Horizon Client e Segurança do Agente

Transcrição

1 Horizon Client e Segurança do Agente Horizon Client 2006/2012, Horizon Agent 2006/2012 VMware Horizon 2012 Este documento foi traduzido automaticamente do inglês. Se você observar algum erro de tradução, deixe seu feedback na parte inferior da página específica da publicação no VMware Docs.

2 Você pode encontrar a documentação técnica mais atualizada no site da VMware, em: VMware, Inc Hillview Ave. Palo Alto, CA VMware Brasil Rua Surubim, 504 4º andar CEP Cidade Monções São Paulo SÃO PAULO: Brasil Tel: Fax: Copyright VMware, Inc. Todos os direitos reservados. Informações sobre direitos autorais e marca registrada. VMware, Inc. Traduzido automaticamente 2

3 Conteúdo Segurança do Horizon Client e do Agent 4 1 Portas externas 5 Noções básicas sobre protocolos de comunicação 5 Regras de firewall para Horizon Agent 6 Portas TCP e UDP para clientes e agentes 7 2 Serviços, daemons e processos instalados 12 Horizon Agent serviços no Windows Mac Hines 12 Horizon Client serviços em clientes Windows 13 Daemons em clientes não Windows e desktops Linux 13 3 Recursos para proteger 15 Implementação de práticas recomendadas para proteger os sistemas do cliente 15 Localizações do arquivo de configuração 15 Contas 16 4 Configurações de segurança para o cliente e o agente 18 Configurando a verificação de certificado 18 Configurações relacionadas à segurança nos modelos de configuração do Horizon Agent 19 Definindo opções em arquivos de configuração em uma área de trabalho Linux 21 Configurações de política de grupo para HTML Access 38 Configurações de segurança no Horizon Client modelos de configuração 38 Configurando o modo de verificação de certificado do Horizon Client 38 Configurando a proteção da autoridade de segurança local 39 5 Configurando os protocolos de segurança e os conjuntos de codificação 40 Políticas padrão para protocolos de segurança e conjuntos de codificação 40 Configurando protocolos de segurança e pacotes de codificação para tipos específicos de cliente 42 Desativar cifras fracas em SSL/TLS 42 Configurar protocolos de segurança e conjuntos de codificação para o agente HTML Access 43 Configurar políticas de proposta em áreas de trabalho remotas 44 6 Aplicando patches de segurança 46 VMware, Inc. Traduzido automaticamente 3

4 Segurança do Horizon Client e do Agent Este guia descreve os recursos de segurança do VMware Horizon Client e Horizon Agent. É um guia complementar para o documento. Horizon Client é o software cliente que os usuários finais executam em seus dispositivos cliente para se conectar a áreas de trabalho remotas e aplicativos publicados. Horizon Agent é o software do agente que é executado em áreas de trabalho virtuais e em hosts RDS da Microsoft que fornecem áreas de trabalho publicadas e aplicativos publicados. As informações neste documento destinam-se a responsáveis por decisões de ti, arquitetos, administradores e outras pessoas que devem compreender os componentes de segurança do VMware Horizon. VMware, Inc. Traduzido automaticamente 4

5 Portas externas 1 Dependendo de quais recursos você deseja usar, determinadas portas devem ser abertas para permitir que o cliente e o software do agente se comuniquem. Este capítulo inclui os seguintes tópicos: Noções básicas sobre protocolos de comunicação Regras de firewall para Horizon Agent Portas TCP e UDP para clientes e agentes Noções básicas sobre protocolos de comunicação Os componentes VMware Horizon usam vários protocolos diferentes para trocar mensagens. A tabela a seguir lista as portas padrão que cada protocolo usa. Você pode alterar os números de porta. Por exemplo, pode ser necessário alterar os números de porta para estar em conformidade com as políticas da organização ou para evitar contenção. Tabela 1-1. Portas padrão Protocolo Porta JMS Porta TCP 4001 Porta TCP 4002 HTTP Porta TCP 80 HTTPS Porta TCP 443 MMR / CDR Porta TCP 9427 Os seguintes recursos usam essa porta. Redirecionamento de multimídia do Windows Redirecionamento de unidade do cliente Microsoft Teams otimização Redirecionamento multimídia HTML VMware redirecionamento de impressora Redirecionamento USB RDP Porta TCP 3389 VMware, Inc. Traduzido automaticamente 5

6 Tabela 1-1. Portas padrão (continuação) Protocolo Porta PCoIP Porta TCP 4172 Portas UDP 4172, 50002, Redirecioname nto USB VMware Blast Extreme Porta TCP Essa porta também é usada para sincronização de fuso horário. Portas TCP 8443, Portas UDP 443, 8443, HTML Access Portas TCP 8443, Regras de firewall para Horizon Agent Para abrir as portas de rede padrão, o instalador Horizon Agent configura opcionalmente as regras de firewall do Windows em áreas de trabalho virtuais e hosts RDS. O instalador Horizon Agent configura a regra de firewall local para conexões RDP de entrada para corresponder à porta RDP atual do sistema operacional host, que normalmente é Se você instruir o instalador Horizon Agent a não ativar o suporte à Área de Trabalho Remota, ele não abrirá as portas 3389 e e você deverá abrir essas portas manualmente. Se você alterar o número da porta RDP após a instalação, deverá alterar as regras de firewall associadas. Se você alterar uma porta padrão após a instalação, deverá reconfigurar manualmente as regras de firewall para permitir o acesso à porta atualizada. Para obter mais informações, consulte o documento. Em hosts RDS, as regras de firewall do Windows para Horizon Agent mostram um bloco de 256 portas UDP contíguas como abertas para o tráfego de entrada. Esse bloco de portas é para uso interno do VMware Blast em Horizon Agent. Um driver especial assinado pela Microsoft em hosts RDS bloqueia o tráfego de entrada para essas portas de origens externas. Esse driver faz com que o firewall do Windows trate as portas como fechadas. Se você usar um modelo de máquina virtual como uma origem da área de trabalho, as exceções de firewall serão transferidas para as áreas de trabalho implantadas somente se o modelo for um membro do domínio da área de trabalho. Você pode usar as configurações de política de grupo da Microsoft para gerenciar exceções de firewall local. Para obter mais informações, consulte o artigo da Base de Dados de Conhecimento Microsoft (KB). A tabela a seguir lista as portas TCP e UDP que são abertas durante a instalação do Horizon Agent. As portas são recebidas, a menos que indicado de outra forma. Tabela 1-2. Portas TCP e UDP abertas durante a instalação Horizon Agent Protocolo Portas RDP Porta TCP 3389 Redirecionamento de USB e sincronização de fuso horário Porta TCP VMware, Inc. Traduzido automaticamente 6

