安全总监部署
本文重点介绍在部署和配置Director时可能对系统安全性有影响的领域。
您可以使用受限的IIS配置配置Director。
文件扩展名
可以禁止未列出的文件扩展名。
Director在请求过滤中需要以下文件扩展名:
- . aspx
- . css
- . html
- . js
- . png
- .svc
- gif
- . json
- .woff
- .woff2
- .ttf
Director在请求过滤中需要以下HTTP谓词。你可以禁止未列出的动词。
署长不要求:
- ISAPI筛选器
- ISAPI扩展
- CGI程序
- FastCGI程序
重要的是:
- Director要求完全信任。不要将全局的。net信任级别设置为高或更低。
- Director维护一个单独的应用程序池。如果需要修改Director设置,请选择Director站点并进行修改。
在安装Director时,它的应用程序池被授予以下权限:
- 作为服务登录登录正确的
- 调整进程的内存配额,生成安全审计,替换进程级令牌特权
上面提到的权限和特权是创建应用程序池时的正常安装行为。
您不需要更改这些用户权限。Director不使用这些特权,会自动禁用。
主管沟通
在生产环境中,请使用Internet协议安全(IPsec)或HTTPS协议来保护Director和服务器之间传递的数据。
IPsec是Internet协议的一组标准扩展,它提供具有数据完整性和重放保护的认证和加密通信。由于IPsec是一个网络层协议集,所以更高级别的协议可以不需要修改就可以使用它。HTTPS使用Transport Layer Security (TLS)协议提供强大的数据加密。
注意:
- Citrix强烈建议您在内部网内限制对Director控制台的访问。
- Citrix强烈建议不要在生产环境中启用到Director的不安全连接。
- 来自Director的安全通信需要为每个连接分别配置。
- 不建议使用SSL协议。请使用更安全的TLS协议。
- 使用TLS而不是IPsec保护您与Citrix ADC的通信。
要确保Director与Citrix Virtual Apps和desktop服务器之间的通信安全(用于监视和报告),请参见数据访问安全.
要确保Director和Citrix ADC之间的通信安全(针对Citrix Insight),请参见配置网络分析.
要确保Director和许可证服务器之间的通信安全,请参见保护许可证管理控制台.
主管安全分离
您可以在与Director相同的web域(域名和端口)中部署任何web应用程序。但是,这些web应用程序中的任何安全风险都可能降低Director部署的安全性。如果需要更大程度的安全隔离,Citrix建议将Director部署在单独的web域中。
该内容的官方版本是英文的。一些Citrix文档内容是机器翻译的,只是为了您的方便。思杰对机器翻译的内容没有控制权,这些内容可能包含错误、不准确或不合适的语言。对于从英语原文翻译成任何其他语言的准确性、可靠性、适用性或正确性,或您的思杰产品或服务符合任何机器翻译的内容,以及根据适用的最终用户许可协议或服务条款或与思杰的任何其他协议提供的任何保证,均不作任何形式的明示或暗示保证。产品或服务符合任何文件的规定不适用于该文件已被机器翻译的情况。思杰对使用机器翻译内容可能产生的任何损害或问题概不负责。
Dieser dienst kann Übersetzungen enthalten, die von谷歌beritgestellt werden。谷歌lehnt jede ausdrÜckliche oder stillschweigende gewÄhrleistung in bezug auf die Übersetzungen ab, einschliesslich jeglicher gewÄhrleistung der genauigkeit, zuverlÄssigkeit und jeglicher stillschweigende gewÄhrleistung der marktgÄngigkeit, der eignung fÜr einen beestimmten zweck und der nichtverletzung von rechten dritter。
我们的服务是平等的。谷歌排除相对的,隐含的,确切的,确切的,fiabilitÉ和隐含的qualitÉ marchande, 'adÉquation À unusage particulier et d '缺席的contrefaÇon。
Este servicio puede contener traducciones con tecnologÍa de谷歌。谷歌renuncia a todas las garantÍas relacionadas con las traducciones, tanto implÍcitas como explÍcitas,包括iduidas las garantÍas de精确,fiabilidad y otras garantÍas implÍcitas de comerciabilidad, idoneidad para UN fin en特别y ausencia de infracciÓn de derechos。
本服务可能包含由谷歌提供技术支持的翻译。谷歌对这些翻译内容不做任何明示或暗示的保证,包括对准确性、可靠性的任何保证以及对适销性,特定用途的适用性和非侵权性的任何暗示保证。
このサビスには,谷歌が提供する翻訳が含まれている可能性があります。谷歌は翻訳について,明示的か黙示的かを問わず,精度と信頼性に関するあらゆる保証,および商品性,特定目的への適合性,第三者の権利を侵害しないことに関するあらゆる黙示的保証を含め,一切保証しません。
Este serviÇo pode conter traduÇÕes fornecidas pelo谷歌。O谷歌se exme de todas as garantias relacionadas com as traduÇÕes, expressas ou implÍcitas, incluindo ququer garantia de precisÃo, conffiabilidade e ququer garantia implÍcita de comercializaÇÃo, adequaÇÃo a um propÓsito especÍfico e nÃo infraÇÃo。