Paramètres de résilience de session
Le maintien de l’activité de session est essentiel pour offrir la meilleure expérience utilisateur. La perte de connectivité due à des réseaux peu fiables, à une latence réseau très variable et aux limitations de portée des appareils sans fil peut entraîner la frustration des utilisateurs. La possibilité de se déplacer rapidement entre les postes de travail et d’accéder au même ensemble d’applications à chaque connexion est une priorité pour de nombreux travailleurs mobiles, tels que les professionnels de la santé dans un hôpital.
Les fonctionnalités décrites dans cet article optimisent la fiabilité des sessions, réduisent les désagréments, les temps d’arrêt et les pertes de productivité ; grâce à ces fonctionnalités, les utilisateurs mobiles peuvent se déplacer rapidement et facilement entre les appareils.
Fiabilité de session
-
La fiabilité de session maintient les sessions actives et affichées sur l’écran de l’utilisateur lorsque la connectivité réseau est interrompue. Les utilisateurs continuent de voir l’application qu’ils utilisent jusqu’à ce que la connectivité réseau reprenne.
-
Cette fonctionnalité est particulièrement utile pour les utilisateurs mobiles disposant de connexions sans fil. Par exemple, un utilisateur avec une connexion sans fil entre dans un tunnel ferroviaire et perd momentanément la connectivité. Normalement, la session est déconnectée et disparaît de l’écran de l’utilisateur, et l’utilisateur doit se reconnecter à la session déconnectée. Avec la fiabilité de session, la session reste active sur la machine. Pour indiquer que la connectivité est perdue, l’affichage de l’utilisateur se fige et le curseur se transforme en sablier tournant jusqu’à ce que la connectivité reprenne de l’autre côté du tunnel. L’utilisateur continue d’accéder à l’affichage pendant l’interruption et peut reprendre l’interaction avec l’application lorsque la connexion réseau est rétablie. La fiabilité de session reconnecte les utilisateurs sans invites de réauthentification.
Les utilisateurs de l’application Citrix Workspace™ ne peuvent pas outrepasser le paramètre du contrôleur.
Vous pouvez utiliser la fiabilité de session avec Transport Layer Security (TLS). TLS chiffre uniquement les données envoyées entre l’appareil utilisateur et Citrix Gateway.
Activez et configurez la fiabilité de session avec les paramètres de stratégie suivants :
- Le paramètre de stratégie Connexions de fiabilité de session autorise ou empêche la fiabilité de session.
- Le paramètre de stratégie Délai d’expiration de la fiabilité de session a une valeur par défaut de 180 secondes, soit trois minutes. Bien que vous puissiez prolonger la durée pendant laquelle la fiabilité de session maintient une session ouverte, cette fonctionnalité est conçue pour la commodité de l’utilisateur et ne lui demande donc pas de se réauthentifier. À mesure que vous prolongez la durée pendant laquelle une session est maintenue ouverte, les chances augmentent qu’un utilisateur puisse être distrait et s’éloigner de l’appareil utilisateur, laissant potentiellement la session accessible à des utilisateurs non autorisés.
- Les connexions entrantes de fiabilité de session utilisent le port 2598, sauf si vous modifiez le numéro de port dans le paramètre de stratégie Numéro de port de fiabilité de session.
- Si vous ne souhaitez pas que les utilisateurs puissent se reconnecter à des sessions interrompues sans avoir à se réauthentifier, utilisez la fonctionnalité de reconnexion automatique du client. Vous pouvez configurer le paramètre de stratégie Authentification de reconnexion automatique du client pour inviter les utilisateurs à se réauthentifier lors de la reconnexion à des sessions interrompues.
Si vous utilisez à la fois la fiabilité de session et la reconnexion automatique du client, les deux fonctionnalités fonctionnent en séquence. La fiabilité de session ferme ou déconnecte la session utilisateur après la durée que vous spécifiez dans le paramètre de stratégie Délai d’expiration de la fiabilité de session. Après cela, les paramètres de stratégie de reconnexion automatique du client prennent effet, tentant de reconnecter l’utilisateur à la session déconnectée.
