XenApp and XenDesktop

Sessions

La gestion de l’activité de session est critique pour offrir la meilleure expérience utilisateur possible. La perte de connectivité due à des réseaux non fiables, à des durées de latence réseau extrêmement variables ou à des limitations en termes de portée des appareils sans fil, peuvent faire naître une certaine frustration chez les utilisateurs. La possibilité de se déplacer entre plusieurs stations de travail rapidement, d’accéder aux mêmes applications chaque fois qu’ils ouvrent une session, est une priorité pour la plupart des travailleurs mobiles, tels que le personnel médical d’un hôpital.

Utilisez les fonctionnalités suivantes pour optimiser la fiabilité des sessions, réduire les désagréments, les temps d’arrêt et la perte de productivité ; à l’aide de ces fonctionnalités, les utilisateurs mobiles peuvent passer rapidement et facilement d’un périphérique à un autre.

La section Intervalle d’ouverture de session décrit comment modifier le paramètre par défaut.

Vous pouvez également fermer la session d’un utilisateur, déconnecter une session et configurer le pré-lancement et la persistance de session ; consultez l’article Gérer les groupes de mise à disposition.

Fiabilité de session

La fiabilité de session maintient les sessions actives et visibles sur l’écran de l’utilisateur lorsque la connexion au réseau est interrompue. L’utilisateur peut donc visualiser l’application jusqu’à ce que la connexion au réseau reprenne.

Cette fonction est particulièrement utile pour les utilisateurs mobiles utilisant des connexions sans fil. Par exemple, lorsqu’un utilisateur connecté via une connexion sans fil entre dans un tunnel ferroviaire, la connexion est momentanément interrompue. D’ordinaire, la session se déconnecte et disparaît de l’écran de l’utilisateur ; ce dernier est alors contraint de se reconnecter à la session déconnectée. Grâce à la fiabilité de session, la session reste active sur la machine. Pour indiquer que la connexion est interrompue, l’affichage fourni à l’utilisateur est figé et le curseur prend la forme d’un sablier jusqu’à ce que la connexion soit rétablie de l’autre côté du tunnel. L’utilisateur a toujours accès à l’affichage de l’application durant l’interruption et peut reprendre l’interaction avec l’application lorsque la connexion réseau est rétablie. La fonction de fiabilité de session permet aux utilisateurs de se reconnecter sans avoir à s’authentifier de nouveau.

Les utilisateurs de Citrix Receiver ne peuvent pas remplacer le paramètre du Controller.

Vous pouvez utiliser la fonction de fiabilité de session avec le protocole TLS (Transport Layer Security). TLS crypte uniquement les données envoyées entre la machine utilisateur et NetScaler Gateway.

Activez et configurez la fonction de fiabilité de session avec les paramètres de stratégie suivants :

  • Le paramètre de stratégie Connexions de fiabilité de session autorise ou interdit la fiabilité de session.
  • Le paramètre de stratégie Expiration de délai de la fiabilité de session est réglé par défaut sur 180 secondes, ou trois minutes. Même si vous pouvez étendre la durée pendant laquelle la fonction de fiabilité de session maintient une session ouverte, cette fonctionnalité est conçue pour aider l’utilisateur et par conséquent ne pas demander à l’utilisateur de devoir s’authentifier à nouveau. Si vous augmentez la durée pour laquelle une session est gardée ouverte, les risques d’accès non autorisé sont accrus : un utilisateur distrait peut s’éloigner de sa machine cliente et il est alors possible que des utilisateurs non autorisés accèdent à sa session.
  • Les connexions entrantes de fiabilité de session utilisent le port 2598, à moins que vous ne changiez le numéro de port défini dans le paramètre de stratégie Numéro de port de la fiabilité de session.
  • Si vous ne souhaitez pas autoriser les utilisateurs à se reconnecter aux sessions interrompues sans authentification, utilisez la fonction de reconnexion automatique des clients. Vous pouvez configurer le paramètre de stratégie Authentification de la reconnexion automatique des clients pour inviter les utilisateurs à s’authentifier à nouveau lors de la reconnexion aux sessions interrompues.

