眾所周知，桌面虛擬化最大的優勢就是保證企業數據的安全。所有的數據都保存在統一的數據中心內，客戶端上所看到的只不過是圖像而已。除了將本地的數據移到數據中心中，我們還能夠控制什么呢？是的，USB設備的管控，這幾乎是所有信息安全領域都要談到的話題，下面我們就來說一下虛擬桌面環境中USB設備是如何進行管理的。
USB設備的ID
通常情況下，企業中會有很多的要求，并不是單單禁用USB存儲這么簡單。很多企業會設置一些白名單來允許一些特定的USB設備進行使用。這就需要IT管理員將允許的USB設備跟禁止的USB設備區分開來，區分的方法有很多，但都是根據USB設備的一些ID來識別的，最常用的是：
PID：USB產品的識別碼，由生產廠商定義，不同的產品有不同的PID，通常跟VID一起使用。
VID：USB設備的供應商ID，如Scandisk等，每個廠商都有單獨的VID，可以到USB組織的網站進行查詢。例如我的西數移動硬盤的VID為0x1058
Class：USB設備類型代碼，是用來定義USB設備的功能的。例如08代表大容量存儲，07代表打印機，另外在每一個類型下面還有子類型（SubClass），協議（Protocol），更加細致的標明USB設備的功能。具體代碼可以到USB組織的網站進行查詢。
如何查找USB設備的ID？
知道了這些USB設備的ID，在實際的應用環境中，還需要將它們找出來。查找USB設備ID的方法有很多，這里只簡單介紹一種比較容易的方法。
首先需要下載免費工具USBDeview，只有不到100K的大小。打開這個工具，會顯示本機所有USB端口的連接情況，其中綠色圖標的表示已經連接的USB設備（如圖1）。雙擊圖標，就會顯示當前USB設備的ID信息。圖1顯示的是我的移動硬盤的信息。這樣你就可以按照需要查看USB設備的信息。
圖1：USB設備ID的信息
Citirx XenDesktop如何對USB設備進行管理
在Citrix XenDesktop環境中，對USB設備的管理是通過Citrix的策略來進行的，Citrix策略可以在AD的組策略中進行設置（需要安裝Citrix組策略安裝包），也可以在XenDesktop的Citrix Desktop Studio中進行設置。
USB策略的設置主要在用戶策略中，首先需要將客戶端USB設備重定向選項設置為開啟狀態，然后在“客戶端USB設備重定向策略”中設置相應的策略，策略的設置非常簡單，類似于防火墻中策略的設置，每條策略依次執行，一直到遇到符合條件的策略，無論是允許或者禁止。對于策略的語法在界面中有很詳細的說明，可以通過USB設備的PID/VID/Class/SubClass/Protocol進行策略的設置。具體界面如圖2。
圖2： Citrix XenDesktop 客戶端USB設備重定向策略設置
像防火墻策略一樣，通常最后一條是禁止所有的設備。這就是通常所說的白名單過濾。策略設置好之后，還需要將組策略應用到相應用戶所在的OU。
VMware View如何對USB設備進行管理
在VMware View環境中，對USB設備的管理的顆粒度相對粗一些，其主要有三種方式進行管理。
1.在View Manager中進行管理，這里的管理只限于打開或者關閉客戶端USB設備的重定向，首先可以設置整個View的USB設備重定向策略，如果不同的虛擬機池有不同的需求，可以在虛擬機池中單獨再設置USB設備重定向策略，你可以選擇繼承，或者單獨進行設置，另外還可以設置個別用戶的排除，使單獨的用戶可以獨立于整個虛擬機池中的其他用戶。設置界面如圖3。
圖3. VMware View中USB策略的設置
2.在組策略中進行控制：VMware View除了通過View Manager進行管理以外，還開發了很多組策略的模板，供IT管理員進一步的管理，所有的組策略模板位于VMware View Connection Server上目錄\Program Files\VMware\VMware View\Server\extras\GroupPolicyFiles中，可以看到模板涵蓋了從客戶端到服務器的多個方面，非常細致。所做的只要將這些模板導入到組策略中，管理員就可以通過組策略進行管理了。
USB策略的設置主要集中在計算機策略上，策略可以針對USB設備的PID/VID/Class等進行過濾，但其應用的范圍只限于Teradici Zero Client，應用范圍相對局限一些，通過這些策略的設置可以實現白名單，黑名單的功能，但最多設置10條策略。設置界面如圖4。
圖4. VMware View USB設備組策略設置界面
3.在虛擬桌面或者客戶端上進行控制：對于一般的VMware View客戶端，如何對USB設備重定向進一步的管理呢，最后一種方法就是通過修改客戶端或者虛擬桌面中的注冊表來進行設置。
客戶端注冊表的修改：在裝有View Client的Windows客戶端上，在注冊表位置HKLM\Software\VMware, Inc.\VMware VDM\USB（64位：HKLM\Software\Wow6432node\VMware, Inc.\ VMware VDM\USB）添加注冊表鍵ClassFilters，類型為“Multi-String Value”，鍵值為“-”可以阻止所有的USB設備重定向。這相當于Citrix XenDesktop策略中的Deny：。另外如果需要設置白名單，可以添加注冊表鍵“AllowHardwareIDs”，類型為“Multi-String Value”，鍵值根據USB設備的PID和VID，具體設置可以參照VMware網站介紹。
虛擬桌面注冊表的修改：在裝有View Agent的Windows虛擬桌面上，在上述的注冊表位置添加名為“HardwareIDFilters”的注冊表鍵，類型為“Multi-String Value”，鍵值為USB設備的VID/PID，同樣可以阻止相應類型的USB設備，不過遺憾的是這只能實現黑名單的功能。
雖然在客戶端進行USB設備重定向過濾的設置，但是這樣的管理顯然增加了IT管理員的工作量，而且顯然不適合BYOD（帶自己的電腦工作）的場景。它只能應用在一些個別的應用場景中。
VMware View和Citrix XenDesktop對USB設備重定向的管理各有不同的方式，也可以實現不同的功能，不過采用哪種方案還是取決于最終用戶的需求。仔細了解一下你的環境和需求，然后再決定選擇哪一種解決方案吧。
京公網安備 11010502049343號