FSLogix App Masking in Citrix Umgebungen

Was ist App Masking und wofür benötigen wir dies ?

App Masking minimiert die benötigte Anzahl der Golden Images, indem damit in einem einzigen Golden Image, alle Anwendungen installiert werden können. Die Zuordnung und Abgrenzung der Anwendungen (sowie der Drucker, Schriften, Office Add-ins, Internet Explorer plug-ins usw.), erfolgt ohne Paketierung, Sequenzierung, Backend-Infrastruktur oder Virtualisierung. 

Dies geschieht durch eine granulare Zugriffssteuerung der installierten Anwendungen durch App Masking Rules. Über diese Rules kann, eine Anwendung, in der Benutzer Laufzeit vollständig versteckt werden, sodass diese nicht mehr im File System, Registry oder unter Programme und Features erscheint.

Da bei der Verwendung der Rules keine Rechenleistung vom System benötigt wird, laufen Anwendungen unter ihrer nativen Geschwindigkeit.

Eine weitere Einsatzmöglichkeit von App Masking ist es, die Lizenzierungsbedingungen verschiedener Hersteller zu bedienen. Hier sind Microsoft Visio oder Project gern genommene Beispiele.

Wenn auf einem Citrix Worker Microsoft Visio installiert ist, dann müssen Kunden für jeden potenziellen Benutzer eine Visio Lizenz vorweisen. Um diesem entgegen zu wirken werden sonst die Umgebungen durch Anwendungs Silos (Worker nur für diese eine Anwendung) getrennt, so das nur die Benutzer Zugriff haben, für die auch Lizenzen vorgehalten werden können.

Mit App Masking können wir Visio mit auf dem Golden Master installieren und per App Masking Rules (Lokaler Computername oder Benutzername) so absichern, das Microsoft dies auch in seiner Lizenz Prüfung akzeptiert.

Funktionsweise

Wenn sich ein Benutzer an ein System anmeldet, auf dem der FSLogix Agent installiert ist, überprüft dieser Agent die existierenden Rule Sets im Ordner Compiled Rules. Diesen Rules entsprechend werden die Anwendungen (Registry Einträge, Dateien und Ordner) anhand der definierten Assignments (AD Gruppen, Prozess, Network Location, OU usw.) zugeordnet oder ausgeblendet. Wenn neue Rules oder Assignment Files, in den Ordner Rules hinzugefügt oder gelöscht werden, hat dies eine sofortige Wirkung auf das System.

Komponenten

Es müssen folgende Komponenten installiert werden, damit FSLogix App Masking genutzt werden kann.

FSLogix Agent

Der Agent (FSLogixAppsSetup.exe) beinhaltet alle FSLogix Funktionalitäten und verbirgt sich nach der Installation hinter dem Windows Dienst FSLogix Apps Services. Über diesen Dienst wird der Filter Driver (frxdrv.sys) gesteuert, der sowohl für das verstecken der Komponenten bei App Masking, als auch für das Umlenken der Zugriffe beim Profile/Office Container zuständig ist.

Der FSLogix Agent muss auf allen Systemen installiert sein, auf dem App Masking angewendet werden soll (z.B. Golden Master).

FSLogix Apps RuleEditor

Die zweite zu installierende Komponente für App Masking ist der FSLogix Apps RuleEditor (FSLogixAppsRuleEditorSetup.exe). Er dient zur Erstellung der einzelnen Rule Sets und über diesen werden die erstellten Rule Sets per Assignments zugewiesen.

Bei der Erstellung von Rule Sets werden zwei verschiedene Dateien erzeugt (fxr & fxa Endung). Die beiden Files werden standardmäßig im Ordner C:\Users\<Username>\Documents\FSLogix Rule Sets abgespeichert.

Der FSLogix Rule File (.fxr) beinhaltet die Konfiguration des Rule Sets. Also welche Registry Einträge, Dateien usw. ausgeblendet werden sollen über den Filter Driver.

Der FSLogix Rule Assignment File (.fxa) beinhaltet die Assignments (AD Gruppe, OU usw.) des jeweiligen Rule Sets.