7 Tabela 1-2. Portas TCP e UDP abertas durante a instalação Horizon Agent (continuação) Protocolo Redirecionamento de multimídia (MMR) e redirecionamento de unidade do cliente (CDR) PCoIP Portas Porta TCP 9427 Os seguintes recursos usam essa porta: Redirecionamento de multimídia do Windows Redirecionamento de unidade do cliente Microsoft Teams otimização Redirecionamento multimídia HTML VMware redirecionamento de impressora Redirecionamento USB Para hosts RDS, o PCoIP usa a porta TCP 4172 e a porta UDP 4172 (bidirecional). Para áreas de trabalho virtuais, o PCoIP usa números de porta selecionados de um intervalo configurável. Por padrão, o PCoIP usa as portas TCP 4172 a 4173 e as portas UDP 4172 a As regras de firewall não especificam números de porta. Em vez disso, eles seguem dinamicamente as portas abertas por cada servidor PCoIP. Os números de porta selecionados são comunicados ao cliente por meio da instância do Servidor de Conexão. VMware Blast Porta TCP Porta UDP (bidirecional) Observação O UDP não é usado em áreas de trabalho Linux. HTML Access Porta TCP XDMCP UDP 177 Observação Essa porta está aberta para acesso ao XDMCP somente em áreas de trabalho Linux executando o Ubuntu As regras de firewall bloqueiam todo o acesso do host externo a essa porta. X11 TCP 6100 Observação Essa porta está aberta para acesso ao XServer somente em áreas de trabalho Linux executando o Ubuntu As regras de firewall bloqueiam todo o acesso do host externo a essa porta. Portas TCP e UDP para clientes e agentes Horizon Agent e Horizon Client usam portas TCP e UDP para acesso à rede entre si e determinados componentes do servidor. VMware, Inc. Traduzido automaticamente 7

8 Tabela 1-3. Portas TCP e UDP que Horizon Agent usa Código-fonte Porta Destino Porta Protocol o Descrição Horizon Client * Horizon Agent 3389 TCP O tráfego do Microsoft RDP para áreas de trabalho remotas quando conexões diretas são usadas em vez de conexões de túnel. Horizon Client * Horizon Agent 9427 TCP Redirecionamento de multimídia do Windows, redirecionamento de unidade do cliente, Microsoft Teams otimização, redirecionamento de multimídia HTML5, redirecionamento de impressora VMware e redirecionamento de USB quando conexões diretas são usadas em vez de conexões de túnel. Observação Não é necessário para o redirecionamento de unidade do cliente ao usar o Blast VMware. Horizon Client * Horizon Agent TCP Redirecionamento de USB e sincronização de fuso horário quando conexões diretas são usadas em vez de conexões de túnel. Horizon Client * Horizon Agent 4172 TCP e UDP PCoIP quando o PCoIP Secure Gateway não for usado. Observação Como a porta de origem varia, consulte a observação abaixo desta tabela. Horizon Client * Horizon Agent TCP e UDP VMware Blast quando conexões diretas são usadas em vez de conexões de túnel. Observação O UDP não é usado em áreas de trabalho Linux. Navegador * Horizon Agent TCP HTML Access quando conexões diretas são usadas em vez de conexões de túnel. Servidor de Conexão ou appliance Unified Access Gateway Servidor de Conexão ou appliance Unified Access Gateway Servidor de Conexão ou appliance Unified Access Gateway * Horizon Agent 3389 TCP O tráfego do Microsoft RDP para áreas de trabalho remotas quando conexões de túnel são usadas. * Horizon Agent 9427 TCP Redirecionamento de multimídia do Windows, redirecionamento de unidade do cliente, Microsoft Teams otimização, redirecionamento de multimídia HTML5, redirecionamento de impressora VMware e redirecionamento de USB quando conexões de túnel são usadas. * Horizon Agent TCP Redirecionamento de USB e sincronização de fuso horário quando conexões de túnel são usadas. VMware, Inc. Traduzido automaticamente 8

9 Tabela 1-3. Portas TCP e UDP que Horizon Agent usa (continuação) Código-fonte Porta Destino Porta Protocol o Descrição Servidor de Conexão ou appliance Unified Access Gateway Servidor de Conexão ou appliance Unified Access Gateway Horizon Agent 4172 UDP PCoIP (não SALSA20) quando o PCoIP Secure Gateway é usado. * Horizon Agent 4172 TCP PCoIP quando o PCoIP Secure Gateway for usado. Servidor de Conexão ou appliance Unified Access Gateway * Horizon Agent TCP e UDP VMware Blast quando Blast Secure Gateway é usado. Observação O UDP não é usado em áreas de trabalho Linux. Servidor de Conexão ou appliance Unified Access Gateway * Horizon Agent TCP HTML Access quando o Blast Secure Gateway for usado. Horizon Agent * Servidor de Conexão 4001, 4002 TCP Tráfego SSL JMS. Horizon Agent 4172 Horizon Client * UDP PCoIP quando o PCoIP Secure Gateway não for usado. Observação Como a porta de destino varia, consulte a observação abaixo desta tabela. Horizon Agent 4172 Servidor de Conexão ou appliance Unified Access Gateway UDP PCoIP (não SALSA20) quando o PCoIP Secure Gateway é usado. Observação O número da porta UDP que os agentes usam para PCoIP pode mudar. Se a porta estiver em uso, o agente usará a porta Se a porta estiver em uso, o agente usará a porta e assim por diante. Você deve configurar firewalls com ANY onde um asterisco (*) está listado na tabela. VMware, Inc. Traduzido automaticamente 9

