Google Cloud-Virtualisierungsumgebungen
Citrix DaaS (ehemals Citrix Virtual Apps and Desktops Service) ermöglicht das Provisioning und Verwalten von Maschinen in Google Cloud.
Voraussetzungen
Bevor Sie mit der Bereitstellung der VMs für die Google Cloud Platform (GCP) beginnen, müssen Sie sicherstellen, dass die folgenden Voraussetzungen erfüllt sind.
- Das Citrix-Abonnement muss Unterstützung für hybride Multi-Cloud-Workloads beinhalten. Weitere Informationen finden Sie unter Citrix-Abonnementfunktionen vergleichen.
- Das Administratorkonto muss über ausreichende Berechtigungen verfügen, um Hostverbindungen, Maschinenkataloge und Bereitstellungsgruppen zu erstellen. Weitere Informationen finden Sie unter Delegierte Administration konfigurieren.
- Identifizieren Sie ein Google Cloud-Projekt, in dem alle mit dem Maschinenkatalog verknüpften Rechenressourcen gespeichert sind. Dies kann ein bestehendes oder ein neues Projekt sein. Weitere Informationen finden Sie unter Google Cloud -Projekte.
- Aktivieren Sie die Google Cloud-APIs, die für die Integration in Citrix DaaS erforderlich sind. Weitere Informationen finden Sie unter Google Cloud-APIs aktivieren.
- Erstellen Sie die Dienstkonten in Google Cloud und gewähren Sie die entsprechenden Berechtigungen. Weitere Informationen finden Sie unter Dienstkonten konfigurieren und aktualisieren.
- Laden Sie die Schlüsseldatei für das Citrix Cloud-Dienstkonto herunter. Weitere Informationen finden Sie unter Citrix Cloud-Dienstkontoschlüssel.
- Die virtuellen Maschinen müssen Zugriff auf die Google-APIs ohne öffentliche IP-Adresse haben. Weitere Informationen finden Sie unter Aktivieren des privaten Google-Zugriffs.
Google Cloud-Projekte
Es gibt grundsätzlich zwei Arten von Google Cloud-Projekten:
- Bereitstellungsprojekt: Hier besitzt das aktuelle Administratorkonto die bereitgestellten Maschinen im Projekt. Das Projekt wird auch als “lokales Projekt” bezeichnet.
- Freigegebene-VPC-Projekt: Projekt, in dem im Bereitstellungsprojekt erstellte Maschinen die VPC aus dem Freigegebene-VPC-Projekt verwenden. Das für das Bereitstellungsprojekt verwendete Administratorkonto hat in diesem Projekt eingeschränkte Berechtigungen, spezifisch hat es nur Berechtigungen zur Verwendung der VPC.
Service-Endpunkt-URLs
Sie müssen Zugriff auf die folgenden URLs haben:
https://oauth2.googleapis.comhttps://cloudresourcemanager.googleapis.comhttps://compute.googleapis.comhttps://storage.googleapis.comhttps://cloudbuild.googleapis.com
Aktivieren von Google Cloud-APIs
Um die Google Cloud-Funktionalität mit Studio zu verwenden, müssen Sie diese APIs in Ihrem Google Cloud-Projekt aktivieren:
- Compute Engine-API
- Cloud Resource -API
- Identitäts- und Zugriffsverwaltung (IAM)-API
- Cloud Build-API
Führen Sie in der Google Cloud-Konsole die folgenden Schritte aus:
- Wählen Sie im oberen linken Menü APIs und Services > Enabled APIs & services.
-
Stellen Sie im Bildschirm Enabled APIs & services sicher, dass die Compute Engine-API aktiviert ist. Wenn nicht, führen Sie folgende Schritte aus:
- Gehen Sie zu APIs & Services > Library.
- Geben Sie im Suchfeld den Begriff Compute Engine ein.
- Wählen Sie in den Suchergebnissen Compute Engine API.
- Wählen Sie Enable auf der Seite Compute Engine API.
- Aktivieren Sie die Cloud Resource -API.
- Gehen Sie zu APIs & Services > Library.
- Geben Sie im Suchfeld den Begriff Cloud Resource ein.
- Wählen Sie in den Suchergebnissen Cloud Resource API.
- Wählen Sie Enable auf der Seite Cloud Resource -API. Der Status der API wird angezeigt.
