Paramètres de résilience de session

Le maintien de l’activité de session est essentiel pour offrir la meilleure expérience utilisateur. La perte de connectivité due à des réseaux peu fiables, à une latence réseau très variable et aux limitations de portée des appareils sans fil peut entraîner la frustration des utilisateurs. Se déplacer rapidement entre les appareils et accéder aux mêmes applications à chaque connexion est une priorité pour de nombreux travailleurs mobiles, tels que les professionnels de la santé.

Les fonctionnalités décrites dans cet article optimisent la fiabilité des sessions, réduisent les désagréments, les temps d’arrêt et la perte de productivité ; en utilisant ces fonctionnalités, les utilisateurs mobiles peuvent se déplacer rapidement et facilement entre les appareils.

Fiabilité de session

La fiabilité de session maintient les sessions actives et affichées sur l’écran de l’utilisateur lorsque la connectivité réseau est interrompue. Les utilisateurs continuent de voir l’application qu’ils utilisent jusqu’à ce que la connectivité réseau reprenne.

Cette fonctionnalité est particulièrement utile pour les utilisateurs mobiles disposant de connexions sans fil. Par exemple, un utilisateur avec une connexion sans fil entre dans un tunnel ferroviaire et perd momentanément la connectivité. Normalement, la session est déconnectée et disparaît de l’écran de l’utilisateur, et l’utilisateur doit se reconnecter à la session déconnectée. Avec la fiabilité de session, la session reste active sur la machine. Pour indiquer une perte de connectivité, l’affichage de l’utilisateur se fige et le curseur se transforme en sablier tournant jusqu’à ce que la connectivité reprenne de l’autre côté du tunnel. L’utilisateur continue d’accéder à l’affichage pendant l’interruption et peut reprendre l’interaction avec l’application lorsque la connexion réseau est rétablie. La fiabilité de session reconnecte les utilisateurs sans invites de réauthentification.

Les utilisateurs de l’application Citrix Workspace™ ne peuvent pas outrepasser le paramètre du contrôleur.

Vous pouvez utiliser la fiabilité de session avec Transport Layer Security (TLS). TLS chiffre uniquement les données envoyées entre le périphérique utilisateur et Citrix Gateway.

Activez et configurez la fiabilité de session avec les paramètres de stratégie suivants :

• Le paramètre de stratégie Connexions de fiabilité de session autorise ou empêche la fiabilité de session.
• Le paramètre de stratégie Délai d’expiration de la fiabilité de session est défini par défaut sur 180 secondes, soit trois minutes. Bien que vous puissiez prolonger la durée pendant laquelle la fiabilité de session maintient une session ouverte, cette fonctionnalité est conçue pour la commodité de l’utilisateur. Par conséquent, elle ne demande pas à l’utilisateur de se réauthentifier. À mesure que vous prolongez la durée pendant laquelle une session est maintenue ouverte, les chances augmentent qu’un utilisateur puisse être distrait et s’éloigner du périphérique utilisateur. Ces actions peuvent potentiellement laisser la session accessible à des utilisateurs non autorisés.
• Les connexions entrantes de fiabilité de session utilisent le port 2598, sauf si vous modifiez le numéro de port dans le paramètre de stratégie Numéro de port de fiabilité de session.
• Pour empêcher les utilisateurs de se reconnecter à des sessions interrompues sans avoir à se réauthentifier, utilisez la fonctionnalité de reconnexion automatique du client. Vous pouvez configurer le paramètre de stratégie d’authentification de reconnexion automatique du client pour inviter les utilisateurs à se réauthentifier lors de la reconnexion à des sessions interrompues.

Si vous utilisez à la fois la fiabilité de session et la reconnexion automatique du client, les deux fonctionnalités fonctionnent en séquence. La fiabilité de session ferme ou déconnecte la session utilisateur après la durée que vous spécifiez dans le paramètre de stratégie Délai d’expiration de la fiabilité de session. Ensuite, les paramètres de stratégie de reconnexion automatique du client prennent effet, tentant de reconnecter l’utilisateur à la session déconnectée.