10 Tabela 1-4. Portas TCP e UDP que Horizon Client usa Código-fonte Porta Destino Porta Protocol o Descrição Horizon Client * Servidor de Conexão ou appliance Unified Access Gateway Horizon Client * Appliance de Unified Access Gateway 443 TCP HTTPS para fazer login no VMware Horizon. Essa porta também é usada para encapsulamento quando conexões de túnel são usadas. Observação Horizon Client suporta a porta UDP UDP HTTPS para fazer login no VMware Horizon quando o Blast Secure Gateway é usado e o Servidor de Túnel UDP está ativado. Essa porta também é usada para encapsulamento quando conexões de túnel são usadas. Appliance de Unified Access Gateway 443 Horizon Client * UDP HTTPS para fazer login no VMware Horizon quando o Blast Secure Gateway é usado e o Servidor de Túnel UDP está ativado. Essa porta também é usada para encapsulamento quando conexões de túnel são usadas. Horizon Client * Horizon Agent TCP HTML Access e VMware Blast quando o Blast Secure Gateway não é usado. Horizon Client * Horizon Agent UDP VMware Blast quando o Blast Secure Gateway não é usado. Observação Não usado ao se conectar a áreas de trabalho Linux. Horizon Agent Horizon Client * UDP VMware Blast quando o Blast Secure Gateway não é usado. Observação Não usado ao se conectar a áreas de trabalho Linux. Horizon Client * Horizon Agent 3389 TCP O tráfego do Microsoft RDP para áreas de trabalho remotas se conexões diretas forem usadas em vez de conexões de túnel. Horizon Client * Horizon Agent 9427 TCP Redirecionamento de multimídia do Windows, redirecionamento de unidade do cliente, Microsoft Teams otimização, redirecionamento de multimídia HTML5, redirecionamento de impressora VMware e redirecionamento de USB quando conexões diretas são usadas em vez de conexões de túnel. Observação Não é necessário para o redirecionamento de unidade do cliente ao usar o Blast VMware. Horizon Client * Horizon Agent TCP Redirecionamento de USB e sincronização de fuso horário quando conexões diretas são usadas em vez de conexões de túnel. VMware, Inc. Traduzido automaticamente 10

11 Tabela 1-4. Portas TCP e UDP que Horizon Client usa (continuação) Código-fonte Porta Destino Porta Protocol o Descrição Horizon Client * Horizon Agent 4172 TCP e UDP PCoIP se o PCoIP Secure Gateway não for usado. Observação Como a porta de origem varia, consulte a observação abaixo desta tabela. Horizon Client * Servidor de Conexão ou appliance Unified Access Gateway 4172 TCP e UDP PCoIP (não SALSA20) quando o PCoIP Secure Gateway é usado. Observação Como a porta de origem varia, consulte a observação abaixo desta tabela. Horizon Agent 4172 Horizon Client * UDP PCoIP se o PCoIP Secure Gateway não for usado. Observação Como a porta de destino varia, consulte a observação abaixo desta tabela. Servidor de Conexão ou appliance Unified Access Gateway 4172 Horizon Client * UDP PCoIP (não SALSA20) quando o PCoIP Secure Gateway é usado. Observação Como a porta de destino varia, consulte a observação abaixo desta tabela. Horizon Client * Servidor de Conexão ou appliance Unified Access Gateway Horizon Client * Servidor de Conexão ou appliance Unified Access Gateway 8443 TCP HTML Access e VMware Blast quando o Blast Secure Gateway é usado UDP VMware Blast quando Blast Secure Gateway é usado. Observação Não usado ao se conectar a uma área de trabalho Linux. Servidor de Conexão ou appliance Unified Access Gateway 8443 Horizon Client * UDP VMware Blast quando Blast Secure Gateway é usado. Observação Não usado ao se conectar a uma área de trabalho Linux. Observação O número da porta UDP que os clientes usam para PCoIP e VMware Blast pode mudar. Se a porta estiver em uso, o cliente selecionará a porta e, se a porta estiver em uso, o cliente selecionará a porta e assim por diante. Você deve configurar firewalls com ANY onde um asterisco (*) está listado na tabela. VMware, Inc. Traduzido automaticamente 11

12 Serviços, daemons e processos 2 instalados Os Horizon Client e os instaladores de Horizon Agent instalam vários componentes. Este capítulo inclui os seguintes tópicos: Horizon Agent serviços no Windows Mac Hines Horizon Client serviços em clientes Windows Daemons em clientes não Windows e desktops Linux Horizon Agent serviços no Windows Mac Hines A operação de áreas de trabalho remotas e aplicativos publicados depende de vários serviços do Windows. Tabela 2-1. Serviços do Horizon Agent Nome do serviço Tipo de inicialização Descrição VMware Blast Automático Fornece serviços para HTML Access e para usar o protocolo de exibição do VMware de serviço para conexão com clientes nativos. VMware Horizon View Agent Servidor de agente Guest do VMware Horizon View Composer Automático Automático Fornece serviços para Horizon Agent. Fornecerá serviços se a máquina virtual for parte de um pool da área de trabalho View Composer clone vinculado. Observação View Composer está obsoleto nesta versão. Host do VMware Horizon View script VMware serviço de supervisor do NetLink Serviço de cliente de redirecionamento de scanner VMware Desativado Automático Automático É compatível com a execução de scripts de início de sessão, se houver, que configure as políticas de segurança da área de trabalho antes que uma sessão de área de trabalho comece As políticas são baseadas no dispositivo do cliente e na localização do usuário. O oferece suporte ao redirecionamento de scanner e aos recursos de redirecionamento de porta serial, fornecendo serviços de monitoramento para a transferência de informações entre o kernel e os processos de espaço do usuário. Fornece serviços para o recurso de redirecionamento de scanner. VMware, Inc. Traduzido automaticamente 12

