Configurar Citrix UPM

Raul Unzue Pulido 31 mayo, 2018 Citrix Deja un comentario 8,261 Vistas

Configurar Citrix UPM

Hace unos días os enseñé una presentación sobre conceptos básicos de Citrix. Uno de ellos era User Profile Management o UPM. Como ya os comenté en el otro artículo, es un complemento que viene ya en las versiones de XenDesktop/XenApp, pero que no es necesario implementar.

Por decirlo de forma sencilla, UPM es la forma que tiene Citrix de gestionar los perfiles de los usuarios en un recurso compartido.

Os enseño un diagrama muy interesante que lo explica:

Lo primero de todo, descargamos los ficheros necesarios desde la zona de descargas de Citrix (vienen también en la ISO de la instalación “x64\ProfileManagement\ADM_Templates”), en la sección de Componentes de la versión que nos interesa.

Descomprimimos los ficheros. La carpeta que nos interesa es Group Policy Templates:

Deberemos utilizar los ficheros ADM, ADMX, y ADML de la versión de nuestro sistema operativo que nos interesa. Podéis realizar la carga de los ADMX y ADML en el directorio c:\Windows\Policy Definitions:

Creación y carga GPO Citrix UPM

Primero revisamos que nuestros usuarios de directorio activo tienen activas las siguientes settings:

Una vez configurado el servidor de ficheros, iremos a nuestro controlador de dominio a modificar las GPOs necesarias. En la sección Group Policy Objects, generamos una para Citrix UPM y la editamos con el botón derecho:

Desde Computer > Policies > Administrative Templates > Pulsamos botón derecho Add/Remove Templates…

Pulsamos ADD, ya que vamos a cargar el fichero ADM:

Lo seleccionamos desde la carpeta descargada en el primer punto:

Pulsamos Close:

Ahora tendremos en nuestra nueva GPO la estructura para configurar UPM:

Configurar recurso compartido Citrix UPM

Tendremos que generar en nuestro servidor de ficheros, donde queremos los perfiles de los usuarios, un recurso de red con unos permisos especiales.

Los permisos, que ahora detallamos, serían:

Permisos NTFS:

Administrators:Full control
SYSTEM:Full control
Authenticated users:list folder/read data & create folders/append data, this folder only
Creator/Owner:full control, subfolders and files only

Permisos SHARE:

Everyone: Change
Administrators: Full control

Os explico el detalle. En el recurso compartido, le damos a nivel de Share a Everyone permiso total Read/Write:

Pulsamos Done:

Ahora desde la pestaña Sharing vamos a Advanced Sharing:

Pulsamos sobre Caching:

Y marcamos “No files or programs from the shared folder are available offline”

A nivel NTFS. En la pestaña Security desmarcamos Full Control y Modify para Everyone:

Lo dejamos como en la imagen:

Añadimos a su vez al grupo CREATOR OWNER y les damos Full Control:

También desde Security vamos a Advanced:

Al grupo Everyone pulsamos Edit:

Modificamos el valor Applies to:

Lo dejamos como This folder only:

Repetimos el proceso generando una carpeta para los LOGS:

Una vez terminados los permisos del recurso, vamos a Control Panel à Network and Internet –> Network and Sharing Center à Advanced sharing settings y una vez allí marcamos:

Turn off Network Discovery
Turn on file and printer sharing

Abrimos Server Manager à File and Storage Services à Shares. Pulsamos botón derecho sobre nuestro Share para UPM y pulsamos Settings. Marcamos “Enable Access-based enumeration”

Configuración GPO Citrix UPM

Habilitar logs para revisión de problemas. Esto se puede hacer habilitando estos parámetros por GPO y crear un recurso para dichos logs:

Lo dejamos de la siguiente forma:

Como directorio dejaremos:

\\CTXFICH01\Log_UPM_Profile\

Directorios a sincronizar para que se guarden las contraseñas entre sesiones:

AppData\Local\Microsoft\Windows\Caches
AppData\Local\Microsoft\Credentials
Appdata\Roaming\Microsoft\Credentials
Appdata\Roaming\Microsoft\Crypto
Appdata\Roaming\Microsoft\Protect
Appdata\Roaming\Microsoft\SystemCertificates

Si dejamos Enabled el valor Profile Streaming no se guarda la sesión del usuario en Sharefile, por ejemplo.

