Ambienti di virtualizzazione AWS
Questo articolo descrive come configurare il proprio account AWS come posizione delle risorse da utilizzare con Citrix DaaS. La posizione delle risorse viene utilizzata per il provisioning dei carichi di lavoro in AWS EC2 e nelle istanze gestite di Amazon WorkSpaces Core. Per l’elenco dei tipi di sistema operativo supportati per le istanze gestite di Amazon WorkSpaces Core, consultare VDA nelle istanze gestite di Amazon WorkSpaces Core.
Confronto tra diverse posizioni delle risorse configurabili: MCS per AWS EC2, MCS per istanze gestite di Amazon WorkSpaces Core e Quick Deploy per bundle di Amazon WorkSpaces Core.
| MCS per AWS EC2 | MCS per istanze gestite di Amazon WorkSpaces Core | Quick Deploy per bundle di Amazon WorkSpaces Core |
|---|---|---|
| Citrix® gestisce il provisioning delle VM nel proprio account AWS | Citrix gestisce il provisioning delle VM nel proprio account AWS | Amazon gestisce il provisioning delle VM nell’account WorkSpaces gestito da AWS |
| Workflow MCS avanzato per la gestione del ciclo di vita delle VM | Workflow MCS avanzato per la gestione del ciclo di vita delle VM | Workflow rapido e semplice in 5 passaggi |
| Istanze EC2 | Istanze gestite di WorkSpaces Core (utilizzano istanze EC2 on-demand avviate direttamente nel proprio account AWS) | Bundle WorkSpaces, capacità completamente gestita da AWS (astrazione di livello superiore) |
| Nessun supporto per licenze Microsoft 365 | Supporto BYOL Microsoft 365 | Supporto BYOL Microsoft 365 |
| Windows Server, Windows Desktop e Linux | Windows Server, Windows Desktop e Linux | Windows Server, Windows Desktop |
| VM non persistenti e persistenti | VM non persistenti (disponibili) e VM persistenti (in arrivo) | Solo VM persistenti |
| Solo Pay-as-you-go | Pay-as-you-go | Solo prezzo fisso mensile |
| Citrix DaaS e Citrix Virtual Apps and Desktops™ | Citrix DaaS (disponibile) e Citrix Virtual Apps and Desktops (in arrivo) | Solo Citrix DaaS |
La posizione delle risorse include un set di componenti di base, ideale per una prova di concetto o per altre distribuzioni che non richiedono risorse distribuite su più zone di disponibilità.
Una volta completate le attività descritte in questo articolo, la posizione delle risorse includerà i seguenti componenti:
- Un cloud privato virtuale (VPC) con subnet pubbliche e private all’interno di una singola zona di disponibilità.
- Un’istanza che funge sia da controller di dominio Active Directory che da server DNS, situata nella subnet privata del VPC.
- Due istanze unite al dominio su cui è installato Citrix Cloud Connector™, situate nella subnet privata del VPC.
- Un’istanza che funge da bastion host, situata nella subnet pubblica del VPC. Questa istanza viene utilizzata per avviare connessioni RDP alle istanze nella subnet privata a scopo amministrativo. Dopo aver completato la configurazione della posizione delle risorse, è possibile arrestare questa istanza in modo che non sia più facilmente accessibile. Quando è necessario gestire altre istanze nella subnet privata, come le istanze VDA, è possibile riavviare l’istanza del bastion host.
Dopo aver completato le attività, è possibile installare VDA, eseguire il provisioning delle macchine, creare cataloghi di macchine e creare gruppi di consegna.
Panoramica delle attività
Configurare un cloud privato virtuale (VPC) con subnet pubbliche e private. Una volta completata questa attività, AWS distribuisce gateway NAT con un indirizzo IP elastico nella subnet pubblica. Ciò consente alle istanze nella subnet privata di accedere a Internet. Le istanze nella subnet pubblica sono accessibili al traffico pubblico in entrata, mentre le istanze nella subnet privata non lo sono.
Configurare i gruppi di sicurezza. I gruppi di sicurezza fungono da firewall virtuali che controllano il traffico per le istanze nel VPC. È possibile aggiungere regole ai gruppi di sicurezza che consentono alle istanze nella subnet pubblica di comunicare con le istanze nella subnet privata. È inoltre possibile associare questi gruppi di sicurezza a ogni istanza nel VPC.