- Aktivieren Sie auf ähnliche Weise die Identity and Access Management-API (IAM) und die Cloud Build API sowie die Cloud Key Management Service-API (KMS).
Sie können die APIs auch mit Google Cloud Shell aktivieren. Gehen Sie hierzu folgendermaßen vor:
- Öffnen Sie die Google-Konsole und laden Sie die Cloud Shell.
-
Führen Sie in der Cloud Shell folgende vier Befehle aus:
- gcloud services enable compute.googleapis.com
- gcloud services enable cloudresource.googleapis.com
- gcloud services enable iam.googleapis.com
- gcloud services enable cloudbuild.googleapis.com
- gcloud services enable cloudkms.googleapis.com
- Klicken Sie auf Authorize, wenn Sie die Cloud Shell dazu auffordert.
Dienstkonten konfigurieren und aktualisieren
Hinweis:
Ab dem 29. April 2024 führt GCP Änderungen am Standardverhalten von Cloud Build Services und der Verwendung von Dienstkonten ein. Weitere Informationen finden Sie unter Änderungen des Cloud Build-Dienstkontos. Ihre bestehenden Google-Projekte mit aktivierter Cloud Build API vor dem 29. April 2024 sind von dieser Änderung nicht betroffen. Wenn Sie jedoch das bestehende Cloud Build Service-Verhalten nach dem 29. April beibehalten möchten, können Sie die Organisationsrichtlinie erstellen oder anwenden, um die Durchsetzung der Einschränkungen zu deaktivieren, bevor Sie die Cloud Build API aktivieren. Daher ist der folgende Inhalt zweigeteilt: Vor dem 29. April 2024 und Nach dem 29. April 2024. Wenn Sie die neue Organisationsrichtlinie festlegen, folgen Sie dem Abschnitt Vor dem 29. April 2024.
Vor dem 29. April 2024
Citrix Cloud verwendet drei separate Dienstkonten im Google Cloud-Projekt:
-
Citrix Cloud-Dienstkonto: Dieses Dienstkonto ermöglicht Citrix Cloud den Zugriff auf das Google-Projekt, sowie Provisioning und Verwaltung von Maschinen. Dieses Dienstkonto authentifiziert sich bei Google Cloud mit einem von Google Cloud generierten Schlüssels.
Sie müssen dieses Dienstkonto manuell erstellen, wie hier beschrieben. Weitere Informationen finden Sie unter Citrix Cloud-Dienstkonto erstellen.
Sie können dieses Dienstkonto mit einer E-Mail-Adresse identifizieren. Beispiel:
<my-service-account>@<project-id>.iam.gserviceaccount.com. -
Cloud Build-Dienstkonto: Dieses Dienstkonto wird automatisch bereitgestellt, nachdem Sie alle unter Enable Google Cloud APIs aufgeführten APIs aktiviert haben. Um alle automatisch erstellten Dienstkonten anzuzeigen, navigieren Sie in der Google Cloud-Konsole zu IAM & Admin > IAM und aktivieren Sie das Kontrollkästchen Include Google-provided role grants.
Sie können dieses Dienstkonto durch eine E-Mail-Adresse identifizieren, die mit der Projekt-ID und dem Wort cloudbuild beginnt. Beispiel:
<project-id>@cloudbuild.gserviceaccount.comÜberprüfen Sie, ob dem Dienstkonto die folgenden Rollen gewährt wurden. Wenn Sie Rollen hinzufügen müssen, folgen Sie den Schritten unter Cloud Build-Dienstkonto Rollen hinzufügen.
- Cloud Build-Dienstkonto
- Compute Instance-Administrator
- Dienstkontobenutzer
-
Cloud Compute-Dienstkonto: Dieses Dienstkonto wird von Google Cloud zu Instanzen hinzugefügt, die in Google Cloud erstellt wurden, sobald die Compute-API aktiviert wird. Dieses Konto hat die einfache IAM-Bearbeiterrolle, um die Operationen auszuführen. Wenn Sie jedoch die Standardberechtigung löschen, um eine präzisere Kontrolle zu haben, müssen Sie die Speicheradministratorrolle hinzufügen, für die die folgenden Berechtigungen erforderlich sind:
- resource.projects.get
- storage.objects.create
- storage.objects.get
- storage.objects.list
Sie können dieses Dienstkonto durch eine E-Mail-Adresse identifizieren, die mit der Projekt-ID und dem Wort compute beginnt. Beispiel: <project-id>-compute@developer.gserviceaccount.com.
