Crear directivas
Nota:
A partir de la versión 2511, Citrix Web Studio™ (basado en web) es la única consola de administración para Citrix Virtual Apps and Desktops™. Citrix Studio (basado en MMC) se ha eliminado del instalador. Este artículo se aplica solo a Web Studio. Para obtener información sobre Citrix Studio, consulte el artículo equivalente en Citrix Virtual Apps and Desktops 7 2212 o versiones anteriores.
Una directiva define dos partes:
- Un grupo de configuraciones que definen cómo se administran las sesiones, el ancho de banda y la seguridad para un grupo de usuarios, dispositivos o tipos de conexión.
- Usuarios y máquinas a los que asignar la directiva. Antes de crear una directiva, decida a qué grupo de usuarios o dispositivos afecta. Es posible que desee crear una directiva basada en la función laboral, el tipo de conexión, la plataforma del dispositivo o la ubicación geográfica.
Al crear una directiva, puede basarla en la configuración de una plantilla de directiva y personalizarla según sea necesario. También puede empezar desde cero y agregar manualmente la configuración necesaria. Esta sección cubre los siguientes temas:
Sugerencia
Si ya existe una directiva para un grupo, considere editarla en lugar de crear una nueva. Evite crear directivas únicamente para habilitar una configuración específica o excluir usuarios específicos.
Cómo funcionan las directivas
Cuando un usuario inicia sesión, se identifican todas las directivas que coinciden con las asignaciones de la conexión. Esas directivas se clasifican por prioridad y se comparan varias instancias de cualquier configuración. Para cada configuración, se aplica el valor de la directiva de mayor prioridad. Si una directiva de mayor prioridad deshabilita una configuración, esa configuración anula cualquier directiva de menor prioridad donde esté habilitada. Las configuraciones que no están configuradas se ignoran.
Importante:
Si está configurando políticas de Active Directory y de Citrix mediante la Consola de administración de directivas de grupo, es posible que las asignaciones y la configuración no se apliquen como se espera. Para obtener más información, consulte CTX127461.
La directiva sin filtrar
Proporcionamos una directiva predeterminada llamada Sin filtrar.
- Cuando administra directivas de Citrix® en Web Studio, la configuración de la directiva Sin filtrar se aplica a todos los servidores, escritorios y conexiones del sitio.
-
Para que la configuración se aplique, el sitio y las conexiones deben estar dentro del ámbito del GPO que contiene la directiva.
Ejemplo: Un GPO llamado Sales-US está vinculado a la OU Sales e incluye a todos los miembros del equipo de ventas de EE. UU. Este GPO está configurado con una directiva Sin filtrar con varias configuraciones de usuario. Cuando un gerente de ventas inicia sesión, se aplican las configuraciones de la directiva Sin filtrar porque el usuario está en el GPO Sales-US.
Modos de asignación
El modo de asignación controla si una directiva se aplica en función de cómo coinciden los criterios de conexión.
-
Permitir (predeterminado): Aplica la directiva solo si la conexión coincide con los criterios de asignación.
-
Denegar: Aplica la directiva si la conexión no coincide con los criterios.
Ejemplo 1: Mismo tipo de asignación, modos diferentes
La directiva 1 incluye:
-
Asignación A: Grupo de ventas, modo = Permitir
-
Asignación B: Cuenta del gerente de ventas, modo = Denegar
Aunque el usuario está en el grupo de ventas, la asignación de Denegar tiene prioridad. La directiva no se aplica cuando el gerente de ventas inicia sesión.
Ejemplo 2: Diferentes tipos de asignación, mismo modo
La directiva 2 incluye:
-
Asignación C: Grupo de ventas (Usuario), modo = Permitir
-
Asignación D: Rango de IP corporativa (IP de cliente), modo = Permitir
La directiva se aplica solo cuando se cumplen ambas asignaciones. Si el gerente de ventas inicia sesión desde la oficina, se cumplen ambas condiciones y la directiva se aplica.
