Citrix Cloud™ プラットフォームの安全な展開ガイド
Citrix Cloud のセキュア展開ガイドでは、Citrix Cloud の使用におけるセキュリティのベストプラクティスの概要を説明し、Citrix Cloud が収集および管理する情報について記述しています。
サービスに関する技術的なセキュリティの概要
Citrix クラウドサービス内のデータセキュリティに関する詳細については、以下の記事を参照してください。
- Analytics の技術的なセキュリティの概要
- Endpoint Management の技術的なセキュリティの概要
- リモートブラウザアイソレーション 技術的なセキュリティの概要
- Citrix DaaS の技術的なセキュリティの概要
- シトリックス DaaS スタンダード Azure 用の技術的なセキュリティの概要
管理者向けガイダンス
- 強力なパスワードを使用し、定期的にパスワードを変更してください。
- 顧客アカウント内のすべての管理者は、他の管理者を追加および削除できます。信頼できる管理者のみがCitrix Cloudにアクセスできるようにしてください。
- 顧客の管理者は、デフォルトですべてのサービスにフルアクセスできます。一部のサービスでは、管理者のアクセスを制限する機能が提供されています。詳細については、サービスごとのドキュメントを参照してください。
- Citrix Cloud 管理者向けの2要素認証は、デフォルトのCitrix IDプロバイダーを使用して実現されます。管理者がCitrix Cloudにサインアップするか、Citrix Cloudアカウントに招待されると、多要素認証 (MFA) への登録が求められます。顧客がMicrosoft Azureを使用してCitrix Cloud管理者を認証する場合、多要素認証はMicrosoft WebサイトのConfigure Microsoft Entra ID Multi-Factor Authentication settingsに記載されているとおりに構成できます。
- デフォルトでは、Citrix Cloudはコンソールアクティビティに関係なく、72時間後に管理者セッションを自動的に終了します。このタイムアウトは変更できません。
- 管理者アカウントは、最大100の顧客アカウントに関連付けることができます。管理者が100を超える顧客アカウントを管理する必要がある場合、追加の顧客アカウントを管理するために、別のメールアドレスで別の管理者アカウントを作成する必要があります。あるいは、管理する必要がなくなった顧客アカウントから管理者として削除することもできます。
パスワードのコンプライアンス
以下のいずれかの条件に該当する場合、Citrix Cloudは管理者にパスワードの変更を促します。
- 現在のパスワードが60日以上サインインに使用されていない。
- 現在のパスワードが、既知の侵害されたパスワードのデータベースに記載されている。
新しいパスワードは、以下のすべての条件を満たす必要があります。
- 8文字以上（最大128文字）
- 大文字と小文字をそれぞれ1文字以上含む
- 数字を1文字以上含む
- 特殊文字（! @ # $ % ^ * ? + = -）を1文字以上含む
パスワード変更のルール：
- 現在のパスワードを新しいパスワードとして使用することはできません。
- 過去5つのパスワードは再利用できません。
- 新しいパスワードは、アカウントのユーザー名と類似していてはなりません。
- 新しいパスワードは、既知の侵害されたパスワードのデータベースに記載されていてはなりません。Citrix Cloudは、新しいパスワードがこの条件に違反しているかどうかを判断するために、https://haveibeenpwned.com/が提供するリストを使用します。
暗号化とキー管理
Citrix Cloudコントロールプレーンは、機密性の高い顧客情報を保存しません。代わりに、Citrix Cloudは、管理者パスワードなどの情報をオンデマンドで（管理者に明示的にプロンプトを表示して）取得します。
保存データの場合、Citrix CloudストレージはAES-256ビット以上のキーを使用して暗号化されます。これらのキーはCitrixによって管理されます。
転送データの場合、Citrixは業界標準のTLS 1.2と最も強力な暗号スイートを使用します。Citrix CloudはCitrixが所有するcloud.comドメインでホストされているため、お客様は使用中のTLS証明書を制御できません。Citrix Cloudにアクセスするには、お客様はTLS 1.2に対応したブラウザを使用し、承認された暗号スイートが構成されている必要があります。
The following strong ciphers are recommended: TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384, TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
注:
