Escopo de Compartilhamento da Área de Transferência
Observação:
O escopo de compartilhamento da área de transferência é a versão geralmente disponível (GA) do recurso lançado anteriormente como uma Prévia sob o nome de troca de área de transferência entre sessões (Citrix Virtual Apps and Desktops 2507). Ele substitui a funcionalidade e a documentação anteriores da Prévia Técnica. Na GA, o recurso é estendido além do compartilhamento de sessão para sessão para também suportar o Chrome Enterprise Premium (CEP) como destino.
Visão geral
Muitas organizações impedem que os usuários copiem dados de suas sessões Citrix para o dispositivo local para reduzir o risco de vazamento de dados. O escopo de compartilhamento da área de transferência permite manter essa proteção enquanto ainda permite que os dados da área de transferência se movam entre destinos aprovados e controlados.
O escopo de compartilhamento da área de transferência pode ser usado para restringir onde os dados da área de transferência copiados de uma sessão VDA podem ser compartilhados, sem tornar esses dados disponíveis na área de transferência do dispositivo local. Os dados copiados de uma sessão podem ser compartilhados com outra sessão VDA, ou com o Chrome Enterprise Premium (CEP), ou ambos, mas quando o escopo de compartilhamento da área de transferência é configurado; eles nunca são gravados na área de transferência local do endpoint. Isso mantém os dados confidenciais dentro de um ambiente controlado.
Como funciona
O escopo de compartilhamento da área de transferência é controlado por uma única política do Citrix Studio: Escopo de compartilhamento da área de transferência. A política define o conjunto de destinos com os quais uma sessão tem permissão para compartilhar dados da área de transferência:
VDA → VDA. Os dados da área de transferência são tunelados diretamente entre as sessões Citrix do usuário. Podem ser Desktops Publicados, Aplicativos Publicados ou uma combinação de ambos. Os dados nunca são colocados na área de transferência do dispositivo local.
VDA → CEP. Os dados da área de transferência são compartilhados de uma sessão VDA apenas para o Chrome Enterprise Premium. Os dados nunca são colocados na área de transferência do dispositivo local, e o compartilhamento de dados da área de transferência de VDA para VDA não é possível.
Quando a política é deixada em seu padrão (por exemplo, o escopo de compartilhamento da área de transferência é Ilimitado), os dados da área de transferência seguem o comportamento padrão de redirecionamento da área de transferência regido pelas suas políticas de área de transferência existentes, e nenhuma restrição de escopo de compartilhamento se aplica. O comportamento Ilimitado é o mesmo que o comportamento da área de transferência antes do CVAD 2607: o comportamento padrão não muda, então as implantações existentes não são afetadas, a menos que você configure explicitamente um escopo diferente.
Em todos os escopos, exceto Ilimitado, duas coisas são sempre verdadeiras:
VDA → Cliente está bloqueado. Os dados da área de transferência nunca são gravados na área de transferência do dispositivo local. Esta é a proteção central que o recurso oferece.
Cliente → VDA está bloqueado por padrão, copiar do dispositivo local para a sessão também está bloqueado. Isso é por design e atualmente não é configurável.
Requisitos
Windows VDA 2607 LTSR com Citrix Workspace App para Windows 2603.10, ou posterior. O escopo de compartilhamento da área de transferência está disponível apenas no Windows VDA 2607 LTSR em combinação com o CWA para Windows 2608. Ambos são necessários para usar qualquer escopo configurado diferente do padrão.
Clientes mais antigos do Citrix Workspace app não são suportados. Qualquer escopo configurado que não seja o padrão (VDA, CEP, ou VDA e CEP) requer CWA para Windows 2603.10 ou posterior. O escopo Ilimitado padrão preserva o comportamento existente da área de transferência (pré-2607) e não tem nenhum novo requisito de cliente.
Quando o escopo de compartilhamento da área de transferência é configurado para um VDA para algo diferente do escopo padrão, ilimitado, a transferência da área de transferência não é possível entre o VDA e o cliente (e vice-versa). Para permitir a transferência da área de transferência entre clientes pré-CWA 2608 e o VDA que tem o escopo de compartilhamento da área de transferência ativado, o cliente DEVE atualizar para o CWA 2608 ou posterior.
Ambos os VDAs devem ter a política ativada (compartilhamento VDA para VDA). Para compartilhar dados da área de transferência entre duas sessões VDA, a política de escopo de compartilhamento da área de transferência deve ser ativada tanto no VDA de envio quanto no de recebimento. Isso é por design para evitar vazamento de dados (acidental) através do VDA de destino receptor.
