Créer des stratégies
Remarque :
À partir de la version 2511, Citrix Web Studio™ (basé sur le Web) est la seule console de gestion pour Citrix Virtual Apps and Desktops™. Citrix Studio (basé sur MMC) a été supprimé de l’installeur. Cet article s’applique uniquement à Web Studio. Pour plus d’informations sur Citrix Studio, consultez l’article équivalent dans Citrix Virtual Apps and Desktops 7 2212 ou version antérieure.
Une stratégie définit deux parties :
- Un groupe de paramètres qui définissent la manière dont les sessions, la bande passante et la sécurité sont gérées pour un groupe d’utilisateurs, d’appareils ou de types de connexion.
- Les utilisateurs et les machines auxquels la stratégie doit être attribuée. Avant de créer une stratégie, décidez quel groupe d’utilisateurs ou d’appareils elle affecte. Vous pouvez créer une stratégie basée sur la fonction professionnelle, le type de connexion, la plate-forme de l’appareil ou la localisation géographique.
Lorsque vous créez une stratégie, vous pouvez la baser sur les paramètres d’un modèle de stratégie et les personnaliser selon vos besoins. Vous pouvez également partir de zéro et ajouter manuellement les paramètres nécessaires. Cette section couvre les sujets suivants :
- Fonctionnement des stratégies
- Créer des stratégies à partir de zéro
- Créer des stratégies à partir de modèles
Conseil
Si une stratégie existe pour un groupe, envisagez de la modifier plutôt que d’en créer une nouvelle. Évitez de créer des stratégies uniquement pour activer un paramètre spécifique ou exclure des utilisateurs spécifiques.
Fonctionnement des stratégies
Lorsqu’un utilisateur se connecte, toutes les stratégies correspondant aux attributions de la connexion sont identifiées. Ces stratégies sont classées par priorité et plusieurs instances de chaque paramètre sont comparées. Pour chaque paramètre, la valeur de la stratégie de priorité la plus élevée est appliquée. Si une stratégie de priorité plus élevée désactive un paramètre, ce paramètre remplace toute stratégie de priorité inférieure où il est activé. Les paramètres non configurés sont ignorés.
Important :
Si vous configurez à la fois des stratégies Active Directory et Citrix à l’aide de la console de gestion des stratégies de groupe, les attributions et les paramètres peuvent ne pas s’appliquer comme prévu. Pour plus d’informations, consultez CTX127461.
La stratégie Unfiltered
Nous fournissons une stratégie par défaut appelée Unfiltered.
- Lorsque vous gérez les stratégies Citrix® dans Web Studio, les paramètres de la stratégie Unfiltered s’appliquent à tous les serveurs, bureaux et connexions du Site.
-
Pour que les paramètres s’appliquent, le Site et les connexions doivent se trouver dans le champ d’application de l’objet de stratégie de groupe (GPO) contenant la stratégie.
Exemple : Un objet de stratégie de groupe (GPO) nommé Sales-US est lié à l’unité d’organisation (OU) Sales et inclut tous les membres de l’équipe de vente américaine. Cet objet de stratégie de groupe est configuré avec une stratégie Unfiltered comportant plusieurs paramètres utilisateur. Lorsqu’un responsable des ventes se connecte, les paramètres de la stratégie Unfiltered sont appliqués car l’utilisateur fait partie de l’objet de stratégie de groupe Sales-US.
Modes d’attribution
Le mode d’attribution contrôle si une stratégie s’applique en fonction de la correspondance des critères de connexion.
-
Autoriser (par défaut) : Applique la stratégie uniquement si la connexion correspond aux critères d’attribution.
-
Refuser : Applique la stratégie si la connexion ne correspond pas aux critères.
Exemple 1 : Même type d’attribution, modes différents
La stratégie 1 comprend :
-
Attribution A : Groupe de vente, mode = Autoriser
-
Attribution B : Compte du responsable des ventes, mode = Refuser
Bien que l’utilisateur fasse partie du groupe de vente, l’attribution Refuser a priorité. La stratégie ne s’applique pas lorsque le responsable des ventes se connecte.
