リファレンスアーキテクチャ:Azure IaaS 上のストレージゾーンとのContent Collaboration

オーディエンス

このリファレンスアーキテクチャは、Azure サブスクリプション内で Citrix Content Collaboration 用の顧客管理ストレージゾーンを展開しようとする個人を対象としています。これらの個人には、IT意思決定者、コンサルタント、ソリューションインテグレータ、パートナーが含まれます。

このドキュメントの目的

Citrix Content Collaboration では、ユーザーがファイルの保存場所を選択できます。お客様は、Citrixのクラウドネイティブストレージゾーンまたはお客様が管理するストレージゾーンの場所にファイルを保存するかを選択できます。顧客管理のストレージゾーンは、オンプレミスのデータセンター、選択したパブリッククラウド、または組み合わせに配置できます。顧客管理ストレージゾーンは、ネットワークファイル共有や SharePoint Server ドキュメントライブラリなどの既存のリポジトリへのゲートウェイとしても機能します。 このドキュメントでは、特に Azure クラウドにストレージゾーンを展開するためのガイダンスに焦点を当てています。 この文書は、次の範囲に限定されています。

  • Azure ストレージゾーンのアーキテクチャコンポーネント
  • 永続ファイルオブジェクトとキャッシュの保存場所に関するガイダンスを提供する
  • CitrixアプリケーションDelivery Controller(ADC)の構成に関するガイダンスを提供し、最適なユーザーエクスペリエンスを実現します
  • ウイルス対策ソリューションをストレージゾーンに統合するためのベストプラクティスの推奨

Content Collaboration プラットフォームの概要

Citrix Content Collaboration は、IT部門が堅牢なデータ共有と同期サービスを提供できるようにするエンタープライズコンテンツコラボレーションプラットフォームです。このサービスは、ユーザーのモビリティとコラボレーションのニーズと、企業のデータセキュリティ要件を満たします。Citrix Content Collaboration では、ファイルの保存場所を柔軟に選択できます。 Citrix Content Collaboration は、Content Collaboration 管理プレーン、ストレージゾーン、Citrix Filesアプリの3つの主要コンポーネントで構成されています。

  • 管理プレーン:Content Collaboration サービスとビジネスロジックをホストする Citrix 管理コンポーネント。米国または欧州連合 (EU) でホストされます。
  • ストレージゾーン:顧客ファイルが格納される場所。お客様は、ファイルの保存先を選択できます。ファイルは、Citrixまたは顧客によってホストされます。顧客の場所は、独自のデータセンターまたはパブリッククラウドにすることができます。このリファレンスアーキテクチャは、Azure 内でホストされる顧客管理のストレージゾーンに焦点を当てています。
  • Citrix Files(クライアント側):Content Collaboration サービスへのアクセスを提供するネイティブアプリ。Citrix Filesアプリは、Windows、macOS、iOSで利用できます。Android、Outlook、および Gmail。

Content Collaborationコンポーネントの概要

使用例

お客様は、さまざまな理由により、お客様が管理する独自のストレージゾーンを展開します。Azure でストレージゾーンを利用する場合の一般的なユースケースは次のとおりです。

