VMWARE Horizon Agent 7.0.x User Manual [fr]

Sécurité d'Horizon Client et d'Horizon
Agent
Horizon Client 3.x/4.x et View Agent 6.2.x/Horizon Agent 7.0.x
Mars 2016
Ce document prend en charge la version de chacun des produits répertoriés, ainsi que toutes les versions publiées par la suite jusqu'au remplacement dudit document par une nouvelle édition. Pour rechercher des éditions plus récentes de ce document, rendez-vous sur :
http://www.vmware.com/fr/support/pubs.
FR-001997-00
Sécurité d'Horizon Client et d'Horizon Agent
Vous trouverez la documentation technique la plus récente sur le site Web de VMware à l'adresse :
http://www.vmware.com/fr/support/
Le site Web de VMware propose également les dernières mises à jour des produits.
N’hésitez pas à nous transmettre tous vos commentaires concernant cette documentation à l’adresse suivante :
docfeedback@vmware.com
Copyright © 2015, 2016 VMware, Inc. Tous droits réservés. Copyright et informations sur les marques.
VMware, Inc.
3401 Hillview Ave. Palo Alto, CA 94304 www.vmware.com
2 VMware, Inc.
VMware, Inc.
100-101 Quartier Boieldieu 92042 Paris La Défense France www.vmware.com/fr

Table des matières

Sécurité d'Horizon Client et d'Horizon Agent 5
Ports externes 7
1
Comprendre les protocoles de communication d' View 7 Règles de pare-feu pour Horizon Agent 8 Ports TCP et UDP utilisés par des clients et des agents 8
Services, démons et processus installés 13
2
Services installés par le programme d'installation de View Agent ou Horizon Agent sur des
machines Windows 13 Services installés sur le client Windows 14 Démons installés dans d'autres clients et le poste de travail Linux 14
Ressources à sécuriser 17
3
Implémentation de meilleures pratiques pour sécuriser des systèmes client 17 Emplacements des fichiers de configuration 17 Comptes 18
Paramètres de sécurité pour le client et l'agent 21
4
Configuration de la vérification des certificats 21 Paramètres liés à la sécurité dans le modèle de configuration de View Agent ou Horizon Agent 22 Définir des options dans des fichiers de configuration sur un poste de travail Linux 24 Paramètres de stratégie de groupe pour HTML Access 26 Paramètres de sécurité des modèles de configuration d' Horizon Client 27
VMware, Inc.
Configuration des protocoles de sécurité et des suites de chiffrement 33
5
Stratégies par défaut pour les protocoles de sécurité et les suites de chiffrement 33 Configuration des protocoles de sécurité et des suites de chiffrement pour des types de client
spécifiques 37 Désactiver des chiffrements faibles dans les protocoles SSL/TLS 37 Configurer des protocoles de sécurité et des suites de chiffrement pour l'agent HTML Access 38 Configurer des stratégies de proposition sur des postes de travail View 39
Emplacements des fichiers journaux du client et de l'agent 41
6
Journaux d'Horizon Client pour Windows 41 Journaux d'Horizon Client pour Mac OS X 43 Journaux d'Horizon Client pour Linux 44 Journaux d'Horizon Client sur des périphériques mobiles 45 Journaux View Agent ou Horizon Agent de machines Windows 46 Journaux de poste de travail Linux 47
3
Sécurité d'Horizon Client et d'Horizon Agent
Application de correctifs de sécurité 49
7
Appliquer un correctif pour View Agent ou Horizon Agent 49 Appliquer un correctif à Horizon Client 50
Index 53
4 VMware, Inc.

