Sessions
Le maintien de l’activité des sessions est essentiel pour offrir la meilleure expérience utilisateur. La perte de connectivité due à des réseaux peu fiables, à une latence réseau très variable et aux limitations de portée des appareils sans fil peut entraîner la frustration des utilisateurs. La possibilité de se déplacer rapidement entre les postes de travail et d’accéder au même ensemble d’applications à chaque connexion est une priorité pour de nombreux travailleurs mobiles, tels que les professionnels de la santé dans un hôpital.
Utilisez les fonctionnalités suivantes pour optimiser la fiabilité des sessions, réduire les désagréments, les temps d’arrêt et la perte de productivité ; grâce à ces fonctionnalités, les utilisateurs mobiles peuvent se déplacer rapidement et facilement entre les appareils.
La section Intervalle de connexion décrit comment modifier le paramètre par défaut.
Vous pouvez également déconnecter un utilisateur d’une session, déconnecter une session et configurer le prélancement et la persistance de session ; consultez l’article Gérer les groupes de mise à disposition.
Fiabilité de session
La fiabilité de session maintient les sessions actives et affichées sur l’écran de l’utilisateur lorsque la connectivité réseau est interrompue. Les utilisateurs continuent de voir l’application qu’ils utilisent jusqu’à ce que la connectivité réseau reprenne.
Cette fonctionnalité est particulièrement utile pour les utilisateurs mobiles disposant de connexions sans fil. Par exemple, un utilisateur avec une connexion sans fil entre dans un tunnel ferroviaire et perd momentanément la connectivité. Normalement, la session est déconnectée et disparaît de l’écran de l’utilisateur, et celui-ci doit se reconnecter à la session déconnectée. Avec la fiabilité de session, la session reste active sur la machine. Pour indiquer que la connectivité est perdue, l’affichage de l’utilisateur se fige et le curseur se transforme en sablier tournant jusqu’à ce que la connectivité reprenne de l’autre côté du tunnel. L’utilisateur continue d’accéder à l’affichage pendant l’interruption et peut reprendre l’interaction avec l’application lorsque la connexion réseau est rétablie. La fiabilité de session reconnecte les utilisateurs sans invites de réauthentification.
Les utilisateurs de Citrix Receiver™ ne peuvent pas outrepasser le paramètre du Controller.
Vous pouvez utiliser la fiabilité de session avec Transport Layer Security (TLS). TLS chiffre uniquement les données envoyées entre le périphérique utilisateur et NetScaler® Gateway.
Activez et configurez la fiabilité de session avec les paramètres de stratégie suivants :
- Le paramètre de stratégie Connexions de fiabilité de session autorise ou empêche la fiabilité de session.
- Le paramètre de stratégie Délai d’expiration de la fiabilité de session a une valeur par défaut de 180 secondes, soit trois minutes. Bien que vous puissiez prolonger la durée pendant laquelle la fiabilité de session maintient une session ouverte, cette fonctionnalité est conçue pour la commodité de l’utilisateur et ne demande donc pas de réauthentification. À mesure que vous prolongez la durée pendant laquelle une session est maintenue ouverte, les chances augmentent qu’un utilisateur puisse être distrait et s’éloigner du périphérique utilisateur, laissant potentiellement la session accessible à des utilisateurs non autorisés.
- Les connexions entrantes de fiabilité de session utilisent le port 2598, sauf si vous modifiez le numéro de port dans le paramètre de stratégie Numéro de port de fiabilité de session.
- Si vous ne souhaitez pas que les utilisateurs puissent se reconnecter à des sessions interrompues sans avoir à se réauthentifier, utilisez la fonctionnalité de reconnexion automatique du client. Vous pouvez configurer le paramètre de stratégie d’authentification de reconnexion automatique du client pour inviter les utilisateurs à se réauthentifier lors de la reconnexion à des sessions interrompues.
Si vous utilisez à la fois la fiabilité de session et la reconnexion automatique du client, les deux fonctionnalités fonctionnent en séquence. La fiabilité de session ferme ou déconnecte la session utilisateur après la durée que vous spécifiez dans le paramètre de stratégie de délai d’expiration de la fiabilité de session. Ensuite, les paramètres de stratégie de reconnexion automatique du client prennent effet, tentant de reconnecter l’utilisateur à la session déconnectée.
Reconnexion automatique du client
Avec la fonctionnalité de reconnexion automatique du client, Citrix Receiver peut détecter les déconnexions inattendues des sessions ICA® et reconnecter automatiquement les utilisateurs aux sessions affectées. Lorsque cette fonctionnalité est activée sur le serveur, les utilisateurs n’ont pas à se reconnecter manuellement pour continuer à travailler.
