Vue d’ensemble de la sécurité technique du Gestionnaire de session et des installations locales de XenApp et XenDesktop

Le Gestionnaire de session est un produit géré par Citrix Cloud. Lors de l’utilisation du service Gestionnaire de session pour pré-lancer des sessions vers un centre de données local, les contrôleurs DDC (Desktop Delivery Controller), les serveurs StoreFront, les VDA (Virtual Delivery Agent) et les passerelles Citrix Gateway utilisées pour l’accès à distance restent sous le contrôle du client. Le client est propriétaire de ces composants en matière de sécurité. Vous activez la nouvelle fonctionnalité à l’aide du paramètre TrustManagedAnonymousXMLServiceRequests. Le service XML ne doit accepter que les requêtes entrantes provenant de serveurs StoreFront approuvés lors de l’utilisation de ce paramètre.

Le service Gestionnaire de session utilise des connexions ICA externes à des VDA internes pour pré-lancer des sessions et collecte une quantité limitée de données à partir du DDC local via Citrix Cloud Connector pour activer la configuration et la surveillance de pré-lancement à partir du cloud. Le diagramme suivant illustre le service et ses limites de sécurité.

Considérations relatives au pré-lancement anonyme du service XML

Diagramme des composants du Gestionnaire de session

Dans le cadre de la configuration du service Gestionnaire de session, vous devez activer les indicateurs TrustRequestsSentTotheXMLServicePort et TrustManagedAnonymousXMLServiceRequests. L’indicateur TrustManagedAnonymousXMLServiceRequests permet au service XML d’accepter les requêtes de pré-lancement anonymes de StoreFront. Ces requêtes ne sont pas validées par le service XML ; il est donc important de se rappeler que vous autorisez les serveurs StoreFront approuvés à communiquer uniquement avec le service XML lorsque vous utilisez l’un de ces paramètres.

Pour isoler le service XML, il est possible de modifier le port du service XML. Suivez les instructions de l’article Comment modifier le port XML dans XenDesktop du Centre de connaissances Citrix pour modifier le port du service XML. Lorsque le service s’exécute sur son propre port, il est possible d’utiliser l’isolation réseau via des pare-feu ou d’autres technologies pour séparer le service XML du trafic utilisateur.

Sessions anonymes pré-lancées

Les métadonnées de suivi de session stockées dans la base de données du site désignent les sessions anonymes pré-lancées créées dans le Gestionnaire de session. Lorsqu’un utilisateur obtient un fichier ICA pour une session pré-lancée, la session est convertie en session anonyme standard et ne peut plus jamais être réutilisée ou connectée à nouveau. Les sessions anonymes standard non pré-lancées ne peuvent pas être connectées ou modifiées par le service Gestionnaire de session.

Flux de données

Citrix Cloud Connector télécharge périodiquement un ensemble limité de métadonnées qui est interrogé via l’API d’administration déléguée du Broker pour permettre la configuration et la surveillance de pré-lancement à partir du service Gestionnaire de session. Les données comprennent les noms de groupe de mise à disposition, les nombres de sessions, les noms d’applications et les nombres de VDA. Les données sont téléchargées sur un serveur HTTPS sur le port 443.

Le serveur StoreFront local est configuré dans une configuration d’accès externe standard pour canaliser tout le trafic ICA via Netscaler Gateway. Le service Gestionnaire de session effectue des appels à l’instance StoreFront locale via Netscaler Gateway pour énumérer et démarrer des applications anonymes. Le serveur Storefront local approuve le service Gestionnaire de session en utilisant un mécanisme de « certificate pinning » qui garantit que les requêtes sont valides uniquement pour un seul locataire et un seul magasin StoreFront. Lorsque vous configurez une instance StoreFront interne pour un accès externe, le fichier ICA obtenu à partir de l’instance StoreFront interne contient toutes les informations nécessaires pour effectuer la séquence de pré-lancement à partir du service Gestionnaire de session.

Isolation des données

Le service Gestionnaire de session est un service multi-locataire. Les métadonnées collectées à partir du Citrix Cloud Connector de chaque client sont stockées dans ce service. Les métadonnées collectées, ainsi que les informations de configuration, sont isolées entre les locataires. Un nombre limité d’administrateurs Citrix autorisés ont un accès interne aux métadonnées et aux informations de configuration collectées à des fins de maintenance ou de dépannage. Les requêtes externes pour les données client et les informations de configuration collectées nécessitent des informations d’identification uniques de l’administrateur CWC.

Exigences d’accès au réseau de Citrix Cloud Connector

Les composants Citrix Cloud Connector requièrent que le port 443 soit ouvert pour le trafic sortant vers Internet et peuvent être hébergés derrière un proxy HTTP. Le protocole de communication utilisé dans Citrix Cloud pour HTTPS est TLS 1.0, 1.1 ou 1.2. Au sein du réseau interne, le connecteur nécessite un niveau d’administration de support technique, en d’autres termes, un accès d’administration déléguée au Broker. Vous pouvez le configurer à l’aide des groupes de machines Active Directory et des paramètres d’administrateurs dans Citrix Studio.

Configuration d’accès requise pour Citrix Gateway

Le service Gestionnaire de session doit être capable de tunnéliser le trafic via Netscaler Gateway vers le serveur StoreFront interne. Vous accordez l’accès en configurant au moins un des composants Citrix Cloud Connector en tant que serveur STA pour la passerelle. Le service Gestionnaire de session obtient un ticket STA du serveur STA Citrix Cloud pour établir une connexion interne. Le ticket est ensuite utilisé par Netscaler Gateway via la connexion du Citrix Cloud Connector au même serveur STA cloud. Grâce à cette configuration, les services Citrix Cloud avec accès au serveur STA Citrix Cloud peuvent établir des connexions à vos ressources internes via Netscaler Gateway.

Informations complémentaires

Consultez les ressources suivantes pour de plus amples informations sur la sécurité :

Remarque :

Ce document vise à fournir au lecteur une introduction et un aperçu des fonctionnalités de sécurité de Citrix Cloud et à définir le partage des responsabilités entre Citrix et les clients en ce qui concerne la sécurisation du déploiement de Citrix Cloud. Il n’est pas conçu pour servir de manuel de configuration et d’administration de Citrix Cloud ou de l’un de ses composants ou services.