Citrix Cloud-Dienstkonto erstellen
Führen Sie folgende Schritte aus, um ein Citrix Cloud-Dienstkonto zu erstellen:
- Gehen Sie in der Google Cloud-Konsole zu IAM & Admin > Service accounts.
- Wählen Sie auf der Seite Service accounts CREATE SERVICE ACCOUNT.
- Geben Sie auf der Seite Create service account die erforderlichen Informationen ein und wählen Sie dann CREATE AND CONTINUE.
-
Klicken Sie auf der Seite Grant this service account access to project auf das Dropdownmenü Select a role und wählen Sie die erforderlichen Rollen aus. Klicken Sie auf +ADD ANOTHER ROLE, wenn Sie weitere Rollen hinzufügen möchten.
Jedes Konto (persönlich oder Service) hat verschiedene Rollen, die das Management des Projekts definieren. Gewähren Sie diesem Dienstkonto die folgenden Rollen:
- Compute Admin
- Speicher-Administrator
- Cloud Build-Editor
- Dienstkontobenutzer
- Cloud Datastore User
- Cloud KMS Crypto Operator
Der Cloud KMS Crypto Operator benötigt die folgenden Berechtigungen:
- cloudkms.cryptoKeys.get
- cloudkms.cryptoKeys.list
- cloudkms.keyRings.get
- cloudkms.keyRings.list
Hinweis:
Aktivieren Sie alle APIs, um die vollständige Liste der beim Erstellen eines neuen Dienstkontos verfügbaren Rollen abzurufen.
- Klicken Sie auf CONTINUE
- Fügen Sie auf der Seite Grant users access to this service account Benutzer oder Gruppen hinzu, um ihnen Zugriff auf Aktionen in diesem Dienstkonto zu gewähren.
- Klicken Sie auf DONE.
- Navigieren Sie zur IAM-Hauptkonsole.
- Identifizieren Sie das erstellte Dienstkonto.
- Überprüfen Sie, ob die Rollen erfolgreich zugewiesen wurden.
Überlegungen:
Beachten Sie beim Erstellen des Servicekontos Folgendes:
- Die Schritte Grant this service account access to project und Grant users access to this service account sind optional. Wenn Sie diese optionalen Konfigurationsschritte überspringen, wird das neu erstellte Servicekonto nicht auf der Seite IAM & Admin > IAM angezeigt.
- Um die mit dem Servicekonto verknüpften Rollen anzuzeigen, fügen Sie die Rollen hinzu, ohne die optionalen Schritte zu überspringen. Dadurch wird sichergestellt, dass Rollen für das konfigurierte Servicekonto angezeigt werden.
Citrix Cloud-Dienstkontoschlüssel
Der Citrix Cloud-Dienstkontoschlüssel ist erforderlich, um eine Verbindung in Citrix DaaS herzustellen. Der Schlüssel ist in einer Anmeldeinformationsdatei (.json) enthalten. Nachdem Sie den Schlüssel erstellt haben, wird die Datei automatisch heruntergeladen und im Ordner Downloads gespeichert. Stellen Sie beim Erstellen des Schlüssels sicher, dass der Schlüsseltyp auf JSON festgelegt wird. Andernfalls kann Studio die Datei nicht analysieren.
Um einen Dienstkontoschlüssel zu erstellen, navigieren Sie zu IAM & Admin > Dienstkonten und klicken Sie auf die E-Mail-Adresse des Citrix Cloud-Dienstkontos. Wechseln Sie zur Registerkarte Schlüssel und wählen Sie Schlüssel hinzufügen > Neuen Schlüssel erstellen. Achten Sie darauf, JSON als Schlüsseltyp auszuwählen.
Tipp:
Erstellen Sie Schlüssel auf der Seite Service accounts in der Google Cloud-Konsole. Es wird empfohlen, Schlüssel aus Sicherheitsgründen regelmäßig zu ändern. Sie stellen der Citrix Virtual Apps and Desktops-Anwendung neue Schlüssel durch Bearbeiten einer vorhandenen Google Cloud-Verbindung bereit.
