安全总监部署

本文重点介绍在部署和配置Director时可能对系统安全性有影响的领域。

配置微软Internet信息服务(IIS)

您可以使用受限的IIS配置配置Director。

文件扩展名

可以禁止未列出的文件扩展名。

Director在请求过滤中需要以下文件扩展名:

• . aspx
• . css
• . html
• . js
• . png
• .svc
• gif
• . json
• .woff
• .woff2
• .ttf

Director在请求过滤中需要以下HTTP谓词。你可以禁止未列出的动词。

• 得到
• 帖子
• 头

署长不要求:

• ISAPI筛选器
• ISAPI扩展
• CGI程序
• FastCGI程序

重要的是:

• Director要求完全信任。不要将全局的。net信任级别设置为高或更低。
• Director维护一个单独的应用程序池。如果需要修改Director设置，请选择Director站点并进行修改。

配置用户权限

在安装Director时，它的应用程序池被授予以下权限:

• 作为服务登录登录正确的
• 调整进程的内存配额，生成安全审计,替换进程级令牌特权

上面提到的权限和特权是创建应用程序池时的正常安装行为。

您不需要更改这些用户权限。Director不使用这些特权，会自动禁用。

主管沟通

在生产环境中，请使用Internet协议安全(IPsec)或HTTPS协议来保护Director和服务器之间传递的数据。

IPsec是Internet协议的一组标准扩展，它提供具有数据完整性和重放保护的认证和加密通信。由于IPsec是一个网络层协议集，所以更高级别的协议可以不需要修改就可以使用它。HTTPS使用Transport Layer Security (TLS)协议提供强大的数据加密。

注意:

• Citrix强烈建议您在内部网内限制对Director控制台的访问。
• Citrix强烈建议不要在生产环境中启用到Director的不安全连接。
• 来自Director的安全通信需要为每个连接分别配置。
• 不建议使用SSL协议。请使用更安全的TLS协议。
• 使用TLS而不是IPsec保护您与Citrix ADC的通信。

要确保Director与Citrix Virtual Apps和desktop服务器之间的通信安全(用于监视和报告)，请参见数据访问安全．

要确保Director和Citrix ADC之间的通信安全(针对Citrix Insight)，请参见配置网络分析．

要确保Director和许可证服务器之间的通信安全，请参见保护许可证管理控制台．

主管安全分离

您可以在与Director相同的web域(域名和端口)中部署任何web应用程序。但是，这些web应用程序中的任何安全风险都可能降低Director部署的安全性。如果需要更大程度的安全隔离，Citrix建议将Director部署在单独的web域中。