Sécurité d'Horizon Client et d'Horizon Agent

Sécurité d'Horizon Client et d'Horizon Agent est une référence concise aux fonctionnalités de sécurité de VMware Horizon® Client™ et d'Horizon Agent (pour Horizon 7) ou VMware View Agent® (pour Horizon 6). Ce guide est un complément du guide Sécurité de View, qui est produit pour chaque version majeure et mineure de VMware Horizon™ 6 et d'Horizon 7. Le guide Sécurité d'Horizon Client et d'Horizon Agent est mis à jour tous les trimestres, avec les versions correspondantes des logiciels client et agent.
Horizon Client est l'application que les utilisateurs finaux lancent sur leurs périphériques clients pour se connecter à une application ou un poste de travail distant. View Agent (pour Horizon 6) ou Horizon Agent (pour Horizon 7) est le logiciel agent qui s'exécute dans le système d'exploitation du poste de travail distant ou de l'hôte RDS Microsoft qui fournit les applications distantes. Le guide inclut les informations suivantes :
Comptes de connexion au système requis. ID de connexion des comptes créés lors de l'installation ou
n
du démarrage du système et instructions pour modifier les valeurs par défaut.
Options et paramètres de configuration qui ont des implications en matière de sécurité.
n
Ressources qui doivent être protégées, telles que des fichiers et des mots de passe de configuration liés à
n
la sécurité, et contrôles d'accès recommandés pour un fonctionnement sécurisé.
Emplacement des fichiers journaux et leur objectif.
n
Privilèges attribués aux utilisateurs de service.
n
Interfaces, ports et services externes qui doivent être ouverts ou activés pour le fonctionnement correct
n
du client et de l'agent.
Informations précisant comment les clients peuvent obtenir et appliquer la dernière mise à jour de
n
sécurité ou le correctif de sécurité le plus récent.
Public visé
Ces informations s'adressent aux décideurs, architectes, administrateurs informatiques et autres personnes qui doivent se familiariser avec les composants de sécurité d'Horizon 6 ou Horizon 7, notamment le client et l'agent.
Glossaire VMware Technical Publications
Les publications techniques VMware fournissent un glossaire de termes que vous ne connaissez peut-être pas. Pour obtenir la définition des termes tels qu'ils sont utilisés dans la documentation technique de VMware, visitez la page http://www.vmware.com/support/pubs.
VMware, Inc.
5
Sécurité d'Horizon Client et d'Horizon Agent
6 VMware, Inc.

Ports externes 1

Pour un fonctionnement correct du produit, et selon les fonctionnalités que vous voulez utiliser, divers ports doivent être ouverts pour que les clients et l'agent sur des postes de travail distants puissent communiquer entre eux.
Ce chapitre aborde les rubriques suivantes :
« Comprendre les protocoles de communication d'View », page 7
n
« Règles de pare-feu pour Horizon Agent », page 8
n
« Ports TCP et UDP utilisés par des clients et des agents », page 8
n

Comprendre les protocoles de communication d' View

Les composants View échangent des messages en utilisant plusieurs protocoles différents.
Tableau 1-1 répertorie les ports par défaut utilisés par chaque protocole. Si nécessaire, pour respecter les
stratégies d'entreprise ou pour éviter la contention, vous pouvez modifier les numéros de port utilisés.
Tableau 11. Ports par défaut
Protocole Port
JMS Port TCP 4001
Port TCP 4002
HTTP Port TCP 80
HTTPS Port TCP 443
MMR/CDR Pour la redirection multimédia et la redirection de lecteur client, port TCP 9427
RDP Port TCP 3389
PCoIP Relie n'importe quel port TCP d'Horizon Client au port 4172 de l'application ou du poste de travail
distant. PCoIP relie également le port UDP 50002 d'Horizon Client (ou le port UDP 55000 de PCoIP Secure
Gateway) au port 4172 de l'application ou du poste de travail distant.
redirection USB Port TCP 32111. Ce port est également utilisé pour la synchronisation de fuseau horaire.
VMware Blast Extreme
HTML Access Pour HTML Access Gateway sur des Serveurs de connexion et des serveurs de sécurité, port TCP 8443
Relie n'importe quel port TCP ou UDP d'Horizon Client au port 22443 de l'application ou du poste de travail distant.
Pour les connexions de View Agent ou Horizon Agent, port TCP 22443
VMware, Inc. 7
Sécurité d'Horizon Client et d'Horizon Agent

