Seguridad

Last published : Nov 13, 2026
Esta configuración le permite controlar las actividades de los usuarios en Workspace Environment Management.
Related information
Administrar (consola heredada)

Seguridad de las aplicaciones

Importante:
Para controlar qué aplicaciones pueden ejecutar los usuarios, utilice la interfaz de Windows AppLocker o Workspace Environment Management. Puede alternar entre estos enfoques en cualquier momento, pero le recomendamos que no utilice ambos enfoques al mismo tiempo.
Esta configuración le permite controlar las aplicaciones que los usuarios pueden ejecutar mediante la definición de reglas. Esta funcionalidad es similar a Windows AppLocker.
Cuando utiliza Workspace Environment Management para administrar las reglas de Windows AppLocker, el agente procesa (convierte) las reglas de la ficha Seguridad de las aplicaciones en reglas de Windows AppLocker en el host del agente. Si detiene el procesamiento de reglas del agente, estas se conservan en el conjunto de configuración y AppLocker sigue ejecutándose utilizando el último conjunto de instrucciones procesadas por el agente.

Seguridad de las aplicaciones

Esta ficha enumera las reglas de seguridad de las aplicaciones en el conjunto de configuración actual de Workspace Environment Management. Puede usar Buscar para filtrar la lista según una cadena de texto.
Cuando selecciona el elemento de nivel superior "Seguridad de las aplicaciones" en la ficha Seguridad, las siguientes opciones están disponibles para habilitar o inhabilitar el procesamiento de reglas:
  • Procesar reglas de seguridad de las aplicaciones. Cuando se selecciona, los controles de la ficha Seguridad de las aplicaciones están habilitados y el agente procesa las reglas del conjunto de configuración actual, convirtiéndolas en reglas de AppLocker en el host del agente. Cuando no se selecciona, los controles de la ficha Seguridad de las aplicaciones están inhabilitados y el agente no procesa las reglas en reglas de AppLocker. (En este caso, las reglas de AppLocker no se actualizan).
    Nota:
    Esta opción no está disponible si la consola de administración de Workspace Environment Management está instalada en Windows 7 SP1 o Windows Server 2008 R2 SP1 (o versiones anteriores).
  • Procesar reglas DLL. Cuando se selecciona, el agente procesa las reglas DLL del conjunto de configuración actual en reglas DLL de AppLocker en el host del agente. Esta opción solo está disponible cuando selecciona Procesar reglas de seguridad de las aplicaciones.
    Importante:
    Si utiliza reglas DLL, debe crear una regla DLL con permiso de "Permitir" para cada DLL que utilicen todas las aplicaciones permitidas.
    Precaución:
    Si utiliza reglas DLL, los usuarios pueden experimentar una reducción en el rendimiento. Esto sucede porque AppLocker comprueba cada DLL que carga una aplicación antes de permitir su ejecución.
  • Las opciones Sobrescribir y Fusionar le permiten determinar cómo el agente procesa las reglas de seguridad de las aplicaciones.
    • Sobrescribir. Permite sobrescribir las reglas existentes. Cuando se selecciona, las reglas que se procesan al final sobrescriben las reglas que se procesaron anteriormente. Recomendamos aplicar este modo solo a máquinas de sesión única.
    • Fusionar. Permite fusionar reglas con las reglas existentes. Cuando se producen conflictos, las reglas que se procesan al final sobrescriben las reglas que se procesaron anteriormente. Si necesita modificar la configuración de aplicación de reglas durante la fusión, utilice el modo de sobrescritura porque el modo de fusión mantendrá el valor antiguo si difiere.

Colecciones de reglas

Las reglas pertenecen a las colecciones de reglas de AppLocker. Cada nombre de colección indica cuántas reglas contiene, por ejemplo (12). Haga clic en el nombre de una colección para filtrar la lista de reglas a una de las siguientes colecciones:
  • Reglas ejecutables. Reglas que incluyen archivos con las extensiones .exe y .com que están asociados a una aplicación.
  • Reglas de Windows. Reglas que incluyen formatos de archivo de instalador (.msi, .msp, .mst) que controlan la instalación de archivos en equipos cliente y servidores.
  • Reglas de scripts. Reglas que incluyen archivos de los siguientes formatos: .ps1, .bat, .cmd, .vbs, .js.
  • Reglas empaquetadas. Reglas que incluyen aplicaciones empaquetadas, también conocidas como aplicaciones universales de Windows. En las aplicaciones empaquetadas, todos los archivos dentro del paquete de la aplicación comparten la misma identidad. Por lo tanto, una regla puede controlar toda la aplicación. Workspace Environment Management solo admite reglas de editor para aplicaciones empaquetadas.
  • Reglas DLL. Reglas que incluyen archivos de los siguientes formatos: .dll, .ocx.
Cuando filtra la lista de reglas a una colección, la opción Aplicación de reglas está disponible para controlar cómo AppLocker aplica todas las reglas de esa colección en el host del agente. Los siguientes valores de aplicación de reglas son posibles:
Desactivado (predeterminado). Las reglas se crean y se establecen en "desactivado", lo que significa que no se aplican.
Activado. Las reglas se crean y se configuran como "aplicar", lo que significa que están activas en el host del agente.
Auditoría. Las reglas se crean y se configuran como "auditoría", lo que significa que están en el host del agente en un estado inactivo. Cuando un usuario ejecuta una aplicación que infringe una regla de AppLocker, se permite que la aplicación se ejecute y la información sobre la aplicación se agrega al registro de eventos de AppLocker.