Citrix Cloud-Dienstkonto Rollen hinzufügen
So fügen Sie einem Citrix Cloud-Dienstkonto Rollen hinzu:
- Gehen Sie in der Google Cloud-Konsole zu IAM & Admin > IAM.
-
Suchen Sie auf der Seite IAM > PERMISSIONS das erstellte Dienstkonto, erkennbar an der E-Mail-Adresse.
Beispiel:
<my-service-account>@<project-id>.iam.gserviceaccount.com - Wählen Sie das Bleistiftsymbol, um den Zugriff auf den Prinzipal des Dienstkontos zu bearbeiten.
- Wählen Sie auf der Seite Edit access to “project-id” für den ausgewählten Prinzipal ADD ANOTHER ROLE, um Ihrem Dienstkonto die erforderlichen Rollen nacheinander hinzuzufügen, und wählen Sie SAVE.
Cloud Build-Dienstkonto Rollen hinzufügen
So fügen Sie einem Cloud Build-Dienstkonto Rollen hinzu:
- Gehen Sie in der Google Cloud-Konsole zu IAM & Admin > IAM.
-
Suchen Sie auf der Seite IAM das Cloud Build-Dienstkonto, erkennbar an einer E-Mail-Adresse, die mit der Projekt-ID und dem Wort cloudbuild beginnt.
Beispiel:
<project-id>@cloudbuild.gserviceaccount.com - Wählen Sie das Bleistiftsymbol, um die Cloud Build-Kontorollen zu bearbeiten.
-
Wählen Sie auf der Seite Edit access to “project-id” für den ausgewählten Prinzipal ADD ANOTHER ROLE, um Ihrem Cloud Build-Dienstkonto die erforderlichen Rollen nacheinander hinzuzufügen, und wählen Sie SAVE.
Hinweis:
Aktivieren Sie alle APIs, um die vollständige Liste der Rollen abzurufen.
Nach dem 29. April 2024
Citrix Cloud verwendet zwei separate Dienstkonten im Google Cloud-Projekt:
-
Citrix Cloud-Dienstkonto: Dieses Dienstkonto ermöglicht Citrix Cloud den Zugriff auf das Google-Projekt, sowie Provisioning und Verwaltung von Maschinen. Dieses Dienstkonto authentifiziert sich bei Google Cloud mit einem von Google Cloud generierten Schlüssels.
Sie müssen dieses Dienstkonto manuell erstellen.
Sie können dieses Dienstkonto mit einer E-Mail-Adresse identifizieren. Beispiel:
<my-service-account>@<project-id>.iam.gserviceaccount.com. -
Cloud Compute-Dienstkonto: Dieses Dienstkonto wird automatisch bereitgestellt, nachdem Sie alle unter Enable Google Cloud APIs aufgeführten APIs aktiviert haben. Um alle automatisch erstellten Dienstkonten anzuzeigen, navigieren Sie in der Google Cloud-Konsole zu IAM & Admin > IAM und aktivieren Sie das Kontrollkästchen Include Google-provided role grants. Dieses Konto hat die einfache IAM-Bearbeiterrolle, um die Operationen auszuführen. Wenn Sie jedoch die Standardberechtigung löschen, um eine präzisere Kontrolle zu haben, müssen Sie die Speicheradministratorrolle hinzufügen, für die die folgenden Berechtigungen erforderlich sind:
- resource.projects.get
- storage.objects.create
- storage.objects.get
- storage.objects.list
Sie können dieses Dienstkonto durch eine E-Mail-Adresse identifizieren, die mit der Projekt-ID und dem Wort compute beginnt. Beispiel:
<project-id>-compute@developer.gserviceaccount.com.Überprüfen Sie, ob dem Dienstkonto die folgenden Rollen gewährt wurden.
- Cloud Build-Dienstkonto
- Compute Instance-Administrator
- Dienstkontobenutzer
Citrix Cloud-Dienstkonto erstellen
Führen Sie folgende Schritte aus, um ein Citrix Cloud-Dienstkonto zu erstellen:
- Gehen Sie in der Google Cloud-Konsole zu IAM & Admin > Service accounts.
- Wählen Sie auf der Seite Service accounts CREATE SERVICE ACCOUNT.