La directiva 3 incluye:
-
Asignación E: Grupo de ventas (Usuario), modo = Permitir
-
Asignación F: Conexión de NetScaler Gateway (Control de acceso), modo = Permitir
Si el gerente de ventas inicia sesión desde la oficina (no a través de NetScaler), la asignación F no se cumple, por lo que la directiva no se aplica.
Configuración de directivas: Relaciones padre-hijo
Algunas configuraciones de directiva dependen de las configuraciones principales. Por ejemplo, debe configurar Límite de ancho de banda general de la sesión antes de que sus configuraciones secundarias estén disponibles.
Al configurar directivas en Web Studio, pase el ratón por encima de una configuración secundaria para ver qué configuración principal debe configurarse primero. Si una configuración principal está inhabilitada, las configuraciones secundarias relacionadas se inhabilitan automáticamente.
La siguiente tabla enumera las configuraciones principales y sus configuraciones secundarias correspondientes:
| Directiva principal | Directivas secundarias dependientes |
|---|---|
| Límite de ancho de banda general de la sesión
|
Porcentaje de límite de ancho de banda de redirección de audio |
| Porcentaje de límite de ancho de banda de redirección del Portapapeles | |
| Porcentaje de límite de ancho de banda de redirección de puerto COM | |
| Porcentaje de límite de ancho de banda de redirección de archivos | |
| Porcentaje de límite de ancho de banda de aceleración multimedia HDX™ MediaStream | |
| Porcentaje de límite de ancho de banda de redirección de puerto LPT | |
| Porcentaje de límite de ancho de banda de redirección de impresora | |
| Porcentaje de límite de ancho de banda de redirección de dispositivo USB de cliente | |
| Porcentaje de límite de ancho de banda de redirección de dispositivo TWAIN | |
| Permitir la redirección bidireccional de contenido
|
URL permitidas para redirigir al cliente |
| URL permitidas para redirigir al VDA | |
| Uso de CPU | Prioridad de proceso excluida del uso de CPU |
| Modo gráfico heredado | Nivel de compresión progresiva |
| Habilitar marca de agua de sesión
|
Texto personalizado de marca de agua |
| Estilo de marca de agua de sesión | |
| Transparencia de la marca de agua | |
| Transporte adaptativo HDX | Modo tolerante a pérdidas para audio |
Estados de la configuración de directiva
Algunas configuraciones de directiva pueden tener uno de los siguientes estados:
- Permitido o Prohibido: Permite o impide la acción controlada por la configuración. A veces, los usuarios pueden o no pueden administrar la acción de la configuración en una sesión. Por ejemplo, si la animación del menú está establecida en Permitido, los usuarios pueden controlarla dentro de su sesión.
- Habilitado o Inhabilitado: Activa o desactiva la configuración. Si una configuración está inhabilitada en una directiva de mayor prioridad, no se aplica, incluso si está habilitada en una directiva de menor prioridad.
Configuración predeterminada segura
Si la configuración predeterminada segura está habilitada durante la instalación de VDA, la prioridad de las configuraciones de directiva es la siguiente:
- Configuración personalizada
- Configuración predeterminada segura
- Configuración predeterminada
Para ver el valor predeterminado seguro:
- En Web Studio, haga clic en Directivas en el panel izquierdo.
- En la ficha Directivas, haga clic en Crear directiva.
-
En la tabla Seleccionar configuración, al pasar el ratón por encima de la configuración que tiene Permitido como valor actual, se muestra Valor predeterminado seguro: Prohibido.
Eficacia de la configuración de directivas
Algunas configuraciones deben usarse y habilitarse conjuntamente. Por ejemplo, para permitir que los usuarios accedan a las unidades de red en su dispositivo local:
-
La Redirección de unidades de cliente debe estar habilitada
-
Las Unidades de red de cliente también deben incluirse
Si la Redirección de unidades de cliente está inhabilitada, los usuarios no pueden acceder a las unidades de red, incluso si las Unidades de red de cliente están habilitadas.
