安全

Last published : Nov 13, 2026
Related information
配置集

应用程序安全性

应用程序安全功能允许您定义规则，以控制用户可以运行哪些应用程序和文件。您可以在 Web 控制台中配置应用程序安全规则，并提供一个工具来检索规则配置所需的信息。此外，您还可以使用此功能创建包含安全规则的分配组。

配置

启用“处理应用程序规则”和“处理 DLL 规则”后，“覆盖”模式默认处于打开状态。在“覆盖”模式下，最后处理的规则会覆盖之前处理的规则。我们建议您仅将此模式应用于单会话计算机。此功能还允许您创建以下规则：
  • 可执行规则
  • Windows 安装程序规则
  • 脚本规则
  • 打包的应用程序规则
  • DLL 规则
注意：
在创建规则之前，建议您首先添加默认规则，以确保重要的系统文件可以运行。
  • “处理应用程序规则”。选中此选项后，“应用程序安全”选项卡控件将启用，代理会处理当前配置集中的规则，并将其转换为代理主机上的 AppLocker 规则。如果未选中此选项，则“应用程序安全”选项卡控件将禁用。
    注意：
    如果 Workspace Environment Management™ 管理控制台安装在 Windows 7 SP1 或 Windows Server 2008 R2 SP1（或更早版本）上，则此选项不可用。
  • “处理 DLL 规则”。选中此选项后，代理会处理当前配置集中的 DLL 规则。此选项仅在您选择“处理应用程序安全规则”时可用。
    重要提示：
    如果使用 DLL 规则，则必须为所有允许的应用程序使用的每个 DLL 创建一个具有 允许 权限的 DLL 规则。
    注意：
    如果使用 DLL 规则，用户可能会遇到性能下降的问题。
  • “覆盖”和“合并”设置可让您确定代理如何处理应用程序安全规则。
    • “覆盖”。允许您覆盖现有规则。选中此选项后，最后处理的规则会覆盖之前处理的规则。我们建议您仅将此模式应用于单会话计算机。
    • 合并。允许您将规则与现有规则合并。当发生冲突时，最后处理的规则将覆盖之前处理的规则。如果需要在合并期间修改规则强制执行设置，请使用覆盖模式，因为如果值不同，合并模式会保留旧值。

规则集合

每个集合名称都指示其包含的规则数量，例如 (12)。单击集合名称可将规则列表筛选为以下集合之一：
  • 可执行规则。包含与应用程序关联的 .exe 和 .com 扩展名文件的规则。
  • Windows 规则。包含安装程序文件格式（.msi、.msp、.mst）的规则，这些格式控制客户端计算机和服务器上文件的安装。
  • 脚本规则。包含以下格式文件的规则：.ps1、.bat、.cmd、.vbs、.js。
  • 打包规则。包含打包应用程序（也称为通用 Windows 应用程序）的规则。在打包应用程序中，应用程序包中的所有文件共享相同的身份。因此，一个规则可以控制整个应用程序。Workspace Environment Management 仅支持打包应用程序的发布者规则。
  • DLL 规则。包含以下格式文件的规则：.dll、.ocx。
当您将规则列表筛选到某个集合时，规则强制执行选项可用。以下规则强制执行值是可能的：
关闭（默认）。规则已创建并设置为 off，这意味着它们未应用。
开启。规则已创建并设置为 enforce，这意味着它们在代理主机上处于活动状态。
审核。规则已创建并设置为 audit，这意味着它们在代理主机上处于非活动状态。

创建 Windows 安装程序规则

这包括两个菜单项：基本信息和例外。要创建 Windows 安装程序规则，请在基本信息和例外下完成以下步骤：
  • 选择 Create rule 会将您带到创建 Windows 安装程序规则页面。
  • 输入名称和可选描述。
  • 选择所需的操作。
  • 从下拉列表中选择条件类型，例如路径、发布者或文件哈希。
  • 选择打开文件信息查看器会将您定向到 WEM 工具中心。使用 WEM 工具中心**快速获取所需信息。有关详细信息，请参阅文件信息查看器。
  • （可选）您可以添加例外，以包含通常根据主要条件包含在规则中的文件。要执行此任务，请选择添加例外。
  • 转到 WEM 工具中心，从文件信息查看器下指定的条件之一复制数据，然后单击从文件信息查看器粘贴。
  • 点击 完成。
  • 选择继续分配以根据管理分配页面中的要求更新分配。
  • 选择分配目标（用户和组）以将此项目分配给。使用筛选器来情境化分配。您指定的筛选器仅在覆盖模式下有效，并且仅支持代理版本 2406 或更高版本。
  • 如果需要将特定规则应用于所有文件，请输入星号。

权限提升

此功能定义了使用管理员权限运行某些程序的规则。您可以将非管理用户的权限提升到某些可执行文件所需的管理员级别。因此，用户可以像管理员组的成员一样启动这些可执行文件。

