セキュリティ
このトピックでは、Profile Management を保護するための推奨されるベストプラクティスについて説明します。一般に、Citrix® ユーザープロファイルデータへの不要なアクセスを防ぐために、ユーザー ストアが配置されているサーバーを保護してください。
安全なユーザー ストアを作成するための推奨事項は、Microsoft TechNet Web サイトの「移動ユーザープロファイル用のファイル共有を作成する」という記事で提供されています。これらの最小限の推奨事項は、基本的な操作に対して高いレベルのセキュリティを保証します。また、ユーザー ストアへのアクセスを構成する際には、Citrix ユーザープロファイルを変更または削除するために必要な Administrators グループを含めてください。
アクセス許可
Citrix は、ユーザー ストアおよびクロスプラットフォーム設定ストアに対して、以下のアクセス許可をテストし、推奨しています。
- 共有アクセス許可: ユーザー ストアのルートフォルダーに対するフルコントロール
-
Microsoft が現在推奨する以下の NTFS アクセス許可:
グループまたはユーザー名 アクセス許可 適用先 作成者/所有者 フルコントロール サブフォルダーとファイルのみ Profile Management の制御下にあるアカウントのグループ フォルダーの内容の一覧表示 / データ読み取りおよびフォルダーの作成 / データ追加 このフォルダーのみ ローカルシステム フルコントロール このフォルダー、サブフォルダー、およびファイル
継承が無効になっていない場合、これらの権限により、アカウントはストアにアクセスできます。また、アカウントはユーザープロファイル用のサブフォルダーを作成し、必要な読み取りおよび書き込み操作を実行できます。
この最小限の要件を超えて、サブフォルダーとファイルのみを完全に制御できる管理者グループを作成することで、管理を簡素化することもできます。そうすれば、プロファイルの削除（一般的なトラブルシューティングタスク）がそのグループのメンバーにとって容易になります。
テンプレートプロファイルを使用する場合、ユーザーにはそのプロファイルへの読み取りアクセス権が必要です。
アクセス制御リスト (ACL)
クロスプラットフォーム設定機能を使用する場合は、定義ファイルを保存するフォルダーにACLを次のように設定します。認証済みユーザーには読み取りアクセス、管理者には読み取り/書き込みアクセス。
Windows roaming profiles automatically remove administrator privileges from the folders containing profile data on the network. Profile Management does not automatically remove these privileges from folders in the user store. Depending on your organization’s security policies, you can do so manually.
Note: If an application modifies the ACL of a file in the user’s profile, Profile Management does not replicate those changes in the user store. It is consistent with the behavior of Windows roaming profiles.
プロファイルストリーミングとエンタープライズウイルス対策製品
The streamed user profiles feature of Citrix Profile Management uses advanced NTFS features to simulate the presence of files missing from users’ profiles. In that respect, the feature is similar to a class of products known as Hierarchical Storage Managers (HSMs). HSMs are typically used to archive infrequently used files on to slow mass-storage devices such as magnetic tape or rewritable optical storage. When such files are required, HSM drivers intercept the first file request, suspend the process making the request, fetch the file from the archive storage. And then allow the file request to continue. Given this similarity, the streamed user profiles driver, upmjit.sys, is in fact defined as an HSM driver.