TLS 1.2は必須ですが、一部のサービスではセキュリティとパフォーマンスを向上させるためにTLS 1.3をネゴシエートできます。お客様は、クライアントがTLS 1.2とTLS 1.3の両方をネゴシエートできるようにすることをお勧めします。次の強力な暗号が推奨されます。
- TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
- TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
Citrix Cloudサービスのデータがどのように保護されているかについての詳細は、Citrix WebサイトのCitrix Cloudサービスデータ保護の概要を参照してください。
各クラウドサービス内の暗号化とキー管理の詳細については、サービスのドキュメントを参照してください。
データ主権
Citrix Cloudコントロールプレーンは、米国、欧州連合、およびオーストラリアでホストされています。お客様はこれを制御できません。
お客様は、Citrix Cloudで使用するリソースの場所を所有および管理します。リソースの場所は、お客様が希望する任意のデータセンター、クラウド、場所、または地理的領域に作成できます。すべての重要なビジネスデータ（ドキュメント、スプレッドシートなど）はリソースの場所に保存され、お客様の管理下にあります。
その他のサービスでは、データを異なるリージョンに保存するオプションがある場合があります。各サービスについては、Geographical ConsiderationsトピックまたはTechnical Security Overviews（この記事の冒頭に記載）を参照してください。
セキュリティ問題の洞察
status.cloud.com は、お客様に継続的な影響を与えるセキュリティ問題に関する透明性を提供します。このサイトには、ステータスと稼働時間情報が記録されています。プラットフォームまたは個々のサービスへの更新を購読するオプションがあります。
シトリックス クラウド コネクタ™
クラウド コネクタのインストール
セキュリティとパフォーマンス上の理由から、Citrix®は、お客様がCloud Connectorソフトウェアをドメインコントローラーにインストールしないことを推奨しています。
また、Citrixは、Cloud Connectorソフトウェアがインストールされるマシンがお客様のプライベートネットワーク内にあり、DMZ内にないことを強く推奨しています。ネットワークおよびシステム要件、ならびにCloud Connectorのインストール手順については、(/ja-jp/citrix-cloud/citrix-cloud-resource-locations/citrix-cloud-connector.html)を参照してください。
クラウド コネクタの構成
お客様は、Cloud ConnectorがインストールされているマシンをWindowsセキュリティ更新プログラムで最新の状態に保つ責任があります。
お客様は、Cloud Connectorと並行してアンチウイルスを使用できます。Citrixは、業界標準のAV製品を使用するお客様をサポートしています。
お客様のActive Directory (AD) において、CitrixはCloud Connectorのマシンアカウントを読み取り専用アクセスに制限することを強く推奨します。これはActive Directoryのデフォルト設定です。また、お客様はCloud ConnectorのマシンアカウントでADログ記録と監査を有効にして、ADアクセスアクティビティを監視できます。
Cloud Connectorをホストするマシンへのログオン
Cloud Connectorは、機密性の高いセキュリティ情報がCitrix Cloudサービスの他のプラットフォームコンポーネントに渡されることを許可しますが、以下の機密情報も保存します。
- Citrix Cloudとの通信用のサービスキー
- Citrix DaaS (旧Citrix Virtual Apps and Desktops™サービス) における電源管理用のハイパーバイザーサービス資格情報
この機密情報は、Cloud ConnectorをホストするWindowsサーバー上でData Protection API (DPAPI) を使用して暗号化されます。Citrixは、最も特権のある管理者のみがCloud Connectorマシンにログオンすることを強く推奨します（たとえば、メンテナンス操作を実行するため）。一般的に、管理者がCitrix製品を管理するためにこれらのマシンにログオンする必要はありません。Cloud Connectorはその点で自己管理型です。
エンドユーザーがCloud Connectorをホストするマシンにログオンすることを許可しないでください。
Cloud Connectorマシンへの他のソフトウェアのインストール
お客様は、Cloud Connectorがインストールされているマシンに、ウイルス対策ソフトウェアやハイパーバイザーツール（仮想マシンにインストールされている場合）をインストールできます。ただし、Citrixは、これらのマシンに他のソフトウェアをインストールしないことを推奨しています。他のソフトウェアは、潜在的なセキュリティ攻撃ベクトルを生み出し、Citrix Cloudソリューション全体のセキュリティを低下させる可能性があります。