O CEP deve ser configurado (compartilhamento de CEP). Para compartilhar dados da área de transferência de uma sessão VDA para o Chrome Enterprise Premium, o CEP deve ser configurado adequadamente para receber dados da área de transferência do VDA de envio.
O redirecionamento da área de transferência do cliente deve estar ativado. Os dados da área de transferência só são transferidos quando a política de redirecionamento da área de transferência do cliente está ativada. Consulte Dependências e políticas relacionadas.
Configuração
Use a política de escopo de compartilhamento da área de transferência para restringir os destinos com os quais os dados da área de transferência podem ser compartilhados, sem torná-los disponíveis na área de transferência do dispositivo local. Isso ajuda a manter dados confidenciais em um ambiente controlado.
Esta política deve ser ativada nos VDAs de envio e recebimento para compartilhar dados entre VDAs. O Chrome Enterprise Premium (CEP) também deve ser configurado adequadamente para receber dados da área de transferência do VDA de envio.
Importante:
A política de redirecionamento da área de transferência do cliente deve ser ativada para que os dados da área de transferência sejam transferidos. O VDA de recebimento pode ter restrições de formato adicionais com base na política de formatos permitidos de gravação da área de transferência da sessão. Quando ativado, o escopo de compartilhamento da área de transferência controla para onde esses dados da área de transferência podem ir.
| Valor | Comportamento |
|---|---|
| Ilimitado (padrão) | Os dados da área de transferência seguem o comportamento padrão de redirecionamento da área de transferência com base nas políticas de área de transferência existentes. Nenhuma restrição se aplica. Isso corresponde ao comportamento da área de transferência antes de 2607 — o comportamento padrão permanece inalterado. |
| VDA | Os dados da área de transferência podem ser compartilhados entre sessões VDA sem estarem disponíveis na área de transferência do dispositivo local. Os dados da área de transferência não podem ser compartilhados com os endpoints locais. |
| CEP | Os dados da área de transferência podem ser compartilhados de sessões VDA para o CEP apenas, sem estarem disponíveis na área de transferência do dispositivo local. |
| VDA e CEP | Os dados da área de transferência podem ser compartilhados entre sessões VDA e de sessões VDA para CEP, sem estarem disponíveis na área de transferência do dispositivo local. Os dados da área de transferência não podem ser compartilhados com os endpoints locais. |
Importante:
mudança de comportamento no GA: Quando o escopo de compartilhamento da área de transferência é definido para qualquer valor diferente de Ilimitado (ou seja, VDA, CEP ou VDA e CEP), o redirecionamento da área de transferência do cliente para o VDA (cópia do dispositivo local para a sessão) também é bloqueado por padrão. Isso garante que, uma vez que um escopo de compartilhamento controlado esteja em vigor, os dados não fluam da área de transferência do endpoint local, a menos que você o permita explicitamente.
Dependências e políticas relacionadas
O escopo de compartilhamento da área de transferência funciona em conjunto com suas políticas de área de transferência existentes. Configure o seguinte em conjunto com ele:
Redirecionamento da área de transferência do cliente
Esta política deve ser habilitada para que quaisquer dados da área de transferência sejam transferidos. Permitido por padrão.
Mais informações: Redirecionamento da área de transferência do cliente
Formatos permitidos para gravação na área de transferência do cliente
Esta política controla quais formatos de dados da área de transferência têm permissão para serem compartilhados com o cliente.
Mais informações: Formatos permitidos para gravação na área de transferência do cliente
Gravação da área de transferência da sessão, formatos permitidos
Quando o Escopo da Área de Transferência é configurado, o VDA receptor pode aplicar restrições de formato adicionais por meio desta política.
Mais informações: Formatos permitidos para gravação na área de transferência da sessão
Limitações e observações
Qualquer escopo diferente de Ilimitado requer o aplicativo Citrix Workspace para Windows 2608 ou posterior. Clientes mais antigos não são suportados com esses escopos.
Para compartilhamento VDA-para-VDA, a política deve ser habilitada tanto no VDA de envio quanto no VDA de recebimento. Se estiver habilitada em apenas um lado, o compartilhamento não ocorrerá.
Para compartilhamento CEP, o CEP deve ser configurado para receber dados da área de transferência do VDA de envio.