Si vous utilisez la fonction de fiabilité de session et la fonction de reconnexion automatique des clients, ces fonctions agissent l’une après l’autre. La fonction de fiabilité de session ferme (ou déconnecte) la session utilisateur après la période spécifiée dans le paramètre de stratégie Expiration de délai de la fiabilité de session. Ensuite, les paramètres définis pour la fonction de reconnexion automatique des clients s’appliquent et la fonction tente d’opérer la reconnexion de l’utilisateur à la session déconnectée.

Reconnexion automatique des clients

Avec la fonction Reconnexion automatique des clients, Citrix Receiver peut détecter les déconnexions de session ICA involontaires et reconnecter automatiquement les utilisateurs à leurs sessions. Lorsque cette fonctionnalité est activée sur le serveur, les utilisateurs n’ont pas besoin de se reconnecter manuellement pour continuer à travailler.

Pour les sessions d’application, Citrix Receiver essaie de se reconnecter à la session jusqu’à ce que la reconnexion réussisse ou que l’utilisateur annule la tentative de reconnexion.

Pour les sessions de bureau, Citrix Receiver tente de se reconnecter à la session pendant une période de temps spécifiée, à moins que la reconnexion réussisse ou que l’utilisateur annule la tentative de reconnexion. Par défaut, cette durée est de cinq minutes. Pour modifier cette durée, modifiez le registre sur la machine utilisateur :

HKLM\Software\Citrix\ICA Client\TransportReconnectRetryMaxTimeSeconds; DWORD;<secondes>

où <secondes> est le nombre de secondes après lesquelles plus aucune tentative n’est faite pour reconnecter la session.

Activez et configurez la fonction de reconnexion automatique des clients avec les paramètres de stratégie suivants :

  • Reconnexion automatique des clients. Active ou désactive la reconnexion automatique par Citrix Receiver après l’interruption d’une connexion.
  • Authentification de la reconnexion automatique des clients. Active ou désactive l’authentification utilisateur après reconnexion automatique.
  • Journalisation de la reconnexion automatique des clients. Active ou désactive la journalisation des événements de reconnexion dans le journal d’événements. Par défaut, la journalisation est désactivée. Lorsqu’il est activé, le Journal système du ou des serveurs reçoit les informations relatives aux échecs et aux succès des tentatives de reconnexion automatique. Chaque serveur stocke des informations sur les événements de reconnexion dans son propre Journal système ; le site ne fournit pas de journal combinant les événements de reconnexion de tous les serveurs.

La fonction de reconnexion automatique des clients intègre un mécanisme permettant une authentification basée sur les informations d’identification cryptées de l’utilisateur. Lorsqu’un utilisateur ouvre une session sur un site, le serveur crypte ses informations d’identification, les stocke en mémoire, puis envoie un cookie contenant la clé de cryptage à Citrix Receiver. Citrix Receiver transmet la clé au serveur pour reconnexion. Celui-ci décrypte les informations d’identification et les transmet au système d’ouverture de session Windows pour authentification. Lorsqu’un cookie expire, l’utilisateur doit à nouveau fournir ses informations d’identification pour se reconnecter à sa session.

Si le paramètre Authentification de la reconnexion automatique des clients est sélectionné, aucun cookie n’est utilisé. Au lieu de cela, les utilisateurs voient s’afficher une boîte de dialogue leur demandant de fournir leurs informations d’identification lorsque Citrix Receiver tente de se reconnecter automatiquement.

Pour une protection optimale des informations d’identification et des sessions des utilisateurs, utilisez le cryptage pour toutes les communications entre les clients et le site.