13 Tabela 2-1. Serviços do Horizon Agent (continuação) Nome do serviço Serviço de cliente do com serial VMware Provedor de snapshots do VMware Tipo de inicialização Automático Manual Descrição Fornece serviços para o recurso de redirecionamento de porta serial. Fornece serviços para snapshots de máquina virtual, que são usados para clonagem. VMware ferramentas Automático O é compatível com a sincronização de objetos entre o host e os sistemas operacionais convidados, o que melhora o desempenho de sistemas operacionais convidados de máquina virtual e melhora o gerenciamento de máquinas virtuais. VMware serviço de arbitramento USB Automático Enumera os vários dispositivos USB conectados ao cliente e determina quais dispositivos devem ser conectados ao cliente e quais dispositivos devem ser conectados à área de trabalho remota. VMware exibir USB Automático Fornece serviços para o recurso de redirecionamento de USB. Horizon Client serviços em clientes Windows A operação de Horizon Client depende de vários serviços do Windows. Tabela 2-2. Serviços do Horizon Client Nome do serviço Tipo de inicialização Descrição VMware Horizon Client Automático Fornece serviços de Horizon Client. VMware serviço de supervisor do NetLink Serviço de cliente de redirecionamento de scanner VMware Serviço de cliente do com serial VMware VMware serviço de arbitramento USB Automático Automático Automático Automático O oferece suporte aos recursos de redirecionamento de scanner e de redirecionamento de porta serial, fornecendo serviços de monitoramento para a transferência de informações entre o kernel e os processos de espaço do usuário. Fornece serviços para o recurso de redirecionamento de scanner. Fornece serviços para o recurso de redirecionamento de porta serial. Enumera os vários dispositivos USB conectados ao cliente e determina quais dispositivos devem ser conectados ao cliente e quais se conectar à área de trabalho remota. Daemons em clientes não Windows e desktops Linux Por motivos de segurança, é importante saber se Horizon Client instala quaisquer daemons ou processos. VMware, Inc. Traduzido automaticamente 13

14 Tabela 2-3. Serviços, processos e daemons por tipo de Horizon Client Tipo do Horizon Client Serviço, processo ou daemon Cliente Linux vmware-usbarbitrator, que numerates os vários dispositivos USB conectados ao cliente e determina quais dispositivos se conectam ao cliente e quais se conectar à área de trabalho remota. usados pela VMware, que fornece serviços para o recurso de redirecionamento de USB. Observação Se você clicar no registrar e iniciar o (s) serviço (s) após a instalação (Register and start the service(s) after installation) caixa de seleção durante a instalação, esses daemons serão iniciados automaticamente. Esses processos são executados como raiz. Mac cliente cliente ios Cliente Android Nenhuma Nenhuma Nenhuma. o Horizon Client é executado em um processo Android. Desktop do Linux O StandaloneAgent, que é executado com privilégios de raiz e é iniciado quando o sistema Linux está ativo e em execução. O StandaloneAgent se comunica com o servidor de conexão para executar o gerenciamento de sessão da área de trabalho remota. Ela é configurada, encerra a sessão, atualizando o status da área de trabalho remota para o agente do no servidor de conexão. VMware BlastServer, que StandaloneAgent é iniciado quando recebe uma solicitação de StartSession do servidor de conexão. O daemon do VMware BlastServer é executado com o privilégio de do vmwblast. vmwblast é uma conta de sistema que é criada quando o agente Linux é instalado. Ele se comunica com StandaloneAgent por meio de um canal interno Channel e se comunica com o Horizon Client usando o protocolo de exibição VMwares de transmissão. VMware, Inc. Traduzido automaticamente 14

15 Recursos para proteger 3 Você deve proteger certos recursos. Esses recursos incluem arquivos de configuração relevantes, senhas e controles de acesso. Este capítulo inclui os seguintes tópicos: Implementação de práticas recomendadas para proteger os sistemas do cliente Localizações do arquivo de configuração Contas Implementação de práticas recomendadas para proteger os sistemas do cliente Implemente estas práticas recomendadas para proteger os sistemas do cliente. Configure os sistemas cliente para entrar em suspensão após um período de inatividade e exigir que os usuários digitem uma senha antes que o computador seja ativado. Exija que os usuários insiram um nome de usuário e senha ao iniciar os sistemas do cliente. Não configure sistemas cliente para permitir logins automáticos. Para os sistemas cliente Mac, considere definir senhas diferentes para o conjunto de chaves e a conta de usuário. Quando as senhas são diferentes, os usuários são solicitados antes que o sistema Insira qualquer senha em seu nome. Considere também ativar a proteção de FileVault. Localizações do arquivo de configuração Os recursos que devem ser protegidos incluem arquivos de configuração relevantes para a segurança. VMware, Inc. Traduzido automaticamente 15

16 Tabela 3-1. Localização do arquivo de configuração por tipo de cliente Tipo de Cliente Cliente Linux Cliente Windows Mac cliente cliente ios Cliente Android Horizon Agent (área de trabalho remota com sistema operacional Windows) Desktop do Linux Local do arquivo Quando o cliente Linux é iniciado, ele processa as definições de configuração dos seguintes diretórios na seguinte ordem: 1 /etc/vmware/view-default-config 2 ~/.VMware/View-Preferences 3 /etc/vmware/view-mandatory-config Se uma configuração for definida em várias localizações, o cliente Linux usará o valor da última opção de arquivo ou linha de comando que ela lê. As configurações de usuário que podem incluir algumas informações privadas estão no seguinte arquivo: C:\Users\\} nome de usuário \AppData\Roaming\VMware\} \VMware\} Horizon View Client\prefs.txt Quando o cliente Mac é iniciado, ele gera os seguintes arquivos de configuração: $HOME/Library/Preferences/com.vmware.horizon.plist $HOME/Library/Preferences/com.vmware.vmrc.plist $HOME/Library/Preferences/com.vmware.horizon.keyboard.plist /Library/Preferences/com.vmware.horizon.plist As configurações relacionadas à segurança aparecem na interface do usuário em vez de nos arquivos de configuração. As configurações relacionadas à segurança aparecem na interface do usuário em vez de nos arquivos de configuração. As configurações relacionadas à segurança aparecem apenas no registro do Windows. Você pode usar um editor de texto para abrir o seguinte arquivo de configuração e especificar as configurações relacionadas ao TLS: /etc/vmware/viewagent-custom.conf Contas Os usuários do cliente devem ter contas no Active Directory. Horizon Client contas de usuário No Active Directory, configure as contas de usuário para usuários que precisam acessar áreas de trabalho remotas e aplicativos publicados. Se você planeja usar o protocolo RDP, as contas de usuário devem ser membros do grupo de usuários da área de trabalho remota. Como regra geral, não torne os usuários finais administradores do Horizon. Se um administrador do Horizon precisar verificar a experiência do usuário, crie e autorizar uma conta de teste separada. Em áreas de trabalho remotas, não torne os usuários finais membros de grupos privilegiados, como administradores. Esses usuários podem modificar arquivos de configuração bloqueados e o registro do Windows. VMware, Inc. Traduzido automaticamente 16

