创建策略

注意：

You can manage your Citrix Virtual Apps and Desktops™ deployment using two management consoles: Web Studio (web-based) and Citrix Studio (Windows-based). This article covers only Web Studio. For information about Citrix Studio, see the equivalent article in Citrix Virtual Apps and Desktops 7 2212 or earlier.

在创建策略之前，请确定它可能影响的用户或设备组。您可能希望创建基于用户工作职能、连接类型、用户设备或地理位置的策略。您还可以使用与 Windows Active Directory 组策略相同的条件。

如果您已创建适用于某个组的策略，请考虑编辑该策略，而不是创建另一个策略。编辑策略后，配置相应的设置。避免仅仅为了启用特定设置或将策略排除在某些用户之外而创建策略。

创建策略时，您可以基于策略模板中的设置并根据需要自定义设置。您也可以不使用模板创建它，并添加所需的所有设置。

在 Web Studio 中，新创建的策略被设置为“禁用”，除非明确选中“启用策略”复选框。

在策略创建期间以及配置设置时，系统提供了一个选项来查看设置类型。您可以查看以下设置类型：

• 所有设置 - 查看适用于所有 VDA 版本的设置
• 仅当前设置 - 查看特定于当前 VDA 版本的设置
• 仅旧版设置 - 查看仅适用于已弃用 VDA 版本的设置

在配置设置时，查看设置的方法如下：

1. 登录 Web Studio 并在左侧窗格中选择“策略”。
2. 在“策略”选项卡中，单击“创建策略”。
3. 在“选择设置”表中，单击“设置”旁边的下拉列表。
4. 从下拉列表中选择以下选项之一：

• 所有设置 - 查看所有 VDA 版本的全部设置
• 仅当前设置 - 仅查看当前 VDA 版本的设置
• 仅旧版设置 - 仅查看已弃用 VDA 版本的设置

1. “设置”表列出了根据上一步可用的设置。

策略设置

策略设置可以启用、禁用或不配置。默认情况下，策略设置未配置，这意味着它们未添加到策略中。设置仅在添加到策略时才应用。

策略设置已得到增强，旨在明确区分依赖策略之间的关系。此功能可确保在配置子策略设置时，父策略必须首先进行配置，以使其生效。

以下是配置策略设置的步骤：

1. 在“创建策略”页面上，在“选择设置”下，搜索“overall”。 列出了与“总体会话带宽限制”相关的所有策略（父策略和子策略）。
2. 当您将鼠标悬停在子策略上时，工具提示会指示您，在配置“总体会话带宽限制”父策略之前，无法配置子策略。
3. 配置父策略设置，然后配置子策略设置，并单击“保存”。
4. “设置”和“当前值”列显示在“创建/编辑策略”表中配置的值。该表显示“编辑”选项，供您修改已配置的设置。

注意：

• 子策略只有在父策略配置完成后才能选择。
• 如果取消选中父策略，则会弹出一条消息，指示关联的子策略也将被取消选中或取消选择。

The following table provides the list of parent policies along with the corresponding dependent or child policies.

某些策略设置可以处于以下状态之一：

• “允许”或“禁止”允许或阻止由设置控制的操作。有时，用户被允许或阻止在会话中管理设置的操作。例如，如果菜单动画设置设为“允许”，则用户可以在其客户端环境中控制菜单动画。
• “启用”或“禁用”开启或关闭设置。如果禁用某个设置，则在较低级别的策略中不会启用该设置。

此外，某些设置控制依赖设置的有效性。例如，“客户端驱动器重定向”控制用户是否被允许访问其设备上的驱动器。必须将此设置和“客户端网络驱动器”设置都添加到策略中，才能允许用户访问其网络驱动器。如果“客户端驱动器重定向”设置被禁用，则即使“客户端网络驱动器”设置已启用，用户也无法访问其网络驱动器。

通常，影响计算机的策略设置更改会在虚拟桌面重新启动或用户登录时生效。影响用户的策略设置更改会在用户下次登录时生效。如果您使用的是 Active Directory，则策略设置会在 Active Directory 每隔 90 分钟重新评估策略时更新。并且策略设置会在虚拟桌面重新启动或用户登录时应用。

对于某些策略设置，在将设置添加到策略时，您可以输入或选择一个值。您可以通过选择“使用默认值”来限制设置的配置。此选择会禁用设置的配置，并且在应用策略时只允许使用设置的默认值。无论在选择“使用默认值”之前输入了什么值，此选择都有效。

如果启用了安全默认设置，在 VDA 安装期间，策略设置的优先级会受到以下影响：

• 自定义设置具有最高优先级
• 安全默认设置具有第二优先级
• 默认设置具有最低优先级

要查看策略的安全默认设置：

1. 登录到 Web 工作室。
2. 在左侧导航栏中，单击“策略”。
3. 在“策略”选项卡中，单击“创建策略”。

4. 在“选择设置”表中，当您将鼠标悬停在当前值为“允许 ?”的设置上时，将显示“安全默认值: 禁止”。

   

最佳做法：

• 将策略分配给组而不是单个用户。如果将策略分配给组，则在您向组中添加或删除用户时，分配会自动更新。
• 不应在远程桌面会话主机配置中启用冲突或重叠的设置。有时，远程桌面会话主机配置提供与 Citrix 策略设置类似的功能。在可能的情况下，保持所有设置一致（启用或禁用），以便于故障排除。
• 禁用未使用的策略。未添加任何设置的策略会产生不必要的处理。

