Horizon Client 3.x/4.x et View Agent 6.2.x/Horizon Agent 7.0.x
Mars 2016
Ce document prend en charge la version de chacun des produits
répertoriés, ainsi que toutes les versions publiées par la suite
jusqu'au remplacement dudit document par une nouvelle
édition. Pour rechercher des éditions plus récentes de ce
document, rendez-vous sur :
http://www.vmware.com/fr/support/pubs.
FR-001997-00
Sécurité d'Horizon Client et d'Horizon Agent
Vous trouverez la documentation technique la plus récente sur le site Web de VMware à l'adresse :
http://www.vmware.com/fr/support/
Le site Web de VMware propose également les dernières mises à jour des produits.
N’hésitez pas à nous transmettre tous vos commentaires concernant cette documentation à l’adresse suivante :
3401 Hillview Ave.
Palo Alto, CA 94304
www.vmware.com
2 VMware, Inc.
VMware, Inc.
100-101 Quartier Boieldieu
92042 Paris La Défense
France
www.vmware.com/fr
Table des matières
Sécurité d'Horizon Client et d'Horizon Agent5
Ports externes7
1
Comprendre les protocoles de communication d' View 7
Règles de pare-feu pour Horizon Agent 8
Ports TCP et UDP utilisés par des clients et des agents 8
Services, démons et processus installés13
2
Services installés par le programme d'installation de View Agent ou Horizon Agent sur des
machines Windows 13
Services installés sur le client Windows 14
Démons installés dans d'autres clients et le poste de travail Linux 14
Ressources à sécuriser17
3
Implémentation de meilleures pratiques pour sécuriser des systèmes client 17
Emplacements des fichiers de configuration 17
Comptes 18
Paramètres de sécurité pour le client et l'agent21
4
Configuration de la vérification des certificats 21
Paramètres liés à la sécurité dans le modèle de configuration de View Agent ou Horizon Agent 22
Définir des options dans des fichiers de configuration sur un poste de travail Linux 24
Paramètres de stratégie de groupe pour HTML Access 26
Paramètres de sécurité des modèles de configuration d' Horizon Client 27
VMware, Inc.
Configuration des protocoles de sécurité et des suites de chiffrement33
5
Stratégies par défaut pour les protocoles de sécurité et les suites de chiffrement 33
Configuration des protocoles de sécurité et des suites de chiffrement pour des types de client
spécifiques 37
Désactiver des chiffrements faibles dans les protocoles SSL/TLS 37
Configurer des protocoles de sécurité et des suites de chiffrement pour l'agent HTML Access 38
Configurer des stratégies de proposition sur des postes de travail View 39
Emplacements des fichiers journaux du client et de l'agent41
6
Journaux d'Horizon Client pour Windows 41
Journaux d'Horizon Client pour Mac OS X 43
Journaux d'Horizon Client pour Linux 44
Journaux d'Horizon Client sur des périphériques mobiles 45
Journaux View Agent ou Horizon Agent de machines Windows 46
Journaux de poste de travail Linux 47
3
Sécurité d'Horizon Client et d'Horizon Agent
Application de correctifs de sécurité49
7
Appliquer un correctif pour View Agent ou Horizon Agent 49
Appliquer un correctif à Horizon Client 50
Index53
4 VMware, Inc.
Sécurité d'Horizon Client et d'Horizon Agent
Sécurité d'Horizon Client et d'Horizon Agent est une référence concise aux fonctionnalités de sécurité de
VMware Horizon® Client™ et d'Horizon Agent (pour Horizon 7) ou VMware View Agent® (pour
Horizon 6). Ce guide est un complément du guide Sécurité de View, qui est produit pour chaque version
majeure et mineure de VMware Horizon™ 6 et d'Horizon 7. Le guide Sécurité d'Horizon Client et d'HorizonAgent est mis à jour tous les trimestres, avec les versions correspondantes des logiciels client et agent.
Horizon Client est l'application que les utilisateurs finaux lancent sur leurs périphériques clients pour se
connecter à une application ou un poste de travail distant. View Agent (pour Horizon 6) ou Horizon Agent
(pour Horizon 7) est le logiciel agent qui s'exécute dans le système d'exploitation du poste de travail distant
ou de l'hôte RDS Microsoft qui fournit les applications distantes. Le guide inclut les informations suivantes :
Comptes de connexion au système requis. ID de connexion des comptes créés lors de l'installation ou
n
du démarrage du système et instructions pour modifier les valeurs par défaut.