Damit die Rule Sets vom FSLogix Agent abgearbeitet werden, müssen diese Dateien standardmäßig in den Ordner C:\Program Files\FSLogix\Apps\Rules auf dem Worker kopiert werden.

Der FSLogix Apps RuleEditor muss nicht mit auf den Worker installiert werden. Ich empfehle diesen auf dem zentralen Administrations Rechner oder auf einen Infrastruktur Server zu installieren.

Rule Set Types

Hier kurz dargelegt die verschiedenen Rule Set Types.

Blank Rule Set

Über Blank Rule Set kann ein leeres Rule Set erstellt werden, was dann im Nachgang manuell mit den zu versteckenden Dateien, Ordnern und Registry Einträgen bestückt werden muss.

Wie weitere Einträge hinzugefügt werden, erläutere ich im weiteren Verlauf.

Enter Program Files Path

Mit Enter Program Files Path kann der Pfad zur Anwendung gesetzt werden. Nützlich bei Programmen die nicht unter Installed Programs auftauchen, wie z.B. PowerShell. Durch Klick auf Scan wird die Anwendung nun gescannt und die benötigten Einstellungen zum verbergen definiert. Nach der Analyse der Anwendung, kann über Add Another Application eine weitere Anwendung in das Neue Rule Set eingebunden werden.

Choose from installed programs

Am einfachsten ist die automatische Analyse der Anwendungen über Choose from installed programs. Das Program Installation Directory wird automatisch bei der Auswahl der Anwendung gefüllt. Dies kann über den Button Browse korrigiert werden. Durch Klick auf Scan wird die Anwendung nun gescannt und die benötigten Einstellungen zum Verbergen definiert. Nach der Analyse der Anwendung, kann über Add Another Application eine weitere Anwendung in das neue Rule Set eingebunden werden.

Rule Types

In den Rule Set Types stecken mehrere Rule Types. Wir können vier verschiedene Rule Types in App Masking definieren. Über einen Rechts-Klick auf bestehende Rules oder in den leeren Bereich bei Blank Rule bekommt man das folgende Menü.

Die Menüpunkte sind selbsterklärend. Hiermit kann ich bestehende Rule Sets korrigieren oder komplett neue erstellen.

Wildcard & Variablen in Rule Types

Die folgenden Wildcards und Variablen können die Erstellung von Rules erleichtern.

Wildcard (Nur in Source Pfad)

Unter Rule Types kann nur im Source Pfad der Wildcard * verwendet werden, um ein ganzes Pfad Element, wie z.B. den Benutzer Namen, darzustellen.

Beispiel: C:\Users\*\AppData\Roaming\Microsoft\Teams\Cache

Variablen (Nur in Destination Pfad)

Die folgenden Variablen können nur im Destination Pfad verwendet werden. Diese Variablen werden mit zwei Unterstrichen vor und nach den Variablennamen gekennzeichnet.

Variable	Beschreibung
__USER_SID__	Löst die Benutzer SID auf
__USER_NAME__	Löst den Benutzernamen auf
__USER_PROFILE_PATH__	Löst den Pfad zum Benutzer Profile Ordner auf (z.B. C:\Users\User01)

Environment Variablen

Die folgenden Environment Variablen (Case Sensitive!) können sowohl im Source als auch im Destination Pfad genutzt werden.

Im RuleEditor ersetzen die Environment Variablen automatisch einen passenden eingetragenen Pfad.

Beispiele:

• %WindowsFolder%
• %CommonAppDataFolder%
• %CommonStartMenuFolder%
• %CommonFilesFolder32%
• %ProgramFilesFolder32%
• %SystemFolder32%
• %CommonFilesFolder64%
• %ProgramFilesFolder64%
• %SystemFolder64%
• %SystemDriveFolder%

Dies gilt für die folgenden Rule Types.

Hiding Rule

Mit Hiding Rules kann man Dateien, Ordner, Drucker, Schriften, Registry Werte und Keys verbergen. Über Browse wählt man den zu verbergenden Object Type aus oder man definiert unter Object Type, was man verbergen möchte, und trägt es unter Object Name manuell ein. Dies muss man machen, wenn auf dem Server, wo man die Regeln erstellt, die Dateien, Ordner, Drucker usw. nicht vorhanden sind.

