Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Gilt für:
- Windows 10
- Windows 11
Dieser Artikel enthält eine kurze Übersicht über Konten und Gruppen, Protokolldateien und andere sicherheitsbezogene Überlegungen für Microsoft Application Virtualization (App-V).
Wichtig
App-V ist kein Sicherheitsprodukt und bietet keine Garantien für eine sichere Umgebung.
Das PackageStoreAccessControl-Feature (PSAC) ist veraltet
Ab Juni 2014 ist das in Microsoft Application Virtualization (App-V) 5.0 Service Pack 2 (SP2) eingeführte Feature PackageStoreAccessControl (PSAC) sowohl in Einzelbenutzer- als auch in Mehrbenutzerumgebungen veraltet.
Allgemeine Sicherheitsüberlegungen
Verstehen Sie die Sicherheitsrisiken. Das größte Risiko für App-V besteht darin, dass nicht autorisierte Benutzer die Funktionen eines App-V-Clients übernehmen, wodurch der Hacker Schlüsseldaten auf App-V-Clients neu konfigurieren kann. Im Vergleich dazu wäre ein kurzfristiger Verlust der App-V-Funktionalität durch einen Denial-of-Service-Angriff nicht so katastrophal.
Physische Sicherung Ihrer Computer. Eine Sicherheitsstrategie, die die physische Sicherheit nicht berücksichtigt, ist unvollständig. Jeder, der physischen Zugriff auf einen App-V-Server hat, könnte potenziell die gesamte Kundenbasis angreifen, daher sollten potenzielle physische Angriffe oder Diebstähle um jeden Preis verhindert werden. App-V-Server sollten in einem physisch sicheren Serverraum mit kontrolliertem Zugriff gespeichert werden. Sperren Sie den Computer mit dem Betriebssystem oder einem gesicherten Bildschirmschoner, um die Sicherheit des Computers zu gewährleisten, wenn die Administratoren abwesend sind.
Wenden Sie die neuesten Sicherheitsupdates auf alle Computer an.
Verwenden Sie sichere Kennwörter oder Passphrasen. Verwenden Sie immer sichere Kennwörter mit 15 oder mehr Zeichen für alle App-V- und App-V-Administratorkonten. Verwenden Sie niemals leere Kennwörter. Weitere Informationen zu Kennwortkonzepten finden Sie unter Kennwortrichtlinie und sichere Kennwörter.
Konten und Gruppen in App-V
Eine bewährte Methode für die Benutzerkontenverwaltung besteht darin, globale Domänengruppen zu erstellen und diesen Benutzerkonten hinzuzufügen. Fügen Sie anschließend die globalen Domänenkonten den erforderlichen lokalen App-V-Gruppen auf den App-V-Servern hinzu.
Hinweis
App-V-Clientcomputerkonten, die eine Verbindung mit dem Veröffentlichungsserver herstellen müssen, müssen Teil der lokalen Benutzergruppe des Veröffentlichungsservers sein. Standardmäßig sind alle Computer in der Domäne Teil der Gruppe " Autorisierte Benutzer ", die Teil der lokalen Gruppe "Benutzer" ist.
Sicherheit des App-V-Servers
Während des App-V-Setups werden keine Gruppen automatisch erstellt. Sie sollten die folgenden globalen Gruppen für Active Directory Domain Services erstellen, um App-V-Servervorgänge zu verwalten.
| Gruppenname | Details | Wichtige Hinweise |
|---|---|---|
| App-V Management Admin-Gruppe | Wird zum Verwalten des App-V-Verwaltungsservers verwendet. Diese Gruppe wird während der Installation von App-V Management Server erstellt. | Die Verwaltungskonsole kann nach Abschluss der Installation keine neue Gruppe erstellen. |
| Datenbank mit Lese-/Schreibzugriff für Verwaltungsdienstkonto | Bietet Lese-/Schreibzugriff auf die Verwaltungsdatenbank. Dieses Konto sollte während der Installation der App-V-Verwaltungsdatenbank erstellt werden. | |
| App-V-Verwaltungsdienst Administratorkonto installieren | Ermöglicht öffentlichen Zugriff auf die Schemaversionstabelle in der Verwaltungsdatenbank. Dieses Konto sollte während der Installation der App-V-Verwaltungsdatenbank erstellt werden. | Dieses Konto ist nur erforderlich, wenn die Verwaltungsdatenbank getrennt vom Dienst installiert wird. |
| Administratorkonto für App-V Reporting Service installieren | Öffentlicher Zugriff auf die Schemaversionstabelle in der Berichtsdatenbank. Dieses Konto sollte während der Installation der App-V-Berichtsdatenbank erstellt werden. | Dieses Konto ist nur erforderlich, wenn die Berichtsdatenbank getrennt vom Dienst installiert wird. |
Berücksichtigen Sie die folgenden zusätzlichen Informationen:
Zugriff auf die Paketfreigaben: Wenn eine Freigabe auf demselben Computer wie der Verwaltungsserver vorhanden ist, benötigt der Netzwerkdienst Lesezugriff auf die Freigabe. Darüber hinaus muss jeder App-V-Clientcomputer über Lesezugriff auf die Paketfreigabe verfügen.
Hinweis
In früheren Versionen von App-V wurde die Paketfreigabe als Inhaltsfreigabe bezeichnet.
Registrieren von Veröffentlichungsservern bei Management Server: Ein Veröffentlichungsserver muss beim Managementserver registriert sein. Beispielsweise muss es der Datenbank hinzugefügt werden, damit die Computerkonten des Veröffentlichungsservers die Verwaltungsdienst-API aufrufen können.
Sicherheit von App-V-Paketen
Wenn ein Anwendungsinstallationsprogramm eine Zugriffssteuerungsliste (Access Control List, ACL) auf eine Datei oder ein Verzeichnis anwendet, wird diese ACL nicht im Paket beibehalten. Wenn die Datei oder das Verzeichnis beim Bereitstellen des Pakets von einem Benutzer geändert wird, erbt die geänderte Datei oder das geänderte Verzeichnis entweder die ACL im %userprofile% oder die ACL des Verzeichnisses des Zielcomputers. Ersteres tritt auf, wenn die Datei oder das Verzeichnis nicht an einem Speicherort eines virtuellen Dateisystems vorhanden ist. Letzteres ist der Fall, wenn sich die Datei oder das Verzeichnis an einem virtuellen Dateisystemspeicherort wie beispielsweise %windir% befindet.
App-V-Protokolldateien
Während des App-V-Setups werden Setupprotokolldateien im Ordner %temp% des installierenden Benutzers erstellt.