Pour les sessions d’application, Citrix Receiver tente de se reconnecter à la session jusqu’à ce qu’une reconnexion réussie ait lieu ou que l’utilisateur annule les tentatives de reconnexion.
Pour les sessions de bureau, Citrix Receiver tente de se reconnecter à la session pendant une période spécifiée, à moins qu’une reconnexion réussie n’ait lieu ou que l’utilisateur annule les tentatives de reconnexion. Par défaut, cette période est de cinq minutes. Pour modifier cette période, modifiez ce registre sur le périphérique utilisateur :
HKLM\Software\Citrix\ICA Client\TransportReconnectRetryMaxTimeSeconds; DWORD;<seconds>
où <seconds> est le nombre de secondes après lequel aucune autre tentative n’est effectuée pour reconnecter la session.
Activez et configurez la reconnexion automatique du client avec les paramètres de stratégie suivants :
- Reconnexion automatique du client. Active ou désactive la reconnexion automatique par Citrix Receiver après qu’une connexion a été interrompue.
- Authentification de la reconnexion automatique du client. Active ou désactive l’exigence d’authentification de l’utilisateur après une reconnexion automatique.
- Journalisation de la reconnexion automatique du client. Active ou désactive la journalisation des événements de reconnexion dans le journal des événements. La journalisation est désactivée par défaut. Lorsqu’elle est activée, le journal système du serveur capture des informations sur les événements de reconnexion automatique réussis et échoués. Chaque serveur stocke des informations sur les événements de reconnexion dans son propre journal système ; le site ne fournit pas de journal combiné des événements de reconnexion pour tous les serveurs.
La reconnexion automatique du client intègre un mécanisme d’authentification basé sur des informations d’identification utilisateur chiffrées. Lorsqu’un utilisateur se connecte initialement, le serveur chiffre et stocke les informations d’identification de l’utilisateur en mémoire, et crée et envoie un cookie contenant la clé de chiffrement à Citrix Receiver. Citrix Receiver soumet la clé au serveur pour la reconnexion. Le serveur déchiffre les informations d’identification et les soumet à la connexion Windows pour authentification. Lorsque les cookies expirent, les utilisateurs doivent se réauthentifier pour se reconnecter aux sessions.
Les cookies ne sont pas utilisés si vous activez le paramètre d’authentification de reconnexion automatique du client. Au lieu de cela, une boîte de dialogue demandant des informations d’identification est présentée aux utilisateurs lorsque Citrix Receiver tente de se reconnecter automatiquement.
Pour une protection maximale des informations d’identification et des sessions utilisateur, utilisez le chiffrement pour toutes les communications entre les clients et le Site.
Désactivez la reconnexion automatique du client sur Citrix Receiver pour Windows à l’aide du fichier icaclient.adm. Pour plus d’informations, consultez la documentation de votre version de Citrix Receiver pour Windows.
Les paramètres des connexions affectent également la reconnexion automatique du client :
- Par défaut, la reconnexion automatique du client est activée via les paramètres de stratégie au niveau du site, comme décrit ci-dessus. La réauthentification de l’utilisateur n’est pas requise. Cependant, si la connexion ICA TCP d’un serveur est configurée pour réinitialiser les sessions avec un lien de communication rompu, la reconnexion automatique ne se produit pas. La reconnexion automatique du client ne fonctionne que si le serveur déconnecte les sessions en cas de connexion rompue ou expirée. Dans ce contexte, la connexion ICA TCP fait référence à un port virtuel de serveur (plutôt qu’à une connexion réseau réelle) utilisé pour les sessions sur les réseaux TCP/IP.
- Par défaut, la connexion ICA TCP sur un serveur est configurée pour déconnecter les sessions avec des connexions rompues ou expirées. Les sessions déconnectées restent intactes dans la mémoire système et sont disponibles pour une reconnexion par Citrix Receiver.
- La connexion peut être configurée pour réinitialiser ou fermer les sessions avec des connexions rompues ou expirées. Lorsqu’une session est réinitialisée, toute tentative de reconnexion lance une nouvelle session ; au lieu de restaurer l’utilisateur au même endroit dans l’application en cours d’utilisation, l’application est redémarrée.
- Si le serveur est configuré pour réinitialiser les sessions, la reconnexion automatique du client crée une nouvelle session. Ce processus exige que les utilisateurs saisissent leurs informations d’identification pour se connecter au serveur.