Über Browse verändert sich das Auswahl Fenster je nach Object Type.

File

Hier muss eine einzelne Datei ausgewählt werden.

Directory

Hier muss ein einzelner Ordner ausgewählt werden. Damit werden alle Dateien und Unterordner dadrin mit verborgen.

Registry Value

Hier muss ein einzelner Registry Value ausgewählt werden.

Registry Key

Hier muss ein einzelner Registry Key ausgewählt werden. Damit werden alle Sub Keys und Registry Values dadrin mit verborgen.

Printer

Hier muss ein einzelner Drucker aus der Liste der installierten Drucker ausgewählt werden.

Font

Hier muss eine einzelne Schriftart aus der Liste der installierten Schriften ausgewählt werden.

Redirection Rule

Mit Redirection Rules kann man Dateien, Ordner, Registry Werte und Keys umlenken. Über das Ordner Icon wählt man den zu redirecten Quell und Ziel Object Type aus oder man definiert unter Object Type, was man redirecten möchte, und trägt es unter Source und Destination manuell ein. Dies muss man machen, wenn auf dem Server, wo man die Regeln erstellt, die Dateien, Ordner usw. nicht vorhanden sind.

Das Feature Copy Object kopiert die vorhandenen Dateien, mit Inhalt, in das Ziel (Wenn der Benutzer hierfür auch im Ziel Berechtigt ist).

Beispiel:
Als Beispiel nehme ich das Starten und Beenden von Teams. In den aufgeführten Screenshots, von links nach rechts, sieht man die Aktivierung der Redirection und Deaktivierung der Redirection. Ich nutze die watchdog.txt Datei, da diese, wenn sie nicht vorhanden ist neu von Teams beim Systemstart erzeugt wird und über die kurze Laufzeit des Tests keine Daten rein geschrieben werden. 

Bei Aktivierung der Redirection mit deaktivierten Copy Object, werden die vorhandenen Dateien nicht mit kopiert. Im Quellordner hat die watchdog.txt Datei eine Größe von 1 KB. Die Datei in dem Zielordner hat nach dem Test eine Größe von 0 KB, da diese neu erstellt wurde.

Bei Aktivierung der Redirection mit aktivierten Copy Object, werden die vorhandenen Dateien mit kopiert. Im Quellordner hat die watchdog.txt Datei eine Größe von 1 KB. Die Datei in dem Zielordner hat nach dem Test dieselbe Größe und den gleichen Inhalt, da diese initial umkopiert wurde.

Über das Ordner Icon verändert sich das Auswahl Fenster je nach Object Type bei Source und Destination.

File

Hier muss eine einzelne Datei ausgewählt werden.

Directory

Hier muss ein einzelner Ordner ausgewählt werden. Damit werden alle Dateien und Unterordner dadrin mit verborgen.

Beispiel:
In diesem Beispiel lenke ich den Teams Ordner aus dem Profil in einen Ordner direkt auf C:\ um.

Hier der Inhalt der Ordner vor dem Test. Im Teams Ordner habe ich einen neuen Ordner mit dem Namen Test erstellt.

Nun aktiviere ich das Rule Set über den Knopf Apply Rules to System. Nach der Aktivierung wird das Rule Set, ohne Berücksichtigung der Assignment List aktiviert.

Nun ist der vorher erstellte Test Ordner nicht mehr unter dem Teams Pfad zu sehen, da dieser umgelenkt wurde zum Ziel Ordner. Der Inhalt des Teams Ordner wurde nicht gelöscht!

Nun wird Teams gestartet und man sieht das sich der Teams Ordner füllt. In Wahrheit werden die Dateien aber im vorher definierten Ziel Ordner abgelegt. Das Programm merkt dies nicht (wie bei Office & Profile Container).

Nachdem Teams beendet wurde und das Rule Set deaktiviert ist. Sieht man nun im Ziel Ordner die von Teams erstellten Dateien und im Quell Ordner wieder nur den vorher erstellten Test Ordner.

Registry Value

Hier muss ein einzelner Registry Value ausgewählt werden.