Désactivez la reconnexion automatique des clients sur Citrix Receiver pour Windows en utilisant le fichier icaclient.adm. Pour de plus amples informations, consultez la documentation relative à votre version de Citrix Receiver pour Windows.

Les paramètres des connexions affectent également la fonction de reconnexion automatique des clients.

  • Par défaut, la fonction de reconnexion automatique des clients est activée via les paramètres de stratégie au niveau du site, comme décrit ci-dessus. Les utilisateurs n’ont pas besoin de se réauthentifier. Toutefois, si la connexion TCP ICA d’un serveur est configurée pour réinitialiser les sessions dont une liaison de communication a été interrompue, la reconnexion automatique n’a pas lieu. La fonction de reconnexion automatique des clients fonctionne uniquement si le serveur déconnecte les sessions en cas d’interruption ou d’expiration de délai d’une connexion. Dans ce contexte, la connexion TCP ICA fait référence au port virtuel d’un serveur (et non à une connexion réseau) utilisé pour les sessions sur les réseaux TCP/IP.
  • Par défaut, la connexion TCP ICA d’un serveur est configurée pour déconnecter les sessions en cas d’interruption ou d’expiration de délai de leurs connexions. Les sessions déconnectées restent intactes dans la mémoire du système et sont disponibles pour la reconnexion par le Citrix Receiver
  • La connexion peut être configurée pour réinitialiser ou fermer les sessions dont les connexions sont interrompues ou dont le délai a expiré. Lorsqu’une session est réinitialisée, une tentative de reconnexion lance une nouvelle session. L’utilisateur ne retrouve pas l’application dans l’état où elle était avant la reconnexion ; l’application est relancée.
  • Si le serveur est configuré pour réinitialiser les sessions, la fonction de reconnexion automatique des clients crée une nouvelle session. Ce processus nécessite que les utilisateurs fournissent leurs informations d’identification pour ouvrir une session sur le serveur.
  • La reconnexion automatique peut échouer si le Citrix Receiver ou le plug-in transmettent des informations d’identification incorrectes, ce qui peut se produire lors d’une attaque, ou si le serveur estime qu’une durée trop longue s’est écoulée depuis qu’il a détecté une connexion interrompue.

Persistance ICA

L’activation de la fonctionnalité de persistance ICA empêche la déconnexion des connexions rompues. Lorsqu’elle est activée, si le serveur ne détecte plus aucune activité (par exemple, aucun changement de l’horloge, aucun mouvement de la souris, aucune mise à jour de l’écran), cette fonctionnalité empêche les services Bureau à distance de se déconnecter de cette session. Le serveur envoie des paquets de persistance à quelques secondes d’intervalle pour détecter si la session est active. Si la session n’est plus active, le serveur marque la session en tant que déconnectée.

Remarque :

Cependant, la persistance ICA fonctionne uniquement si vous n’utilisez pas la fiabilité de session. La fiabilité de session dispose de ses propres mécanismes pour empêcher les connexions interrompues d’être déconnectées. Ne configurez la persistance ICA que pour les connexions qui n’utilisent pas la fiabilité de session.

Les réglages effectués dans la page Persistance ICA ont priorité sur les réglages correspondants configurés dans la Stratégie de groupe Microsoft Windows.

Activez et configurez les paramètres de persistance ICA avec les paramètres de stratégie suivants :

  • Délai d’expiration de persistance ICA. Spécifie l’intervalle (1-3600 secondes) utilisé pour envoyer des messages de persistance ICA. Ne configurez pas cette option si vous voulez que votre logiciel de contrôle de réseau ferme les connexions inactives dans les environnements pour lesquels les interruptions de connexion sont si peu fréquentes que la reconnexion des utilisateurs aux sessions n’est pas un problème.

    L’intervalle par défaut est de 60 secondes : les paquets de persistance ICA sont envoyés aux machines utilisateur toutes les 60 secondes. Si une machine utilisateur ne répond pas après 60 secondes, l’état des sessions ICA correspondantes passe à Déconnectée.

