Citrix ADC

Partitionnement d’administration

Une appliance Citrix ADC peut être partitionnée en entités logiques appelées partitions d’administration, où chaque partition peut être configurée et utilisée en tant qu’appliance Citrix ADC distincte. La figure suivante montre les partitions d’un Citrix ADC utilisé par différents clients et services :

image

Une appliance Citrix ADC partitionnée possède une seule partition par défaut et une ou plusieurs partitions d’administration. Le tableau suivant fournit des détails supplémentaires sur les deux types de partitions :

Remarque : Dans une appliance partitionnée, le mode BridgeBPDU peut être activé uniquement dans la partition par défaut et non dans les partitions administratives.

Partition par défaut

Partitions d’administration

Disponibilité :

L’appliance Citrix ADC est livrée avec une seule partition, appelée partition par défaut. La partition par défaut est conservée même après le partitionnement de l’appliance Citrix ADC.

Doit être explicitement créé comme décrit à la section Configurer les partitions d’administration.

Nombre de partitions :

Un

Une appliance Citrix ADC peut avoir une ou plusieurs partitions d’administration (maximum 512).

Accès utilisateur et rôles :

La partition par défaut est accessible et configurée par tous les utilisateurs Citrix ADC qui ne sont pas associés à une stratégie de commande spécifique à une partition. Comme toujours, les opérations qu’un utilisateur peut effectuer sont restreintes par la stratégie de commande associée.

Peut être créé uniquement par les superutilisateurs Citrix ADC qui spécifient également les utilisateurs pour cette partition. Seuls les superutilisateurs et les utilisateurs associés de la partition peuvent accéder à la partition d’administration et la configurer.

Remarque : les utilisateurs de partition n’ont pas accès à l’interpréteur de commandes.

Structure du fichier :

Tous les fichiers d’une partition par défaut sont stockés dans la structure de fichiers Citrix ADC par défaut.

Par exemple, le fichier de configuration Citrix ADC est stocké dans le répertoire /nsconfig et les journaux Citrix ADC sont stockés dans le répertoire /var/log/ .

Tous les fichiers d’une partition d’administration sont stockés dans des chemins d’accès de répertoire qui portent le nom de la partition d’administration.

Par exemple, le fichier de configuration Citrix ADC (ns.conf) est stocké dans le/nsconfig/partitions/<partitionName> répertoire. D’autres fichiers spécifiques à une partition sont stockés dans les/var/partitions/<partitionName> répertoires.

Quelques autres chemins d’accès dans une partition d’administration :

  • Fichiers téléchargés :/var/partitions/<partitionName>/download/
  • Fichiers journaux : /var/partitions/<partitionName>/log/

Remarque : Actuellement, la journalisation n’est pas prise en charge au niveau de la partition. Par conséquent, ce répertoire est vide et tous les journaux sont stockés dans le répertoire /var/log/.

  • Fichiers liés au certificat SSL CRL : /var/partitions/<partitionName>/netscaler/ssl

Ressources disponibles :

Toutes les ressources Citrix ADC.

Ressources Citrix ADC qui sont explicitement affectées à la partition d’administration.

Accès des utilisateurs et rôles

Lors de l’authentification et de l’autorisation d’une appliance Citrix ADC partitionnée, un administrateur racine peut affecter un administrateur de partition à une ou plusieurs partitions. L’administrateur de partition peut autoriser les utilisateurs à accéder à cette partition sans affecter les autres partitions. Ce sont des utilisateurs de partition et ils sont autorisés à accéder uniquement à cette partition en utilisant l’adresse SNIP. L’administrateur racine et l’administrateur de partition peuvent configurer l’accès basé sur le rôle (RBA en autorisant les utilisateurs à accéder à différentes applications .

Les rôles des administrateurs et des utilisateurs peuvent être décrits comme suit :

Administrateur racine. Accède à l’appliance partitionnée via son adresse NSIP et peut accorder à l’utilisateur l’accès à une ou plusieurs partitions. L’administrateur peut également affecter des administrateurs de partition à une ou plusieurs partitions. L’administrateur peut créer un administrateur de partition à partir de la partition par défaut à l’aide d’une adresse NSIP ou basculer vers une partition, puis créer un utilisateur et attribuer un accès administrateur de partition à l’aide d’une adresse SNIP.