このような環境では、ウイルス対策製品がHSMドライバーを認識するように構成する必要があり、ストリーム配信ユーザープロファイルドライバーも例外ではありません。最も高度な脅威から防御するためには、ウイルス対策製品はその機能の一部をデバイスドライバーレベルで実行する必要があります。そして、HSMドライバーと同様に、ファイル要求を傍受し、元のプロセスを一時停止し、ファイルをスキャンして再開するという方法で動作します。
ストリーム配信ユーザープロファイルドライバーのようなHSMを中断するようにウイルス対策プログラムを誤って構成すると、ユーザーストアからファイルを取得できなくなり、ログオンがハングアップする原因となる可能性があります。
幸いなことに、エンタープライズ向けウイルス対策製品は、HSMなどの高度なストレージ製品の可能性を念頭に置いて作成されています。そして、HSMがその作業を完了するまでスキャンを遅延するように構成できます。家庭用ウイルス対策製品はこの点でそれほど高度ではありません。そのため、家庭用およびSoHo（小規模オフィス/ホームオフィス）ウイルス対策製品の使用は、ストリーミングされたユーザープロファイルではサポートされていません。
ストリーミングされたユーザープロファイルで使用するためにウイルス対策製品を構成するには、次のいずれかの製品機能を探してください。機能名はあくまで目安です。
- 信頼できるプロセスリスト。HSMをウイルス対策製品に識別させ、HSMがファイル取得プロセスを完了できるようにします。ウイルス対策製品は、信頼できないプロセスによってファイルが最初にアクセスされたときにファイルをスキャンします。
- オープンまたはステータスチェック操作時にスキャンしない。データがアクセスされたとき（たとえば、ファイルが実行または作成されたとき）にのみファイルをスキャンするようにウイルス対策製品を構成します。その他の種類のファイルアクセス（たとえば、ファイルが開かれたときやそのステータスがチェックされたとき）は、ウイルス対策製品によって無視されます。HSMは通常、ファイルオープンおよびファイルステータスチェック操作に応じてアクティブ化されるため、これらの操作でのウイルススキャンを無効にすると、潜在的な競合が解消されます。
Citrixは、主要なエンタープライズ向けウイルス対策製品のバージョンでストリーミングされたユーザープロファイルをテストし、Profile Managementとの互換性を確認しています。これらのバージョンには以下が含まれます。
- マカフィー ウイルススキャン エンタープライズ 8.7
- シマンテック エンドポイント プロテクション 11.0
- トレンドマイクロ オフィススキャン 10
これらの製品の以前のバージョンはテストされていません。
他のベンダーのエンタープライズ向けウイルス対策製品を使用している場合は、それがHSM対応であることを確認してください。スキャンを実行する前にHSM操作を完了できるように構成できます。
一部のウイルス対策製品では、管理者が読み取り時スキャンまたは書き込み時スキャンを選択できます。この選択は、パフォーマンスとセキュリティのバランスを取るものです。ストリーミングされたユーザープロファイル機能は、この選択の影響を受けません。
ストリーミングおよびウイルス対策展開におけるProfile Managementのトラブルシューティング
ログオンがハングしたり、時間がかかったりするなどの問題が発生した場合、Profile Managementとエンタープライズ向けウイルス対策製品との間に構成ミスがある可能性があります。次の手順をこの順序で試してください。
- 最新バージョンのProfile Managementを使用していることを確認してください。問題はすでに発見され、修正されている可能性があります。
- Profile Managementサービス（UserProfileManager.exe）を、エンタープライズ向けウイルス対策製品の信頼できるプロセスリストに追加します。
- HSM操作（オープン、作成、復元、ステータスチェックなど）でのウイルスチェックをオフにします。読み取りまたは書き込み操作でのみウイルスチェックを実行します。
- その他の高度なウイルスチェック機能をオフにします。たとえば、アンチウイルス製品は、実際のファイルタイプを特定するために、ファイルの最初の数ブロックをクイックスキャンする場合があります。これらのチェックは、ファイルの内容を宣言されたファイルタイプと照合しますが、HSM操作を妨げる可能性があります。
- Windows検索インデックスサービスをオフにします。少なくとも、プロファイルがローカルドライブに保存されているフォルダーについてはオフにしてください。このサービスは不要なHSM取得を引き起こし、ストリーミングされたユーザープロファイルとエンタープライズアンチウイルス製品との間の競合を引き起こすことが観察されています。
これらの手順のいずれも機能しない場合は、ストリーミングされたユーザープロファイルをオフにします（Profile streaming設定を無効にすることで）。それが機能する場合は、その機能を再度有効にし、エンタープライズアンチウイルス製品を無効にします。それが機能する場合も、機能しないケースのProfile Management診断情報を収集し、Citrixテクニカルサポートに連絡してください。彼らはエンタープライズアンチウイルス製品の正確なバージョンを知る必要があります。
Profile Managementを引き続き使用するには、エンタープライズアンチウイルスを再度有効にし、ストリーミングされたユーザープロファイルをオフにすることを忘れないでください。Profile Managementの他の機能は、この構成で引き続き機能します。プロファイルのストリーミングのみが無効になります。