セキュリティ
このトピックでは、Profile Management を保護するための推奨されるベストプラクティスについて説明します。一般に、Citrix® ユーザー プロファイル データへの不正なアクセスを防ぐために、ユーザー ストアが配置されているサーバーを保護してください。
安全なユーザー ストアを作成するための推奨事項は、Microsoft TechNet Web サイトの「移動ユーザー プロファイル用のファイル共有を作成する」という記事で入手できます。これらの最小限の推奨事項は、基本的な操作に対して高いレベルのセキュリティを確保します。また、ユーザー ストアへのアクセスを構成する際には、Citrix ユーザー プロファイルを変更または削除するために必要な Administrators グループを含めてください。
アクセス許可
Citrix は、ユーザー ストアとクロスプラットフォーム設定ストアに対して、次のアクセス許可をテストし、推奨しています。
-
共有アクセス許可: ユーザー ストアのルート フォルダーに対するフルコントロール
-
Microsoft が現在推奨しているとおりの、次の NTFS アクセス許可:
グループまたはユーザー名 アクセス許可 適用先 作成者/所有者 フルコントロール サブフォルダーとファイルのみ Profile Management の制御下にあるアカウントのグループ フォルダーの内容の一覧表示 / データ読み取りおよびフォルダーの作成 / データ追加 このフォルダーのみ ローカルシステム フルコントロール このフォルダー、サブフォルダー、およびファイル
継承が無効になっていない場合、これらの権限により、アカウントはストアにアクセスできます。また、アカウントはユーザープロファイル用のサブフォルダーを作成し、必要な読み取りおよび書き込み操作を実行できます。
この最小限の権限に加えて、サブフォルダーとファイルのみを完全に制御できる管理者グループを作成することで、管理を簡素化することもできます。そうすることで、プロファイルの削除（一般的なトラブルシューティングタスク）がそのグループのメンバーにとって容易になります。
テンプレートプロファイルを使用する場合、ユーザーにはそのプロファイルへの読み取りアクセス権が必要です。
アクセス制御リスト (ACL)
クロスプラットフォーム設定機能を使用する場合は、定義ファイルを保存するフォルダーにACLを次のように設定します。認証済みユーザーには読み取りアクセス権、管理者には読み取り/書き込みアクセス権。
Windowsローミングプロファイルは、ネットワーク上のプロファイルデータを含むフォルダーから管理者権限を自動的に削除します。Profile Managementは、ユーザーストア内のフォルダーからこれらの権限を自動的に削除しません。組織のセキュリティポリシーに応じて、手動で削除できます。
注：アプリケーションがユーザープロファイル内のファイルのACLを変更しても、Profile Managementはそれらの変更をユーザーストアにレプリケートしません。これはWindowsローミングプロファイルの動作と一致しています。
プロファイルストリーミングとエンタープライズウイルス対策製品
Citrix Profile Managementのストリーム配信ユーザープロファイル機能は、高度なNTFS機能を使用して、ユーザープロファイルから欠落しているファイルの存在をシミュレートします。この点において、この機能は階層型ストレージマネージャー (HSM) と呼ばれる製品群に似ています。HSMは通常、磁気テープや書き換え可能な光ストレージなどの低速な大容量ストレージデバイスに、あまり使用されないファイルをアーカイブするために使用されます。そのようなファイルが必要になった場合、HSMドライバーは最初のファイル要求をインターセプトし、要求を行っているプロセスを中断し、アーカイブストレージからファイルをフェッチします。そして、ファイル要求の続行を許可します。この類似性から、ストリーム配信ユーザープロファイルドライバーであるupmjit.sysは、実際にはHSMドライバーとして定義されています。
このような環境では、ウイルス対策製品がHSMドライバーを認識するように構成する必要があり、ストリーム配信ユーザープロファイルドライバーも例外ではありません。最も高度な脅威から防御するために、ウイルス対策製品はその機能の一部をデバイスドライバーレベルで実行する必要があります。そして、HSMドライバーと同様に、ファイル要求をインターセプトし、元のプロセスを中断し、ファイルをスキャンして再開するという方法で動作します。
ウイルス対策プログラムを誤って構成し、ストリーム配信ユーザープロファイルドライバーなどのHSMを中断させ、ユーザーストアからのファイルのフェッチを妨げ、ログオンがハングアップする原因となることは比較的容易です。
