عميل ويندوز الخفيف: سياسات الجلسة، وإعادة التوجيه، والأمان المتعمق

بيئات قائمة على أصبحت أجهزة العميل الرقيقة التي تعمل بنظام ويندوز الطريقة الأكثر شيوعًا لنشر أجهزة سطح المكتب الافتراضية في الشركات التي تحتاج إلى مركزية البيانات، وتبسيط الإدارة، وتعزيز الأمن. ومع ذلك، عندما نبدأ في الخوض في سياسات الجلسات، وخيارات إعادة توجيه الموارد، ومتطلبات الأمان، تصبح الأمور أكثر تعقيدًا.

لا يقتصر مشروع العميل الخفيف على توصيل المحطات الطرفية ونشر أجهزة سطح المكتب فحسب، بل يشمل أيضًا إدارة كيفية عمل الجلسات، وما يتم إعادة توجيهه من الجهاز المحلي، وما هي شروط الأمان المطلوبة قبل أن يتمكن المستخدم من الوصول إلى سطح مكتب بعيد أو تطبيق منشور، سنشرح كل شيء بالتفصيل في جميع أنحاء هذه المقالة.

ما هو بالضبط جهاز العميل الخفيف لنظام التشغيل ويندوز وما هو دوره في بيئة سطح المكتب الافتراضي (VDI)؟

عندما نتحدث عن جهاز طرفي خفيف، فإننا عادةً ما نفكر في جهاز طرفي صغير بدون قرص صلب. ومع ذلك، فإن التعريف الحديث يتجاوز ذلك قليلاً. الجهاز الطرفي الخفيف هو جهاز مزود بالقدر الكافي من المكونات لتشغيل نظام تشغيل بسيط وإنشاء اتصال عن بُعد إلى الخوادم التي يتم فيها استضافة كل شيء مهم: التطبيقات، والملفات الشخصية، والبيانات الحساسة، وقوة الحوسبة.

في بيئات ويندوز، تعتمد هذه الأجهزة على بروتوكولات مثل RDP أو Citrix ICA أو قنوات اتصال أخرى موجهة نحو سطح المكتب البعيدتتولى المحطة الطرفية بشكل أساسي مسؤولية إدخال لوحة المفاتيح والماوس، وإخراج الفيديو، ونقل بعض الأجهزة الطرفية أو الموارد المحلية إلى الجلسة البعيدة، وفقًا لما تسمح به السياسات.

تقدم شركات تصنيع مثل HP أو Dell مجموعة واسعة من نماذج العميل الخفيف والعميل الصفري. في الأساس، تسعى جميعها إلى تحقيق نفس الهدف: أن تكون "نافذة" لسطح مكتب افتراضي (VDI) أو جلسة سطح مكتب عن بعد مستضافة في مركز البيانات أو في السحابة.

يُعتبر هذا النهج جزءًا من مفهوم سطح المكتب الافتراضي (VDI)يصبح جهاز المستخدم ثانويًا، مما يحقق فوائد ملموسة للغاية على مستوى تكنولوجيا المعلومات والأعمال.

المزايا الرئيسية للعملاء الخفيفين في المؤسسات

يؤدي النشر المدروس جيدًا لأجهزة العميل الخفيف إلى مزايا واضحة للغاية مقارنة بالحاسوب الشخصي التقليديوخاصة عند دمجها مع أجهزة سطح المكتب الافتراضية أو خدمات مثل Windows 365 أو Azure Virtual Desktop.