Lista de directorios a ignorar por GPO:

AppData\Local\Packages
AppData\Local\TileDataLayer
AppData\Local\Adobe\AcroCef\DC\Acrobat\Cache\ChromeDWriteFontaCache
AppData\Local\Adobe\AcroCef\DC\Acrobat\Cache
AppData\Local\assembly
AppData\Local\Citrix\DriveMapper3
AppData\Local\Citrix\SelfService\img
AppData\Local\Comms
AppData\Local\CrashDumps
AppData\Local\Google\Chrome
AppData\Local\Google\Chrome\User Data\Default\Cache
AppData\Local\Google\Chrome\User Data\Default\Cached Theme Images
AppData\Local\Google\Chrome\User Data\Default\JumpListIcons
AppData\Local\Google\Chrome\User Data\Default\JumpListIconsOld
AppData\Local\Google\Chrome\User Data\Default\Media Cache
AppData\Local\Google\Chrome\User Data\Default\Plugin Data
AppData\Local\Google\Chrome\User Data\PepperFlash
AppData\Local\Google\Update\download
AppData\Local\Microsoft\AppV
AppData\Local\Microsoft\GameDVR
AppData\Local\Microsoft\Group Policy
AppData\Local\Microsoft\Internet Explorer\Recovery
AppData\Local\Microsoft\Internet Explorer\Recovery\High
AppData\Local\Microsoft\Media Player
AppData\Local\Microsoft\Messenger
AppData\Local\Microsoft\Office\14.0\OfficeFileCache
AppData\Local\Microsoft\Office\14.0\OfficeFileCache.old
AppData\Local\Microsoft\OneDrive
AppData\Local\Microsoft\OneNote
AppData\Local\Microsoft\Outlook
AppData\Local\Microsoft\PlayReady
AppData\Local\Microsoft\Terminal Server Client
AppData\Local\Microsoft\WER
AppData\Local\Microsoft\Windows Live
AppData\Local\Microsoft\Windows Live Contacts
AppData\Local\Microsoft\Windows Live Mail
AppData\Local\Microsoft\Windows Mail
AppData\Local\Microsoft\Windows Store
AppData\Local\Microsoft\Windows\1033
AppData\Local\Microsoft\Windows\AppCache
AppData\Local\Microsoft\Windows\Application Shortcuts
AppData\Local\Microsoft\Windows\Burn
AppData\Local\Microsoft\Windows\Caches
AppData\Local\Microsoft\Windows\Cookies
AppData\Local\Microsoft\Windows\Explorer
AppData\Local\Microsoft\Windows\GameExplorer
AppData\Local\Microsoft\Windows\History
AppData\Local\Microsoft\Windows\INetCache
AppData\Local\Microsoft\Windows\INetCookies
AppData\Local\Microsoft\Windows\Notifications
AppData\Local\Microsoft\Windows\Ringtones
AppData\Local\Microsoft\Windows\RoamingTiles
AppData\Local\Microsoft\Windows\Temporary Internet Files
AppData\Local\Microsoft\Windows\WebCache
AppData\Local\Microsoft\Windows\WER
AppData\Local\Microsoft\Windows\WinX
AppData\Local\Mozilla\Firefox\Profiles\virt4901.default\Cache
AppData\Local\Mozilla\Firefox\Profiles\virt4901.default\cache2
AppData\Local\Mozilla\Firefox\Profiles\virt4901.default\safebrowsing-to_delete
AppData\Local\SAP\SAP GUI
AppData\Local\SAP\SAP GUI\Cache
AppData\Local\SAP\SAP GUI\Traces
AppData\Local\Sun
AppData\Local\Temp
AppData\Local\Temporary Internet Files
AppData\Local\WebEx\wbxcache
AppData\Local\Windows Live
AppData\LocalLow
AppData\Mozilla
AppData\Roaming\Citrix\PNAgent\AppCache
AppData\Roaming\Citrix\PNAgent\Icon Cache
AppData\Roaming\Citrix\PNAgent\ResourceCache
AppData\Roaming\Citrix\SelfService\Icons
AppData\Roaming\ICAClient\Cache
AppData\Roaming\Macromedia\Flash Player\#SharedObjects
AppData\Roaming\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys
AppData\Roaming\Microsoft\Document Building Blocks
AppData\Roaming\Microsoft\Internet Explorer\UserData
AppData\Roaming\Microsoft\Templates\LiveContent\Managed\
AppData\Roaming\Microsoft\Windows\Cookies
AppData\Roaming\Microsoft\Windows\Network Shortcuts
AppData\Roaming\Microsoft\Windows\Printer Shortcuts
AppData\Roaming\Mozilla\Firefox\Crash Reports
AppData\Roaming\Mozilla\Firefox\Profiles\virt4901.default\Crashes
AppData\Roaming\Mozilla\Firefox\Profiles\virt4901.default\healthreport
AppData\Roaming\Mozilla\Firefox\Profiles\virt4901.default\indexedDB
AppData\Roaming\Mozilla\Firefox\Profiles\virt4901.default\minidumps
AppData\Roaming\Mozilla\Firefox\Profiles\virt4901.default\saved-telemetry-pings
AppData\Roaming\Mozilla\Firefox\Profiles\virt4901.default\sessionstore-backups
AppData\Roaming\Mozilla\Firefox\Profiles\virt4901.default\storage
AppData\Roaming\Mozilla\Firefox\Profiles\virt4901.default\weave
AppData\Roaming\Mozilla\Firefox\Profiles\virt4901.default\webapps
AppData\Roaming\Sun\Java\Deployment\cache
AppData\Roaming\Sun\Java\Deployment\log
AppData\Roaming\Sun\Java\Deployment\tmp
AppData\Temp
Sharefile
Software\Microsoft\Windows NT\CurrentVersion\Fonts
Software\Microsoft\Windows NT\CurrentVersion\FontSubstitutes
Software\Microsoft\Windows\CurrentVersion\UHF\SHC
Videos
AppData\Local\Microsoft\Internet Explorer\DOMStore