- La reconnexion automatique peut échouer si Citrix Receiver ou le plug-in soumet des informations d’authentification incorrectes, ce qui peut se produire lors d’une attaque ou si le serveur détermine qu’un délai trop long s’est écoulé depuis qu’il a détecté la connexion rompue.
ICA Keep-Alive
L’activation de la fonctionnalité ICA Keep-Alive empêche la déconnexion des connexions rompues. Lorsqu’elle est activée, si le serveur ne détecte aucune activité (par exemple, aucun changement d’horloge, aucun mouvement de souris, aucune mise à jour d’écran), cette fonctionnalité empêche les services Bureau à distance de déconnecter cette session. Le serveur envoie des paquets de maintien de la connexion toutes les quelques secondes pour détecter si la session est active. Si la session n’est plus active, le serveur la marque comme déconnectée.
Remarque :
ICA Keep-Alive ne fonctionne que si vous n’utilisez pas la fiabilité de session. La fiabilité de session dispose de ses propres mécanismes pour empêcher la déconnexion des connexions rompues. Configurez ICA Keep-Alive uniquement pour les connexions qui n’utilisent pas la fiabilité de session.
Les paramètres ICA Keep-Alive remplacent les paramètres de maintien de la connexion configurés dans la stratégie de groupe Microsoft Windows.
Activez et configurez ICA Keep-Alive avec les paramètres de stratégie suivants :
-
Délai d’expiration du maintien de la connexion ICA. Spécifie l’intervalle (1-3600 secondes) utilisé pour envoyer les messages de maintien de la connexion ICA. Ne configurez pas cette option si vous souhaitez que votre logiciel de surveillance réseau ferme les connexions inactives dans les environnements où les connexions rompues sont si rares que permettre aux utilisateurs de se reconnecter aux sessions n’est pas une préoccupation.
L’intervalle par défaut est de 60 secondes : des paquets de maintien de la connexion ICA sont envoyés aux périphériques utilisateur toutes les 60 secondes. Si un périphérique utilisateur ne répond pas dans les 60 secondes, l’état des sessions ICA passe à déconnecté.
-
Maintien de la connexion ICA. Envoie ou empêche l’envoi de messages de maintien de la connexion ICA.
Contrôle de l’espace de travail
Le contrôle de l’espace de travail permet aux bureaux et aux applications de suivre un utilisateur d’un appareil à l’autre. Cette capacité d’itinérance permet à un utilisateur d’accéder à tous les bureaux ou applications ouverts depuis n’importe où, simplement en se connectant, sans avoir à redémarrer les bureaux ou les applications sur chaque appareil. Par exemple, le contrôle de l’espace de travail peut aider les professionnels de la santé dans un hôpital qui doivent se déplacer rapidement entre différentes stations de travail et accéder au même ensemble d’applications à chaque connexion. Si vous configurez les options de contrôle de l’espace de travail pour le permettre, ces travailleurs peuvent se déconnecter de plusieurs applications sur un appareil client, puis se reconnecter pour ouvrir les mêmes applications sur un autre appareil client.
Le contrôle de l’espace de travail affecte les activités suivantes :
- Connexion : Par défaut, le contrôle de l’espace de travail permet aux utilisateurs de se reconnecter automatiquement à tous les bureaux et applications en cours d’exécution lors de la connexion, évitant ainsi de devoir les rouvrir manuellement. Grâce au contrôle de l’espace de travail, les utilisateurs peuvent ouvrir des bureaux ou des applications déconnectés, ainsi que ceux qui sont actifs sur un autre appareil client. La déconnexion d’un bureau ou d’une application la laisse en cours d’exécution sur le serveur. Si vous avez des utilisateurs itinérants qui doivent maintenir certains bureaux ou applications en cours d’exécution sur un appareil client pendant qu’ils se reconnectent à un sous-ensemble de leurs bureaux ou applications sur un autre appareil client, vous pouvez configurer le comportement de reconnexion à la connexion pour ouvrir uniquement les bureaux ou applications dont l’utilisateur s’est déconnecté précédemment.
- Reconnexion : Après s’être connectés au serveur, les utilisateurs peuvent se reconnecter à tous leurs bureaux ou applications à tout moment en cliquant sur Reconnecter. Par défaut, Reconnecter ouvre les bureaux ou applications déconnectés, ainsi que ceux qui sont actuellement en cours d’exécution sur un autre appareil client. Vous pouvez configurer Reconnecter pour ouvrir uniquement les bureaux ou applications dont l’utilisateur s’est déconnecté précédemment.