En general, los cambios en la configuración relacionada con la máquina surten efecto cuando el VDA se reinicia o un usuario inicia sesión. Los cambios en la configuración relacionada con el usuario se aplican en el siguiente inicio de sesión.
Al agregar una configuración a una directiva, puede seleccionar Usar el valor predeterminado para evitar cambios. Esta opción inhabilita la configuración manual y aplica solo el valor predeterminado, independientemente de los valores introducidos anteriormente.
Prácticas recomendadas
- Asigne directivas a grupos en lugar de a usuarios individuales. Si asigna directivas a grupos, las asignaciones se actualizan automáticamente cuando agrega o quita usuarios del grupo.
- Inhabilite las directivas no utilizadas. Las directivas sin configuración agregada incurren en una sobrecarga de procesamiento innecesaria.
Crear directivas desde cero
Para crear una directiva:
- En Web Studio, haga clic en Directivas en el panel izquierdo.
- En la ficha Directivas, haga clic en Crear directiva.
- En la página Seleccionar configuración, (#step-1-select-and-configure-policy-settings) y, a continuación, haga clic en Siguiente.
- En la página Asignar directiva a, seleccione el conjunto de directivas donde reside esta directiva y, a continuación, (#step-2-specify-policy-assignments). Haga clic en Siguiente.
-
En la página Resumen, complete la siguiente configuración:
- Introduzca un nombre y una descripción para la directiva.
- Para habilitar la directiva, seleccione Habilitar directiva.
- Haga clic en Finalizar.
Paso 1: Seleccionar y configurar la configuración de la directiva
La configuración de directiva se agrupa por función. Por ejemplo, la configuración relacionada con la administración de perfiles se encuentra en la categoría Administración de perfiles.
Hay dos tipos de configuración:
- Configuración de equipo: Se aplica a las máquinas y surte efecto cuando se inicia el escritorio virtual (incluso si ningún usuario ha iniciado sesión). Definen los comportamientos del escritorio virtual.
- Configuración de usuario: Se aplica cuando un usuario se conecta o se vuelve a conectar. Definen la experiencia del usuario.
Para seleccionar y configurar una configuración:
-
En la página Seleccionar configuración, para ver la configuración por versiones de VDA, seleccione una de las siguientes opciones de la lista desplegable en la parte superior derecha:
- Toda la configuración: Ver toda la configuración para todas las versiones de VDA
- Solo la configuración actual: Ver la configuración solo para las versiones actuales de VDA
- Solo la configuración heredada: Ver la configuración solo para las versiones de VDA obsoletas
-
Para buscar una configuración, introduzca el nombre completo o parcial de la configuración en el cuadro de búsqueda.
-
Seleccione una configuración. Haga clic en Habilitar para activarla o en Editar para especificar un valor.
-
Repita el paso 3 para seleccionar y configurar más opciones para la directiva.
Nota:
La configuración de directiva se puede habilitar, inhabilitar o no configurar. De forma predeterminada, la configuración de directiva no está configurada, lo que significa que no se añade a una directiva. La configuración se aplica solo cuando se añade a una directiva.
Paso 2: Especificar asignaciones de directivas
Las asignaciones de directivas definen a qué usuarios y máquinas se aplica una directiva. Para obtener información sobre cómo las asignaciones afectan al comportamiento de las directivas, consulte Cómo funcionan las directivas.
Para especificar asignaciones de directivas:
- En la página Asignar directiva a, seleccione Usuarios y equipos filtrados.
- Seleccione los usuarios o equipos especificando asignaciones (también conocidas como filtros). Consulte la siguiente tabla para ver los tipos de asignación disponibles.
Nota:
- Si no especifica ninguna asignación o las deshabilita, la directiva se aplica a todas las conexiones.
