Ambienti Google Cloud
Citrix Virtual Apps and Desktops consente di eseguire il provisioning e la gestione delle macchine su Google Cloud.
Requisiti
- Account Citrix Cloud. La funzionalità descritta in questo articolo è disponibile solo in Citrix Cloud.
- Un progetto di Google Cloud. Il progetto memorizza tutte le risorse di elaborazione associate al catalogo macchine. Può trattarsi di un progetto esistente o di uno nuovo.
- Abilita quattro API nel tuo progetto Google Cloud. Per maggiori dettagli, vedere Abilitare le API di Google Cloud.
- Account del servizio Google Cloud. L’account di servizio esegue l’autenticazione su Google Cloud per consentire l’accesso al progetto. Per maggiori dettagli, vedere Configurare e aggiornare gli account di servizio.
- Abilita l’accesso privato di Google. Per maggiori dettagli, vedere Enable-private-google-access.
Abilita le API di Google Cloud
Per utilizzare le funzionalità di Google Cloud tramite Web Studio, abilita queste API nel tuo progetto Google Cloud:
- API di Compute Engine
- API di Cloud Resource Manager
- API di gestione dell’identità e dell’accesso (IAM)
- API di creazione cloud
- Servizio di gestione delle chiavi nel cloud (KMS)
Dalla console di Google Cloud, completa questi passaggi:
-
Nel menu in alto a sinistra, seleziona API e servizi > Dashboard.
-
Nella schermata Dashboard ** , assicurati che l’API Compute Engine sia abilitata. Se no, segui questi passaggi:
-
Passare a API e servizi > Libreria.
-
Nella casella di ricerca, digita Compute Engine.
-
Dai risultati della ricerca, seleziona Compute Engine API.
-
Nella pagina Compute Engine API , seleziona Abilita.
-
-
Abilita l’API Cloud Resource Manager.
-
Passare a API e servizi > Libreria.
-
Nella casella di ricerca, digita Cloud Resource Manager.
-
Dai risultati della ricerca, seleziona Cloud Resource Manager API.
-
Nella pagina Cloud Resource Manager API , seleziona Abilita. Viene visualizzato lo stato dell’API.
-
-
Allo stesso modo, abilita API Identity and Access Management (IAM) e API Cloud Build.
Puoi anche utilizzare Google Cloud Shell per abilitare le API. Per fare questo:
- Apri la Google Console e carica Cloud Shell.
-
Esegui i seguenti quattro comandi in Cloud Shell:
- i servizi gcloud abilitano compute.googleapis.com
- i servizi gcloud abilitano cloudresourcemanager.googleapis.com
- i servizi gcloud abilitano iam.googleapis.com
- i servizi gcloud abilitano cloudbuild.googleapis.com
- Se Cloud Shell lo richiede, fai clic su Autorizza .
Configurare e aggiornare gli account di servizio
Nota:
GCP introdurrà modifiche al comportamento predefinito di Cloud Build Service e all’utilizzo degli account di servizio dopo il 29 aprile 2024. Per ulteriori informazioni, vedere Modifica dell’account del servizio Cloud Build. I tuoi progetti Google esistenti con Cloud Build API abilitata prima del 29 aprile 2024 non saranno interessati da questa modifica. Tuttavia, se si desidera mantenere il comportamento attuale del Cloud Build Service dopo il 29 aprile, è possibile creare o applicare il criterio dell’organizzazione per disabilitare l’applicazione del vincolo prima di abilitare l’API Cloud Build. Di conseguenza, il contenuto seguente è diviso in due: prima del 29 aprile 2024 e dopo il 29 aprile 2024. Se si imposta la nuova policy dell’organizzazione, seguire la sezione Prima del 29 aprile 2024.
Prima del 29 aprile 2024
Citrix Cloud utilizza tre account di servizio separati all’interno del progetto Google Cloud:
-
Account di servizio Citrix Cloud: questo account di servizio consente a Citrix Cloud di accedere al progetto Google, di effettuare il provisioning e di gestire le macchine. Questo account di servizio si autentica su Google Cloud utilizzando una chiave generata da Google Cloud.