  • Persistances ICA. Envoie ou empêche l’envoi de messages de persistance ICA.

Le contrôle de l’espace de travail

Le contrôle de l’espace de travail permet aux bureaux et aux applications de suivre un utilisateur d’un appareil à un autre. Cette itinérance permet à un utilisateur d’accéder à tous les bureaux ou d’ouvrir des applications à partir de n’importe quel emplacement simplement en ouvrant une session, sans avoir à redémarrer les bureaux ou applications sur chaque machine. Par exemple, le contrôle de l’espace de travail permet aux employés d’un centre hospitalier de se déconnecter rapidement d’une station de travail pour se reconnecter à une autre et d’accéder aux mêmes applications chaque fois qu’ils ouvrent une session. Si vous configurez le contrôle de l’espace de travail de la sorte, le personnel médical peut se déconnecter de plusieurs applications sur une machine cliente et s’y reconnecter sur une autre machine cliente.

Le contrôle de l’espace de travail affecte les activités suivantes :

  • Ouverture de session : par défaut, le contrôle de l’espace de travail permet aux utilisateurs de se reconnecter automatiquement à tous les bureaux et applications en cours d’exécution lors de l’ouverture de session, sans avoir à les rouvrir manuellement. Via le contrôle de l’espace de travail, les utilisateurs peuvent ouvrir des bureaux ou applications déconnectés ainsi que des applications ou bureaux qui sont actifs sur une autre machine cliente. La déconnexion d’une application ou d’un bureau n’interrompt pas son exécution sur le serveur. Si des utilisateurs itinérants doivent maintenir la connexion avec certaines applications ou certains bureaux sur une machine cliente tandis qu’ils se reconnectent à d’autres applications ou bureaux sur une autre machine cliente, vous pouvez configurer le comportement de reconnexion de façon à n’ouvrir que les applications ou bureaux dont ils se sont déconnectés.
  • Reconnexion : après avoir ouvert une session sur le serveur, les utilisateurs peuvent se reconnecter à tous leurs bureaux ou applications à tout moment en cliquant sur le bouton Se reconnecter. Par défaut, cette option ouvre les applications et bureaux qui sont déconnectés ainsi que ceux actuellement exécutés sur une autre machine cliente. Vous pouvez configurer cette option de façon à ce qu’elle n’ouvre que les applications ou bureaux précédemment déconnectés par l’utilisateur.
  • Fermeture de session : pour les utilisateurs ouvrant des bureaux ou applications via StoreFront, vous pouvez configurer la commande Fermer la session afin de fermer la session utilisateur de StoreFront ainsi que toutes les sessions actives ou uniquement la session de StoreFront.
  • Déconnexion : les utilisateurs peuvent se déconnecter simultanément de toutes les applications et tous les bureaux en cours d’exécution sans avoir à déconnecter chaque application ou bureau individuellement.

Le contrôle de l’espace de travail est disponible uniquement pour les utilisateurs Citrix Receiver pour accéder aux bureaux et applications via une connexion Citrix StoreFront. Par défaut, le contrôle de l’espace de travail est désactivé pour les sessions de bureau virtuel, mais activé pour les applications hébergées. Le partage de session ne se produit pas par défaut entre les bureaux publiés et toute application publiée exécutée au sein de ces bureaux.

Lorsqu’un utilisateur passe à une nouvelle machine cliente, les stratégies utilisateur, les mappages des lecteurs clients et la configuration des imprimantes changent en conséquence. Les stratégies et les mappages sont appliqués en fonction de la machine cliente à partir de laquelle l’utilisateur a ouvert la session. Par exemple, si l’employé d’un centre hospitalier ferme la session qu’il a ouverte sur une machine cliente dans la salle des urgences et en ouvre une autre sur une machine dans le Service de radiologie, les stratégies, les mappages d’imprimante et de lecteur client correspondant à la machine cliente du Service de radiologie sont appliqués à l’ouverture de session sur cette machine.