  • パフォーマンス: Citrixは複数の地理的リージョンでストレージゾーンをホストしていますが、一部の地域のお客様は、従業員が期待するユーザーエクスペリエンスを提供するゾーンにアクセスできない場合があります。お客様は、ストレージゾーンをユーザーの近くまでデータ・センターに直接導入できますが、この設計では、継続的な運用コストを伴う設備投資コストが発生します。世界中の 54 の Azure リージョンでは、ユーザーに近いリージョンにストレージゾーンをデプロイする選択肢が増えています。これにより、ファイルを転送する際の待ち時間が短縮され、従業員や外部の共同作業者にユーザーエクスペリエンスが向上します。 Citrix Virtual Apps and Desktops リソースの場所を Azure にデプロイする場合は、常に同じ Azure リージョンにContent Collaborationストレージゾーンを展開します。これにより、データはアプリ/デスクトップに近い場所に配置されます。
  • ガバナンスとデータレジデンシー: 前の声明と同様に、お客様は、Citrixがそのフットプリントを持たない特定の地域でデータをホストする必要がある場合があります。代わりに、顧客が自社のデータセンターでホスティングし、Azure リージョンの 1 つによってカバーされる可能性もあります。
  • 既存のリポジトリを最新化: ファイルの移行は必ずしも可能ではないか、時間がかかることがあります。お客様が管理するストレージゾーンを導入することで、既存のデータを移行することなく、あらゆるデバイスで最新のワークスタイルを直接解除できます。

Azure での顧客管理ストレージゾーンアーキテクチャ

カスタマー管理ストレージゾーンには、Content Collaboration サービスにアップロードされたすべてのファイルオブジェクトが格納されます。また、これらのファイルに対して共同作業を行う従業員および外部のユーザーに対して、これらのファイルオブジェクトへのアクセスも提供します。ストレージゾーンのもう 1 つの機能は、オンプレミスでホストされている既存のリポジトリへのアクセスを提供することです。これらのリポジトリには、ネットワーク・ファイル共有、SharePoint Serverドキュメント・ライブラリ、OpenText Documentumドキュメント管理システムが含まれます。これらの機能を提供するために、ストレージゾーンにはこれらのコンポーネントが含まれています。

  • ストレージゾーンコントローラー:ストレージゾーンコントローラーサービスをホストする Windows ベースの Web サーバー。
  • ストレージリポジトリ:Citrixファイルオブジェクトが永続的に格納される場所。推奨事項:Microsoft Azure ブロブストレージまたは Azure IaaS 仮想マシンによってホストされる SMB 共有。記憶域スペースダイレクトを使用して、ファイル共有を高可用性に設定することをお勧めします。SMB 共有のパフォーマンスを向上させるには、プレミアムデータディスクを接続します。
  • ストレージキャッシュ:Citrix Filesクライアントソフトウェアのデータファイルが一時的にキャッシュされる場所。推奨事項:Azure ファイルまたは VM に接続された標準の SMB 共有を使用します。SMB 共有を使用する場合は、記憶域スペースダイレクトを使用して高可用性を持つようにファイル共有を構成することをお勧めします。SMB 共有のパフォーマンスを向上させるには、プレミアムデータディスクを接続します。
  • Citrix ADC:アプリケーションデリバリーコントローラーは、ストレージゾーンへのインバウンドトラフィックに対して、ネットワーク負荷分散、SSLオフロード、認証サービスを提供します。

ストレージゾーンコントローラ

ストレージゾーンコントローラは、ASP.NET Web サービスとバックグラウンド Windows サービスからなる Windows パッケージです。コントローラソフトウェアは、インターネットインフォメーションサービス (IIS) を備えた Windows Server IaaS VM 上で実行されます。ストレージゾーンコントローラのシステム要件は、 こちらにあります

必要なストレージゾーンコントローラの数は、ストレージゾーンの展開の使用方法によって異なります。この数には、次のような要因が影響します。

  • 保存される新規および更新されたファイルの量:ストレージゾーンコントローラとストレージリポジトリ間で必要な帯域幅に影響し、ファイルI/Oキューがストレージゾーンコントローラ上に蓄積されないようにします。
  • 格納されるファイルのサイズ:受信ファイルは複数のパートにアップロードされ、ストレージゾーンコントローラはこれらの部分を 1 つのファイルオブジェクトにマージし直します。パーツをマージすると CPU 使用率が高くなり、ファイルサイズが大きいほど CPU 処理能力が必要になります。
  • 同時セッション数:ファイルのダウンロードまたはファイルのアップロードについて、ストレージゾーンへの同時ファイル転送セッションの数が、必要なコントローラーホストの量に影響します。
  • オンプレミスコネクタの使用:ユーザーがコネクタを開いたとき、または別のフォルダーを参照すると、ストレージゾーンコントローラーはファイルとフォルダーのメタデータをリアルタイムで更新します。

