Sichere Director-Bereitstellung
Dieser Artikel hebt Bereiche hervor, die bei der Bereitstellung und Konfiguration von Director Auswirkungen auf die Systemsicherheit haben könnten.
Microsoft Internet Information Services (IIS) konfigurieren
Sie können Director mit einer eingeschränkten IIS-Konfiguration konfigurieren.
Grenzwerte für das Recycling von Anwendungspools
Sie können die folgenden Grenzwerte für das Recycling von Anwendungspools festlegen:
- Grenzwert für virtuellen Speicher: 4.294.967.295
- Grenzwert für privaten Speicher: Die Größe des physischen Speichers des StoreFront™-Servers
- Anforderungsgrenzwert: 4.000.000.000
Dateinamenerweiterungen
Sie können nicht aufgelistete Dateinamenerweiterungen untersagen.
Director erfordert diese Dateinamenerweiterungen in der Anforderungsfilterung:
- .aspx-Datei
- .css-Datei
- .html-Datei
- .js
- Dateiendung .png
- Dateiendung .svc
- .gif
- .json
- .woff
- .woff2
- .ttf
Director erfordert die folgenden HTTP-Verben in der Anforderungsfilterung. Sie können nicht aufgelistete Verben untersagen.
- GET
- POST
- HEAD
Director erfordert nicht:
- ISAPI-Filter
- ISAPI-Erweiterungen
- CGI-Programme
- FastCGI-Programme
Wichtig:
- Director erfordert vollständiges Vertrauen (Full Trust). Legen Sie die globale .NET-Vertrauensstufe nicht auf „Hoch“ oder niedriger fest.
- Director verwaltet einen separaten Anwendungspool. Um die Director-Einstellungen zu ändern, wählen Sie die Director-Site aus und nehmen Sie die Änderungen vor.
Benutzerrechte konfigurieren
Wenn Director installiert ist, werden seinen Anwendungspools Folgendes gewährt:
- Anmelderecht Als Dienst anmelden
- Berechtigungen Arbeitsspeicherkontingente für einen Prozess anpassen, Sicherheitsüberwachungen generieren und Prozessebenentoken ersetzen
Die genannten Rechte und Berechtigungen sind normales Installationsverhalten, wenn Anwendungspools erstellt werden.
Sie müssen diese Benutzerrechte nicht ändern. Diese Berechtigungen werden von Director nicht verwendet und automatisch deaktiviert.
Director-Kommunikation
Verwenden Sie in einer Produktionsumgebung die Protokolle Internet Protocol Security (IPsec) oder HTTPS, um die Datenübertragung zwischen Director und Ihren Servern zu sichern.
IPsec ist eine Reihe von Standarderweiterungen des Internetprotokolls, die authentifizierte und verschlüsselte Kommunikation mit Datenintegrität und Wiederholungsschutz bietet. Da IPsec ein Satz von Netzwerkprotokollen ist, können Protokolle höherer Ebene es ohne Änderungen verwenden. HTTPS verwendet die Transport Layer Security (TLS)-Protokolle, um eine starke Datenverschlüsselung zu gewährleisten.
Hinweis:
- Citrix® empfiehlt dringend, den Zugriff auf die Director-Konsole auf das Intranet zu beschränken.
- Citrix empfiehlt dringend, in einer Produktionsumgebung keine ungesicherten Verbindungen zu Director zu aktivieren.
- Die Absicherung der Kommunikation von Director erfordert eine separate Konfiguration für jede Verbindung.
- Das SSL-Protokoll wird nicht empfohlen. Verwenden Sie stattdessen das sicherere TLS-Protokoll.
- Sichern Sie Ihre Kommunikation mit Citrix ADC mit TLS, nicht mit IPsec.
Informationen zum Sichern der Kommunikation zwischen Director und Citrix Virtual Apps and Desktops-Servern (für Überwachung und Berichte) finden Sie unter Datensicherheitszugriff.
Informationen zum Sichern der Kommunikation zwischen Director und Citrix ADC (für Citrix Insight) finden Sie unter Netzwerkanalyse konfigurieren.
Informationen zum Sichern der Kommunikation zwischen Director und dem Lizenzserver finden Sie unter Lizenzverwaltungskonsole sichern.
Director-Sicherheitstrennung
Sie können beliebige Webanwendungen in derselben Webdomäne (Domänenname und Port) wie Director bereitstellen. Sicherheitsrisiken in diesen Webanwendungen können jedoch potenziell die Sicherheit Ihrer Director-Bereitstellung beeinträchtigen. Wo ein höheres Maß an Sicherheitstrennung erforderlich ist, empfiehlt Citrix, Director in einer separaten Webdomäne bereitzustellen.