17 Contas de sistema criadas durante a instalação Horizon Client não cria contas de usuário de serviço em qualquer tipo de cliente. Para os serviços que Horizon Client para o Windows cria, o ID de login é sistema local. Em Mac clientes, os usuários devem conceder acesso de administrador local para iniciar o serviço USB na primeira vez que o Horizon Client for iniciado. Depois que o serviço é iniciado pela primeira vez, o usuário padrão tem acesso de execução. Da mesma forma, em um cliente Linux, se um usuário clicar na registrar e iniciar o (s) serviço (s) após a instalação (Register and start the service(s) after installation) caixa de seleção durante a instalação, os daemons de usados pelo vmware-usbarbitrator e são iniciados automaticamente. Esses processos são executados como raiz. Horizon Agent não cria nenhuma conta de usuário de serviço em áreas de trabalho do Windows. Em desktops Linux, ele cria uma conta do sistema chamada vmwblast. Em desktops Linux, o StandaloneAgent daemon é executado com privilégios de raiz e o VmwareBlastServer daemon é executado com vmwblast privilégios de. VMware, Inc. Traduzido automaticamente 17

18 Configurações de segurança para 4 o cliente e o agente Várias configurações de cliente e agente estão disponíveis para ajustar a segurança da configuração. Para acessar essas configurações para áreas de trabalho remotas e clientes Windows, você pode usar objetos de política de grupo ou configurações de registro do Windows. Para obter as definições de configuração relacionadas à coleção de logs, consulte o documento. Para definições de configuração relacionadas a protocolos de segurança e pacotes de codificação, consulte Capítulo 5 Configurando os protocolos de segurança e os conjuntos de codificação. Este capítulo inclui os seguintes tópicos: Configurando a verificação de certificado Configurações relacionadas à segurança nos modelos de configuração do Horizon Agent Definindo opções em arquivos de configuração em uma área de trabalho Linux Configurações de política de grupo para HTML Access Configurações de segurança no Horizon Client modelos de configuração Configurando o modo de verificação de certificado do Horizon Client Configurando a proteção da autoridade de segurança local Configurando a verificação de certificado Os administradores podem configurar o modo de verificação de certificado. Os administradores também podem configurar se os usuários finais podem controlar se as conexões do cliente serão rejeitadas se as verificações de certificado do servidor falharem. A verificação de certificado ocorre para conexões TLS entre instâncias do servidor de conexão e Horizon Client. Os administradores podem configurar o modo de verificação para usar uma das seguintes estratégias: Os usuários finais podem escolher o modo de verificação. (Sem verificação) Não são realizadas verificações de certificados. VMware, Inc. Traduzido automaticamente 18

19 Libera Os usuários finais serão avisados se um certificado autoassinado estiver sendo apresentado pelo servidor. Os usuários podem selecionar se deseja permitir esse tipo de conexão. (Segurança total) A verificação completa é realizada e as conexões que não passaram pela verificação completa são rejeitadas. A verificação de certificado inclui as seguintes verificações: O certificado foi revogado? O certificado é destinado a uma finalidade diferente de verificar a identidade do remetente e criptografar as comunicações do servidor? Esse é o tipo correto de certificado? O certificado expirou ou é válido apenas no futuro? Isto é, o certificado é válido de acordo com o relógio do computador? O nome comum no certificado corresponde ao nome do host do servidor que o envia? Uma incompatibilidade pode ocorrer se um balanceador de carga redireciona Horizon Client para um servidor que tem um certificado que não corresponde ao nome do host inserido no Horizon Client. Também pode ocorrer uma incompatibilidade se você digitar um endereço IP em vez de um nome de host no cliente. O certificado foi assinado por uma autoridade de certificação desconhecida ou não confiável (CA)? Os certificados autoassinados são um tipo de autoridade de certificação não confiável. Para passar essa verificação, a cadeia de confiança do certificado deve ter raiz no repositório de certificados local do dispositivo. Se você usar um servidor proxy SSL para inspecionar o tráfego que o ambiente do cliente envia à Internet, poderá habilitar a verificação de certificado para conexões secundárias por meio de um servidor proxy SSL. Você também pode configurar conexões VMwarentes para usar um servidor proxy. Para obter informações sobre como configurar a verificação de certificado e o servidor proxy SSL para um tipo específico de cliente, consulte o documento instalação e configuração do Horizon Client para esse cliente. Esses documentos também contêm informações sobre o uso de certificados autoassinados. Configurações relacionadas à segurança nos modelos de configuração do Horizon Agent Os arquivos de modelo ADM e ADMX para Horizon Agent, vdm_agent. adm e vdm_agent. admx, contêm configurações relacionadas à segurança para Horizon Agent. A menos que indicado de outra forma, esses arquivos incluem apenas definições de configuração do computador. As configurações de segurança são armazenadas no registro na máquina convidada em HKLM \Software\VMware\}, Inc. \VMware\} VDM\Agent\Configuration. VMware, Inc. Traduzido automaticamente 19

