Documentation produit
Citrix ADC
Current Release 13.0 12.1 11.1
Voir PDF

Partition Admin

September 8, 2021
Contribution de: 
C

Une appliance Citrix ADC peut être partitionnée en entités logiques appelées partitions d’administration. Chaque partition peut être configurée et utilisée comme appliance Citrix ADC distincte. La figure suivante montre les partitions d’un Citrix ADC utilisées par différents clients et services :

Partition Admin

Une appliance Citrix ADC partitionnée possède une partition par défaut unique et une ou plusieurs partitions d’administration. Le tableau suivant fournit des informations supplémentaires sur les deux types de partitions :

Remarque

Dans une appliance partitionnée, le mode BridgeBPDU peut être activé uniquement dans la partition par défaut et non dans les partitions administratives.

Disponibilité :

L’appliance Citrix ADC est livrée avec une seule partition, appelée partition par défaut. La partition par défaut est conservée même après le partitionnement de l’appliance Citrix ADC.

Doit être créé explicitement comme décrit dans Configurer les partitions d’administration.

Nombre de partitions :

Un

Une appliance Citrix ADC peut comporter une ou plusieurs partitions d’administration (au maximum 512).

Accès utilisateur et rôles :

Tous les utilisateurs Citrix ADC, qui ne sont pas associés à une stratégie de commande spécifique à une partition, peuvent accéder à la partition par défaut et la configurer. Comme toujours, la stratégie de commande associée limite les opérations qu’un utilisateur peut effectuer.

L’accès utilisateur et les rôles sont créés par les superutilisateurs Citrix ADC qui spécifient également les utilisateurs de cette partition. Seuls les superutilisateurs et les utilisateurs associés de la partition peuvent accéder à la partition d’administration et la configurer.

Remarque

Les utilisateurs de partitions ne disposent pas d’un accès shell.

Structure du fichier :

Tous les fichiers d’une partition par défaut sont stockés dans la structure de fichiers Citrix ADC par défaut.

Par exemple, le répertoire /nsconfig stocke le fichier de configuration Citrix ADC et le répertoire /var/log/ stocke les journaux Citrix ADC.

Tous les fichiers d’une partition d’administration sont stockés dans des chemins d’accès au répertoire portant le nom de la partition d’administration.

Par exemple, le fichier de configuration Citrix ADC (ns.conf) est stocké dans le /nsconfig/partitions/<partitionName> répertoire. Les autres fichiers spécifiques à une partition sont stockés dans les /var/partitions/<partitionName> répertoires.

Voici d’autres chemins d’accès dans une partition d’administration :

  • Fichiers téléchargés : /var/partitions/<partitionName>/download/
  • Fichiers journaux : /var/partitions/<partitionName>/log/

Remarque

Actuellement, la journalisation n’est pas prise en charge au niveau de la partition. Par conséquent, ce répertoire est vide et tous les journaux sont stockés dans le /var/log/ répertoire.

  • Fichiers liés au certificat SSL CRL : /var/partitions/<partitionName>/netscaler/ssl

Ressources disponibles :

Toutes les ressources Citrix ADC.

Ressources Citrix ADC explicitement affectées à la partition d’administration.

Accès utilisateur et rôles

Lors de l’authentification et de l’autorisation d’une appliance Citrix ADC partitionnée, un administrateur racine peut affecter un administrateur de partition à une ou plusieurs partitions. L’administrateur de partition peut autoriser les utilisateurs à accéder à cette partition sans affecter d’autres partitions. Les utilisateurs de la partition sont autorisés à accéder uniquement à cette partition à l’aide de l’adresse SNIP. L’administrateur racine et l’administrateur de partition peuvent tous deux configurer l’accès basé sur les rôles (RBA) en autorisant les utilisateurs à accéder à différentes applications.

Les rôles des administrateurs et des utilisateurs peuvent être décrits comme suit :

Administrateur racine. Accède à l’appliance partitionnée via son adresse NSIP et peut accorder aux utilisateurs l’accès à une ou plusieurs partitions. L’administrateur peut également affecter des administrateurs de partition à une ou plusieurs partitions. L’administrateur peut créer un administrateur de partition à partir de la partition par défaut à l’aide d’une adresse NSIP ou passer à une partition, puis créer un utilisateur et attribuer un accès administrateur de partition à l’aide d’une adresse SNIP.