- Las asignaciones de directivas también se conocen como filtros de directivas. Para obtener más información, consulte Crear, modificar o eliminar un filtro para una directiva y ¿Cómo se aplican los filtros?
| Nombre de la asignación | Aplica una directiva basada en |
|---|---|
| Control de acceso | Condiciones de control de acceso a través de las cuales se conecta un cliente. Tipo de conexión: Si se aplica la directiva a las conexiones realizadas con o sin NetScaler® Gateway. Nombre de la granja de NetScaler Gateway: Nombre del servidor virtual de NetScaler Gateway. Condición de acceso: Nombre de la directiva de análisis de puntos finales o de la directiva de sesión que se va a utilizar. |
| NetScaler SD-WAN | Si una sesión de usuario se inicia a través de NetScaler SD-WAN. Nota: Solo puede agregar una asignación de NetScaler SD-WAN a una directiva. |
| Dirección IP del cliente
|
Dirección IP desde la que se conecta un cliente, que varía según cómo se conecte el cliente a la sesión
Ejemplos de IPv4: 12.0.0.0, 12.0.0.*, 12.0.0.1-12.0.0.70, 12.0.0.1/24; Ejemplos de IPv6: 2001:0db8:3c4d:0015:0:0:abcd:ef12, 2001:0db8:3c4d:0015::/54 |
| Nombre del cliente | Nombre del dispositivo de usuario. Coincidencia exacta: ClientABCName. Uso de comodín: Client*Name. |
| Grupo de entrega | Pertenencia al grupo de entrega. |
| Plataforma del cliente | Tipo de SO del dispositivo de usuario utilizado para conectar la sesión, como Windows, Linux, iOS, Android o HTML5. Versión de VDA requerida: 2503 o posterior. |
| Tipo de grupo de entrega | Tipo de escritorio o aplicación: escritorio privado, escritorio compartido, aplicación privada o aplicación compartida. Nota: Las opciones de filtro de escritorio privado y escritorio compartido solo están disponibles para Citrix Virtual Apps and Desktops 7.x. Para obtener más información, consulte CTX219153. |
| Unidad organizativa (OU) | Unidad organizativa. |
| Etiqueta | Etiquetas. Nota: Aplique esta directiva a todas las máquinas etiquetadas. Las etiquetas de aplicación no están incluidas. |
| Usuario o grupo | Nombre de usuario o grupo. |
Cuando un usuario inicia sesión, se identifican todas las directivas que coinciden con las asignaciones de la conexión. Esas directivas se ordenan por prioridad y se comparan varias instancias de cualquier configuración. Cada configuración se aplica según la clasificación de prioridad de la directiva. Cualquier configuración de directiva que esté inhabilitada tiene prioridad sobre una configuración de menor rango que esté habilitada. Las configuraciones de directiva que no están configuradas se ignoran.
Importante:
Al configurar directivas de Active Directory y Citrix mediante la Consola de administración de directivas de grupo, es posible que las asignaciones y la configuración no se apliquen como se espera. Para obtener más información, consulte CTX127461.
Para configurar el filtro de directivas de IP de cliente para que siempre utilice la dirección IP privada del cliente, configure la siguiente entrada del Registro en el host de sesión:
- Clave:
HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Ica\GroupPolicy- Tipo de valor:
DWORD- Nombre del valor:
UseClientDeviceIpForPolicyFilter- Datos del valor:
1
De forma predeterminada, se proporciona una directiva denominada “Unfiltered”.
- Si utiliza Web Studio para administrar las políticas de Citrix, la configuración que añada a la política Sin filtrar se aplica a todos los servidores, escritorios y conexiones de un sitio.
