Citrix Cloud Connector™ 技术详细信息
Citrix Cloud™ Connector 是一个组件，用于在 Citrix Cloud 和您的资源位置之间建立连接。本文介绍了部署要求和场景、Active Directory 和 FIPS 支持以及故障排除选项。
系统要求
请参阅 系统要求。
Cloud Connector 已安装的服务
本节介绍随 Cloud Connector 安装的服务及其系统权限。
在安装过程中，Citrix Cloud Connector 可执行文件会安装必要的服务配置并将其设置为正常运行所需的默认设置。如果手动更改了默认配置，Cloud Connector 可能无法按预期运行。在这种情况下，当下次 Cloud Connector 更新发生时，配置将重置为默认状态，前提是处理更新过程的服务仍能正常运行。有时，服务会以“禁用”状态发布，以支持服务的添加或删除。
Citrix Cloud Agent System 负责协调其他 Cloud Connector 服务正常运行所需的所有提升调用，并且不直接在网络上进行通信。当 Cloud Connector 上的服务需要执行需要本地系统权限的操作时，它会通过 Citrix Cloud Agent System 可以执行的一组预定义操作来完成。
| 服务名称 | 描述 | 运行身份 |
|---|---|---|
| Citrix Cloud 代理系统 | 处理本地代理所需的系统调用。包括安装、重新启动和注册表访问。只能由 Citrix Cloud Services Agent WatchDog 调用。 | 本地系统 |
| Citrix Cloud 服务代理看门狗 | 监控并升级本地代理（常青）。 | 网络服务 |
| Citrix Cloud Services 代理日志记录器 | 为 Citrix Cloud Connector 服务提供支持日志记录框架。 | 网络服务 |
| Citrix Cloud Services AD 提供程序 | 使 Citrix Cloud 能够促进管理与其安装所在的 Active Directory 域帐户关联的资源。 | 网络服务 |
| Citrix Cloud Services 代理发现 | 使 Citrix Cloud 能够促进管理 XenApp 和 XenDesktop® 旧版本地 Citrix 产品。 | 网络服务 |
| Citrix Cloud Services 凭据提供程序 | 处理加密数据的存储和检索。 | 网络服务 |
| Citrix Cloud Services WebRelay 提供程序 | 允许从 WebRelay 云服务接收的 HTTP 请求转发到本地 Web 服务器。 | 网络服务 |
| Citrix CDF 捕获服务 | 捕获所有已配置产品和组件的 CDF 跟踪。 | 网络服务 |
| Citrix 配置同步器服务 | 在高可用性模式下，将代理配置复制到本地。 | 网络服务 |
| Citrix 连接租约交换服务 | 允许 Workspace 应用程序和 Cloud Connector 之间交换连接租约文件，以实现 Citrix® StoreFront Cloud 的服务连续性。 | 网络服务 |
| Citrix 高可用性服务 | 在中心站点中断期间提供服务连续性。 | 网络服务 |
| Citrix ITSM 适配器提供程序 | 自动化虚拟应用和桌面的预配和管理。 | 网络服务 |
| Citrix NetScaler® 云网关 | 为本地桌面和应用程序提供 Internet 连接，无需打开入站防火墙规则或在 DMZ 中部署组件。 | 网络服务 |
| Citrix 远程代理提供程序 | 允许本地 VDA 和 StoreFront™ 服务器与远程 Broker Service 进行通信。 | 网络服务 |
| Citrix 远程 HCL 服务器 | 代理 Delivery Controller™ 与 Hypervisor 之间的通信。 | 网络服务 |
| Citrix WEM 云身份验证服务 | 为 Citrix WEM 代理提供身份验证服务，以便连接到云基础设施服务器。 | 网络服务 |
| Citrix WEM 云消息传递服务 | 为 Citrix WEM 云服务提供服务，以接收来自云基础设施服务器的消息。 | 网络服务 |
| Citrix 安全私有访问™ | 对所有企业应用程序的零信任网络访问 | 网络服务 |
| Citrix Cloud Services 消息代理 | 处理 Citrix Cloud 提供商与 Citrix Cloud 服务之间的消息 | 网络服务 |
| Citrix 安全票证颁发机构服务 | 为 Citrix Cloud 服务提供安全票证颁发机构 | 网络服务 |
| Citrix 监控服务 | 使 Citrix Monitor 云服务能够监视本地 Citrix 组件并与之通信 | 网络服务 |
Active Directory 中 Cloud Connector 的部署方案
您可以使用 Cloud Connector 和 Connector Appliance 连接到 Active Directory 控制器。要使用的连接器类型取决于您的部署。