Reconnexion automatique du client

Avec la fonctionnalité de reconnexion automatique du client, l’application Citrix Workspace peut détecter les déconnexions involontaires des sessions ICA® et reconnecter automatiquement les utilisateurs aux sessions affectées. Lorsque cette fonctionnalité est activée sur le serveur, les utilisateurs n’ont pas besoin de se reconnecter manuellement pour continuer à travailler.

Pour les sessions d’application, l’application Citrix Workspace tente de se reconnecter à la session jusqu’à ce qu’une reconnexion réussie ait lieu ou que l’utilisateur annule les tentatives de reconnexion.

Pour les sessions de bureau, l’application Citrix Workspace tente de se reconnecter à la session pendant une période spécifiée, à moins qu’une reconnexion réussie n’ait lieu ou que l’utilisateur n’annule les tentatives de reconnexion. Par défaut, cette période est de cinq minutes. Pour modifier cette période, modifiez le paramètre de registre suivant sur le périphérique utilisateur (où seconds est le nombre de secondes après lequel aucune autre tentative de reconnexion à la session n’est effectuée).

HKLM\Software\Citrix\ICA Client\TransportReconnectRetryMaxTimeSeconds; DWORD;<seconds>

Activez et configurez la reconnexion automatique du client avec les paramètres de stratégie suivants :

• Reconnexion automatique du client : Active ou désactive la reconnexion automatique par l’application Citrix Workspace après l’interruption d’une connexion.
• Authentification de la reconnexion automatique du client : Active ou désactive l’exigence d’authentification de l’utilisateur après une reconnexion automatique.
• Journalisation de la reconnexion automatique du client : Active ou désactive la journalisation des événements de reconnexion dans le journal des événements. La journalisation est désactivée par défaut. Lorsqu’elle est activée, le journal système du serveur capture les informations sur les événements de reconnexion automatique réussis et échoués. Chaque serveur stocke les informations sur les événements de reconnexion dans son propre journal système. Le site ne fournit pas de journal combiné des événements de reconnexion pour tous les serveurs.

Remarque :

La reconnexion automatique du client sans réauthentification est prise en charge uniquement pour l’authentification par mot de passe. Si vous utilisez le service d’authentification fédérée ou l’authentification par carte à puce, la reconnexion automatique du client sans réauthentification n’est pas prise en charge. Dans de tels cas, les utilisateurs sont redirigés vers l’écran de connexion.

La reconnexion automatique du client intègre un mécanisme d’authentification basé sur des informations d’identification utilisateur chiffrées. Lorsqu’un utilisateur se connecte initialement, le serveur chiffre et stocke les informations d’identification de l’utilisateur en mémoire. Le serveur crée et envoie également un cookie contenant la clé de chiffrement à l’application Citrix Workspace. L’application Citrix Workspace soumet la clé au serveur pour la reconnexion. Le serveur déchiffre les informations d’identification et les soumet à la connexion Windows pour authentification. Lorsque les cookies expirent, les utilisateurs doivent se réauthentifier pour se reconnecter aux sessions.

Les cookies ne sont pas utilisés si vous activez le paramètre d’authentification de la reconnexion automatique du client. Au lieu de cela, une boîte de dialogue demandant les informations d’identification est présentée aux utilisateurs lorsque l’application Citrix Workspace tente de se reconnecter automatiquement.

Pour une protection maximale des informations d’identification et des sessions utilisateur, utilisez le chiffrement pour toutes les communications entre les clients et le site.

Désactivez la reconnexion automatique du client sur l’application Citrix Workspace pour Windows à l’aide du fichier icaclient.adm. Pour plus d’informations, consultez la documentation de votre version de l’application Citrix Workspace pour Windows.

Les paramètres de connexion affectent également la reconnexion automatique du client :