Règles de pare-feu pour Horizon Agent

Le programme d'installation d'Horizon Agent ouvre certains ports TCP sur le pare-feu. Les ports sont entrants sauf indication contraire.
Tableau 12. Ports TCP ouverts pendant l'installation de l'agent
Protocole Ports
RDP 3389
redirection USB 32111 (Ce port est également utilisé pour la
MMR (redirection multimédia) et CDR (redirection de lecteur client)
PCoIP 4172 (TCP et UDP)
VMware Blast Extreme 22443 (TCP et UDP)
HTML Access 22443
Le programme d'installation de l'agent configure la règle de pare-feu locale pour les connexions RDP entrantes pour qu'elle corresponde au port RDP actuel du système d'exploitation hôte, qui est en général le port 3389. Si vous modifiez le numéro du port RDP après l'installation, vous devez modifier les règles de pare-feu associées.
synchronisation de fuseau horaire.)
9427
Si vous demandez au programme d'installation de l'agent de ne pas activer la prise en charge du Poste de travail à distance, il n'ouvre pas les ports 3389 et 32111 et vous devez ouvrir ces ports manuellement.
Si vous utilisez un modèle de machine virtuelle en tant que source de postes de travail, les exceptions de pare-feu ne continuent sur les postes de travail déployés que si le modèle est membre du domaine de poste de travail. Vous pouvez utiliser les paramètres de stratégie de groupe de Microsoft pour gérer les exceptions de pare-feu locales. Pour plus d'informations, consultez l'article 875357 de la base de connaissances de Microsoft.