Administrateur de partition. Permet d’accéder à la partition spécifiée via une adresse NSIP attribuée par l’administrateur racine. L’administrateur peut attribuer un accès basé sur les rôles à l’accès utilisateur de partition à cette partition et également configurer l’authentification du serveur externe à l’aide d’une configuration spécifique à la partition.

Utilisateur système. Permet d’accéder aux partitions via l’adresse NSIP. Permet d’accéder aux partitions et aux ressources spécifiées par l’administrateur racine.

Utilisateur de partition. Permet d’accéder à une partition via une adresse SNIP. Le compte utilisateur est créé par l’administrateur de partition et l’utilisateur a accès aux ressources, uniquement au sein de la partition.

Points à retenir

Voici quelques points à retenir lorsque vous fournissez un accès basé sur les rôles dans une partition.

  1. Les utilisateurs Citrix ADC qui accèdent à l’interface graphique via l’adresse NSIP utilisent la configuration d’authentification de partition par défaut pour se connecter à l’appliance.
  2. Les utilisateurs du système de partition qui accèdent à l’interface graphique via une adresse SNIP de partition utilisent une configuration d’authentification spécifique à la partition pour se connecter à l’appliance.
  3. L’utilisateur de partition créé dans une partition ne peut pas se connecter à l’aide de l’adresse NSIP.
  4. L’utilisateur Citrix ADC lié à une partition ne peut pas se connecter à l’aide de l’adresse SNIP de la partition.
  5. Les utilisateurs système qui s’authentifient via un serveur d’authentification externe (par exemple, LDAP, RADIUS, TACACS) doivent accéder à une partition via une adresse SNIP.

Cas d’utilisation pour gérer l’accès basé sur les rôles dans une configuration partitionnée

Pensez à un scénario dans lequel une organisation d’entreprise, www.exemple.com, dispose de plusieurs unités commerciales et d’un administrateur centralisé qui gère toutes les instances de son réseau. Toutefois, ils souhaitent fournir des privilèges utilisateur et un environnement exclusifs à chaque unité commerciale.

Voici les administrateurs et les utilisateurs gérés par la configuration d’authentification de partition par défaut et la configuration spécifique à la partition dans une appliance partitionnée.

John : Administrateur racine

George : Administrateur de partition

Adam : Utilisateur système

Jane : Utilisateur de partition

John, est l’administrateur racine d’une appliance Citrix ADC partitionnée. John gère tous les comptes utilisateur et les comptes d’utilisateurs administratifs sur les partitions (par exemple, P1, P2, P3, P4 et P5) au sein de l’appliance. John fournit un accès granulaire basé sur les rôles aux entités à partir de la partition par défaut de la solution matérielle-logicielle. John crée des comptes d’utilisateurs et attribue un accès à une partition à chaque compte. George étant ingénieur réseau au sein de l’organisation, il préfère disposer d’un accès basé sur les rôles à quelques applications exécutées sur la partition P2. Basé sur la gestion des utilisateurs, John crée un rôle d’administrateur de partition pour George et associe son compte utilisateur à une stratégie de commande partition-admin dans la partition P2. Adam étant un autre ingénieur réseau, il préfère accéder à une application exécutée sur P2. John crée un compte d’utilisateur système pour Adam et associe son compte d’utilisateur à une partition P2. Une fois le compte créé, Adam peut se connecter à l’appliance pour accéder à l’interface de gestion Citrix ADC via l’adresse NSIP et peut passer à la partition P2 en fonction de la liaison utilisateur/groupe.

Supposons que Jane, qui est une autre ingénieure réseau, veuille accéder directement à une application exécutée uniquement sur la partition P2, George (administrateur de partition) peut créer un compte d’utilisateur de partition pour elle et associer son compte à des stratégies de commande pour les privilèges d’autorisation. Le compte utilisateur de Jane créé dans la partition est désormais directement associé à P2. Jane peut désormais accéder à l’interface de gestion Citrix ADC via l’adresse SNIP et ne peut passer à aucune autre partition.