高可用性のために、ストレージゾーンごとに少なくとも2つのストレージゾーンコントローラを展開することをお勧めします。Citrix ADCは、インバウンドトラフィック用の負荷分散サービスを提供します。2 つのコントローラのベースライン展開では、Content Collaboration テナント内で最大 5,000 人のユーザーをサポートします。5,000 ユーザーを超える 2,500 ユーザーごとに 1 つのストレージコントローラーホストをストレージゾーンに追加します。ストレージゾーンの実際の使用量によって、必要なコントローラホストの数が決まります。展開は、ファイルサイズとアクセス頻度に応じて、250 ユーザーあたり 2 台のコントローラホストから 250,000 ユーザあたり 4 台のコントローラホストまでです。

内部テストでは、ストレージゾーンあたりのコントローラの最適な最大数は 4 であることが示されています。1 つのサイトにさらに多くのコントローラーが必要な展開の場合は、複数のストレージゾーンを設定することをお勧めします。

Azure でストレージゾーンコントローラーをセットアップするには、次のことを推奨します。

  • サーバーマシンとして DS または FS シリーズの仮想マシンをリードする — DS4v2 インスタンスタイプから始めて、そこから変更します。ストレージコントローラーのインスタンスタイプを変更する場合、コンポーネントを再インストールする必要はありません。再起動するだけです。仮想マシンの制限 (IOPS/スループット/CPU) の詳細については、 次のリンクを確認してください
  • 仮想マシンで Premium ディスクの使用は、ホストキャッシュを [読み取り/書き込み] に設定することをお勧めします。
  • ストレージコントローラアダプタの NSG(ネットワークセキュリティグループ)のポート443を有効にします。
  • 複数のコントローラーを作成するときは、信頼性と可用性の要件に応じて、アベイラビリティセットまたはアベイラビリティーゾーン内に作成されていることを確認します。

詳細については、「 パフォーマンス監視 」の章を参照してください。

ストレージリポジトリ

Azure BLOB ストレージ: Azure BLOB ストレージを使用してファイルオブジェクトを格納します。ストレージゾーンコントローラホストは、ネイティブ API を使用してファイル転送を実行します。

レプリケーションメカニズムとして GRS (Geo 冗長ストレージ) を使用して、Azure でプレミアムパフォーマンスの V2 ストレージアカウントを作成することをお勧めします。ユーザが geo 冗長性を持たないことを選択した場合、一般的なガイダンスは LRS(ローカル冗長ストレージ)を使用してを設定することです。ただし、ユーザーは、Azure ストレージアカウントには 20,000 IOPS の制限があることに注意する必要があります。 ストレージアカウントの制限については、このMicrosoftのドキュメントを参照してください。

SMB ファイル共有: 必要な容量が 20,000 IOPS を超える場合は、Azure 仮想マシンで SMB ファイル共有を使用することをお勧めします。共有フォルダをホストするために、複数の管理データディスクを接続します。高可用性 IaaS ファイル共有を設計するときは、記憶域スペースを直接使用し、パフォーマンスの制限に目を留めておいてください。IOPS 制限は、 仮想マシンの種類 (どちらか低い方) に加えて、 [管理対象ディスクの種類とサイズにも適用されます](https://docs.microsoft.com/ja-jp/azure/virtual-machines/windows/disks-types) 。 または、ユーザーは Azure NetApp ファイル (箱から出して高可用性) を検討することもできます。