Definir o escopo para qualquer valor diferente de Ilimitado bloqueia a área de transferência do cliente para o VDA por padrão. Consulte Comportamento da área de transferência do cliente para o VDA.
Exemplos de configuração
Exemplo 1
Políticas da área de transferência configuradas para VDA1:
-
Redirecionamento da área de transferência do cliente: Habilitado
-
Escopo de Compartilhamento da Área de Transferência: Definido apenas para VDA
Políticas da área de transferência configuradas para VDA2:
-
Redirecionamento da área de transferência do cliente: Habilitado
-
Escopo de Compartilhamento da Área de Transferência: Definido apenas para VDA
Neste exemplo, ambos os VDAs têm o mesmo escopo de compartilhamento da área de transferência configurado, e o usuário final poderá copiar dados de VDA1 para VDA2 com segurança, sem que os dados da área de transferência estejam disponíveis na área de transferência do endpoint local.
As transferências da área de transferência de cliente para VDA e de VDA para cliente são bloqueadas para ambos os VDAs; o compartilhamento da área de transferência só é possível entre VDA1 e VDA2.
Exemplo 2
Políticas da área de transferência configuradas para VDA1:
-
Redirecionamento da área de transferência do cliente: Habilitado
-
Escopo de Compartilhamento da Área de Transferência: Definido apenas para VDA
Políticas da área de transferência configuradas para VDA2:
-
Redirecionamento da área de transferência do cliente: Habilitado
-
Escopo de Compartilhamento da Área de Transferência: Definido para VDA e CEP
Este exemplo é semelhante ao exemplo anterior, porque ambos os VDAs têm um escopo de compartilhamento da área de transferência configurado que contém o escopo do VDA, o usuário final poderá copiar dados do VDA1 para o VDA2 com segurança, sem que os dados da área de transferência estejam disponíveis na área de transferência do endpoint local.
As transferências da área de transferência de cliente para VDA e de VDA para cliente são bloqueadas para ambos os VDAs; o compartilhamento da área de transferência só é possível entre VDA1 e VDA2.
Além disso, o VDA2 poderá compartilhar dados da área de transferência com o CEP de forma segura.
Exemplo 3
Políticas da área de transferência configuradas para VDA1:
-
Redirecionamento da área de transferência do cliente: Habilitado
-
Escopo de compartilhamento da área de transferência: não definido ou padrão
Políticas da área de transferência configuradas para VDA2:
-
Redirecionamento da área de transferência do cliente: Habilitado
-
Escopo de compartilhamento da área de transferência: Definido apenas para VDA
Aqui, um usuário pode copiar dados da área de transferência do VDA1 para o VDA2. Como o escopo de compartilhamento da área de transferência não está configurado no VDA1, os dados da área de transferência também estarão disponíveis no endpoint local.
O usuário não pode copiar do VDA2 para o VDA1, porque o VDA2 tem o escopo de compartilhamento da área de transferência habilitado.
O compartilhamento da área de transferência do cliente para o VDA também não está restrito ao VDA1, mas o VDA2 não pode copiar do cliente ou para o cliente porque tem o escopo de compartilhamento da área de transferência configurado apenas para compartilhamento de VDA.
Exemplo 4
Políticas da área de transferência configuradas para VDA1:
-
Redirecionamento da área de transferência do cliente: Ativado
-
Escopo de Compartilhamento da Área de Transferência: definido como somente VDA
Políticas da área de transferência configuradas para VDA2:
-
Redirecionamento da área de transferência do cliente: Ativado
-
Escopo de Compartilhamento da Área de Transferência: Definido como somente VDA
-
Formato de gravação da área de transferência da sessão permitido: definido como somente formatos baseados em texto
Ambos os VDAs têm o mesmo escopo de compartilhamento da área de transferência configurado, e o usuário final poderá copiar dados do VDA1 para o VDA2 com segurança, sem que esses dados fiquem disponíveis na área de transferência do endpoint local; no entanto, como há restrições adicionais definidas nos formatos de dados que o VDA2 aceitará, somente dados baseados em texto podem ser colados no VDA2. Do VDA1 para o VDA2, nenhuma restrição de tipo de área de transferência é definida e, como tal, qualquer tipo de dado pode ser colado do VDA2 no VDA1.
As transferências da área de transferência do cliente para o VDA e do VDA para o cliente são bloqueadas para ambos os VDAs; o compartilhamento da área de transferência só é possível entre VDA1 e VDA2.