È necessario creare manualmente questo account di servizio come descritto qui. Per ulteriori informazioni, vedere Creare un account Citrix Cloud Service.
Puoi identificare questo account di servizio con un indirizzo email. Ad esempio,
<my-service-account>@<project-id>.iam.gserviceaccount.com. -
Account di servizio Cloud Build: questo account di servizio viene fornito automaticamente dopo aver abilitato tutte le API menzionate in Abilita le API di Google Cloud. Per visualizzare tutti gli account di servizio creati automaticamente, vai a IAM & Admin > IAM nella console Google Cloud e seleziona la casella di controllo Includi concessioni di ruoli fornite da Google .
Puoi identificare questo account di servizio tramite un indirizzo email che inizia con ID progetto e la parola cloudbuild. Ad esempio,
<project-id>@cloudbuild.gserviceaccount.comVerificare se all’account di servizio sono stati concessi i seguenti ruoli. Se devi aggiungere ruoli, segui i passaggi descritti in Aggiungere ruoli all’account del servizio Cloud Build.
- Account del servizio Cloud Build
- Amministratore istanza di calcolo
- Utente dell’account di servizio
-
Account di servizio Cloud Compute: questo account di servizio viene aggiunto da Google Cloud alle istanze create in Google Cloud una volta attivata l’API Compute. Questo account ha il ruolo di editor di base IAM per eseguire le operazioni. Tuttavia, se si elimina l’autorizzazione predefinita per avere un controllo più granulare, è necessario aggiungere un ruolo Storage Admin che richiede le seguenti autorizzazioni:
- gestore risorse.progetti.ottenere
- archiviazione.oggetti.creare
- archiviazione.oggetti.ottenere
- Elenco oggetti di archiviazione
Puoi identificare questo account di servizio tramite un indirizzo email che inizia con ID progetto e la parola compute. Ad esempio, <project-id>-compute@developer.gserviceaccount.com.
Crea un account Citrix Cloud Service
Per creare un account Citrix Cloud Service, segui questi passaggi:
- Nella console di Google Cloud, vai a IAM & Amministrazione > Account di servizio.
- Nella pagina Account di servizio , seleziona CREA ACCOUNT DI SERVIZIO.
- Nella pagina Crea account di servizio , inserisci le informazioni richieste, quindi seleziona CREA E CONTINUA.
-
Nella pagina Concedi a questo account di servizio l’accesso al progetto , fai clic sul menu a discesa Seleziona un ruolo e seleziona i ruoli richiesti. Fai clic su +AGGIUNGI UN ALTRO RUOLO se vuoi aggiungere altri ruoli.
Ogni account (personale o di servizio) ha diversi ruoli che definiscono la gestione del progetto. Concedi i seguenti ruoli a questo account di servizio:
- Amministratore di calcolo
- Amministratore di archiviazione
- Editor di compilazione cloud
- Utente dell’account di servizio
- Utente Cloud Datastore
- Operatore di crittografia Cloud KMS
L’operatore di crittografia Cloud KMS richiede le seguenti autorizzazioni:
- Ottieni
- Elenco delle chiavi crittografiche di Cloudkms
- cloudkms.keyRings.ottenere
- Elenco dei portachiavi cloudkms
Nota:
Abilitare tutte le API per ottenere l’elenco completo dei ruoli disponibili durante la creazione di un nuovo account di servizio.
- Fai clic su CONTINUA
- Nella pagina Concedi agli utenti l’accesso a questo account di servizio , aggiungi utenti o gruppi per concedere loro l’accesso per eseguire azioni in questo account di servizio.
- Fai clic su FATTO.
- Accedere alla console principale IAM.
- Identificare l’account di servizio creato.
- Convalida che i ruoli siano stati assegnati correttamente.
Considerazioni:
Quando si crea un account di servizio, tenere presente quanto segue:
- I passaggi Concedi a questo account di servizio l’accesso al progetto e Concedi agli utenti l’accesso a questo account di servizio sono facoltativi. Se si sceglie di saltare questi passaggi di configurazione facoltativi, l’account di servizio appena creato non verrà visualizzato nella pagina IAM & Admin > IAM .