- Geben Sie auf der Seite Create service account die erforderlichen Informationen ein und wählen Sie dann CREATE AND CONTINUE.
-
Klicken Sie auf der Seite Grant this service account access to project auf das Dropdownmenü Select a role und wählen Sie die erforderlichen Rollen aus. Klicken Sie auf +ADD ANOTHER ROLE, wenn Sie weitere Rollen hinzufügen möchten.
Jedes Konto (persönlich oder Service) hat verschiedene Rollen, die das Management des Projekts definieren. Gewähren Sie diesem Dienstkonto die folgenden Rollen:
- Compute Admin
- Speicher-Administrator
- Cloud Build-Editor
- Dienstkontobenutzer
- Cloud Datastore User
- Cloud KMS Crypto Operator
Der Cloud KMS Crypto Operator benötigt die folgenden Berechtigungen:
- cloudkms.cryptoKeys.get
- cloudkms.cryptoKeys.list
- cloudkms.keyRings.get
- cloudkms.keyRings.list
Hinweis:
Aktivieren Sie alle APIs, um die vollständige Liste der beim Erstellen eines neuen Dienstkontos verfügbaren Rollen abzurufen.
- Klicken Sie auf CONTINUE
- Fügen Sie auf der Seite Grant users access to this service account Benutzer oder Gruppen hinzu, um ihnen Zugriff auf Aktionen in diesem Dienstkonto zu gewähren.
- Klicken Sie auf DONE.
- Navigieren Sie zur IAM-Hauptkonsole.
- Identifizieren Sie das erstellte Dienstkonto.
- Überprüfen Sie, ob die Rollen erfolgreich zugewiesen wurden.
Überlegungen:
Beachten Sie beim Erstellen des Servicekontos Folgendes:
- Die Schritte Grant this service account access to project und Grant users access to this service account sind optional. Wenn Sie diese optionalen Konfigurationsschritte überspringen, wird das neu erstellte Servicekonto nicht auf der Seite IAM & Admin > IAM angezeigt.
- Um die mit dem Servicekonto verknüpften Rollen anzuzeigen, fügen Sie die Rollen hinzu, ohne die optionalen Schritte zu überspringen. Dadurch wird sichergestellt, dass Rollen für das konfigurierte Servicekonto angezeigt werden.
Citrix Cloud-Dienstkontoschlüssel
Der Citrix Cloud-Dienstkontoschlüssel ist erforderlich, um eine Verbindung in Citrix DaaS herzustellen. Der Schlüssel ist in einer Anmeldeinformationsdatei (.json) enthalten. Nachdem Sie den Schlüssel erstellt haben, wird die Datei automatisch heruntergeladen und im Ordner Downloads gespeichert. Stellen Sie beim Erstellen des Schlüssels sicher, dass der Schlüsseltyp auf JSON festgelegt wird. Andernfalls kann Studio die Datei nicht analysieren.
Um einen Dienstkontoschlüssel zu erstellen, navigieren Sie zu IAM & Admin > Dienstkonten und klicken Sie auf die E-Mail-Adresse des Citrix Cloud-Dienstkontos. Wechseln Sie zur Registerkarte Schlüssel und wählen Sie Schlüssel hinzufügen > Neuen Schlüssel erstellen. Achten Sie darauf, JSON als Schlüsseltyp auszuwählen.
Tipp:
Erstellen Sie Schlüssel auf der Seite Service accounts in der Google Cloud-Konsole. Es wird empfohlen, Schlüssel aus Sicherheitsgründen regelmäßig zu ändern. Sie stellen der Citrix Virtual Apps and Desktops-Anwendung neue Schlüssel durch Bearbeiten einer vorhandenen Google Cloud-Verbindung bereit.
Citrix Cloud-Dienstkonto Rollen hinzufügen
So fügen Sie einem Citrix Cloud-Dienstkonto Rollen hinzu:
- Gehen Sie in der Google Cloud-Konsole zu IAM & Admin > IAM.
-
Suchen Sie auf der Seite IAM > PERMISSIONS das erstellte Dienstkonto, erkennbar an der E-Mail-Adresse.
Beispiel:
<my-service-account>@<project-id>.iam.gserviceaccount.com - Wählen Sie das Bleistiftsymbol, um den Zugriff auf den Prinzipal des Dienstkontos zu bearbeiten.