• أمن بيانات الشركات. من خلال تخزين الملفات والتطبيقات على خوادم مركزية، يتم تقليل مخاطر اختراق البيانات بشكل كبير نتيجة لسرقة أجهزة الكمبيوتر المحمولة، أو فقدان محركات الأقراص الصلبة، أو النسخ المحلية غير الخاضعة للرقابة. وعادةً ما تخزن الأجهزة الطرفية خفيفة الوزن القليل من المعلومات الحساسة أو لا تخزنها على الإطلاق.
• مركزية الإدارةيمكن لفرق تكنولوجيا المعلومات نشر التطبيقات وتحديثها وإيقاف تشغيلها من وحدة تحكم واحدة، وإدارة قوالب سطح المكتب، والتحكم في الإصدارات بشكل متسق، دون الحاجة إلى التعامل مع كل جهاز على حدة.
• تقليل التكاليف. ينطبق هذا على كلٍ من بنية محطات العمل (أجهزة طرفية أرخص وأكثر متانة) ومراحل التحديث والتجديد. إن تقليل الحاجة إلى الأجهزة المحلية يبطئ من تقادمها، بل ويمكن إعادة استخدام المعدات القديمة كأجهزة طرفية خفيفة.
• أقل استهلاك الطاقة وتكييف الهواء. تستهلك هذه الأجهزة طاقة أقل من جهاز كمبيوتر كامل. ويتضح ذلك في فاتورة الكهرباء وفي الحرارة المتولدة في أماكن العمل، وخاصة في عمليات النشر واسعة النطاق.

وأخيرًا، أصبحت عمليات النسخ الاحتياطي أكثر قابلية للتحكم. فبوجود البيانات في مركز البيانات أو في السحابة، تتركز حماية المعلومات على جانب الخادممع أنظمة نسخ احتياطي مركزية وسياسات احتفاظ أسهل بكثير في إدارتها.

التحديات الشائعة مع أجهزة العميل الخفيفة: إعادة توجيه USB والأجهزة الطرفية

تظهر نقطة الضعف الرئيسية في العديد من المشاريع التي تضم عملاء محدودين عندما يتعلق الأمر بـ دمج الأجهزة التي تعتمد على منفذ USBذاكرة فلاش، كاميرات، قارئات بطاقات ذكية، طابعات خاصة، ماسحات ضوئية بيومترية، إلخ. ليس كل ما نوصله بمنفذ الجهاز يعمل بشكل جيد في الجلسة البعيدة.

في البيئات التي لا تتوفر فيها آلية تمرير USB جيدة من العميل الخفيف إلى الجلسة (سواء RDP أو VDI)، يتم توصيل الأجهزة الطرفية بالجهاز المحلي وهي متاحة فقط لجلسة "محلية" خاصة بالعميل الخفيف نفسه.لكنها لا تظهر ضمن سطح المكتب الافتراضي. وهذا يُجبر العديد من المستخدمين على التبديل بين الأنظمة، مما يُعطّل سير عملهم.

تُسبب هذه المشكلة انخفاض واضح في الإنتاجية. إذا اضطر الموظف إلى التبديل باستمرار بين التطبيقات المحلية والبعيدة، أو حتى بين أجهزة طرفية مختلفة، فإن الوقت الضائع والإحباط يتزايدان. في بعض أجهزة العميل الصفرية، يكون ربط جهاز USB بجلسة عن بُعد غير عملي ببساطة.

ومن النتائج الأخرى زيادة التعقيد التشغيلي. فليست كل أنواع الأجهزة مناسبة لإعادة التوجيه باستخدام هذه الطريقة. الآليات الأصلية لبروتوكولات سطح المكتب البعيدوعلى الرغم من أن الأجهزة مدرجة على أنها متوافقة، إلا أنها قد تتصرف بشكل غير منتظم في الواقع، مع حدوث انقطاعات أو انقطاعات أو وظائف محدودة.

في بعض الحالات، عندما يتم إعادة توجيه جهاز USB متصل بعميل خفيف إلى الخادم عبر بروتوكول سطح المكتب البعيد (RDP)، قد يكون المورد مرئيًا لأكثر من مستخدم واحدإذا لم يتم التكوين بعناية، فقد يتمكن عميل رقيق آخر من رؤية هذا الجهاز المشترك وحتى استخدامه بطريقة غير مرغوب فيها، مع ما يترتب على ذلك من مشاكل أمنية وخصوصية.

كل هذا يؤدي إلى تكاليف إضافية. وتضطر الشركات إلى الاستثمار في أجهزة متخصصة أو برامج خارجية لتمكين إعادة توجيه USB إما بشكل آمن وموثوق، أو عن طريق إعادة تصميم سير العمل لتجنب الاعتماد على الأجهزة التي لا تقوم بإعادة التوجيه بشكل جيد.

