Paramètres de résilience de session

Le maintien de l’activité de session est essentiel pour offrir la meilleure expérience utilisateur. La perte de connectivité due à des réseaux peu fiables, à une latence réseau très variable et aux limitations de portée des appareils sans fil peut entraîner la frustration de l’utilisateur. Se déplacer rapidement entre les appareils et accéder aux mêmes applications à chaque connexion est une priorité pour de nombreux travailleurs mobiles, tels que les professionnels de la santé.

Les fonctionnalités décrites dans cet article optimisent la fiabilité des sessions, réduisent les désagréments, les temps d’arrêt et la perte de productivité ; grâce à ces fonctionnalités, les utilisateurs mobiles peuvent se déplacer rapidement et facilement entre les appareils.

Fiabilité de session

La fiabilité de session maintient les sessions actives et affichées sur l’écran de l’utilisateur lorsque la connectivité réseau est interrompue. Les utilisateurs continuent de voir l’application qu’ils utilisent jusqu’à ce que la connectivité réseau reprenne.

Cette fonctionnalité est particulièrement utile pour les utilisateurs mobiles disposant de connexions sans fil. Par exemple, un utilisateur avec une connexion sans fil entre dans un tunnel ferroviaire et perd momentanément la connectivité. Normalement, la session est déconnectée et disparaît de l’écran de l’utilisateur, et celui-ci doit se reconnecter à la session déconnectée. Avec la fiabilité de session, la session reste active sur la machine. Pour indiquer une perte de connectivité, l’affichage de l’utilisateur se fige et le curseur se transforme en sablier tournant jusqu’à ce que la connectivité reprenne de l’autre côté du tunnel. L’utilisateur continue d’accéder à l’affichage pendant l’interruption et peut reprendre l’interaction avec l’application lorsque la connexion réseau est rétablie. La fiabilité de session reconnecte les utilisateurs sans invites de réauthentification.

Les utilisateurs de l’application Citrix Workspace™ ne peuvent pas outrepasser le paramètre du Controller.

Vous pouvez utiliser la fiabilité de session avec Transport Layer Security (TLS). TLS chiffre uniquement les données envoyées entre le périphérique utilisateur et Citrix Gateway.

Activez et configurez la fiabilité de session avec les paramètres de stratégie suivants :

• Le paramètre de stratégie Connexions de fiabilité de session autorise ou empêche la fiabilité de session.
• Le paramètre de stratégie Délai d’expiration de la fiabilité de session a une valeur par défaut de 180 secondes, soit trois minutes. Bien que vous puissiez prolonger la durée pendant laquelle la fiabilité de session maintient une session ouverte, cette fonctionnalité est conçue pour la commodité de l’utilisateur. Par conséquent, elle ne demande pas à l’utilisateur de se réauthentifier. À mesure que vous prolongez la durée pendant laquelle une session est maintenue ouverte, les chances augmentent qu’un utilisateur puisse être distrait et s’éloigner de son périphérique. Ces actions peuvent potentiellement laisser la session accessible à des utilisateurs non autorisés.
• Les connexions entrantes de fiabilité de session utilisent le port 2598, sauf si vous modifiez le numéro de port dans le paramètre de stratégie Numéro de port de fiabilité de session.
• Pour empêcher les utilisateurs de se reconnecter à des sessions interrompues sans avoir à se réauthentifier, utilisez la fonctionnalité de reconnexion automatique du client. Vous pouvez configurer le paramètre de stratégie d’authentification de reconnexion automatique du client pour inviter les utilisateurs à se réauthentifier lors de la reconnexion à des sessions interrompues.

Si vous utilisez à la fois la fiabilité de session et la reconnexion automatique du client, les deux fonctionnalités fonctionnent en séquence. La fiabilité de session ferme ou déconnecte la session utilisateur après la durée que vous spécifiez dans le paramètre de stratégie Délai d’expiration de la fiabilité de session. Ensuite, les paramètres de stratégie de reconnexion automatique du client prennent effet, tentant de reconnecter l’utilisateur à la session déconnectée.

