Sicher
Dieses Thema enthält empfohlene Best Practices für die Absicherung von Profile Management. Sichern Sie im Allgemeinen die Server, auf denen der Benutzerspeicher liegt, um unerwünschten Zugriff auf Citrix® Benutzerprofildaten zu verhindern.
Empfehlungen zur Erstellung sicherer Benutzerspeicher finden Sie im Artikel mit dem Titel Dateifreigabe für servergespeicherte Benutzerprofile erstellen auf der Microsoft TechNet-Website. Diese Mindestempfehlungen gewährleisten ein hohes Maß an Sicherheit für den grundlegenden Betrieb. Berücksichtigen Sie außerdem bei der Konfiguration des Zugriffs auf den Benutzerspeicher die Administratorengruppe, die zum Ändern oder Entfernen eines Citrix Benutzerprofils erforderlich ist.
Berechtigungen
Citrix testet und empfiehlt die folgenden Berechtigungen für den Benutzerspeicher und den plattformübergreifenden Einstellungsspeicher:
- Freigabeberechtigungen: Vollzugriff auf den Stammordner des Benutzerspeichers
-
Die folgenden NTFS-Berechtigungen, wie sie derzeit von Microsoft empfohlen werden:
Gruppe oder Benutzername Berechtigung Anwenden auf Ersteller-Besitzer Vollzugriff Nur Unterordner und Dateien Die Gruppe der Konten unter der Kontrolle von Profile Management Ordner auflisten / Daten lesen und Ordner erstellen / Daten anhängen Nur dieser Ordner Lokales System Vollzugriff Dieser Ordner, Unterordner und Dateien
Vorausgesetzt, die Vererbung ist nicht deaktiviert, ermöglichen diese Berechtigungen den Konten den Zugriff auf die Speicher. Außerdem ermöglichen sie den Konten, Unterordner für Benutzerprofile zu erstellen und die erforderlichen Lese- und Schreibvorgänge durchzuführen.
Über dieses Minimum hinaus können Sie die Administration auch vereinfachen, indem Sie eine Gruppe von Administratoren erstellen, die nur Vollzugriff auf Unterordner und Dateien hat. Das Löschen von Profilen (eine häufige Aufgabe zur Fehlerbehebung) wird dann für Mitglieder dieser Gruppe einfacher.
Wenn Sie ein Vorlagenprofil verwenden, benötigen Benutzer Lesezugriff darauf.
Zugriffssteuerungsliste (ACL)
Wenn Sie die Funktion für plattformübergreifende Einstellungen verwenden, legen Sie die ACLs für den Ordner, der die Definitionsdateien speichert, wie folgt fest: Lesezugriff für authentifizierte Benutzer und Lese-/Schreibzugriff für Administratoren.
Windows-Roamingprofile entfernen Administratorberechtigungen automatisch aus den Ordnern, die Profildaten im Netzwerk enthalten. Profile Management entfernt diese Berechtigungen nicht automatisch aus Ordnern im Benutzerspeicher. Abhängig von den Sicherheitsrichtlinien Ihrer Organisation können Sie dies manuell tun.
Hinweis: Wenn eine Anwendung die ACL einer Datei im Benutzerprofil ändert, repliziert Profile Management diese Änderungen nicht im Benutzerspeicher. Dies entspricht dem Verhalten von Windows-Roamingprofilen.
Profilstreaming und Antivirenprodukte für Unternehmen
Die Funktion für gestreamte Benutzerprofile von Citrix Profile Management verwendet erweiterte NTFS-Funktionen, um das Vorhandensein von Dateien zu simulieren, die in den Benutzerprofilen fehlen. In dieser Hinsicht ähnelt die Funktion einer Produktklasse, die als Hierarchical Storage Managers (HSMs) bekannt ist. HSMs werden typischerweise verwendet, um selten verwendete Dateien auf langsame Massenspeichergeräte wie Magnetbänder oder wiederbeschreibbare optische Speicher zu archivieren. Wenn solche Dateien benötigt werden, fangen HSM-Treiber die erste Dateianforderung ab, unterbrechen den anfordernden Prozess, holen die Datei aus dem Archivspeicher und ermöglichen dann die Fortsetzung der Dateianforderung. Angesichts dieser Ähnlichkeit ist der Treiber für gestreamte Benutzerprofile, upmjit.sys, tatsächlich als HSM-Treiber definiert.
In einer solchen Umgebung müssen Antivirenprodukte so konfiguriert werden, dass sie HSM-Treiber erkennen, und der Treiber für gestreamte Benutzerprofile ist da keine Ausnahme. Um sich gegen die ausgeklügeltsten Bedrohungen zu verteidigen, müssen Antivirenprodukte einige ihrer Funktionen auf der Ebene des Gerätetreibers ausführen. Und wie HSM-Treiber funktionieren sie, indem sie Dateianforderungen abfangen, den ursprünglichen Prozess unterbrechen, die Datei scannen und fortsetzen.
Es ist relativ einfach, ein Antivirenprogramm falsch zu konfigurieren, sodass es einen HSM wie den Treiber für gestreamte Benutzerprofile unterbricht, ihn daran hindert, Dateien aus dem Benutzerspeicher abzurufen, und so die Anmeldung zum Hängen bringt.