• Par défaut, la reconnexion automatique du client est activée via les paramètres de stratégie au niveau du site, comme décrit précédemment. La réauthentification de l’utilisateur n’est pas requise. Toutefois, si la connexion ICA TCP d’un serveur est configurée pour réinitialiser les sessions en cas de lien de communication rompu, la reconnexion automatique ne se produit pas. La reconnexion automatique du client ne fonctionne que si le serveur déconnecte les sessions en cas de connexion rompue ou expirée. Dans ce contexte, la connexion ICA TCP fait référence à un port virtuel de serveur (plutôt qu’à une connexion réseau réelle) utilisé pour les sessions sur les réseaux TCP/IP.
• Par défaut, la connexion ICA TCP sur un serveur est configurée pour déconnecter les sessions en cas de connexions rompues ou expirées. Les sessions déconnectées restent intactes dans la mémoire système et sont disponibles pour une reconnexion par l’application Citrix Workspace.
• La connexion peut être configurée pour réinitialiser ou fermer les sessions en cas de connexions rompues ou expirées. Lorsqu’une session est réinitialisée, toute tentative de reconnexion lance une nouvelle session. Plutôt que de restaurer l’utilisateur au même endroit dans l’application en cours d’utilisation, l’application est redémarrée.
• Si le serveur est configuré pour réinitialiser les sessions, la reconnexion automatique du client crée une nouvelle session. Ce processus exige que les utilisateurs saisissent leurs informations d’identification pour se connecter au serveur.
• La reconnexion automatique peut échouer si l’application Citrix Workspace ou le plug-in soumet des informations d’authentification incorrectes, ce qui peut se produire lors d’une attaque ou si le serveur détermine qu’un délai trop long s’est écoulé depuis qu’il a détecté la connexion rompue.

ICA Keep-Alive

L’activation de la fonctionnalité ICA Keep-Alive empêche la déconnexion des connexions rompues. Lorsqu’elle est activée, si le serveur ne détecte aucune activité, cette fonctionnalité empêche les services Bureau à distance de déconnecter cette session. Les exemples d’absence d’activité incluent l’absence de changement d’horloge, de mouvement de souris, de mises à jour d’écran. Le serveur envoie des paquets keep-alive toutes les quelques secondes pour détecter si la session est active. Si la session n’est plus active, le serveur la marque comme déconnectée.

Important :

ICA Keep-Alive ne fonctionne que si vous n’utilisez pas la fiabilité de session. La fiabilité de session dispose de ses propres mécanismes pour empêcher la déconnexion des connexions rompues. Configurez ICA Keep-Alive uniquement pour les connexions qui n’utilisent pas la fiabilité de session.

Les paramètres ICA Keep-Alive remplacent les paramètres keep-alive configurés dans la stratégie de groupe Windows.

Activez et configurez ICA Keep-Alive avec les paramètres de stratégie suivants :

• Délai d’expiration ICA Keep-Alive : Spécifie l’intervalle (1-3600 secondes) utilisé pour envoyer des messages ICA Keep-Alive. Ne configurez pas cette option si vous souhaitez que votre logiciel de surveillance réseau ferme les connexions inactives dans des environnements où les connexions rompues sont si rares que permettre aux utilisateurs de se reconnecter aux sessions n’est pas une préoccupation.

  L’intervalle par défaut est de 60 secondes : des paquets ICA Keep-Alive sont envoyés aux appareils utilisateur toutes les 60 secondes. Si un appareil utilisateur ne répond pas dans les 60 secondes, l’état des sessions ICA passe à déconnecté.

• Messages ICA Keep-Alive : Envoie ou empêche l’envoi de messages ICA Keep-Alive.

Contrôle de l’espace de travail

Le contrôle de l’espace de travail permet aux bureaux et aux applications de suivre un utilisateur d’un appareil à l’autre. Cette capacité d’itinérance permet à un utilisateur d’accéder à tous les bureaux ou applications ouverts depuis n’importe où simplement en se connectant, sans avoir à redémarrer les bureaux ou les applications sur chaque appareil. Par exemple, le contrôle de l’espace de travail peut aider les professionnels de la santé dans un hôpital qui doivent se déplacer rapidement entre différentes stations de travail et accéder au même ensemble d’applications à chaque connexion. Si vous configurez les options de contrôle de l’espace de travail pour le permettre, ces travailleurs peuvent se déconnecter de plusieurs applications sur un appareil client, puis se reconnecter pour ouvrir les mêmes applications sur un autre appareil client.