- Per visualizzare i ruoli associati a un account di servizio, aggiungere i ruoli senza saltare i passaggi facoltativi. Questo processo garantisce che i ruoli vengano visualizzati per l’account di servizio configurato.
Chiave dell’account Citrix Cloud Service
La chiave dell’account Citrix Cloud Service è necessaria per creare una connessione in Citrix DaaS. La chiave è contenuta in un file di credenziali (.json). Dopo aver creato la chiave, il file viene scaricato e salvato automaticamente nella cartella Downloads . Quando crei la chiave, assicurati di impostare il tipo di chiave su JSON. In caso contrario, Web Studio non potrà analizzarlo.
Per creare una chiave account di servizio, vai a IAM & Admin > Account di servizio e fai clic sull’indirizzo e-mail dell’account di servizio Citrix Cloud. Passa alla scheda Chiavi e seleziona Aggiungi chiave > Crea nuova chiave. Assicurati di selezionare JSON come tipo di chiave.
Mancia:
Crea le chiavi utilizzando la pagina Account di servizio nella console di Google Cloud. Per motivi di sicurezza, ti consigliamo di cambiare regolarmente le chiavi. È possibile fornire nuove chiavi all’applicazione Citrix Virtual Apps and Desktops modificando una connessione Google Cloud esistente.
Aggiungere ruoli all’account Citrix Cloud Service
Per aggiungere ruoli all’account Citrix Cloud Service:
- Nella console di Google Cloud, vai a IAM & Admin > IAM.
-
Nella pagina IAM > PERMISSIONS , individua l’account di servizio che hai creato, identificabile con un indirizzo email.
Ad esempio,
<my-service-account>@<project-id>.iam.gserviceaccount.com - Selezionare l’icona della matita per modificare l’accesso al principale dell’account di servizio.
- Nella pagina Modifica accesso a “project-id” per l’opzione principale selezionata, seleziona AGGIUNGI UN ALTRO RUOLO per aggiungere uno alla volta i ruoli richiesti al tuo account di servizio, quindi seleziona SALVA.
Aggiungere ruoli all’account del servizio Cloud Build
Per aggiungere ruoli all’account del servizio Cloud Build:
- Nella console di Google Cloud, vai a IAM & Admin > IAM.
-
Nella pagina IAM , individua l’account del servizio Cloud Build, identificabile con un indirizzo email che inizia con ID progetto e la parola cloudbuild.
Ad esempio,
<project-id>@cloudbuild.gserviceaccount.com - Selezionare l’icona della matita per modificare i ruoli dell’account Cloud Build.
-
Nella pagina Modifica accesso a “project-id” per l’opzione principale selezionata, seleziona AGGIUNGI UN ALTRO RUOLO per aggiungere uno alla volta i ruoli richiesti al tuo account di servizio Cloud Build, quindi seleziona SALVA.
Nota:
Abilita tutte le API per ottenere l’elenco completo dei ruoli.
Dopo il 29 aprile 2024
Citrix Cloud utilizza due account di servizio separati all’interno del progetto Google Cloud:
-
Account di servizio Citrix Cloud: questo account di servizio consente a Citrix Cloud di accedere al progetto Google, di effettuare il provisioning e di gestire le macchine. Questo account di servizio si autentica su Google Cloud utilizzando una chiave generata da Google Cloud.
È necessario creare manualmente questo account di servizio.
Puoi identificare questo account di servizio con un indirizzo email. Ad esempio,
<my-service-account>@<project-id>.iam.gserviceaccount.com. -
Account di servizio Cloud Compute: questo account di servizio viene fornito automaticamente dopo aver abilitato tutte le API menzionate in Abilita le API di Google Cloud. Per visualizzare tutti gli account di servizio creati automaticamente, vai a IAM & Admin > IAM nella console Google Cloud e seleziona la casella di controllo Includi concessioni di ruoli fornite da Google . Questo account ha il ruolo di editor di base IAM per eseguire le operazioni. Tuttavia, se si elimina l’autorizzazione predefinita per avere un controllo più granulare, è necessario aggiungere il ruolo Storage Admin che richiede le seguenti autorizzazioni:
- gestore risorse.progetti.ottenere
- archiviazione.oggetti.creare
- archiviazione.oggetti.ottenere
- Elenco oggetti di archiviazione
Puoi identificare questo account di servizio tramite un indirizzo email che inizia con ID progetto e la parola compute. Ad esempio,
<project-id>-compute@developer.gserviceaccount.com.Verificare se all’account di servizio sono stati concessi i seguenti ruoli.
