Product Documentation

安全 Director 部署

May 12, 2016

本文重点介绍在部署和配置 Director 时可能会影响系统安全的几个方面。

配置 Microsoft Internet Information Services (IIS)。

可以配置具有受限 IIS 配置的 Director。 请注意,这不是默认 IIS 配置。

文件扩展名

可以不允许使用未列出的文件扩展名。

Director 要求在请求筛选中使用以下文件扩展名:

  • .aspx
  • .css
  • .html
  • .js
  • .png

Director 要求在请求筛选中使用以下 HTTP 谓词。 可以不允许使用未列出的谓词。

  • GET
  • POST
  • HEAD

Director 不需要以下各项:

  • ISAPI 筛选器
  • ISAPI 扩展
  • CGI 程序
  • FastCGI 程序

Important

  • Director 要求完全信任。 请勿将全局 .NET 信任级别设置为“高”或更低。
  • Director 维护独立的应用程序池。要修改 Director 的设置,请选择 Director 站点并进行修改。

配置用户权限

安装 Director 时,将向其应用程序池授予登录权限“作为服务登录”以及权限“为进程调整内存配额”、“生成安全审核”和“替换一个进程级令牌”。 这是创建应用程序池时的常规安装行为。

您不需要更改这些用户权限。 这些权限不会被 Director 使用,并且自动禁用。

Director 中的证书:

  • 要使用 HTTPS,可以配置并使用可信证书。

Director 通信

在生产环境中,Citrix 建议使用 Internet 协议安全性 (IPsec) 或 HTTPS 协议来确保在 Director 与您的服务器之间传输的数据的安全。 IPsec 是 Internet 协议的一组标准扩展,可提供经过身份验证和加密的通信,并且可以实现数据完整性和重播保护功能。 由于 IPsec 是一个网络层协议集,因此无需任何修改即可将其用于更高级别的协议。 HTTPS 使用安全套接字层 (SSL) 和传输层安全性 (TLS) 协议来提供强大的数据加密。

可以使用 TLS Relay 来确保 Director 与 XenApp/XenDesktop 服务器之间的数据流量安全。 有关详细信息,请参阅博客文章 Securing Citrix Director: OData Interface through TLS(通过 TLS 确保 Citrix Director: OData 接口安全)。

Citrix 建议使用 NetScaler Gateway 和 HTTPS 来确保 Director 与用户设备之间的通信安全。 要使用 HTTPS,Director 要求将托管身份验证服务的 Microsoft Internet Information Services (IIS) 实例配置为支持 HTTPS。 如果没有合适的 IIS 配置,Director 将使用 HTTP 进行通信。 Citrix 强烈建议您不要在生产环境中启用指向 Director 的不安全的用户连接。

Director 安全隔离

如果您在与 Director 相同的 Web 域(域名和端口均相同)中部署任何 Web 应用程序,则这些 Web 应用程序中存在的任何安全风险可能会潜在地降低 Director 部署的安全性。 如果环境中需要更大程度的安全隔离,Citrix 建议您在单独的 Web 域中部署 Director。