Para importar reglas de AppLocker

Puede importar reglas exportadas de AppLocker a Workspace Environment Management. La configuración de AppLocker de Windows importada se agrega a las reglas existentes en la ficha Seguridad. Las reglas de seguridad de aplicaciones no válidas se eliminan automáticamente y se enumeran en un cuadro de diálogo de informe.
  1. En la cinta de opciones, haga clic en Importar reglas de AppLocker.
  2. Busque el archivo XML exportado desde AppLocker que contiene sus reglas de AppLocker.
  3. Haga clic en Importar.
Las reglas se agregan a la lista de reglas de seguridad de aplicaciones.

Para agregar una regla

  1. Seleccione un nombre de colección de reglas en la barra lateral. Por ejemplo, para agregar una regla ejecutable, seleccione la colección "Reglas ejecutables".
  2. Haga clic en Agregar regla.
  3. En la sección Mostrar, escriba los siguientes detalles:
    • Nombre. El nombre para mostrar de la regla tal como aparece en la lista de reglas.
    • Descripción. Información adicional sobre el recurso (opcional).
  4. En la sección Tipo, haga clic en una opción:
    • Ruta. La regla coincide con una ruta de archivo o una ruta de carpeta.
    • Editor. La regla coincide con un editor seleccionado.
    • Hash. La regla coincide con un código hash específico.
  5. En la sección Permisos, haga clic en si esta regla Permitirá o Denegará la ejecución de aplicaciones.
  6. Para asignar esta regla a usuarios o grupos de usuarios, en el panel Asignaciones, elija los usuarios o grupos a los que asignar esta regla. La columna "Asignado" muestra un icono de "marca de verificación" para los usuarios o grupos asignados.
    Sugerencia:
    • Puede usar las teclas modificadoras de selección habituales de Windows para realizar varias selecciones, o usar Seleccionar todo para seleccionar todas las filas.
    • Los usuarios ya deben estar en la lista de usuarios de Workspace Environment Management.
    • Puede asignar reglas después de crear la regla.
  7. Haga clic en Siguiente.
  8. Especifique los criterios con los que coincide la regla, según el tipo de regla que elija:
    • Ruta. Especifique una ruta de archivo o una ruta de carpeta con la que desea que coincida la regla. Cuando elige una carpeta, la regla coincide con todos los archivos dentro y debajo de esa carpeta.
    • Editor. Especifique un archivo de referencia firmado que desee usar como referencia para la regla y, a continuación, use el control deslizante Información del editor para ajustar el nivel de coincidencia de propiedades.
    • Hash. Especifique un archivo o carpeta desde el que desea crear un hash. La regla coincide con el código hash del archivo.
  9. Haga clic en Siguiente.
  10. Añada las excepciones que necesite (opcional). En Añadir excepción, elija un tipo de excepción y, a continuación, haga clic en Añadir. (Puede Editar y Eliminar excepciones según sea necesario).
  11. Para guardar la regla, haga clic en Crear.

Para asignar reglas a los usuarios

Seleccione una o varias reglas de la lista y, a continuación, haga clic en Editar en la barra de herramientas o en el menú contextual. En el editor, seleccione las filas que contienen los usuarios y grupos de usuarios a los que desea asignar la regla y, a continuación, haga clic en Aceptar. También puede desasignar las reglas seleccionadas de todos los usuarios mediante Seleccionar todo para borrar todas las selecciones.
Nota: Si selecciona varias reglas y hace clic en Editar, los cambios de asignación de reglas para esas reglas se aplican a todos los usuarios y grupos de usuarios que seleccione. En otras palabras, las asignaciones de reglas existentes se fusionan entre esas reglas.

Para añadir reglas predeterminadas

Haga clic en Agregar reglas predeterminadas. Se agrega un conjunto de reglas predeterminadas de AppLocker a la lista.

Para editar reglas

Seleccione una o varias reglas de la lista y, a continuación, haga clic en Editar en la barra de herramientas o en el menú contextual. Aparece el editor, que le permite ajustar la configuración que se aplica a la selección que realizó.

Para eliminar reglas

Seleccione una o varias reglas de la lista y, a continuación, haga clic en Eliminar en la barra de herramientas o en el menú contextual.