Creare un set di opzioni DHCP. I servizi Amazon VPC, DHCP e DNS sono forniti per impostazione predefinita, il che influisce sul modo in cui si configura il DNS sul controller di dominio Active Directory. Il DHCP di Amazon non può essere disabilitato e il DNS di Amazon può essere utilizzato solo per la risoluzione DNS pubblica, non per la risoluzione dei nomi di Active Directory. Per specificare il dominio e i server dei nomi forniti alle istanze tramite DHCP, creare un set di opzioni DHCP. Il set assegna il suffisso del dominio Active Directory e specifica il server DNS per tutte le istanze nel VPC. Per garantire che i record Host (A) e Reverse Lookup (PTR) vengano registrati automaticamente quando le istanze si uniscono al dominio, è necessario configurare le proprietà della scheda di rete per ogni istanza aggiunta alla subnet privata.
Aggiungere un bastion host, un controller di dominio e Cloud Connector al VPC. Tramite il bastion host, è possibile accedere alle istanze nella subnet privata per configurare il dominio, unire le istanze al dominio e installare il Cloud Connector.
Attività 1: Configurare il VPC
- Dalla console di gestione AWS, selezionare VPC.
- Dalla Dashboard VPC, selezionare Create VPC (Crea VPC).
- Selezionare VPC and more (VPC e altro).
- Sotto NAT gateways ($), selezionare In 1 AZ (In 1 AZ) o 1 per AZ.
- Sotto DNS options (Opzioni DNS), lasciare selezionato Enable DNS hostnames (Abilita nomi host DNS).
- Selezionare Create VPC (Crea VPC). AWS crea le subnet pubbliche e private, il gateway Internet, le tabelle di routing e il gruppo di sicurezza predefinito.
Nota:
La modifica del nome di un Virtual Private Cloud (VPC) AWS nella console AWS interrompe l’unità di hosting esistente in Citrix Cloud. Quando l’unità di hosting è interrotta, non è possibile creare cataloghi o aggiungere macchine a cataloghi esistenti. Da Problema noto: PMCS-7701
Attività 2: Configurare i gruppi di sicurezza
Questa attività crea e configura i seguenti gruppi di sicurezza per il VPC:
- Un gruppo di sicurezza pubblico da associare alle istanze nella subnet pubblica.
- Un gruppo di sicurezza privato da associare alle istanze nella subnet privata.
Per creare i gruppi di sicurezza:
- Nella Dashboard VPC, selezionare Security Groups (Gruppi di sicurezza).
- Creare un gruppo di sicurezza per il gruppo di sicurezza pubblico. Selezionare Create Security Group (Crea gruppo di sicurezza) e immettere un tag del nome e una descrizione per il gruppo. In VPC, selezionare il VPC creato in precedenza. Selezionare Yes, Create (Sì, crea).
Configurare il gruppo di sicurezza pubblico
- Dall’elenco dei gruppi di sicurezza, selezionare il gruppo di sicurezza pubblico.
-
Selezionare la scheda Inbound Rules (Regole in entrata) e selezionare Modifica per creare le seguenti regole:
Tipo Origine Tutto il traffico Selezionare il gruppo di sicurezza privato. Tutto il traffico Selezionare il gruppo di sicurezza pubblico. ICMP 0.0.0.0/0 22 (SSH) 0.0.0.0/0 80 (HTTP) 0.0.0.0/0 443 (HTTPS) 0.0.0.0/0 1494 (ICA/HDX) 0.0.0.0/0 2598 (Session Reliability) 0.0.0.0/0 3389 (RDP) 0.0.0.0/0 - Al termine, selezionare Save (Salva).
-
Selezionare la scheda Outbound Rules (Regole in uscita) e selezionare Edit (Modifica) per creare le seguenti regole.
Tipo Destinazione Tutto il traffico 0.0.0.0/0 - Al termine, selezionare Save (Salva).
Configurare il gruppo di sicurezza privato
- Dall’elenco dei gruppi di sicurezza, selezionare il gruppo di sicurezza privato.
