シトリックス クラウド コネクタのシステム要件
Citrix Cloud Connector™をホストするマシンは、以下の要件を満たす必要があります。高可用性を確保するため、実稼働環境では各リソースの場所に少なくとも2つのCloud Connectorが必要です。ベストプラクティスとして、Citrix®は、Citrix Cloudとの高可用性接続を維持するために、Cloud Connectorを展開する際にN+1冗長モデルを使用することを推奨しています。
ホストリソース要件
各Cloud Connectorには、最低限以下のものが必要です。
- 2つの仮想CPU
- 4 GBメモリ
- 20 GBディスク容量
Local Host Cacheに使用されるクラウドコネクタの場合、Citrixはクラウドコネクタに最低4 vCPUと6 GBのメモリを推奨しています。
より多くのvCPUメモリにより、Cloud Connectorは大規模なサイト向けにスケールアップできます。推奨される構成については、「Cloud Connectorのスケールとサイズに関する考慮事項」を参照してください。
オペレーティングシステム
以下のオペレーティングシステムがサポートされています。
- ウィンドウズ サーバー 2025
- ウィンドウズ サーバー 2022
- ウィンドウズ サーバー 2019
- ウィンドウズ サーバー 2016
クラウドコネクタ は Windows Server Core での使用はサポートされていません。
.NET の要件
各サーバーに以下の両方をインストールする必要があります。
-
Microsoft .NET Framework 4.7.2 以降。これは Windows Server 2019 以降ではデフォルトでインストールされています。Windows Server 2016 の場合は、Microsoft の Web サイトから 最新バージョンをダウンロード してください。
-
Microsoft .NET 8.0。Microsoft の Web サイトから 最新バージョンをダウンロード してください。
Citrix は、これらのパッケージを最新の状態に保つために、Windows Update を「他の Microsoft 製品の更新プログラムを受け取る」ように構成することを強く推奨します。
サーバーの要件
Citrix DaaS™ (旧 Citrix Virtual Apps and Desktops サービス) で Cloud Connector を使用している場合は、マシンの構成ガイダンスについて Cloud Connector の規模とサイズに関する考慮事項 を参照してください。
Cloud Connector がインストールされているすべてのマシンに、以下の要件が適用されます。
- Cloud Connector のホストには専用のマシンを使用してください。他の Citrix 製品や他のアプリケーションと同じマシンにはインストールしないでください。
- サーバーは Active Directory ドメインコントローラー、またはリソースロケーションインフラストラクチャにとって重要なその他のマシンであってはなりません。Cloud Connector の 定期メンテナンス は、これらの追加リソースに停止を引き起こすマシン操作を実行します。
- サーバーの時計は正しい UTC 時刻に設定されていること。
- グラフィカルインストーラーを使用する場合は、ブラウザーがインストールされており、デフォルトのシステムブラウザーが設定されている必要があります。
- Cloud Connector インストーラーは Citrix Cloud からダウンロードされるため、ブラウザーで実行可能ファイルのダウンロードが許可されている必要があります。
ウィンドウズアップデートのガイダンス
Citrixは、Cloud ConnectorをホストするすべてのマシンでWindows Updateを有効にすることを強く推奨します。これには、「他のMicrosoft製品の更新プログラムをインストールする」ポリシーも含まれます。Cloud Connectorは、Windows Updateを含むさまざまな要因によってトリガーされる可能性のある保留中の再起動を5分ごとに定期的にチェックします。検出された再起動は、リソースの場所で設定された優先日スケジュールに関係なく、速やかに実行されます。このプロアクティブなアプローチにより、Cloud Connectorが長期間保留中の更新状態に置かれることがなくなり、システムの安定性が維持されます。
Citrix Cloudは、可用性を維持するために再起動を管理し、一度に1つのCloud Connectorのみが再起動することを許可します。Windows Updateを設定する際は、Windowsが営業時間外に更新プログラムを自動的にダウンロードしてインストールするように設定されていることを確認してください。ただし、Cloud Connectorが再起動プロセスを管理するのに十分な時間を確保するため、自動再起動は少なくとも4時間は許可されません。さらに、更新後にマシンを再起動する必要がある状況に備えて、グループポリシーまたはシステム管理ツールを使用してフォールバック再起動メカニズムを確立できます。詳細については、「更新後のデバイスの再起動を管理する」を参照してください。
注：
- 顧客が営業時間中にCloud Connectorを再起動する意図がない場合、営業時間外にWindows Updateを適切にスケジュールすることをお勧めします。
- 各Cloud Connectorの再起動には約10分かかります。これには、Citrix Cloud Platformとの同期にかかる時間も含まれており、これにより一度に1つのCloud Connectorのみが再起動することが保証されます。したがって、前述の自動再起動の推奨される最低4時間の遅延は、テナント内のCloud Connectorの数に応じて、それよりも短いまたは長い期間に調整できます。
アンチウイルス構成
