This content has been machine translated dynamically.
Dieser Inhalt ist eine maschinelle Übersetzung, die dynamisch erstellt wurde. (Haftungsausschluss)
Cet article a été traduit automatiquement de manière dynamique. (Clause de non responsabilité)
Este artículo lo ha traducido una máquina de forma dinámica. (Aviso legal)
此内容已经过机器动态翻译。 放弃
このコンテンツは動的に機械翻訳されています。免責事項
이 콘텐츠는 동적으로 기계 번역되었습니다. 책임 부인
Este texto foi traduzido automaticamente. (Aviso legal)
Questo contenuto è stato tradotto dinamicamente con traduzione automatica.(Esclusione di responsabilità))
This article has been machine translated.
Dieser Artikel wurde maschinell übersetzt. (Haftungsausschluss)
Ce article a été traduit automatiquement. (Clause de non responsabilité)
Este artículo ha sido traducido automáticamente. (Aviso legal)
この記事は機械翻訳されています.免責事項
이 기사는 기계 번역되었습니다.책임 부인
Este artigo foi traduzido automaticamente.(Aviso legal)
这篇文章已经过机器翻译.放弃
Questo articolo è stato tradotto automaticamente.(Esclusione di responsabilità))
Translation failed!
セキュリティ
このトピックでは、Profile Management を保護するための推奨されるベストプラクティスについて説明します。一般に、Citrix® ユーザープロファイルデータへの不要なアクセスを防ぐため、ユーザー ストアが配置されているサーバーを保護してください。
安全なユーザー ストアを作成するための推奨事項は、Microsoft TechNet ウェブサイトの「移動ユーザープロファイル用のファイル共有を作成する」という記事で入手できます。これらの最小限の推奨事項は、基本的な操作において高レベルのセキュリティを確保します。また、ユーザー ストアへのアクセスを設定する際には、Citrix ユーザープロファイルを変更または削除するために必要な Administrators グループを含めてください。
アクセス許可
Citrix は、ユーザー ストアおよびクロスプラットフォーム設定ストアに対して、以下のアクセス許可をテストし、推奨しています。
- 共有アクセス許可: ユーザー ストアのルートフォルダーに対するフルコントロール
-
Microsoft が現在推奨している以下の NTFS アクセス許可:
グループまたはユーザー名 アクセス許可 適用先 作成者/所有者 フルコントロール サブフォルダーとファイルのみ Profile Management の制御下にあるアカウントのグループ フォルダーの一覧表示 / データ読み取り、フォルダーの作成 / データ追加 このフォルダーのみ ローカルシステム フルコントロール このフォルダー、サブフォルダー、およびファイル
継承が無効になっていない場合、これらの権限により、アカウントはストアにアクセスできます。また、アカウントはユーザープロファイル用のサブフォルダーを作成し、必要な読み取りおよび書き込み操作を実行できます。
この最小限の権限に加えて、サブフォルダーとファイルのみを完全に制御できる管理者グループを作成することで、管理を簡素化することもできます。そうすれば、プロファイルの削除（一般的なトラブルシューティングタスク）がそのグループのメンバーにとって容易になります。
テンプレートプロファイルを使用する場合、ユーザーはそれに対する読み取りアクセス権を必要とします。
アクセス制御リスト (ACL)
クロスプラットフォーム設定機能を使用する場合は、定義ファイルを保存するフォルダーに次のようにACLを設定します。認証済みユーザーには読み取りアクセス権、管理者には読み取り/書き込みアクセス権。
Windowsの移動プロファイルは、ネットワーク上のプロファイルデータを含むフォルダーから管理者権限を自動的に削除します。Profile Managementは、ユーザーストア内のフォルダーからこれらの権限を自動的に削除しません。組織のセキュリティポリシーによっては、手動で削除できます。
注：アプリケーションがユーザープロファイル内のファイルのACLを変更した場合、Profile Managementはそれらの変更をユーザーストアにレプリケートしません。これはWindowsの移動プロファイルの動作と一致しています。
プロファイルストリーミングとエンタープライズウイルス対策製品
Citrix Profile Managementのストリーム配信ユーザープロファイル機能は、高度なNTFS機能を使用して、ユーザープロファイルから欠落しているファイルの存在をシミュレートします。この点において、この機能は階層型ストレージマネージャー（HSM）として知られる製品群に似ています。HSMは通常、あまり使用されないファイルを磁気テープや書き換え可能な光ストレージなどの低速大容量ストレージデバイスにアーカイブするために使用されます。そのようなファイルが必要な場合、HSMドライバーは最初のファイル要求を傍受し、要求を行っているプロセスを一時停止し、アーカイブストレージからファイルをフェッチします。そして、ファイル要求の続行を許可します。この類似性を考慮すると、ストリーム配信ユーザープロファイルドライバーであるupmjit.sysは、実際にはHSMドライバーとして定義されています。
このような環境では、ウイルス対策製品がHSMドライバーを認識するように構成する必要があり、ストリーム配信ユーザープロファイルドライバーも例外ではありません。最も高度な脅威から防御するために、ウイルス対策製品はデバイスドライバーレベルで一部の機能を実行する必要があります。そして、HSMドライバーと同様に、ファイル要求を傍受し、元のプロセスを一時停止し、ファイルをスキャンして再開するという方法で動作します。