Exemple 2 : Types d’affectation différents, même mode
La stratégie 2 comprend :
-
Affectation C : Groupe de vente (Utilisateur), mode = Autoriser
-
Affectation D : Plage d’adresses IP d’entreprise (IP client), mode = Autoriser
La stratégie s’applique uniquement lorsque les deux affectations sont satisfaites. Si le responsable des ventes se connecte depuis le bureau, les deux conditions sont remplies et la stratégie s’applique.
La stratégie 3 comprend :
-
Affectation E : Groupe de vente (Utilisateur), mode = Autoriser
-
Affectation F : Connexion NetScaler Gateway (Contrôle d’accès), mode = Autoriser
Si le responsable des ventes se connecte depuis le bureau (pas via NetScaler), l’affectation F n’est pas satisfaite, la stratégie ne s’applique donc pas.
Paramètres de stratégie : Relations parent-enfant
Certains paramètres de stratégie dépendent des paramètres parents. Par exemple, vous devez configurer Limite de bande passante de session globale avant que ses paramètres enfants ne soient disponibles.
Lors de la configuration des stratégies dans Web Studio, survolez un paramètre enfant pour voir quel parent doit être configuré en premier. Si un parent est désactivé, les paramètres enfants associés sont automatiquement désactivés.
Le tableau suivant répertorie les paramètres parents et leurs paramètres enfants correspondants :
| Stratégie parente | Stratégies enfants dépendantes |
|---|---|
| Limite de bande passante globale de session
|
Pourcentage de limite de bande passante de redirection audio |
| Pourcentage de limite de bande passante de redirection du Presse-papiers | |
| Pourcentage de limite de bande passante de redirection de port COM | |
| Pourcentage de limite de bande passante de redirection de fichier | |
| Pourcentage de limite de bande passante d’accélération multimédia HDX™ MediaStream | |
| Pourcentage de limite de bande passante de redirection de port LPT | |
| Pourcentage de limite de bande passante de redirection d’imprimante | |
| Pourcentage de la limite de bande passante pour la redirection de périphériques USB clients | |
| Pourcentage de la limite de bande passante pour la redirection de périphériques TWAIN | |
| Autoriser la redirection bidirectionnelle de contenu
|
URL autorisées à être redirigées vers le client |
| URL autorisées à être redirigées vers le VDA | |
| Utilisation du CPU | Priorité des processus exclus de l’utilisation du CPU |
| Mode graphique hérité | Niveau de compression progressive |
| Activer le filigrane de session
|
Texte personnalisé du filigrane |
| Style de filigrane de session | |
| Transparence du filigrane | |
| Transport adaptatif HDX | Mode tolérant aux pertes pour l’audio |
États des paramètres de stratégie
Certains paramètres de stratégie peuvent avoir l’un des états suivants :
- Autorisé ou Interdit : Autorise ou empêche l’action contrôlée par le paramètre. Parfois, les utilisateurs sont autorisés ou empêchés de gérer l’action du paramètre dans une session. Par exemple, si l’animation du menu est définie sur Autorisé, les utilisateurs peuvent la contrôler au sein de leur session.
- Activé ou Désactivé : active ou désactive le paramètre. Si un paramètre est désactivé dans une stratégie de priorité plus élevée, il n’est pas appliqué, même s’il est activé dans une stratégie de priorité inférieure.
Paramètres par défaut sécurisés
Si le paramètre par défaut sécurisé est activé lors de l’installation du VDA, la priorité des paramètres de stratégie est la suivante :
- Paramètre personnalisé
- Paramètre par défaut sécurisé
- Paramètre par défaut
Pour afficher la valeur par défaut sécurisée :
- Dans Web Studio, cliquez sur Stratégies dans le volet gauche.
- Dans l’onglet Stratégies, cliquez sur Créer une stratégie.
-
Dans le tableau Sélectionner les paramètres, lorsque vous survolez les paramètres dont la valeur actuelle est Autorisé, la mention Valeur par défaut sécurisée : Interdit s’affiche.
Efficacité des paramètres de stratégie
Certains paramètres doivent être utilisés et activés ensemble. Par exemple, pour permettre aux utilisateurs d’accéder aux lecteurs réseau sur leur appareil local :
-
La redirection de lecteur client doit être activée
-
Les lecteurs réseau clients doivent également être inclus
Si la redirection de lecteur client est désactivée, les utilisateurs ne peuvent pas accéder aux lecteurs réseau même si les lecteurs réseau clients sont activés.