Options et paramètres de configuration qui ont des implications en matière de sécurité.
n
Ressources qui doivent être protégées, telles que des fichiers et des mots de passe de configuration liés à
n
la sécurité, et contrôles d'accès recommandés pour un fonctionnement sécurisé.
Emplacement des fichiers journaux et leur objectif.
n
Privilèges attribués aux utilisateurs de service.
n
Interfaces, ports et services externes qui doivent être ouverts ou activés pour le fonctionnement correct
n
du client et de l'agent.
Informations précisant comment les clients peuvent obtenir et appliquer la dernière mise à jour de
n
sécurité ou le correctif de sécurité le plus récent.
Public visé
Ces informations s'adressent aux décideurs, architectes, administrateurs informatiques et autres personnes
qui doivent se familiariser avec les composants de sécurité d'Horizon 6 ou Horizon 7, notamment le client et
l'agent.
Glossaire VMware Technical Publications
Les publications techniques VMware fournissent un glossaire de termes que vous ne connaissez peut-être
pas. Pour obtenir la définition des termes tels qu'ils sont utilisés dans la documentation technique de
VMware, visitez la page http://www.vmware.com/support/pubs.
VMware, Inc.
5
Sécurité d'Horizon Client et d'Horizon Agent
6 VMware, Inc.
Ports externes1
Pour un fonctionnement correct du produit, et selon les fonctionnalités que vous voulez utiliser, divers ports
doivent être ouverts pour que les clients et l'agent sur des postes de travail distants puissent communiquer
entre eux.
Ce chapitre aborde les rubriques suivantes :
« Comprendre les protocoles de communication d'View », page 7
n
« Règles de pare-feu pour Horizon Agent », page 8
n
« Ports TCP et UDP utilisés par des clients et des agents », page 8
n
Comprendre les protocoles de communication d' View
Les composants View échangent des messages en utilisant plusieurs protocoles différents.
Tableau 1-1 répertorie les ports par défaut utilisés par chaque protocole. Si nécessaire, pour respecter les
stratégies d'entreprise ou pour éviter la contention, vous pouvez modifier les numéros de port utilisés.
Tableau 1‑1. Ports par défaut
ProtocolePort
JMSPort TCP 4001
Port TCP 4002
HTTPPort TCP 80
HTTPSPort TCP 443
MMR/CDRPour la redirection multimédia et la redirection de lecteur client, port TCP 9427
RDPPort TCP 3389
PCoIPRelie n'importe quel port TCP d'Horizon Client au port 4172 de l'application ou du poste de travail
distant.
PCoIP relie également le port UDP 50002 d'Horizon Client (ou le port UDP 55000 de PCoIP Secure
Gateway) au port 4172 de l'application ou du poste de travail distant.
redirection USBPort TCP 32111. Ce port est également utilisé pour la synchronisation de fuseau horaire.
VMware Blast
Extreme
HTML AccessPour HTML Access Gateway sur des Serveurs de connexion et des serveurs de sécurité, port TCP 8443
Relie n'importe quel port TCP ou UDP d'Horizon Client au port 22443 de l'application ou du poste de
travail distant.
Pour les connexions de View Agent ou Horizon Agent, port TCP 22443
VMware, Inc. 7
Sécurité d'Horizon Client et d'Horizon Agent
Règles de pare-feu pour Horizon Agent
Le programme d'installation d'Horizon Agent ouvre certains ports TCP sur le pare-feu. Les ports sont
entrants sauf indication contraire.
Tableau 1‑2. Ports TCP ouverts pendant l'installation de l'agent
ProtocolePorts
RDP3389
redirection USB32111 (Ce port est également utilisé pour la
MMR (redirection multimédia) et CDR (redirection de
lecteur client)
PCoIP4172 (TCP et UDP)
VMware Blast Extreme22443 (TCP et UDP)
HTML Access22443
Le programme d'installation de l'agent configure la règle de pare-feu locale pour les connexions RDP
entrantes pour qu'elle corresponde au port RDP actuel du système d'exploitation hôte, qui est en général le
port 3389. Si vous modifiez le numéro du port RDP après l'installation, vous devez modifier les règles de
pare-feu associées.
synchronisation de fuseau horaire.)