Remarque

Si le compte utilisateur de Jane est créé par un administrateur de partition dans la partition P2, l’administrateur peut accéder à l’interface de gestion Citrix ADC uniquement via l’adresse SNIP (créée dans la partition). L’administrateur n’est pas autorisé à accéder à l’interface via l’adresse NSIP. De même, si le compte utilisateur d’Adam est créé par un administrateur racine dans la partition par défaut et est lié à une partition P2. L’administrateur peut accéder à l’interface de gestion Citrix ADC uniquement via l’adresse NSIP ou l’adresse SNIP créée dans la partition par défaut (avec accès de gestion activé). Il n’est pas autorisé à accéder à l’interface de partition via l’adresse SNIP créée dans la partition administrative.

Configurer les rôles et les responsabilités des administrateurs de partitions

Voici les configurations exécutées par un administrateur racine dans une partition par défaut.

Création de partitions administratives et d’utilisateurs système : un administrateur racine crée des partitions administratives et des utilisateurs système dans la partition par défaut de l’appliance. L’administrateur associe ensuite les utilisateurs à différentes partitions. Si vous êtes lié à une ou plusieurs partitions, vous pouvez passer d’une partition à une autre en fonction des liaisons utilisateur. En outre, votre accès à une ou plusieurs partitions liées est autorisé uniquement par l’administrateur racine.

Autorisation de l’utilisateur système en tant qu’administrateur de partition pour une partition spécifique : une fois qu’un compte d’utilisateur est créé, l’administrateur racine passe à une partition spécifique et autorise l’utilisateur en tant qu’administrateur de partition. Cela se fait en attribuant une stratégie de commande partition-admin au compte utilisateur. L’utilisateur peut désormais accéder à la partition en tant qu’administrateur de partition et gérer les entités au sein de la partition.

Voici les configurations exécutées par un administrateur de partition dans une partition administrative.

Configuration de l’adresse SNIP dans une partition administrative : l’administrateur de la partition se connecte à la partition, crée une adresse SNIP et fournit un accès de gestion à l’adresse.

Création et liaison d’un utilisateur de système de partition avec une stratégie de commande de partition - L’administrateur de partition crée des utilisateurs de partition et définit la portée de l’accès des utilisateurs. Cela se fait en liant le compte utilisateur aux stratégies de commande de partition.

Création et liaison d’un groupe d’utilisateurs de système de partition avec une stratégie de commande de partition -L’administrateur de partition crée des groupes d’utilisateurs de partitions et définit la portée de l’accès aux groupes d’utilisateurs. Cela se fait en liant le compte du groupe d’utilisateurs aux stratégies de commande de partition.

Configuration de l’authentification du serveur externe pour les utilisateurs externes (facultatif) -Cette configuration permet d’authentifier les utilisateurs TACACS externes accédant à la partition à l’aide de l’adresse SNIP.

Voici les tâches exécutées lors de la configuration de l’accès basé sur les rôles pour les utilisateurs de partitions dans une partition administrative.

  1. Création d’une partition administrative : avant de créer des utilisateurs de partition dans une partition administrative, vous devez d’abord créer la partition. En tant qu’administrateur racine, vous pouvez créer une partition à partir de la partition par défaut à l’aide de l’utilitaire de configuration ou d’une interface de ligne de commande.
  2. Passage de l’accès utilisateur de la partition par défaut à la partition P2 — Si vous êtes administrateur de partition qui accède à l’appliance à partir de la partition par défaut, vous pouvez passer de la partition par défaut à une partition spécifique. Par exemple, partition P2 basée sur la liaison utilisateur.
  3. Ajout d’une adresse SNIP au compte utilisateur de partition avec accès de gestion activé une fois que vous avez basculé votre accès à une partition d’administration. Vous créez une adresse SNIP et fournissez un accès de gestion à cette adresse.
  4. Stratégie de création et de liaison d’un utilisateur système de partition avec Partition Command Policy - Si vous êtes administrateur de partition, vous pouvez créer des utilisateurs de partition et définir la portée de l’accès utilisateur. Cela se fait en liant le compte utilisateur aux stratégies de commande de partition.
  5. Création et liaison d’un groupe d’utilisateurs de partitions à l’aide d’une stratégie de commande de partition - Si vous êtes administrateur de partitions, vous pouvez créer des groupes d’utilisateurs de partitions et définir la portée du contrôle d’accès utilisateur. Cela se fait en liant le compte du groupe d’utilisateurs aux stratégies de commande de partition.

Configuration de l’authentification du serveur externe pour les utilisateurs externes (facultatif) -Cette configuration permet d’authentifier les utilisateurs TACACS externes accédant à la partition à l’aide d’une adresse SNIP.

