In Citrix ADC 13.0
In Citrix ADC
In All products
Documentation produit
In Citrix ADC 13.0
In Citrix ADC
In All products
Citrix ADC
Current Release 12.1 12.0 11.1 10.5
Voir PDF

Partition d’administrateur

January 21, 2021
Contribution de: 
C

Une appliance Citrix ADC peut être partitionnée en entités logiques appelées partitions d’administration. Chaque partition peut être configurée et utilisée en tant qu’appliance Citrix ADC distincte. La figure suivante montre les partitions d’un Citrix ADC utilisé par différents clients et services :

Partition d'administrateur

Une appliance Citrix ADC partitionnée possède une seule partition par défaut et une ou plusieurs partitions d’administration. Le tableau suivant fournit des détails supplémentaires sur les deux types de partitions :

Remarque

Dans une appliance partitionnée, le mode BridgeBPDU ne peut être activé que dans la partition par défaut et non dans les partitions administratives.

Disponibilité :

L’appliance Citrix ADC est livrée avec une seule partition, appelée partition par défaut. La partition par défaut est conservée même après le partitionnement de l’appliance Citrix ADC.

Doit être explicitement créé comme décrit à la section Configurer les partitions d’administration.

Nombre de partitions :

Une

Une appliance Citrix ADC peut avoir une ou plusieurs partitions d’administration (maximum 512).

Accès utilisateur et rôles :

Tous les utilisateurs Citrix ADC, qui ne sont pas associés à une stratégie de commande spécifique à une partition, peuvent accéder à la partition par défaut et la configurer. Comme toujours, la stratégie de commande associée limite les opérations qu’un utilisateur peut effectuer.

L’accès utilisateur et les rôles sont créés par les superutilisateurs Citrix ADC qui spécifient également les utilisateurs de cette partition. Seuls les superutilisateurs et les utilisateurs associés de la partition peuvent accéder à la partition d’administration et la configurer.

Remarque

Les utilisateurs de partition n’ont pas d’accès shell.

Structure du fichier :

Tous les fichiers d’une partition par défaut sont stockés dans la structure de fichiers Citrix ADC par défaut.

Par exemple, le répertoire /nsconfig stocke le fichier de configuration Citrix ADC et le répertoire /var/log/ stocke les journaux Citrix ADC.

Tous les fichiers d’une partition d’administration sont stockés dans des chemins d’accès de répertoire qui portent le nom de la partition d’administration.

Par exemple, le fichier de configuration Citrix ADC (ns.conf) est stocké dans le répertoire /nsconfig/partitions/<partitionName>. D’autres fichiers spécifiques à une partition sont stockés dans les répertoires /var/partitions/<partitionName>.

Quelques autres chemins d’accès dans une partition d’administration :

  • Fichiers téléchargés :/var/partitions/<partitionName>/download/
  • Fichiers journaux : /var/partitions/<partitionName>/log/

Remarque

Actuellement, la journalisation n’est pas prise en charge au niveau de la partition. Par conséquent, ce répertoire est vide et tous les journaux sont stockés dans le répertoire /var/log/.

  • Fichiers liés au certificat SSL CRL : /var/partitions/<partitionName>/netscaler/ssl

Ressources disponibles :

Toutes les ressources Citrix ADC.

Ressources Citrix ADC qui sont explicitement affectées à la partition d’administration.

Accès des utilisateurs et rôles

Lors de l’authentification et de l’autorisation d’une appliance Citrix ADC partitionnée, un administrateur racine peut affecter un administrateur de partition à une ou plusieurs partitions. L’administrateur de partition peut autoriser les utilisateurs à accéder à cette partition sans affecter les autres partitions. Les utilisateurs de partition sont autorisés à accéder uniquement à cette partition à l’aide de l’adresse SNIP. L’administrateur racine et l’administrateur de partition peuvent configurer l’accès basé sur les rôles (RBA en autorisant les utilisateurs à accéder à différentes applications.

Les rôles des administrateurs et des utilisateurs peuvent être décrits comme suit :

Administrateur racine. Accède à l’appliance partitionnée via son adresse NSIP et peut accorder à l’utilisateur l’accès à une ou plusieurs partitions. L’administrateur peut également affecter des administrateurs de partition à une ou plusieurs partitions. L’administrateur peut créer un administrateur de partition à partir de la partition par défaut à l’aide d’une adresse NSIP ou passer à une partition, puis créer un utilisateur et attribuer un accès administrateur à la partition à l’aide d’une adresse SNIP.