Le contrôle de l’espace de travail affecte les activités suivantes :

• Connexion : Par défaut, le contrôle de l’espace de travail permet aux utilisateurs de se reconnecter automatiquement à tous les bureaux et applications en cours d’exécution lors de la connexion, évitant ainsi de devoir les rouvrir manuellement. Grâce au contrôle de l’espace de travail, les utilisateurs peuvent ouvrir des bureaux ou des applications déconnectés, ainsi que ceux qui sont actifs sur un autre appareil client. La déconnexion d’un bureau ou d’une application la laisse en cours d’exécution sur le serveur. Si vous avez des utilisateurs itinérants qui doivent maintenir certains bureaux ou applications en cours d’exécution sur un appareil client pendant qu’ils se reconnectent à un sous-ensemble de leurs bureaux ou applications sur un autre appareil client, vous pouvez configurer le comportement de reconnexion à la connexion pour ouvrir uniquement les bureaux ou applications dont l’utilisateur s’est déconnecté précédemment.
• Reconnexion : Après s’être connectés au serveur, les utilisateurs peuvent se reconnecter à tous leurs bureaux ou applications à tout moment en cliquant sur Reconnecter. Par défaut, Reconnecter ouvre les bureaux ou applications déconnectés, ainsi que ceux qui sont actuellement en cours d’exécution sur un autre appareil client. Vous pouvez configurer Reconnecter pour ouvrir uniquement les bureaux ou applications dont l’utilisateur s’est déconnecté précédemment.
• Déconnexion : Pour les utilisateurs ouvrant des bureaux ou des applications via StoreFront™, vous pouvez configurer la commande Déconnexion pour déconnecter l’utilisateur de StoreFront et de toutes les sessions actives, ou de StoreFront uniquement.
• Déconnexion : Les utilisateurs peuvent se déconnecter de tous les bureaux et applications en cours d’exécution en une seule fois, sans avoir à se déconnecter de chacun individuellement.

Le contrôle de l’espace de travail est disponible uniquement pour les utilisateurs de l’application Citrix Workspace qui accèdent aux bureaux et aux applications via une connexion Citrix StoreFront. Par défaut, le contrôle de l’espace de travail est désactivé pour les sessions de bureau virtuel, mais activé pour les applications hébergées. Le partage de session ne se produit pas par défaut entre les bureaux publiés et les applications publiées exécutées au sein de ces bureaux.

Les stratégies utilisateur, les mappages de lecteurs clients et les configurations d’imprimantes changent de manière appropriée lorsqu’un utilisateur passe à un nouvel appareil client. Les stratégies et les mappages sont appliqués en fonction de l’appareil client sur lequel l’utilisateur est connecté à la session. Par exemple, un professionnel de la santé se déconnecte d’un appareil aux urgences, puis se connecte à un poste de travail dans le laboratoire de radiographie. Les stratégies, les mappages d’imprimantes et les mappages de lecteurs clients appropriés pour la session dans le laboratoire de radiographie prennent effet au démarrage de la session.

Vous pouvez personnaliser les imprimantes qui apparaissent aux utilisateurs lorsqu’ils changent d’emplacement. Vous pouvez également contrôler si les utilisateurs peuvent imprimer sur des imprimantes locales, la quantité de bande passante consommée lorsque les utilisateurs se connectent à distance, et d’autres aspects de leur expérience d’impression.

Pour plus d’informations sur l’activation et la configuration du contrôle de l’espace de travail pour les utilisateurs, consultez la documentation StoreFront.

Itinérance de session

Remarque :

Les informations suivantes vous guident pour configurer l’itinérance de session à l’aide de PowerShell. Vous pouvez utiliser Web Studio à la place. Pour plus d’informations, consultez Gérer les groupes de mise à disposition.

Par défaut, les sessions se déplacent entre les appareils clients avec l’utilisateur. Lorsque l’utilisateur lance une session puis passe à un autre appareil, la même session est utilisée et les applications sont disponibles sur les deux appareils. Les applications suivent, quel que soit l’appareil ou l’existence de sessions en cours. Souvent, les imprimantes et autres ressources attribuées à l’application suivent également.

Bien que ce comportement par défaut offre de nombreux avantages, il peut ne pas être idéal dans tous les cas. Vous pouvez empêcher l’itinérance de session à l’aide du SDK PowerShell.

Exemple 1 : Un professionnel de la santé utilise deux appareils, remplissant un formulaire d’assurance sur un PC de bureau et consultant des informations sur un patient sur une tablette.

