Sicherheit
Dieses Thema enthält empfohlene Best Practices für die Absicherung von Profile Management. Sichern Sie im Allgemeinen die Server, auf denen der Benutzerspeicher liegt, um unerwünschten Zugriff auf Citrix® Benutzerprofildaten zu verhindern.
Empfehlungen zur Erstellung sicherer Benutzerspeicher finden Sie im Artikel mit dem Titel „Erstellen einer Dateifreigabe für servergespeicherte Benutzerprofile“ auf der Microsoft TechNet-Website. Diese Mindestempfehlungen gewährleisten ein hohes Maß an Sicherheit für den grundlegenden Betrieb. Berücksichtigen Sie außerdem bei der Konfiguration des Zugriffs auf den Benutzerspeicher die Gruppe Administratoren, die zum Ändern oder Entfernen eines Citrix Benutzerprofils erforderlich ist.
Berechtigungen
Citrix testet und empfiehlt die folgenden Berechtigungen für den Benutzerspeicher und den plattformübergreifenden Einstellungsdatenspeicher:
- Freigabeberechtigungen: Vollzugriff auf den Stammordner des Benutzerspeichers
-
Die folgenden NTFS-Berechtigungen, wie sie derzeit von Microsoft empfohlen werden:
Gruppe oder Benutzername Berechtigung Anwenden auf Ersteller/Besitzer Vollzugriff Nur Unterordner und Dateien Die Gruppe von Konten unter der Kontrolle von Profile Management Ordner auflisten / Daten lesen und Ordner erstellen / Daten anhängen Nur dieser Ordner Lokales System Vollzugriff Dieser Ordner, Unterordner und Dateien
Vorausgesetzt, die Vererbung ist nicht deaktiviert, ermöglichen diese Berechtigungen den Konten den Zugriff auf die Speicher. Und sie ermöglichen den Konten, Unterordner für Benutzerprofile zu erstellen und die erforderlichen Lese- und Schreibvorgänge durchzuführen.
Über dieses Minimum hinaus können Sie die Verwaltung auch vereinfachen, indem Sie eine Gruppe von Administratoren erstellen, die nur Vollzugriff auf Unterordner und Dateien hat. Das Löschen von Profilen (eine häufige Aufgabe zur Fehlerbehebung) wird dann für Mitglieder dieser Gruppe einfacher.
Wenn Sie ein Vorlagenprofil verwenden, benötigen Benutzer Lesezugriff darauf.
Zugriffssteuerungsliste (ACL)
Wenn Sie die Funktion für plattformübergreifende Einstellungen verwenden, legen Sie die ACLs für den Ordner, der die Definitionsdateien speichert, wie folgt fest: Lesezugriff für authentifizierte Benutzer und Lese-/Schreibzugriff für Administratoren.
Windows-Benutzerprofile im Roaming-Modus entfernen Administratorberechtigungen automatisch aus den Ordnern, die Profildaten im Netzwerk enthalten. Profile Management entfernt diese Berechtigungen nicht automatisch aus Ordnern im Benutzerspeicher. Je nach den Sicherheitsrichtlinien Ihres Unternehmens können Sie dies manuell tun.
Hinweis: Wenn eine Anwendung die ACL einer Datei im Benutzerprofil ändert, repliziert Profile Management diese Änderungen nicht im Benutzerspeicher. Dies entspricht dem Verhalten von Windows-Benutzerprofilen im Roaming-Modus.
Profilstreaming und Antivirenprodukte für Unternehmen
Die Funktion für gestreamte Benutzerprofile von Citrix Profile Management verwendet erweiterte NTFS-Funktionen, um das Vorhandensein von Dateien zu simulieren, die in den Benutzerprofilen fehlen. In dieser Hinsicht ähnelt die Funktion einer Produktklasse, die als Hierarchical Storage Managers (HSMs) bekannt ist. HSMs werden typischerweise verwendet, um selten genutzte Dateien auf langsamen Massenspeichergeräten wie Magnetbändern oder wiederbeschreibbaren optischen Speichern zu archivieren. Wenn solche Dateien benötigt werden, fangen HSM-Treiber die erste Dateianforderung ab, unterbrechen den anfordernden Prozess, holen die Datei aus dem Archivspeicher und lassen die Dateianforderung dann fortsetzen. Angesichts dieser Ähnlichkeit ist der Treiber für gestreamte Benutzerprofile, upmjit.sys, tatsächlich als HSM-Treiber definiert.
In einer solchen Umgebung müssen Antivirenprodukte so konfiguriert werden, dass sie HSM-Treiber erkennen, und der Treiber für gestreamte Benutzerprofile ist hier keine Ausnahme. Um sich gegen die ausgeklügeltsten Bedrohungen zu verteidigen, müssen Antivirenprodukte einige ihrer Funktionen auf der Ebene des Gerätetreibers ausführen. Und wie HSM-Treiber funktionieren sie, indem sie Dateianforderungen abfangen, den ursprünglichen Prozess unterbrechen, die Datei scannen und fortsetzen.
Es ist relativ einfach, ein Antivirenprogramm falsch zu konfigurieren, sodass es einen HSM wie den Treiber für gestreamte Benutzerprofile unterbricht, ihn daran hindert, Dateien aus dem Benutzerspeicher abzurufen, und so die Anmeldung zum Hängen bringt.
