GUARDAR.
Añadir roles a la cuenta de servicio de Cloud Compute
Para añadir roles a la cuenta de servicio de Cloud Compute:
- En la consola de Google Cloud, vaya a IAM y administración > IAM.
-
En la página IAM, busque la cuenta de servicio de Cloud Compute, identificable con una dirección de correo electrónico que comienza con el ID del proyecto y la palabra compute.
Por ejemplo,
<project-id>-compute@developer.gserviceaccount.com - Seleccione el icono del lápiz para editar los roles de la cuenta de Cloud Build.
-
En la página Editar acceso a “project-id” para la opción de principal seleccionada, seleccione AÑADIR OTRO ROL para añadir los roles necesarios a su cuenta de servicio de Cloud Build uno por uno y, a continuación, seleccione GUARDAR.
Nota:
Habilite todas las API para obtener la lista completa de roles.
Permisos de almacenamiento y gestión de buckets
Citrix Virtual Apps and Desktops mejora el proceso de notificación de errores de compilación en la nube para el servicio de Google Cloud. Este servicio ejecuta compilaciones en Google Cloud. Citrix Virtual Apps and Desktops crea un bucket de almacenamiento llamado citrix-mcs-cloud-build-logs-{region}-{5 random characters} donde los servicios de Google Cloud capturan la información de los registros de compilación. En este bucket se establece una opción que elimina el contenido después de un período de 30 días. Este proceso requiere que la cuenta de servicio utilizada para la conexión tenga los permisos de Google Cloud establecidos en storage.buckets.update. Si la cuenta de servicio no tiene este permiso, Citrix Virtual Apps and Desktops ignora los errores y continúa con el proceso de creación del catálogo. Sin este permiso, el tamaño de los registros de compilación aumenta y requiere una limpieza manual.
Habilitar el acceso privado de Google
Cuando una VM carece de una dirección IP externa asignada a su interfaz de red, los paquetes solo se envían a otros destinos de direcciones IP internas. Cuando habilita el acceso privado, la VM se conecta al conjunto de direcciones IP externas utilizadas por la API de Google y los servicios asociados.
Nota:
Independientemente de si el acceso privado a Google está habilitado, todas las máquinas virtuales, con y sin direcciones IP públicas, deben poder acceder a las API públicas de Google, especialmente si se han instalado dispositivos de red de terceros en el entorno.
Para asegurarse de que una máquina virtual de su subred pueda acceder a las API de Google sin una dirección IP pública para el aprovisionamiento de MCS:
- En Google Cloud, acceda a la configuración de red de VPC.
- En la pantalla de detalles de la subred, active el Acceso privado a Google.
Para obtener más información, consulte Configuración del acceso privado a Google.
Importante:
Si su red está configurada para impedir el acceso de las máquinas virtuales a Internet, asegúrese de que su organización asuma los riesgos asociados a la habilitación del acceso privado a Google para la subred a la que está conectada la máquina virtual.
Pasos siguientes
- Instalar componentes principales
- Instalar VDA
- Crear un sitio
- Para crear y administrar una conexión en entornos de Google Cloud, consulte Conexión a entornos de Google Cloud