Directorの展開を保護する
この記事では、Directorの展開と構成時にシステムセキュリティに影響を与える可能性のある領域について説明します。
Directorの通信
実稼働環境では、Directorとサーバー間でやり取りされるデータを保護するためにHTTPSプロトコルを使用します。HTTPSは、Transport Layer Security (TLS) プロトコルを使用して、強力なデータ暗号化を提供します。
注:
-
Citrix®は、イントラネットネットワーク内でのDirectorコンソールへのアクセスを制限することを強くお勧めします。
-
Citrixは、実稼働環境でDirectorへの保護されていない接続を有効にしないことを強くお勧めします。
-
TLS 1.2以降を使用してください。レガシーTLSまたはSSLは使用しないでください。
ユーザーのWebブラウザーとDirector間の通信を保護するには、「Web StudioおよびDirectorでTLSを有効にする」を参照してください。
DirectorとCitrix Virtual Apps and Desktopsサーバー間の通信（監視およびレポート用）を保護するには、「オンプレミスMonitor OData APIアクセスを保護する」を参照してください。
DirectorとCitrix ADC間の通信（Citrix Insight用）を保護するには、「ネットワーク分析を構成する」ときに、接続の種類としてHTTPSを選択します。
Microsoft インターネット インフォメーション サービス (IIS) の構成
制限されたIIS構成でDirectorを構成できます。
アプリケーションプールのリサイクル制限
Directorは、Directorという名前のアプリケーションプールを使用します。アプリケーションプールで次のアプリケーションプールのリサイクル制限を設定できます。
-
仮想メモリ制限: 4,294,967,295
-
プライベートメモリ制限: StoreFront™サーバーの物理メモリのサイズ
-
リクエスト制限: 4,000,000,000
ファイル名拡張子
インストール中に、Directorは以下の拡張子のみを許可するようにリクエストフィルタリングを構成します。
-
.
-
.エーエスピーエックス
-
.シーエスエス
-
.イーオーティー
-
.エイチティーエムエル
-
.アイシーオー
-
.js
-
.ピーエヌジー
-
.エスブイシー
-
.エスブイジー
-
.ジフ
-
.ジェイソン
-
.ウォフ
-
.ウォフ2
-
.ティーティーエフ
HTTP動詞
インストール中、Directorは以下の動詞のみを許可するようにリクエストフィルタリングを構成します。
-
GET
-
POST
-
HEAD
IIS機能
Directorは以下のIISコンポーネントを必要としません。
-
ISAPI拡張機能
-
CGIプログラム
-
FastCGIプログラム
これらのコンポーネントは削除できます。
.NET信頼レベル
Director では、.NET 信頼レベルを完全信頼に設定する必要があります。.NET 信頼レベルを他の値に設定しないでください。
ユーザー権限の構成
Directorがインストールされると、そのアプリケーションプールには次の権限が付与されます。
-
「サービスとしてログオン」ログオン権限
-
「プロセスのメモリクォータの調整」、「セキュリティ監査の生成」、「プロセスレベルトークンの置き換え」の各特権
言及されている権限と特権は、アプリケーションプールが作成される際の通常のインストール動作です。
これらのユーザー権限を変更する必要はありません。これらの特権は Director では使用されず、自動的に無効になります。
Director のセキュリティ分離
Directorと同じWebドメイン（ドメイン名とポート）に任意のWebアプリケーションを展開できます。ただし、それらのWebアプリケーションにセキュリティリスクがあると、Director展開のセキュリティが低下する可能性があります。より高度なセキュリティ分離が必要な場合は、Directorを別のWebドメインに展開することをCitrixは推奨します。