製品ドキュメント
シトリックス リモートブラウザアイソレーション™
PDFを表示

追加の機能

August 3, 2026
寄稿者: 
C

ユーザーアクティビティログ

ユーザーアクティビティログ機能を使用すると、顧客はCitrix Remote Browser Isolation (RBI) セッション中のユーザーのブラウジングアクティビティを追跡および監査できます。この機能は、アクセスしたホスト名、アクセス時刻、ユーザー識別子、および許可リストの適用状況をキャプチャします。収集されたすべてのデータは、顧客のAzureストレージアカウントに保存され、完全なデータ所有権と制御を提供します。

重要:

この機能は、顧客レベルとアプリケーションレベルの両方で有効にする必要があります。ブラウジングアクティビティデータは1時間ごとにアップロードされ、リアルタイムではありません。

主な利点

  • コンプライアンスと監査: 企業の監査要件と規制コンプライアンス基準を満たします。
  • セキュリティ分析: 異常なブラウジングパターンと潜在的なセキュリティ脅威を特定します。
  • ポリシーの最適化: ユーザーの行動を分析して、許可リストの構成を改善します。
  • データ主権: Azure環境でデータを管理下に置きます。

前提条件

ユーザーアクティビティログを設定する前に、以下があることを確認してください。

  • 有効なAzureサブスクリプション。
  • ブラウジングアクティビティデータ用のAzureストレージアカウント。
  • リモートブラウザアイソレーションサービスで作成されたカタログ。

構成の手順

ステップ1：Azure Storage接続文字列の取得

このガイドは、Azure Storageアカウントが存在することを前提としています。作成するには、Azure Storageのドキュメントを参照してください。

  1. Azure portalにサインインし、ストレージアカウントを開きます。
  2. 左側のメニューで、セキュリティ + ネットワークに移動し、アクセスキーを選択します。
  3. key1またはkey2のいずれかから接続文字列をコピーします。
  4. ステップ3（機能が動作していることを確認する）で使用するために、接続文字列を安全に保管してください。

注：

Citrix RBIは、構成を保存するとuser-activityという名前のコンテナを自動的に作成します。手動でのコンテナ作成は不要です。

アジュール ポータル

ステップ2：アプリケーションのユーザーアクティビティログを構成する

Azure Storage接続は、アプリケーションごとに構成できます。

構成の作成または更新
  1. 管理コンソールで、管理ページに移動します。
  2. ユーザーアクティビティログを有効にするカタログとアプリケーションを選択します。
  3. 「ユーザーアクティビティログ」設定を見つけます。
  4. 「ユーザーアクティビティログ」を有効にします。
  5. ステップ1のAzure Storage接続文字列を貼り付けます。
  6. 「保存」をクリックします。

セッションモニターテスト(/ja-jp/citrix-remote-browser-isolation/media/session-monitor-test.png)

ユーザーアクティビティログ(/ja-jp/citrix-remote-browser-isolation/media/user-activity-logging.png)

設定が保存されると、システムは次の処理を行います。

  • 接続文字列を検証します。
  • Azure Storageへの接続を確認します。
  • user-activityという名前のコンテナが存在しない場合は作成します。
  • 接続権限を確認します。
設定の削除

特定のアプリケーションの閲覧アクティビティの追跡を停止するには:

  1. そのアプリケーションの設定ページに移動します。
  2. 「ユーザーアクティビティログ」設定を見つけます。
  3. 「ユーザーアクティビティログ」を無効にします。
  4. 「保存」をクリックします。

設定を削除すると、新しく起動されたユーザーセッションはブラウジングアクティビティを記録しなくなります。すでにAzure Storageにアップロードされている履歴データは削除されません。