有关将 Connector Appliance 与 Active Directory 结合使用的更多信息，请参阅Active Directory 中 Connector Appliance 的部署方案
在您的安全内部网络中安装 Cloud Connector。
如果您在单个林中拥有单个域，则在该域中安装 Cloud Connector 即可建立资源位置。如果您的环境中存在多个域，则必须考虑在何处安装 Cloud Connector，以便用户可以访问您提供的资源。
如果域之间的信任不是父/子关系，您可能需要为每个单独的域或林安装 Cloud Connector。当使用安全组分配资源或注册来自任一域的 VDA 时，可能需要此配置来处理资源枚举。
注意：
以下资源位置构成了一个蓝图，您可能需要根据资源的托管位置在其他物理位置重复此蓝图。
具有一组 Cloud Connector 的单个林中的单个域
在此场景中，单个域包含所有资源和用户对象 (forest1.local)。一组 Cloud Connector 部署在单个资源位置中，并加入到 forest1.local 域。
- 信任关系：无 - 单个域
- 身份和访问管理中列出的域：forest1.local
- 用户登录到云商店：所有用户均支持
- 用户登录到本地商店：所有用户均支持
注意：
如果您在单独的域中拥有管理程序实例，只要管理程序实例和 Cloud Connector 可以通过同一网络访问，您仍然可以部署一组 Cloud Connector。Citrix Cloud 使用托管连接和可用网络与管理程序建立通信。因此，即使管理程序位于不同的域中，您也无需在该域中部署另一组 Cloud Connector 来确保 Citrix Cloud 可以与管理程序通信。
单一林中的父域和子域，带有一组 Cloud Connector
在此场景中，父域 (forest1.local) 及其子域 (user.forest1.local) 位于单个林中。父域充当资源域，子域是用户域。一组 Cloud Connector 部署在单个资源位置中，并加入到 forest1.local 域。
- 信任关系：父/子域信任
- 在 身份和访问管理 中列出的域：forest1.local, user.forest1.local
- 用户登录到云存储：所有用户均支持
- 用户登录到本地存储：所有用户均支持
注意：
您可能需要重新启动 Cloud Connector 以确保 Citrix Cloud 注册子域。
独立林中的用户和资源（带信任），带有一组 Cloud Connector
在此场景中，一个林 (forest1.local) 包含您的资源域，另一个林 (forest2.local) 包含您的用户域。存在单向信任，其中包含资源域的林信任包含用户域的林。一组 Cloud Connector 部署在单个资源位置中，并加入到 forest1.local 域。
- 信任关系：单向林信任
- 在 身份和访问管理 中列出的域：forest1.local
- 用户登录到云存储：仅支持 forest1.local 用户
- 用户登录到本地存储：所有用户均支持
注意：
两个林之间的信任关系需要允许用户林中的用户能够登录到资源林中的计算机。
由于 Cloud Connector 无法遍历林级信任，因此 forest2.local 域不会显示在 Citrix Cloud 控制台的“身份和访问管理”页面上，并且无法用于任何云端功能。这会带来以下限制：
- 资源只能发布给 Citrix Cloud 中位于 forest1.local 的用户和组。但是，如果您使用的是本地存储，则 forest2.local 用户可以嵌套到 forest1.local 安全组中以缓解此问题。
- 云存储无法对来自 forest2.local 域的用户进行身份验证。
- Citrix DaaS 中的 Monitor 控制台无法枚举来自 forest2.local 域的用户。
要解决这些限制，请按照 在每个林中部署一组 Cloud Connector 的单独林（带信任）中的用户和资源 中所述部署 Cloud Connector。
在每个林中部署一组 Cloud Connector 的单独林（带信任）中的用户和资源
在此场景中，一个林 (forest1.local) 包含您的资源域，另一个林 (forest2.local) 包含您的用户域。存在单向信任，其中包含资源域的林信任包含用户域的林。一组 Cloud Connector 部署在 forest1.local 域中，第二组部署在 forest2.local 域中。
- 信任关系：单向林信任
- “身份和访问管理”中列出的域：forest1.local、forest2.local
- 用户登录到云存储：所有用户均支持
- 用户登录到本地存储：所有用户均支持
在此场景中，可以在没有资源的 用户林 中使用 Connector Appliance 替代 Cloud Connector，以降低成本和管理开销，尤其是在存在多个用户林的情况下。有关详细信息，请参阅 在所有林中部署一组 Connector Appliance 的单独林（带信任）中的用户和资源。
查看 Cloud Connector 的运行状况