インバウンドおよびアウトバウンドポートの構成
Cloud Connectorは、インターネットにアクセスするためにアウトバウンドポート443が開いている必要があります。Citrixは、Cloud Connectorがインターネットからアクセス可能なインバウンドポートを持たないことを強く推奨します。
お客様は、Cloud Connectorのアウトバウンドインターネット通信を監視するために、Webプロキシの背後にCloud Connectorを配置できます。ただし、WebプロキシはSSL/TLS暗号化通信をサポートしている必要があります。
Cloud Connectorは、インターネットにアクセスするための他のアウトバウンドポートを持つ場合があります。他のポートが利用可能な場合、Cloud Connectorはネットワーク帯域幅とパフォーマンスを最適化するために、広範囲のポート間でネゴシエートします。
Cloud Connectorは、内部ネットワーク内で広範囲のインバウンドおよびアウトバウンドポートを開いている必要があります。次の表に、必要な基本のオープンポートセットを示します。
| クライアントポート | サーバーポート | サービス |
|---|---|---|
| 49152 -65535/UDP | 123/UDP | W32タイム |
| 49152 -65535/TCP | 135/TCP | RPC エンドポイントマッパー |
| 49152 -65535/TCP | 464/TCP/UDP | Kerberos パスワード変更 |
| 49152 -65535/TCP | 49152-65535/TCP | LSA、SAM、Netlogon 用のリモートプロシージャコール (*) |
| 49152 -65535/TCP/UDP | 389/TCP/UDP | LDAPプロトコル |
| 49152 -65535/TCP | 3268/TCP | LDAP グローバルカタログ |
| 53, 49152 -65535/TCP/UDP | 53/TCP/UDP | DNS |
| 49152 -65535/TCP | 49152 -65535/TCP | FRS RPC (*) |
| 49152 -65535/TCP/UDP | 88/TCP/UDP | ケルベロス |
| 49152 -65535/TCP/UDP | 445/TCP | SMB |
Cloud Connector は、LDAP 署名とシーリングを使用してドメインコントローラーへの接続を保護します。これは、LDAP over SSL (LDAPS) が不要であることを意味します。LDAP 署名の詳細については、Windows Server で LDAP 署名を有効にする方法 および LDAP チャネルバインディングと LDAP 署名を有効にするための Microsoft ガイダンス を参照してください。
Citrix Cloud 内で使用される各サービスは、必要なオープンポートのリストを拡張します。詳細については、以下のリソースを参照してください。
- 各サービスに関する技術セキュリティ概要 (この記事の冒頭に記載)
- Citrix Cloud サービス向けのインターネット接続要件
- コンソールサービスポート要件
- エンドポイント管理のポート要件
外部への送信通信の監視
クラウドコネクタは、シトリックスクラウドサーバーとマイクロソフトアジュールサービスバスサーバーの両方に対し、ポート443でインターネットにアウトバウンド通信を行います。
Cloud Connectorは、Cloud Connectorをホストするマシンが存在するActive Directoryフォレスト内のローカルネットワーク上のドメインコントローラーと通信します。
通常の操作中、Cloud Connectorは、Citrix CloudユーザーインターフェイスのIdentity and Access Managementページで無効になっていないドメイン内のドメインコントローラーとのみ通信します。
Citrix Cloud内の各サービスは、Cloud Connectorが通常の操作中に接続する可能性のあるサーバーと内部リソースのリストを拡張します。また、お客様はCloud ConnectorがCitrixに送信するデータを制御できません。サービスの内部リソースとCitrixに送信されるデータに関する詳細については、以下のリソースを参照してください。
- 各サービスに関する技術セキュリティ概要（この記事の冒頭に記載）
- Citrix Cloudサービスに関するインターネット接続要件
クラウドコネクタログの表示
管理者に関連する、または対処可能な情報はすべて、Cloud ConnectorマシンのWindowsイベントログで確認できます。
Cloud Connectorのインストールログは、以下のディレクトリで確認できます。
- %AppData%\Local\Temp\CitrixLogs\CloudServicesSetup
- %windir%\Temp\CitrixLogs\CloudServicesSetup