ステップ3：機能が動作していることを確認する

設定が完了したら、機能を検証します。

  1. ユーザーアクティビティログが設定されたアプリケーションを使用して、新しいブラウザセッションを起動します。
  2. いくつかのWebサイトにアクセスします。たとえば、www.google.com と www.microsoft.com です。
  3. アップロードを待ちます。ブラウジングアクティビティはまずローカルに保存され、1時間ごとにアップロードされます。
  4. 初期の検証には、少なくとも1～2時間待ちます。
  5. Azureポータルで、ストレージアカウントを開き、次に user-activity コンテナを開きます。
  6. 新しいJSONファイルが表示されることを確認します。
  7. JSONファイルをダウンロードし、アクセスしたWebサイトのホスト名が含まれていることを確認します。

ブラウジングアクティビティの表示と分析

データストレージ構造

ブラウジングアクティビティデータは、Azure Blob Storageで日付とファイル名によって整理されます。

Container: user-activity
|- YYYY-MM-DD/
|  |- {VDAHostname}_{GUID}_{AppName}_{YYYY-MM-DD-HH}.json
|  |- {VDAHostname}_{GUID}_{AppName}_{YYYY-MM-DD-HH}.json
|  `- {VDAHostname}_{GUID}_{AppName}_{YYYY-MM-DD-HH}.json
`- YYYY-MM-DD/
    `- ...
<!--NeedCopy-->

ファイル命名規則

  • フォルダー構造: {YYYY-MM-DD}/ (日付別に整理されています)。
  • ファイル名のパターン: {VDAHostname}_{GUID}_{AppName}_{YYYY-MM-DD-HH}.json
  • {VDAHostname}: VDAマシンのホスト名。
  • {GUID}: 各アップロードバッチの一意の識別子。
  • {AppName}: Secure Browserアプリケーションの名前。
  • {YYYY-MM-DD-HH}: 24時間形式のアップロードタイムスタンプ。

アクティブなVDAごとに、1時間ごとに新しいファイルが生成されます。

データ形式の説明

各JSONファイルには、NDJSON形式（改行区切りのJSON）で複数のレコードが含まれています。各行は1つのアクセスイベントを表します。

{"accessHostEvent":{"hostName":"www.google.com","acceptHost":true},"accessTime":"2026-01-29T14:23:45.123Z","sessionId":"abc123-def456-ghi789","userName":"user@example.com","appName":"MySecureBrowser"}
{"accessHostEvent":{"hostName":"www.microsoft.com","acceptHost":true},"accessTime":"2026-01-29T14:25:10.456Z","sessionId":"abc123-def456-ghi789","userName":"user@example.com","appName":"MySecureBrowser"}
{"accessHostEvent":{"hostName":"malicious.site","acceptHost":false},"accessTime":"2026-01-29T14:30:22.789Z","sessionId":"abc123-def456-ghi789","userName":"user@example.com","appName":"MySecureBrowser"}
<!--NeedCopy-->

フィールドの説明

フィールド 説明文 例
accessHostEvent.hostName ユーザーがアクセスしたウェブサイトのホスト名。 www.google.com
accessHostEvent.acceptHost 許可リストによってアクセスが許可されているかどうか (true は許可、false はブロックを意味します)。 true
accessTime アクセス時刻 (UTC)。 2026-01-29T14:23:45.123Z
sessionId 一意のセッション識別子。 abc123-def456-ghi789
userName ユーザー識別子。 user@example.com
appName アプリケーション名。 MySecureBrowser

プライバシー保護: システムは、www.example.com のようなホスト名のみを記録します。完全な URL パス、クエリパラメータ、またはユーザーが入力したコンテンツは記録しません。

データを表示する方法

閲覧アクティビティの記録を表示するには、次の方法を使用します。

アジュール ストレージ エクスプローラー
  1. Azure Storage Explorer をダウンロードしてインストールします。
  2. ストレージアカウントに接続します。
  3. user-activity コンテナを参照します。
  4. JSON ファイルをダウンロードし、その内容を確認します。
アジュール ポータル
  1. Azure portal にサインインします。
  2. ストレージアカウントに移動します。
  3. コンテナ > user-activity を選択します。
  4. ファイルをダウンロードして内容を表示します。