Administrateur de partition. Accède à la partition spécifiée via une adresse NSIP attribuée par l’administrateur racine. L’administrateur peut attribuer un accès basé sur les rôles à l’accès utilisateur de partition à cette partition et également configurer l’authentification du serveur externe à l’aide de la configuration spécifique de la partition.

Utilisateur système. Accède aux partitions via l’adresse NSIP. A accès aux partitions et aux ressources spécifiées par l’administrateur racine.

Partition utilisateur. Accède à une partition via une adresse SNIP. Le compte d’utilisateur est créé par l’administrateur de partition et l’utilisateur a accès aux ressources, uniquement à l’intérieur de la partition.

Points à retenir

Voici quelques points à retenir lors de la fourniture d’un accès basé sur les rôles dans une partition.

  1. Les utilisateurs Citrix ADC accédant à l’interface graphique via l’adresse NSIP utilisent la configuration d’authentification de partition par défaut pour ouvrir une session sur l’appliance.
  2. Les utilisateurs du système de partition qui accèdent à l’interface graphique via une adresse SNIP de partition utilisent la configuration d’authentification spécifique à la partition pour se connecter à l’appliance.
  3. L’utilisateur de partition créé dans une partition ne peut pas se connecter à l’aide de l’adresse NSIP.
  4. L’utilisateur Citrix ADC lié à une partition ne peut pas se connecter à l’aide de l’adresse SNIP de partition.
  5. Utilisateurs externes accédant à une partition via la configuration du serveur externe en tant que LDAP, RADIUS ou TACACS ajoutés dans la partition. L’utilisateur doit accéder à l’aide de l’adresse SNIP pour se connecter directement à la partition.

Cas d’utilisation pour gérer l’accès basé sur les rôles dans une configuration partitionnée

Considérez un scénario où une organisation d’entreprise, www.example.com, a plusieurs unités commerciales et un administrateur centralisé qui gère toutes les instances de leur réseau. Cependant, ils veulent fournir des privilèges utilisateur et un environnement exclusifs pour chaque unité commerciale.

Voici les administrateurs et les utilisateurs gérés par la configuration d’authentification de partition par défaut et la configuration spécifique de partition dans une appliance partitionnée.

John : Administrateur racine

George : Administrateur de partition

Adam : Utilisateur système

Jane : Utilisateur de partition

John, est l’administrateur racine d’une appliance Citrix ADC partitionnée. John gère tous les comptes d’utilisateurs et comptes d’utilisateurs administratifs entre les partitions (par exemple, P1, P2, P3, P4 et P5) au sein de l’appliance. John fournit un accès granulaire basé sur les rôles aux entités à partir de la partition par défaut de l’appliance. John crée des comptes d’utilisateurs et attribue un accès à la partition à chaque compte. George étant un ingénieur réseau au sein de l’organisation préfère avoir un accès basé sur le rôle à quelques applications s’exécutant sur la partition P2. Basé sur la gestion des utilisateurs, John crée un rôle d’administrateur de partition pour George et associe son compte utilisateur à une stratégie de commande partition-admin dans la partition P2. Adam étant un autre ingénieur réseau préfère accéder à une application exécutée sur P2. John crée un compte d’utilisateur système pour Adam et associe son compte d’utilisateur à une partition P2. Une fois le compte créé, Adam peut se connecter à l’appliance pour accéder à l’interface de gestion Citrix ADC via l’adresse NSIP et peut basculer vers la partition P2 en fonction de la liaison utilisateur/groupe.

Supposons que Jane qui est un autre ingénieur réseau veuille accéder directement à une application exécutée uniquement sur la partition P2, George (administrateur de partition) peut créer un compte d’utilisateur de partition pour elle et associer son compte à des stratégies de commande pour les privilèges d’autorisation. Le compte utilisateur de Jane créé dans la partition est maintenant directement associé à P2. À présent, Jane peut accéder à l’interface de gestion Citrix ADC via l’adresse SNIP et ne peut pas basculer vers une autre partition.

