Sicherheit
Dieses Thema enthält empfohlene Best Practices für die Absicherung von Profile Management. Sichern Sie im Allgemeinen die Server, auf denen der Benutzerspeicher liegt, um unerwünschten Zugriff auf Citrix® Benutzerprofildaten zu verhindern.
Empfehlungen zur Erstellung sicherer Benutzerspeicher sind im Artikel mit dem Titel Dateifreigabe für servergespeicherte Benutzerprofile erstellen auf der Microsoft TechNet-Website verfügbar. Diese Mindestempfehlungen gewährleisten ein hohes Maß an Sicherheit für den grundlegenden Betrieb. Fügen Sie außerdem beim Konfigurieren des Zugriffs auf den Benutzerspeicher die Gruppe Administratoren hinzu, die zum Ändern oder Entfernen eines Citrix Benutzerprofils erforderlich ist.
Berechtigungen
Citrix testet und empfiehlt die folgenden Berechtigungen für den Benutzerspeicher und den plattformübergreifenden Einstellungsspeicher:
- Freigabeberechtigungen: Vollzugriff auf den Stammordner des Benutzerspeichers
-
Die folgenden NTFS-Berechtigungen, wie sie derzeit von Microsoft empfohlen werden:
Gruppe oder Benutzername Berechtigung Anwenden auf Ersteller-Besitzer Vollzugriff Nur Unterordner und Dateien Die Gruppe der Konten unter der Kontrolle von Profile Management Ordner auflisten / Daten lesen und Ordner erstellen / Daten anhängen Nur dieser Ordner Lokales System Vollzugriff Dieser Ordner, Unterordner und Dateien
Wenn die Vererbung nicht deaktiviert ist, ermöglichen diese Berechtigungen den Konten den Zugriff auf die Speicher. Außerdem ermöglichen sie den Konten, Unterordner für Benutzerprofile zu erstellen und die erforderlichen Lese- und Schreibvorgänge auszuführen.
Über dieses Minimum hinaus können Sie die Verwaltung vereinfachen, indem Sie eine Gruppe von Administratoren mit Vollzugriff nur auf Unterordner und Dateien erstellen. Dann wird das Löschen von Profilen (eine häufige Aufgabe zur Fehlerbehebung) für Mitglieder dieser Gruppe einfacher.
Wenn Sie ein Vorlagenprofil verwenden, benötigen Benutzer Lesezugriff darauf.
Zugriffssteuerungsliste (ACL)
Wenn Sie die Funktion für plattformübergreifende Einstellungen verwenden, legen Sie ACLs für den Ordner, der die Definitionsdateien speichert, wie folgt fest: Lesezugriff für authentifizierte Benutzer und Lese-/Schreibzugriff für Administratoren.
Windows-Roamingprofile entfernen Administratorberechtigungen automatisch aus den Ordnern, die Profildaten im Netzwerk enthalten. Profile Management entfernt diese Berechtigungen nicht automatisch aus Ordnern im Benutzerspeicher. Abhängig von den Sicherheitsrichtlinien Ihres Unternehmens können Sie dies manuell tun.
Hinweis: Wenn eine Anwendung die ACL einer Datei im Benutzerprofil ändert, repliziert Profile Management diese Änderungen nicht im Benutzerspeicher. Dies entspricht dem Verhalten von Windows-Roamingprofilen.
Profilstreaming und Antivirenprodukte für Unternehmen
Die Funktion für gestreamte Benutzerprofile von Citrix Profile Management verwendet erweiterte NTFS-Funktionen, um die Anwesenheit von Dateien zu simulieren, die in den Benutzerprofilen fehlen. In dieser Hinsicht ähnelt die Funktion einer Produktklasse, die als Hierarchische Speichermanager (HSMs) bekannt ist. HSMs werden typischerweise verwendet, um selten genutzte Dateien auf langsamen Massenspeichergeräten wie Magnetbändern oder wiederbeschreibbaren optischen Speichermedien zu archivieren. Wenn solche Dateien benötigt werden, fangen HSM-Treiber die erste Dateianforderung ab, halten den anfordernden Prozess an, rufen die Datei aus dem Archivspeicher ab und lassen dann die Dateianforderung fortsetzen. Angesichts dieser Ähnlichkeit ist der Treiber für gestreamte Benutzerprofile, upmjit.sys, tatsächlich als HSM-Treiber definiert.
In einer solchen Umgebung müssen Antivirenprodukte so konfiguriert werden, dass sie HSM-Treiber berücksichtigen, und der Treiber für gestreamte Benutzerprofile ist da keine Ausnahme. Um sich gegen die raffiniertesten Bedrohungen zu verteidigen, müssen Antivirenprodukte einige ihrer Funktionen auf der Gerätetreiber-Ebene ausführen. Und wie HSM-Treiber funktionieren sie, indem sie Dateianforderungen abfangen, den ursprünglichen Prozess anhalten, die Datei scannen und fortsetzen.
Es ist relativ einfach, ein Antivirenprogramm falsch zu konfigurieren, sodass es einen HSM wie den Treiber für gestreamte Benutzerprofile unterbricht, ihn daran hindert, Dateien aus dem Benutzerspeicher abzurufen, und dazu führt, dass die Anmeldung hängt.