- Déconnexion : Pour les utilisateurs ouvrant des bureaux ou des applications via StoreFront™, vous pouvez configurer la commande Déconnexion pour déconnecter l’utilisateur de StoreFront et de toutes les sessions actives simultanément, ou uniquement de StoreFront.
- Déconnexion : Les utilisateurs peuvent se déconnecter de tous les bureaux et applications en cours d’exécution en une seule fois, sans avoir à se déconnecter de chacun individuellement.
Le contrôle de l’espace de travail est disponible uniquement pour les utilisateurs de Citrix Receiver qui accèdent aux bureaux et aux applications via une connexion Citrix StoreFront. Par défaut, le contrôle de l’espace de travail est désactivé pour les sessions de bureau virtuel, mais il est activé pour les applications hébergées. Le partage de session ne se produit pas par défaut entre les bureaux publiés et les applications publiées exécutées au sein de ces bureaux.
Les stratégies utilisateur, les mappages de lecteurs clients et les configurations d’imprimantes changent de manière appropriée lorsqu’un utilisateur passe à un nouvel appareil client. Les stratégies et les mappages sont appliqués en fonction de l’appareil client sur lequel l’utilisateur est actuellement connecté à la session. Par exemple, si un professionnel de la santé se déconnecte d’un appareil client dans la salle d’urgence d’un hôpital, puis se connecte à un poste de travail dans le laboratoire de radiologie de l’hôpital, les stratégies, les mappages d’imprimantes et les mappages de lecteurs clients appropriés pour la session dans le laboratoire de radiologie entrent en vigueur au démarrage de la session.
Vous pouvez personnaliser les imprimantes qui apparaissent aux utilisateurs lorsqu’ils changent d’emplacement. Vous pouvez également contrôler si les utilisateurs peuvent imprimer sur des imprimantes locales, la quantité de bande passante consommée lorsque les utilisateurs se connectent à distance, et d’autres aspects de leurs expériences d’impression.
Pour plus d’informations sur l’activation et la configuration du contrôle de l’espace de travail pour les utilisateurs, consultez la documentation StoreFront.
Itinérance de session
Par défaut, les sessions se déplacent entre les appareils clients avec l’utilisateur. Lorsque l’utilisateur lance une session puis passe à un autre appareil, la même session est utilisée et les applications sont disponibles sur les deux appareils. Les applications suivent, quel que soit l’appareil ou l’existence de sessions en cours. Dans de nombreux cas, les imprimantes et autres ressources attribuées à l’application suivent également.
Bien que ce comportement par défaut offre de nombreux avantages, il peut ne pas être idéal dans tous les cas. Vous pouvez empêcher l’itinérance de session à l’aide du SDK PowerShell.
Exemple 1 : Un professionnel de la santé utilise deux appareils, remplissant un formulaire d’assurance sur un PC de bureau et consultant des informations patient sur une tablette.
- Si l’itinérance de session est activée, les deux applications apparaissent sur les deux appareils (une application lancée sur un appareil est visible sur tous les appareils utilisés). Cela pourrait ne pas répondre aux exigences de sécurité.
- Si l’itinérance de session est désactivée, le dossier du patient n’apparaît pas sur le PC de bureau, et le formulaire d’assurance n’apparaît pas sur la tablette.
Exemple 2 : Un responsable de production lance une application sur le PC de son bureau. Le nom de l’appareil et son emplacement déterminent les imprimantes et autres ressources disponibles pour cette session. Plus tard dans la journée, il se rend dans un bureau du bâtiment voisin pour une réunion qui l’obligera à utiliser une imprimante.
- Si l’itinérance de session est activée, le responsable de production ne pourrait probablement pas accéder aux imprimantes situées près de la salle de réunion, car les applications qu’il a lancées plus tôt dans son bureau ont entraîné l’attribution d’imprimantes et d’autres ressources à proximité de cet emplacement.
- Si l’itinérance de session est désactivée, lorsqu’il se connecte à une machine différente (en utilisant les mêmes informations d’identification), une nouvelle session est démarrée, et les imprimantes et ressources à proximité seront disponibles.
Configurer l’itinérance de session
Pour configurer l’itinérance de session, utilisez les cmdlets de règle de stratégie d’attribution suivantes avec la propriété « SessionReconnection ». Vous pouvez également spécifier la propriété « LeasingBehavior » ; consultez la section Bail de connexion et itinérance de session ci-dessous.
