製品ドキュメント
Citrix DaaS
PDFを表示

証明書管理

September 15, 2025
寄稿者: 
C

概要

HDX Direct接続は、ネットワークレベルの暗号化によって保護されます。 これを容易にするために、各セッションホストには、一意の自己署名ルートCA証明書と、自己署名ルートCA証明書によって署名された対応するサーバー証明書があります。

このソリューションには次のメリットがあります：

  • 合理化されたセキュリティ：HDX Direct接続は、環境内で証明書を管理する管理オーバーヘッドなしで保護されます。
  • 攻撃対象領域の縮小：各ホストには固有のキーと証明書のセットがあるため、攻撃対象領域は単一のホストに制限されます。
  • 非永続的な環境のセキュリティ強化：非永続的なセッションホストがある環境では、再起動時に新しいキーと証明書が生成されるため、セキュリティがさらに強化されます。

セッションホスト

Citrix ClxMtpサービスとCitrix Certificate Managerサービスは、各セッション ホスト上の証明書の管理を担当する2つのサービスです。 ClxMtpサービスはキーの生成とローテーションを処理し、Certificate Managerサービスは証明書を生成および管理します。

自己署名ルートCAとサーバー証明書の2つの証明書が作成されます。 どちらも2年間の有効期間で発行されますが、キーがローテーションされると交換されます。 さらに、非永続的なマシンが再起動するたびに新しい証明書が生成されます。

各証明書の詳細は次のとおりです：

  • 自己署名ルートCA
    • 発行先：CA-Citrix-Certificate-Manager
    • 発行者：CA-Citrix-Certificate-Manager
    • 発行者の詳細：Citrix Systems, Inc.（組織名）
  • サーバー証明書
    • 発行先：<host FQDN>（例： FTLW11-001.ctxlab.net）
    • 発行者：CA-Citrix-Certificate-Manager
    • 発行者の詳細：Citrix Systems, Inc.（組織名）

注：

Citrix Certificate Managerサービスは、2048ビットキーを利用するRSA証明書を生成します。

Citrix Certificate Managerサービスによって作成された既存のマシン証明書があり、サブジェクト名がマシンのFQDNと一致しない場合、新しい証明書が生成されます。

キーローテーション

Citrix ClxMtpサービスは、6か月ごとにキーを自動的にローテーションします。 ただし、セッションホストのレジストリ内のローテーションカウンターを増やすことで、キーのローテーションを手動でトリガーできます。

キーをローテーションするには、次の値を更新します：

  • キー：SOFTWARE\Citrix\ClxMtpConnectorSvcRotateKeyPairs
  • 値の種類：DWORD
  • 値の名前：ClxMtpRotateRequestCounter
  • データ：整数（10進数）

注：

初めてのキーローテーションの場合：

  1. ClxMtpConnectorSvcRotateKeyPairsキーを作成します。
  2. ClxMtpRotateRequestCounterを作成し、値を1に設定します。

後続のキーローテーションでは、ClxMtpRotateRequestCounterの値を1増やします。

値が更新されると、Citrix ClxMtpサービスは再起動を必要とせずにキーを自動的にローテーションします。 Citrix Certificate Managerサービスは、新しいキーを検出すると、自動的に新しい証明書を生成します。

クライアントデバイス

ルートCA証明書は、既に確立されている安全で信頼できる接続パスを介してWorkspaceまたはStorefrontによってクライアントに送信されます。 これにより、クライアントデバイスの証明書ストアにCA 証明書を配布する必要がなくなり、クライアントがHDX Direct接続のセキュリティ保護に使用される証明書を信頼できるようになります。

カスタム証明書の使用

HDX Directは、独自のPKIによって発行および管理される証明書の使用をサポートします。 次の手順では、証明書をインストールし、必要な権限を構成し、証明書をセッションマネージャーサービスにバインドし、必要なTLSリスナーを有効にする方法について説明します。

  1. マシン上でHDX Directが無効になっている場合は、手順2に進みます。 HDX Directが有効になっている場合は、次の手順を実行します：
    1. レジストリエディター（regedit.exe）を開き、HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawdに移動します。
    2. SSLEnabled値を0に設定します。
    3. HKLM\Software\Citrix\HDX-Directに移動します。
    4. HdxDirectCaInTls値を0に設定します。

  2. PKIによって発行された適切な証明書をマシンの証明書ストアにインストールします。

  3. セッションマネージャーサービスに証明書の秘密キーへの読み取りアクセス権を付与します。
    1. Microsoft管理コンソール（MMC）を起動します：［スタート］>［ファイル名を指定して実行］> mmc.exe。
    2. ［ファイル］>［スナップインの追加と削除］の順に移動します。
    3. ［証明書］を選択して［追加］をクリックします。
    4. ［コンピューターアカウント］を選択し、［次へ］をクリックします。
    5. ［ローカルコンピューター］を選択し、［完了］をクリックします。
    6. ［証明書（ローカルコンピューター）］>［個人］>［証明書］に移動します。
    7. 適切な証明書を右クリックし、［すべてのタスク］>［秘密キーの管理］を選択します。
    8. 以下のいずれかのサービスを追加して、［読み取り］アクセスを許可します。
      • シングルセッションVDAの場合：NT SERVICE\PorticaService
      • マルチセッションVDAの場合：NT SERVICE\TermService
    9. ［適用］ をクリックし、［OK］ をクリックします。
  4. 証明書をセッションマネージャーサービスにバインドします。
    1. 証明書の拇印を取得します（証明書 > 詳細 > 拇印をダブルクリックします）。
    2. レジストリエディター（regedit.exe）を開き、HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\icawdに移動します。
    3. SSLThumbprintの値を編集し、証明書の拇印を貼り付けます。
  5. Citrix TLSリスナーを有効にします。
    1. 同じレジストリの場所で、SSLEnabledの値を1に設定します。
  6. HDX Directを有効にします（Citrixポリシー内）。

Citrix Virtual Apps and Desktopsのインストールメディアには、次のタスクのいくつかを自動化するPowerShellスクリプト（Enable-VdaSSL.ps1）が含まれています：

  • 証明書のキーの権限を設定する
  • 証明書をセッションマネージャーサービスにバインドする
  • Citrix TLSリスナーを有効にする

このスクリプトは、Support > Tools > SslSupportディレクトリにあります。 詳しくは、「VDA上のTLS構成：PowerShellスクリプトの使用」を参照してください。

注：

独自の証明書を使用している場合は、セッションホストに接続するデバイスに正しいルートCA証明書と中間CA証明書がインストールされている必要があります。

証明書管理
September 15, 2025
寄稿者: 
C
September 15, 2025
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.