Ports TCP et UDP utilisés par des clients et des agents

View Agent (pour Horizon 6), Horizon Agent (pour Horizon 7) et Horizon Client utilisent des ports TCP et UDP pour l'accès réseau entre eux et divers composants du serveur View Server.
Lors de l'installation sur des clients Windows, des postes de travail distants et des hôtes RDS, le programme d'installation peut éventuellement configurer des règles de pare-feu Windows pour ouvrir les ports qui sont utilisés par défaut. Si vous modifiez un port par défaut après l'installation, vous devez reconfigurer manuellement les règles de pare-feu Windows pour autoriser l'accès sur le port mis à jour. Reportez-vous à la section « Remplacement des ports par défaut pour les services View » dans le document Installation de View.
Tableau 13. Ports TCP et UDP utilisés par View Agent ou Horizon Agent
Protocol
Source Port Cible Port
Horizon Client * View
Agent/Horizon Agent
Horizon Client * View
Agent/Horizon Agent
3389 TCP Trafic Microsoft RDP vers des postes de travail
9427 TCP Redirection multimédia (MMR) Windows
e Description
View si des connexions directes sont utilisées à la place de connexions par tunnel.
Media et redirection de lecteur client, si des connexions directes sont utilisées à la place de connexions par tunnel.
8 VMware, Inc.
Tableau 13. Ports TCP et UDP utilisés par View Agent ou Horizon Agent (suite)
Protocol
Source Port Cible Port
Horizon Client * View
32111 TCP Redirection USB et synchronisation de fuseau Agent/Horizon Agent
Horizon Client * View
4172 TCP et Agent/Horizon Agent
Horizon Client * Horizon Agent 22443 TCP et
Navigateur * View
22443 TCP HTML Access si des connexions directes sont Agent/Horizon Agent
Serveur de sécurité, Serveur de connexion View ou
* View
Agent/Horizon Agent
3389 TCP Trafic Microsoft RDP vers des postes de travail
dispositif Access Point
Serveur de sécurité, Serveur de connexion View ou
* View
Agent/Horizon Agent
9427 TCP Redirection Windows Media MMR et
dispositif Access Point
Serveur de sécurité, Serveur de connexion View ou
* View
Agent/Horizon Agent
32111 TCP Redirection USB et synchronisation de fuseau
dispositif Access Point
Serveur de sécurité, Serveur de connexion View ou
55000 View
Agent/Horizon Agent
4172 UDP PCoIP (pas SALSA20) si PCoIP Secure Gateway
dispositif Access Point
Serveur de sécurité, Serveur de connexion View ou
* View
Agent/Horizon Agent
4172 TCP PCoIP, si PCoIP Secure Gateway est utilisé.
dispositif Access Point
Serveur de sécurité,
* Horizon Agent 22443 TCP VMware Blast Extreme si Blast Secure Gateway Serveur de connexion View ou dispositif Access Point
Serveur de sécurité, Serveur de connexion View ou
* View
Agent/Horizon Agent
22443 TCP HTML Access si Blast Secure Gateway est
dispositif Access Point
View Agent/Horizon Agent
* Serveur de
connexion View
4001, 4002
e Description
horaire si des connexions directes sont utilisées à la place de connexions par tunnel.
PCoIP, si PCoIP Secure Gateway n'est pas
UDP
utilisé. REMARQUE Comme le port source varie, voir la
note sous ce tableau.
VMware Blast Extreme si des connexions
UDP
directes sont utilisées à la place de connexions par tunnel.
utilisées à la place de connexions par tunnel.
View quand des connexions par tunnel sont utilisées.
redirection de lecteur client quand des connexions par tunnel sont utilisées.
horaire quand des connexions par tunnel sont utilisées.
est utilisé.
est utilisé.
utilisé.
TCP Trafic JMS SSL.
Chapitre 1 Ports externes
VMware, Inc. 9
Sécurité d'Horizon Client et d'Horizon Agent
Tableau 13. Ports TCP et UDP utilisés par View Agent ou Horizon Agent (suite)
Source Port Cible Port
View Agent/Horizon Agent
View Agent/Horizon Agent
4172 Horizon Client * UDP PCoIP, si PCoIP Secure Gateway n'est pas
4172 Serveur de
REMARQUE Le numéro de port UDP que les agents utilisent pour le protocole PCoIP est susceptible de changer. Si le port 50002 est utilisé, l'agent choisira 50003. Si le port 50003 est utilisé, l'agent choisira le port 50004, etc. Vous devez configurer les pare-feu avec TOUS où un astérisque (*) est répertorié dans le tableau.
Tableau 14. Ports TCP et UDP utilisés par Horizon Client
Source Port Cible Port
Horizon Client * Serveur de
Horizon Client * View
Horizon Client * View
Horizon Client * View
Horizon Client * View
Horizon Client * Serveur de
connexion View, serveur de sécurité ou dispositif Access Point
connexion View, serveur de sécurité ou dispositif Access Point
Agent/Horizon Agent
Agent/Horizon Agent
Agent/Horizon Agent
Agent/Horizon Agent
connexion View, serveur de sécurité ou dispositif Access Point
Protocol e Description
utilisé. REMARQUE Comme le port cible varie, voir la
note sous ce tableau.
55000 UDP PCoIP (pas SALSA20) si PCoIP Secure Gateway
est utilisé.
Protocol e Description
443 TCP HTTPS pour la connexion à View. (Ce port est
également utilisé pour le tunnelling quand des connexions par tunnel sont utilisées.)
3389 TCP Trafic Microsoft RDP vers des postes de travail
View si des connexions directes sont utilisées à la place de connexions par tunnel.
9427 TCP Redirection multimédia (MMR) Windows
Media et redirection de lecteur client, si des connexions directes sont utilisées à la place de connexions par tunnel.
32111 TCP Redirection USB et synchronisation de fuseau
horaire si des connexions directes sont utilisées à la place de connexions par tunnel.
4172 TCP et
UDP
4172 TCP et
UDP
PCoIP, si PCoIP Secure Gateway n'est pas utilisé.
REMARQUE Comme le port source varie, voir la note sous ce tableau.
PCoIP (pas SALSA20) si PCoIP Secure Gateway est utilisé.
REMARQUE Comme le port source varie, voir la note sous ce tableau.
10 VMware, Inc.
Chapitre 1 Ports externes
Tableau 14. Ports TCP et UDP utilisés par Horizon Client (suite)
Protocol
Source Port Cible Port
View Agent/Horizon Agent
Serveur de sécurité, Serveur de connexion View ou dispositif Access Point
4172 Horizon Client * UDP PCoIP, si PCoIP Secure Gateway n'est pas
4172 Horizon Client * UDP PCoIP (pas SALSA20) si PCoIP Secure Gateway
e Description
utilisé. REMARQUE Comme le port cible varie, voir la
note sous ce tableau.
est utilisé. REMARQUE Comme le port cible varie, voir la
note sous ce tableau.
REMARQUE Le numéro de port UDP que les clients utilisent pour le protocole PCoIP est susceptible de changer. Si le port 50002 est utilisé, le client choisira 50003. Si le port 50003 est utilisé, le client choisira le port 50004, etc. Vous devez configurer les pare-feu avec TOUS où un astérisque (*) est répertorié dans le tableau.
VMware, Inc. 11
Sécurité d'Horizon Client et d'Horizon Agent
12 VMware, Inc.
Services, démons et processus
installés 2
Lorsque vous exécutez le client ou le programme d'installation de l'agent, plusieurs composants sont installés.
Ce chapitre aborde les rubriques suivantes :
« Services installés par le programme d'installation de View Agent ou Horizon Agent sur des
n
machines Windows », page 13
« Services installés sur le client Windows », page 14
n
« Démons installés dans d'autres clients et le poste de travail Linux », page 14
n