20 Tabela 4-1. Horizon Agent configurações relacionadas à segurança Configuração AllowDirectRDP Descrição Determina se os clientes diferentes de Horizon Client dispositivos podem se conectar diretamente a áreas de trabalho remotas com o RDP. Quando essa configuração está desativada, o agente permite apenas conexões gerenciadas pelo Horizon por meio de Horizon Client. Ao se conectar a uma área de trabalho remota de Horizon Client para Mac, não desative a configuração de AllowDirectRDP. Se essa configuração estiver desativada, a conexão falhará com um erro de acesso negado. Por padrão, enquanto um usuário está conectado a uma sessão de área de trabalho remota, você pode usar o RDP para se conectar à máquina virtual. A conexão RDP encerra a sessão da área de trabalho remota, e os dados e as configurações não salvas do usuário podem ser perdidos. O usuário não poderá fazer login na área de trabalho até que a conexão RDP externa seja fechada. Para evitar essa situação, desative a configuração de AllowDirectRDP. Importante O serviço de serviços de área de trabalho remota do Windows deve estar em execução no sistema operacional convidado de cada área de trabalho. Você pode usar essa configuração para impedir que os usuários façam conexões de RDP diretas com suas áreas de trabalho. Essa configuração já vem habilitada. O valor equivalente do registro do Windows é AllowDirectRDP. AllowSingleSignon CommandsToRunOnConnect CommandsToRunOnDisconnect CommandsToRunOnReconnect Determina se o single sign-on (SSO) é usado para conectar usuários a áreas de trabalho e aplicativos. Quando essa configuração está habilitada, os usuários são obrigados a inserir suas credenciais somente uma vez, quando fazem login no servidor. Quando essa configuração está desativada, os usuários devem se autenticar novamente quando a conexão remota for feita. Essa configuração já vem habilitada. O valor equivalente do registro do Windows é AllowSingleSignon. Especifica uma lista de comandos ou scripts de comando a serem executados quando uma sessão for conectada pela primeira vez. Nenhuma lista é especificada por padrão. O valor equivalente do registro do Windows é CommandsToRunOnConnect. Especifica uma lista de comandos ou scripts de comando a serem executados quando uma sessão é desconectada. Nenhuma lista é especificada por padrão. O valor equivalente do registro do Windows é CommandsToRunOnReconnect. Especifica uma lista de comandos ou scripts de comando a serem executados quando uma sessão é reconectada após uma desconexão. Nenhuma lista é especificada por padrão. O valor equivalente do registro do Windows é CommandsToRunOnDisconnect. VMware, Inc. Traduzido automaticamente 20

21 Tabela 4-1. Horizon Agent configurações relacionadas à segurança (continuação) Configuração ConnectionTicketTimeout CredentialFilterExceptions Descrição Especifica a quantidade de tempo em segundos que o tíquete de conexão do Horizon é válido. Horizon Client dispositivos usam um tíquete de conexão para verificação e single sign-on durante a conexão com o agente do. Por motivos de segurança, um tíquete de conexão é válido por uma quantidade limitada de tempo. Quando um usuário se conecta a uma área de trabalho remota, a autenticação deve ser realizada dentro do período de tempo limite de tíquete de conexão, ou a sessão atinge o tempo limite. Se essa configuração não estiver configurada, o período de tempo limite padrão será de 900 segundos. O valor equivalente do registro do Windows é VdmConnectionTicketTimeout. Especifica os arquivos executáveis que não têm permissão para carregar o CredentialFilter do agente. Os nomes de filename não devem incluir um caminho ou sufixo. Use um ponto-e-vírgula para separar vários nomes de usuários. Nenhuma lista é especificada por padrão. O valor equivalente do registro do Windows é CredentialFilterExceptions. Para obter mais informações sobre essas configurações e suas implicações de segurança, consulte o documento Configurando recursos de área de trabalho remota no Horizon. Definindo opções em arquivos de configuração em uma área de trabalho Linux Para áreas de trabalho Linux, você pode configurar determinadas opções adicionando entradas ao arquivo / etc / vmware / config ou ao arquivo /etc/vmware/viewagent-custom.conf. Durante a instalação do Horizon Agent, o instalador copia dois arquivos de modelo de configuração, config.template e viewagent-custom.conf.template para / etc / vmware. Além disso, se / etc / vmware / config e /etc/vmware/viewagent-custom.conf não existirem, o instalador copiará config.template para config e viewagentcustom.conf.template para viewagent-custom.conf. Todas as opções de configuração estão listadas e documentadas nos arquivos de configuração. Para definir uma opção, remova o comentário e altere o valor, conforme apropriado. Por exemplo, a seguinte linha em / etc / vmware / config habilita a compilação para o modo PNG sem perdas. RemoteDisplay.buildToPNG=TRUE Depois de fazer alterações na configuração, reinicie o Linux para que as alterações entrem em vigor. VMware, Inc. Traduzido automaticamente 21

22 Opções de configuração em / etc / vmware / config Os processos VMware BlastServer e BlastProxy, juntamente com seus plug-ins e processos relacionados, usam o arquivo de configuração / etc / vmware / config. Observação A tabela a seguir inclui descrições de cada configuração de política imposta pelo agente para dispositivos USB no arquivo de configuração Horizon Agent. Horizon Agent usa essas configurações para decidir se um dispositivo USB pode ser encaminhado para a máquina host. Horizon Agent também passa essas configurações para Horizon Client para interpretação e aplicação. A aplicação é baseada em se você especifica o modificador de mesclagem ( (m) ) para aplicar a configuração de política de filtro Horizon Agent além da configuração de política de filtro Horizon Client ou substituir o (o ) Modificador para usar a configuração de política de filtro Horizon Agent em vez da configuração de política de filtro Horizon Client. Tabela 4-2. Opções de configuração em / etc / vmware / config Opção Valor / Formato Padrão Descrição appscanner error, warn, info ou debug info Use esta opção para especificar o nível de detalhe relatado no arquivo de log appscanner, que registra a atividade relacionada às sessões de aplicativo remoto. Os valores válidos variam do nível de "erro" menos detalhado ao nível de "depuração" mais detalhado. O log do appscanner está localizado em / tmp / vmware-root / vmwareappscanner- <pid>.log, onde <pid> é o ID do processo do appscanner. BlastProxy.log.logLevel error, warn, info, verbose, debug ou trace info Use esta opção para especificar o nível de detalhe relatado no arquivo de log BlastProxy. Os valores válidos variam do nível de "erro" menos detalhado ao nível de "rastreio" mais detalhado. O log do BlastProxy está localizado em / tmp / vmware-root / vmware- BlastProxy- <pid>.log, onde <pid> é o ID do processo do BlastProxy. BlastProxy.UdpEnabled true ou false true Use esta opção para especificar se o BlastProxy encaminha solicitações UDP por meio da porta segura para Horizon Agent. true habilita o encaminhamento de UDP. false desativa o encaminhamento de UDP. cdrserver.cacheenable true ou false true Defina essa opção para ativar ou desativar o recurso de cache de gravação do agente para o lado do cliente. VMware, Inc. Traduzido automaticamente 22