Reconnexion automatique du client

Avec la fonctionnalité de reconnexion automatique du client, l’application Citrix Workspace peut détecter les déconnexions involontaires des sessions ICA® et reconnecter automatiquement les utilisateurs aux sessions affectées. Lorsque cette fonctionnalité est activée sur le serveur, les utilisateurs n’ont pas besoin de se reconnecter manuellement pour continuer à travailler.

Pour les sessions d’application, l’application Citrix Workspace tente de se reconnecter à la session jusqu’à ce qu’il y ait une reconnexion réussie ou que l’utilisateur annule les tentatives de reconnexion.

Pour les sessions de bureau, l’application Citrix Workspace tente de se reconnecter à la session pendant une période spécifiée, à moins qu’il n’y ait une reconnexion réussie ou que l’utilisateur n’annule les tentatives de reconnexion. Par défaut, cette période est de cinq minutes. Pour modifier cette période, modifiez le paramètre de registre suivant sur le périphérique utilisateur (où seconds est le nombre de secondes après lequel aucune autre tentative de reconnexion à la session n’est effectuée).

HKLM\Software\Citrix\ICA Client\TransportReconnectRetryMaxTimeSeconds; DWORD;<seconds>

Activez et configurez la reconnexion automatique du client avec les paramètres de stratégie suivants :

• Reconnexion automatique du client : Active ou désactive la reconnexion automatique par l’application Citrix Workspace après qu’une connexion a été interrompue.
• Authentification de la reconnexion automatique du client : Active ou désactive l’exigence d’authentification de l’utilisateur après une reconnexion automatique.
• Journalisation de la reconnexion automatique du client : Active ou désactive la journalisation des événements de reconnexion dans le journal des événements. La journalisation est désactivée par défaut. Lorsqu’elle est activée, le journal système du serveur capture les informations sur les événements de reconnexion automatique réussis et échoués. Chaque serveur stocke les informations sur les événements de reconnexion dans son propre journal système. Le site ne fournit pas de journal combiné des événements de reconnexion pour tous les serveurs.

Remarque :

La reconnexion automatique du client sans réauthentification est prise en charge uniquement pour l’authentification par mot de passe. Si vous utilisez le service d’authentification fédérée ou l’authentification par carte à puce, la reconnexion automatique du client sans réauthentification n’est pas prise en charge. Dans de tels cas, les utilisateurs sont redirigés vers l’écran de connexion.

La reconnexion automatique du client intègre un mécanisme d’authentification basé sur des informations d’identification utilisateur chiffrées. Lorsqu’un utilisateur se connecte initialement, le serveur chiffre et stocke les informations d’identification de l’utilisateur en mémoire. Le serveur crée et envoie également un cookie contenant la clé de chiffrement à l’application Citrix Workspace. L’application Citrix Workspace soumet la clé au serveur pour la reconnexion. Le serveur déchiffre les informations d’identification et les soumet à la connexion Windows pour authentification. Lorsque les cookies expirent, les utilisateurs doivent se réauthentifier pour se reconnecter aux sessions.

Les cookies ne sont pas utilisés si vous activez le paramètre d’authentification de la reconnexion automatique du client. Au lieu de cela, une boîte de dialogue demandant les informations d’identification est présentée aux utilisateurs lorsque l’application Citrix Workspace tente de se reconnecter automatiquement.

Pour une protection maximale des informations d’identification et des sessions utilisateur, utilisez le chiffrement pour toutes les communications entre les clients et le site.

Désactivez la reconnexion automatique du client sur l’application Citrix Workspace pour Windows à l’aide du fichier icaclient.adm. Pour plus d’informations, consultez la documentation de votre version de l’application Citrix Workspace pour Windows.

