Sécuriser le déploiement de Director
Cet article dresse la liste des domaines susceptibles d’avoir un impact sur la sécurité du système lors du déploiement et de la configuration de Director.
Configurer Microsoft Internet Information Services (IIS)
Vous pouvez configurer Director avec une configuration IIS limitée.
Limites de recyclage du pool d’applications
Vous pouvez définir les limites de recyclage du pool d’applications suivantes :
- Limite de mémoire virtuelle : 4 294 967 295
- Limite de mémoire privée : taille de la mémoire physique du serveur StoreFront
- Nombre limite de demandes : 4 000 000 000
Extensions de nom de fichier
Vous pouvez interdire les extensions de nom de fichier non répertoriées.
Director requiert ces extensions de nom de fichier dans le Filtrage des demandes :
- .aspx
- .css
- .html
- .js
- .png
- .svc
- .gif
- .json
- .woff
- .woff2
- .ttf
Director requiert les verbes HTTP suivants dans le Filtrage des demandes : Vous pouvez interdire les verbes non répertoriés.
- GET
- POST
- HEAD
Director ne requiert pas ce qui suit :
- Filtres ISAPI
- Extensions ISAPI
- Programmes CGI
- Programmes FastCGI
Important :
- Director requiert l’approbation Confiance totale. Ne définissez pas le niveau de confiance .NET global sur Élevé ou Moyen.
- Director gère un pool d’applications distinct. Pour modifier les paramètres de Director, sélectionnez le site Director et modifiez-le.
Configurer les droits des utilisateurs
Lorsque Director est installé, ses pools d’applications se voient accorder les autorisations suivantes :
- Droit d’ouverture de session Ouvrir une session en tant que service
- Privilèges Ajuster les quotas de mémoire pour un processus, Générer des audits de sécuritéet Remplacer un jeton de niveau processus
Les droits et privilèges mentionnés sont un comportement d’installation normal lors de la création de pools d’applications.
Vous n’avez pas besoin de changer ces droits d’utilisateur. Ces privilèges ne sont pas utilisés par Director et sont automatiquement désactivés.
Communications Director
Dans un environnement de production, utilisez Internet Protocol Security (IPsec) ou le protocole HTTPS pour sécuriser le transfert des données entre Director et vos serveurs.
IPsec est un ensemble d’extensions standard du protocole Internet qui garantit des communications authentifiées et cryptées avec intégrité des données et protection contre la relecture. IPsec étant un ensemble de protocoles de couches réseau, les protocoles d’un niveau plus élevé peuvent l’utiliser sans modification. HTTPS utilise les protocoles Transport Layer Security (TLS) pour fournir un cryptage puissant des données.
Remarque :
- Citrix recommande fortement de restreindre l’accès à la console Director au sein du réseau intranet.
- Citrix vous recommande de ne pas autoriser les connexions non sécurisées à Director dans un environnement de production.
- Les communications sécurisées en provenance de Director requièrent une configuration séparée pour chaque connexion.
- Le protocole SSL n’est pas recommandé. Utilisez plutôt le protocole TLS plus sécurisé.
- Sécurisez les communications avec Citrix ADC à l’aide de TLS, et non IPsec.
Pour sécuriser les communications entre Director et les serveurs Citrix Virtual Apps and Desktops (pour le suivi et la création de rapports), reportez-vous à la section Sécurisation de l’accès aux données.
Pour sécuriser les communications entre Director et Citrix ADC (pour Citrix Insight), reportez-vous à la section Configurer l’analyse réseau.
Pour sécuriser les communications entre Director et le serveur de licences, reportez-vous à la section Sécuriser la console License Administration Console.
Séparation de la sécurité de Director
Vous pouvez déployer n’importe quelle application Web dans le même domaine Web (nom de domaine et port) que Director. Toutefois, tout risque de sécurité dans ces applications Web peut potentiellement réduire la sécurité de votre déploiement Director. Lorsqu’un degré plus important de séparation de la sécurité est nécessaire, Citrix recommande de déployer Director dans un domaine Web distinct.