Services installés par le programme d'installation de View Agent ou Horizon Agent sur des machines Windows

Le fonctionnement des applications et des postes de travail distants dépend de plusieurs services Windows.
Tableau 21. Services de View Agent (pour Horizon 6) ou Horizon Agent (pour Horizon 7)
Type de
Nom du service
VMware Blast Automatique Fournit des services pour HTML Access et pour utiliser le protocole
VMware Horizon View Agent
Serveur de l'agent invité VMware Horizon View Composer
VMware Horizon View Persona Management
Hôte de script VMware Horizon View
VMware Netlink Supervisor Service
VMware Scanner Redirection Client Service
démarrage Description
VMware Blast Extreme afin de se connecter à des clients natifs.
Automatique Fournit des services pour View Agent/Horizon Agent.
Automatique Fournit des services si cette machine virtuelle fait partie d'un pool de
postes de travail de clone lié View Composer.
Automatique si la fonctionnalité est activée ; sinon, Désactivé
Désactivé Fournit la prise en charge de l'exécution des scripts de session de
Automatique Pour prendre en charge les fonctions de redirection de scanner et de
Automatique (View Agent 6.0.2 et versions ultérieures) Fournit des services pour la
Fournit des services pour la fonctionnalité VMware Persona Management.
démarrage, le cas échéant, pour configurer des stratégies de sécurité de poste de travail avant qu'une session de poste de travail commence. Les stratégies sont basées sur le périphérique client et sur l'emplacement de l'utilisateur.
port série, fournit des services de surveillance pour le transfert d'informations entre les processus de noyau et d'espace utilisateur.
fonction de redirection de scanner.
VMware, Inc. 13
Sécurité d'Horizon Client et d'Horizon Agent
Tableau 21. Services de View Agent (pour Horizon 6) ou Horizon Agent (pour Horizon 7) (suite)
Type de
Nom du service
VMware Serial Com Client Service
VMware Snapshot Provider
VMware Tools Automatique Fournit la prise en charge de la synchronisation des objets entre les
VMware USB Arbitration Service
VMware View USB Automatique Fournit des services pour la fonction de redirection USB.
démarrage Description
Automatique (View Agent 6.1.1 et versions ultérieures) Fournit des services pour la
fonction de redirection de port série.
Manuel Fournit des services pour les snapshots de machine virtuelle, qui sont
utilisés pour le clonage.
systèmes d'exploitation hôte et invité, ce qui améliore la performance du système d'exploitation invité des machines virtuelles et la gestion de la machine virtuelle.
Automatique Compte les divers périphériques USB connectés au client et détermine
les périphériques à connecter au client et ceux à connecter au poste de travail distant.

Services installés sur le client Windows

Le fonctionnement d'Horizon Client dépend de plusieurs services Windows.
Tableau 22. Services d'Horizon Client
Type de
Nom du service
VMware Horizon Client Automatique Fournit des services d'Horizon Client.
VMware Netlink Supervisor Service
VMware Scanner Redirection Client Service
VMware Serial Com Client Service
VMware USB Arbitration Service
VMware View USB Automatique Fournit des services pour la fonction de redirection USB.
démarrage Description
Automatique Pour prendre en charge les fonctions de redirection de scanner et de port
série, fournit des services de surveillance pour le transfert d'informations entre les processus de noyau et d'espace utilisateur.
Automatique (Horizon Client 3.2 et versions ultérieures) Fournit des services pour la
fonction de redirection de scanner.
Automatique (Horizon Client 3.4 et versions ultérieures) Fournit des services pour la
fonction de redirection de port série.
Automatique Compte les divers périphériques USB connectés au client et détermine les
périphériques à connecter au client et ceux à connecter au poste de travail distant.