Para hacer una copia de seguridad de las reglas de seguridad de la aplicación

Puede hacer una copia de seguridad de todas las reglas de seguridad de la aplicación en su conjunto de configuración actual. Todas las reglas se exportan como un único archivo XML. Puede usar Restaurar para restaurar las reglas en cualquier conjunto de configuración. En la cinta de opciones, haga clic en Copia de seguridad y, a continuación, seleccione Configuración de seguridad.

Para restaurar las reglas de seguridad de la aplicación

Puede restaurar las reglas de seguridad de la aplicación a partir de archivos XML creados por el comando de copia de seguridad de Workspace Environment Management. El proceso de restauración reemplaza las reglas del conjunto de configuración actual por las reglas de la copia de seguridad. Al cambiar o actualizar la ficha Seguridad, se detectan las reglas de seguridad de la aplicación no válidas. Las reglas no válidas se eliminan automáticamente y se enumeran en un cuadro de diálogo de informe que puede exportar.
Durante el proceso de restauración, puede elegir si desea restaurar las asignaciones de reglas a usuarios y grupos de usuarios en su conjunto de configuración actual. La reasignación solo se realiza correctamente si los usuarios/grupos de los que se hizo una copia de seguridad están presentes en su conjunto de configuración actual/directorio activo. Las reglas no coincidentes se restauran, pero permanecen sin asignar. Después de la restauración, se enumeran en un cuadro de diálogo de informe que puede exportar en formato CSV.
1\. En la cinta, haga clic en Restaurar para iniciar el asistente de restauración.
2\. Seleccione Configuración de seguridad y, a continuación, haga clic en Siguiente dos veces.
3\. En Restaurar desde carpeta, busque la carpeta que contiene el archivo de copia de seguridad.
4\. Seleccione Configuración de reglas de AppLocker y, a continuación, haga clic en Siguiente.
5\. Confirme si desea restaurar las asignaciones de reglas o no:
Sí. Restaure las reglas y reasígnelas a los mismos usuarios y grupos de usuarios en su conjunto de configuración actual.
No. Restaure las reglas y déjelas sin asignar.
6\. Para iniciar la restauración, haga clic en Restaurar configuración.

Administración de procesos

Esta configuración le permite agregar procesos específicos a la lista de permitidos o a la lista de bloqueados.

Administración de procesos

Habilitar administración de procesos. Alterna si los procesos de la lista de permitidos o de la lista de bloqueados están en vigor. Si está deshabilitado, no se tiene en cuenta ninguna de las opciones de las fichas Lista negra de procesos y Lista blanca de procesos.
Nota:
Esta opción solo funciona si el agente de sesión se está ejecutando en la sesión del usuario. Para ello, utilice la configuración del agente de Configuración principal para establecer las opciones de Iniciar agente (al iniciar sesión/al reconectar/para administradores) para iniciar según el tipo de usuario/sesión, y establezca el Tipo de agente en "UI". Estas opciones se describen en Configuración avanzada.

Lista de bloqueo de procesos

Esta configuración le permite añadir procesos específicos a la lista de bloqueo.
Habilitar lista negra de procesos. Habilite el procesamiento de procesos en la lista de bloqueo. Debe añadir procesos utilizando su nombre de ejecutable (por ejemplo, cmd.exe).
Excluir administradores locales. Excluye las cuentas de administrador locales.
Excluir grupos especificados. Le permite excluir grupos de usuarios específicos.

Lista de permitidos de procesos

Esta configuración le permite añadir procesos específicos a la lista de permitidos. Las listas de bloqueo de procesos y las listas de permitidos de procesos son mutuamente excluyentes.
Habilitar lista blanca de procesos. Habilite el procesamiento de procesos en la lista de permitidos. Debe añadir procesos utilizando su nombre de ejecutable (por ejemplo, cmd.exe). Nota Si está habilitada, Habilitar lista blanca de procesos añade automáticamente todos los procesos que no están en la lista de permitidos a la lista de bloqueo.
Excluir administradores locales. Excluye las cuentas de administrador locales (pueden ejecutar todos los procesos).
Excluir grupos especificados. Le permite excluir grupos de usuarios específicos (pueden ejecutar todos los procesos).

Elevación de privilegios

Nota:
Esta función no se aplica a las aplicaciones virtuales de Citrix.
La función de elevación de privilegios le permite elevar los privilegios de los usuarios no administrativos a un nivel de administrador necesario para algunos ejecutables. Como resultado, los usuarios pueden iniciar esos ejecutables como si fueran miembros del grupo de administradores.

