設定 USB 裝置的篩選器原則設定

您為 Horizon Agent 和 Horizon Client 設定的篩選原則設定，會決定哪些 USB 裝置可從用戶端電腦重新導向至遠端桌面平台或應用程式。公司通常使用 USB 裝置篩選在遠端桌面平台上停用大量儲存裝置或封鎖轉送特定類型的裝置，例如，將用戶端裝置連線至遠端桌面平台的 USB 乙太網路介面卡。

當您連線至桌面平台或應用程式時，Horizon Client 會下載 Horizon Agent 的 USB 原則設定，並與 Horizon Client 的 USB 原則設定搭配使用，以決定允許您從用戶端電腦重新導向哪些 USB 裝置。

Horizon 8 會先套用所有裝置分割原則設定，再套用篩選原則設定。如果您已分割複合 USB 裝置，Horizon 8 會檢查該裝置的各個介面，並依照篩選原則設定決定要排除或包含哪些介面。如果您未分割複合 USB 裝置，Horizon 8 則會將篩選原則設定套用至整個裝置。

裝置分割原則包含在 Horizon Agent 組態 ADMX 範本檔 (vdm_agent.admx) 中。

代理程式強制 USB 設定的互動

下表顯示了修飾詞，這些修飾詞用於指定當 Horizon Client 存在對等的篩選原則設定時，Horizon Client 如何處理可由代理程式強制執行的 Horizon Agent 篩選原則設定。

代理程式可強制設定的篩選器修飾詞

修飾詞	說明
m (合併)	Horizon Client 會同時套用 Horizon Agent 的篩選原則設定與 Horizon Client 的篩選原則設定。在原則設定為布林值或 true/false 的情況下，如果未設定用戶端原則，則會使用代理程式設定。如果已設定用戶端原則，則會忽略代理程式設定，但排除所有裝置的設定除外。如果在代理程式端設定了排除所有裝置的原則，該原則會覆寫用戶端設定。
o (覆寫)	Horizon Client 會使用 Horizon Agent 的篩選原則設定，而不是 Horizon Client 的篩選原則設定。

例如，代理程式端上的以下原則會覆寫用戶端上的所有包括規則，並且僅裝置 VID-0911_PID-149a 會套用包括規則：

IncludeVidPid: o:VID-0911_PID-149a

您也可以使用星號作為萬用字元；例如：o:vid-0911_pid-****

**重要：**如果您在代理程式端設定時未使用 o 或 m 修飾詞，則該組態規則會被視為無效並遭忽略。

用戶端轉譯 USB 設定的互動

下表顯示了修飾詞，這些修飾詞用於指定當 Horizon Agent 的篩選原則設定屬於用戶端轉譯設定時，Horizon Client 的處理方式。

用戶端轉譯設定的篩選器修飾詞

修飾詞	說明
預設值 (登錄設定中的 d)	如果沒有 Horizon Client 的篩選原則設定，Horizon Client 會使用 Horizon Agent 的篩選原則設定。 如果存在 Horizon Client 的篩選原則設定，Horizon Client 會套用該原則設定並忽略 Horizon Agent 的篩選原則設定。
覆寫 (登錄設定中的 o)	Horizon Client 會使用 Horizon Agent 的篩選原則設定，而不是任何對等的 Horizon Client 篩選原則設定。

Horizon Agent 不會在其連線端套用用戶端轉譯設定的篩選原則設定。

下表顯示了當您指定不同篩選修飾詞時，Horizon Client 處理 Allow Smart Cards 設定的範例。

將篩選器修飾詞套用至用戶端轉譯設定的範例

Horizon Agent 上的允許智慧卡設定	Horizon Client 上的允許智慧卡設定	Horizon Client 採用的有效允許智慧卡原則設定
停用 - 預設用戶端設定 (登錄設定中的 d:false)	true (允許)	true (允許)
停用 - 覆寫用戶端設定 (登錄設定中的 o:false)	true (允許)	false (停用)

如果將 Disable Remote Configuration Download 原則設為 true，Horizon Client 會忽略從 Horizon Agent 接收到的任何篩選原則設定。

即使您將 Horizon Client 設定為使用不同的篩選原則設定，或停用 Horizon Client 從 Horizon Agent 下載篩選原則設定，Horizon Agent 仍會在其連線端套用可由代理程式強制執行的篩選原則設定。Horizon Client 不會回報 Horizon Agent 正在阻止轉送裝置。