权限提升选项

  • 处理权限提升规则：选中后，代理能够处理权限提升设置，并且“权限提升”选项卡上的其他选项将变为可用。
  • 应用于 Windows Server 操作系统：控制是否将权限提升设置应用于 Windows Server 操作系统。如果选中，分配给用户的规则将在 Windows Server 计算机上工作。默认情况下，此选项处于禁用状态。
  • 强制执行 RunAsInvoker：控制是否强制所有可执行文件在当前 Windows 帐户下运行。如果选中，用户将不会收到以管理员身份运行可执行文件的提示。
此窗格还会显示您已配置的完整规则列表。单击“可执行规则”、“Windows 安装程序规则”或“自提升”可将规则列表筛选为特定规则类型。您可以使用“查找”来筛选列表。“已分配”列会为已分配的用户或用户组显示一个复选标记图标。

支持的规则

您可以使用两种类型的规则配置权限提升：可执行规则和 Windows 安装程序规则。
  • 可执行规则：包含与应用程序关联的 .exe 和 .com 扩展名文件的规则。
  • Windows 安装程序规则：包含与应用程序关联的 .msi 和 .msp 扩展名安装程序文件的规则。添加 Windows 安装程序规则时，请考虑以下情况：
    • 权限提升仅适用于 Microsoft 的 msiexec.exe。确保用于部署 .msi 和 .msp Windows 安装程序文件的工具是 msiexec.exe。
    • 假设某个进程与指定的 Windows 安装程序规则匹配，并且其父进程与指定的可执行规则匹配。除非在指定的可执行规则中启用了“应用于子进程”设置，否则该进程无法获得提升的权限。
  • 自提升：启用后，右键单击文件时，上下文菜单中会提供“以管理员权限运行”选项。选择此选项后，系统会提示您提供提升权限的原因。然后，根据您指定的条件，提升权限将被允许或拒绝。要配置规则，您可以使用“WEM Tool Hub”>“文件信息查看器”快速获取所需信息，例如路径、发布者和哈希值。您还可以指定规则生效的时间段、选择星期几，并可选择设置条件以确定规则在哪台计算机上生效。当配置集中首次启用“自提升”切换开关时，将创建自提升规则，并且在管理分配目标的分配时，可以在规则列表中找到该规则。规则创建后永不删除。
重要提示：
配置具有基于文件夹的路径条件的权限提升规则时，请确保非管理员对指定路径没有“写入”访问权限。允许“写入”访问权限可能会让标准用户将文件放置在这些位置，并可能获得提升的权限。
如果您已配置基于文件夹的路径条件且标准用户具有“写入”访问权限，则请更新文件夹权限以将“写入”访问权限仅限于管理员，或者更改规则以改用“哈希”或“发布者”条件。
您可以指定规则生效的时间段。此外，您还可以选择设置条件以确定规则适用于哪些计算机。您可以选择匹配以下所有或任意条件：
  • 计算机目录名称
  • 交付组名称
  • 设备名称
  • IP 地址
  • 操作系统平台类型
  • 操作系统版本
  • 持久的计算机状态
选择可执行规则、Windows 安装程序规则或自提升规则后，操作部分将显示以下可用操作：
  • 编辑。允许您编辑现有可执行规则。
  • 删除。允许您删除现有可执行规则。
  • 创建规则。允许您创建可执行规则。要创建可执行规则，请按照向导说明进行操作。

进程层次结构控制

进程层次结构控制功能控制在父子场景中是否可以从其父进程启动某些子进程。您可以通过定义父进程，然后为其子进程指定允许列表或阻止列表来创建规则。在使用此功能之前，请通读本节。
注意：
  • 此功能仅适用于 Citrix Virtual Apps。
要了解规则的工作原理，请记住以下几点：
  • 一个进程只受一个规则约束。如果您为同一进程定义了多个规则，则只有优先级最高的规则会生效。
  • 您定义的规则不仅限于原始的父子层次结构，还适用于该层次结构的每个级别。适用于父进程的规则优先于适用于其子进程的规则，无论规则的优先级如何。例如，您定义了以下两条规则：
    • 规则 1：Word 无法打开 CMD。
    • 规则 2：记事本可以打开 CMD。
    有了这两条规则，无论规则的优先级如何，您都无法通过先打开 Word，然后从 Word 中打开记事本的方式，从记事本中打开 CMD。
此功能依赖于某些基于进程的父子关系才能工作。要可视化场景中的父子关系，请使用 Process Explorer 工具的进程树功能。有关 Process Explorer 的更多信息，请参阅 <https://docs.microsoft.com/zh-cn/sysinternals/downloads/procmon>。
为避免任何潜在问题，我们建议您在“完整配置”管理界面中添加指向 VUEMAppCmd.exe 的可执行文件路径。VUEMAppCmd.exe 可确保 WEM 代理在已发布的应用程序启动之前完成设置处理。完成以下步骤：
  1. 在“应用程序”节点上，选择应用程序，单击操作栏中的“属性”，然后转到“位置”页面。
    完整配置中的应用程序设置页面
  2. 键入最终用户操作系统上本地应用程序的路径。
    • 在“可执行文件路径”字段下，键入以下内容：
      <%ProgramFiles%>\Citrix\Workspace Environment Management Agent\VUEMAppCmd.exe
  3. 键入命令行参数以指定要打开的应用程序。
    • 在“命令行参数”字段下，键入要通过 VUEMAppCmd.exe 启动的应用程序的完整路径。如果路径包含空格，请务必用双引号将应用程序的命令行括起来。
    • 例如，假设您要通过 VUEMAppCmd.exe 启动 iexplore.exe。您可以通过键入以下内容来执行此操作：%ProgramFiles(x86)%\"Internet Explorer"\iexplore.exe。

