Workspace/Digital Workspace Hamburg

Desktop as a Service (DaaS) beschreibt die Bereitstellung von virtuellen Desktops als hosted Service durch einen Service Provider. Die AirIT Workspace Cloud Produkte unterscheiden sich von DaaS: statt einen Desktop für die Anwender der Kunden zu produzieren, bildet der Workspace einen sicheren Rahmen für beliebige IT Services. Selbstverständlich kann ein auf VDI Umgebungen produzierter Desktop Service auch in den Workspace aufgenommen werden – unerheblich von der Frage, wer DaaS zur Verfügung stellt [Kunde, AirIT, Fremdanbieter].

Der Workspace gruppiert einzelne Apps und Dienste zu einem maßgeschneiderten IT-Arbeitsplatz für Nutzer.  Die Software as a Service Produkte einerseits und im eigenen Datacenter produzierte Anwendungen andererseits fasst der Workspace in einer einheitlichen Umgebung zusammen. Nutzer benötigen nur noch einen Internetzugang, um diese neue Präsentationsschicht zu erreichen. Daraus ergeben sich Zugewinne in der IT-Sicherheit und eine vereinfachte Kommunikationsmatrix:

• Auf einer zentral erreichbaren Präsentationsschicht lässt sich eine durchgängige Sicherheits-Policy viel einfacher anwenden und kontrollieren, als für dezentralen Services an verschiedenen Orten und in unterschiedlichen Aggregatzuständen (on Premise, SaaS, PaaS, IaaS).
• Wenn Mitarbeiter und Partner gleichermaßen die Präsentationsschicht ansprechen, entfallen Aufwände an diversen Perimeter-Architekturen, wie beispielsweise VPN-Gateways, Remote Accesspoints, reverse Proxies, Authentifizierungs-Systemen, etc.  Auch die veränderte Kommunikationsrichtung mit dem ausschließlichen Ziel des Internets kann es möglich machen, Kosten bei Carriern für teure WAN-vernetzung (MPLS & Co.) zu reduzieren. 
  
  

Die Arbeitswelt ist mobiler geworden. Neben den bekannten HomeOffice Möglichkeiten verändert sich auch die Mobilität innerhalb der Organisationen - an den eigentlich doch so stationären Arbeitsplätzen: Sowohl der Bring your own device (BYOD) - Trend, als auch die Verlagerung von Apps auf Tablet Computer und Smartphones bleibt den IT Experten als Thema weiter erhalten. Die „always on“ Geräte übernehmen immer mehr Arbeitsplatz-Aufgaben und ergänzen den klassischen PC. Über diese Geräteklasse sind alle Anwender jederzeit zu erreichen und die „PC-only“ Mitarbeiter werden zukünftig einen immer kleineren Stellenwert einnehmen.  Daten sind zwangsläufig zwischen allen beteiligten Geräten zu synchronisieren und immer für einen Zugriff bereitzuhalten. Lange Bereitstellungszeiten für Endgeräte sind kaum noch zu erklären, die Erwartungshaltung an die IT ist einfach zu beschreiben: „Zugriff auf meine Informationen immer, jederzeit, schnell und von überall“.

Um den speziellen Herausforderungen zu „always-on“ Devices gerecht zu werden, sind eigentlich umfangreiche Sicherungsmaßnahmen durch IT-Security Experten notwendig. Ein heterogener Gerätezoo und spätestens BYOD treiben die Aufwendungen exponentiell in die Höhe. Hier ist ein Umdenken zu erwarten, radikal gesprochen wird zukünftig ein jedes Endgerät als „unsicher“ eingestuft werden. Die Auswirkungen liegen auf der Hand: die Präsentation der Daten und Informationen muss gesichert werden, nicht jedes einzelne Device. Die sichere Authentifizierung und stringente Berechtigungskonzepte treten in den Vordergrund.

Vor etwa zwei Dekaden wandelte sich IT Architektur hin zu heute noch vorherrschenden Client-Server Architekturen. Aus der Mainframe-Umgebung herausgewachsen, nahmen open Systems Infrastrukturen unsere Rechenzentren ein. Die in großen Stückzahlen ausgegebenen Laptops und stationäre PCs sollten die Produktivität der Mitarbeiter mit jeder neuen Microsoft Windows Betriebssystem-Familie steigern. Seit den 2000er Jahren portieren Anwendungsentwickler die Mensch-Maschine-Schnittstellen bevorzugt auf Web GUI, die Notwendigkeit für Clientsoftware ist heute daher nur noch bei einer geringen Anzahl von Legacy-Softwarelösungen gegeben.