Administrateur de partition. Accède à la partition spécifiée via une adresse NSIP attribuée par l’administrateur racine. L’administrateur peut attribuer un accès basé sur les rôles à l’accès utilisateur de partition à cette partition et configurer également l’authentification du serveur externe à l’aide d’une configuration spécifique à la partition.

Utilisateur système. Accède aux partitions via l’adresse NSIP. A accès aux partitions et aux ressources spécifiées par l’administrateur racine.

Partition utilisateur. Accède à une partition via une adresse SNIP. Ce compte d’utilisateur est créé par l’administrateur de partition et l’utilisateur a accès aux ressources, uniquement au sein de la partition.

Points à retenir

Voici quelques points à retenir lors de la fourniture d’un accès basé sur les rôles dans une partition.

  1. Les utilisateurs de Citrix ADC accédant à l’interface graphique via l’adresse NSIP utiliseront la configuration d’authentification de partition par défaut pour se connecter à l’appliance.
  2. Les utilisateurs du système de partition accédant à l’interface graphique via l’adresse SNIP de partition utiliseront la configuration d’authentification spécifique à la partition pour se connecter à l’appliance.
  3. L’utilisateur de partition créé dans une partition ne peut pas se connecter à l’aide de l’adresse NSIP.
  4. L’utilisateur Citrix ADC lié à une partition ne peut pas se connecter à l’aide de l’adresse SNIP de la partition.
  5. Utilisateurs externes accédant à une partition via une configuration de serveur externe comme LDAP, Radius ou TACACS ajoutés dans la partition. L’utilisateur doit accéder à l’aide de l’adresse SNIP pour se connecter directement à la partition.

Cas d’utilisation pour gérer l’accès basé sur le rôle dans une configuration partitionnée

Considérez un scénario où une organisation d’entreprise, www.example.com, a plusieurs unités commerciales et un administrateur centralisé qui gère toutes les instances de leur réseau. Cependant, ils veulent fournir des privilèges utilisateur et un environnement exclusifs pour chaque unité commerciale.

Voici les administrateurs et les utilisateurs gérés par la configuration d’authentification de partition par défaut et la configuration spécifique de partition dans une appliance partitionnée.

John : Administrateur racine

George : Administrateur de partition

Adam : Utilisateur système

Jane : Utilisateur de partition

John, est l’administrateur racine d’une appliance Citrix ADC partitionnée. John gère tous les comptes d’utilisateurs et comptes d’utilisateurs administratifs entre les partitions (par exemple, P1, P2, P3, P4 et P5) au sein de l’appliance. Il fournit un accès granulaire basé sur les rôles aux entités à partir de la partition par défaut de l’appliance. John crée des comptes d’utilisateurs et attribue un accès à la partition à chaque compte. George étant un ingénieur réseau au sein de l’organisation préfère avoir un accès basé sur le rôle à quelques applications s’exécutant sur la partition P2. Basé sur la gestion des utilisateurs, John crée un rôle d’administrateur de partition pour George et associe son compte utilisateur à la stratégie de commande partition-admin dans la partition P2. Adam étant un autre ingénieur réseau préfère accéder à une application exécutée sur P2. John crée un compte d’utilisateur système pour Adam et associe son compte d’utilisateur à la partition P2. Une fois son compte créé, Adam peut se connecter à l’appliance pour accéder à l’interface Citrix ADC Management via l’adresse NSIP et passer à la partition P2 en fonction de la liaison utilisateur/groupe.

Supposons que Jane qui est un autre ingénieur réseau veuille accéder directement à une application exécutée uniquement sur la partition P2, George (administrateur de partition) peut créer un compte d’utilisateur de partition pour elle et associer son compte à des stratégies de commande pour les privilèges d’autorisation. Le compte utilisateur de Jane créé dans la partition est maintenant directement associé à P2. Maintenant, Jane peut accéder à l’interface Citrix ADC Management via l’adresse SNIP et ne peut pas basculer vers une autre partition.

