Sicherheit
Dieses Thema enthält empfohlene Best Practices zur Absicherung von Profile Management. Sichern Sie im Allgemeinen die Server, auf denen der Benutzerspeicher abgelegt ist, um unerwünschten Zugriff auf Citrix® Benutzerprofildaten zu verhindern.
Empfehlungen zur Erstellung sicherer Benutzerspeicher finden Sie im Artikel Create a file share for roaming user profiles auf der Microsoft TechNet-Website. Diese Mindestempfehlungen gewährleisten ein hohes Maß an Sicherheit für den grundlegenden Betrieb. Fügen Sie außerdem beim Konfigurieren des Zugriffs auf den Benutzerspeicher die Gruppe Administratoren hinzu, die zum Ändern oder Entfernen eines Citrix Benutzerprofils erforderlich ist.
Berechtigungen
Citrix testet und empfiehlt die folgenden Berechtigungen für den Benutzerspeicher und den plattformübergreifenden Einstellungsspeicher:
- Freigabeberechtigungen: Vollzugriff auf den Stammordner des Benutzerspeichers
-
Die folgenden NTFS-Berechtigungen, wie sie derzeit von Microsoft empfohlen werden:
Gruppen- oder Benutzername Berechtigung Anwenden auf Ersteller-Besitzer Vollzugriff Nur Unterordner und Dateien Die Gruppe der Konten unter Profile Management-Kontrolle Ordner auflisten / Daten lesen und Ordner erstellen / Daten anhängen Nur dieser Ordner Lokales System Vollzugriff Dieser Ordner, Unterordner und Dateien
Sofern die Vererbung nicht deaktiviert ist, ermöglichen diese Berechtigungen den Konten den Zugriff auf die Speicher. Und ermöglichen den Konten, Unterordner für Benutzerprofile zu erstellen und die erforderlichen Lese- und Schreibvorgänge durchzuführen.
Über dieses Minimum hinaus können Sie die Verwaltung auch vereinfachen, indem Sie eine Gruppe von Administratoren mit Vollzugriff nur auf Unterordner und Dateien erstellen. Dann wird das Löschen von Profilen (eine häufige Aufgabe zur Fehlerbehebung) für Mitglieder dieser Gruppe einfacher.
Wenn Sie ein Vorlagenprofil verwenden, benötigen Benutzer Lesezugriff darauf.
Zugriffssteuerungsliste (ACL)
Wenn Sie die Funktion für plattformübergreifende Einstellungen verwenden, legen Sie die ACLs für den Ordner, der die Definitionsdateien speichert, wie folgt fest: Lesezugriff für authentifizierte Benutzer und Lese-/Schreibzugriff für Administratoren.
Windows-Benutzerprofile entfernen automatisch Administratorrechte aus den Ordnern, die Profildaten im Netzwerk enthalten. Profile Management entfernt diese Rechte nicht automatisch aus Ordnern im Benutzerspeicher. Abhängig von den Sicherheitsrichtlinien Ihrer Organisation können Sie dies manuell tun.
Hinweis: Wenn eine Anwendung die ACL einer Datei im Benutzerprofil ändert, repliziert Profile Management diese Änderungen nicht im Benutzerspeicher. Dies entspricht dem Verhalten von Windows-Benutzerprofilen.
Profilstreaming und Antivirenprodukte für Unternehmen
Die Funktion für gestreamte Benutzerprofile von Citrix Profile Management verwendet erweiterte NTFS-Funktionen, um das Vorhandensein von Dateien zu simulieren, die in den Benutzerprofilen fehlen. In dieser Hinsicht ähnelt die Funktion einer Produktklasse, die als Hierarchical Storage Managers (HSMs) bekannt ist. HSMs werden typischerweise verwendet, um selten verwendete Dateien auf langsame Massenspeichergeräte wie Magnetbänder oder wiederbeschreibbare optische Speicher zu archivieren. Wenn solche Dateien benötigt werden, fangen HSM-Treiber die erste Dateianforderung ab, unterbrechen den anfordernden Prozess, holen die Datei aus dem Archivspeicher und lassen dann die Dateianforderung fortsetzen. Angesichts dieser Ähnlichkeit ist der Treiber für gestreamte Benutzerprofile, upmjit.sys, tatsächlich als HSM-Treiber definiert.
In einer solchen Umgebung müssen Antivirenprodukte so konfiguriert werden, dass sie HSM-Treiber erkennen, und der Treiber für gestreamte Benutzerprofile ist da keine Ausnahme. Um sich gegen die raffiniertesten Bedrohungen zu verteidigen, müssen Antivirenprodukte einige ihrer Funktionen auf der Gerätetreiberebene ausführen. Und wie HSM-Treiber funktionieren sie, indem sie Dateianforderungen abfangen, den ursprünglichen Prozess unterbrechen, die Datei scannen und fortsetzen.
Es ist relativ einfach, ein Antivirenprogramm falsch zu konfigurieren, sodass es einen HSM wie den Treiber für gestreamte Benutzerprofile unterbricht, ihn daran hindert, Dateien aus dem Benutzerspeicher abzurufen, und dazu führt, dass die Anmeldung hängen bleibt.