Vous pouvez personnaliser les imprimantes qui s’affichent pour les utilisateurs lorsqu’ils changent d’emplacement. Vous pouvez également contrôler si les utilisateurs peuvent imprimer sur des imprimantes locales, la quantité de bande passante consommée lorsque les utilisateurs se connectent à distance, ainsi que d’autres aspects de leur expérience d’impression.

Pour plus d’informations sur l’activation et la configuration du contrôle de l’espace de travail pour les utilisateurs, consultez la documentation StoreFront.

Itinérance de session

Par défaut, les sessions sont partagées entre les machines clientes de l’utilisateur. Lorsque l’utilisateur ouvre une session et bascule sur une autre machine, la même session est utilisée et les applications sont disponibles sur les deux machines. Les applications suivent, quelle que soit la machine ou que les sessions en cours existent ou non. Dans la plupart des cas, les imprimantes et les autres ressources attribuées à l’application suivent également.

Bien que ce comportement par défaut offre de nombreux avantages, il n’est pas toujours idéal. Vous pouvez désactiver l’itinérance de session à l’aide du SDK du PowerShell.

Exemple 1 : un professionnel de la santé utilise deux machines ; il remplit un formulaire d’assurance sur un PC de bureau et recherche des informations sur le patient sur une tablette.

  • Si l’itinérance de session est activée, les applications s’affichent toutes les deux sur les deux machines (une application lancée sur une machine est visible sur toutes les machines en cours d’utilisation). Ce comportement peut ne pas répondre aux exigences de sécurité.
  • Si l’itinérance de session est désactivée, le dossier du patient ne s’affiche pas sur le PC de bureau et le formulaire d’assurance ne s’affiche pas sur la tablette.

Exemple 2 : un chef de production lance une application sur le PC de son bureau. Le nom et l’emplacement de la machine déterminent les imprimantes et autres ressources qui sont disponibles pour cette session. Plus tard dans la journée, il se rend dans un bureau situé dans un autre bâtiment pour une réunion pour laquelle il devra utiliser une imprimante.

  • Si l’itinérance de session est activée, le chef de production ne peut probablement pas accéder aux imprimantes à proximité de la salle de réunion, car les applications qu’il a démarrées plus tôt dans son bureau ont entraîné l’attribution d’imprimantes et d’autres ressources situées près de cet emplacement.
  • Si l’itinérance de session est désactivée, lorsqu’il ouvre une session sur une autre machine (en utilisant les mêmes informations d’identification), une nouvelle session est démarrée et les imprimantes et ressources à proximité sont disponibles.

Configurer l’itinérance de session

Pour configurer l’itinérance de session, utilisez les applets de commande de règle de stratégie d’admissibilité suivantes avec la propriété « SessionReconnection ». Si vous le souhaitez, vous pouvez également spécifier la propriété « LeasingBehavior » ; consultez la section Location de connexion et itinérance de session ci-dessous.

Pour les sessions de bureau :

Set-BrokerEntitlementPolicyRule <nom_groupe_mise_à_disposition> -SessionReconnection <valeur> -LeasingBehavior Allowed|Disallowed

Pour les sessions d’application :

Set-BrokerAppEntitlementPolicyRule <nom_groupe_mise_à_disposition> -SessionReconnection <valeur> -LeasingBehavior Allowed|Disallowed

Où <valeur> peut être l’un des paramètres suivants :

  • Always. Les sessions sont toujours itinérantes, quelle que soit la machine cliente et que la session soit connectée ou déconnectée. Il s’agit de la valeur par défaut.
  • DisconnectedOnly. Se reconnecte uniquement aux sessions déconnectées ; sinon, démarre une nouvelle session (vous pouvez activer l’itinérance de session entre les machines clientes en les déconnectant, ou en utilisant le contrôle de l’espace de travail pour activer explicitement l’itinérance). Une session connectée active sur une autre machine cliente n’est jamais utilisée ; une nouvelle session est lancée.
  • SameEndpointOnly. Un utilisateur obtient une session unique pour chaque machine cliente qu’il utilise. L’itinérance est complètement désactivée. Les utilisateurs peuvent se reconnecter uniquement à la machine qui a été utilisée précédemment pour la session.