クラウドコネクタがクラウドに送信するログは、%ProgramData%\Citrix\WorkspaceCloud\Logs にあります。
WorkspaceCloud\Logsディレクトリ内のログは、指定されたサイズしきい値を超えると削除されます。管理者は、HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\CloudServices\AgentAdministration\MaximumLogSpaceMegabytesのレジストリキー値を調整することで、このサイズしきい値を制御できます。
SSL/TLS の設定項目
Cloud ConnectorをホストするWindows Serverでは、暗号化とキー管理に詳述されている暗号が有効になっている必要があります。
Cloud Connectorは、Citrix Cloud SSL/TLS証明書およびMicrosoft Azure Service Bus SSL/TLS証明書が使用する認証局（CA）を信頼する必要があります。CitrixとMicrosoftは将来的に証明書とCAを変更する可能性がありますが、常に標準のWindows信頼された発行元リストの一部であるCAを使用します。
Citrix Cloud内の各サービスには、異なるSSL構成要件がある場合があります。詳細については、各サービスの技術セキュリティ概要（この記事の冒頭に記載）を参照してください。
セキュリティコンプライアンス
セキュリティコンプライアンスを確保するため、Cloud Connectorは自己管理します。再起動を無効にしたり、Cloud Connectorに他の制限を設けたりしないでください。これらの操作は、重要な更新がある場合にCloud Connectorが自身を更新するのを妨げます。
お客様は、セキュリティ問題に対応するために他のアクションを取る必要はありません。Cloud Connectorは、セキュリティ修正を自動的に適用します。
シトリックス コネクタ™アプライアンス クラウドサービス向け
コネクタアプライアンスのインストール
Connector Applianceはハイパーバイザー上でホストされます。このハイパーバイザーは、DMZではなくプライベートネットワーク内に配置する必要があります。
Connector Applianceが、デフォルトでアクセスをブロックするファイアウォール内にあることを確認してください。許可リストを使用して、Connector Applianceからの予期されるトラフィックのみを許可してください。
Connector Applianceをホストするハイパーバイザーに、最新のセキュリティ更新プログラムがインストールされていることを確認してください。
ネットワークおよびシステム要件、およびConnector Applianceのインストール手順については、Connector Appliance for Cloud Servicesを参照してください。
Connector Applianceをホストするハイパーバイザーへのログオン
Connector Applianceには、Citrix Cloudと通信するためのサービスキーが含まれています。Connector Applianceをホストするハイパーバイザーへのログオンは、最も特権のある管理者のみに許可してください（例えば、メンテナンス操作を実行するためなど）。一般的に、Citrix製品を管理するために管理者がこれらのハイパーバイザーにログオンする必要はありません。Connector Applianceは自己管理型です。
インバウンドおよびアウトバウンドポートの構成
Connector Applianceは、インターネットにアクセスするためにアウトバウンドポート443が開いている必要があります。Citrixは、Connector Applianceがインターネットからアクセス可能なインバウンドポートを持たないことを強く推奨します。
Connector ApplianceをWebプロキシの背後に配置して、そのアウトバウンドインターネット通信を監視できます。ただし、WebプロキシはSSL/TLS暗号化通信をサポートしている必要があります。
Connector Applianceは、インターネットにアクセスするための他のアウトバウンドポートを持つ場合があります。他のポートが利用可能な場合、Connector Applianceは広範囲のポートでネゴシエートし、ネットワーク帯域幅とパフォーマンスを最適化します。
Connector Applianceは、内部ネットワーク内で広範囲のインバウンドおよびアウトバウンドポートを開いている必要があります。次の表に、必要な基本のオープンポートセットを示します。
| 接続の方向 | コネクタアプライアンスポート | 外部ポート | サービス |
|---|---|---|---|
| インバウンド | 443/TCP | 任意 | ローカルウェブUI |
| アウトバウンド | 49152-65535/UDP | 123/UDP | NTP |
| 送信 | 53, 49152-65535/TCP/UDP | 53/TCP/UDP | DNS |
| 送信 | 67/UDP | 68/UDP | DHCPとブロードキャスト |