Elevación de privilegios

Cuando selecciona el panel Elevación de privilegios en Seguridad, aparecen las siguientes opciones:
  • Procesar la configuración de elevación de privilegios. Controla si se habilita la función de elevación de privilegios. Cuando se selecciona, permite a los agentes procesar la configuración de elevación de privilegios y otras opciones de la pestaña Elevación de privilegios pasan a estar disponibles.
  • No aplicar a sistemas operativos Windows Server. Controla si se aplican las configuraciones de elevación de privilegios a los sistemas operativos Windows Server. Si se selecciona, las reglas asignadas a los usuarios no funcionan en máquinas con Windows Server. De forma predeterminada, esta opción está seleccionada.
  • Aplicar RunAsInvoker. Controla si se fuerza a todos los ejecutables a ejecutarse bajo la cuenta de Windows actual. Si se selecciona, no se solicita a los usuarios que ejecuten los ejecutables como administradores.
Esta pestaña también muestra la lista completa de reglas que ha configurado. Haga clic en Reglas de ejecutables o Reglas de instalador de Windows para filtrar la lista de reglas a un tipo de regla específico. Puede usar Buscar para filtrar la lista. La columna Asignado muestra un icono de marca de verificación para los usuarios o grupos de usuarios asignados.

Reglas admitidas

Puede aplicar la elevación de privilegios mediante dos tipos de reglas: reglas de ejecutables y reglas de instalador de Windows.
  • Reglas de ejecutables. Reglas que incluyen archivos con extensiones .exe y .com asociados a una aplicación.
  • Reglas de instalador de Windows. Reglas que incluyen archivos de instalador con extensiones .msi y .msp asociados a una aplicación. Cuando agregue reglas de instalador de Windows, tenga en cuenta el siguiente escenario:
    • La elevación de privilegios se aplica solo a msiexec.exe de Microsoft. Asegúrese de que la herramienta que utiliza para implementar archivos de instalador de Windows .msi y .msp sea msiexec.exe.
    • Suponga que un proceso coincide con una regla de instalador de Windows especificada y su proceso principal coincide con una regla de ejecutable especificada. El proceso no puede obtener privilegios elevados a menos que la configuración Aplicar a procesos secundarios esté habilitada en la regla de ejecutable especificada.
Después de hacer clic en la pestaña Reglas de ejecutables o Reglas de instalador de Windows, la sección Acciones muestra las siguientes acciones disponibles:
  • Editar. Le permite editar una regla de ejecutable existente.
  • Eliminar. Le permite eliminar una regla de ejecutable existente.
  • Agregar regla. Le permite agregar una regla de ejecutable.

Para añadir una regla

  1. Vaya a Reglas de ejecutables o Reglas de instalador de Windows y haga clic en Añadir regla. Aparecerá la ventana Añadir regla.
  2. En la sección Visualización, escriba lo siguiente:
    • Nombre. Escriba el nombre para mostrar de la regla. El nombre aparece en la lista de reglas.
    • Descripción. Escriba información adicional sobre la regla.
  3. En la sección Tipo, seleccione una opción.
    • Ruta. La regla coincide con una ruta de archivo.
    • Editor. La regla coincide con un editor seleccionado.
    • Hash. La regla coincide con un código hash específico.
  4. En la sección Configuración, configure lo siguiente si es necesario:
    • Aplicar a procesos secundarios. Si se selecciona, aplica la regla a todos los procesos secundarios que inicia el ejecutable. Para administrar la elevación de privilegios a un nivel más granular, utilice las siguientes opciones:
      • Aplicar solo a ejecutables en la misma carpeta. Si se selecciona, aplica la regla solo a los ejecutables que comparten la misma carpeta.
      • Aplicar solo a ejecutables firmados. Si se selecciona, aplica la regla solo a los ejecutables que están firmados.
      • Aplicar solo a ejecutables del mismo editor. Si se selecciona, aplica la regla solo a los ejecutables que comparten la misma información de editor. Esta configuración no funciona con las aplicaciones de la Plataforma universal de Windows (UWP).
      Nota:
      Cuando añade reglas de instalación de Windows, la configuración Aplicar a procesos secundarios está habilitada de forma predeterminada y no puede editarla.
    • Hora de inicio. Permite especificar una hora para que los agentes comiencen a aplicar la regla. El formato de hora es HH:MM. La hora se basa en la zona horaria del agente.
    • Hora de finalización. Permite especificar una hora para que los agentes dejen de aplicar la regla. El formato de hora es HH:MM. A partir de la hora especificada, los agentes ya no aplican la regla. La hora se basa en la zona horaria del agente.
    • Agregar parámetro. Permite restringir la elevación de privilegios a los ejecutables que coincidan con el parámetro especificado. El parámetro funciona como un criterio de coincidencia. Asegúrese de que el parámetro que especifique sea correcto. Para ver un ejemplo de cómo utilizar esta función, consulte Ejecutables que se ejecutan con parámetros. Si este campo está vacío o contiene solo espacios en blanco, el agente aplica la elevación de privilegios a los ejecutables relevantes, se ejecuten o no con parámetros.
    • Habilitar expresiones regulares. Permite controlar si se utilizan expresiones regulares para ampliar aún más el criterio.
  5. En la sección Asignaciones, seleccione los usuarios o grupos de usuarios a los que desea asignar la regla. Si desea asignar la regla a todos los usuarios y grupos de usuarios, seleccione Seleccionar todo.
    Sugerencia:
    • Puede utilizar las teclas modificadoras de selección habituales de Windows para realizar varias selecciones.
    • Los usuarios o grupos de usuarios ya deben estar en la lista que se muestra en la ficha Administración > Usuarios.
    • Puede optar por asignar la regla más tarde (después de crear la regla).
  6. Haga clic en Siguiente.
  7. Realice una de las siguientes acciones. Se necesitan diferentes acciones según el tipo de regla que haya seleccionado en la página anterior.
    Importante:
    WEM le proporciona una herramienta llamada AppInfoViewer para obtener la siguiente información y más de los archivos ejecutables: editor, ruta y hash. La herramienta puede ser útil si desea proporcionar información relevante para las aplicaciones que se configurarán en la consola de administración. Por ejemplo, puede utilizar la herramienta para extraer información relevante de las aplicaciones al utilizar la función de seguridad de aplicaciones. La herramienta se encuentra en la carpeta de instalación del agente.
    • Ruta. Escriba la ruta del archivo o carpeta a la que desea aplicar la regla. El agente de WEM aplica la regla a un ejecutable según la ruta del archivo ejecutable.
    • Editor. Rellene los siguientes campos: Editor, Nombre del producto, Nombre del archivo y Versión del archivo. No puede dejar ningún campo vacío, pero puede escribir un asterisco (*) en su lugar. El agente de WEM aplica la regla según la información del editor. Si se aplica, los usuarios pueden ejecutar archivos ejecutables que comparten la misma información del editor.
    • Hash. Haga clic en Agregar para añadir un hash. En la ventana Agregar hash, escriba el nombre del archivo y el valor hash. Puede usar la herramienta AppInfoViewer para crear un hash a partir de un archivo o carpeta seleccionados. El agente de WEM aplica la regla a los ejecutables idénticos según lo especificado. Como resultado, los usuarios pueden ejecutar archivos ejecutables que son idénticos al especificado.
  8. Haga clic en Crear para guardar la regla y salir de la ventana.