Pour les sessions de bureau :
Set-BrokerEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Autorisé|Non autorisé
Pour les sessions d’application :
Set-BrokerAppEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Autorisé|Non autorisé
Où <value> peut être l’une des valeurs suivantes :
- Always (Toujours). Les sessions sont toujours itinérantes, quel que soit l’appareil client et que la session soit connectée ou déconnectée. C’est la valeur par défaut.
- DisconnectedOnly (Déconnecté uniquement). Se reconnecter uniquement aux sessions déjà déconnectées ; sinon, lancer une nouvelle session. (Les sessions peuvent être itinérantes entre les appareils clients en les déconnectant d’abord, ou en utilisant Workspace Control pour les rendre explicitement itinérantes.) Une session active connectée depuis un autre appareil client n’est jamais utilisée ; à la place, une nouvelle session est lancée.
- SameEndpointOnly (Même point de terminaison uniquement). Un utilisateur obtient une session unique pour chaque appareil client qu’il utilise. Cela désactive complètement l’itinérance. Les utilisateurs peuvent se reconnecter uniquement au même appareil qui a été précédemment utilisé dans la session.
La propriété « LeasingBehavior » est décrite ci-dessous.
Effets des autres paramètres
La désactivation de l’itinérance de session est affectée par la limite d’application « Autoriser une seule instance de l’application par utilisateur » dans les propriétés de l’application du groupe de mise à disposition.
- Si vous désactivez l’itinérance de session, désactivez la limite d’application « Autoriser une seule instance… ».
- Si vous activez la limite d’application « Autoriser une seule instance… », ne configurez aucune des deux valeurs qui autorisent de nouvelles sessions sur de nouveaux appareils.
Bail de connexion et itinérance de session
Si vous n’êtes pas familiarisé avec le bail de connexion, consultez l’article Bail de connexion.
Lorsqu’un Controller passe en mode de connexion louée, la reconnexion de session revient à sa valeur par défaut, reconnectant l’utilisateur à une seule des sessions actives ou déconnectées pour le bureau ou l’application.
Pour une sécurité accrue, si vous avez configuré une valeur d’itinérance de session non par défaut et que plusieurs utilisateurs partagent les mêmes informations d’identification de connexion sur plusieurs appareils, envisagez de désactiver la fonctionnalité de bail de connexion pour le groupe de mise à disposition qui inclut ce compte d’utilisateur.
Pourquoi ? Dans ce scénario, une session est partagée entre tous les appareils. Cela pourrait être indésirable si, par exemple, une personne affiche des informations sensibles qui ne sont pas destinées à être vues par quelqu’un d’autre qui se reconnecte avec les mêmes informations d’identification pendant que le Controller est en mode de connexion louée.
La désactivation du bail de connexion dans la stratégie d’autorisation élimine cette possibilité : un utilisateur ne pourra pas voir la session d’un autre utilisateur avec la même connexion, même lorsque le Controller est en mode de connexion louée. Les autres stratégies d’autorisation peuvent rester telles quelles ; les comptes d’utilisateurs individuels peuvent utiliser la fonctionnalité de bail de connexion via des autorisations distinctes.
Pour désactiver le bail de connexion dans une stratégie d’autorisation, ajoutez la propriété « LeasingBehavior Disallowed » à la cmdlet de stratégie d’autorisation. Si vous désactivez le bail de connexion, vous devez supprimer manuellement tous les baux de lancement qui ont déjà été créés et mis en cache pour cette stratégie d’autorisation ; sinon, les utilisateurs pourront toujours se reconnecter pendant une panne de base de données.
Intervalle de connexion
Si une machine virtuelle contenant un VDA de bureau se ferme avant la fin du processus de connexion, vous pouvez allouer plus de temps au processus. La valeur par défaut pour les versions 7.6 et ultérieures est de 180 secondes (la valeur par défaut pour les versions 7.0-7.5 est de 90 secondes).
Sur la machine (ou l’image principale utilisée dans un catalogue de machines), définissez la clé de registre suivante :
Clé : HKLM\SOFTWARE\Citrix\PortICA
Valeur : AutoLogonTimeout
Type : DWORD
Spécifiez une durée décimale en secondes, dans la plage 0-3600.
Si vous modifiez une image principale, mettez à jour le catalogue.
Remarque :
Ce paramètre s’applique uniquement aux machines virtuelles avec des VDA de bureau (station de travail) ; Microsoft contrôle le délai d’expiration de l’ouverture de session sur les machines avec des VDA de serveur.