Der Workspace lässt sich (im Gegensatz zu Desktop-as-a-Service) keiner konkreten Position im Hypecycle zuordnen. Der Workspace in der Cloud ist die Aggregation verschiedener Trends und Technologien in Anlehnung an die von Gartner in 2019 propagierten SASE-Konzepte.  Aber selbstverständlich existieren Effekte, die bekannte Technologien und Trends beeinflussen: MDM, VDI, Mikrosegmentierung, SaaS, mobile Computing, UC/UCC, und viele mehr. Ein komfortabler Workspace kann beispielsweise mobile Computing Trends treiben, MDM Aufwendungen herunterfahren oder auch UC/UCC Bestrebungen fördern.

Auf einer zentral erreichbaren Präsentationsschicht lässt sich eine durchgängige Sicherheits-Policy viel einfacher anwenden und kontrollieren, als für dezentralen Services an verschiedenen Orten und in unterschiedlichen Aggregatzuständen (on Premise, SaaS, PaaS, IaaS). Die heute fragmentierten Sicherheitskonzepte und unterschiedlich etablierten Kontrollpunkte lassen sich in einem zentralen Eintritts-Tor für Anwender neu und stringent zusammenfassen. Die sichere Authentifizierung und das Management von Identitäten erscheint an zentraler Stelle sinnvoller, als eine Umsetzung pro Infrastruktur und Applikation anzustreben.

Eine solider Workspace hält Möglichkeiten vor, Informationen und Anwendungen in sicheren Containern zu präsentieren. So kann in einem gesicherten Container auch auf einem unsicheren Device das Anwenderbedürfnis nach unkompliziertem Zugriff bedient werden.

Es ist zu erwarten, dass sich durch die Fokussierung auf einige wenige Backend Systeme, unter Einbeziehung von SaaS Angeboten, die vielen Abhängigkeiten im Release-Management Prozess drastisch reduzieren lassen. Sicherheitsupdates können zeitnaher eingespielt werden, die Patchhygiene wird dadurch verbessert und Angriffsflächen im Ergebnis verringert. Statt eine Vielzahl von Endgeräten und Backend Systemen mit Sicherheitsupdates und Patches zu pflegen, kann die vorgelagerte Präsentationsschicht mit adäquaten Schutzmaßnahmen viel einfacher up-to-date gehalten werden.

Ein Software-as-a-Service Angebot wie Microsoft Office 365 oder auch Salesforce CRM, goto.meeting und viele weitere mehr, bedienen ihr jeweiliges Schwerpunktthema. Unter den Anbietern gibt es Spezialisten (siehe Salesforce) oder ganze Suites mit einem enormen Funktionsumfang (siehe O365). Allen Anbietern ist jedoch gemein, dass sie aus Effizienzgründen Spezialanwendungen gar nicht, oder nicht kommerziell sinnvoll, anbieten können.

Auch Anwendungen und Daten, die onPremise lokal im eigenen RZ betrieben werden, bewegen sich klar außerhalb des Zuständigkeitsbereiches des SaaS Anbieters.

Damit ist der grundlegende Unterschied zum Workspace schon skizziert: dieser stellt zunächst im „Rohzustand“ eine Architektur zur Verfügung – und keine einzelne Anwendungen. Damit ist der Workspace maximal flexibel und kann mit as-a-Service Produkten beliebig „eingerichtet werden“. Auch onPremise- und Spezialapplikationen fasst der Workspace gleichermaßen zusammen, wenn zuvor eine netztechnische Kopplung (i.d.R. VPN) in die RZ-Liegenschaften des Kunden aufgebaut wurde.

Clients können mit einem VMWare Horizon Agenten ausgestattet sein oder auch nativ mit Browsertechnologien oder Apps (iOS, Android) konnektieren. Als Protokolle kommen Remote Desktop Protocol RDP, Blast oder auch PC over IP zum Einsatz.