ヒント: より詳細な分析を行うには、データをExcel、Power BI、または別の分析ツールにインポートしてください。

主な機能と考慮事項

機能のハイライト

  • 自動記録: 手動操作なしでウェブサイトアクセスイベントをキャプチャします。
  • ブロックされた試行も含まれる: ブロックされたアクセス試行 (acceptHost: false) をキャプチャし、許可リスト分析に利用します。
  • 時間ごとのアップロード: ネットワークオーバーヘッドを削減するため、データを1時間ごとにバッチでアップロードします。
  • データ主権: すべてのデータを顧客のAzure環境に保存します。
  • マルチアプリケーション対応: アプリケーション間で個別の、または共有のストレージアカウント構成をサポートします。

制限事項

  • リアルタイムではない: データがAzure Storageに表示されるまでに最大1時間かかる場合があります。
  • 専用版のみ: 専用版アプリケーションでのみ利用可能です。
  • 固定コンテナ名: コンテナ名は user-activity であり、カスタマイズできません。
  • VDA再起動の影響: アップロード前にVDAが再起動すると、まだアップロードされていないデータが失われる可能性があります。

トラブルシューティング

問題1: Azure Storageにデータがない

考えられる原因:

  • 機能トグルが有効になっていません。
  • 接続文字列が正しくないか、期限切れです。
  • 待機時間が不十分です（少なくとも1時間が必要です）。
  • アプリケーションがDedicated Editionではありません。

解決策:

  1. 機能トグルのステータスを確認します。
  2. 接続文字列を再構成して保存します。
  3. 新しいセッションを開始し、Webサイトにアクセスして、1～2時間待ちます。
  4. アプリケーションがDedicated Editionであることを確認します。
  5. user-activityコンテナが作成されたことを確認します。

問題2: 接続文字列の構成時に検証が失敗する

考えられる原因:

  • 接続文字列の形式が正しくありません。
  • ストレージアカウントのネットワーク制限によりアクセスがブロックされています。
  • コンテナを作成するための権限が不足しています。

解決策:

  1. Azureポータルから完全な接続文字列を再度コピーします。
  2. ストレージアカウントのファイアウォール設定を確認します。テストのために、一時的に広範なネットワークアクセスを許可します。
  3. 接続文字列がコンテナ作成権限を付与していることを確認します。
  4. ストレージアカウントがロックされていないか、その他の制限を受けていないことを確認します。

問題3: データアップロード後にユーザーセッションが中断されるか、遅くなる

いいえ、データアップロードはバックグラウンドで実行され、通常のブラウザ使用を中断しません。アップロードは、最小限のリソース消費で非同期I/Oを使用します。

問題4: アクティブなユーザーセッションに構成はすぐに適用されますか

いいえ、更新された設定を適用するには、ユーザーは現在のセッションを閉じて新しいセッションを開始する必要があります。アクティブなセッションは、起動時に存在した構成を引き続き使用します。

問題5: 複数のアプリケーションで同じストレージアカウントを使用できますか

はい、複数のアプリケーションで同じストレージアカウントとuser-activityコンテナを共有できます。ファイル命名とappNameフィールドは、アプリケーション間のデータを区別するのに役立ちます。

クローム エンタープライズ プレミアム (CEP) との統合

このトピックでは、Citrix Remote Browser Isolation (RBI) と Linux VDA 向け Google Chrome Enterprise Premium (CEP) の統合について説明します。この機能で何が可能になるか、その仕組み、および管理者が有効にする前に知っておくべきことについて説明します。

はじめに

Google Chrome Enterprise Premium (CEP) は、エンタープライズ環境向けに高度なセキュリティ、ブラウザ管理、およびポリシー適用を提供します。この機能により、Citrix RBI ブラウザは Google 登録トークンを使用して Chrome Enterprise ポリシーに登録できます。管理者は、Google 管理コンソールから組織および部門のセキュアブラウザポリシーを一元的に管理できます。