注意事项

要使此功能正常工作，您需要在每台代理计算机上使用 AppInfoViewer 工具来启用此功能。每次使用该工具启用或禁用此功能时，都需要重新启动计算机。启用此功能后，请注意以下事项：
  • 在升级或卸载代理后，必须重新启动代理计算机。
  • 启用此功能后，自动代理升级功能将不起作用。要使用自动代理升级功能，请先使用 AppInfoViewer 工具禁用进程层次结构控制功能。
要验证进程层次结构控制功能是否已启用，请在代理计算机上打开“注册表编辑器”。如果存在以下注册表项，则表示该功能已启用：
  • 32 位操作系统
    • HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CtxHook\AppInit_Dlls\WEM Hook
  • 64 位操作系统
    • HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CtxHook\AppInit_Dlls\WEM Hook
    • HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Citrix\CtxHook\AppInit_Dlls\WEM Hook

先决条件

要使用此功能，请确保满足以下先决条件：
  • 一个 Citrix Virtual Apps 部署。
  • 代理在 Windows 10 或 Windows Server 上运行。
  • 代理主机在就地升级或全新安装后已重新启动。

进程层次结构控制选项

在“安全”中选择“进程层次结构控制”时，将显示以下选项：
启用进程层次结构控制：控制是否启用进程层次结构控制功能。选中此项后，“进程层次结构控制”选项卡上的其他选项将变为可用，并且配置的设置将生效。您只能在 Citrix Virtual Apps 部署中使用此功能。
从上下文菜单中隐藏“打开方式”：控制是否在 Windows 右键单击上下文菜单中显示或隐藏“打开方式”选项。启用后，菜单选项将从界面中隐藏。禁用后，该选项可见，用户可以使用它启动进程。进程层次结构控制功能不适用于通过“打开方式”选项启动的进程。我们建议您启用此设置，以防止应用程序通过与当前应用程序层次结构无关的系统服务启动进程。
“进程层次结构控制”选项卡还会显示您已配置的完整规则列表。您可以使用“查找”来筛选列表。分配列会为已分配的用户或用户组显示一个复选标记图标。
“操作”部分显示以下操作：
  • 编辑。允许您编辑规则。
  • 删除。允许您删除规则。
  • 创建规则。允许您添加规则。

创建规则

  1. 导航到“进程层次结构控制”，然后单击“创建规则”。“创建规则”页面随即显示。
  2. 在“显示”部分中，键入以下内容：
    • 名称。键入规则的显示名称。该名称显示在规则列表中。
    • 描述。键入有关规则的其他信息。
  3. 在优先级部分：设置规则的优先级。配置优先级时，请考虑以下事项：优先级决定了您配置的规则的处理顺序。值越大，优先级越高。键入一个整数。如果存在冲突，则优先级较高的规则优先。
  4. 在条件类型部分中，选择一个选项以添加父进程。
    • 路径。规则与文件路径匹配。
    • 发布者。规则与选定的发布者匹配。
    • 哈希。规则与特定的哈希代码匹配。
  5. 在模式部分中，选择以下任一选项：
    • 允许列表。设置允许从父进程打开的子进程的条件。其他所有内容都将被拒绝。
    • 拒绝列表。设置不允许从父进程打开的子进程的条件。其他所有内容都将被允许。
  6. 子进程的条件。
  7. 指定规则生效的时间段。
  8. 计算机条件：设置条件以确定规则在哪些计算机上生效。您可以选择设置条件以确定规则适用于哪些计算机。您可以选择匹配以下所有或任何条件：
    • 计算机目录名称
    • 交付组名称
    • 设备名称
    • IP 地址
    • 操作系统平台类型
    • 操作系统版本
    • 持久化计算机状态

将规则分配给用户

在列表中选择一个规则，然后单击操作部分中的管理分配。

删除规则

在列表中选择一个或多个规则，然后单击操作部分中的删除。