Glücklicherweise sind Unternehmens-Antivirenprodukte so konzipiert, dass sie die Möglichkeit ausgeklügelter Speicherprodukte wie HSMs berücksichtigen. Und sie können so konfiguriert werden, dass sie ihren Scan verzögern, bis das HSM seine Arbeit erledigt hat. Heim-Antivirenprodukte sind in dieser Hinsicht weniger ausgeklügelt. Daher wird die Verwendung von Heim- und SoHo-Antivirenprodukten (Small Office/Home Office) mit gestreamten Benutzerprofilen nicht unterstützt.
Um Ihr Antivirenprodukt für die Verwendung mit gestreamten Benutzerprofilen zu konfigurieren, suchen Sie nach einer der folgenden Produktfunktionen. Die Funktionsnamen sind nur indikativ:
- Vertrauenswürdige Prozessliste. Identifiziert HSMs gegenüber dem Antivirenprodukt, wodurch das HSM den Dateiwiederherstellungsprozess abschließen kann. Das Antivirenprodukt scannt die Datei, wenn sie zum ersten Mal von einem nicht vertrauenswürdigen Prozess aufgerufen wird.
- Nicht bei Öffnungs- oder Statusprüfungsoperationen scannen. Konfiguriert das Antivirenprodukt so, dass es eine Datei nur scannt, wenn auf Daten zugegriffen wird (z. B. wenn eine Datei ausgeführt oder erstellt wird). Andere Arten des Dateizugriffs (z. B. wenn eine Datei geöffnet oder ihr Status überprüft wird) werden vom Antivirenprodukt ignoriert. HSMs werden im Allgemeinen als Reaktion auf Dateiöffnungs- und Dateistatusprüfungsoperationen aktiviert, sodass das Deaktivieren von Virenscans bei diesen Operationen potenzielle Konflikte beseitigt.
Citrix testet gestreamte Benutzerprofile mit Versionen der führenden Unternehmens-Antivirenprodukte, um deren Kompatibilität mit Profile Management sicherzustellen. Diese Versionen umfassen:
- McAfee Virus Scan Enterprise 8.7
- Symantec Endpoint Protection 11.0
- Trend Micro OfficeScan 10
Frühere Versionen dieser Produkte werden nicht getestet.
Wenn Sie ein Unternehmens-Antivirenprodukt von anderen Anbietern verwenden, stellen Sie sicher, dass es HSM-fähig ist. Es kann so konfiguriert werden, dass HSM-Operationen abgeschlossen werden können, bevor Scans durchgeführt werden.
Einige Antivirenprodukte ermöglichen es Administratoren, zwischen Scan-on-Read oder Scan-on-Write zu wählen. Diese Wahl gleicht Leistung und Sicherheit aus. Die Funktion für gestreamte Benutzerprofile wird durch diese Wahl nicht beeinflusst.
Problembehandlung für Profile Management in Streaming- und Antiviren-Bereitstellungen
Wenn Probleme auftreten, wie z. B. hängende oder lange dauernde Anmeldungen, liegt möglicherweise eine Fehlkonfiguration zwischen Profile Management und Ihrem Unternehmens-Antivirenprodukt vor. Führen Sie die folgenden Schritte in dieser Reihenfolge aus:
- Stellen Sie sicher, dass Sie die neueste Version von Profile Management verwenden. Ihr Problem wurde möglicherweise bereits gefunden und behoben.
- Fügen Sie den Profile Management-Dienst (UserProfileManager.exe) der Liste der vertrauenswürdigen Prozesse für Ihr Unternehmens-Antivirenprodukt hinzu.
- Deaktivieren Sie die Virenprüfung bei HSM-Vorgängen wie Öffnen, Erstellen, Wiederherstellen oder Statusprüfung. Führen Sie Virenprüfungen nur bei Lese- oder Schreibvorgängen durch.
- Deaktivieren Sie andere ausgeklügelte Funktionen zur Virenprüfung. Antivirenprodukte können beispielsweise die ersten Blöcke einer Datei schnell scannen, um den tatsächlichen Dateityp zu bestimmen. Diese Prüfungen gleichen den Dateiinhalt mit dem deklarierten Dateityp ab, können aber HSM-Vorgänge beeinträchtigen.
- Deaktivieren Sie den Windows-Suchindexdienst, zumindest für die Ordner, in denen Profile auf lokalen Laufwerken gespeichert sind. Dieser Dienst verursacht unnötige HSM-Abrufe und hat nachweislich zu Konflikten zwischen gestreamten Benutzerprofilen und Antivirenprodukten für Unternehmen geführt.
Wenn keiner dieser Schritte funktioniert, deaktivieren Sie gestreamte Benutzerprofile (indem Sie die Einstellung Profilstreaming deaktivieren). Wenn es funktioniert, aktivieren Sie die Funktion erneut und deaktivieren Sie Ihr Antivirenprodukt für Unternehmen. Wenn es ebenfalls funktioniert, erfassen Sie die Profile Management-Diagnose für den nicht funktionierenden Fall und wenden Sie sich an den technischen Support von Citrix. Sie müssen die genaue Version des Antivirenprodukts für Unternehmen kennen.
Um Profile Management weiterhin zu verwenden, vergessen Sie nicht, das Antivirenprodukt für Unternehmen wieder zu aktivieren und gestreamte Benutzerprofile zu deaktivieren. Andere Funktionen von Profile Management funktionieren in dieser Konfiguration weiterhin. Nur das Streaming von Profilen ist deaktiviert.