Product Documentation

保护服务器场

Sep 14, 2015

请咨询您组织的安全专家,获取最符合您需求的全面安全策略。

Citrix Receiver 与使用 Microsoft 专用安全限制功能 (SSLF) 桌面安全模板的环境兼容,并可在其中正常运行。这些模板受 Microsoft Windows XP 和 Vista 平台的支持。有关此模板和相关设置的详细信息,请参阅 http://technet.microsoft.com 上的 Windows XP 和 Windows Vista 安全指南。

在部署中,如果 XenApp 服务器属于应用了 Microsoft 专用安全限制功能成员服务器 (WS08R2-SSLF-Member-Server 1.0) 或企业配置成员服务器 (WS08R2-EC-Member-Server 1.0) 安全模板的组织单位 (OU),则应用程序对于匿名用户或域用户可能无法启动。为避免出现此情况,请将以下组添加到组织单位内各服务器的 Allow Logon through Remote Desktop Services(允许通过远程桌面服务登录)设置中。
  • 对于匿名用户:为场中的每个 XenApp 服务器添加 server-name\Anonymous,其中 server-name 是 XenApp 服务器的名称
  • 对于域用户:为场中的每个 XenApp 服务器添加 domain-name\Domain Users,其中 domain-name 是域的名称

保护对服务器的访问

保护服务器场的首要步骤是保护对服务器的访问。

保护 AppCenter 的安全

可以使用 AppCenter 连接场中的任何服务器。请仅在无法进行数据包探查的环境中使用交付服务控制台。此外,还要确保只有管理员可以访问该控制台。您可以设置 NTFS 权限,使非管理员不具有 AppCenter 可执行文件的执行权限。

使用 NTFS 分区

要确保可以对 XenApp 安装的所有文件强制执行适当的访问控制,请仅在 NTFS 格式的磁盘分区上安装 XenApp。

可信服务器配置

此功能确定并强制执行客户端连接中涉及的信任关系。此功能用于增强客户端管理员和用户对客户端设备上数据完整性的信任,还可用于防止恶意使用客户端连接。启用此功能后,客户端可以指定信任要求并确定是否信任到服务器的某个连接。

保护数据存储

保护数据存储不仅涉及到保护数据存储数据库中的数据,还涉及限制访问者权限。一般来说:
  • 不需要也不应该向可访问您场中服务器的用户授予任何访问数据存储的权限。
  • 所有场服务器共享一个用户帐户和密码来访问数据存储。请选择不易于推断出来的密码。保护好用户名和密码,仅在安装 XenApp 时将其提供给管理员。
警告:如果随后更改了用于访问数据库的用户帐户,则在所有使用该帐户配置的服务器上,Citrix IMA Service 将无法启动。要重新配置 Citrix IMA Service 的密码,请在每台受影响的服务器上使用 dsmaint config 命令。在更改数据存储上的密码之前,请务必创建数据存储的备份。

有关详细信息,请咨询数据库供应商文档。

Microsoft SQL Server

用于访问 Microsoft SQL Server 上的数据存储的用户帐户在服务器和数据库中具有公共角色和 db_owner 角色。访问数据存储不需要系统管理员帐户凭据;请不要使用系统管理员帐户,因为这会带来其他安全风险。

如果将 Microsoft SQL Server 配置为混合模式的安全设置(即您可以使用 Microsoft SQL Server 身份验证,也可以使用 Windows 身份验证),您可能需要创建一个 Microsoft SQL Server 用户帐户,而创建的目的仅仅是为了访问数据存储。因为此 Microsoft SQL Server 用户帐户只能访问数据存储,即使用户的密码泄露,也不会危及 Windows 域的安全。对于安全性很高的环境,Citrix 建议仅使用 Windows 身份验证。
重要:为了增强安全性,您可以在使用 db_owner 权限首次安装数据库以后,将用户帐户的权限更改为 db_reader 和 db_writer。更改用户帐户的权限使之不再为 db_owner,可能会导致安装将来的 Service Pack 或 XenApp 的功能版本时出现问题。在安装 XenApp Service Pack 或功能版本之前,请务必将帐户权限更改回 db_owner。

Microsoft SQL Server Express

Microsoft SQL Server Express 数据库支持 Windows 身份验证。出于安全考虑,不支持 Microsoft SQL Server 身份验证。通常使用本地系统管理员帐户的用户名和密码。如果用户拥有权访问数据存储服务器的权限,请使用 dsmaint config 命令更改密码,并将信息保存在一个安全的位置。

Oracle

仅向服务器场使用的 Oracle 用户帐户授予“连接”和“资源”权限。访问数据存储不需要系统管理员(system 或 sys)帐户权限。