Remarque

Si le compte d’utilisateur de Jane est créé par un administrateur de partition dans la partition P2, l’administrateur ne peut accéder à l’interface de gestion Citrix ADC que via l’adresse SNIP (créée dans la partition). L’administrateur n’est pas autorisé à accéder à l’interface via l’adresse NSIP. De même, si le compte d’utilisateur d’Adam est créé par un administrateur racine dans la partition par défaut et est lié à une partition P2. L’administrateur peut accéder à l’interface de gestion Citrix ADC uniquement via l’adresse NSIP ou l’adresse SNIP créée dans la partition par défaut (avec accès à la gestion activé). Et non autorisé à accéder à l’interface de partition via l’adresse SNIP créée dans la partition administrative.

Configurer les rôles et les responsabilités des administrateurs de partition

Voici les configurations effectuées par un administrateur racine dans une partition par défaut.

Création de partitions d’administration et d’utilisateurs système : un administrateur racine crée des partitions d’administration et des utilisateurs système dans la partition par défaut de l’appliance. L’administrateur associe ensuite les utilisateurs à différentes partitions. Si vous êtes lié à une ou plusieurs partitions, vous pouvez basculer d’une partition à une autre en fonction des liaisons utilisateur. En outre, votre accès à une ou plusieurs partitions liées est autorisé uniquement par l’administrateur racine.

Autorisation de l’utilisateur système en tant qu’administrateur de partition pour une partition spécifique — Une fois qu’un compte utilisateur est créé, l’administrateur racine bascule vers une partition spécifique et autorise l’utilisateur en tant qu’administrateur de partition. Cela se fait en affectant la stratégie de commande partition-admin au compte d’utilisateur. Maintenant, l’utilisateur peut accéder à la partition en tant qu’administrateur de partition et gérer les entités au sein de la partition.

Voici les configurations effectuées par un administrateur de partition dans une partition administrative.

Configuration de l’adresse SNIP dans une partition administrative - L’administrateur de partition ouvre une session sur la partition et crée une adresse SNIP et fournit l’accès de la direction à l’adresse.

Création et liaison d’un utilisateur de système de partition avec une stratégie de commande de partition - L’administrateur de partition crée des utilisateurs de partition et définit l’étendue de l’accès utilisateur. Cela se fait en liant le compte d’utilisateur à partitionner les stratégies de commande.

Création et liaison d’un groupe d’utilisateurs de système de partition avec la stratégie de commande de partition - L’administrateur de partition crée des groupes d’utilisateurs de partition et définit l’étendue de l’accès aux groupes d’utilisateurs. Cela se fait en liant le compte de groupe d’utilisateurs aux stratégies de commande de partition.

Configuration de l’authentification du serveur externe pour les utilisateurs externes (facultatif) -Cette configuration permet d’authentifier les utilisateurs TACACS externes accédant à la partition à l’aide de l’adresse SNIP.

Voici les tâches effectuées dans la configuration de l’accès basé sur les rôles pour les utilisateurs de partition dans une partition administrative.

  1. Création d’une partition administrative : avant de créer des utilisateurs de partition dans une partition administrative, vous devez d’abord créer la partition. En tant qu’administrateur racine, vous pouvez créer une partition à partir de la partition par défaut à l’aide de l’utilitaire de configuration ou d’une interface de ligne de commande.
  2. Basculement de l’accès utilisateur de la partition par défaut à la partition P2 — Si vous êtes administrateur de partition accédant à l’appliance à partir de la partition par défaut, vous pouvez passer d’une partition par défaut à une partition spécifique. Par exemple, partition P2 basée sur la liaison utilisateur.
  3. Ajout d’une adresse SNIP au compte utilisateur de partition avec accès de gestion activé - Une fois que vous avez changé d’accès à une partition d’administration. Vous créez une adresse SNIP et fournissez un accès de gestion à l’adresse.
  4. Création et liaison d’une partition utilisateur système avec la stratégie de commande Partition - Si vous êtes un administrateur de partition, vous pouvez créer des utilisateurs de partition et définir l’étendue de l’accès utilisateur. Cela se fait en liant le compte d’utilisateur à partitionner les stratégies de commande.
  5. Création et liaison d’un groupe d’utilisateurs de partition avec une stratégie de commande de partition - Si vous êtes administrateur de partition, vous pouvez créer des groupes d’utilisateurs de partition et définir l’étendue du contrôle d’accès utilisateur. Cela se fait en liant le compte de groupe d’utilisateurs aux stratégies de commande de partition.