Les paramètres de connexion affectent également la reconnexion automatique du client :

• Par défaut, la reconnexion automatique du client (Auto Client Reconnect) est activée via les paramètres de stratégie au niveau du site, comme décrit précédemment. La réauthentification de l’utilisateur n’est pas requise. Cependant, si la connexion ICA TCP d’un serveur est configurée pour réinitialiser les sessions avec un lien de communication rompu, la reconnexion automatique ne se produit pas. La reconnexion automatique du client ne fonctionne que si le serveur déconnecte les sessions en cas de connexion rompue ou expirée. Dans ce contexte, la connexion ICA TCP fait référence à un port virtuel de serveur (plutôt qu’à une connexion réseau réelle) utilisé pour les sessions sur les réseaux TCP/IP.
• Par défaut, la connexion ICA TCP sur un serveur est configurée pour déconnecter les sessions avec des connexions rompues ou expirées. Les sessions déconnectées restent intactes en mémoire système et sont disponibles pour une reconnexion via l’application Citrix Workspace.
• La connexion peut être configurée pour réinitialiser ou fermer les sessions avec des connexions rompues ou expirées. Lorsqu’une session est réinitialisée, toute tentative de reconnexion lance une nouvelle session. Au lieu de restaurer l’utilisateur au même endroit dans l’application en cours d’utilisation, l’application est redémarrée.
• Si le serveur est configuré pour réinitialiser les sessions, la reconnexion automatique du client (Auto Client Reconnect) crée une nouvelle session. Ce processus exige que les utilisateurs saisissent leurs informations d’identification pour se connecter au serveur.
• La reconnexion automatique peut échouer si l’application Citrix Workspace ou le plug-in soumet des informations d’authentification incorrectes, ce qui peut se produire lors d’une attaque, ou si le serveur détermine qu’un délai trop long s’est écoulé depuis qu’il a détecté la connexion rompue.

ICA Keep-Alive

L’activation de la fonctionnalité ICA Keep-Alive empêche la déconnexion des connexions rompues. Lorsqu’elle est activée, si le serveur ne détecte aucune activité, cette fonctionnalité empêche les services Bureau à distance de déconnecter cette session. Les exemples d’absence d’activité incluent l’absence de changement d’horloge, de mouvement de souris, de mises à jour d’écran. Le serveur envoie des paquets de maintien en vie toutes les quelques secondes pour détecter si la session est active. Si la session n’est plus active, le serveur la marque comme déconnectée.

Important :

ICA Keep-Alive ne fonctionne que si vous n’utilisez pas la fiabilité de session (Session Reliability). La fiabilité de session dispose de ses propres mécanismes pour empêcher la déconnexion des connexions rompues. Configurez ICA Keep-Alive uniquement pour les connexions qui n’utilisent pas la fiabilité de session.

Les paramètres ICA Keep-Alive remplacent les paramètres de maintien en vie configurés dans la stratégie de groupe Windows.

Activez et configurez ICA Keep-Alive avec les paramètres de stratégie suivants :

• Délai d’expiration du maintien en vie ICA : Spécifie l’intervalle (1-3600 secondes) utilisé pour envoyer les messages de maintien en vie ICA. Ne configurez pas cette option si vous souhaitez que votre logiciel de surveillance réseau ferme les connexions inactives dans les environnements où les connexions rompues sont si rares que permettre aux utilisateurs de se reconnecter aux sessions n’est pas une préoccupation.

  L’intervalle par défaut est de 60 secondes : les paquets ICA Keep-Alive sont envoyés aux périphériques utilisateur toutes les 60 secondes. Si un périphérique utilisateur ne répond pas dans les 60 secondes, l’état des sessions ICA passe à déconnecté.

• Maintien en vie ICA : Envoie ou empêche l’envoi de messages de maintien en vie ICA.

Contrôle de l’espace de travail

Le contrôle d’espace de travail permet aux bureaux et aux applications de suivre un utilisateur d’un appareil à l’autre. Cette capacité d’itinérance permet à un utilisateur d’accéder à tous les bureaux ou applications ouverts de n’importe où simplement en se connectant, sans avoir à redémarrer les bureaux ou les applications sur chaque appareil. Par exemple, le contrôle d’espace de travail peut aider les professionnels de la santé dans un hôpital qui doivent se déplacer rapidement entre différentes stations de travail et accéder au même ensemble d’applications à chaque connexion. Si vous configurez les options de contrôle d’espace de travail pour le permettre, ces travailleurs peuvent se déconnecter de plusieurs applications sur un appareil client, puis se reconnecter pour ouvrir les mêmes applications sur un autre appareil client.