Remarque

Si le compte d’utilisateur de Jane est créé par un administrateur de partition dans la partition P2, elle peut accéder à l’interface Citrix ADC Management uniquement via l’adresse SNIP (créée dans la partition) et n’est pas autorisée à accéder à l’interface via l’adresse NSIP. De même, si le compte d’utilisateur d’Adam est créé par un administrateur racine dans la partition par défaut et est lié à la partition P2, il peut accéder à l’interface Citrix ADC Management uniquement via l’adresse NSIP ou l’adresse SNIP créée dans la partition par défaut (avec l’accès de gestion activé) et n’est pas autorisé à accéder à l’interface de partition via l’adresse SNIP créée dans la partition administrative.

Configurer les rôles et les responsabilités des administrateurs de partition

Voici les configurations effectuées par un administrateur racine dans une partition par défaut.

Création de partitions d’administration et d’utilisateurs système : un administrateur racine crée des partitions d’administration et des utilisateurs système dans la partition par défaut de l’appliance. L’administrateur associe ensuite les utilisateurs à différentes partitions. Si vous êtes lié à une ou plusieurs partitions, vous pouvez basculer d’une partition à une autre en fonction des liaisons utilisateur. En outre, votre accès à une ou plusieurs partitions liées est autorisé uniquement par l’administrateur racine.

Autorisation d’un utilisateur système en tant qu’administrateur de partition pour une partition spécifique : une fois qu’un compte d’utilisateur est créé, l’administrateur racine bascule vers une partition spécifique et autorise l’utilisateur en tant qu’administrateur de partition. Ceci est fait en affectant la stratégie de commande partition-admin au compte d’utilisateur. Maintenant, l’utilisateur peut accéder à la partition en tant qu’administrateur de partition et gérer les entités au sein de la partition.

Voici les configurations effectuées par un administrateur de partition dans une partition administrative.

Configuration de l’adresse SNIP dans une partition administrative- L’administrateur de partition ouvre une session sur la partition et crée une adresse SNIP et donne accès à l’adresse à la direction.

Création et liaison d’un utilisateur de système de partition avec la stratégie de commande de partition - L’administrateur de partition crée des utilisateurs de partition et définit l’étendue de l’accès de l’utilisateur. Ceci est fait en liant le compte utilisateur aux stratégies de commande de partition.

Création et liaison d’un groupe d’utilisateurs de système de partition avec la stratégie de commande de partition - L’administrateur de partition crée des groupes d’utilisateurs de partition et définit l’étendue de l’accès aux groupes d’utilisateurs. Ceci est fait en liant le compte de groupe d’utilisateurs aux stratégies de commande de partition.

Configuration de l’authentification du serveur externe pour les utilisateurs externes (facultatif) - Cette configuration est effectuée pour authentifier les utilisateurs externes TACACS accédant à la partition à l’aide de l’adresse SNIP.

Voici les tâches effectuées dans la configuration de l’accès basé sur les rôles pour les utilisateurs de partition dans une partition administrative.

  1. Création d’une partition administrative : avant de créer des utilisateurs de partition dans une partition administrative, vous devez d’abord créer la partition. En tant qu’administrateur racine, vous pouvez créer une partition à partir de la partition par défaut à l’aide de l’utilitaire de configuration ou d’une interface de ligne de commande.
  2. Passage de l’accès utilisateur de la partition par défaut à la partition P2 : si vous êtes administrateur de partition accédant à l’appliance à partir de la partition par défaut, vous pouvez passer de la partition par défaut à une partition spécifique (par exemple, la partition P2) en fonction de la liaison par l’utilisateur.
  3. Ajout d’une adresse SNIP au compte utilisateur Partition avec l’accès Gestion activé - Une fois que vous avez changé d’accès à une partition d’administration, vous devez créer une adresse SNIP et fournir un accès de gestion à l’adresse.
  4. Création et liaison d’un utilisateur de système de partition avec la stratégie de commande de partition - Si vous êtes un administrateur de partition, vous pouvez créer des utilisateurs de partition et définir l’étendue de l’accès utilisateur. Ceci est fait en liant le compte utilisateur aux stratégies de commande de partition.
  5. Création et liaison d’un groupe d’utilisateurs Partition avec la stratégie de commande de partition - Si vous êtes un administrateur de partition, vous pouvez créer des groupes d’utilisateurs de partition et définir l’étendue du contrôle d’accès utilisateur. Ceci est fait en liant le compte du groupe d’utilisateurs aux stratégies de commande de partition.