9427
Si vous demandez au programme d'installation de l'agent de ne pas activer la prise en charge du Poste de
travail à distance, il n'ouvre pas les ports 3389 et 32111 et vous devez ouvrir ces ports manuellement.
Si vous utilisez un modèle de machine virtuelle en tant que source de postes de travail, les exceptions de
pare-feu ne continuent sur les postes de travail déployés que si le modèle est membre du domaine de poste
de travail. Vous pouvez utiliser les paramètres de stratégie de groupe de Microsoft pour gérer les exceptions
de pare-feu locales. Pour plus d'informations, consultez l'article 875357 de la base de connaissances de
Microsoft.
Ports TCP et UDP utilisés par des clients et des agents
View Agent (pour Horizon 6), Horizon Agent (pour Horizon 7) et Horizon Client utilisent des ports TCP et
UDP pour l'accès réseau entre eux et divers composants du serveur View Server.
Lors de l'installation sur des clients Windows, des postes de travail distants et des hôtes RDS, le programme
d'installation peut éventuellement configurer des règles de pare-feu Windows pour ouvrir les ports qui sont
utilisés par défaut. Si vous modifiez un port par défaut après l'installation, vous devez reconfigurer
manuellement les règles de pare-feu Windows pour autoriser l'accès sur le port mis à jour. Reportez-vous à
la section « Remplacement des ports par défaut pour les services View » dans le document Installation deView.
Tableau 1‑3. Ports TCP et UDP utilisés par View Agent ou Horizon Agent
Protocol
SourcePortCiblePort
Horizon Client*View
Agent/Horizon
Agent
Horizon Client*View
Agent/Horizon
Agent
3389TCPTrafic Microsoft RDP vers des postes de travail
9427TCPRedirection multimédia (MMR) Windows
eDescription
View si des connexions directes sont utilisées à
la place de connexions par tunnel.
Media et redirection de lecteur client, si des
connexions directes sont utilisées à la place de
connexions par tunnel.
8 VMware, Inc.
Tableau 1‑3. Ports TCP et UDP utilisés par View Agent ou Horizon Agent (suite)
Protocol
SourcePortCiblePort
Horizon Client*View
32111TCPRedirection USB et synchronisation de fuseau
Agent/Horizon
Agent
Horizon Client*View
4172TCP et
Agent/Horizon
Agent
Horizon Client*Horizon Agent22443TCP et
Navigateur*View
22443TCPHTML Access si des connexions directes sont
Agent/Horizon
Agent
Serveur de sécurité,
Serveur de
connexion View ou
*View
Agent/Horizon
Agent
3389TCPTrafic Microsoft RDP vers des postes de travail
dispositif
Access Point
Serveur de sécurité,
Serveur de
connexion View ou
*View
Agent/Horizon
Agent
9427TCPRedirection Windows Media MMR et
dispositif
Access Point
Serveur de sécurité,
Serveur de
connexion View ou
*View
Agent/Horizon
Agent
32111TCPRedirection USB et synchronisation de fuseau
dispositif
Access Point
Serveur de sécurité,
Serveur de
connexion View ou
55000View
Agent/Horizon
Agent
4172UDPPCoIP (pas SALSA20) si PCoIP Secure Gateway
dispositif
Access Point
Serveur de sécurité,
Serveur de
connexion View ou
*View
Agent/Horizon
Agent
4172TCPPCoIP, si PCoIP Secure Gateway est utilisé.
dispositif
Access Point
Serveur de sécurité,
*Horizon Agent22443TCPVMware Blast Extreme si Blast Secure Gateway
Serveur de
connexion View ou
dispositif
Access Point
Serveur de sécurité,
Serveur de
connexion View ou
*View
Agent/Horizon
Agent
22443TCPHTML Access si Blast Secure Gateway est
dispositif
Access Point
View
Agent/Horizon
Agent
*Serveur de
connexion
View
4001,
4002
eDescription
horaire si des connexions directes sont utilisées
à la place de connexions par tunnel.
PCoIP, si PCoIP Secure Gateway n'est pas
UDP
utilisé.
REMARQUE Comme le port source varie, voir la
note sous ce tableau.