23 Tabela 4-2. Opções de configuração em / etc / vmware / config (continuação) Opção Valor / Formato Padrão Descrição cdrserver.customizedsharedfolderpath folder_path / home / Use essa opção para alterar o local da pasta compartilhada de redirecionamento de unidade do cliente do diretório padrão / home / usuário / tsclient para um diretório personalizado. Por exemplo, se o usuário teste quiser colocar a pasta compartilhada de redirecionamento de unidade do cliente em / mnt / test / tsclient em vez de / home / test / tsclient, o usuário pode especificar cdrserver.customizedsharedfolderpath = / mnt /. Observação Para que essa opção entre em vigor, a pasta especificada deve existir e ser configurada com as permissões de usuário corretas. cdrserver.forcedbyadmin true ou false false Defina essa opção para controlar se o cliente pode compartilhar pastas adicionais que não estão especificadas com a opção cdrserver.sharefolders. cdrserver.loglevel error, warn, info, info Use esta opção para definir o nível de log debug, trace ou do arquivo vmware-cdrserver.log. verbose VMware, Inc. Traduzido automaticamente 23

24 Tabela 4-2. Opções de configuração em / etc / vmware / config (continuação) Opção Valor / Formato Padrão Descrição cdrserver.permessions R RW Use esta opção para aplicar permissões adicionais de leitura / gravação que Horizon Agent possui nas pastas compartilhadas por Horizon Client. Por exemplo: Se a pasta compartilhada por Horizon Client tiver read e write permissões, e você definir cdrserver.permission = R, Horizon Agent terá apenas read permissões de acesso. Se a pasta compartilhada por Horizon Client tiver apenas read permissões, e você definir cdrserver.permessions = RW, Horizon Agent ainda terá apenas read direitos de acesso. Horizon Agent não pode alterar o único atributo read definido por Horizon Client. Horizon Agent só pode remover os direitos de acesso de gravação. Os usos típicos são os seguintes: cdrserver.permessions = R # cdrserver.perguntas = R (por exemplo, comente ou exclua a entrada) cdrserver.sharedfolders file_path1, R; file-path2,; file_path3, R;... indefinido Especifique um ou mais caminhos de arquivo para as pastas que o cliente pode compartilhar com a área de trabalho do Linux. Por exemplo: Para um cliente Windows: C: \ planilhas,; D: \ ebooks, R Para um cliente que não seja Windows: / tmp / Spreadboards; / tmp / ebooks,; / home / finanças, R VMware, Inc. Traduzido automaticamente 24

25 Tabela 4-2. Opções de configuração em / etc / vmware / config (continuação) Opção Valor / Formato Padrão Descrição Clipboard.Direction 0, 1, 2, ou 3 2 Use esta opção para especificar a política de redirecionamento da área de transferência. Os valores válidos são os seguintes: 0 - Desabilita o redirecionamento da área de transferência. 1 - Habilite o redirecionamento da área de transferência em ambas as direções. 2 - Habilite o redirecionamento da área de transferência do cliente apenas para a área de trabalho remota. 3 - Habilite o redirecionamento da área de transferência somente da área de trabalho remota para o cliente. Collaboration.enableControlPassing true ou false true Defina essa opção para permitir ou restringir que os colaboradores tenham controle da área de trabalho do Linux. Para especificar uma sessão de colaboração somente leitura, defina essa opção como false. Collaboration.enable true ou false true Defina essa opção para ativar ou desativar o envio de convites de colaboração usando um aplicativo de e- mail instalado. Quando essa opção está desativada, você não pode usar o para convidar colaboradores, mesmo que um aplicativo de esteja instalado. Collaboration.logLevel error, info ou debug info Use esta opção para definir o nível de log usado para a sessão de colaboração. Se o nível de log for debug, todas as chamadas feitas para collabui funções e o conteúdo da lista collabor serão registrados. Collaboration.maxCollabors Um número inteiro menor ou igual a 20 5 Especifica o número máximo de colaboradores que você pode convidar para entrar em uma sessão. Collaboration.serverUrl [URL] indefinido Especifica as URLs do servidor a serem incluídas nos convites de colaboração. VMware, Inc. Traduzido automaticamente 25

26 Tabela 4-2. Opções de configuração em / etc / vmware / config (continuação) Opção Valor / Formato Padrão Descrição Desktop.displayNumberMax Um número inteiro 159 Especifica o limite superior do intervalo de números de exibição do Sistema X Window a serem alocados para sessões de usuário. Para restringir a alocação a um único número de exibição, defina Desktop.displayNumberMax e Desktop.displayNumberMin para o mesmo valor. Observação Se você especificar um intervalo que inclua qualquer um dos números de exibição de 0 a 9, poderá ocorrer um conflito com o servidor X. Use a solução alternativa descrita no artigo da Base de Conhecimento (KB) VMware. Desktop.displayNumberMin Um número inteiro 100 Especifica o limite inferior do intervalo de números de exibição do Sistema X Window a serem alocados para sessões de usuário. Para restringir a alocação a um único número de exibição, defina Desktop.displayNumberMax e Desktop.displayNumberMin para o mesmo valor. Observação Se você especificar um intervalo que inclua qualquer um dos números de exibição de 0 a 9, poderá ocorrer um conflito com o servidor X. Use a solução alternativa descrita no artigo da Base de Conhecimento (KB) VMware. mksvncserver.useuinputbuttonmapping true ou false false Defina esta opção para ativar o suporte a um mouse canhoto no Ubuntu ou RHEL 7.x. Você não precisa definir essa opção no CentOS, que fornece suporte nativo para um mouse canhoto. mksvhan.clipboardsize Um número inteiro 1024 Use esta opção para especificar o tamanho máximo da área de transferência para copiar e colar. rdesvc.allowdisplayscaling true ou false false Defina essa opção para ativar ou desativar o dimensionamento de exibição, o que altera o tamanho do texto, dos ícones e dos elementos de navegação. VMware, Inc. Traduzido automaticamente 26