إعادة توجيه المجلدات في نظام التشغيل ويندوز باستخدام نهج المجموعة

بالإضافة إلى إعادة توجيه أجهزة USB، تعتمد إدارة بيانات المستخدم في بيئة سطح المكتب البعيد بشكل كبير على... إعادة توجيه مجلد الملف الشخصيتتيح لك هذه الوظيفة إرسال مجلدات مثل المستندات أو سطح المكتب إلى موقع مختلف، عادةً على مشاركة شبكة.

في نظام التشغيل ويندوز، يتم تكوين إعادة توجيه المجلدات باستخدام كائنات سياسة المجموعة (GPOs) من وحدة تحكم إدارة نهج المجموعة (GPMC). مسار الوصول إلى هذا الإعداد هو: <Nombre del GPO>\User Configuration\Policies\Windows Settings\Folder Redirection، حيث يتم التحكم في وجهة كل مجلد مستخدم.

باستخدام هذه التقنية، يمكن للمسؤولين افصل بيانات المستخدم عن الجهاز المحدد الذي يسجل الدخول إليهبحيث يحتفظ الموظف بمعلوماته وبنية مجلداته بغض النظر عن جهاز العميل الخفيف أو جهاز الكمبيوتر الذي يستخدمه للوصول إلى الجلسة البعيدة.

المجلدات التي يمكن إعادة توجيهها وأنواع إعادة التوجيه

يُمكّنك معالج إعادة توجيه المجلدات (من وحدة تحكم إدارة سياسات المجموعة) من العمل على مجموعة واسعة من مواقع ملفات تعريف المستخدمين، بما في ذلك AppData\Roaming، جهات الاتصال، سطح المكتب، المستندات، التنزيلات، المفضلة، الروابط، الموسيقى، الصور، الألعاب المحفوظة، عمليات البحث، قائمة ابدأ، والفيديوهاتأي عملياً جميع النقاط الحساسة في الملف الشخصي.

يمكن تهيئة إعادة التوجيه في الوضع أساسي أو متقدمفي الوضع الأساسي، يشير مجلد جميع المستخدمين إلى نفس المسار الرئيسي، وينطبق ذلك على جميع الحسابات المتأثرة بسياسة المجموعة هذه. الخيار الأكثر شيوعًا هو إنشاء مجلد فرعي لكل مستخدم داخل المسار المشترك، بنمط مشابه لما يلي: \\servidor\recurso\NombreDeCuenta\NombreCarpeta.

هناك أيضا إمكانية استخدم مسارًا صريحًا مشتركًا بين عدة مستخدمينيُعدّ هذا مفيدًا في بيئات العمل التعاونية، حيث يسمح لك بدمج متغيرات البيئة لإنشاء مسارات مخصصة. عند اختيار "إعادة التوجيه إلى موقع ملف تعريف المستخدم المحلي"، يتم نقل المجلد إلى ملف تعريف المستخدم المحلي للجهاز، مما يجعله ضمن... المستخدمين على النظام البعيد.

في الوضع المتقدم، يتغير السلوك تبعًا لـ العضوية في الجماعات الأمنيةيتيح لك هذا تحديد وجهات مختلفة، على سبيل المثال، للموظفين الإداريين أو القسم الفني أو المستخدمين الخارجيين، وكل ذلك ضمن نفس GPO ولكن بقواعد محددة لكل مجموعة.

يشير خيار "غير مُهيأ" إلى أن لا يتم تطبيق إعادة توجيه المجلد من خلال سياسة المجموعة هذهإذا تم تعطيل الإعداد، فيمكن للمجلدات إما العودة إلى موقع ملف التعريف المحلي الخاص بها أو البقاء في مكانها، وذلك اعتمادًا على الخيارات التي تم اختيارها مسبقًا للتعامل مع إزالة السياسة.

المتطلبات الأساسية وخطوات إعداد إعادة توجيه المجلدات

قبل البدء بالعمل مع منظمات الشراء الجماعي، من الضروري تهيئة البيئة. أنت بحاجة إلى مجال خدمات مجال الدليل النشط مع أجهزة الكمبيوتر العميلة المتصلة بهذا المجال، حتى في حالة عدم وجود متطلبات خاصة لمستوى وظائف الغابة أو المخطط.