策略的分配

创建策略时，您会将其分配给特定的用户和计算机对象。该策略根据特定的条件或规则应用于连接。通常，您可以根据条件的组合，向策略添加任意数量的分配。

如果您未指定任何分配，或者指定了分配但将其禁用，则该策略将应用于所有连接。

注意：

策略分配也称为策略筛选器。有关更多信息，请参阅以下主题：

• 创建、修改或删除策略筛选器
• 筛选器如何应用？

下表列出了所有可用的策略分配：

当用户登录时，系统会识别所有与该连接的分配条件相匹配的策略。这些策略将按照优先级顺序进行排序，并对任何设置的多个实例进行比较。每个设置都将根据策略的优先级排名进行应用。任何被禁用的策略设置都将优先于较低优先级但已启用的设置。未配置的策略设置将被忽略。

重要：

使用组策略管理控制台配置 Active Directory 和 Citrix 策略时，分配和设置可能无法按预期应用。有关详细信息，请参阅 CTX127461

默认提供一个名为“未筛选”的策略。

• 如果您使用 Web Studio 管理 Citrix 策略，则添加到“未筛选”策略的设置将应用于站点中的所有服务器、桌面和连接。
• 如果您使用本地组策略编辑器管理 Citrix 策略，则添加到“未筛选”策略的设置将应用于所有站点和连接。站点和连接必须在包含该策略的组策略对象 (GPO) 的范围内。例如，销售 OU 包含一个名为 Sales-US 的 GPO，其中包含美国销售团队的所有成员。Sales-US GPO 配置了一个“未筛选”策略，其中包含多个用户策略设置。当美国销售经理登录到站点时，“未筛选”策略中的设置会自动应用于会话。此配置是因为该用户是 Sales-US GPO 的成员。

分配模式决定了策略是否仅应用于与所有分配条件匹配的连接。如果模式设置为“允许”（默认值），则策略仅应用于与分配条件匹配的连接。如果模式设置为“拒绝”，则当连接不匹配分配条件时，策略将应用。以下示例说明了当存在多个分配时，分配模式如何影响 Citrix 策略。

• 示例：具有不同模式的同类型分配 - 在具有两个相同类型分配的策略中，一个设置为“允许”，一个设置为“拒绝”，如果连接同时满足这两个分配，则设置为“拒绝”的分配优先。例如：

  策略 1 包含以下分配：

  • 分配 A 指定销售组。模式设置为“允许”。
  • 分配 B 指定销售经理的帐户。模式设置为“拒绝”。

  由于分配 B 的模式设置为“拒绝”，因此即使该用户是销售组的成员，当销售经理登录到站点时，该策略也不会应用。

• 示例：具有相同模式的不同类型分配 - 在具有两个或更多不同类型分配（均设置为“允许”）的策略中，连接必须满足每种类型至少一个分配，策略才能应用。例如：

  策略 2 包含以下分配：

  • 分配 C 是一个用户分配，指定销售组。模式设置为“允许”。
  • 分配 D 是一个客户端 IP 地址分配，指定 10.8.169.*（公司网络）。模式设置为“允许”。

  当销售经理从办公室登录到站点时，策略会应用，因为连接满足这两个分配。

  策略 3 包含以下分配：

  • 分配 E 是一个用户分配，指定销售组。模式设置为允许。
  • 分配 F 是一个访问控制分配，指定 NetScaler Gateway 连接条件。模式设置为允许。

  当销售经理从办公室登录到站点时，该策略没有被应用，因为连接不满足分配 F。

使用 Web Studio 基于模板创建策略

1. 登录到 Web Studio 并在左侧窗格中选择 策略。

2. 选择 模板 选项卡并选择一个模板。

3. 在操作栏中选择 从模板创建策略。

4. 默认情况下，新策略使用模板中的所有默认设置。在这种情况下，已选择 模板默认设置（推荐）。如果要更改设置，请选择 修改默认设置并添加更多，然后添加或删除设置。

5. 通过选择以下选项之一指定如何应用策略：

   • 选定的用户和计算机对象。要将策略应用于选定的用户和计算机对象，然后单击 分配 以选择必须应用策略的用户和计算机对象。
   • 站点中的所有对象。要将策略应用于站点中的所有用户和计算机对象。

6. 输入策略名称。考虑根据策略影响的对象或内容来命名策略，例如“会计部门”或“远程用户”。（可选）添加描述。

   策略默认处于禁用状态；您可以启用它。启用策略后，它会立即应用于登录用户。禁用策略会阻止其应用。如果您必须优先处理策略或稍后添加设置，请考虑禁用策略，直到您准备好应用它。

使用 Web Studio 创建策略

1. 登录到 Web Studio 并在左侧窗格中选择 策略。

2. 选择策略选项卡。

3. 在操作栏中选择创建策略。

4. 添加并配置策略设置。

5. 通过选择以下选项之一来指定如何应用策略：

   • 分配给选定的用户和计算机对象，然后选择要应用策略的用户和计算机对象。
   • 分配给站点中的所有对象，以将策略应用于站点中的所有用户和计算机对象。

6. 为策略输入名称或接受默认名称。考虑根据策略影响的对象或内容来命名策略，例如“会计部门”或“远程用户”。（可选）添加描述。

   策略默认启用；您可以将其禁用。启用策略后，它会立即应用于登录用户。禁用可防止策略被应用。如果您必须优先处理策略或稍后添加设置，请考虑禁用策略，直到您准备好应用它。

使用组策略编辑器创建和管理策略

在组策略编辑器中，展开计算机配置或用户配置。展开策略节点，然后选择Citrix 策略。选择相应的操作：