ウイルス対策プログラムを誤って構成し、ストリーム配信ユーザープロファイルドライバーのようなHSMを中断させ、ユーザーストアからファイルをフェッチできないようにして、ログオンがハングアップする原因となることは比較的容易です。
幸いなことに、企業向けウイルス対策製品は、HSMなどの高度なストレージ製品の可能性を念頭に置いて作成されています。そして、HSMがその作業を完了するまでスキャンを遅延するように構成できます。家庭用ウイルス対策製品は、この点ではそれほど高度ではありません。そのため、家庭用およびSoHo（スモールオフィス/ホームオフィス）ウイルス対策製品は、ストリーミングされたユーザープロファイルではサポートされていません。
ストリーミングされたユーザープロファイルで使用するためにウイルス対策製品を構成するには、以下の製品機能のいずれかを探してください。機能名はあくまで目安です。
- 信頼済みプロセスリスト。ウイルス対策製品にHSMを識別させ、HSMがファイル取得プロセスを完了できるようにします。ウイルス対策製品は、信頼されていないプロセスによって最初にアクセスされたときにファイルをスキャンします。
- オープンまたはステータスチェック操作ではスキャンしない。データがアクセスされたとき（例えば、ファイルが実行または作成されたとき）にのみファイルをスキャンするようにウイルス対策製品を構成します。その他の種類のファイルアクセス（例えば、ファイルが開かれたときやそのステータスがチェックされたとき）は、ウイルス対策製品によって無視されます。HSMは通常、ファイルオープンおよびファイルステータスチェック操作に応答してアクティブになるため、これらの操作でのウイルススキャンを無効にすると、潜在的な競合が解消されます。
Citrixは、主要な企業向けウイルス対策製品のバージョンでストリーミングされたユーザープロファイルをテストし、それらがProfile Managementと互換性があることを確認しています。これらのバージョンには以下が含まれます。
- マカフィー ウイルススキャン エンタープライズ 8.7
- シマンテック エンドポイント プロテクション 11.0
- トレンドマイクロ オフィススキャン 10
これらの製品の以前のバージョンはテストされていません。
他のベンダーの企業向けウイルス対策製品を使用している場合は、それがHSM対応であることを確認してください。スキャンを実行する前にHSM操作を完了できるように構成できます。
一部のウイルス対策製品では、管理者が読み取り時スキャンまたは書き込み時スキャンを選択できます。この選択は、パフォーマンスとセキュリティのバランスを取ります。ストリーミングされたユーザープロファイル機能は、この選択の影響を受けません。
ストリーミングおよびウイルス対策の展開におけるProfile Managementのトラブルシューティング
ログオンがハングしたり、時間がかかったりするなどの問題が発生した場合、Profile Managementと企業向けウイルス対策製品の間で構成ミスがある可能性があります。以下の手順をこの順序で試してください。
- Profile Managementの最新バージョンを使用していることを確認してください。問題はすでに発見され、修正されている可能性があります。
- Profile Managementサービス (UserProfileManager.exe) を企業向けウイルス対策製品の信頼済みプロセスリストに追加します。
- 開く、作成、復元、ステータスチェックなどのHSM操作でのウイルスチェックをオフにします。読み取りまたは書き込み操作でのみウイルスチェックを実行します。
- 他の高度なウイルスチェック機能をオフにします。たとえば、ウイルス対策製品は、実際のファイルタイプを特定するために、ファイルの最初の数ブロックをクイックスキャンする場合があります。これらのチェックは、ファイルの内容を宣言されたファイルタイプと照合しますが、HSM操作を妨げる可能性があります。
- 少なくともプロファイルがローカルドライブに保存されているフォルダーについては、Windowsの検索インデックス作成サービスをオフにします。このサービスは不要なHSM取得を引き起こし、ストリーミングされたユーザープロファイルとエンタープライズウイルス対策製品との間で競合を引き起こすことが観察されています。
これらの手順のいずれも機能しない場合は、ストリーミングされたユーザープロファイルをオフにします（プロファイルストリーミング設定を無効にすることで）。それが機能する場合は、機能を再度有効にし、エンタープライズウイルス対策製品を無効にします。それも機能する場合は、機能しないケースのProfile Management診断を収集し、Citrixテクニカルサポートに連絡してください。彼らはエンタープライズウイルス対策製品の正確なバージョンを知る必要があります。
Profile Managementの使用を継続するには、エンタープライズウイルス対策を再度有効にし、ストリーミングされたユーザープロファイルをオフにすることを忘れないでください。この構成では、Profile Managementの他の機能は引き続き機能します。プロファイルのストリーミングのみが無効になります。
共有
共有
This Preview product documentation is Citrix Confidential.
You agree to hold this documentation confidential pursuant to the terms of your Citrix Beta/Tech Preview Agreement.
The development, release and timing of any features or functionality described in the Preview documentation remains at our sole discretion and are subject to change without notice or consultation.
The documentation is for informational purposes only and is not a commitment, promise or legal obligation to deliver any material, code or functionality and should not be relied upon in making Citrix product purchase decisions.
If you do not agree, select I DO NOT AGREE to exit.