Citrix Cloud 中的“资源位置”页面显示您的资源位置中所有 Cloud Connector 的运行状况。您还可以查看每个 Cloud Connector 的高级运行状况检查数据。有关详细信息，请参阅 Cloud Connector 高级运行状况检查。
Windows 事件日志
云连接器会生成某些 Windows 事件日志，您可以通过 Windows 事件查看器查看这些日志。如果您希望启用首选监控软件来查找这些日志，可以将其下载为 ZIP 存档。ZIP 下载包含以下 XML 文件中的这些日志：
- Citrix.CloudServices.Agent.Core.dll.xml（连接器代理提供程序）
- Citrix.CloudServices.AgentWatchDog.Core.dll.xml（连接器 AgentWatchDog 提供程序）
Citrix.CloudSerivces.AgentWatchDog
在正常操作期间，可能会发生以下事件：
| 事件 ID | 事件 | 描述 |
|---|---|---|
| 10000 | ConnectedToMessagingService | 当连接器与 Citrix Cloud 建立持久的出站 WebSocket 连接时，会引发此事件，从而允许与 Citrix Cloud 进行双向通信。 |
| 10001 | ConnectedToMessagingServiceWithWebProxy | 通过地址为“{0}”的 Web 代理连接到消息服务。WebSocket 连接是使用配置的代理设置的。 |
| 10002 | UnableToConnectToMessagingService | 无法连接到消息服务“{0}”。Cloud Connector 无法建立其到 Citrix Cloud 的 WebSocket 连接。 |
| 10003 | UnableToConnectToMessagingServiceWithWebProxy | 无法通过地址为“{0}”的 Web 代理连接到消息服务。Cloud Connector 在使用配置的代理时无法建立其到 Citrix Cloud 的 WebSocket 连接。 |
| 10004 | ClockOutOfSyncError | 与 Citrix Cloud 通信时出现问题。确保此计算机上的时钟具有正确的时间和时区 (UTC)。您可能需要重新启动计算机以解决此问题。 |
| 10005 | ConnectivityCheckHealthyToFailedStatus | Cloud Connector 的每小时运行状况检查在之前运行状况良好之后报告失败。 |
| 10006 | ConnectivityCheckFailedStatus | Cloud Connector 的每小时运行状况检查报告失败，过去也曾出现过故障。 |
| 10007 | ConnectivityCheckFailedToHealthyStatus | Cloud Connector 的每小时运行状况检查在之前出现故障后报告了正常状态。 |
| 10008 | ConnectivityCheckHealthyStatus | Cloud Connector 的每小时运行状况检查在之前处于正常状态后报告了正常状态。 |
Citrix.CloudServices.Agent
在正常操作期间，可能会发生以下事件：
| 10100 | ConnectedToForest | 已连接到具有域控制器的林。 |
| 10101 | UnableToConnectToForest | 无法连接到林。请确保主机已加入域并具有网络连接。 |
| 10102 | UnableToConnectToForestWithDomainName | 无法连接到与该域关联的林。 |
| 10103 | ClockOutOfSyncError | 与 Citrix Cloud 通信时出现问题。请确保此计算机上的时钟具有正确的时间和时区 (UTC)。您可能需要重新启动计算机以解决此问题。 |
有关 Broker 或 LHC 事件日志的更多信息，请参阅 事件日志
Connector 日志文件
默认情况下，事件日志位于托管 Cloud Connector 的计算机的 C:\ProgramData\Citrix\WorkspaceCloud\Logs 目录中。
故障排除
诊断 Cloud Connector 任何问题的第一步是检查事件消息和事件日志。如果您在资源位置中没有看到 Cloud Connector 或其处于“未联系”状态，则事件日志会提供一些初始信息。
Cloud Connector 连接性
如果 Cloud Connector 处于“已断开连接”状态，Cloud Connector 高级连接检查工具可以帮助验证 Cloud Connector 是否可以访问 Citrix Cloud 及其相关服务。
有关详细信息，请参阅 Cloud Connector 高级连接检查工具。
安装
如果 Cloud Connector 处于“错误”状态，则托管 Cloud Connector 可能存在问题。请在新计算机上安装 Cloud Connector。如果问题仍然存在，请联系 Citrix 支持。要解决安装或使用 Cloud Connector 时的常见问题，请参阅 CTX221535。