Glücklicherweise sind Antivirenprodukte für Unternehmen so konzipiert, dass sie die Möglichkeit hochentwickelter Speicherprodukte wie HSMs berücksichtigen. Und sie können so konfiguriert werden, dass sie ihren Scan verzögern, bis das HSM seine Arbeit erledigt hat. Antivirenprodukte für den Heimgebrauch sind in dieser Hinsicht weniger ausgeklügelt. Daher wird die Verwendung von Antivirenprodukten für den Heimgebrauch und SOHO (Small Office/Home Office) mit gestreamten Benutzerprofilen nicht unterstützt.
Um Ihr Antivirenprodukt für die Verwendung mit gestreamten Benutzerprofilen zu konfigurieren, suchen Sie nach einer der folgenden Produktfunktionen. Die Funktionsnamen sind nur indikativ:
- Liste vertrauenswürdiger Prozesse. Identifiziert HSMs gegenüber dem Antivirenprodukt, wodurch das HSM den Dateiwiederherstellungsprozess abschließen kann. Das Antivirenprodukt scannt die Datei, wenn sie zum ersten Mal von einem nicht vertrauenswürdigen Prozess aufgerufen wird.
- Nicht bei Öffnungs- oder Statusprüfungsoperationen scannen. Konfiguriert das Antivirenprodukt so, dass es eine Datei nur scannt, wenn auf Daten zugegriffen wird (z. B. wenn eine Datei ausgeführt oder erstellt wird). Andere Arten des Dateizugriffs (z. B. wenn eine Datei geöffnet oder ihr Status überprüft wird) werden vom Antivirenprodukt ignoriert. HSMs werden im Allgemeinen als Reaktion auf Dateioffnungs- und Dateistatusprüfungsoperationen aktiviert, sodass das Deaktivieren von Virenscans bei diesen Operationen potenzielle Konflikte beseitigt.
Citrix testet gestreamte Benutzerprofile mit Versionen der führenden Antivirenprodukte für Unternehmen, um deren Kompatibilität mit Profile Management sicherzustellen. Diese Versionen umfassen:
- McAfee Virus Scan Enterprise 8.7
- Symantec Endpoint Protection 11.0
- Trend Micro OfficeScan 10
Frühere Versionen dieser Produkte werden nicht getestet.
Wenn Sie ein Antivirenprodukt für Unternehmen von anderen Anbietern verwenden, stellen Sie sicher, dass es HSM-fähig ist. Es kann so konfiguriert werden, dass HSM-Operationen abgeschlossen werden können, bevor Scans durchgeführt werden.
Einige Antivirenprodukte ermöglichen Administratoren die Wahl zwischen Scan-on-Read oder Scan-on-Write. Diese Wahl gleicht Leistung und Sicherheit aus. Die Funktion für gestreamte Benutzerprofile wird durch diese Wahl nicht beeinflusst.
Problembehandlung bei Profile Management in Streaming- und Antiviren-Bereitstellungen
Wenn Probleme auftreten, wie z. B. hängende oder lange dauernde Anmeldungen, liegt möglicherweise eine Fehlkonfiguration zwischen Profile Management und Ihrem Antivirenprodukt für Unternehmen vor. Führen Sie die folgenden Schritte in dieser Reihenfolge aus:
- Überprüfen Sie, ob Sie die neueste Version von Profile Management haben. Ihr Problem wurde möglicherweise bereits gefunden und behoben.
- Fügen Sie den Profile Management-Dienst (UserProfileManager.exe) der Liste der vertrauenswürdigen Prozesse für Ihr Antivirenprodukt für Unternehmen hinzu.
- Deaktivieren Sie die Virenprüfung bei HSM-Vorgängen wie Öffnen, Erstellen, Wiederherstellen oder Statusprüfung. Führen Sie Virenprüfungen nur bei Lese- oder Schreibvorgängen durch.
- Deaktivieren Sie andere ausgeklügelte Funktionen zur Virenprüfung. Antivirenprodukte können beispielsweise einen schnellen Scan der ersten Blöcke einer Datei durchführen, um den tatsächlichen Dateityp zu bestimmen. Diese Prüfungen gleichen den Dateiinhalt mit dem deklarierten Dateityp ab, können aber HSM-Vorgänge stören.
- Deaktivieren Sie den Windows-Suchindexdienst, zumindest für die Ordner, in denen Profile auf lokalen Laufwerken gespeichert sind. Dieser Dienst verursacht unnötige HSM-Abrufe, und es wurde beobachtet, dass er Konflikte zwischen gestreamten Benutzerprofilen und Unternehmens-Antivirenprodukten hervorruft.
Wenn keiner dieser Schritte funktioniert, deaktivieren Sie gestreamte Benutzerprofile (indem Sie die Einstellung Profilstreaming deaktivieren). Wenn dies funktioniert, aktivieren Sie die Funktion erneut und deaktivieren Sie Ihr Unternehmens-Antivirenprodukt. Wenn auch dies funktioniert, erfassen Sie Profile Management-Diagnosedaten für den nicht funktionierenden Fall und wenden Sie sich an den technischen Support von Citrix. Sie müssen die genaue Version des Unternehmens-Antivirenprodukts kennen.
Um Profile Management weiterhin zu verwenden, vergessen Sie nicht, das Unternehmens-Antivirenprogramm wieder zu aktivieren und gestreamte Benutzerprofile zu deaktivieren. Andere Funktionen von Profile Management funktionieren in dieser Konfiguration weiterhin. Nur das Streaming von Profilen ist deaktiviert.