Configuration de l’authentification du serveur externe pour les utilisateurs externes (facultatif) - Cette configuration est effectuée pour authentifier les utilisateurs externes TACACS accédant à la partition à l’aide de l’adresse SNIP.

Avantages de l’utilisation de partitions d’administration

Vous pouvez profiter des avantages suivants en utilisant des partitions d’administration pour votre déploiement :

  • Permet la délégation de la propriété administrative d’une application au client.
  • Réduit le coût de possession de ADC sans compromettre les performances et la facilité d’utilisation.
  • Protection contre les changements de configuration injustifiés. Dans une appliance Citrix ADC non partitionnée, les utilisateurs autorisés d’une autre application peuvent, intentionnellement ou involontairement, modifier les configurations requises pour votre application. Cela pourrait conduire à un comportement indésirable. Cette possibilité est réduite dans une appliance Citrix ADC partitionnée.
  • Isole le trafic entre différentes applications par l’utilisation de VLAN dédiés pour chaque partition.
  • Accélère et permet de mettre à l’échelle les déploiements d’applications.
  • Permet une gestion et des rapports au niveau de l’application ou localisés.

Laissez-nous analyser quelques cas pour comprendre les scénarios dans lesquels vous pouvez utiliser des partitions d’administration.

Cas d’utilisateur 1 : Utilisation de la partition Admin dans un réseau d’entreprise

Considérons un scénario rencontré par une société nommée Foo.com.

  • Foo.com a un seul Citrix ADC.
  • Il existe cinq départements et chaque département dispose d’une application qui doit être déployée avec Citrix ADC.
  • Chaque application doit être gérée indépendamment par un ensemble différent d’utilisateurs ou d’administrateurs.
  • Les autres utilisateurs doivent être empêchés d’accéder aux configurations.
  • L’application ou le back-end doit pouvoir partager des ressources telles que des adresses IP.
  • Le service informatique global doit être en mesure de contrôler les paramètres de niveau ADC Citrix qui doivent être communs à toutes les partitions.
  • Les demandes doivent être indépendantes les unes des autres. Une erreur dans la configuration d’une application ne doit pas affecter l’autre.

Un Citrix ADC non partitionné ne serait pas en mesure de satisfaire à ces exigences. Toutefois, vous pouvez satisfaire à toutes ces exigences en partitionnant un Citrix ADC.

Créez simplement une partition pour chacune des applications, affectez les utilisateurs requis aux partitions, spécifiez un VLAN pour chaque partition et définissez des paramètres globaux sur la partition par défaut.

Cas d’utilisation 2 : Comment une partition d’administration est utilisée par un fournisseur de services

Considérons un scénario rencontré par un fournisseur de services nommé BigProvider :

  • BigProvider compte 5 clients : 3 petites entreprises et 2 grandes entreprises.
  • SmallBiz, SmallerBizet StartupBiz n’ont besoin que des fonctionnalités de base de Citrix ADC.
  • BigBiz et LargeBiz sont de grandes entreprises et ont des applications qui attirent beaucoup de trafic. Ils aimeraient utiliser certaines des fonctionnalités plus complexes de Citrix ADC.

Dans une approche non partitionnée, l’administrateur Citrix ADC utiliserait généralement une appliance Citrix ADC SDX et provisionnerait une instance Citrix ADC pour chaque client.

Cette solution convient à BigBiz et LargeBiz car leurs applications nécessitent la puissance non diminuée de l’ensemble de l’appliance Citrix ADC non partitionnée. Toutefois, cette solution peut ne pas être aussi rentable pour la maintenance de SmallBiz, SmallerBizet StartupBiz.

Par conséquent, BigProvider décide de la solution suivante :

  • Utilisation d’une appliance Citrix ADC SDX pour mettre en place des instances Citrix ADC dédiées pour BigBiz et LargeBiz .
  • Utilisation d’un Citrix ADC qui est partitionné en trois partitions, une pour SmallBiz, SmallerBizet StartupBiz.

L’administrateur Citrix ADC (superutilisateur) crée une partition d’administration pour chacun de ces clients, spécifie les utilisateurs des partitions, spécifie les ressources Citrix ADC pour les partitions et spécifie le VLAN à utiliser par le trafic destiné à chacune des partitions.

Partitionnement d’administration