Avantages de l’utilisation de partitions d’administration

Vous pouvez profiter des avantages suivants en utilisant des partitions d’administration pour votre déploiement :

  • Permet de déléguer la propriété administrative d’une application au client.
  • Réduit le coût de possession d’ADC sans compromettre les performances et la facilité d’utilisation.
  • Protège contre les modifications injustifiées de configuration. Dans une appliance Citrix ADC non partitionnée, les utilisateurs autorisés de l’autre application peuvent modifier intentionnellement ou involontairement les configurations requises pour votre application. Cela peut entraîner un comportement indésirable. Cette possibilité est réduite dans une appliance Citrix ADC partitionnée.
  • Isole le trafic entre différentes applications en utilisant des VLAN dédiés pour chaque partition.
  • Accélère et permet aux déploiements d’applications d’évoluer.
  • Permet une gestion et des rapports au niveau de l’application ou localisés.

Laissez-nous analyser quelques cas pour comprendre les scénarios dans lesquels vous pouvez utiliser des partitions d’administration.

Cas d’utilisateur 1 : comment la partition d’administration est utilisée dans un réseau d’entreprise

Considérons un scénario auquel est confrontée une entreprise nommée Foo.com.

  • Foo.com possède un seul Citrix ADC.
  • Il existe cinq départements et chaque département possède une application qui doit être déployée avec Citrix ADC.
  • Chaque application doit être gérée indépendamment par un ensemble différent d’utilisateurs ou d’administrateurs.
  • Les autres utilisateurs doivent être limités à accéder aux configurations.
  • L’application ou le back-end doit pouvoir partager des ressources telles que des adresses IP.
  • Le service informatique mondial doit être en mesure de contrôler les paramètres de niveau Citrix ADC qui doivent être communs à toutes les partitions.
  • Les demandes doivent être indépendantes les unes des autres. Une erreur dans la configuration d’une application ne doit pas affecter l’autre.

Un Citrix ADC non partitionné ne serait pas en mesure de satisfaire ces exigences. Toutefois, vous pouvez répondre à toutes ces exigences en partitionnant un Citrix ADC.

Il suffit de créer une partition pour chacune des applications, d’attribuer les utilisateurs requis aux partitions, de spécifier un VLAN pour chaque partition et de définir des paramètres globaux sur la partition par défaut.

Cas d’utilisation 2 : comment une partition d’administration est utilisée par un fournisseur de services

Considérons un scénario auquel est confronté un fournisseur de services nommé BigProvider :

  • BigProvider compte 5 clients : 3 petites entreprises et 2 grandes entreprises.
  • SmallBiz, SmallBizet StartupBiz n’ont besoin que des fonctionnalités Citrix ADC les plus basiques.
  • BigBiz et LargeBiz sont de grandes entreprises et ont des applications qui attirent un trafic important. Ils aimeraient utiliser certaines des fonctionnalités Citrix ADC les plus complexes.

Dans une approche non partitionnée, l’administrateur Citrix ADC utilise généralement une appliance Citrix ADC SDX et provisionne une instance Citrix ADC pour chaque client.

La solution convient à BigBiz et LargeBiz car leurs applications ont besoin de la puissance non diminuée de l’ensemble de l’appliance Citrix ADC non partitionnée. Toutefois, cette solution peut ne pas être aussi rentable pour l’entretien de SmallBiz, SmallBizetStartupBiz.

Par conséquent, BigProvider décide de la solution suivante :

  • Utilisation d’une appliance Citrix ADC SDX pour créer des instances Citrix ADC dédiées pour BigBiz et LargeBiz.
  • Utiliser une seule Citrix ADC partitionnée en trois partitions, une pour SmallBiz, SmallBizet StartupBiz.

L’administrateur Citrix ADC (superutilisateur) crée une partition d’administration pour chacun de ces clients et spécifie les utilisateurs des partitions. Et spécifie également les ressources Citrix ADC pour les partitions, et spécifie le VLAN à utiliser par le trafic destiné à chacune des partitions.

Partition Admin
September 8, 2021
Contribution de: 
C
September 8, 2021
Contribution de: 
C

Dans cet article

Commentaires sur le site | Confidentialité et mentions légales | Préférences de cookies | Consent Settings
© 1999- Citrix Systems, Inc. All rights reserved.