Ejemplo de ficheros a ignorar:

AppData\Local\IconCache.db
*.EXE
.arcsight\console\log\console.log*
AppData\Roaming\Microsoft\Excel\*.xar
*thumn*.db
*icon*.db
*.sqlite-journal
*.sqlite-shm
*.sqlite-wal
cookies.*
downloads.*
healthreport.*
patterns-backup*.*
sessionCheckpoints.*
Telemetry.*
webappsstore.*
*.corrupt
AppData\Roaming\Mozilla\Firefox\Profiles\profiles.ini
AppData\Roaming\Mozilla\Firefox\Profiles\virt4901.default\*.bak*
AppData\Roaming\Mozilla\Firefox\Profiles\virt4901.default\parent.lock
!ctx_localappdata!\Microsoft\Windows\UsrClass.dat*

Configuramos el patch:

\\ctxfich01\UPM_Profile\%username%\!CTX_OSNAME!!CTX_OSBITNESS!

Y habilitamos las entradas:

Deshabilitamos CEIP ya que viene por defecto Enabled:

Para evitar problemas con los perfiles deshabilitamos la siguiente GPO:

Do not check for user ownership of Roaming Profile Folders
en Computer Configuration -> Administrative Templates -> System -> User Profiles

También añadimos los administradores a UPM habilitando la siguiente GPO:

Add the Administrators security group to roaming user profiles
en Computer Configuration -> Administrative Templates -> System -> User Profiles

Set path for Remote Desktop Services Roaming User Profile
en Computer Configuration -> Administrative Templates -> System -> Remote Desktop Session Host -> Profiles

FOLDER REDIRECTION

A nivel de usuario para complementar UPM utilizaremos Folder Redirection. El impacto en el logon puede ser alto…por lo que se recomienda redirigir sólo la de AppData (Roaming) y el resto dejarlas deshabilitadas.

Habilitamos AppData (Roaming) con la ruta del recurso de UPM:

\\CTXFICH01\UPM_Profile\%username%\Win2012R2x64

El resto de carpetas Disabled:

LINK GPO UPM

Para terminar linkamos la GPO de UPM a los servidores que nos interesa:

Elegimos nuestra GPO:

Hacemos una actualización de políticas en uno de los servidores VDA donde haremos las pruebas:

APUNTE FIREWALL WINDOWS

Me he encontrado con un problema con el servidor de ficheros, donde sí se generaban los LOGs, en cambio tenía problemas con los perfiles. Se me generaban perfiles Temporales y no había manera de que se generaran en el servidor. Miré los logs entre medias…

Todo viene con la política por defecto del dominio, que genera una regla para el firewall de windows (Dominio) que lo deja en OFF. Que esté en OFF no significa DESHABILITADO del todo. Hay que dejarlo en NOT CONFIGURED (Salvo que queráis el firewall ON y pelearos con sus reglas).