Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
Dieser Artikel enthält eine kurze Übersicht über Konten und Gruppen, Protokolldateien und andere sicherheitsbezogene Überlegungen für Microsoft Application Virtualization (App-V) 5.1.
Wichtig
App-V 5.1 ist kein Sicherheitsprodukt und bietet keine Garantien für eine sichere Umgebung.
Das PackageStoreAccessControl-Feature (PSAC) ist veraltet
Mit Wirkung vom Juni 2014 ist das in Microsoft Application Virtualization (App-V) 5.0 Service Pack 2 (SP2) eingeführte Feature PackageStoreAccessControl (PSAC) sowohl in Einzelbenutzer- als auch in Mehrbenutzerumgebungen veraltet.
Allgemeine Sicherheitsüberlegungen
Verstehen Sie die Sicherheitsrisiken. Das größte Risiko für App-V 5.1 besteht darin, dass seine Funktionalität von einem nicht autorisierten Benutzer übernommen wird, der dann Schlüsseldaten auf App-V 5.1-Clients neu konfigurieren könnte. Der Verlust der App-V 5.1-Funktionalität für kurze Zeit aufgrund eines Denial-of-Service-Angriffs hat in der Regel keine katastrophalen Auswirkungen.
Physische Sicherung Ihrer Computer. Sicherheit ist ohne physische Sicherheit unvollständig. Jeder, der physischen Zugriff auf einen App-V 5.1-Server hat, kann potenziell die gesamte Clientbasis angreifen. Alle potenziellen physischen Angriffe müssen als hohes Risiko eingestuft und entsprechend entschärft werden. App-V 5.1-Server sollten in einem physisch sicheren Serverraum mit kontrolliertem Zugriff gespeichert werden. Sichern Sie diese Computer, wenn Administratoren nicht physisch anwesend sind, indem Sie den Computer vom Betriebssystem sperren lassen oder einen gesicherten Bildschirmschoner verwenden.
Wenden Sie die neuesten Sicherheitsupdates auf alle Computer an.
Verwenden Sie sichere Kennwörter oder Passphrasen. Verwenden Sie immer sichere Kennwörter mit 15 oder mehr Zeichen für alle App-V 5.1- und App-V 5.1-Administratorkonten. Verwenden Sie niemals leere Kennwörter. Weitere Informationen zu Kennwortkonzepten finden Sie unter Kontokennwörter und Richtlinien.
Konten und Gruppen in App-V 5.1
Eine bewährte Methode für die Benutzerkontenverwaltung besteht darin, globale Domänengruppen zu erstellen und diesen Benutzerkonten hinzuzufügen. Fügen Sie dann die globalen Domänenkonten den erforderlichen lokalen App-V 5.1-Gruppen auf den App-V 5.1-Servern hinzu.
Hinweis
App-V-Clientcomputerkonten, die eine Verbindung mit dem Veröffentlichungsserver herstellen müssen, müssen Teil der lokalen Benutzergruppe des Veröffentlichungsservers sein. Standardmäßig sind alle Computer in der Domäne Teil der Gruppe " Autorisierte Benutzer ", die Teil der lokalen Gruppe "Benutzer" ist.
Serversicherheit in App-V 5.1
Während des App-V 5.1-Setups werden keine Gruppen automatisch erstellt. Sie sollten die folgenden globalen Active Directory Domain Services Gruppen erstellen, um App-V 5.1-Servervorgänge zu verwalten.
| Gruppenname | Details |
|---|---|
| App-V Management Admin-Gruppe | Wird zum Verwalten des App-V 5.1-Verwaltungsservers verwendet. Diese Gruppe wird während der Installation des App-V 5.1-Verwaltungsservers erstellt. Wichtig: Es gibt keine Methode, die Gruppe nach Abschluss der Installation über die Verwaltungskonsole zu erstellen. |
| Datenbank mit Lese-/Schreibzugriff für Verwaltungsdienstkonto | Bietet Lese-/Schreibzugriff auf die Verwaltungsdatenbank. Dieses Konto sollte während der Installation der App-V 5.1-Verwaltungsdatenbank erstellt werden. |
| App-V-Verwaltungsdienst Administratorkonto installieren | Ermöglicht öffentlichen Zugriff auf die Schemaversionstabelle in der Verwaltungsdatenbank. Dieses Konto sollte während der Installation der App-V 5.1-Verwaltungsdatenbank erstellt werden. Hinweis: Dies ist nur erforderlich, wenn die Verwaltungsdatenbank getrennt vom Dienst installiert wird. |
| Administratorkonto für App-V Reporting Service installieren | Öffentlicher Zugriff auf die Schemaversionstabelle in der Berichtsdatenbank. Dieses Konto sollte während der Installation der App-V 5.1-Berichtsdatenbank erstellt werden. Hinweis: Dies ist nur erforderlich, wenn die Berichtsdatenbank getrennt vom Dienst installiert wird. |
Berücksichtigen Sie die folgenden zusätzlichen Informationen:
Zugriff auf die Paketfreigaben - Wenn eine Freigabe auf demselben Computer wie der Verwaltungsserver vorhanden ist, benötigt der Netzwerkdienst Lesezugriff auf die Freigabe. Darüber hinaus muss jeder App-V-Clientcomputer über Lesezugriff auf die Paketfreigabe verfügen.
Hinweis
In früheren Versionen von App-V wurde die Paketfreigabe als Inhaltsfreigabe bezeichnet.
Registrieren von Veröffentlichungsservern beim Verwaltungsserver - Ein Veröffentlichungsserver muss beim Verwaltungsserver registriert sein. Beispielsweise muss es der Datenbank hinzugefügt werden, damit die Computerkonten des Veröffentlichungsservers die Verwaltungsdienst-API aufrufen können.
App-V 5.1-Paketsicherheit
Die folgenden Informationen helfen Ihnen bei der Planung, wie Sie sicherstellen können, dass virtualisierte Pakete sicher sind.
- Wenn ein Anwendungsinstallationsprogramm eine Zugriffssteuerungsliste (Access Control List, ACL) auf eine Datei oder ein Verzeichnis anwendet, wird diese ACL nicht im Paket beibehalten. Wenn das Paket bereitgestellt wird und die Datei oder das Verzeichnis von einem Benutzer geändert wird, erbt es entweder die ACL im %userprofile% oder die ACL des Verzeichnisses des Zielcomputers. Der erste Fall tritt ein, wenn die Datei oder das Verzeichnis nicht an einem Speicherort des virtuellen Dateisystems vorhanden ist. Letzteres tritt auf, wenn die Datei oder das Verzeichnis an einem virtuellen Dateisystemspeicherort vorhanden ist, z. B. %windir%.
App-V 5.1-Protokolldateien
Während des Setups von App-V 5.1 werden Setupprotokolldateien im Ordner %temp% des installierenden Benutzers erstellt.