VMware Blast Extreme si des connexions
UDP
directes sont utilisées à la place de connexions
par tunnel.
utilisées à la place de connexions par tunnel.
View quand des connexions par tunnel sont
utilisées.
redirection de lecteur client quand des
connexions par tunnel sont utilisées.
horaire quand des connexions par tunnel sont
utilisées.
est utilisé.
est utilisé.
utilisé.
TCPTrafic JMS SSL.
Chapitre 1 Ports externes
VMware, Inc. 9
Sécurité d'Horizon Client et d'Horizon Agent
Tableau 1‑3. Ports TCP et UDP utilisés par View Agent ou Horizon Agent (suite)
SourcePortCiblePort
View
Agent/Horizon
Agent
View
Agent/Horizon
Agent
4172Horizon Client*UDPPCoIP, si PCoIP Secure Gateway n'est pas
4172Serveur de
REMARQUE Le numéro de port UDP que les agents utilisent pour le protocole PCoIP est susceptible de
changer. Si le port 50002 est utilisé, l'agent choisira 50003. Si le port 50003 est utilisé, l'agent choisira le
port 50004, etc. Vous devez configurer les pare-feu avec TOUS où un astérisque (*) est répertorié dans le
tableau.
Tableau 1‑4. Ports TCP et UDP utilisés par Horizon Client
SourcePortCiblePort
Horizon Client*Serveur de
Horizon Client*View
Horizon Client*View
Horizon Client*View
Horizon Client*View
Horizon Client*Serveur de
connexion
View, serveur
de sécurité ou
dispositif
Access Point
connexion View,
serveur de
sécurité ou
dispositif
Access Point
Agent/Horizon
Agent
Agent/Horizon
Agent
Agent/Horizon
Agent
Agent/Horizon
Agent
connexion View,
serveur de
sécurité ou
dispositif
Access Point
Protocol
eDescription
utilisé.
REMARQUE Comme le port cible varie, voir la
note sous ce tableau.
55000UDPPCoIP (pas SALSA20) si PCoIP Secure Gateway
est utilisé.
Protocol
eDescription
443TCPHTTPS pour la connexion à View. (Ce port est
également utilisé pour le tunnelling quand des
connexions par tunnel sont utilisées.)
3389TCPTrafic Microsoft RDP vers des postes de travail
View si des connexions directes sont utilisées à
la place de connexions par tunnel.
9427TCPRedirection multimédia (MMR) Windows
Media et redirection de lecteur client, si des
connexions directes sont utilisées à la place de
connexions par tunnel.
32111TCPRedirection USB et synchronisation de fuseau
horaire si des connexions directes sont utilisées
à la place de connexions par tunnel.
4172TCP et
UDP
4172TCP et
UDP
PCoIP, si PCoIP Secure Gateway n'est pas
utilisé.
REMARQUE Comme le port source varie, voir la
note sous ce tableau.
PCoIP (pas SALSA20) si PCoIP Secure Gateway
est utilisé.
REMARQUE Comme le port source varie, voir la
note sous ce tableau.
10 VMware, Inc.
Chapitre 1 Ports externes
Tableau 1‑4. Ports TCP et UDP utilisés par Horizon Client (suite)
Protocol
SourcePortCiblePort
View
Agent/Horizon
Agent
Serveur de sécurité,
Serveur de
connexion View ou
dispositif
Access Point
4172Horizon Client*UDPPCoIP, si PCoIP Secure Gateway n'est pas
4172Horizon Client*UDPPCoIP (pas SALSA20) si PCoIP Secure Gateway
eDescription
utilisé.
REMARQUE Comme le port cible varie, voir la
note sous ce tableau.
est utilisé.
REMARQUE Comme le port cible varie, voir la
note sous ce tableau.
REMARQUE Le numéro de port UDP que les clients utilisent pour le protocole PCoIP est susceptible de
changer. Si le port 50002 est utilisé, le client choisira 50003. Si le port 50003 est utilisé, le client choisira le
port 50004, etc. Vous devez configurer les pare-feu avec TOUS où un astérisque (*) est répertorié dans le
tableau.
VMware, Inc. 11
Sécurité d'Horizon Client et d'Horizon Agent
12 VMware, Inc.
Services, démons et processus
installés2
Lorsque vous exécutez le client ou le programme d'installation de l'agent, plusieurs composants sont
installés.