Ejecutables que se ejecutan con parámetros

Puede restringir la elevación de privilegios a los ejecutables que coincidan con el parámetro especificado. El parámetro funciona como un criterio de coincidencia. Para ver los parámetros disponibles para un ejecutable, utilice herramientas como Process Explorer o Process Monitor. Aplique los parámetros que aparecen en esas herramientas.
Supongamos que desea aplicar la regla a un ejecutable (por ejemplo, cmd.exe) según la ruta del archivo ejecutable. Desea aplicar la elevación de privilegios solo a test.bat. Puede usar Process Explorer para obtener los parámetros.
CMD ejecutándose con parámetros
En el campo Agregar parámetro, puede escribir lo siguiente:
  • /c ""C:\test.bat""
A continuación, escriba lo siguiente en el campo Ruta:
  • C:\Windows\System32\cmd.exe
En este caso, eleva el privilegio de los usuarios especificados a nivel de administrador solo para test.bat.

Para asignar reglas a los usuarios

Seleccione una o varias reglas de la lista y, a continuación, haga clic en Editar en la sección Acciones. En la ventana Editar regla, seleccione los usuarios o grupos de usuarios a los que desea asignar la regla y, a continuación, haga clic en Aceptar.

Para eliminar reglas

Seleccione una o varias reglas de la lista y, a continuación, haga clic en Eliminar en la sección Acciones.

Para hacer una copia de seguridad de las reglas de elevación de privilegios

Puede hacer una copia de seguridad de todas las reglas de elevación de privilegios en su conjunto de configuración actual. Todas las reglas se exportan como un único archivo XML. Puede usar Restaurar para restaurar las reglas en cualquier conjunto de configuración.
Para completar la copia de seguridad, utilice el asistente de Copia de seguridad, disponible en la cinta. Para obtener más información sobre cómo usar el asistente de Copia de seguridad, consulte Cinta.

Para restaurar las reglas de elevación de privilegios

Puede restaurar las reglas de elevación de privilegios a partir de archivos XML exportados a través del asistente de copia de seguridad de Workspace Environment Management. El proceso de restauración reemplaza las reglas del conjunto de configuración actual por las reglas de la copia de seguridad. Al cambiar o actualizar el panel Seguridad > Elevación de privilegios, se detectan las reglas de elevación de privilegios no válidas. Las reglas no válidas se eliminan automáticamente y se enumeran en un informe que puede exportar. Para obtener más información sobre cómo usar el asistente de Restaurar, consulte Cinta.