En général, les modifications apportées aux paramètres liés à la machine prennent effet lorsque le VDA redémarre ou qu’un utilisateur se connecte. Les modifications apportées aux paramètres liés à l’utilisateur s’appliquent lors de la prochaine connexion.
Lorsque vous ajoutez un paramètre à une stratégie, vous pouvez sélectionner Utiliser la valeur par défaut pour empêcher les modifications. Cette option désactive la configuration manuelle et applique uniquement la valeur par défaut, quelles que soient les valeurs précédemment saisies.
Bonnes pratiques
- Attribuez les stratégies à des groupes plutôt qu’à des utilisateurs individuels. Si vous attribuez des stratégies à des groupes, les attributions sont mises à jour automatiquement lorsque vous ajoutez ou supprimez des utilisateurs du groupe.
- Désactivez les stratégies inutilisées. Les stratégies sans paramètres ajoutés entraînent une surcharge de traitement inutile.
Créer des stratégies à partir de zéro
Pour créer une stratégie :
- Dans Web Studio, cliquez sur Stratégies dans le volet gauche.
- Sous l’onglet Stratégies, cliquez sur Créer une stratégie.
- Sur la page Sélectionner les paramètres, sélectionnez et configurez les paramètres, puis cliquez sur Suivant.
- Sur la page Attribuer la stratégie à, sélectionnez l’ensemble de stratégies où réside cette stratégie, puis sélectionnez les objets auxquels attribuer la stratégie. Cliquez sur Suivant.
-
Sur la page Résumé, renseignez les paramètres suivants :
- Saisissez un nom et une description pour la stratégie.
- Pour activer la stratégie, sélectionnez Activer la stratégie.
- Cliquez sur Terminer.
Étape 1 : Sélectionner et configurer les paramètres de stratégie
Les paramètres de stratégie sont regroupés par fonction. Par exemple, les paramètres liés à la gestion des profils se trouvent sous la catégorie Gestion des profils.
Il existe deux types de paramètres :
- Paramètres d’ordinateur : S’appliquent aux machines et prennent effet au démarrage du bureau virtuel (même si aucun utilisateur n’est connecté). Ils définissent les comportements du bureau virtuel.
- Paramètres utilisateur : S’appliquent lorsqu’un utilisateur se connecte ou se reconnecte. Ils définissent l’expérience utilisateur.
Pour sélectionner et configurer un paramètre :
-
Sur la page Sélectionner les paramètres, pour afficher les paramètres par versions de VDA, sélectionnez l’une des options suivantes dans la liste déroulante située en haut à droite :
- Tous les paramètres : Affichez tous les paramètres pour toutes les versions de VDA
- Paramètres actuels uniquement : Affichez les paramètres uniquement pour les versions de VDA actuelles
- Anciens paramètres uniquement : Affichez les paramètres uniquement pour les versions de VDA obsolètes
-
Pour rechercher un paramètre, saisissez le nom complet ou partiel du paramètre dans la zone de recherche.
-
Sélectionnez un paramètre. Cliquez sur Activer pour l’activer ou sur Modifier pour spécifier une valeur.
-
Répétez l’étape 3 pour sélectionner et configurer d’autres paramètres pour la stratégie.
Remarque :
Les paramètres de stratégie peuvent être activés, désactivés ou non configurés. Par défaut, les paramètres de stratégie ne sont pas configurés, ce qui signifie qu’ils ne sont pas ajoutés à une stratégie. Les paramètres ne sont appliqués que lorsqu’ils sont ajoutés à une stratégie.
Étape 2 : Spécifier les attributions de stratégie
Les attributions de stratégie définissent les utilisateurs et les machines auxquels une stratégie s’applique. Pour plus d’informations sur la façon dont les attributions affectent le comportement de la stratégie, consultez Fonctionnement des stratégies.
Pour spécifier les attributions de stratégie :
- Sur la page Attribuer une stratégie à, sélectionnez Utilisateurs et ordinateurs filtrés.
- Sélectionnez les utilisateurs ou les ordinateurs en spécifiant des attributions (également appelés filtres). Reportez-vous au tableau suivant pour connaître les types d’attribution disponibles.