Ce chapitre aborde les rubriques suivantes :
« Services installés par le programme d'installation de View Agent ou Horizon Agent sur des
n
machines Windows », page 13
« Services installés sur le client Windows », page 14
n
« Démons installés dans d'autres clients et le poste de travail Linux », page 14
n
Services installés par le programme d'installation de View Agent ou
Horizon Agent sur des machines Windows
Le fonctionnement des applications et des postes de travail distants dépend de plusieurs services Windows.
Tableau 2‑1. Services de View Agent (pour Horizon 6) ou Horizon Agent (pour Horizon 7)
Type de
Nom du service
VMware BlastAutomatiqueFournit des services pour HTML Access et pour utiliser le protocole
VMware Horizon View
Agent
Serveur de l'agent invité
VMware Horizon View
Composer
VMware Horizon View
Persona Management
Hôte de script VMware
Horizon View
VMware Netlink
Supervisor Service
VMware Scanner
Redirection Client Service
démarrageDescription
VMware Blast Extreme afin de se connecter à des clients natifs.
AutomatiqueFournit des services pour View Agent/Horizon Agent.
AutomatiqueFournit des services si cette machine virtuelle fait partie d'un pool de
postes de travail de clone lié View Composer.
Automatique si
la fonctionnalité
est activée ;
sinon, Désactivé
DésactivéFournit la prise en charge de l'exécution des scripts de session de
AutomatiquePour prendre en charge les fonctions de redirection de scanner et de
Automatique(View Agent 6.0.2 et versions ultérieures) Fournit des services pour la
Fournit des services pour la fonctionnalité VMware Persona
Management.
démarrage, le cas échéant, pour configurer des stratégies de sécurité de
poste de travail avant qu'une session de poste de travail commence. Les
stratégies sont basées sur le périphérique client et sur l'emplacement de
l'utilisateur.
port série, fournit des services de surveillance pour le transfert
d'informations entre les processus de noyau et d'espace utilisateur.
fonction de redirection de scanner.
VMware, Inc. 13
Sécurité d'Horizon Client et d'Horizon Agent
Tableau 2‑1. Services de View Agent (pour Horizon 6) ou Horizon Agent (pour Horizon 7) (suite)
Type de
Nom du service
VMware Serial Com Client
Service
VMware Snapshot
Provider
VMware ToolsAutomatiqueFournit la prise en charge de la synchronisation des objets entre les
VMware USB Arbitration
Service
VMware View USBAutomatiqueFournit des services pour la fonction de redirection USB.
démarrageDescription
Automatique(View Agent 6.1.1 et versions ultérieures) Fournit des services pour la
fonction de redirection de port série.
ManuelFournit des services pour les snapshots de machine virtuelle, qui sont
utilisés pour le clonage.
systèmes d'exploitation hôte et invité, ce qui améliore la performance
du système d'exploitation invité des machines virtuelles et la gestion de
la machine virtuelle.
AutomatiqueCompte les divers périphériques USB connectés au client et détermine
les périphériques à connecter au client et ceux à connecter au poste de
travail distant.
Services installés sur le client Windows
Le fonctionnement d'Horizon Client dépend de plusieurs services Windows.
Tableau 2‑2. Services d'Horizon Client
Type de
Nom du service
VMware Horizon ClientAutomatiqueFournit des services d'Horizon Client.
VMware Netlink
Supervisor Service
VMware Scanner
Redirection Client Service
VMware Serial Com Client
Service
VMware USB Arbitration
Service
VMware View USBAutomatiqueFournit des services pour la fonction de redirection USB.
démarrageDescription
AutomatiquePour prendre en charge les fonctions de redirection de scanner et de port
série, fournit des services de surveillance pour le transfert d'informations
entre les processus de noyau et d'espace utilisateur.
Automatique(Horizon Client 3.2 et versions ultérieures) Fournit des services pour la
fonction de redirection de scanner.
Automatique(Horizon Client 3.4 et versions ultérieures) Fournit des services pour la
fonction de redirection de port série.
AutomatiqueCompte les divers périphériques USB connectés au client et détermine les
périphériques à connecter au client et ceux à connecter au poste de
travail distant.