Glücklicherweise sind Antivirenprodukte für Unternehmen mit Blick auf die Möglichkeit hochentwickelter Speicherprodukte, wie z. B. HSMs, konzipiert. Und sie können so konfiguriert werden, dass sie ihren Scan verzögern, bis das HSM seine Arbeit erledigt hat. Antivirenprodukte für den Heimgebrauch sind in dieser Hinsicht weniger hochentwickelt. Daher wird die Verwendung von Antivirenprodukten für den Heimgebrauch und SoHo (Small Office/Home Office) mit gestreamten Benutzerprofilen nicht unterstützt.
Um Ihr Antivirenprodukt für die Verwendung mit gestreamten Benutzerprofilen zu konfigurieren, suchen Sie nach einer der folgenden Produktfunktionen. Die Funktionsnamen dienen nur als Anhaltspunkt:
- Vertrauenswürdige Prozessliste. Identifiziert HSMs gegenüber dem Antivirenprodukt, wodurch das HSM den Dateiwiederherstellungsprozess abschließen kann. Das Antivirenprodukt scannt die Datei, wenn sie zum ersten Mal von einem nicht vertrauenswürdigen Prozess aufgerufen wird.
- Nicht bei Öffnungs- oder Statusprüfvorgängen scannen. Konfiguriert das Antivirenprodukt so, dass es eine Datei nur scannt, wenn auf Daten zugegriffen wird (z. B. wenn eine Datei ausgeführt oder erstellt wird). Andere Arten des Dateizugriffs (z. B. wenn eine Datei geöffnet oder ihr Status überprüft wird) werden vom Antivirenprodukt ignoriert. HSMs werden im Allgemeinen als Reaktion auf Dateiöffnungs- und Dateistatusprüfvorgänge aktiviert, daher beseitigt das Deaktivieren von Virenscans bei diesen Operationen potenzielle Konflikte.
Citrix testet gestreamte Benutzerprofile mit Versionen der führenden Antivirenprodukte für Unternehmen, um sicherzustellen, dass sie mit der Profilverwaltung kompatibel sind. Diese Versionen umfassen:
- McAfee Virus Scan Enterprise 8.7
- Symantec Endpoint Protection 11.0
- Trend Micro OfficeScan 10
Frühere Versionen dieser Produkte werden nicht getestet.
Wenn Sie ein Antivirenprodukt für Unternehmen von anderen Anbietern verwenden, stellen Sie sicher, dass es HSM-fähig ist. Es kann so konfiguriert werden, dass HSM-Vorgänge abgeschlossen werden können, bevor Scans durchgeführt werden.
Einige Antivirenprodukte ermöglichen Administratoren die Wahl zwischen Scan-on-Read oder Scan-on-Write. Diese Wahl gleicht Leistung und Sicherheit aus. Die Funktion für gestreamte Benutzerprofile wird von dieser Wahl nicht beeinflusst.
Fehlerbehebung bei Profile Management in Streaming- und Antiviren-Bereitstellungen
Wenn Probleme auftreten, wie z. B. sich aufhängende oder lange dauernde Anmeldungen, könnte eine Fehlkonfiguration zwischen Profile Management und Ihrem Antivirenprodukt für Unternehmen vorliegen. Versuchen Sie die folgenden Verfahren, in dieser Reihenfolge:
- Stellen Sie sicher, dass Sie die neueste Version von Profile Management haben. Ihr Problem wurde möglicherweise bereits gefunden und behoben.
- Fügen Sie den Dienst für die Profilverwaltung (UserProfileManager.exe) zur Liste der vertrauenswürdigen Prozesse für Ihr Unternehmens-Antivirenprodukt hinzu.
- Deaktivieren Sie die Virenprüfung bei HSM-Vorgängen wie Öffnen, Erstellen, Wiederherstellen oder Statusprüfung. Führen Sie Virenprüfungen nur bei Lese- oder Schreibvorgängen durch.
- Deaktivieren Sie andere ausgeklügelte Virenprüffunktionen. Antivirenprodukte können beispielsweise die ersten Blöcke einer Datei schnell scannen, um den tatsächlichen Dateityp zu bestimmen. Diese Prüfungen gleichen den Dateiinhalt mit dem deklarierten Dateityp ab, können aber HSM-Vorgänge beeinträchtigen.
- Deaktivieren Sie den Windows-Suchindizierungsdienst, zumindest für die Ordner, in denen Profile auf lokalen Laufwerken gespeichert sind. Dieser Dienst verursacht unnötige HSM-Abrufe und hat nachweislich Konflikte zwischen gestreamten Benutzerprofilen und Antivirenprodukten für Unternehmen ausgelöst.
Wenn keiner dieser Schritte funktioniert, deaktivieren Sie gestreamte Benutzerprofile (indem Sie die Einstellung Profilstreaming deaktivieren). Wenn dies funktioniert, aktivieren Sie die Funktion erneut und deaktivieren Sie Ihr Antivirenprodukt für Unternehmen. Wenn dies ebenfalls funktioniert, erfassen Sie Profile Management-Diagnosedaten für den nicht funktionierenden Fall und wenden Sie sich an den technischen Support von Citrix. Sie müssen die genaue Version des Antivirenprodukts für Unternehmen kennen.
Um Profile Management weiterhin zu verwenden, vergessen Sie nicht, das Antivirenprodukt für Unternehmen wieder zu aktivieren und gestreamte Benutzerprofile zu deaktivieren. Andere Funktionen von Profile Management funktionieren in dieser Konfiguration weiterhin. Nur das Streaming von Profilen ist deaktiviert.