- Account del servizio Cloud Build
- Amministratore istanza di calcolo
- Utente dell’account di servizio
Crea un account Citrix Cloud Service
Per creare un account Citrix Cloud Service, segui questi passaggi:
- Nella console di Google Cloud, vai a IAM & Admin > Account di servizio.
- Nella pagina Account di servizio , seleziona CREA ACCOUNT DI SERVIZIO.
- Nella pagina Crea account di servizio , inserisci le informazioni richieste, quindi seleziona CREA E CONTINUA.
-
Nella pagina Concedi a questo account di servizio l’accesso al progetto , fai clic sul menu a discesa Seleziona un ruolo e seleziona i ruoli richiesti. Fai clic su +AGGIUNGI UN ALTRO RUOLO se vuoi aggiungere altri ruoli.
Ogni account (personale o di servizio) ha diversi ruoli che definiscono la gestione del progetto. Concedi i seguenti ruoli a questo account di servizio:
- Amministratore di calcolo
- Amministratore di archiviazione
- Editor di compilazione cloud
- Utente dell’account di servizio
- Utente Cloud Datastore
- Operatore di crittografia Cloud KMS
L’operatore di crittografia Cloud KMS richiede le seguenti autorizzazioni:
- Ottieni
- Elenco delle chiavi crittografiche di Cloudkms
- cloudkms.keyRings.ottenere
- Elenco dei portachiavi cloudkms
Nota:
Abilitare tutte le API per ottenere l’elenco completo dei ruoli disponibili durante la creazione di un nuovo account di servizio.
- Fai clic su CONTINUA
- Nella pagina Concedi agli utenti l’accesso a questo account di servizio , aggiungi utenti o gruppi per concedere loro l’accesso per eseguire azioni in questo account di servizio.
- Fai clic su FATTO.
- Accedere alla console principale IAM.
- Identificare l’account di servizio creato.
- Convalida che i ruoli siano stati assegnati correttamente.
Considerazioni:
Quando si crea un account di servizio, tenere presente quanto segue:
- I passaggi Concedi a questo account di servizio l’accesso al progetto e Concedi agli utenti l’accesso a questo account di servizio sono facoltativi. Se si sceglie di saltare questi passaggi di configurazione facoltativi, l’account di servizio appena creato non verrà visualizzato nella pagina IAM & Admin > IAM .
- Per visualizzare i ruoli associati a un account di servizio, aggiungere i ruoli senza saltare i passaggi facoltativi. Questo processo garantisce che i ruoli vengano visualizzati per l’account di servizio configurato.
Chiave dell’account Citrix Cloud Service
La chiave dell’account Citrix Cloud Service è necessaria per creare una connessione in Citrix DaaS. La chiave è contenuta in un file di credenziali (.json). Dopo aver creato la chiave, il file viene scaricato e salvato automaticamente nella cartella Downloads . Quando crei la chiave, assicurati di impostare il tipo di chiave su JSON. In caso contrario, Web Studio non potrà analizzarlo.
Per creare una chiave account di servizio, vai a IAM & Admin > Account di servizio e fai clic sull’indirizzo e-mail dell’account Citrix Cloud Service. Passa alla scheda Chiavi e seleziona Aggiungi chiave > Crea nuova chiave. Assicurati di selezionare JSON come tipo di chiave.
Mancia:
Crea le chiavi utilizzando la pagina Account di servizio nella console di Google Cloud. Per motivi di sicurezza, ti consigliamo di cambiare regolarmente le chiavi. È possibile fornire nuove chiavi all’applicazione Citrix Virtual Apps and Desktops modificando una connessione Google Cloud esistente.