Démons installés dans d'autres clients et le poste de travail Linux
Pour des raisons de sécurité, il est important de savoir si des démons ou des processus sont installés par
Horizon Client.
Tableau 2‑3. Services, processus ou démons installés par Horizon Client, par type de client
TypeService, processus ou démon
Client Linux
Client MacHorizon Client ne crée aucun démon.
Client ChromeHorizon Client s'exécute dans un processus Android unique. Horizon Client ne crée aucun démon.
Client iOSHorizon Client ne crée aucun démon.
14 VMware, Inc.
n
vmware-usbarbitrator, qui compte les divers périphériques USB connectés au client et
détermine les périphériques à connecter au client et ceux à connecter au poste de travail distant.
n
vmware-view-used, qui fournit des services pour la fonctionnalité de redirection USB.
REMARQUE Ces démons démarrent automatiquement si vous cochez la case Enregistrer et démarrer
le ou les services après l'installation lors de l'installation. Ces processus s'exécutent en tant que root.
Chapitre 2 Services, démons et processus installés
Tableau 2‑3. Services, processus ou démons installés par Horizon Client, par type de client (suite)
TypeService, processus ou démon
Client AndroidHorizon Client s'exécute dans un processus Android unique. Horizon Client ne crée aucun démon.
Client Windows
Store
Poste de travail
Linux
Horizon Client ne crée ou ne déclenche aucun service système.
n
StandaloneAgent, qui s'exécute avec des privilèges root et est démarré lorsque le système Linux
est activé et exécuté. StandaloneAgent communique avec le Serveur de connexion View pour
réaliser la gestion de session de poste de travail distant (configure/détruit la session, en mettant à
jour l'état du poste de travail distant sur le broker dans le Serveur de connexion View).
n
VMwareBlastServer, qui est démarré par StandaloneAgent lorsqu'une demande
StartSession est reçue de la part du Serveur de connexion View. Le démon
VMwareBlastServer s'exécute avec le privilège vmwblast (un compte système créé lors de
l'installation de l'agent Linux.) . Il communique avec StandaloneAgent via un canal MKSControl
interne et communique avec Horizon Client à l'aide du protocole Blast.
VMware, Inc. 15
Sécurité d'Horizon Client et d'Horizon Agent
16 VMware, Inc.
Ressources à sécuriser3
Ces ressources incluent des fichiers de configuration, des mots de passe et des contrôles d'accès pertinents.
Ce chapitre aborde les rubriques suivantes :
« Implémentation de meilleures pratiques pour sécuriser des systèmes client », page 17
n
« Emplacements des fichiers de configuration », page 17
n
« Comptes », page 18
n
Implémentation de meilleures pratiques pour sécuriser des systèmes
client
Il vous est recommandé d'implémenter des meilleures pratiques pour sécuriser des systèmes client.
Assurez-vous que les systèmes client sont configurés pour passer en veille après une période
n
d'inactivité et que les utilisateurs doivent saisir un mot de passe avant de réveiller l'ordinateur.
Les utilisateurs doivent saisir un nom d'utilisateur et un mot de passe lors du démarrage des systèmes
n
client. Ne configurez pas les systèmes client pour qu'ils autorisent les ouvertures de session
automatiques.
Pour les systèmes client Mac, pensez à définir différents mots de passe pour la chaîne de clé et le
n
compte d'utilisateur. Lorsque les mots de passe sont différents, les utilisateurs sont invités avant que le
système n'entre des mots de passe en leur nom. Pensez également à activer la protection FileVault.
Emplacements des fichiers de configuration
Les ressources à protéger incluent les fichiers de configuration relatifs à la sécurité.
Tableau 3‑1. Emplacement des fichiers de configuration, par type de client
TypeChemin du répertoire
Client LinuxLorsqu'Horizon Client démarre, des paramètres de configuration sont traités depuis
plusieurs emplacements dans l'ordre suivant :
1
/etc/vmware/view-default-config
2
~/.vmware/view-preferences
3
/etc/vmware/view-mandatory-config
Si un paramètre est défini dans plusieurs emplacements, la valeur utilisée est la
valeur du dernier fichier ou de la dernière option de ligne de commande lu(e).
Client WindowsLes paramètres d'utilisateur pouvant inclure des informations privées se trouvent