- Si utiliza el Editor de directivas de grupo local para administrar las políticas de Citrix, la configuración que añada a la política Sin filtrar se aplica a todos los sitios y conexiones. Los sitios y las conexiones deben estar dentro del ámbito de los objetos de directiva de grupo (GPO) que incluyen la política. Por ejemplo, la OU de Ventas incluye un GPO llamado Ventas-EE. UU. que incluye a todos los miembros del equipo de ventas de EE. UU. El GPO Ventas-EE. UU. está configurado con una política Sin filtrar que incluye varias configuraciones de política de usuario. Cuando el gerente de ventas de EE. UU. inicia sesión en el sitio, la configuración de la política Sin filtrar se aplica automáticamente a la sesión. Esta configuración se debe a que el usuario es miembro del GPO Ventas-EE. UU.
El modo de una asignación determina si la política se aplica solo a las conexiones que coinciden con todos los criterios de asignación. Si el modo está establecido en Permitir (el predeterminado), la política se aplica solo a las conexiones que coinciden con los criterios de asignación. Si el modo está establecido en Denegar, la política se aplica si la conexión no coincide con los criterios de asignación. Los siguientes ejemplos ilustran cómo los modos de asignación afectan a las políticas de Citrix cuando hay varias asignaciones presentes.
-
Ejemplo: Asignaciones del mismo tipo con modos diferentes - En las políticas con dos asignaciones del mismo tipo, una establecida en Permitir y otra en Denegar, la asignación establecida en Denegar tiene prioridad, siempre que la conexión satisfaga ambas asignaciones. Por ejemplo:
La política 1 incluye las siguientes asignaciones:
- La asignación A especifica el grupo de Ventas. El modo está establecido en Permitir.
- La asignación B especifica la cuenta del gerente de Ventas. El modo está establecido en Denegar.
Dado que el modo para la asignación B está establecido en Denegar, la política no se aplica cuando el gerente de Ventas inicia sesión en el sitio, aunque el usuario sea miembro del grupo de Ventas.
-
Ejemplo: Asignaciones de tipo diferente con modos similares - En las políticas con dos o más asignaciones de tipos diferentes, establecidas en Permitir, la conexión debe satisfacer al menos una asignación de cada tipo para que la política se aplique. Por ejemplo:
La política 2 incluye las siguientes asignaciones:
- La asignación C es una asignación de usuario que especifica el grupo de Ventas. El modo está establecido en Permitir.
- La asignación D es una asignación de dirección IP de cliente que especifica 10.8.169.* (la red corporativa). El modo está establecido en Permitir.
Cuando el gerente de Ventas inicia sesión en el sitio desde la oficina, la política se aplica porque la conexión satisface ambas asignaciones.
La política 3 incluye las siguientes asignaciones:
- La asignación E es una asignación de usuario que especifica el grupo de Ventas. El modo está establecido en Permitir.
- La asignación F es una asignación de Control de acceso que especifica las condiciones de conexión de NetScaler Gateway. El modo está establecido en Permitir.
Cuando el gerente de ventas inicia sesión en el sitio desde la oficina, la directiva no se aplica porque la conexión no cumple la asignación F.
Crear directivas a partir de plantillas
Puede crear una directiva basada en una (/es-es/citrix-virtual-apps-desktops/policies/policies-templates) [plantilla personalizada o proporcionada por Citrix]. La directiva resultante es independiente de la plantilla original.
Para crear una directiva a partir de una plantilla:
- En Web Studio, seleccione Directivas en el panel izquierdo.
- Seleccione la ficha Plantillas y, a continuación, seleccione la plantilla que quiera usar.
- Haga clic en Crear directiva a partir de plantilla en la barra de acciones. Aparece la página Crear directiva, que muestra todas las configuraciones preconfiguradas en la plantilla seleccionada.
- Modifique la configuración y agregue más configuraciones si es necesario, y luego haga clic en Siguiente.
- En la página Asignar directiva a, seleccione el conjunto de directivas donde reside esta directiva y, a continuación, seleccione los objetos a los que asignar la directiva. Haga clic en Siguiente.
- En la página Resumen, introduzca un nombre y una descripción para la directiva.
- Haga clic en Finalizar. La nueva directiva aparece en el conjunto de directivas especificado en la ficha Directivas.