Reconnexion automatique du client
Avec la fonctionnalité de reconnexion automatique du client, l’application Citrix Workspace peut détecter les déconnexions involontaires des sessions ICA® et reconnecter automatiquement les utilisateurs aux sessions affectées. Lorsque cette fonctionnalité est activée sur le serveur, les utilisateurs n’ont pas besoin de se reconnecter manuellement pour continuer à travailler.
-
Pour les sessions d’application, l’application Citrix Workspace tente de se reconnecter à la session jusqu’à ce qu’une reconnexion réussisse ou que l’utilisateur annule les tentatives de reconnexion.
-
Pour les sessions de bureau, l’application Citrix Workspace tente de se reconnecter à la session pendant une durée spécifiée, à moins qu’une reconnexion réussisse ou que l’utilisateur annule les tentatives de reconnexion. Par défaut, cette durée est de cinq minutes. Pour modifier cette période, modifiez ce registre sur l’appareil utilisateur :
HKLM\Software\Citrix\ICA Client\TransportReconnectRetryMaxTimeSeconds; DWORD;<seconds>
Où seconds est le nombre de secondes après lequel aucune autre tentative de reconnexion de la session n’est effectuée.
Activez et configurez la reconnexion automatique du client avec les paramètres de stratégie suivants :
- Reconnexion automatique du client : Active ou désactive la reconnexion automatique par l’application Citrix Workspace après l’interruption d’une connexion.
- Authentification de reconnexion automatique du client : Active ou désactive l’exigence d’authentification de l’utilisateur après une reconnexion automatique.
- Journalisation de la reconnexion automatique du client : Active ou désactive la journalisation des événements de reconnexion dans le journal des événements. La journalisation est désactivée par défaut. Lorsqu’elle est activée, le journal système du serveur capture les informations sur les événements de reconnexion automatique réussis et échoués. Chaque serveur stocke les informations sur les événements de reconnexion dans son propre journal système. Le site ne fournit pas de journal combiné des événements de reconnexion pour tous les serveurs.
La reconnexion automatique du client intègre un mécanisme d’authentification basé sur des informations d’identification utilisateur chiffrées. Lorsqu’un utilisateur se connecte initialement, le serveur chiffre et stocke les informations d’identification de l’utilisateur en mémoire, puis crée et envoie un cookie contenant la clé de chiffrement à l’application Citrix Workspace. L’application Citrix Workspace soumet la clé au serveur pour la reconnexion. Le serveur déchiffre les informations d’identification et les soumet à Windows Logon pour authentification. Lorsque les cookies expirent, les utilisateurs doivent se réauthentifier pour se reconnecter aux sessions.
Les cookies ne sont pas utilisés si vous activez le paramètre d’authentification de reconnexion automatique du client. Au lieu de cela, une boîte de dialogue demandant les informations d’identification est présentée aux utilisateurs lorsque l’application Citrix Workspace tente de se reconnecter automatiquement.
-
Pour une protection maximale des informations d’identification et des sessions utilisateur, utilisez le chiffrement pour toutes les communications entre les clients et le site.
-
Désactivez la reconnexion automatique du client sur l’application Citrix Workspace pour Windows à l’aide du fichier icaclient.adm. Pour plus d’informations, consultez la documentation de votre version de l’application Citrix Workspace pour Windows.
Les paramètres des connexions affectent également la reconnexion automatique du client :
- Par défaut, la reconnexion automatique du client est activée via les paramètres de stratégie au niveau du site, comme décrit ci-dessus. La réauthentification de l’utilisateur n’est pas requise. Toutefois, si la connexion ICA TCP d’un serveur est configurée pour réinitialiser les sessions en cas de lien de communication rompu, la reconnexion automatique ne se produit pas. La reconnexion automatique du client ne fonctionne que si le serveur déconnecte les sessions en cas de connexion interrompue ou expirée. Dans ce contexte, la connexion ICA TCP fait référence à un port virtuel de serveur (plutôt qu’à une connexion réseau réelle) utilisé pour les sessions sur les réseaux TCP/IP.
- Par défaut, la connexion ICA TCP sur un serveur est configurée pour déconnecter les sessions dont les connexions sont interrompues ou expirées. Les sessions déconnectées restent intactes dans la mémoire système et sont disponibles pour la reconnexion via l’application Citrix Workspace.