يجب أن يكون الحساب الذي يقوم بتكوين السياسات يجب أن يمتلك الصلاحيات الكافية لإنشاء وربط كائنات نهج المجموعة (GPOs). في النطاق أو الوحدات التنظيمية التي يتواجد فيها المستخدمون المتأثرون. بالإضافة إلى ذلك، يجب أن تعمل أجهزة الكمبيوتر العميلة بنظام التشغيل Windows أو Windows Server، ويجب تثبيت وحدة تحكم إدارة سياسات المجموعة (GPMC) على جهاز كمبيوتر واحد على الأقل.

لتكوين عملية إعادة التوجيه، تتمثل الخطوات المعتادة في فتح وحدة إدارة سياسات المجموعةقم بتوسيع النطاق أو الوحدة التنظيمية المناسبة، وحدد ما إذا كنت ترغب في إنشاء كائن نهج المجموعة (GPO) جديد أو تعديل كائن نهج المجموعة الحالي. في كثير من البيئات، يكون إنشاء كائن نهج المجموعة مخصص لإدارة إعادة توجيه المجلدات أكثر فعالية من حيث التكلفة.

بمجرد دخولك إلى محرر إدارة نهج المجموعة، اتبع هذا المسار:

1. افتح القائمة إعدادات المستخدم.
2. الولوج إلى التوجيهات.
3. حدد إعدادات Windows.
4. اختر من هنا إعادة توجيه المجلدات.

ومن هناك، حدد المجلد المراد إعادة توجيهه، وقم بالوصول إلى خصائصه، وفي علامة التبويب "الوجهة"، اختر نوع إعادة التوجيه الذي تريد تطبيقه.

هذا هو المكان الذي... المسار النهائي للمورد المشترك، وفقًا لتنسيق UNC القياسي \\servidor\recurso\NombreCarpetaبعد قبول الإعدادات، يُنصح بتكرار العملية لجميع المجلدات ذات الصلة وفرض تحديث السياسة باستخدام gpupdate /force على معدات العميل أو انتظر حتى يتم تطبيقها في الدورة التالية.

خيارات متقدمة: الأذونات، ونقل البيانات، وحذف السياسات

ضمن خصائص كل مجلد مُعاد توجيهه، علامة التبويب ترتيب يُتيح لك هذا الخيار ضبط التفاصيل الدقيقة التي تُحدث فرقًا في الاستخدام اليومي. ومن أهم هذه الإعدادات "منح المستخدم حقوقًا حصرية على المجلد"، والذي يكون مُفعّلاً افتراضيًا في العادة.

يضمن هذا الخيار أن المستخدم وحده لديه صلاحيات الوصول إلى مجلده.  لذلك، يتم حظر الوصول على المسؤولين والمستخدمين الآخرين، وهو أمر مستحسن من وجهة نظر الخصوصية.

ومن التعديلات العملية الأخرى "نقل محتوى إلى الموقع الجديد." وهذا يخدم نقل الملفات الموجودة تلقائيًا إلى المجلد المحلي إلى مسار الشبكة المشترك. هذا يمنع تشتت البيانات عبر نقاط مختلفة.

فيما يتعلق بإزالة التوجيهات، يمكنك الاختيار بين أعد توجيه المجلد إلى مسار ملف تعريف المستخدم عند إزالة السياسة أو بقاء المجلد في الموقع المُعاد توجيهه، في الحالة الأولى، يتم نسخ المحتوى مرة أخرى ولكن لا يتم حذفه من موقع الشبكة، وهو ما قد يستغرق وقتًا طويلاً على الاتصالات البطيئة أو عندما يكون حجم البيانات كبيرًا جدًا.

إذا بقي المجلد في المسار المُعاد توجيهه، فستبقى البيانات في مكانها. وسيستمر المستخدم في الوصول إليها عبر المجلد المشترك. تُعد هذه الطريقة عادةً الأنسب عندما لا يُفضّل نقل كميات كبيرة من البيانات أو عندما تكون المواقع البعيدة متباعدة جغرافيًا.