設定的優先順序

Horizon Client 會依照優先順序評估篩選原則設定。排除相符裝置重新導向的篩選器原則設定，優先於包含該裝置的同等篩選器原則設定。如果 Horizon Client 未遇到排除某裝置的篩選原則設定，則 Horizon Client 會允許該裝置重新導向，除非您已將 Exclude All Devices 原則設為 true。但是，如果您在 Horizon Agent 上設定了排除該裝置的篩選原則，桌面平台或應用程式會封鎖所有將該裝置重新導向至其上的嘗試。

Horizon Client 會依照優先順序評估篩選原則設定，並同時考量 Horizon Client 的設定、Horizon Agent 的設定，以及您套用至 Horizon Agent 設定的修飾詞值。以下清單顯示了優先順序，項目 1 的優先順序最高。

1. Exclude Path
2. Include Path
3. Exclude Vid/Pid Device
4. Include Vid/Pid Device
5. Exclude Device Family
6. Include Device Family
7. Allow Audio Input Devices、Allow Audio Output Devices、Allow HIDBootable、Allow HID (Non Bootable and Not Mouse Keyboard)、Allow Keyboard and Mouse Devices、Allow Smart Cards 和 Allow Video Devices
8. 已結合經評估為排除或包含所有 USB 裝置的有效 Exclude All Devices 原則

您只能在 Horizon Client 中設定 Exclude Path 和 Include Path 篩選原則設定。參照不同裝置系列的 Allow 篩選原則設定則具有相同的優先順序。

如果您將原則組態設定為依據廠商和產品識別碼值來排除裝置，即使您已為該裝置所屬的系列設定了 Allow 原則，Horizon Client 仍會排除其廠商和產品識別碼值符合此原則設定的裝置。

原則設定的優先順序可以解決原則設定之間的衝突。如果您設定 Allow Smart Cards，以允許重新導向智慧卡，則任何更高優先級的排除原則設定均會覆寫此原則。例如，您可能已設定 Exclude Vid/Pid Device 原則設定，以排除具有相符路徑或廠商與產品識別碼值的智慧卡裝置，或可能已設定 Exclude Device Family 原則設定，這樣也會全面排除 smart-card 裝置系列。

如果您已設定任何 Horizon Agent 篩選原則設定，Horizon Agent 會在遠端桌面平台或應用程式上依照下列優先順序進行評估與強制套用，其中項目 1 的優先順序最高。

1. Include a device by Vendor/Product ID
2. Include a device by USB family
3. Exclude a device by Vendor/Product ID
4. Exclude a device by USB family
5. Exclude all USB devices

Horizon Agent 會在其連線端強制套用這組有限的篩選原則設定。

透過為 Horizon Agent 定義篩選原則設定，您可以為非受管理的用戶端電腦建立篩選原則。此功能也能讓您封鎖從用戶端電腦轉送的裝置，即使 Horizon Client 的篩選原則設定允許重新導向。

例如，如果您設定一個原則允許 Horizon Client 重新導向某裝置，而同時在 Horizon Agent 設定了排除該裝置的原則，Horizon Agent 仍會封鎖該裝置。

設定原則以篩選 USB 裝置的範例

這些範例中使用的廠商識別碼和產品識別碼只是範例。如需判斷特定裝置的廠商識別碼和產品識別碼的相關資訊，請參閱使用記錄檔進行疑難排解及判定 USB 裝置識別碼。

• 在用戶端上，排除特定裝置，避免重新導向：

  Exclude Vid/Pid Device:     Vid-0341_Pid-1a11
  

• 封鎖所有儲存裝置，避免重新導向至此桌面平台或應用程式集區。使用代理程式端設定：

  Exclude Device Family:      o:storage  
  

• 為了確保即時影音 (RTAV) 功能可隨時使用這些裝置，請針對桌面平台集區中的所有使用者封鎖音訊與視訊裝置。使用代理程式端設定：

  Exclude Device Family:      o:video;audio 
  

  請注意，其他策略會根據廠商和產品識別碼排除特定裝置。

• 在用戶端上，封鎖除特定裝置以外的所有裝置，避免重新導向：

  Exclude All Devices:        true
  Include Vid/Pid Device:     Vid-0123_Pid-abcd
  

• 排除某個特定公司製造的所有裝置，因為這些裝置會為使用者帶來問題。使用代理程式端設定：

  Exclude Vid/Pid Device:     o:Vid-0341_Pid-*
  

• 在用戶端上，包括兩個特定裝置，但排除所有其他裝置：

  Exclude All Devices:        true
  Include Vid/Pid Device:     Vid-0123_Pid-abcd;Vid-1abc_Pid-0001