製品ドキュメント
Citrix DaaS™
PDFを表示

証明書管理

April 6, 2026
寄稿者: 
C C

概要

  • HDX™ Direct接続は、ネットワークレベルの暗号化によって保護されています。これを容易にするため、各セッションホストは一意の自己署名ルートCA証明書と、その自己署名ルートCA証明書によって署名された対応するサーバー証明書を持っています。

  • このソリューションには、以下の利点があります。

  • 合理化されたセキュリティ: HDX Direct接続は、環境内で証明書を管理する管理上のオーバーヘッドなしに保護されます。
  • 攻撃対象領域の削減: 各ホストが一意のキーと証明書のセットを持つため、攻撃対象領域は単一のホストに限定されます。
    • 非永続環境のセキュリティ強化: 非永続セッションホストを使用する環境では、再起動時に新しいキーと証明書が生成されるため、セキュリティがさらに強化されます。

セッションホスト

-  **Citrix ClxMtp Service**と**Citrix Certificate Manager Service**は、各セッションホストで証明書を管理する2つのサービスです。ClxMtp Serviceはキーの生成とローテーションを処理し、Certificate Manager Serviceは証明書を生成および管理します。

-  自己署名ルートCAとサーバー証明書の2つの証明書が作成されます。どちらも2年間の有効期間で発行されますが、キーがローテーションされると置き換えられます。さらに、非永続マシンが再起動するたびに新しい証明書が生成されます。

-  各証明書の詳細は以下のとおりです。

-  **自己署名ルートCA**
-  発行先: CA-Citrix-Certificate-Manager
-  発行元: CA-Citrix-Certificate-Manager
-  発行者詳細: 組織はCitrix Systems, Inc.です。

  • サーバー証明書

    • 発行先: <ホストFQDN> (例: FTLW11-001.ctxlab.net)
      • 発行元: CA-Citrix-Certificate-Manager
      • 発行者詳細: 組織はCitrix Systems, Inc.です。

  • 注:

  • Citrix Certificate Manager Serviceは、2048ビットキーを利用するRSA証明書を生成します。

    Citrix Certificate Manager Serviceによって作成された既存のマシン証明書があり、そのサブジェクト名がマシンのFQDNと一致しない場合、新しい証明書が生成されます。

キーのローテーション

Citrix ClxMtp Serviceは、6か月ごとにキーを自動的にローテーションします。ただし、セッションホストのレジストリにあるローテーションカウンターを増やすことで、手動でキーのローテーションをトリガーできます。

キーをローテーションするには、以下の値を更新します。

  • キー: SOFTWARE\Citrix\ClxMtpConnectorSvcRotateKeyPairs
  • 値の型: DWORD
  • 値の名前: ClxMtpRotateRequestCounter
  • データ: 整数 (10進数)

注:

初めてキーをローテーションする場合:

  1. ClxMtpConnectorSvcRotateKeyPairsキーを作成します。
  2. ClxMtpRotateRequestCounter値を作成し、1に設定します。

その後のキーローテーションでは、ClxMtpRotateRequestCounter値を1ずつ増やします。

値が更新されると、Citrix ClxMtp Serviceは再起動を必要とせずにキーを自動的にローテーションします。その後、Citrix Certificate Manager Serviceは新しいキーを検出すると、自動的に新しい証明書を生成します。

クライアントデバイス

    -  ルートCA証明書は、WorkspaceまたはStorefront™によって、すでに確立された安全で信頼できる接続パスを介してクライアントに送信されます。これにより、CA証明書をクライアントデバイスの証明書ストアに配布する必要がなくなり、クライアントがHDX Direct接続を保護するために使用される証明書を信頼することが保証されます。

カスタム証明書の使用

HDX Directは、独自のPKIによって発行および管理される証明書の使用をサポートしています。以下の手順では、証明書のインストール、必要な権限の設定、セッションマネージャーサービスへのバインド、および必要なTLSリスナーの有効化について説明します。

  1. マシンでHDX Directが無効になっている場合は、手順2に進みます。HDX Directが有効になっている場合は、以下の手順に従います。
    1. レジストリエディター (regedit.exe) を開き、HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd に移動します。
    2. SSLEnabled の値を 0 に設定します。
    3. HKLM\Software\Citrix\HDX-Direct に移動します。
    4. HdxDirectCaInTls の値を 0 に設定します。
    1. PKIによって発行された適切な証明書をマシンの証明書ストアにインストールします。
  1. セッションマネージャーサービスに証明書の秘密キーへの読み取りアクセス権を付与します。
    1. Microsoft管理コンソール (MMC) を起動します: [スタート] > [ファイル名を指定して実行] > mmc.exe。
    2. [ファイル] > [スナップインの追加と削除] に移動します。
    3. [証明書] を選択し、[追加] をクリックします。
    4. [コンピューターアカウント] を選択し、[次へ] をクリックします。
    5. [ローカルコンピューター] を選択し、[完了] をクリックします。
    6. [証明書 (ローカルコンピューター)] > [個人] > [証明書] に移動します。
    7. 適切な証明書を右クリックし、[すべてのタスク] > [秘密キーの管理] を選択します。
    8. 以下のいずれかのサービスを追加し、読み取りアクセス権を付与します。
      • シングルセッションVDAの場合: NT SERVICE\PorticaService
      • マルチセッションVDAの場合: NT SERVICE\TermService
    9. [適用] をクリックし、次に [OK] をクリックします。
  2. 証明書をセッションマネージャーサービスにバインドします。
    1. 証明書のサムプリントを取得します (証明書をダブルクリック > [詳細] > [サムプリント])。
    2. レジストリエディター (regedit.exe) を開き、HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawd に移動します。
    3. SSLThumbprint の値を編集し、証明書のサムプリントを貼り付けます。
  3. Citrix TLSリスナーを有効にします。
    1. 同じレジストリの場所で、SSLEnabled の値を 1 に設定します。
  4. HDX Directを有効にします (Citrixポリシー内)。

Citrix Virtual Apps and Desktopsのインストールメディアには、これらのタスクのいくつかを自動化するPowerShellスクリプト (Enable-VdaSSL.ps1) が含まれています。

  • 証明書のキーの権限を設定する
  • 証明書をセッションマネージャーサービスにバインドする
  • Citrix TLSリスナーを有効にする

このスクリプトは、Support > Tools > SslSupportディレクトリにあります。詳細については、「PowerShellスクリプトを使用してVDAでTLSを構成する」を参照してください。

注:

独自の証明書を使用している場合、セッションホストに接続するデバイスには、正しいルートCA証明書と中間CA証明書がインストールされている必要があります。

証明書管理
April 6, 2026
寄稿者: 
C C
April 6, 2026
寄稿者: 
C C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.