• Si l’itinérance de session est activée, les deux applications apparaissent sur les deux appareils (une application lancée sur un appareil est visible sur tous les appareils utilisés). Cela pourrait ne pas répondre aux exigences de sécurité.
• Si l’itinérance de session est désactivée, le dossier du patient n’apparaît pas sur le PC de bureau et le formulaire d’assurance n’apparaît pas sur la tablette.

Exemple 2 : Un responsable de production lance une application sur le PC de son bureau. Le nom et l’emplacement de l’appareil déterminent les imprimantes et autres ressources disponibles pour cette session. Plus tard dans la journée, il se rend dans un bureau du bâtiment voisin pour une réunion qui nécessitera l’utilisation d’une imprimante.

• Lorsque l’itinérance de session est activée, le responsable de production ne pourrait probablement pas accéder aux imprimantes situées près de la salle de réunion, car les applications qu’il a lancées plus tôt dans son bureau ont entraîné l’attribution d’imprimantes et d’autres ressources à proximité de cet emplacement.
• Lorsque l’itinérance de session est désactivée, lorsqu’il se connecte à une machine différente (en utilisant les mêmes identifiants), une nouvelle session est démarrée, et les imprimantes et ressources à proximité seront disponibles.

Configurer l’itinérance de session

Pour configurer l’itinérance de session, utilisez les cmdlets de règle de stratégie d’attribution suivantes avec la propriété « SessionReconnection ». Vous pouvez également spécifier la propriété « LeasingBehavior » en option.

Pour les sessions de bureau :

Set-BrokerEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed

Pour les sessions d’application :

Set-BrokerAppEntitlementPolicyRule <Delivery-Group-name> -SessionReconnection <value> -LeasingBehavior Allowed|Disallowed

Où value peut être l’une des valeurs suivantes :

• Toujours : Les sessions sont toujours itinérantes, quel que soit l’appareil client et que la session soit connectée ou déconnectée. C’est la valeur par défaut.
• Déconnecté uniquement : Se reconnecter uniquement aux sessions déjà déconnectées ; sinon, lancer une nouvelle session. (Les sessions peuvent être itinérantes entre les appareils clients en les déconnectant d’abord, ou en utilisant Workspace Control pour les rendre explicitement itinérantes.) Une session active connectée depuis un autre appareil client n’est jamais utilisée. Au lieu de cela, une nouvelle session est lancée.
• SameEndpointOnly : Un utilisateur obtient une session unique pour chaque périphérique client qu’il utilise. Cela désactive complètement l’itinérance. Les utilisateurs peuvent se reconnecter uniquement au même périphérique qui a été précédemment utilisé dans la session.

La propriété « LeasingBehavior » est décrite ci-dessous.

Effets d’un autre paramètre :

La désactivation de l’itinérance de session est affectée par la limite d’application Autoriser une seule instance de l’application par utilisateur dans les propriétés de l’application du groupe de mise à disposition.

• Si vous désactivez l’itinérance de session, désactivez alors la limite d’application « Autoriser une seule instance… ».
• Si vous activez la limite d’application « Autoriser une seule instance… », ne configurez aucune des deux valeurs qui autorisent de nouvelles sessions sur de nouveaux périphériques.

Intervalle d’ouverture de session

Si une machine virtuelle contenant un VDA de bureau se ferme avant la fin du processus d’ouverture de session, vous pouvez allouer plus de temps à ce processus. La valeur par défaut pour les versions 7.6 et ultérieures est de 180 secondes (la valeur par défaut pour les versions 7.0-7.5 est de 90 secondes).

Sur la machine (ou l’image principale utilisée dans un catalogue de machines), définissez la clé de registre suivante :

Clé :HKLM\SOFTWARE\Citrix\PortICA

• Valeur : AutoLogonTimeout
• Type : DWORD
• Spécifiez une durée décimale en secondes, dans la plage 0-3600.

Si vous modifiez une image principale, mettez à jour le catalogue.

Ce paramètre s’applique uniquement aux machines virtuelles avec des VDA de bureau. Microsoft contrôle le délai d’expiration de l’ouverture de session sur les machines avec des VDA de serveur.