Ein Connection Broker kommt am Eintrittspunkt des eng begrenzten public IP-Subnetzes zum Einsatz, um den Zugriff von Identitäten oder Devices zu steuern. Die Hoheit über die IP Adressierung am Eintrittspunkt des Workspace liegt ausschließlich bei AirIT und kann in Firewalls der Kunden leicht als Zielobjekt genutzt werden.

Das Drucken kehrt die Wirkungsrichtung der Leistungserbringung um. Der IT Produzent (der Printer) steht in der Nähe des Anwenders, der IT Konsument (die Applikation) wird im eigenen RZ, auf dem Client, im Workspace oder in einer public Cloud produziert. Fallunterscheidungen helfen, sich dem Thema „Printing“ anzunähern:

Der Workspace stellt nur die Architektur zur Verfügung. Desktops einer onPremise VDI Umgebung oder Terminalserver integriert werden, ist dort das Printing leicht zu lösen oder integrieren. Die Systeme bleiben im RZ des Kunden beheimatet und haben so direkten Zugriff auf die lokal verteilten Drucker in den LANs des jeweiligen Kunden. Ein Rückkanal des Workspaces zum nutzenden Client ist in diesem Fall nicht gefordert.

In anderen Fällen kann es notwendig sein, einen lokal angeschlossenen Drucker am Arbeitsplatzgerät anzusteuern. Die im Workspace genutzte VMWare Technologie stellt Client-Drucker-Mapping und USB-Redirect für diesen Zweck zur Verfügung. Die „Thinprint“ Basistechnologie kann eine Vielzahl von Herausforderungen lösen. Seit Windows 7 spielt die automatisierte Druckertreiberinstallation auch in die Karten der Virtualisierung, da keine speziellen Policy Einstellungen oder gar Adminrechte für die Installation von Druckertreibern mehr notwendig sind.

Nur bei einer VDI Umgebung, betrieben innerhalb des private Cloud der AirIT (kostenpflichtige Option), sowie Printern vor Ort am Standort des Kunden kommt es zu einer neuen Herausforderung. In diesem Setup können gerade bei virtuellen Desktops auch Multimediadaten übertragen werden, die dann mit den großvolumigen Druckdaten auf schmalbandigen VPN-Tunneln konkurrieren. AirIT unterstützt hier mit der Priorisierung von Traffic anhand der Anwendungsklassen am Tunnelendpunkt. Eine ende-zu-ende Quality of Service kann bei dem Transportmedium „Internet“ dabei nicht jedoch gewährleistet werden. Zuweilen kann auch das Drucken über RDP hier eine einfache Lösung sein.

Im Idealfall: nein. Ein Workspace gruppiert alle Anwendungen für Nutzer in Abhängigkeit ihrer Rollen. Damit bekommen Anwender exakt den IT-Teil im Workspace präsentiert, der für das tägliche Tun von Bedeutung ist. Hier sollte das Business von den IT Experten einbezogen werden, um die Notwendigkeiten für einen aufgeräumten Arbeitsplatz zu verstehen. Als analoges Bild kann das bekannte Fotokopiergerät herhalten: mehr als 95% der Nutzer benötigen für den Job nur eine einzige Taste – die große grüne Starttaste. Alle anderen Menüs, Optionen und Funktionen verwirren mehr, als das sie dem Anwender helfen. In ähnlicher Form sollte ein Workspace seine Anwendungslandschaft für den Anwender gruppieren: bedarfsgerecht.

Die zentrale Workspace Architektur kann von beliebigen Endgeräten mit Internetzugang angesprochen werden. So ist es jederzeit ohne große Rüstzeiten möglich, nahezu beliebige Applikationen und Daten der Rechenzentren verfügbar zu schalten. Ob in einer Pandemie Mitarbeiter in das Homeoffice verbracht werden oder Liegenschaften in Großschadenslagen nicht mehr zur Verfügung stehen: der verfügbare Workspace minimiert die Anforderungen zur Nutzung der IT Services auf beliebige Rechner, Tablets, Smartphones, sowie einen Internetzugang. Auf Wunsch können für Backend-Systeme Hosting Kapazitäten in der AirIT private Cloud reserviert werden, um auch Ausfälle kompletter Rechenzentren zu berücksichtigen. Die sicher angebundenen public Cloud Anbieter wie beispielsweise IONOS oder Microsoft Azure ermöglichen ergänzende Szenarien für einen schnellen Wiederanlauf von Datacenter-Ressourcen im Schadensfall.