Remarque :
- Si vous ne spécifiez aucune affectation ou si vous les désactivez, la stratégie s’applique à toutes les connexions.
- Les affectations de stratégie sont également appelées filtres de stratégie. Pour plus d’informations, consultez Créer, modifier ou supprimer un filtre pour une stratégie et Comment les filtres sont-ils appliqués ?
| Nom de l’affectation | Applique une stratégie basée sur |
|---|---|
| Contrôle d’accès | Conditions de contrôle d’accès par lesquelles un client se connecte. Type de connexion - Indique si la stratégie doit s’appliquer aux connexions établies avec ou sans NetScaler® Gateway. Nom de la batterie de serveurs NetScaler Gateway - Nom du serveur virtuel NetScaler Gateway. Condition d’accès - Nom de la stratégie d’analyse des points de terminaison ou de la stratégie de session à utiliser. |
| NetScaler SD-WAN | Indique si une session utilisateur est lancée via NetScaler SD-WAN. Remarque : Vous ne pouvez ajouter qu’une seule affectation NetScaler SD-WAN à une stratégie. |
| Adresse IP du client
|
Adresse IP à partir de laquelle un client se connecte, qui varie en fonction de la façon dont le client se connecte à la session
Exemples IPv4 : 12.0.0.0, 12.0.0.*, 12.0.0.1-12.0.0.70, 12.0.0.1/24 ; Exemples IPv6 : 2001:0db8:3c4d:0015:0:0:abcd:ef12, 2001:0db8:3c4d:0015::/54 |
| Nom du client | Nom du périphérique utilisateur. Correspondance exacte : ClientABCName. Utilisation de caractères génériques : Client*Name. |
| Groupe de mise à disposition | Appartenance au groupe de mise à disposition. |
| Plateforme client | Type de système d’exploitation du périphérique utilisateur utilisé pour connecter la session, tel que Windows, Linux, iOS, Android ou HTML5. Version VDA requise : 2503 ou ultérieure. |
| Type de groupe de mise à disposition | Type de bureau ou d’application : bureau privé, bureau partagé, application privée ou application partagée. Remarque : Les options de filtre de bureau privé et de bureau partagé sont disponibles uniquement pour Citrix Virtual Apps and Desktops 7.x. Pour plus d’informations, consultez CTX219153. |
| Unité d’organisation (UO) | Unité d’organisation. |
| Balise | Balises. Remarque : Appliquez cette stratégie à toutes les machines balisées. Les balises d’application ne sont pas incluses. |
| Utilisateur ou groupe | Nom d’utilisateur ou de groupe. |
Lorsqu’un utilisateur se connecte, toutes les stratégies correspondant aux affectations de la connexion sont identifiées. Ces stratégies sont triées par ordre de priorité et plusieurs instances de chaque paramètre sont comparées. Chaque paramètre est appliqué en fonction du classement de priorité de la stratégie. Tout paramètre de stratégie désactivé a priorité sur un paramètre de rang inférieur activé. Les paramètres de stratégie non configurés sont ignorés.
Important :
Lors de la configuration des stratégies Active Directory et Citrix à l’aide de la console de gestion des stratégies de groupe, les affectations et les paramètres peuvent ne pas être appliqués comme prévu. Pour plus d’informations, consultez CTX127461.
Pour configurer le filtre de stratégie d’adresse IP du client afin qu’il utilise toujours l’adresse IP privée du client, configurez le paramètre de registre suivant sur l’hôte de session :
- Clé :
HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Ica\GroupPolicy- Type de valeur :
DWORD- Nom de la valeur :
UseClientDeviceIpForPolicyFilter- Données de la valeur :
1
Une stratégie nommée « Unfiltered » est fournie par défaut.
- Si vous utilisez Web Studio pour gérer les stratégies Citrix, les paramètres que vous ajoutez à la stratégie non filtrée sont appliqués à tous les serveurs, bureaux et connexions d’un site.