Registry Key

Hier muss ein einzelner Registry Key ausgewählt werden. Damit werden alle Sub Keys und Registry Values dadrin mit verborgen.

App Container (VHD) Rule

Mit App Container Rule kann man Ordner direkt in eine VHD Datei umlenken. Über das Ordner Icon wählt man den Quell Ordner und den Ziel Container aus.

Specify Value Rule

Mit Specify Value Rule kann man Registry Werte editieren. Über das Ordner Icon wählt man den Registry Wert aus den man editieren möchte und trägt den neuen Wert unter Data ein.

Assignment Reihenfolge

Die folgenden Einstellungen müssen pro Assignment Rule Set definiert werden.

Rule Set does apply to user/group wird unter Applies als Yes angezeigt.
Dies bedeutet, dass diese Einstellungen oder Anwendung nicht angezeigt wird für den Benutzer.

Rule Set does not apply to user/group wird unter Applies als No angezeigt.
Dies bedeutet, dass diese Einstellungen oder Anwendung angezeigt wird für den Benutzer.

Die hinzugefügten Assignment Rule Sets werden von oben nach unten abgearbeitet. Dies bedeutet, dass als erstes ein Rule Set definiert werden sollte, was die Anwendung ausblendet (z.B. Everyone) und danach kommen die Freigaben pro Assignment Rule Set.

Beispiel: Es sind zwei Assignments in dem selben Rule Set hinterlegt. Das erste Assignment für die Gruppe Everyone (Applies mit Yes definiert) und das zweite Rule Set dadrunter gilt für User01 (Applies mit No definiert).

In diesem Fall würde das Rule Set (also die Anwendung) für alle außer User01 gelten und daher würde nur User01 die Anwendung sehen.

Tauscht man die Reihenfolge der Assignments Rule Sets, so dass oben das User01 Rule Set steht und danach erst das Assignment bezüglich Everyone definiert ist, würde das zu folgendem führen.

Die Einstellungen das User01 die Anwendung angezeigt bekommt, würde durch das Everyone Assignment dadrunter direkt überschrieben werden. Daher würde niemand diese Anwendung angezeigt bekommen.

Assignment Typen

Die folgenden Assignment Möglichkeiten werden angeboten.

User

Direkte Zuordnung zu Active Directory Benutzer.

Über den Knopf neben dem Eingabefeld User kommt man zur AD Suche.

Group

Zuordnung zu Active Directory Gruppe. Wird am häufigsten verwendet.

Über den Knopf neben dem Eingabefeld Group kommt man zur AD Suche.

Process

Zuordnung zu einem Prozess oder einem Child Prozess des angegebenen Prozesses.

Network Location

Zuordnung zu lokaler IP Adresse des Clients.

In meinem Beispiel mein eigener Client zu Hause.

Computer

Direkte Zuordnung zu Active Directory Computer Konto.

Über den Knopf neben dem Eingabefeld Computer kommt man zur AD Suche.

Directory Container

Zuordnung zu Inhalt der angegebenen Active Directory Organizational Unit.

Über den Knopf (…) neben dem Eingabefeld kommt man zur AD Struktur, um dort die OUs auszuwählen.

Environment Variable

Zuordnung anhand von Environment Variable. Es werden nur Environment Variable unterstützt die bei der Anmeldung vorhanden sind. Während der Anmeldung gesetzte Environment Variable werden nicht unterstützt.

Aufruf zum testen der Environment Variable direkt auf dem Worker.

Die Wildcards ? und * können im Value Feld verwendet werden.

Optional kann über der Knopf From File eine Textdatei ausgewählt werden, die eine Liste von Gerätenamen enthält.

In der Datei muss pro Zeile ein Client aufgelistet werden.

Dann wird für jede Zeile aus der Datei ein Assignment Rule Set erstellt.

Set As Template

Nachdem die Assignment List konfiguriert ist, kann diese Einstellung als Template für neue Rule Sets definiert werden. Hierfür klickt auf Set As Template und alle neuen Assignment Lists werden standardmäßig so aussehen wie die aktuelle.

AD Reporting

Über den Knopf AD Reporting, innerhalb der Assignment List oder im Hauptmenü, kann das Assignment des Rule Sets geprüft werden.

