Citrix Virtual Apps and Desktops

Configurar o Controle de Acesso do Windows Defender relacionado à instalação do VDA

January 23, 2026

Contribuição de:

Os clientes configuram as definições do Windows Defender Access Control (WDAC) para proibir o carregamento de binários não assinados. Os binários não assinados distribuídos através dos instaladores do VDA são, portanto, proibidos, o que restringe a instalação do VDA.

A Citrix® agora assina todos os binários gerados pela Citrix com um certificado de assinatura de código da Citrix. Além disso, a Citrix também assina os binários de terceiros que são distribuídos com o nosso produto com um certificado que autentica esses binários de terceiros como binários fidedignos.

Importante:

A atualização de um VDA mais antigo com binários de terceiros não assinados para uma versão mais recente do VDA com binários assinados pode nem sempre colocar os binários assinados na máquina atualizada. Isso ocorre devido a um mecanismo dentro do SO onde a atualização do sistema não substitui binários com a mesma versão. Embora os binários de terceiros tenham sido assinados, as suas versões, que são controladas por terceiros, não podem ser atualizadas pela Citrix, resultando na não atualização desses binários. Para evitar esta limitação:

Inclua os binários numa lista de permissões. Isso elimina a necessidade de assinar os binários.

Desinstale o VDA mais antigo e instale o novo VDA. Isso se assemelha a uma instalação limpa do VDA e as versões assinadas serão instaladas.

Criar uma nova Política Base com o Assistente

O WDAC permite adicionar binários fidedignos para serem executados no seu sistema. Após a instalação do WDAC, o Assistente de Política de Controle de Aplicativos do Windows Defender abre automaticamente.

Para adicionar os binários, uma nova política base do WDAC deve ser criada. As diretrizes recomendadas pela Citrix para criar uma política base são fornecidas nesta seção.

Selecione o Modo Assinado e Reputável como modelo base porque ele autoriza componentes operacionais do Windows, aplicativos instalados da Microsoft Store, todo o software assinado pela Microsoft e drivers de hardware de terceiros compatíveis com o Windows.
Ative o Modo de Auditoria porque ele permite testar novas políticas do Windows Defender Application Control antes de as aplicar.
Adicione Regra Personalizada para Regras de Arquivo para especificar o nível no qual os aplicativos são identificados e fidedignos e forneça um arquivo de referência. Ao selecionar “Editor” como tipo de regra, um arquivo de referência assinado por um dos certificados da Citrix pode ser selecionado.
Depois que as regras forem adicionadas, navegue até a pasta onde os arquivos .XML e .CIP são salvos. O arquivo .XML contém todas as regras definidas na política. Ele pode ser configurado para alterar, adicionar ou remover quaisquer regras.
Antes de implantar as políticas do WDAC, o arquivo .XML deve ser convertido para sua forma binária. O arquivo WDAC converte o arquivo .XML para o arquivo .CIP.
Copie e cole o arquivo .CIP em: C:\WINDOWS\System32\CodeIntegrity\CiPolicies\Active e reinicie a máquina. A política gerada será aplicada no modo de auditoria.
Para um processo passo a passo para criar uma política base, consulte Criar uma nova Política Base com o Assistente.

Quando esta política é aplicada, o WDAC não emite avisos sobre quaisquer arquivos da Citrix que sejam assinados pela autoridade de editor/CA especificada.

Da mesma forma, podemos criar uma regra de nível de editor para os arquivos que foram assinados por terceiros.

Verificar a política aplicada

Depois que a máquina for reiniciada, abra o Visualizador de Eventos e vá para Logs de Aplicativos e Serviços > Microsoft > Windows > CodeIntegrity > Operacional.
Certifique-se de que a política aplicada esteja ativada.
Procure por logs que violaram a política e verifique as propriedades desse arquivo. Primeiro, confirme se ele foi assinado. Se não, e esta máquina passou por uma atualização do VDA, este é provavelmente o caso descrito na limitação acima. Se assinado, este arquivo está potencialmente assinado com o certificado alternativo, conforme descrito anteriormente.

Um exemplo de arquivo gerado pela Citrix assinado com um certificado da Citrix é C:\Windows\System32\drivers\picadm.sys. Um exemplo de binário de terceiros assinado com o certificado de terceiros da Citrix é C:\Program Files\Citrix\IcaConfigTool\Microsoft.Practices.Unity.dll.

A versão oficial deste conteúdo está em inglês. Parte do conteúdo da documentação da Cloud Software Group é traduzida automaticamente para sua conveniência. A Cloud Software Group não tem controle sobre o conteúdo traduzido automaticamente, que pode conter erros, imprecisões ou linguagem inadequada. Nenhuma garantia de qualquer tipo, expressa ou implícita, é fornecida quanto à precisão, confiabilidade, adequação ou correção de quaisquer traduções feitas do original em inglês para qualquer outro idioma, ou quanto à conformidade do seu produto ou serviço Cloud Software Group com qualquer conteúdo traduzido automaticamente, e nenhuma garantia fornecida sob o contrato de licença de usuário final aplicável ou os termos de serviço, ou qualquer outro contrato com a Cloud Software Group, de que o produto ou serviço esteja em conformidade com qualquer documentação será aplicável na medida em que essa documentação tenha sido traduzida automaticamente. A Cloud Software Group não se responsabiliza por quaisquer danos ou problemas que possam surgir em decorrência do uso de conteúdo traduzido automaticamente.

Isso foi útil?

Configurar o Controle de Acesso do Windows Defender relacionado à instalação do VDA

January 23, 2026

Contribuição de:

January 23, 2026

Contribuição de:

Neste artigo

Criar uma nova Política Base com o Assistente
Verificar a política aplicada

Isso foi útil?