ストレージキャッシュ

Azure ファイル: Azure ファイルのローカルキャッシュには、ストレージゾーンにアップロードまたはストレージゾーンからダウンロードされる最新のファイルが格納されます。経験によると、最近使用したファイルは異なるデバイスに同期されたり、他の人と共有されたりすることがよくあります。Azure Blob ストレージリポジトリからファイルを取得する必要がないと、ユーザーエクスペリエンスが向上し、ストレージゾーンとクラウドリポジトリ間で使用される帯域幅の量が削減されます。

Azure ファイルは SMB プロトコルをサポートし、共有は Windows マシンにマウントできます。 Azure Filesのマウントについては、この記事を参照してください。

SMB ファイル共有: または、パフォーマンスの高い Premium データディスクを持つ SMB ファイル共有をキャッシュに使用できます。このオプションは設計上可用性が高くないため、記憶域スペースを直接使用し、VM を可用性セットに含めることをお勧めします。DSシリーズまたはFSシリーズの Azure 仮想マシンにプレミアム SSD をアタッチすることをお勧めします。

注: テストでは、Azure ファイルとプレミアム SSD の間に大きなパフォーマンスの違いは示されていません。

Azure でのストレージゾーンアーキテクチャ

ファイルオブジェクトの暗号化

ストレージゾーンでは、ファイルレベルですべてのファイルオブジェクトの暗号化を構成できます。ストレージゾーンコントローラーホストは、ストレージゾーンの初期セットアップ時に生成された AES 256 ビット暗号化キーを使用して暗号化します。暗号化を有効にすると、ファイルオブジェクトの暗号化と復号化によって CPU 使用率が高くなるため、ストレージゾーンコントローラホストのパフォーマンスに影響します。

企業のセキュリティポリシーですべてのファイルの暗号化が必要で、ストレージレイヤーを暗号化する他の方法がない場合は、このオプションを使用することをお勧めします。ストレージゾーンコントローラホストによる暗号化により、ストレージゾーン内の永続ストレージフォルダでデータ重複除外を実行できるようになります。また、暗号化により、SCKeys.txt ファイルまたは構成パスフレーズにアクセスせずにストレージゾーンを再構築するときに、データをリカバリできなくなります。

Citrix ADC

アプリケーション配信コントローラは、ストレージゾーンの前で使用されます。Citrix ADCは、次の機能を実行します。

  • SSL オフロード: ストレージゾーンの着信 SSL セッションは、ADC で終了します。お客様のセキュリティおよび監視要件に応じて、ADC とストレージゾーンコントローラホスト間のトラフィックは、暗号化または暗号化解除のいずれかになります。
  • ロード・バランシング: ADCによってストレージ・ゾーン・コントローラ・ホスト間でトラフィックが負荷分散され、高可用性が提供されます。動作しているストレージ・ゾーン・コントローラ・ホストを特定するために、ADCは各ホストのハートビートの結果を監視します。ハートビートに対する無効な応答を持つホストはオフラインとみなされ、それらのホストへのファイル転送セッションは送信されません。
  • 認証: ユーザーはコネクタにアクセスするときに認証する必要があります。DMZ 内でこの認証を実行し、リモートユーザを認証なしに LAN 内に移動させないことがベストプラクティスです。Citrix ADCでKerberos制約付き委任を構成することにより、ドメインに参加しているデバイスからコネクタにアクセスするローカルユーザーは、資格情報を提供しなくてもシームレスに認証されます。詳細については、 この記事を参照してください
  • コンテンツの切り替え: Citrix Filesリポジトリへのトラフィックは、コネクタへのトラフィックとは異なります。コネクタには認証が必要であり、Citrix Filesリポジトリへのトラフィックは常に認証なしです。このトラフィックは、顧客の Active Directory で認証するための資格情報を持たない外部ユーザーとファイルを共有することによるものです。この違いにより、ADC はコンテンツスイッチングを実行して、このトラフィックを分離し、コネクタのトラフィック用のロードバランサーに認証ポリシーを適用します。Citrix Filesトラフィック用のロードバランサーでは、レスポンダーポリシーが要求の信頼性を検証するように構成されます。Content Collaboration 管理プレーンからのリクエストから送信されたリクエストのみがストレージゾーンコントローラホストへの通過を許可されます。