| 送信 | 49152 -65535/UDP | 123/UDP | W32Time |
| 送信 | 49152 -65535/TCP | 464/TCP/UDP | Kerberos パスワード変更 |
| 送信 | 49152 -65535/TCP/UDP | 389/TCP/UDP | LDAPプロトコル |
| 送信 | 49152 -65535/TCP | 3268/TCP | エルダップ グローバルカタログ |
| 送信 | 49152 -65535/TCP/UDP | 88/TCP/UDP | ケルベロス |
| 送信 | 49152 -65535/TCP/UDP | 445/TCP | SMB |
| 送信 | 137/UDP | 137/UDP | NetBIOS 名前サービス |
| 送信 | 138/UDP | 138/UDP | NetBIOS データグラム |
| 送信 | 139/TCP | 139/TCP | NetBIOSセッション |
Citrix Cloud内で使用される各サービスは、必要なオープンポートのリストを拡張します。詳細については、以下のリソースを参照してください。
- 各サービスに関する技術セキュリティ概要（この記事の冒頭に記載）
- Citrix Cloudサービスに関するシステムおよび接続要件
送信通信の監視について
Connector Applianceは、ポート443でCitrix Cloudサーバーにインターネットへの送信通信を行います。
Citrix Cloud内の各サービスは、Connector Applianceが通常の操作中に接続する可能性のあるサーバーと内部リソースのリストを拡張します。また、お客様はConnector ApplianceがCitrixに送信するデータを制御できません。サービスの内部リソースおよびCitrixに送信されるデータに関する詳細については、以下のリソースを参照してください。
- 各サービスに関する技術セキュリティ概要（この記事の冒頭に記載）
- Citrix Cloudサービスに関するシステムおよび接続要件
コネクタアプライアンスのログの表示
さまざまなログファイルを含むConnector Applianceの診断レポートをダウンロードできます。このレポートの取得に関する詳細については、Connector Appliance for Cloud Servicesを参照してください。
SSL/TLS の設定について
コネクタ アプライアンスには、特別なSSL/TLS構成は必要ありません。
Connector Applianceは、Citrix Cloud SSL/TLS証明書で使用される認証局（CA）を信頼します。Citrixは将来的に証明書とCAを変更する可能性がありますが、常にConnector Applianceが信頼するCAを使用します。
Citrix Cloud 内の各サービスには、異なるSSL構成要件がある場合があります。詳細については、各サービス（この記事の冒頭に記載）の技術セキュリティ概要を参照してください。
セキュリティコンプライアンス
セキュリティコンプライアンスを確保するため、Connector Appliance は自己管理されており、コンソールからログインすることはできません。
コネクタのセキュリティ問題に対応するために、他のアクションを実行する必要はありません。Connector Appliance は、セキュリティ修正を自動的に適用します。
Connector Appliance をホストするハイパーバイザーに、最新のセキュリティアップデートがインストールされていることを確認してください。
Active Directory (AD) では、Connector Appliance のマシンアカウントを読み取り専用アクセスに制限することをお勧めします。これはActive Directoryのデフォルト設定です。また、お客様はConnector ApplianceのマシンアカウントでADログと監査を有効にして、ADアクセスアクティビティを監視できます。
侵害されたアカウントの処理に関するガイダンス
- Citrix Cloud の管理者リストを監査し、信頼できない管理者を削除します。
- 会社のActive Directory内で侵害されたアカウントを無効にします。
- Citrix に連絡し、お客様のすべての Cloud Connector に保存されている認証シークレットのローテーションを要求します。侵害の重大度に応じて、次のアクションを実行してください。
- 低リスク: Citrix は時間をかけてシークレットをローテーションできます。Cloud Connector は正常に機能し続けます。古い認証シークレットは2〜4週間で無効になります。この期間中、Cloud Connector を監視して、予期しない操作がないことを確認してください。
- 継続的な高リスク: Citrix はすべての古いシークレットを取り消すことができます。既存の Cloud Connector は機能しなくなります。通常の操作を再開するには、お客様はすべての該当するマシンで Cloud Connector をアンインストールして再インストールする必要があります。