Installation einer XenApp 7.6 Testumgebung (Teil 6)

Die XenApp-Umgebung ist nun eigentlich fertig. Es können sich Benutzer am System anmelden, ihre Anwendungen starten und fröhlich arbeiten. Allerdings sind aus Sicht des Administrators noch einige Dinge zu konfigurieren, um das System wirklich nutzbar zu machen. In einer Produktiven Umgebung müssen Richtlinien umgesetzt werden, damit zum Beispiel die lokalen Laufwerke des Clients, mit dem sich der Benutzer anmeldet, ausgeblendet werden.

Für den User sieht der Explorer nämlich ziemlich chaotisch aus, wenn alle seine Laufwerke mit in die Sitzung wandern und gleichzeitig die Netzwerklaufwerke zusätzlich verbunden werden:

Wie man im Bild erkennen kann, werden die lokalen Laufwerke und die Netzwerklaufwerke des Benutzer-PCs (Saturn) mit eingebunden, erkennbar an dem Zusatz (… aus Saturn). Gleichzeitig werden auch die Laufwerke des XADC1, in diesem Fall nur C:, eingebunden (Lokaler Datenträger (C:)).

Die Netzwerklaufwerke werden durch die Anmeldung des Benutzers und das Login-Script noch ein weiteres mal angebunden. Das ist ja auch korrekt und soll so sein.

Damit dies realisiert werden kann, werden unterschiedliche Richtlinien benötigt. Einige Dinge können mit entsprechenden Gruppenrichtlinien (GPO) im Active Directory konfiguriert werden. Die Optionen, die für XenApp / XenDesktop benötigt werden, konfiguriert man im Citrix Studio.

Auf der rechten Seite wird im Studio der Punkt „Richtlinien“ ausgewählt. Wir bekommen noch einen Hinweis, mit dem auf die Funktion dieser Richtlinien hingewiesen wird und die beiden Möglichkeiten, eine Richtlinie zu erstellen.

Zuerst erstelle ich eine Richtlinie, um die Client-Ressourcen Laufwerke und Drucker in der Citrix-Sitzung auszublenden.

Wie man sieht, gibt es schon eine Standard-Richtlinie mit dem treffenden Namen „Unfiltered“. Wie der Name schon sagt, werden die Einstellungen in dieser Richtlinie auf alle Verbindungen angewendet.

Im oberen Bereich gibt es die vier Reiter Richtlinien, Vorlagen, Vergleich und Modellierung. Im Bereich Richtlinien werden eben diese erstellt, unter Vorlagen befinden sich auf einem frischen System die von Citrix vorkonfigurierten Richtlinien. Später können dort auch eigene Vorlagen, zum Beispiel zur Zuweisung von Druckern abgelegt werden.

Der dritte Punkt dient zur Lokalisierung von Problemen durch den Vergleich von verschiedenen Richtlinien. Damit können Widersprüche oder Redundanzen aufgedeckt werden.

Im vierten Punkt werden die Ergebnisse des Modellierungs-Assistenten ausgegeben, hiermit können Richtlinien auf Anwendung überprüft werden.

Auf der rechten Seite wird mit einem Klick auf Richtlinie erstellen der entsprechende Dialog aufgerufen. Dort kann schon gefiltert werden, welche Richtlinien überhaupt angezeigt werden. Wenn man den Scroll-Balken bedient erkennt man schon den Umfang der verfügbaren Richtlinien.

Um nun die vom Client übernommenen Ressourcen auszublenden kann man zuerst in der Suche (dem Feld mit der Lupe) den Begriff „Client“ eingeben, die Ergebnisse werden dann entsprechend gefiltert.

Hier werden die Diskettenlaufwerke (hat das noch jemand?), die Laufwerke (C:, D:) und verbundenen Netzwerklaufwerke, die vom Client mit in die Sitzung übernommen wurden, ausgeblendet. Zusätzlich wird der lokale Drucker nicht mit in die Citrix-Sitzung eingebunden. Dabei kann es nämlich Probleme mit den Druckertreibern geben, diese müssen sowohl auf dem Client als auch auf dem Server in der richtigen Version vorliegen. Das Thema Drucken mit Citrix werde ich noch in einem anderen Artikel behandeln.

Nun muss noch definiert werden, für wen die Richtlinie gilt. In diesem Fall gilt sie für alle Benutzer, die sich am xavda1 anmelden, das sind hier die Domänen-Benutzer.

Dann kann die Richtlinie mit einem passenden Namen versehen werden und wird aktiviert:

Meldet sich ein Benutzer nun am XenApp an, so sieht der Explorer schon aufgeräumter aus:

Es wird allerdings noch das Laufwerk C: des Servers angezeigt, die kann aber mit einer GPO  ausgeblendet werden, welche auf die OU der Terminalserver im Active Directory angewendet wird. Die entsprechende Richtlinie heißt „Diese angegebenen Datenträger im Fenster Arbeitsplatz ausblenden“ und findet sich unter Benutzerkonfiguration – Richtlinien – Administrative Vorlagen – Windows-Komponenten – Windows-Explorer.

In den Einstellungen des GPO werden die Laufwerke A:, B:, C: und D: des Servers ausgeblendet:

Der Zugriff auf Die Laufwerke ist allerdings weiterhin möglich. Um auch den Zugriff zu verhindern, kann noch das GPO „Zugriff auf Laufwerke vom Arbeitsplatz nicht zulassen“ aktiviert werden.

Der Administrator sollte das GPO allerdings nicht übernehmen, da sonst die Administration des Server problematisch werden kann…

Wenn das GPO dann angewendet worden ist, sieht der Explorer dann so aus:

Es stehen nur noch die Netzwerklaufwerke zur Verfügung, die lokalen Laufwerke des Servers und die vom Client übernommenen Laufwerke sind ausgeblendet. Zusätzlich sollte man noch die Benutzerverzeichnisse auf ein Netzwerklaufwerk umleiten (Stichwort Ordnerumleitung) und die Benutzerprofil auf einem Server speichern. Dann ist die Nutzung von mehreren Terminalservern kein Problem, das Profil und die Daten de Benutzers wandern dann über die Server mit. Eventuell schreibe ich auch noch einen Artikel über die saubere Konfiguration von „Roaming Profiles“ und die korrekte Umleitung der Verzeichnisse.

In den nächsten Teilen werden noch Optimierungen an der Storefront-Seite erfolgen (Umstellung auf HTTPS und Sicherung der Kommunikation mit Zertifikaten) sowie die Konfiguration des Zugangs von Außen über ein Netscaler Gateway.

Weiter geht’s aber erstmal mit Zertifikaten. Installation einer Zertifizierungsstelle