ローカル・ユーザー・セッションとリモート・ユーザー・セッションの分離

ローカルユーザーに最適なユーザーエクスペリエンスを提供するために、Citrix ADC上の構成はローカルユーザーとリモートユーザー用に分離されています。ローカルユーザーは、ドメインに参加しているデバイスまたはモバイルデバイスからストレージゾーンにアクセスしていると見なされます。モバイルデバイスでは、Citrix Endpoint Managementで管理されるiOSまたはAndroid上のCitrix Filesアプリを使用します。ADCに内部および外部インターフェースを配置するもう1つの理由は、セキュリティを強化することです。Citrix ADCはDMZの内部に配置され、DMZネットワークには外部インターフェイスとローカルネットワーク上に内部インターフェイスがあります。ローカルユーザーが正しい IP アドレスにアクセスできるようにするには、ストレージゾーンにはパブリック DNS 名と証明書が 1 つしかないため、スプリット DNS を構成する必要があります。

ローカル・ユーザーは、内部ロード・バランシング・サーバまたは内部IPアドレスを持つコンテンツスイッチング・サーバからストレージ・ゾーンにアクセスします。負荷分散サーバーまたはコンテンツスイッチングサーバーのどちらを選択するかは、コネクタの認証をCitrix ADCで実行する必要があるかどうかに基づきます。この場合、コンテンツスイッチングサーバーが必要で、ローカルユーザー用のコネクタ用の負荷分散サーバーは Kerberos を使用してコネクタにアクセスするときにユーザーを認証します。リモートユーザーは、DMZ 範囲内の IP アドレスを持つ外部コンテンツスイッチからストレージゾーンにアクセスします。リモートユーザー用のコネクタ用の負荷分散サーバーは、コネクタにアクセスするときに基本認証 (ユーザー名とパスワード) を使用してユーザーを認証します。ストレージゾーンコントローラホスト上のコネクタの認証では Windows 認証が使用され、コネクタリポジトリはリポジトリで構成された認証方法を使用します。SharePoint Server の場合、この認証は通常 Kerberos で、ファイルサーバーの認証は通常 NTLM です。

DMZおよび内部ネットワーク内の単一ADC設計

注: DMZとローカルネットワークの境界で単一のADCを使用する代わりに、別の構成では2つの別々のADCを使用しています。DMZ内の1つのCitrix ADCを外部ユーザーに使用し、内部ユーザーにはローカルネットワーク上の別のCitrix ADCを使用します。

DMZ内とローカルネットワーク上に1つずつ、2つのADC設計

その他の考慮事項

上記で説明した主要なアーキテクチャコンポーネントに加えて、ウイルス対策ソリューションとストレージゾーンのパフォーマンス監視に関する一般的なガイダンスも含まれています。

ウイルス対策ソリューションとの統合

ストレージゾーンにアップロードされたすべてのファイルをスキャンして、ウイルスやマルウェアを検出することをお勧めします。ファイルメタデータがファイルオブジェクトから分離されるため、感染したファイルや疑わしいファイルをストレージゾーンから直接スキャンして削除することはお勧めしません。これによりファイルが削除されますが、ファイルのメタデータは保持され、ユーザーはCitrix FilesアプリとWeb UI内にファイルが表示されます。ファイルにアクセスしようとすると、ファイルが存在しないことを示すエラーメッセージが表示されます。