إعادة توجيه محتوى المتصفح في بيئات Citrix

عندما يتم تقديم الجلسات عن بعد عبر سيتريكسإحدى السمات التي لها أكبر تأثير على الأداء هي إعادة توجيه محتوى المتصفح إلى العميل المحليبدلاً من عرض صفحات معينة على الخادم، يتم إرسال المحتوى إلى متصفح جهاز المستخدم. وهذا يؤدي إلى توفير كبير في موارد الخادم.

في بنية VDI المنشورة، تتضمن عملية تفعيل إعادة التوجيه هذه في جوجل كروم تثبيت إضافة إعادة توجيه متصفح Citrix من متجر Chrome الإلكتروني. يقوم المسؤول أو المستخدم بالوصول إلى المتجر، والبحث عن الإضافة المحددة، وإضافتها إلى المتصفح.

إذا كنت تستخدم متصفح مايكروسوفت إيدج (الإصدار 83.0.478.37 أو أحدث)، فيجب عليك أولاً تمكين تركيب ملحقات من متاجر أخرىللوصول إلى متجر Chrome الإلكتروني من متصفح Edge، ابحث عن "إعادة توجيه محتوى المتصفح" واحصل على الإضافة التي تقدمها Citrix، والتي سيتم دمجها في متصفح Microsoft.

يتم تنفيذ الجزء الإداري المركزي في سيتريكس ستوديومن لوحة السياسات، قم بتحرير أو إنشاء سياسة جديدة وابحث عن خيار "إعادة توجيه محتوى المتصفح"، والذي يجب أن يكون مضبوطًا على "مسموح به"، مما يشير إلى أن البيئة تدعم هذه الميزة.

ثم يتم ضبط معايير أكثر تفصيلاً، مثل قائمة التحكم بالوصول لإعادة توجيه المحتوىحيث تحدد عناوين URL التي تريد إرسال محتواها إلى العميل. بشكل افتراضي، يتضمن ذلك عادةً شيئًا مثل https://www.youtube.com/*والتي يمكن تعديلها أو إزالتها إذا لم تكن مهتمًا بإعادة توجيه ذلك الموقع.

ما يسمى إعادة توجيه مواقع المصادقة. تُعدّ هذه الخيارات مفيدةً للغاية عندما تتطلب صفحةٌ ما تسجيل الدخول عبر نطاقٍ مختلف. وهي تشمل عناوين URL التي تعرض المحتوى وتلك التي تُعنى بالمصادقة. إضافةً إلى ذلك، توجد قائمة الحظر، التي تُحدّد العناوين التي يجب أن تستمرّ في الظهور على الخادم دون إعادة توجيه.

الأمان، و Intune، والوصول المشروط في بيئات Windows البعيدة

عند الوصول إلى أجهزة سطح المكتب البعيدة من الأجهزة الشخصية أو المحمولة، فإن وجود بيئة سطح مكتب افتراضية جيدة ليس كافياً، بل هو أمر بالغ الأهمية. لضمان استيفاء الجهاز المصدر لمتطلبات أمنية معينةوهنا يأتي دور مايكروسوفت إنتيون ومايكروسوفت كونديشنال أكسس.

الفكرة هي الاستفادة سياسات حماية تطبيقات Intune إلى جانب سياسات الوصول المشروط بحيث لا يمكن الوصول إلى Azure Virtual Desktop أو Windows 365 أو Microsoft Dev Box إلا إذا كان الجهاز (أو على الأقل التطبيق الذي يتصل منه) يفي بمستوى الأمان المحدد.

يشمل هذا النموذج عدة أنواع من المنصات: iOS/iPadOS وAndroid، سواء كانت مُدارة أو غير مُدارة، و متصفحات مايكروسوفت إيدج على نظام التشغيل ويندوز في الوضع غير المُدار. في هذه الحالات، قد تكون هناك حاجة إلى عناصر مثل أرقام التعريف الشخصية (PIN)، أو الحد الأدنى لمستويات نظام التشغيل، أو قيود النسخ/اللصق.

من بين الإعدادات المتقدمة، تبرز خيارات مثل ما يلي: حظر لوحات المفاتيح الخارجية، وفرض الحد الأدنى من إصدارات تطبيق العميل أو تحديد مستوى التهديد الأقصى المسموح به للجهاز. في حال عدم استيفاء أي من هذين الشرطين، يتم حظر الوصول إلى سطح المكتب عن بُعد.