幸いなことに、エンタープライズ向けウイルス対策製品は、HSMなどの高度なストレージ製品の可能性を考慮して作成されています。そして、HSMがその作業を完了するまでスキャンを遅延するように構成できます。家庭用ウイルス対策製品はこの点において洗練されていません。そのため、家庭用およびSoHo（小規模オフィス/ホームオフィス）のウイルス対策製品は、ストリーミングされたユーザープロファイルではサポートされていません。
ストリーミングされたユーザープロファイルで使用するためにウイルス対策製品を構成するには、次のいずれかの製品機能を探してください。機能名はあくまで目安です。
-
信頼されたプロセスリスト。ウイルス対策製品にHSMを識別させ、HSMがファイル取得プロセスを完了できるようにします。ウイルス対策製品は、信頼されていないプロセスによってファイルが最初にアクセスされたときにファイルをスキャンします。
-
オープンまたはステータスチェック操作時にスキャンしない。ウイルス対策製品を構成して、データがアクセスされたとき（たとえば、ファイルが実行または作成されたとき）にのみファイルをスキャンするようにします。その他の種類のファイルアクセス（たとえば、ファイルが開かれたときやステータスがチェックされたとき）は、ウイルス対策製品によって無視されます。HSMは通常、ファイルオープンおよびファイルステータスチェック操作に応答してアクティブ化されるため、これらの操作でのウイルススキャンを無効にすると、潜在的な競合が解消されます。
Citrixは、主要なエンタープライズ向けウイルス対策製品のバージョンでストリーミングされたユーザープロファイルをテストし、Profile Managementとの互換性を確認しています。これらのバージョンには以下が含まれます。
-
マカフィー ウイルススキャン エンタープライズ 8.7
-
シマンテック エンドポイント プロテクション 11.0
-
トレンドマイクロ オフィススキャン 10
これらの製品の以前のバージョンはテストされていません。
他のベンダーのエンタープライズ向けウイルス対策製品を使用している場合は、それがHSM対応であることを確認してください。スキャンを実行する前にHSM操作が完了するように構成できます。
一部のウイルス対策製品では、管理者が読み取り時にスキャンするか、書き込み時にスキャンするかを選択できます。この選択は、パフォーマンスとセキュリティのバランスを取るものです。ストリーミングされたユーザープロファイル機能は、この選択の影響を受けません。
ストリーミングおよびウイルス対策展開におけるProfile Managementのトラブルシューティング
ログオンがハングしたり、時間がかかったりするなどの問題が発生した場合、Profile Managementとエンタープライズ向けウイルス対策製品との間に構成の誤りがある可能性があります。次の手順をこの順序で試してください。
-
Profile Managementの最新バージョンを使用していることを確認してください。問題はすでに発見され、修正されている可能性があります。
-
Profile Managementサービス（UserProfileManager.exe）を、エンタープライズ向けウイルス対策製品の信頼されたプロセスリストに追加します。
-
開く、作成、復元、ステータスチェックなどのHSM操作では、ウイルスチェックを無効にします。読み取りまたは書き込み操作でのみウイルスチェックを実行します。
-
他の高度なウイルスチェック機能を無効にします。たとえば、ウイルス対策製品は、実際のファイルの種類を特定するために、ファイルの最初の数ブロックをクイックスキャンする場合があります。これらのチェックは、ファイルの内容を宣言されたファイルの種類と照合しますが、HSM操作を妨げる可能性があります。
-
Windowsの検索インデックス作成サービスを無効にします。少なくとも、プロファイルがローカルドライブに保存されているフォルダーについては無効にしてください。このサービスは不要なHSM取得を引き起こし、ストリーミングされたユーザープロファイルとエンタープライズウイルス対策製品との間で競合を引き起こすことが確認されています。
これらの手順のいずれも機能しない場合は、ストリーミングされたユーザープロファイルを無効にします（Profile streaming 設定を無効にすることで）。これで機能する場合は、機能を再度有効にし、エンタープライズウイルス対策製品を無効にします。これでも機能する場合は、機能しないケースのProfile Management診断情報を収集し、Citrixテクニカルサポートに連絡してください。彼らはエンタープライズウイルス対策製品の正確なバージョンを知る必要があります。
Profile Managementの使用を継続するには、エンタープライズウイルス対策を再度有効にし、ストリーミングされたユーザープロファイルを無効にすることを忘れないでください。この構成では、Profile Managementの他の機能は引き続き機能します。プロファイルのストリーミングのみが無効になります。