Sichere Director-Bereitstellung
Dieser Artikel beleuchtet Bereiche, die bei der Bereitstellung und Konfiguration von Director Auswirkungen auf die Systemsicherheit haben könnten.
Microsoft Internet Information Services (IIS) konfigurieren
Sie können Director mit einer eingeschränkten IIS-Konfiguration konfigurieren.
Grenzwerte für das Application Pool-Recycling
Sie können die folgenden Grenzwerte für das Application Pool-Recycling festlegen:
- Grenzwert für virtuellen Speicher: 4,294,967,295
- Grenzwert für privaten Speicher: Die Größe des physischen Speichers des StoreFront™-Servers
- Anforderungsgrenzwert: 4,000,000,000
Dateinamenerweiterungen
Sie können nicht aufgelistete Dateinamenerweiterungen untersagen.
Director erfordert die folgenden Dateinamenerweiterungen in der Anforderungsfilterung:
- .aspx
- .css
- .html-Datei
- .js
- .png-Datei
- .svc-Dateierweiterung
- .gif-Dateierweiterung
- .json
- .woff
- .woff2
- .ttf
Director erfordert die folgenden HTTP-Verben in der Anforderungsfilterung. Nicht aufgelistete Verben können Sie ablehnen.
- GET
- POST
- HEAD
Director erfordert nicht:
- ISAPI-Filter
- ISAPI-Erweiterungen
- CGI-Programme
- FastCGI-Programme
Wichtig:
- Director erfordert vollständiges Vertrauen (Full Trust). Legen Sie die globale .NET-Vertrauensstufe nicht auf „Hoch“ oder niedriger fest.
- Director verwaltet einen separaten Anwendungspool. Um die Director-Einstellungen zu ändern, wählen Sie die Director-Site aus und nehmen Sie die Änderungen vor.
Benutzerrechte konfigurieren
Wenn Director installiert ist, werden seinen Anwendungspools die folgenden Rechte gewährt:
- Anmelderecht Als Dienst anmelden
- Berechtigungen Arbeitsspeicherkontingente für einen Prozess anpassen, Sicherheitsüberwachungen generieren und Prozessebenentoken ersetzen
Die genannten Rechte und Berechtigungen sind normales Installationsverhalten, wenn Anwendungspools erstellt werden.
Sie müssen diese Benutzerrechte nicht ändern. Diese Berechtigungen werden von Director nicht verwendet und automatisch deaktiviert.
Director-Kommunikation
Verwenden Sie in einer Produktionsumgebung die Protokolle Internet Protocol Security (IPsec) oder HTTPS, um die Datenübertragung zwischen Director und Ihren Servern zu sichern.
IPsec ist eine Reihe von Standarderweiterungen des Internetprotokolls, die authentifizierte und verschlüsselte Kommunikation mit Datenintegrität und Wiedergabeschutz bietet. Da IPsec ein Satz von Netzwerkprotokollen ist, können Protokolle höherer Ebene es ohne Änderungen verwenden. HTTPS verwendet die Transport Layer Security (TLS)-Protokolle, um eine starke Datenverschlüsselung zu gewährleisten.
Hinweis:
- Citrix® empfiehlt dringend, den Zugriff auf die Director-Konsole auf das Intranet zu beschränken.
- Citrix empfiehlt dringend, ungesicherte Verbindungen zu Director in einer Produktionsumgebung nicht zu aktivieren.
- Gesicherte Kommunikation von Director erfordert eine separate Konfiguration für jede Verbindung.
- Das SSL-Protokoll wird nicht empfohlen. Verwenden Sie stattdessen das sicherere TLS-Protokoll.
- Sichern Sie Ihre Kommunikation mit Citrix ADC mithilfe von TLS, nicht IPsec.
Informationen zum Sichern der Kommunikation zwischen Director und Citrix Virtual Apps and Desktops-Servern (für Überwachung und Berichte) finden Sie unter Datenzugriffssicherheit.
Informationen zum Sichern der Kommunikation zwischen Director und Citrix ADC (für Citrix Insight) finden Sie unter Netzwerkanalyse konfigurieren.
Informationen zum Sichern der Kommunikation zwischen Director und dem Lizenzserver finden Sie unter Lizenzverwaltungskonsole sichern.
Director-Sicherheitstrennung
Sie können beliebige Webanwendungen in derselben Webdomäne (Domänenname und Port) wie Director bereitstellen. Sicherheitsrisiken in diesen Webanwendungen können jedoch die Sicherheit Ihrer Director-Bereitstellung potenziell verringern. Wo ein höheres Maß an Sicherheitstrennung erforderlich ist, empfiehlt Citrix, Director in einer separaten Webdomäne bereitzustellen.