Glücklicherweise sind Antivirenprodukte für Unternehmen so konzipiert, dass sie die Möglichkeit anspruchsvoller Speicherprodukte wie HSMs berücksichtigen. Sie können so konfiguriert werden, dass sie ihren Scan verzögern, bis das HSM seine Arbeit erledigt hat. Antivirenprodukte für den Heimgebrauch sind in dieser Hinsicht weniger ausgeklügelt. Daher wird die Verwendung von Antivirenprodukten für den Heimgebrauch und SoHo (Small Office/Home Office) mit gestreamten Benutzerprofilen nicht unterstützt.
Um Ihr Antivirenprodukt für die Verwendung mit gestreamten Benutzerprofilen zu konfigurieren, suchen Sie nach einer der folgenden Produktfunktionen. Die Funktionsnamen sind nur beispielhaft:
- Liste vertrauenswürdiger Prozesse. Identifiziert HSMs gegenüber dem Antivirenprodukt, wodurch das HSM den Dateiwiederherstellungsprozess abschließen kann. Das Antivirenprodukt scannt die Datei, wenn sie zum ersten Mal von einem nicht vertrauenswürdigen Prozess aufgerufen wird.
- Nicht bei Öffnungs- oder Statusprüfvorgängen scannen. Konfiguriert das Antivirenprodukt so, dass es eine Datei nur scannt, wenn auf Daten zugegriffen wird (z. B. wenn eine Datei ausgeführt oder erstellt wird). Andere Arten des Dateizugriffs (z. B. wenn eine Datei geöffnet oder ihr Status überprüft wird) werden vom Antivirenprodukt ignoriert. HSMs werden im Allgemeinen als Reaktion auf Dateioffnungs- und Dateistatusprüfvorgänge aktiviert, sodass das Deaktivieren von Virenscans bei diesen Vorgängen potenzielle Konflikte beseitigt.
Citrix testet gestreamte Benutzerprofile mit Versionen der führenden Antivirenprodukte für Unternehmen, um deren Kompatibilität mit Profile Management sicherzustellen. Diese Versionen umfassen:
- McAfee Virus Scan Enterprise 8.7
- Symantec Endpoint Protection 11.0
- Trend Micro OfficeScan 10
Ältere Versionen dieser Produkte werden nicht getestet.
Wenn Sie ein Antivirenprodukt für Unternehmen von anderen Anbietern verwenden, stellen Sie sicher, dass es HSM-fähig ist. Es kann so konfiguriert werden, dass HSM-Vorgänge abgeschlossen werden können, bevor Scans durchgeführt werden.
Einige Antivirenprodukte ermöglichen Administratoren die Wahl zwischen Scan-on-Read oder Scan-on-Write. Diese Wahl gleicht Leistung und Sicherheit aus. Die Funktion für gestreamte Benutzerprofile wird von dieser Wahl nicht beeinflusst.
Problembehandlung bei Profile Management in Streaming- und Antiviren-Bereitstellungen
Wenn Probleme auftreten, wie z. B. hängende oder lange dauernde Anmeldungen, liegt möglicherweise eine Fehlkonfiguration zwischen Profile Management und Ihrem Antivirenprodukt für Unternehmen vor. Führen Sie die folgenden Schritte in dieser Reihenfolge aus:
- Überprüfen Sie, ob Sie die neueste Version von Profile Management haben. Ihr Problem wurde möglicherweise bereits gefunden und behoben.
- Fügen Sie den Profile Management-Dienst (UserProfileManager.exe) der Liste der vertrauenswürdigen Prozesse für Ihr Antivirenprodukt für Unternehmen hinzu.
- Deaktivieren Sie die Virenprüfung bei HSM-Vorgängen wie Öffnen, Erstellen, Wiederherstellen oder Statusprüfung. Führen Sie Virenprüfungen nur bei Lese- oder Schreibvorgängen durch.
- Deaktivieren Sie andere ausgeklügelte Funktionen zur Virenprüfung. Antivirenprodukte können beispielsweise einen schnellen Scan der ersten Blöcke einer Datei durchführen, um den tatsächlichen Dateityp zu bestimmen. Diese Prüfungen gleichen den Dateiinhalt mit dem deklarierten Dateityp ab, können aber HSM-Vorgänge beeinträchtigen.
- Deaktivieren Sie den Windows-Suchindexdienst, zumindest für die Ordner, in denen Profile auf lokalen Laufwerken gespeichert sind. Dieser Dienst verursacht unnötige HSM-Abrufe und hat sich als Ursache für Konflikte zwischen gestreamten Benutzerprofilen und Antivirenprodukten für Unternehmen erwiesen.
Wenn keiner dieser Schritte funktioniert, deaktivieren Sie gestreamte Benutzerprofile (indem Sie die Einstellung Profilstreaming deaktivieren). Wenn dies funktioniert, aktivieren Sie die Funktion erneut und deaktivieren Sie Ihr Antivirenprodukt für Unternehmen. Wenn dies ebenfalls funktioniert, erfassen Sie die Diagnosedaten von Profile Management für den nicht funktionierenden Fall und wenden Sie sich an den technischen Support von Citrix. Sie müssen die genaue Version des Antivirenprodukts für Unternehmen kennen.
Um Profile Management weiterhin zu verwenden, vergessen Sie nicht, das Antivirenprodukt für Unternehmen wieder zu aktivieren und gestreamte Benutzerprofile zu deaktivieren. Andere Funktionen von Profile Management funktionieren in dieser Konfiguration weiterhin. Nur das Streaming von Profilen ist deaktiviert.