Auto-elevación

Con la auto-elevación, puede automatizar la elevación de privilegios para determinados usuarios sin necesidad de proporcionar los ejecutables exactos de antemano. Esos usuarios pueden solicitar la auto-elevación para cualquier archivo aplicable simplemente haciendo clic con el botón derecho en el archivo y seleccionando Ejecutar como administrador en el menú contextual. Después de eso, aparece un mensaje que les pide que proporcionen un motivo para la elevación. El agente de WEM no valida el motivo. El motivo de la elevación se guarda en la base de datos con fines de auditoría. Si se cumplen los criterios, se aplica la elevación y los archivos se ejecutan correctamente con privilegios de administrador.
La función también le ofrece flexibilidad para elegir la mejor solución para sus necesidades. Puede crear listas de permitidos para los archivos que permite a los usuarios auto-elevar o listas de bloqueados para los archivos que desea evitar que los usuarios auto-eleven.
La auto-elevación se aplica a archivos de los siguientes formatos: .exe, .msi, .bat, .cmd, .ps1 y .vbs.
Nota:
De forma predeterminada, ciertas aplicaciones se utilizan para ejecutar algunos archivos. Por ejemplo, cmd.exe se utiliza para ejecutar archivos .cmd y powershell.exe se utiliza para ejecutar archivos .ps1. En esos escenarios, no puede cambiar el comportamiento predeterminado.
Al seleccionar Seguridad > Auto-elevación, aparecen las siguientes opciones:
  • Habilitar auto-elevación. Controla si se habilita la función de auto-elevación. Seleccione la opción para:
    • Permitir que los agentes procesen la configuración de auto-elevación.
    • Hacer que otras opciones de la ficha Auto-elevación estén disponibles.
    • Hacer que la opción Ejecutar como administrador esté disponible en el menú contextual cuando los usuarios hagan clic con el botón derecho en un archivo. Como resultado, los usuarios pueden solicitar la auto-elevación para los archivos que coincidan con las condiciones que especifique en la ficha Auto-elevación.
  • Permisos. Le permite crear listas de permitidos para los archivos que permite a los usuarios auto-elevar o listas de bloqueados para los archivos que desea evitar que los usuarios auto-eleven.
    • Permitir. Crea listas de permitidos para los archivos que permite a los usuarios elevarse automáticamente.
    • Denegar. Crea listas de bloqueados para los archivos que desea evitar que los usuarios eleven automáticamente.
  • Puede realizar las siguientes operaciones:
    • Editar. Permite editar una condición existente.
    • Eliminar. Permite eliminar una condición existente.
    • Agregar. Permite agregar una condición. Puede crear una condición basada en una ruta, un editor seleccionado o un código hash específico.
  • Configuración. Permite configurar ajustes adicionales que controlan cómo los agentes aplican la elevación automática.
    • Aplicar a procesos secundarios. Si se selecciona, aplica las condiciones de elevación automática a todos los procesos secundarios que inicia el archivo.
    • Hora de inicio. Permite especificar una hora para que los agentes comiencen a aplicar las condiciones de elevación automática. El formato de hora es HH:MM. La hora se basa en la zona horaria del agente.
    • Hora de finalización. Permite especificar una hora para que los agentes dejen de aplicar las condiciones de elevación automática. El formato de hora es HH:MM. A partir de la hora especificada, los agentes ya no aplican las condiciones. La hora se basa en la zona horaria del agente.
  • Asignaciones. Permite asignar la condición de elevación automática a los usuarios o grupos de usuarios aplicables. Para asignar la condición a todos los usuarios y grupos de usuarios, haga clic en Seleccionar todo o seleccione Todos. La casilla de verificación Seleccionar todo es útil en escenarios en los que desea borrar su selección y volver a seleccionar usuarios y grupos de usuarios.

Control de jerarquía de procesos

La función de control de jerarquía de procesos controla si ciertos procesos secundarios pueden iniciarse desde sus procesos primarios en escenarios de padre-hijo. Se crea una regla definiendo los procesos primarios y luego designando una lista de permitidos o una lista de bloqueados para sus procesos secundarios. Revise toda esta sección antes de usar la función.
Nota:
  • Esta función se aplica solo a las aplicaciones virtuales de Citrix.
Para comprender cómo funciona la regla, tenga en cuenta lo siguiente:
  • Un proceso está sujeto a una sola regla. Si define varias reglas para el mismo proceso, solo se aplica la regla con la prioridad más alta.
  • La regla que definió no se restringe solo a la jerarquía original de padre-hijo, sino que también se aplica a cada nivel de esa jerarquía. Las reglas aplicables a un proceso principal prevalecen sobre las reglas aplicables a sus procesos secundarios, independientemente de la prioridad de las reglas. Por ejemplo, defina las dos reglas siguientes:
    • Regla 1: Word no puede abrir CMD.
    • Regla 2: El Bloc de notas puede abrir CMD.
    Con las dos reglas, no puede abrir CMD desde el Bloc de notas abriendo primero Word y luego abriendo el Bloc de notas desde Word, independientemente de la prioridad de las reglas.
Esta función se basa en ciertas relaciones de padre-hijo basadas en procesos para funcionar. Para visualizar las relaciones de padre-hijo en un escenario, utilice la función de árbol de procesos de la herramienta Process Explorer. Para obtener más información sobre Process Explorer, consulte <https://docs.microsoft.com/es-es/sysinternals/downloads/procmon>.
Para evitar posibles problemas, le recomendamos que agregue una ruta de archivo ejecutable que apunte a VUEMAppCmd.exe en Citrix Studio. VUEMAppCmd.exe garantiza que el agente de WEM termine de procesar la configuración antes de que se inicien las aplicaciones publicadas. En Citrix Studio, complete los siguientes pasos:
  1. En Aplicación, seleccione la aplicación, haga clic en Propiedades en el panel de acciones y, a continuación, vaya a la página Ubicación.
  2. Escriba la ruta de la aplicación local en el sistema operativo del usuario final.
    • En el campo Ruta al archivo ejecutable, escriba lo siguiente: <%ProgramFiles%>\Citrix\Workspace Environment Management Agent\VUEMAppCmd.exe.
  3. Escriba el argumento de línea de comandos para especificar una aplicación que se va a abrir.
    • En el campo Argumento de línea de comandos, escriba la ruta completa a la aplicación que desea iniciar a través de VUEMAppCmd.exe. Asegúrese de incluir la línea de comandos de la aplicación entre comillas dobles si la ruta contiene espacios en blanco.
    • Por ejemplo, supongamos que desea iniciar iexplore.exe a través de VUEMAppCmd.exe. Puede hacerlo escribiendo lo siguiente: %ProgramFiles(x86)%\"Internet Explorer"\iexplore.exe.