-
Se non è ancora stato configurato il traffico dal gruppo di sicurezza pubblico, è necessario impostare le porte TCP. Selezionare la scheda Inbound Rules (Regole in entrata) e selezionare Edit (Modifica) per creare le seguenti regole:
Tipo Origine ICMP Selezionare il gruppo di sicurezza pubblico. TCP 53 (DNS) Selezionare il gruppo di sicurezza pubblico. UDP 53 (DNS) Selezionare il gruppo di sicurezza pubblico. 80 (HTTP) Selezionare il gruppo di sicurezza pubblico. TCP 135 Selezionare il gruppo di sicurezza pubblico. TCP 389 Selezionare il gruppo di sicurezza pubblico. UDP 389 Selezionare il gruppo di sicurezza pubblico. 443 (HTTPS) Selezionare il gruppo di sicurezza pubblico. TCP 1494 (ICA/HDX) Selezionare il gruppo di sicurezza pubblico. TCP 2598 (Session Reliability) Selezionare il gruppo di sicurezza pubblico. 3389 (RDP) Selezionare il gruppo di sicurezza pubblico. TCP 49152–65535 Selezionare il gruppo di sicurezza pubblico. -
Al termine, selezionare Save (Salva).
-
Selezionare la scheda Outbound Rules (Regole in uscita) e selezionare Edit (Modifica) per creare le seguenti regole.
Tipo Destinazione Tutto il traffico Selezionare il gruppo di sicurezza privato. Tutto il traffico 0.0.0.0/0 - Al termine, selezionare Save (Salva).
Attività 3: Avviare le istanze
Eseguire i passaggi seguenti per creare quattro istanze EC2 e decrittografare la password di amministratore predefinita generata da Amazon:
- Dalla console di gestione AWS, selezionare EC2.
- Dalla Dashboard EC2, selezionare Launch Instance (Avvia istanza).
- Selezionare un’immagine della macchina Windows Server e un tipo di istanza.
- Nella pagina Configure Instance Details (Configura dettagli istanza), immettere un nome per l’istanza e selezionare il VPC configurato in precedenza.
- In Subnet (Subnet), effettuare le seguenti selezioni per ogni istanza:
- Bastion host: Selezionare la subnet pubblica
- Controller di dominio e Connector: Selezionare la subnet privata
-
In Auto-assign Public IP address (Assegna automaticamente indirizzo IP pubblico), effettuare le seguenti selezioni per ogni istanza:
- Bastion host: Selezionare Enable (Abilita)
- Controller di dominio e Connector: Selezionare Use default setting (Usa impostazione predefinita) o Disable (Disabilita)
- In Network Interfaces (Interfacce di rete), immettere un indirizzo IP primario all’interno dell’intervallo IP della subnet privata per le istanze del controller di dominio e di Cloud Connector.
- Se necessario, nella pagina Add Storage (Aggiungi archiviazione), modificare la dimensione del disco.
- Nella pagina Tag Instance (Tagga istanza), immettere un nome descrittivo per ogni istanza.
-
Nella pagina Configure Security Groups (Configura gruppi di sicurezza), selezionare Select an existing security group (Seleziona un gruppo di sicurezza esistente) e quindi effettuare le seguenti selezioni per ogni istanza:
- Bastion host: Selezionare il gruppo di sicurezza pubblico.
- Controller di dominio e Cloud Connector: Selezionare il gruppo di sicurezza privato.
- Rivedere le selezioni e quindi selezionare Launch (Avvia).
- Creare una nuova coppia di chiavi o selezionarne una esistente. Se si crea una nuova coppia di chiavi, scaricare il file della chiave privata (
.pem) e conservarlo in un luogo sicuro. È necessario fornire la chiave privata quando si acquisisce la password di amministratore predefinita per l’istanza. - Selezionare Launch Instances (Avvia istanze). Selezionare View Instances (Visualizza istanze) per visualizzare un elenco delle istanze. Attendere che l’istanza appena avviata abbia superato tutti i controlli di stato prima di accedervi.
-
Acquisire la password di amministratore predefinita per ogni istanza.
- Dall’elenco delle istanze, selezionare l’istanza e quindi selezionare Connect (Connetti).
- Andare alla scheda RDP client (Client RDP), selezionare Get Password (Ottieni password) e caricare il file della chiave privata (
.pem) quando richiesto. - Selezionare Decrypt Password (Decrittografa password) per ottenere la password leggibile. AWS visualizza la password predefinita.
-
Ripetere tutti i passaggi dal passaggio 2 fino a quando non sono state create quattro istanze:
- Un’istanza bastion host nella subnet pubblica
- Tre istanze nella subnet privata da utilizzare come:
- Una come controller di dominio
- Due come Cloud Connector
Attività 4: Creare un set di opzioni DHCP
- Dalla Dashboard VPC, selezionare DHCP Options Sets (Set di opzioni DHCP).