- La connexion peut être configurée pour réinitialiser ou fermer les sessions dont les connexions sont interrompues ou expirées. Lorsqu’une session est réinitialisée, toute tentative de reconnexion lance une nouvelle session. Plutôt que de restaurer l’utilisateur au même endroit dans l’application en cours d’utilisation, l’application est redémarrée.
- Si le serveur est configuré pour réinitialiser les sessions, la reconnexion automatique du client crée une session. Ce processus exige que les utilisateurs saisissent leurs informations d’identification pour se connecter au serveur.
- La reconnexion automatique peut échouer si l’application Citrix Workspace ou le plug-in soumet des informations d’authentification incorrectes, ce qui peut se produire lors d’une attaque ou si le serveur détermine qu’un délai trop long s’est écoulé depuis la détection de la connexion interrompue.
Keep-Alive ICA
- L’activation de la fonctionnalité Keep-Alive ICA empêche la déconnexion des connexions interrompues. Lorsqu’elle est activée, si le serveur ne détecte aucune activité (par exemple, aucun changement d’horloge, aucun mouvement de souris, aucune mise à jour d’écran), cette fonctionnalité empêche les services Bureau à distance de déconnecter cette session. Le serveur envoie des paquets keep-alive toutes les quelques secondes pour détecter si la session est active. Si la session n’est plus active, le serveur la marque comme déconnectée.
Important :
Le Keep-Alive ICA ne fonctionne que si vous n’utilisez pas la fiabilité de session. La fiabilité de session dispose de ses propres mécanismes pour empêcher la déconnexion des connexions interrompues. Configurez le Keep-Alive ICA uniquement pour les connexions qui n’utilisent pas la fiabilité de session.
Les paramètres Keep-Alive ICA remplacent les paramètres keep-alive configurés dans la stratégie de groupe Microsoft Windows.
Activez et configurez le Keep-Alive ICA avec les paramètres de stratégie suivants :
-
Délai d’expiration Keep-Alive ICA : Spécifie l’intervalle (1 à 3 600 secondes) utilisé pour envoyer des messages Keep-Alive ICA. Ne configurez pas cette option si vous souhaitez que votre logiciel de surveillance réseau ferme les connexions inactives dans des environnements où les connexions interrompues sont si rares que permettre aux utilisateurs de se reconnecter aux sessions n’est pas une préoccupation.
-
L’intervalle par défaut est de 60 secondes : les paquets Keep-Alive ICA sont envoyés aux appareils utilisateur toutes les 60 secondes. Si un appareil utilisateur ne répond pas dans les 60 secondes, l’état des sessions ICA passe à déconnecté.
-
Keep-Alive ICA : Envoie ou empêche l’envoi de messages Keep-Alive ICA.
Contrôle d’espace de travail
- Le contrôle d’espace de travail permet aux bureaux et aux applications de suivre un utilisateur d’un appareil à un autre. Cette capacité d’itinérance permet à un utilisateur d’accéder à tous les bureaux ou applications ouverts depuis n’importe où simplement en se connectant, sans avoir à redémarrer les bureaux ou les applications sur chaque appareil. Par exemple, le contrôle d’espace de travail peut aider les professionnels de la santé dans un hôpital qui doivent se déplacer rapidement entre différentes stations de travail et accéder au même ensemble d’applications chaque fois qu’ils se connectent. Si vous configurez les options de contrôle d’espace de travail pour le permettre, ces travailleurs peuvent se déconnecter de plusieurs applications sur un appareil client, puis se reconnecter pour ouvrir les mêmes applications sur un autre appareil client.
Le contrôle d’espace de travail affecte les activités suivantes :
- Connexion : Par défaut, le contrôle d’espace de travail permet aux utilisateurs de se reconnecter automatiquement à tous les bureaux et applications en cours d’exécution lors de la connexion, évitant ainsi d’avoir à les rouvrir manuellement. Grâce au contrôle d’espace de travail, les utilisateurs peuvent ouvrir des bureaux ou des applications déconnectés, ainsi que ceux qui sont actifs sur un autre appareil client. La déconnexion d’un bureau ou d’une application le laisse en cours d’exécution sur le serveur. Si vous avez des utilisateurs itinérants qui doivent maintenir certains bureaux ou applications en cours d’exécution sur un appareil client pendant qu’ils se reconnectent à un sous-ensemble de leurs bureaux ou applications sur un autre appareil client, vous pouvez configurer le comportement de reconnexion à la connexion pour ouvrir uniquement les bureaux ou applications dont l’utilisateur s’est déconnecté précédemment.