In dem folgenden Fenster klickt auf New Query um eine Anfrage zu starten.

Gebt die AD Gruppe oder Benutzer ein, der geprüft werden soll.

Nun kann man das Ergebnis begutachten. Hier wenn die Anwendung angezeigt wird (Applies No).

Oder wenn die Anwendung verborgen wird (Applies Yes)

Licensing Report

Über Change Licensing Parameters kann definiert werden, wie viele Tage eine „Lizenz“ einem Gerät zugewiesen wird.

Dieser Wert muss für jedes Rule Set einzeln definiert werden oder steht standardmäßig auf 90 Tage.

Mit dem Licensing Report kann man Berichte (PDF) erzeugen um seinen Device-Based Licensing Verbrauch für das Rule Set zu ermitteln.

Nach Klick auf Licensing Portal, definiert man im folgenden Fenster den gewünschten Zeitraum des Berichts.

Daraufhin erhält man den gewünschten Bericht in PDF-Format.

Lizenzierung

Nun erstmal zur Lizenzierung. Wir dürfen FSLogix Komponenten nutzen, wenn wir eine der folgenden Voraussetzungen erfüllen:

• Microsoft 365 E3/E5
• Microsoft 365 A3/A5/ Student Use Benefits
• Microsoft 365 F1
• Microsoft 365 Business
• Windows 10 Enterprise E3/E5
• Windows 10 Education A3/A5
• Windows 10 VDA per user
• Remote Desktop Services (RDS) Client Access License (CAL)
• Remote Desktop Services (RDS) Subscriber Access License (SAL)

Einrichtung FSLogix Agent

• Ladet das FSLogix Paket herunter und extrahiert es
• Nach einigen Tests kann ich leider nicht jede Version empfehlen, die folgenden sind getestet und haben bei meinen Kunden zu keinen Fehlern geführt
  • Version FSLogix_Apps_2.9.6964.52690 -> Old & Stable
  • Version FSLogix_Apps_2.9.7349.30108 -> New & Stable

• Startet den Installer FSLogixAppsSetup auf dem System das später per App Masking reguliert werden soll

• Klickt im folgenden Fenster auf „I agree to the license terms and conditions„

• Über den Punkt Options kann man den Pfad der Installation anpassen

• Über Install startet ihr die Installation

• Nach der Installation könnt ihr im Dienste Menü kontrollieren, das die FSLogix Dienste installiert sind und laufen

FSLogix Apps Service

• Service name: frxsvc
• Description: FSLogix Apps Service Component.
• Path to executable: „C:\Program Files\FSLogix\Apps\frxsvc.exe“
• Startup type: Automatic

Einrichtung FSLogix Apps RuleEditor

• Startet den Installer FSLogixAppsRuleEditorSetup auf dem System das später zum erstellen der Rule Sets dienen soll

• Klickt im folgenden Fenster auf „I agree to the license terms and conditions„

• Über den Punkt Options kann man den Pfad der Installation anpassen

• Über Install startet ihr die Installation

Konfiguration Rule Sets

• Startet hierfür den FSLogix Apps RuleEditor als lokalen Administrator

• Klickt auf das angezeigte Symbol oder auf File > New, um ein neues Rule Set zu erstellen

• Gebt ihm folgenden Fenster den Namen für das neue Rule Set ein und bestätigt dies mit einem Klick auf Enter file name

• Nun kann ausgewählt werden, wie das Rule Set definiert wird

• In diesem Beispiel wähle ich Choose from installed programs aus

Durch Klick auf Scan wird die Anwendung nun gescannt und die benötigten Einstellungen zum verbergen definiert.

• Nach der Analyse der Anwendung, kann über Add Another Application eine weitere Anwendung in das Neue Rule Set eingebunden werden.