-
Immettere le seguenti informazioni:
- Tag nome: Immettere un nome descrittivo per il set.
- Nome di dominio: Immettere il nome di dominio completo utilizzato per configurare l’istanza del controller di dominio.
- Server dei nomi di dominio: Immettere l’indirizzo IP privato assegnato all’istanza del controller di dominio e la stringa AmazonProvidedDNS, separati da virgole.
- Server NTP: Lasciare vuoto questo campo.
- Server dei nomi NetBIOS: Immettere l’indirizzo IP privato dell’istanza del controller di dominio.
- Tipo di nodo NetBIOS: Immettere 2.
- Selezionare Yes, Create (Sì, crea).
-
Associare il nuovo set al VPC:
- Dalla Dashboard VPC, selezionare Your VPCs (I tuoi VPC) e quindi selezionare il VPC configurato in precedenza.
- Selezionare Actions > Edit DHCP Options Set (Azioni > Modifica set di opzioni DHCP).
- Quando richiesto, selezionare il nuovo set creato e quindi selezionare Save (Salva).
Attività 5: Configurare le istanze
- Utilizzando un client RDP, connettersi all’indirizzo IP pubblico dell’istanza bastion host. Quando richiesto, immettere le credenziali per l’account Amministratore.
- Dall’istanza bastion host, avviare Remote Desktop Connection (Connessione Desktop remoto) e connettersi all’indirizzo IP privato dell’istanza che si desidera configurare. Quando richiesto, immettere le credenziali di amministratore per l’istanza.
-
Per tutte le istanze nella subnet privata, configurare le impostazioni DNS:
- Selezionare Start > Control Panel > Network and Internet > Network and Sharing Center > Change adapter settings (Start > Pannello di controllo > Rete e Internet > Centro connessioni di rete e condivisione > Modifica impostazioni scheda). Fare doppio clic sulla connessione di rete visualizzata.
- Selezionare Properties > Internet Protocol Version 4 (TCP/IPv4) > Properties (Proprietà > Protocollo Internet versione 4 (TCP/IPv4) > Proprietà).
-
Selezionare Advanced > DNS (Avanzate > DNS). Assicurarsi che le seguenti impostazioni siano abilitate, quindi selezionare OK:
- Register this connection’s addresses in DNS (Registra gli indirizzi di questa connessione in DNS)
- Use this connection’s DNS suffix in DNS registration (Usa il suffisso DNS di questa connessione nella registrazione DNS)
-
Configurare il controller di dominio:
- Utilizzando Server Manager, aggiungere il ruolo Servizi di dominio Active Directory con tutte le funzionalità predefinite.
- Promuovere l’istanza a controller di dominio. Durante la promozione, abilitare il DNS e utilizzare il nome di dominio specificato al momento della creazione del set di opzioni DHCP. Riavviare l’istanza quando richiesto.
-
Configurare il primo Cloud Connector:
- Unire l’istanza al dominio e riavviare quando richiesto. Dall’istanza bastion host, riconnettersi all’istanza utilizzando RDP.
- Accedere a Citrix Cloud. Selezionare Resource Locations (Posizioni delle risorse) dal menu in alto a sinistra.
- Scaricare il Cloud Connector.
- Quando richiesto, eseguire il file
cwcconnector.exee fornire le credenziali di Citrix Cloud. Seguire la procedura guidata. - Una volta completato, selezionare Refresh (Aggiorna) per visualizzare la pagina Resource Locations (Posizioni delle risorse). Quando il Cloud Connector è registrato, l’istanza appare nella pagina.
- Ripetere i passaggi per configurare il Cloud Connector per configurare il secondo Cloud Connector.
- Allegare una policy IAM ai Cloud Connector per supportare le connessioni di hosting AWS con autorizzazione basata sui ruoli. È necessario che la stessa policy IAM sia allegata a tutti i Cloud Connector in una posizione delle risorse. Per informazioni sulle autorizzazioni AWS, consultare Autorizzazioni AWS richieste - Amazon EC2 e Autorizzazioni AWS richieste - Istanze gestite di Amazon WorkSpaces Core.
Dove andare dopo
- Per una semplice distribuzione di prova di concetto, installare un VDA su una macchina designata per fornire app o un desktop agli utenti.
-
Per la creazione e la gestione delle connessioni, consultare:
- Rivedere tutti i passaggi del processo di installazione e configurazione