Démons installés dans d'autres clients et le poste de travail Linux

Pour des raisons de sécurité, il est important de savoir si des démons ou des processus sont installés par Horizon Client.
Tableau 23. Services, processus ou démons installés par Horizon Client, par type de client
Type Service, processus ou démon
Client Linux
Client Mac Horizon Client ne crée aucun démon.
Client Chrome Horizon Client s'exécute dans un processus Android unique. Horizon Client ne crée aucun démon.
Client iOS Horizon Client ne crée aucun démon.
14 VMware, Inc.
n
vmware-usbarbitrator, qui compte les divers périphériques USB connectés au client et détermine les périphériques à connecter au client et ceux à connecter au poste de travail distant.
n
vmware-view-used, qui fournit des services pour la fonctionnalité de redirection USB.
REMARQUE Ces démons démarrent automatiquement si vous cochez la case Enregistrer et démarrer le ou les services après l'installation lors de l'installation. Ces processus s'exécutent en tant que root.
Chapitre 2 Services, démons et processus installés
Tableau 23. Services, processus ou démons installés par Horizon Client, par type de client (suite)
Type Service, processus ou démon
Client Android Horizon Client s'exécute dans un processus Android unique. Horizon Client ne crée aucun démon.
Client Windows Store
Poste de travail Linux
Horizon Client ne crée ou ne déclenche aucun service système.
n
StandaloneAgent, qui s'exécute avec des privilèges root et est démarré lorsque le système Linux est activé et exécuté. StandaloneAgent communique avec le Serveur de connexion View pour réaliser la gestion de session de poste de travail distant (configure/détruit la session, en mettant à jour l'état du poste de travail distant sur le broker dans le Serveur de connexion View).
n
VMwareBlastServer, qui est démarré par StandaloneAgent lorsqu'une demande StartSession est reçue de la part du Serveur de connexion View. Le démon VMwareBlastServer s'exécute avec le privilège vmwblast (un compte système créé lors de
l'installation de l'agent Linux.) . Il communique avec StandaloneAgent via un canal MKSControl interne et communique avec Horizon Client à l'aide du protocole Blast.
VMware, Inc. 15
Sécurité d'Horizon Client et d'Horizon Agent
16 VMware, Inc.

Ressources à sécuriser 3

Ces ressources incluent des fichiers de configuration, des mots de passe et des contrôles d'accès pertinents.
Ce chapitre aborde les rubriques suivantes :
« Implémentation de meilleures pratiques pour sécuriser des systèmes client », page 17
n
« Emplacements des fichiers de configuration », page 17
n
« Comptes », page 18
n

Implémentation de meilleures pratiques pour sécuriser des systèmes client

Il vous est recommandé d'implémenter des meilleures pratiques pour sécuriser des systèmes client.
Assurez-vous que les systèmes client sont configurés pour passer en veille après une période
n
d'inactivité et que les utilisateurs doivent saisir un mot de passe avant de réveiller l'ordinateur.
Les utilisateurs doivent saisir un nom d'utilisateur et un mot de passe lors du démarrage des systèmes
n
client. Ne configurez pas les systèmes client pour qu'ils autorisent les ouvertures de session automatiques.
Pour les systèmes client Mac, pensez à définir différents mots de passe pour la chaîne de clé et le
n
compte d'utilisateur. Lorsque les mots de passe sont différents, les utilisateurs sont invités avant que le système n'entre des mots de passe en leur nom. Pensez également à activer la protection FileVault.

Emplacements des fichiers de configuration

Les ressources à protéger incluent les fichiers de configuration relatifs à la sécurité.
Tableau 31. Emplacement des fichiers de configuration, par type de client
Type Chemin du répertoire
Client Linux Lorsqu'Horizon Client démarre, des paramètres de configuration sont traités depuis
plusieurs emplacements dans l'ordre suivant : 1
/etc/vmware/view-default-config
2
~/.vmware/view-preferences
3
/etc/vmware/view-mandatory-config
Si un paramètre est défini dans plusieurs emplacements, la valeur utilisée est la valeur du dernier fichier ou de la dernière option de ligne de commande lu(e).
Client Windows Les paramètres d'utilisateur pouvant inclure des informations privées se trouvent
dans le fichier suivant :
C:\Users\user-name\AppData\Roaming\VMware\VMware Horizon View Client\prefs.txt
VMware, Inc. 17
Loading...
+ 37 hidden pages