بمجرد التأكد من موثوقية الجهاز المحلي، يمكن البدء بمرحلة التحكم. على سبيل المثال، إعادة توجيه الكاميرا أو الميكروفون أو وحدة التخزين أو الحافظة باتجاه الجلسة البعيدة. وهذا أمر بالغ الأهمية في سيناريوهات العميل الخفيف "الهجين" أو سيناريوهات إحضار جهازك الخاص.

قم بتكوين سياسات الوصول المشروط لأجهزة سطح المكتب البعيدة

تسمح سياسات الوصول المشروط التحكم في الوصول إلى Azure Virtual Desktop وWindows 365 وMicrosoft Dev Box بناءً على هوية المستخدم ونوع الجهاز وبرنامج الوصول وعوامل أخرى مثل الموقع.

يتضمن السيناريو النموذجي السماح بالوصول فقط إذا سياسة حماية التطبيقات إلى تطبيق ويندوز. في هذه الحالة، يتم تعيين سياسة الوصول المشروط لمجموعة مستخدمين محددة وتكوينها للإشارة إلى Azure Virtual Desktop وWindows 365 وتسجيل الدخول السحابي لويندوز كموارد، يتم تحديدها بواسطة معرفات التطبيقات المقابلة لها.

تحدد كتلة الشروط ما يلي: منصات الأجهزة المسموح بهاكما يحدد أنواع العملاء الصالحين. وبهذه الطريقة، سيتم التحقق من صحة محاولات الوصول من تلك البيئات المحددة فقط.

في عناصر التحكم في الوصول، يتم تحديد الخيار لـ يشترط وجود سياسة لحماية التطبيقات يُطبق هذا الشرط لمنح الوصول. إذا لم يستوفِ الجهاز أو التطبيق هذا الشرط، فسيتم رفض وصول المستخدم إلى سطح المكتب البعيد، حتى لو كانت بيانات اعتماده صحيحة.

يكمن الحل في الجمع بين هذه السياسات لتحقيق التوازن بين الأمن وسهولة الاستخدام. بعبارة أخرى، تكييف الضوابط مع أهمية الموارد والتي يتم الكشف عنها من خلال أجهزة العميل الخفيفة وأجهزة سطح المكتب الافتراضية.

التحقق من التكوين في الجلسات البعيدة

بعد تحديد كائنات نهج المجموعة لإعادة التوجيه، وسياسات Citrix، وتكوينات Intune، والوصول المشروط، فقد حان الوقت لـ... التحقق من أن السلوك الفعلي يطابق السلوك المتوقعيتضمن ذلك الاتصال من أجهزة مختلفة وباستخدام تطبيقات عميل مختلفة.

يُنصح بمراجعة الإجراءات التي يمكن للمستخدم اتخاذها باستخدام البيانات: إذا قد يتم نسخ/لصق هذا المحتوى أو لا. المحتوى إلى تطبيقات أخرى، وكيفية إعادة توجيه الكاميرات أو الميكروفونات، وما إذا كانت أجهزة USB تظهر بشكل صحيح في الجلسة البعيدة، وكيف تتصرف المجلدات المعاد توجيهها عند تغيير السياسات.

في حال اكتشاف أي اختلاف، فإن الحل عادةً ما يتضمن قم بتعديل الفلاتر، أو مراجعة تعيينات المجموعات، أو تحسين قوائم عناوين URL والأجهزة. المستخدمون المصرح لهم. يتم إجراء اختبارات مضبوطة دائمًا قبل تطبيق التغييرات على جميع المستخدمين.

عندما تتكامل كل هذه العناصر معًا، توفر بيئات العميل الخفيف القائمة على نظام ويندوز مزيجًا قويًا للغاية من الأمن والمرونة والمركزية. يمكن للمستخدم الوصول إلى سطح المكتب الخاص به من أي مكان تقريبًا، ويتم الاحتفاظ بالبيانات تحت السيطرة في مركز البيانات أو السحابة، وتتمتع فرق تكنولوجيا المعلومات برؤية موحدة لسياسات الجلسات وعمليات إعادة التوجيه والامتثال الأمني.