より優れたユーザーエクスペリエンスを提供し、必要なセキュリティレベルを維持するために、ストレージゾーンは ICAP インターフェイスを介したウイルス対策ソリューションを活用できます。新しいファイルと更新されたファイルを受信すると、ストレージゾーンコントローラホストはファイルをスキャンキューに追加します。ファイルは ICAP 経由でウイルス対策サーバーに送信され、ファイルをスキャンした後、ウイルス対策サーバーは結果を返します。Storage Zone Controller ホストは、このステータスをアップロードして、Content Collaboration 管理プレーン内に格納されたファイルメタデータに追加します。テナントアカウントに対して構成されたウイルス対策ポリシーに基づいて、ユーザーは、感染のフラグが設定されたファイルのダウンロードまたは共有を制限されます。

パフォーマンス監視のヒント

ストレージゾーンコントローラは、インターネットインフォメーションサーバー上で実行される ASP.NET Web アプリケーションです。ストレージゾーンコントローラーホストのパフォーマンスを監視するには、ASP.NET アプリケーションを実行する Web サーバーを監視する一般的な原則に従います。パフォーマンスの問題を特定するための推奨メトリックを次に示します。

メモリ

  • 使用可能なメガバイト: 使用可能なRAMの合計の 20% 以上の持続値。
  • ページ入力/秒: 15 以下です。値が小さいほど、ストレージゾーンコントローラのパフォーマンスが向上します。
  • ページ/秒: 5 以下の持続値。

論理ディスク

  • % ディスク時間: 50% 以下の持続値。
  • ディスクキューの平均長: スピンドル数に 2 を加えた数以下です。
  • ディスク読み取りキューの平均長: 2 以下
  • ディスク書き込みキューの平均長: 4 未満。
  • 平均ディスク秒/読み取り: 15 ミリ秒以下で、スパイクは 25 ミリ秒未満です。
  • 平均ディスク秒/書き込み: 15 ミリ秒以下、スパイクが 25 ミリ秒未満。
  • 平均ディスク秒/転送: 20 ミリ秒以下です。

プロセッサ

オペレーティングシステムと、ストレージゾーンコントローラアプリケーションを実行しているW3WPプロセスに対して、プロセッサパフォーマンスモニタを実行します。値が互いに近い場合、Webサービスは、CPUを消費しています。そうでない場合は、他のプロセスがシステムのパフォーマンスに影響しています。

  • % 特権時間: 75% 以下の持続値。
  • % プロセッサ時間: 85% 以下の持続値。

システム

  • コンテンツスイッチ/秒: CPU あたり 15,000/秒以下です。

Web サービスキャッシュ

  • カーネル:URI キャッシュヒット%: 80% を超える。

ASP.NET アプリ v4.0.30319 (合計)

  • リクエスト待機時間: 1,000ミリ秒以下です。

概要

Citrix Content Collaboration では、組織のニーズに最適な場所にファイルを保存できます。このドキュメントでは、Microsoft Azure IaaS にContent Collaboration ストレージゾーンを展開するためのアーキテクチャと、必要なすべてのコンポーネントについて説明します。 組織内のContent Collaboration サービスのユースケースは、必要なコンポーネントに影響を与えます。

  • 永続ファイルオブジェクトが格納される場所
  • 最近アクセスしたファイルを取得できるストレージキャッシュ
  • ストレージゾーンコネクタを使用して、Content Collaboration ストレージリポジトリと既存のリポジトリにアクセスできます。
  • ストレージゾーンにアクセスするユーザーのデバイスタイプ、および外部コラボレーションの種類。 このアーキテクチャでは、お客様がCitrix Servicesチームとともに実装するテストおよびサポート対象の展開モデルについて説明します。最も一般的な使用例は、Content Collaboration ストレージリポジトリと既存のリポジトリの両方に、ストレージゾーンコネクタを介してアクセスすることです。

参照ドキュメント

Citrix Content Collaborationのリソース

ストレージゾーンコントローラのリソース

Citrix Virtual Apps and DesktopsサービスでのCitrix Filesの展開ガイド

リファレンスアーキテクチャ:Azure IaaS 上のストレージゾーンとのContent Collaboration