- Reconnexion : Après s’être connectés au serveur, les utilisateurs peuvent se reconnecter à tous leurs bureaux ou applications à tout moment en cliquant sur Reconnecter. Par défaut, Reconnecter ouvre les bureaux ou applications déconnectés, ainsi que ceux qui sont actuellement en cours d’exécution sur un autre appareil client. Vous pouvez configurer Reconnecter pour ouvrir uniquement les bureaux ou applications dont l’utilisateur s’est déconnecté précédemment.
- Déconnexion : Pour les utilisateurs qui ouvrent des bureaux ou des applications via StoreFront™, vous pouvez configurer la commande Déconnexion pour déconnecter l’utilisateur de StoreFront et de toutes les sessions actives simultanément, ou uniquement de StoreFront.
- Déconnexion de toutes les sessions : Les utilisateurs peuvent se déconnecter de tous les bureaux et applications en cours d’exécution en une seule fois, sans avoir à se déconnecter de chacun individuellement.
Le contrôle d’espace de travail est disponible pour les utilisateurs qui accèdent aux bureaux et aux applications via une connexion Citrix StoreFront ou via l’application Citrix Workspace. Par défaut, le contrôle d’espace de travail est désactivé pour les sessions de bureau virtuel, mais il est activé pour les applications hébergées. Le partage de session ne se produit pas par défaut entre les bureaux publiés et les applications publiées exécutées au sein de ces bureaux.
Les stratégies utilisateur, les mappages de lecteurs clients et les configurations d’imprimantes changent de manière appropriée lorsqu’un utilisateur passe à un nouvel appareil client. Les stratégies et les mappages sont appliqués en fonction de l’appareil client sur lequel l’utilisateur est connecté à la session. Par exemple, si un professionnel de la santé se déconnecte d’un appareil client dans la salle d’urgence d’un hôpital, puis se connecte à une station de travail dans le laboratoire de radiologie de l’hôpital, les stratégies, les mappages d’imprimantes et les mappages de lecteurs clients appropriés pour la session dans le laboratoire de radiologie entrent en vigueur au démarrage de la session.
Vous pouvez personnaliser les imprimantes qui apparaissent aux utilisateurs lorsqu’ils changent d’emplacement. Vous pouvez également contrôler si les utilisateurs peuvent imprimer sur des imprimantes locales, la quantité de bande passante consommée lorsque les utilisateurs se connectent à distance et d’autres aspects de leurs expériences d’impression.
Pour plus d’informations sur l’activation et la configuration du contrôle d’espace de travail pour les utilisateurs, consultez la documentation StoreFront.
Itinérance de session
Remarque :
Les informations suivantes vous guident pour configurer l’itinérance de session à l’aide de PowerShell. Vous pouvez utiliser Studio à la place. Pour plus d’informations, consultez Gérer les groupes de mise à disposition.
Par défaut, les sessions se déplacent entre les appareils clients avec l’utilisateur. Lorsque l’utilisateur lance une session, puis passe à un autre appareil, la même session est utilisée et les applications sont simultanément disponibles sur les deux appareils. Vous pouvez afficher les applications sur plusieurs appareils. Les applications suivent, quel que soit l’appareil ou l’existence de sessions en cours. Souvent, les imprimantes et autres ressources attribuées à l’application suivent également.
Bien que ce comportement par défaut offre de nombreux avantages, il peut ne pas être idéal dans tous les cas. Vous pouvez empêcher l’itinérance de session à l’aide du SDK PowerShell.
Exemple 1 : Un professionnel de la santé utilise deux appareils, remplissant un formulaire d’assurance sur un PC de bureau et consultant les informations du patient sur une tablette.