記事「Tech Paper: エンドポイントセキュリティ、アンチウイルス、およびマルウェア対策のベストプラクティス」は、環境内のCloud Connectorのセキュリティとパフォーマンスの適切なバランスを決定するのに役立つガイドラインを提供します。Citrixは、これらのガイドラインを組織のアンチウイルスおよびセキュリティチームと確認し、本番環境に適用する前に厳格なラボベースのテストを実施することを強く推奨します。
証明書の検証に関する要件
Cloud Connectorは、インストールするソフトウェアパッケージの整合性と、接続するCitrix Cloudエンドポイントを検証するためにX.509証明書に依存しています。これらの証明書は、広く信頼されているエンタープライズ認証局（CA）によって発行されます。
この検証を実行するために、Cloud Connectorには以下の要件があります。
- ルート証明書はホストの証明書ストアに存在する必要があります。
- 中間証明書はホストの証明書ストアに存在する必要があります。
- Cloud Connectorは、証明書の証明書失効リスト（CRL）を検証できる必要があります。
証明書のダウンロードとインストールの完全な手順については、「CTX223828」を参照してください。
ルート証明書の要件
Cloud Connectorホストには、以下のルート証明書がインストールされている必要があります。
https://cacerts.digicert.com/DigiCertGlobalRootG3.crthttps://cacerts.digicert.com/DigiCertGlobalRootG2.crthttps://cacerts.digicert.com/DigiCertGlobalRootCA.crthttps://cacerts.digicert.com/DigiCertTrustedRootG4.crthttps://cacerts.digicert.com/BaltimoreCyberTrustRoot.crthttps://www.d-trust.net/cgi-bin/D-TRUST_Root_Class_3_CA_2_2009.crthttps://www.microsoft.com/pkiops/certs/Microsoft%20RSA%20Root%20Certificate%20Authority%202017.crthttps://www.microsoft.com/pkiops/certs/Microsoft%20EV%20ECC%20Root%20Certificate%20Authority%202017.crthttps://www.microsoft.com/pkiops/certs/Microsoft%20ECC%20Root%20Certificate%20Authority%202017.crt
ルート証明書は通常、オペレーティングシステムの一部としてパッケージ化されるか、Windows ルート証明書プログラムによって配布されます。ただし、以下の場合は除きます。
- 自動ルート証明書更新を無効にするグループポリシーがルート証明書の更新をブロックするように設定されている場合、および
- Connectorホストサーバーからインターネットへの接続が制限されており、更新プログラムのダウンロードが妨げられている場合
いずれかの証明書が不足している場合、Cloud Connectorインストーラーはhttp://cacerts.digicert.comからダウンロードを試みます。
これが不可能な場合は、すべてのCloud Connectorホストにルート証明書を手動でインストールする必要があります。
中間証明書に関する要件
以下のルート証明書をCloud Connectorホストにインストールする必要があります。
https://cacerts.digicert.com/DigiCertTrustedG4CodeSigningRSA4096SHA3842021CA1.crt
中間証明書は通常、Windows証明書ストアにない中間認証局によって発行された証明書がサーバーに提示されたときに、オンデマンドでダウンロードされます。
コネクタホストサーバーからインターネットへの接続が制限されている場合、このダウンロードは行われない可能性があります。この場合、中間証明書はすべてのCloud Connectorホストに手動でインストールする必要があります。
証明書失効リスト (CRL) の要件
コンポーネントの検証に使用される証明書が侵害されていないことを確認することが重要です。これは、証明書失効リスト (CRL) を使用して実装されます。クライアントが証明書を使用してファイルまたはエンドポイントの整合性を検証する場合、クライアントは証明書を発行したCAを信頼しているかどうか、および証明書が失効しているかどうかを確認します。証明書がCRLにある場合、その証明書は失効しており、信頼できません。
CRLサーバーは、HTTPSのポート443ではなく、HTTPのポート80を使用します。Cloud Connectorコンポーネント自体は、外部ポート80を介して通信しません。外部ポート80の必要性は、オペレーティングシステムが実行する証明書検証プロセスの副産物です。
Cloud ConnectorがHTTPポート80で接続するために、以下のCRLエンドポイントが利用可能である必要があります。
http://cacerts.digicert.com/http://dl.cacerts.digicert.com/http://crl3.digicert.comhttp://crl4.digicert.comhttp://ocsp.digicert.comhttp://www.d-trust.nethttp://root-c3-ca2-2009.ocsp.d-trust.nethttp://crl.microsoft.comhttp://oneocsp.microsoft.comhttp://ocsp.msocsp.com
For more information about how to test for CRL and OCSP connectivity, see https://www.digicert.com/kb/util/utility-test-ocsp-and-crl-access-from-a-server.htm.