La propriété « LeasingBehavior » est décrite ci-dessous.

Effets d’autres paramètres

La désactivation de l’itinérance de session est affectée par la limite d’application « Autoriser une seule instance par utilisateur » définie dans les propriétés de l’application dans le groupe de mise à disposition.

  • Si vous désactivez l’itinérance de session, désactivez la limite d’application « Autoriser une seule instance par utilisateur ».
  • Si vous activez la limite d’application « Autoriser une seule instance par utilisateur », ne configurez pas les deux valeurs qui permettent de nouvelles sessions sur de nouvelles machines.

Location de connexion et itinérance de session

Si vous ne connaissez pas bien la location de connexion, consultez l’article Location de connexions.

Lorsqu’un Controller entre en mode de location de connexions, la reconnexion de session revient à sa valeur par défaut, reconnectant l’utilisateur à une seule des sessions actives ou déconnectées pour le bureau ou l’application.

Pour une sécurité accrue, si vous avez configuré une valeur autre que celle par défaut pour l’itinérance de session et que vous disposez de plusieurs utilisateurs partageant les mêmes informations d’identification d’ouverture de session sur plusieurs machines, il est recommandé de désactiver la fonctionnalité de location de connexion pour le groupe de mise à disposition qui comprend ce compte d’utilisateur.

Pourquoi ? Dans ce scénario, une session est partagée entre toutes les machines. Cette situation n’est pas idéale si, par exemple, une personne affiche des informations confidentielles qui ne sont pas destinées à être consultées par un autre utilisateur lorsque celui-ci se reconnecte avec les mêmes informations d’identification et que le Controller se trouve en mode de location de connexion.

La désactivation de la location de connexion dans la stratégie d’admissibilité élimine ce risque : un utilisateur ne sera pas en mesure de consulter la session d’un autre utilisateur avec les mêmes informations d’identification, même lorsque le Controller se trouve en mode de location de connexion. Les autres stratégies d’admissibilité peuvent rester inchangées ; les comptes utilisateur individuels peuvent utiliser la fonctionnalité de location de connexion via des droits distincts.

Pour désactiver la location de connexion dans une stratégie d’admissibilité, ajoutez la propriété « LeasingBehavior Disallowed » à l’applet de commande de la stratégie d’admissibilité. Si vous désactivez la location de connexion, vous devez supprimer manuellement toute location de lancement qui a déjà été créée et mise en cache pour cette stratégie d’admissibilité ; sinon, les utilisateurs seront toujours en mesure de se reconnecter au cours d’une panne de base de données.

Intervalle d’ouverture de session

Si une machine virtuelle contenant un VDA de bureau se ferme avant la fin du processus d’ouverture de session, vous pouvez attribuer plus de temps au processus. La valeur par défaut pour 7.6 et versions ultérieures est de 180 secondes (la valeur par défaut pour 7.0-7.5 est de 90 secondes).

Sur la machine (ou l’image principale utilisée dans un catalogue de machines), définissez la clé de registre suivante :

Clé : HKLM\SOFTWARE\Citrix\PortICA

Valeur : AutoLogonTimeout

Type : DWORD

Spécifiez une durée en secondes, au format décimal, dans la plage 0-3600.

Si vous modifiez une image principale, mettez à jour le catalogue.

Remarque :

Ce paramètre s’applique uniquement aux machines virtuelles avec VDA de bureau (station de travail) ; Microsoft contrôle le délai d’expiration de l’ouverture de session sur les machines avec VDA de serveur.