Configuration de l’authentification du serveur externe pour les utilisateurs externes (facultatif) -Cette configuration permet d’authentifier les utilisateurs TACACS externes qui accèdent à la partition à l’aide d’une adresse SNIP.

Avantages de l’utilisation de partitions d’administration

Vous pouvez profiter des avantages suivants en utilisant des partitions d’administration pour votre déploiement :

  • Permet la délégation de la propriété administrative d’une application au client.
  • Réduit le coût de possession de ADC sans compromettre les performances et la facilité d’utilisation.
  • Protection contre les changements de configuration injustifiés. Dans une appliance Citrix ADC non partitionnée, les utilisateurs autorisés de l’autre application peuvent modifier intentionnellement ou non les configurations requises pour votre application. Cela peut conduire à un comportement indésirable. Cette possibilité est réduite dans une appliance Citrix ADC partitionnée.
  • Isole le trafic entre différentes applications par l’utilisation de VLAN dédiés pour chaque partition.
  • Accélère et permet aux déploiements d’applications d’évoluer.
  • Permet une gestion et des rapports au niveau de l’application ou localisés.

Laissez-nous analyser quelques cas pour comprendre les scénarios dans lesquels vous pouvez utiliser des partitions d’administration.

Cas utilisateur 1 : Comment la partition d’administrateur est utilisée dans un réseau d’entreprise

Considérons un scénario rencontré par une société nommée Foo.com.

  • Foo.com a un seul Citrix ADC.
  • Il existe cinq départements et chaque département dispose d’une application qui doit être déployée avec Citrix ADC.
  • Chaque application doit être gérée indépendamment par un ensemble différent d’utilisateurs ou d’administrateurs.
  • Les autres utilisateurs doivent être empêchés d’accéder aux configurations.
  • L’application ou le back-end doit pouvoir partager des ressources telles que des adresses IP.
  • Le service informatique global doit être en mesure de contrôler les paramètres de niveau ADC Citrix qui doivent être communs à toutes les partitions.
  • Les demandes doivent être indépendantes les unes des autres. Une erreur dans la configuration d’une application ne doit pas affecter l’autre.

Un Citrix ADC non partitionné ne serait pas en mesure de satisfaire à ces exigences. Toutefois, vous pouvez satisfaire à toutes ces exigences en partitionnant un Citrix ADC.

Créez simplement une partition pour chacune des applications, affectez les utilisateurs requis aux partitions, spécifiez un VLAN pour chaque partition et définissez des paramètres globaux sur la partition par défaut.

Cas d’utilisation 2 : Comment une partition d’administration est utilisée par un fournisseur de services

Considérons un scénario rencontré par un fournisseur de services nommé BigProvider :

  • BigProvider compte 5 clients : 3 petites entreprises et 2 grandes entreprises.
  • SmallBiz, SmallerBizet StartupBiz n’ont besoin que des fonctionnalités de base de Citrix ADC.
  • BigBiz et LargeBiz sont des entreprises de plus grande taille et ont des applications qui attirent le trafic lourd. Ils aimeraient utiliser certaines des fonctionnalités plus complexes de Citrix ADC.

Dans une approche non partitionnée, l’administrateur Citrix ADC utiliserait généralement une appliance Citrix ADC SDX et provisionnerait une instance Citrix ADC pour chaque client.

La solution convient à BigBiz et LargeBiz car leurs applications ont besoin de la puissance non diminuée de l’ensemble de l’appliance Citrix ADC non partitionnée. Toutefois, cette solution peut ne pas être aussi rentable pour la maintenance de SmallBiz, SmallerBizet StartupBiz.

Par conséquent, BigProvider décide de la solution suivante :

  • Utilisation d’une appliance Citrix ADC SDX pour mettre en place des instances Citrix ADC dédiées pour BigBiz et LargeBiz .
  • Utilisation d’un Citrix ADC qui est partitionné en trois partitions, une pour SmallBiz, SmallerBizet StartupBiz.

L’administrateur Citrix ADC (superutilisateur) crée une partition d’administration pour chacun de ces clients et spécifie les utilisateurs pour les partitions. Et spécifie également les ressources Citrix ADC pour les partitions, et spécifie le VLAN à utiliser par le trafic destiné à chacune des partitions.

Partition d’administrateur
January 21, 2021
Contribution de: 
C
January 21, 2021
Contribution de: 
C

Dans cet article