• Wenn alle benötigten Anwendungen analysiert worden sind, kann dies mit OK bestätigt werden

Hinweis: Am unteren Ende der Rule Set Anzeige, wird eine Zusammenfassung der Rules angezeigt (hier z.B. 10 Hiding Rules)

• Um den Rule Sets noch ein Assignment zuzuordnen klickt auf das angezeigte Symbol (Ist ausgegraut, wenn kein Rule Set geladen ist) oder auf File > Manage Assignments

• Über Add können weitere Assignments hinzugefügt werden (Everyone ist im Standard schon hinterlegt)

• In diesem Beispiel füge ich nur den Benutzer User01 hinzu und ändere seine Einstellung auf Rule Set does not apply to user/group, damit dieser Benutzer die Anwendung sieht

• Nachdem die richtigen Assignments zugeordnet sind, kann dies mit Apply bestätigt werden.

Rule Sets bereitstellen

Um die App Masking Rules nun auf einem Worker zu aktivieren, müssen die erstellten fxr- und fxa-Dateien in den Ordner C:\Program Files\FSLogix\Apps\Rules abgelegt werden.

Diese Rule Sets werden automatisch vom Dienst (frxsvc.exe) erkannt und in ein spezielles Format kompiliert, das von den FSLogix Treibern verwendet wird (frxdrv.sys & frxdrvvt.sys). Der Dienst benachrichtigt dann den Treiber über eine Änderung (Erstellung, Löschung oder Aktualisierung von Rule Sets) und der Treiber führt ein Live Update der installierten Rule Sets durch. Die neu kompilierten Rule Set Dateien befinden sich im Ordner C:\Program Files\FSLogix\Apps\CompiledRules.

Group Policy Preferences

Über GPP kann man diese erstellten Rule Sets, die Zentral abgelegt sind, an einzelnen Worker verteilen.

Hier wird erst der Inhalt des FsLogix Rules Ordner bereiningt.

Danach werden die vorhandenen Rule Sets in den Ordner kopiert und durch den Agent verarbeitet.

WEM File System Operations

Über WEM können die erstellten Rule Sets, über File System Operations an die Worker verteilt werden.

Über die erste Action wird der Inhalt des FsLogix Rules Ordner bereiningt.

Danach werden die vorhandenen Rule Sets in den Ordner kopiert und durch den Agent verarbeitet.

Troubleshooting

Agent & Services

Um zu prüfen ob der Agent läuft (running), gebt die folgenden Befehle im Command Prompt ein.

Um zu prüfen ob die benötigten Dienste (frxdrv, frxdrvvt & frxccd) gestartet sind, gebt den folgenden Befehl in einem Elevated Command Prompt (Run as Administrator) ein.

Logs

Überprüft die Log Dateien der einzelnen Bereiche. Wenn diese nicht vorhanden sind (Default Value 0), aktiviert diese wie folgt in der Registry.

Registry Pfad: HKLM\SOFTWARE\FSLogix\Logging

Alle Werte sind vom Typ DWORD und werden auf ‚0‘ gesetzt, um die Protokollierung für die Komponente zu deaktivieren, oder auf ‚1‘, um die Protokollierung für die Komponente zu aktivieren.

Component	Value Name	Default	Default Path
Rule Editor	RuleEditor	0	%ProgramData%\FSLogix\Logs\RuleEditor
FSLogix Agent Service (frxsvc.exe)	Service	0	%ProgramData%\FSLogix\Logs\Service
Rule Compilation	RuleCompilation	0	%ProgramData%\FSLogix\Logs\RuleCompilation
Font Visibility	Font	0	%ProgramData%\FSLogix\Logs\Font
Network Information	Network	0	%ProgramData%\FSLogix\Logs\Network
Printer Visibility	Printer	0	%ProgramData%\FSLogix\Logs\Printer
AD Computer Group Processing	AdsComputerGroup	0	%ProgramData%\FSLogix\Logs\AdsComputerGroup
Driver Interface	DriverInterface	0	%ProgramData%\FSLogix\Logs\DriverInterface
Process Start Monitor	ProcessStart	0	%ProgramData%\FSLogix\Logs\ProcessStart

Rule Files

Kopiert euch die Kompilierten Rule Set Dateien aus dem Ordner C:\Program Files\FSLogix\Apps\CompiledRules heraus und öffnet diese mit einem Editor um den Inhalt mit den Original Rule Set Dateien zu vergleichen.

fxc ist die Rule Datei.

fxac ist die Assignment Datei.