お客様が管理する証明書
Citrix Cloudサービスとの通信に必要なCitrix管理証明書に加えて、顧客は他のオンプレミスコンポーネントとの通信を保護するために、Cloud Connectorに追加の証明書を展開できます。これらの証明書は顧客が管理し、顧客が監視および更新する必要があります。
次の表は、顧客管理証明書で保護できる通信フローの概要を示しています。
| コンポーネント | コネクタからのトラフィックフロー | 追加ドキュメント |
|---|---|---|
| ストアフロント | インバウンド | HTTPエスの構成 |
| ネットスケーラー® ゲートウェイ | インバウンド | HTTPSの構成方法 |
| ハイパーバイザー | アウトバウンド | VMware環境への接続の保護 |
シトリックス DaaS
Cloud Connector を使用して DaaS リソースへの接続を行うには、追加の証明書をインストールし、拡張 PKI インフラストラクチャへのアクセスを許可する必要があります。各 Cloud Connector マシンは、以下の要件を満たす必要があります。
- HTTPポート80は、以下のIPアドレスに対して開いている必要があります。
crl.*.amazontrust.comocsp.*.amazontrust.com*.ss2.us
- 以下のIPアドレスとの通信が有効になっている必要があります。
https://*.amazontrust.comhttps://*.ss2.us
- 以下のルート証明書がインストールされている必要があります。
https://www.amazontrust.com/repository/AmazonRootCA1.cerhttps://www.amazontrust.com/repository/AmazonRootCA2.cerhttps://www.amazontrust.com/repository/AmazonRootCA3.cerhttps://www.amazontrust.com/repository/AmazonRootCA4.cerhttps://www.amazontrust.com/repository/SFSRootCAG2.cer
- 以下の中間証明書がインストールされています。
https://www.amazontrust.com/repository/G2-RootCA4.orig.cerhttps://www.amazontrust.com/repository/R3-ServerCA3A.cerhttps://www.amazontrust.com/repository/SFC2CA-SFSRootCAG2.cerhttps://www.amazontrust.com/repository/SFC2CA-SFSRootCAG2.v2.cerhttps://www.amazontrust.com/repository/G2-RootCA1.orig.cerhttps://www.amazontrust.com/repository/R1-ServerCA1A.cerhttps://www.amazontrust.com/repository/G2-RootCA3.cerhttps://www.amazontrust.com/repository/R3-ServerCA3A.orig.cerhttps://www.amazontrust.com/repository/G2-RootCA2.orig.cerhttps://www.amazontrust.com/repository/G2-RootCA4.cerhttps://www.amazontrust.com/repository/R2-ServerCA2A.cerhttps://www.amazontrust.com/repository/R4-ServerCA4A.cerhttps://www.amazontrust.com/repository/R1-ServerCA1A.orig.cerhttps://www.amazontrust.com/repository/G2-RootCA1.cerhttps://www.amazontrust.com/repository/G2-RootCA2.cerhttps://www.amazontrust.com/repository/G2-RootCA3.orig.cerhttps://www.amazontrust.com/repository/R4-ServerCA4A.orig.cerhttps://www.amazontrust.com/repository/G2-ServerCA0A.cerhttps://www.amazontrust.com/repository/G2-ServerCA0A.orig.cerhttps://www.amazontrust.com/repository/SFSRootCA-SFSRootCAG2.cer
証明書が不足している場合、Cloud Connector は https://www.amazontrust.com からダウンロードします。
証明書のダウンロードとインストールに関する完全な手順については、CTX223828 を参照してください。
アクティブディレクトリの要件
- サーバーは、ユーザー向けに提供物を作成するために使用するリソースとユーザーを含む Active Directory ドメインに参加している必要があります。マルチドメイン環境については、Deployment scenarios for Cloud Connectors in Active Directory を参照してください。
- Citrix Cloud で使用する予定の各 Active Directory フォレストは、常に2つの Cloud Connector から到達可能である必要があります。
- Cloud Connector は、フォレストのルートドメインと、Citrix Cloud で使用する予定のドメインの両方にあるドメインコントローラーに到達できる必要があります。詳細については、以下の Microsoft サポート記事を参照してください。
- ドメインと信頼を構成する方法
- Windows のサービス概要とネットワークポート要件の「システムサービスポート」セクション
- グローバルセキュリティグループの代わりにユニバーサルセキュリティグループを使用してください。この構成により、フォレスト内の任意のドメインコントローラーからユーザーグループのメンバーシップを取得できます。
サポートされているActive Directoryの機能レベル
Cloud Connector は、現在サポートされている Microsoft のバージョンと機能レベルをサポートしています。
注：
Windows Server 2025 の機能レベルは、データベースの32kページが無効になっている場合にのみサポートされます。
ネットワーク要件
- リソースの場所で使用するリソースに接続できるネットワークに接続されていること。詳細については、Cloud Connector のプロキシとファイアウォールの構成を参照してください。
-
インターネットに接続されていること。詳細については、システムと接続の要件の以下のセクションを参照してください。
連邦情報処理標準 (FIPS) のサポート
Cloud Connector は、FIPS対応マシンで使用されるFIPS検証済みの暗号化アルゴリズムをサポートします。