- Wählen Sie auf der Seite Edit access to “project-id” für den ausgewählten Prinzipal ADD ANOTHER ROLE, um Ihrem Dienstkonto die erforderlichen Rollen nacheinander hinzuzufügen, und wählen Sie SAVE.
Rollen zum Cloud Compute-Dienstkonto hinzufügen
So fügen Sie Rollen zum Cloud Compute-Dienstkonto hinzu:
- Gehen Sie in der Google Cloud-Konsole zu IAM & Admin > IAM.
-
Suchen Sie auf der Seite IAM das Cloud Build-Dienstkonto, erkennbar an einer E-Mail-Adresse, die mit der Projekt-ID und dem Wort compute beginnt.
Beispiel:
<project-id>-compute@developer.gserviceaccount.com - Wählen Sie das Bleistiftsymbol, um die Cloud Build-Kontorollen zu bearbeiten.
-
Wählen Sie auf der Seite Edit access to “project-id” für den ausgewählten Prinzipal ADD ANOTHER ROLE, um Ihrem Cloud Build-Dienstkonto die erforderlichen Rollen nacheinander hinzuzufügen, und wählen Sie SAVE.
Hinweis:
Aktivieren Sie alle APIs, um die vollständige Liste der Rollen abzurufen.
Speicherberechtigungen und Bucket-Verwaltung
Citrix DaaS verbessert die Fehlermeldung im Cloud-Build für den Google Cloud-Dienst. Der Dienst führt Builds in Google Cloud aus. Citrix DaaS erstellt ein Storage-Bucket mit dem Namen citrix-mcs-cloud-build-logs-{region}-{5 random characters}, in dem die Google Cloud-Dienste Protokollinformationen für den Build erfassen. Für das Bucket ist festgelegt, dass dessen Inhalt nach 30 Tagen gelöscht wird. Für diesen Vorgang muss die Google Cloud-Berechtigung des für die Verbindung verwendeten Dienstkontos auf storage.buckets.update festgelegt sein. Hat das Dienstkonto diese Berechtigung nicht, ignoriert Citrix DaaS Fehler und setzt die Katalogerstellung fort. Ohne diese Berechtigung werden Build-Protokolle immer größer und erfordern eine manuelle Bereinigung.
Aktivieren des privaten Google-Zugriffs
Wenn der Netzwerkschnittstelle einer VM keine externe IP-Adresse zugewiesen ist, werden Pakete nur an andere interne IP-Adressenziele gesendet. Wenn Sie den privaten Zugriff aktivieren, stellt die VM eine Verbindung zu den von der Google-API und den zugehörigen Diensten verwendeten externen IP-Adressen her.
Hinweis:
Unabhängig davon, ob der private Google-Zugriff aktiviert ist, müssen alle VMs mit und ohne öffentliche IP-Adresse auf öffentliche Google-APIs zugreifen können, vor allem dann, wenn Netzwerkgeräte von Drittanbietern in der Umgebung installiert sind.
Damit eine VM im Subnetz ohne öffentliche IP-Adresse für das MCS-Provisioning auf die Google-APIs zugreifen kann, führen Sie folgende Schritte aus:
- Rufen Sie in Google Cloud VPC network configuration auf.
- Identifizieren Sie die verwendeten Subnetze oder die Citrix-Umgebung auf der Registerkarte Subnetze im aktuellen Projekt.
- Klicken Sie auf den Namen der Subnetze und aktivieren Sie den privaten Google-Zugriff.
Weitere Informationen finden Sie unter Konfigurieren des privaten Google-Zugriffs.
Wichtig:
Wenn Ihr Netzwerk so konfiguriert ist, dass der VM-Zugriff auf das Internet unterbunden wird, stellen Sie sicher, dass Ihre Organisation das mit der Aktivierung des privaten Google-Zugriffs für das Subnetz der VMs verbundene Risiko einzugehen bereit ist.
So geht es weiter
- Für eine einfache Machbarkeitsstudie installieren Sie einen VDA auf einer Maschine, die Apps oder einen Desktop bereitstellen soll.
- Informationen zum Erstellen und Verwalten von Verbindungen finden Sie unter Verbindung zu Google-Cloudumgebungen.
- Überprüfen Sie alle Schritte im Installations- und Konfigurationsprozess.