- Si vous utilisez l’Éditeur de stratégie de groupe locale pour gérer les stratégies Citrix, les paramètres que vous ajoutez à la stratégie non filtrée sont appliqués à tous les sites et connexions. Les sites et les connexions doivent se trouver dans le périmètre des objets de stratégie de groupe (GPO) qui incluent la stratégie. Par exemple, l’unité d’organisation (OU) Ventes inclut un GPO appelé Ventes-US qui comprend tous les membres de l’équipe de vente américaine. Le GPO Ventes-US est configuré avec une stratégie non filtrée qui inclut plusieurs paramètres de stratégie utilisateur. Lorsque le responsable des ventes américain se connecte au site, les paramètres de la stratégie non filtrée sont automatiquement appliqués à la session. Cette configuration est due au fait que l’utilisateur est membre du GPO Ventes-US.
Le mode d’une affectation détermine si la stratégie est appliquée uniquement aux connexions qui correspondent à tous les critères d’affectation. Si le mode est défini sur Autoriser (par défaut), la stratégie est appliquée uniquement aux connexions qui correspondent aux critères d’affectation. Si le mode est défini sur Refuser, la stratégie est appliquée si la connexion ne correspond pas aux critères d’affectation. Les exemples suivants illustrent comment les modes d’affectation affectent les stratégies Citrix lorsque plusieurs affectations sont présentes.
-
Exemple : Affectations de même type avec des modes différents - Dans les stratégies comportant deux affectations du même type, l’une définie sur Autoriser et l’autre sur Refuser, l’affectation définie sur Refuser est prioritaire, à condition que la connexion satisfasse les deux affectations. Par exemple :
La stratégie 1 inclut les affectations suivantes :
- L’affectation A spécifie le groupe Ventes. Le mode est défini sur Autoriser.
- L’affectation B spécifie le compte du responsable des ventes. Le mode est défini sur Refuser.
Étant donné que le mode de l’affectation B est défini sur Refuser, la stratégie n’est pas appliquée lorsque le responsable des ventes se connecte au site, même si l’utilisateur est membre du groupe Ventes.
-
Exemple : Affectations de types différents avec des modes similaires - Dans les stratégies comportant deux affectations ou plus de types différents, définies sur Autoriser, la connexion doit satisfaire au moins une affectation de chaque type pour que la stratégie soit appliquée. Par exemple :
La stratégie 2 inclut les affectations suivantes :
- L’affectation C est une affectation utilisateur qui spécifie le groupe Ventes. Le mode est défini sur Autoriser.
- L’affectation D est une affectation d’adresse IP client qui spécifie 10.8.169.* (le réseau d’entreprise). Le mode est défini sur Autoriser.
Lorsque le responsable des ventes se connecte au site depuis le bureau, la stratégie est appliquée car la connexion satisfait les deux affectations.
La stratégie 3 inclut les affectations suivantes :
- L’affectation E est une affectation utilisateur qui spécifie le groupe Ventes. Le mode est défini sur Autoriser.
- L’affectation F est une affectation de contrôle d’accès qui spécifie les conditions de connexion de NetScaler Gateway. Le mode est défini sur Autoriser.
Lorsque le responsable des ventes se connecte au Site depuis le bureau, la stratégie n’est pas appliquée car la connexion ne satisfait pas l’affectation F.
Créer des stratégies à partir de modèles
Vous pouvez créer une stratégie basée sur un modèle fourni par Citrix ou personnalisé. La stratégie résultante est indépendante du modèle d’origine.
Pour créer une stratégie à partir d’un modèle :
- Dans Web Studio, sélectionnez Stratégies dans le volet gauche.
- Sélectionnez l’onglet Modèles, puis sélectionnez le modèle que vous souhaitez utiliser.
- Cliquez sur Créer une stratégie à partir d’un modèle dans la barre d’actions. La page Créer une stratégie s’affiche, affichant tous les paramètres préconfigurés dans le modèle sélectionné.
- Modifiez les paramètres et ajoutez-en d’autres si nécessaire, puis cliquez sur Suivant.
- Sur la page Attribuer une stratégie à, sélectionnez l’ensemble de stratégies où réside cette stratégie, puis sélectionnez les objets auxquels attribuer la stratégie. Cliquez sur Suivant.
- Sur la page Résumé, saisissez un nom et une description pour la stratégie.
- Cliquez sur Terminer. La nouvelle stratégie apparaît dans l’ensemble de stratégies spécifié sous l’onglet Stratégies.