Aggiungere ruoli all’account Citrix Cloud Service
Per aggiungere ruoli all’account Citrix Cloud Service:
- Nella console di Google Cloud, vai a IAM & Admin > IAM.
-
Nella pagina IAM > PERMISSIONS , individua l’account di servizio che hai creato, identificabile con un indirizzo email.
Ad esempio,
<my-service-account>@<project-id>.iam.gserviceaccount.com - Selezionare l’icona della matita per modificare l’accesso al principale dell’account di servizio.
- Nella pagina Modifica accesso a “project-id” per l’opzione principale selezionata, seleziona AGGIUNGI UN ALTRO RUOLO per aggiungere uno alla volta i ruoli richiesti al tuo account di servizio, quindi seleziona SALVA.
Aggiungere ruoli all’account del servizio Cloud Compute
Per aggiungere ruoli all’account del servizio Cloud Compute:
- Nella console di Google Cloud, vai a IAM & Admin > IAM.
-
Nella pagina IAM , individua l’account del servizio Cloud Compute, identificabile con un indirizzo e-mail che inizia con ID progetto e la parola compute.
Ad esempio,
<project-id>-compute@developer.gserviceaccount.com - Selezionare l’icona della matita per modificare i ruoli dell’account Cloud Build.
-
Nella pagina Modifica accesso a “project-id” per l’opzione principale selezionata, seleziona AGGIUNGI UN ALTRO RUOLO per aggiungere uno alla volta i ruoli richiesti al tuo account di servizio Cloud Build, quindi seleziona SALVA.
Nota:
Abilita tutte le API per ottenere l’elenco completo dei ruoli.
Autorizzazioni di archiviazione e gestione dei bucket
Citrix Virtual Apps and Desktops migliora il processo di segnalazione degli errori di compilazione cloud per il servizio Google Cloud . Questo servizio esegue build su Google Cloud. Citrix Virtual Apps and Desktops crea un bucket di archiviazione denominato citrix-mcs-cloud-build-logs-{region}-{5 random characters} in cui i servizi Google Cloud acquisiscono le informazioni del registro di build. Per questo bucket è impostata un’opzione che elimina i contenuti dopo un periodo di 30 giorni. Questo processo richiede che l’account di servizio utilizzato per la connessione disponga delle autorizzazioni Google Cloud impostate su storage.buckets.update. Se l’account di servizio non dispone di questa autorizzazione, Citrix Virtual Apps and Desktops ignora gli errori e procede con il processo di creazione del catalogo. Senza questa autorizzazione, la dimensione dei log di build aumenta e richiede una pulizia manuale.
Abilita l’accesso privato a Google
Se una VM non dispone di un indirizzo IP esterno assegnato alla sua interfaccia di rete, i pacchetti vengono inviati solo ad altre destinazioni con indirizzi IP interni. Quando si abilita l’accesso privato, la VM si connette al set di indirizzi IP esterni utilizzati dalla Google API e dai servizi associati.
Nota:
Indipendentemente dal fatto che l’accesso privato di Google sia abilitato, tutte le VM con e senza indirizzi IP pubblici devono essere in grado di accedere alle API pubbliche di Google, soprattutto se nell’ambiente sono stati installati dispositivi di rete di terze parti.
Per garantire che una VM nella tua subnet possa accedere alle API di Google senza un indirizzo IP pubblico per il provisioning MCS:
- In Google Cloud, accedi alla configurazione di rete VPC **.
- Nella schermata Dettagli subnet, attiva Accesso privato Google.
Per ulteriori informazioni, vedere Configurazione dell’accesso privato di Google.
Importante:
Se la rete è configurata per impedire l’accesso della VM a Internet, assicurarsi che l’organizzazione si assuma i rischi associati all’abilitazione dell’accesso privato di Google per la subnet a cui è connessa la VM.
Dove andare dopo
- Installare i componenti principali
- Installare VDA
- Crea un sito
- Per creare e gestire una connessione negli ambienti Google Cloud, vedere Connessione agli ambienti Google Cloud