Le contrôle d’espace de travail affecte les activités suivantes :

• Connexion : Par défaut, le contrôle d’espace de travail permet aux utilisateurs de se reconnecter automatiquement à tous les bureaux et applications en cours d’exécution lors de la connexion, évitant ainsi de devoir les rouvrir manuellement. Grâce au contrôle d’espace de travail, les utilisateurs peuvent ouvrir des bureaux ou des applications déconnectés, ainsi que ceux qui sont actifs sur un autre appareil client. La déconnexion d’un bureau ou d’une application le laisse en cours d’exécution sur le serveur. Si vous avez des utilisateurs itinérants qui doivent maintenir certains bureaux ou applications en cours d’exécution sur un appareil client pendant qu’ils se reconnectent à un sous-ensemble de leurs bureaux ou applications sur un autre appareil client, vous pouvez configurer le comportement de reconnexion à la connexion pour ouvrir uniquement les bureaux ou applications dont l’utilisateur s’est déconnecté précédemment.
• Reconnexion : Après s’être connectés au serveur, les utilisateurs peuvent se reconnecter à tous leurs bureaux ou applications à tout moment en cliquant sur Reconnecter. Par défaut, Reconnecter ouvre les bureaux ou applications déconnectés, ainsi que ceux qui sont actuellement en cours d’exécution sur un autre appareil client. Vous pouvez configurer Reconnecter pour ouvrir uniquement les bureaux ou applications dont l’utilisateur s’est déconnecté précédemment.
• Déconnexion : Pour les utilisateurs ouvrant des bureaux ou des applications via StoreFront™, vous pouvez configurer la commande Déconnexion pour déconnecter l’utilisateur de StoreFront et de toutes les sessions actives, ou de StoreFront uniquement.
• Déconnexion : Les utilisateurs peuvent se déconnecter de tous les bureaux et applications en cours d’exécution en une seule fois, sans avoir à se déconnecter de chacun individuellement.

Le contrôle d’espace de travail est disponible uniquement pour les utilisateurs de l’application Citrix Workspace qui accèdent aux bureaux et aux applications via une connexion Citrix StoreFront. Par défaut, le contrôle d’espace de travail est désactivé pour les sessions de bureau virtuel, mais il est activé pour les applications hébergées. Le partage de session ne se produit pas par défaut entre les bureaux publiés et les applications publiées exécutées au sein de ces bureaux.

Les stratégies utilisateur, les mappages de lecteurs clients et les configurations d’imprimante changent de manière appropriée lorsqu’un utilisateur passe à un nouvel appareil client. Les stratégies et les mappages sont appliqués en fonction de l’appareil client sur lequel l’utilisateur est connecté à la session. Par exemple, un professionnel de la santé se déconnecte d’un appareil aux urgences, puis se connecte à un poste de travail dans le laboratoire de radiologie. Les stratégies, les mappages d’imprimante et les mappages de lecteurs clients appropriés pour la session dans le laboratoire de radiologie prennent effet au démarrage de la session.

Vous pouvez personnaliser les imprimantes qui apparaissent aux utilisateurs lorsqu’ils changent d’emplacement. Vous pouvez également contrôler si les utilisateurs peuvent imprimer sur des imprimantes locales, la quantité de bande passante consommée lorsque les utilisateurs se connectent à distance, et d’autres aspects de leurs expériences d’impression.

Pour plus d’informations sur l’activation et la configuration du contrôle d’espace de travail pour les utilisateurs, consultez la documentation StoreFront.

Itinérance de session

Remarque :

Les informations suivantes vous guident pour configurer l’itinérance de session à l’aide de PowerShell. Vous pouvez utiliser Web Studio à la place. Pour plus d’informations, consultez Gérer les groupes de mise à disposition.

Par défaut, les sessions se déplacent entre les appareils clients avec l’utilisateur. Lorsque l’utilisateur lance une session puis passe à un autre appareil, la même session est utilisée et les applications sont disponibles sur les deux appareils. Les applications suivent, quel que soit l’appareil ou l’existence de sessions en cours. Souvent, les imprimantes et autres ressources attribuées à l’application suivent également.

Bien que ce comportement par défaut offre de nombreux avantages, il peut ne pas être idéal dans tous les cas. Vous pouvez empêcher l’itinérance de session à l’aide du SDK PowerShell.