Consideraciones

Para que la función funcione, debe usar la herramienta AppInfoViewer en cada máquina agente para habilitar la función. (La herramienta se encuentra en la carpeta de instalación del agente). Cada vez que utilice la herramienta para habilitar o deshabilitar la función, se requiere un reinicio de la máquina. Con la función habilitada, debe reiniciar la máquina agente después de actualizar o desinstalar el agente.
Para verificar que la función de control de jerarquía de procesos esté habilitada, abra el Editor del Registro en la máquina agente. La función está habilitada si existe la siguiente entrada del Registro:
  • SO de 32 bits
    • HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CtxHook\AppInit_Dlls\WEM Hook
  • SO de 64 bits
    • HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CtxHook\AppInit_Dlls\WEM Hook
    • HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Citrix\CtxHook\AppInit_Dlls\WEM Hook

Requisitos previos

Para usar la función, asegúrese de que se cumplan los siguientes requisitos previos:
  • Una implementación de aplicaciones virtuales de Citrix.
  • El agente se ejecuta en Windows 10 o Windows Server.
  • El host del agente se ha reiniciado después de una actualización in situ o una instalación nueva.

Control de jerarquía de procesos

Al seleccionar Control de jerarquía de procesos en Seguridad, aparecen las siguientes opciones:
  • Habilitar control de jerarquía de procesos. Controla si se habilita la función de control de jerarquía de procesos. Cuando se selecciona, otras opciones de la ficha Control de jerarquía de procesos están disponibles y la configuración establecida puede surtir efecto. Puede usar esta función solo en una implementación de aplicaciones virtuales de Citrix.
  • Ocultar Abrir con del menú contextual. Controla si se muestra u oculta la opción Abrir con del menú contextual del botón derecho de Windows. Cuando está habilitada, la opción de menú se oculta de la interfaz. Cuando está deshabilitada, la opción es visible y los usuarios pueden usarla para iniciar un proceso. La función de control de jerarquía de procesos no se aplica a los procesos iniciados a través de la opción Abrir con. Recomendamos habilitar esta configuración para evitar que las aplicaciones inicien procesos a través de servicios del sistema que no estén relacionados con la jerarquía de aplicaciones actual.
La ficha Control de jerarquía de procesos también muestra la lista completa de reglas que ha configurado. Puede usar Buscar para filtrar la lista. La columna Asignado muestra un icono de marca de verificación para los usuarios o grupos de usuarios asignados.
La sección Acciones muestra las siguientes acciones:
  • Editar. Permite editar una regla.
  • Eliminar. Permite eliminar una regla.
  • Agregar regla. Permite agregar una regla.