27 Tabela 4-2. Opções de configuração em / etc / vmware / config (continuação) Opção Valor / Formato Padrão Descrição rdesvc.lockedwindows Lista de caminhos N/D Use essa opção para impedir que separados por ponto- aplicativos específicos sejam iniciados e-vírgula para como uma sessão de aplicativo remoto. executáveis do aplicativo Especifique o caminho para cada aplicativo executável e use ponto e vírgula para separar as entradas na lista. Por exemplo: rdesvc.lockedwindows = / usr / libexec / gnome-terminal-server; RemoteDisplay.allowAudio true ou false true Defina esta opção para ativar ou desativar a saída de áudio. RemoteDisplay.allowH264 true ou false true Defina esta opção para ativar ou desativar a codificação H.264. RemoteDisplay.allowH264YUV444 true ou false true Defina essa opção para ativar ou desativar a codificação H.264 YUV 4: 4: 4 com alta precisão de cores, se o cliente oferecer suporte. RemoteDisplay.allowHEVC true ou false true Defina esta opção para ativar ou desativar a codificação de vídeo de alta eficiência (HEVC). RemoteDisplay.allowHEVCYUV444 true ou false true Defina essa opção para ativar ou desativar o HEVC YUV 4: 4: 4 com alta precisão de cores se o cliente oferecer suporte. RemoteDisplay.allowVMWKeyEvent2Unicode true ou false true Defina essa opção para permitir ou não que Horizon Agent processe eventos Unicode que representam a entrada do teclado de clientes. Quando essa opção está ativada, os sistemas cliente enviam valores Unicode que representam a entrada do teclado para a área de trabalho remota. Como o Linux não oferece suporte à entrada Unicode de forma nativa, Horizon Agent primeiro converte os valores Unicode em KeyCodes e, em seguida, envia os KeyCodes ao sistema operacional para exibir os caracteres Unicode apropriados. Quando essa opção está desativada, o Horizon Agent não processa nenhum evento Unicode enviado de clientes. VMware, Inc. Traduzido automaticamente 27

28 Tabela 4-2. Opções de configuração em / etc / vmware / config (continuação) Opção Valor / Formato Padrão Descrição RemoteDisplay.buildToPNG true ou false false Os aplicativos gráficos, especialmente os de design gráfico, exigem a renderização exata de pixels das imagens na exibição do cliente de uma área de trabalho Linux. Você pode configurar a compilação para o modo PNG sem perdas para a reprodução de imagens e vídeos gerados em uma área de trabalho Linux e renderizados no dispositivo cliente. Esse recurso usa largura de banda adicional entre o cliente e o host ESX i. Ativar essa opção desativa a codificação H.264. RemoteDisplay.enableNetworkContinurity true ou false true Defina esta opção para ativar ou desativar o recurso Continuidade de Rede em Horizon Agent para Linux. RemoteDisplay.enableNetworkIntelligence true ou false true Defina esta opção para ativar ou desativar o recurso Network Intelligence em Horizon Agent para Linux. RemoteDisplay.enableStats true ou false false Ativa ou desativa as estatísticas do protocolo de exibição Blast VMware no log mks, como largura de banda, FPS, RTT e assim por diante. RemoteDisplay.enableUDP true ou false true Defina essa opção para ativar ou desativar o suporte ao protocolo UDP em Horizon Agent para Linux. RemoteDisplay.maxBandwidthKbps Um número inteiro Especifica a largura de banda máxima em kilobits por segundo (kbps) para uma sessão Blast VMware. A largura de banda inclui todo o tráfego de controle de imagem, áudio, canal virtual e VMware Blast. O valor válido deve ser inferior a 4 Gbps ( ). RemoteDisplay.minBandwidthKbps Um número inteiro 256 Especifica a largura de banda mínima em kilobits por segundo (kbps) para uma sessão Blast VMware. A largura de banda inclui todo o tráfego de controle de imagem, áudio, canal virtual e VMware Blast. RemoteDisplay.maxFPS Um número inteiro 30 Especifica a taxa máxima de atualizações de tela. Use essa configuração para gerenciar a largura de banda média que os usuários consomem. O valor válido deve estar entre 3 e 60. O padrão é 30 atualizações por segundo. VMware, Inc. Traduzido automaticamente 28

29 Tabela 4-2. Opções de configuração em / etc / vmware / config (continuação) Opção Valor / Formato Padrão Descrição RemoteDisplay.maxQualityJPEG RemoteDisplay.midQualityJPEG RemoteDisplay.minQualityJPEG RemoteDisplay.qpmaxH264 RemoteDisplay.qpminH264 intervalo de valores disponível: intervalo de valores disponível: intervalo de valores disponível: intervalo de valores disponível: 0 51 intervalo de valores disponível: Especifica a qualidade da imagem da exibição da área de trabalho para codificação JPEG / PNG. As configurações de alta qualidade são para áreas da tela que são mais estáticas, resultando em uma melhor qualidade de imagem. 35 Especifica a qualidade da imagem da exibição da área de trabalho para codificação JPEG / PNG. Use para definir as configurações de qualidade média da tela da área de trabalho. 25 Especifica a qualidade da imagem da exibição da área de trabalho para codificação JPEG / PNG. As configurações de baixa qualidade são para áreas da tela que mudam com frequência, por exemplo, quando ocorre a rolagem. 36 Use essa opção para definir o parâmetro de quantização H264minQP, que especifica a melhor qualidade de imagem para a exibição remota configurada para usar a codificação H.264 ou HEVC. Defina o valor como maior que o valor definido para RemoteDisplay.qpminH Use essa opção para definir o parâmetro de quantização H264maxQP, que especifica a qualidade de imagem mais baixa para o monitor remoto configurado para usar a codificação H.264 ou HEVC. Defina o valor como menor que o valor definido para RemoteDisplay.qpmaxH264. UsbRedirPlugin.log.logLevel error, warn, info, info Use esta opção para definir o nível de log debug, trace ou para o plug-in USB Redirection. verbose UsbRedirServer.log.logLevel error, warn, info, info Use esta opção para definir o nível de log debug, trace ou para o servidor de redirecionamento verbose USB. vdpservice.log.loglevel fatal error, warn, info Use esta opção para definir o nível de log info, debug ou trace de vdpservice. viewusb.allowaudioin {m o}:{true false} indefinido, que equivale a true Use esta opção para permitir ou não permitir que dispositivos de entrada de áudio sejam redirecionados. Exemplo: o: false VMware, Inc. Traduzido automaticamente 29