Exemple 1 : Un professionnel de la santé utilise deux appareils, remplissant un formulaire d’assurance sur un PC de bureau et consultant des informations patient sur une tablette.

• Si l’itinérance de session est activée, les deux applications apparaissent sur les deux appareils (une application lancée sur un appareil est visible sur tous les appareils en cours d’utilisation). Cela pourrait ne pas répondre aux exigences de sécurité.
• Si l’itinérance de session est désactivée, le dossier patient n’apparaît pas sur le PC de bureau, et le formulaire d’assurance n’apparaît pas sur la tablette.

Exemple 2 : Un responsable de production lance une application sur le PC de son bureau. Le nom de l’appareil et son emplacement déterminent les imprimantes et autres ressources disponibles pour cette session. Plus tard dans la journée, il se rend dans un bureau du bâtiment voisin pour une réunion qui nécessitera l’utilisation d’une imprimante.

• Lorsque l’itinérance de session est activée, le responsable de production ne pourrait probablement pas accéder aux imprimantes situées près de la salle de réunion, car les applications qu’il a lancées plus tôt dans son bureau ont entraîné l’attribution d’imprimantes et d’autres ressources à proximité de cet emplacement.
• Lorsque l’itinérance de session est désactivée, lorsqu’il se connecte à une machine différente (en utilisant les mêmes informations d’identification), une nouvelle session est démarrée, et les imprimantes et ressources à proximité seront disponibles.

Configurer l’itinérance de session

Pour configurer l’itinérance de session, utilisez les cmdlets de règle de stratégie d’autorisation suivantes avec la propriété « SessionReconnection ». Vous pouvez également spécifier la propriété « LeasingBehavior ».

Pour les sessions de bureau :

Set-BrokerEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed

Pour les sessions d’application :

Set-BrokerAppEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed

Où value peut être l’une des valeurs suivantes :

• Always : Les sessions sont toujours itinérantes, quel que soit le périphérique client et que la session soit connectée ou déconnectée. C’est la valeur par défaut.
• DisconnectedOnly : Se reconnecter uniquement aux sessions déjà déconnectées ; sinon, lancer une nouvelle session. (Les sessions peuvent être itinérantes entre les périphériques clients en les déconnectant d’abord, ou en utilisant Workspace Control pour les rendre explicitement itinérantes.) Une session active connectée depuis un autre périphérique client n’est jamais utilisée. Au lieu de cela, une nouvelle session est lancée.
• SameEndpointOnly : Un utilisateur obtient une session unique pour chaque appareil client qu’il utilise. Cela désactive complètement l’itinérance. Les utilisateurs peuvent se reconnecter uniquement au même appareil qui a été précédemment utilisé dans la session.

La propriété « LeasingBehavior » est décrite ci-dessous.

Effets d’autres paramètres :

La désactivation de l’itinérance de session est affectée par la limite d’application Autoriser une seule instance de l’application par utilisateur dans les propriétés de l’application du groupe de mise à disposition.

• Si vous désactivez l’itinérance de session, désactivez la limite d’application « Autoriser une seule instance… ».
• Si vous activez la limite d’application « Autoriser une seule instance… », ne configurez aucune des deux valeurs qui autorisent de nouvelles sessions sur de nouveaux appareils.

Intervalle d’ouverture de session

Si une machine virtuelle contenant un VDA de bureau se ferme avant la fin du processus d’ouverture de session, vous pouvez allouer plus de temps au processus. La valeur par défaut pour la version 7.6 et les versions ultérieures est de 180 secondes (la valeur par défaut pour les versions 7.0-7.5 est de 90 secondes).

Sur la machine (ou l’image principale utilisée dans un catalogue de machines), définissez la clé de registre suivante :

Clé : HKLM\SOFTWARE\Citrix\PortICA

• Valeur : AutoLogonTimeout
• Type : DWORD
• Spécifiez une durée décimale en secondes, comprise entre 0 et 3600.

Si vous modifiez une image principale, mettez à jour le catalogue.

Ce paramètre s’applique uniquement aux machines virtuelles avec des VDA de bureau. Microsoft contrôle le délai d’expiration de l’ouverture de session sur les machines avec des VDA de serveur.