Para añadir una regla

  1. Vaya a Control de jerarquía de procesos y haga clic en Agregar regla. Aparecerá la ventana Agregar regla.
  2. En la sección Mostrar, escriba lo siguiente:
    • Nombre. Escriba el nombre para mostrar de la regla. El nombre aparece en la lista de reglas.
    • Descripción. Escriba información adicional sobre la regla.
  3. En la sección Tipo, seleccione una opción.
    • Ruta. La regla coincide con una ruta de archivo.
    • Editor. La regla coincide con un editor seleccionado.
    • Hash. La regla coincide con un código hash específico.
  4. En la sección Modo, seleccione una de las siguientes opciones:
    • Agregar procesos secundarios a la lista de bloqueo. Si se selecciona, le permite definir una lista de bloqueo para los procesos secundarios aplicables después de configurar una regla para sus procesos principales. Una lista de bloqueo prohíbe que se ejecuten solo los procesos que especificó y permite que se ejecuten otros procesos.
    • Agregar procesos secundarios a la lista de permitidos. Si se selecciona, le permite definir una lista de permitidos para los procesos secundarios aplicables después de configurar una regla para sus procesos principales. Una lista de permitidos solo permite que se ejecuten los procesos que especificó y prohíbe que se ejecuten otros procesos.
    Nota:
    Un proceso está sujeto a una sola regla. Si define varias reglas para el mismo proceso, las reglas se aplican en orden de prioridad.
  5. En la sección Prioridad, establezca la prioridad de la regla. Al configurar la prioridad, tenga en cuenta lo siguiente: La prioridad determina el orden en que se procesan las reglas que configuró. Cuanto mayor sea el valor, mayor será la prioridad. Escriba un número entero. Si hay un conflicto, prevalece la regla con mayor prioridad.
  6. En la sección Asignaciones, seleccione los usuarios o grupos de usuarios a los que desea asignar la regla. Si desea asignar la regla a todos los usuarios y grupos de usuarios, seleccione Seleccionar todo.
    Nota:
    • Puede usar las teclas de selección habituales de Windows para realizar varias selecciones.
    • Los usuarios o grupos de usuarios ya deben estar en la lista que se muestra en la ficha Administración > Usuarios.
    • Puede optar por asignar la regla más tarde (después de crearla).
  7. Haga clic en Siguiente.
  8. Realice una de las siguientes acciones para configurar la regla para los procesos principales. Se necesitan diferentes acciones según el tipo de regla que haya seleccionado en la página anterior.
    • Ruta. Especifique una ruta de archivo o una ruta de carpeta que desee que coincida con la regla. Si especifica una ruta de carpeta, la regla se aplica a todos los archivos y subcarpetas de esa carpeta. El agente de WEM aplica la regla a un ejecutable según la ruta del archivo ejecutable. No se recomienda escribir solo un asterisco (*) para indicar una coincidencia de ruta. Hacerlo podría causar problemas de rendimiento no deseados.
    • Editor. Especifique un archivo de referencia firmado que desee utilizar como referencia para la regla. Utilice el control deslizante Información del editor para ajustar el nivel de coincidencia de propiedades. Mueva el control deslizante hacia arriba o hacia abajo para que la regla sea menos o más específica. Si mueve el control deslizante a la posición Cualquier editor, la regla se aplica a todos los archivos firmados. El agente de WEM aplica la regla a los procesos principales según la información del editor. Si se aplica, los usuarios pueden ejecutar archivos ejecutables que comparten la misma información del editor. Si es necesario, puede seleccionar Usar valores personalizados para personalizar la información.
    • Hash. Especifique un archivo o carpeta desde el que desea crear un hash. La regla coincide con el código hash del archivo. El agente de WEM aplica la regla a los ejecutables idénticos según lo especificado. Como resultado, los usuarios pueden ejecutar archivos ejecutables que son idénticos al especificado.
  9. Haga clic en Siguiente para configurar los ajustes del proceso secundario.
  10. Realice una de las siguientes acciones para definir una lista de permitidos o una lista de bloqueados para los procesos secundarios aplicables.
    1. Seleccione un tipo de regla en el menú y, a continuación, haga clic en Agregar. Aparece la ventana Proceso secundario.
    2. En la ventana Proceso secundario, configure los ajustes según sea necesario. La interfaz de usuario de la ventana Proceso secundario es diferente según el tipo de regla que haya seleccionado. Para un proceso secundario, los siguientes tipos de regla están disponibles: Ruta, Editor y Hash.
    3. Haga clic en Aceptar para volver a la ventana Agregar regla. Puede agregar más procesos secundarios o hacer clic en Crear para guardar la regla y salir de la ventana.

Para asignar reglas a los usuarios

Seleccione una regla de la lista y, a continuación, haga clic en Editar en la sección Acciones. En la ventana Editar regla, seleccione los usuarios o grupos de usuarios a los que desea asignar la regla y, a continuación, haga clic en Aceptar.

Para eliminar reglas

Seleccione una o varias reglas de la lista y, a continuación, haga clic en Eliminar en la sección Acciones.

Para respaldar reglas

Puede hacer una copia de seguridad de todas las reglas de control de jerarquía de procesos en su conjunto de configuración actual. Todas las reglas se exportan como un único archivo XML. Puede usar Restaurar para restaurar las reglas en cualquier conjunto de configuración.
Para completar la copia de seguridad, utilice el asistente de Copia de seguridad, disponible en la cinta. Para obtener más información sobre el uso del asistente de Copia de seguridad, consulte Cinta.

Para restaurar reglas

Puede restaurar las reglas de control de jerarquía de procesos a partir de archivos XML exportados a través del asistente de copia de seguridad de Workspace Environment Management. El proceso de restauración reemplaza las reglas del conjunto de configuración actual por las reglas de la copia de seguridad. Al cambiar o actualizar el panel Seguridad > Control de jerarquía de procesos, las reglas no válidas se eliminan y se enumeran en un informe que puede exportar. Para obtener más información sobre el uso del asistente de Restaurar, consulte Cinta.