- Si l’itinérance de session est activée, les deux applications apparaissent sur les deux appareils (une application lancée sur un appareil est visible sur tous les appareils en cours d’utilisation). Cela pourrait ne pas répondre aux exigences de sécurité.
- Si l’itinérance de session est désactivée, le dossier du patient n’apparaît pas sur le PC de bureau et le formulaire d’assurance n’apparaît pas sur la tablette.
Exemple 2 : Un responsable de production lance une application sur le PC de son bureau. Le nom de l’appareil et son emplacement déterminent les imprimantes et autres ressources disponibles pour cette session. Plus tard dans la journée, il se rend dans un bureau du bâtiment voisin pour une réunion qui l’obligera à utiliser une imprimante.
- Si l’itinérance de session est activée, le responsable de production ne pourrait probablement pas accéder aux imprimantes situées près de la salle de réunion, car les applications qu’il a lancées plus tôt dans son bureau ont entraîné l’affectation d’imprimantes et d’autres ressources à proximité de cet emplacement.
- Si l’itinérance de session est désactivée, lorsqu’il se connecte à une machine différente (en utilisant les mêmes informations d’identification), une nouvelle session est démarrée et les imprimantes et ressources à proximité sont disponibles.
Configurer l’itinérance de session
Pour configurer l’itinérance de session, utilisez les cmdlets de règle de stratégie d’autorisation suivantes avec la propriété « SessionReconnection ». Vous pouvez également spécifier la propriété « LeasingBehavior » en option.
Pour les sessions de bureau :
Set-BrokerEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed
Pour les sessions d’application :
Set-BrokerAppEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed
Où value peut être l’une des valeurs suivantes :
- Always (Toujours) : Les sessions sont toujours itinérantes, quel que soit l’appareil client et que la session soit connectée ou déconnectée. Il s’agit de la valeur par défaut.
- DisconnectedOnly (Déconnecté uniquement) : Se reconnecter uniquement aux sessions déjà déconnectées ; sinon, lancer une nouvelle session. (Les sessions peuvent être itinérantes entre les appareils clients en les déconnectant d’abord, ou en utilisant le contrôle de l’espace de travail pour les rendre explicitement itinérantes.) Une session active connectée depuis un autre appareil client n’est jamais utilisée. Au lieu de cela, une nouvelle session est lancée.
- SameEndpointOnly (Même point de terminaison uniquement) : Un utilisateur obtient une session unique pour chaque appareil client qu’il utilise. Cela désactive complètement l’itinérance. Les utilisateurs peuvent se reconnecter uniquement au même appareil qui a été précédemment utilisé dans la session.
La propriété « LeasingBehavior » est décrite ci-dessous.
Effets d’un autre paramètre :
La désactivation de l’itinérance de session est affectée par la limite d’application « Autoriser une seule instance de l’application par utilisateur » dans les propriétés de l’application du groupe de mise à disposition.
- Si vous désactivez l’itinérance de session, désactivez la limite d’application « Autoriser une seule instance… ».
- Si vous activez la limite d’application « Autoriser une seule instance… », ne configurez aucune des deux valeurs qui autorisent de nouvelles sessions sur de nouveaux appareils.
Intervalle de connexion
Si une machine virtuelle contenant un VDA de bureau se ferme avant la fin du processus de connexion, vous pouvez allouer plus de temps à ce processus. La valeur par défaut pour les versions 7.6 et ultérieures est de 180 secondes (la valeur par défaut pour les versions 7.0-7.5 est de 90 secondes).
Sur la machine (ou l’image principale utilisée dans un catalogue de machines), définissez la clé de registre suivante :
Clé : HKLM\SOFTWARE\Citrix\PortICA
- Valeur :
AutoLogonTimeout - Type :
DWORD - Spécifiez une durée décimale en secondes, comprise entre 0 et 3600.
Si vous modifiez l’image principale, déployez la nouvelle image dans le catalogue. Pour plus d’informations, consultez Modifier l’image principale.
Ce paramètre s’applique uniquement aux machines virtuelles dotées de VDA de bureau (station de travail) à session unique. Microsoft contrôle le délai d’expiration de la connexion sur les machines dotées de VDA de serveur multi-session.