Sichere Bereitstellung von Director
In diesem Artikel werden Bereiche behandelt, die sich bei der Bereitstellung und Konfiguration von Director auf die Systemsicherheit auswirken können.
Konfigurieren von Microsoft Internetinformationsdienste (IIS)
Sie können Director mit einer eingeschränkten IIS-Konfiguration konfigurieren.
Grenzwerte für Anwendungspoolrecycling
Sie können die folgenden Grenzwerte für das Anwendungspoolrecycling festlegen:
- Virtuelles Arbeitsspeicherlimit: 4.294.967.295
- Privates Arbeitsspeicherlimit: Die Größe des physischen Speichers des StoreFront-Servers
- Anforderungslimit: 4.000.000.000
Dateinamenerweiterungen
Sie können nicht aufgeführte Dateinamenerweiterungen ausschließen.
Director benötigt die Dateinamenerweiterungen bei der Anforderungsfilterung:
- .aspx
- .css
- .html
- .js
- .png
- .svc
- .gif
- .json
- .woff
- .woff2
- .ttf
Director benötigt die folgenden HTTP-Verben bei der Anforderungsfilterung. Sie können nicht aufgeführte Verben ausschließen.
- GET
- POST
- HEAD
Director erfordert Folgendes nicht:
- ISAPI-Filter
- ISAPI-Erweiterungen
- CGI-Programme
- FastCGI-Programme
Wichtig:
- Director erfordert volles Vertrauen. Legen Sie jedoch nicht die globale .NET-Vertrauensebene auf “Hoch” oder niedriger fest.
- Director hat einen separaten Anwendungspool. Zum Ändern der Director-Einstellungen wählen Sie die Director-Site und führen Sie die Änderungen durch.
Konfigurieren von Benutzerrechten
Wenn Director installiert ist, erhalten die Anwendungspools folgende Berechtigungen:
- Anmelden als Dienst
- Anpassen von Speicherkontingenten für einen Prozess, Generieren von Sicherheitsüberwachungen und Ersetzen eines Tokens auf Prozessebene
Die Zuweisung der Berechtigungen ist normales Installationsverhalten beim Erstellen von Anwendungspools.
Sie brauchen die Benutzerrechte nicht zu ändern. Diese Privilegien werden von Director nicht verwendet und werden automatisch deaktiviert.
Kommunikation mit Director
Verwenden Sie für Produktionsumgebungen IPsec (Internet Protocol Security) oder HTTPS-Protokollen zum Schutz der Datenübertragung zwischen Director und den Servern.
IPsec bietet eine Reihe von Standarderweiterungen des Internetprotokolls, die authentifizierte und verschlüsselte Kommunikation mit Datenintegrität und Schutz vor Wiedergabeangriffen bieten. Da IPsec ein Protokollsatz der Vermittlungsschicht ist, können Protokolle höherer Stufen es unverändert verwenden. HTTPS verwendet die Transport Layer Security (TLS), um eine sichere Datenverschlüsselung zu erzielen.
Hinweis:
- Citrix empfiehlt dringend, den Zugriff auf die Director-Konsole innerhalb des Intranetnetzwerks einzuschränken.
- Citrix empfiehlt dringend, keine ungeschützten Verbindungen mit Director in einer Produktionsumgebung zu aktivieren.
- Die von Director ausgehende sichere Kommunikation erfordert die separate Konfiguration für jede Verbindung.
- SSL wird nicht empfohlen. Verwenden Sie stattdessen das sicherere TLS-Protokoll.
- Schützen Sie die Kommunikation mit Citrix ADC mit TLS und nicht IPsec.
Informationen zum Schützen der Kommunikation zwischen Director und Citrix Virtual Apps and Desktops-Servern (für die Überwachung und Berichte) finden Sie unter Data Access Security.
Informationen zum Schützen der Kommunikation zwischen Director und Citrix ADC (für Citrix Insight) finden Sie unter Konfigurieren der Netzwerkanalyse.
Informationen zum Schützen der Kommunikation zwischen Director und Lizenzserver finden Sie unter Schützen der License Administration Console.
Isolierung der Director-Sicherheit
Sie können beliebige Webanwendungen in der Webdomäne (Domänenname und Port) von Director bereitstellen. Allerdings können Sicherheitsrisiken in den Webanwendungen die Sicherheit der Director-Bereitstellung beeinträchtigen. Ist höhere Sicherheit erforderlich, empfiehlt Citrix die Bereitstellung von Director in einer getrennten Webdomäne.