この統合により、EDR エージェントを必要とせずに、信頼できないエンドポイントデバイスにセキュリティとコンプライアンスを適用するためのスケーラブルなクラウド管理アプローチが提供されます。

この機能で可能になること

CEP 統合により、次のことが可能になります。

管理者は次のことができます。

  • 同じカタログ内のすべての Citrix RBI ブラウザユーザーに Chrome Enterprise ポリシーを適用します。
  • Google 管理コンソールを通じてこれらのポリシーを一元的に管理します。

ユーザーは次のことができます。

  • 登録後に管理対象ブラウザとなる RBI ブラウザを使用します。
  • コピー＆ペースト制御や URL ブロックリストなど、一貫したエンタープライズポリシーを受け取ります。
  • Google Cloud からの自動ポリシー更新を受け取ります。

使用方法

準備事項

CEP 統合を有効にする前に：

  1. グーグル ワークスペース が クローム エンタープライズ プレミアム をサポートしていることを確認します。
  2. 少なくとも1つのCitrix RBIカタログが存在することを確認します。存在しない場合は、作成します。
  3. どのRBIカタログがChromeポリシーによって管理される必要があるかを特定します。
  4. 必要に応じて、Google管理コンソールで組織単位 (OU) ごとに登録トークンを1つ生成します。

シトリックス クラウド ポータルでの構成

CEPでは、各カタログに登録トークンが必要です。Citrixは、そのカタログから起動されたユーザーセッションにトークンを自動的に配布します。

登録フロー
  1. Google管理コンソールから登録トークンを取得します。
  2. シトリックス クラウドにサインインし、リモート ブラウザ アイソレーションに移動します。
  3. 左側のメニューで管理を選択します。
  4. ターゲットカタログを選択し、構成の詳細を開きます。
  5. Googleトークン登録を有効にするを有効にし、登録トークンを入力します。
  6. トークンを適用を選択します。

シーイーピー統合(/ja-jp/citrix-remote-browser-isolation/media/cep-integration.png)

ユーザーがそのカタログの下でセキュアブラウザアプリケーションを起動すると、トークン登録が自動的に行われ、CEPに登録されたブラウザでブラウジングが続行されます。

管理者タスク

  • Googleトークン登録を有効にする を無効にするか再度有効にするか、または登録トークンを更新します。
  • chrome://policyを使用してChromeポリシーの適用を監視します。
  • Google管理デバイスリストを定期的に確認し、古いレコードを削除します。

制限事項と既知の動作

ユーザープロファイルの同期はサポートされていません

Chromeユーザープロファイルのクラウド同期は、CEPトークン登録済みRBIブラウザ内では機能しません。

構成変更ごとに再起動が必要です

RBIは一時的なファイルシステムを使用するため、管理者がCEP統合を有効または無効にする場合、またはCEPトークンを更新する場合には再起動が必要です。

許可リストポリシーの動作

カタログ下のRBIブラウザアプリケーション用に構成された許可リストがデフォルトの*:*から変更された場合、CEP登録を完了するために*.google.com:*を含めます。CEPが起動された後、RBI許可リストポリシーは適用されません。

Google管理に重複するデバイスが表示される場合があります

イメージアップグレード後、マシンは新しいIDを受け取ることがあります。これにより、Google管理コンソールに追加のデバイスレコードが作成される可能性があります。

カタログ下のマシンを再起動する

カタログにリストされている各マシンについて：

  1. 右側のメニューを選択します。
  2. 「再起動」を選択します。

マシンの再起動(/ja-jp/citrix-remote-browser-isolation/media/reboot-machine.png)

顧客管理のRBIカタログ仮想ネットワーク向けAzure Firewallの構成

Azure Firewallを使用すると、Remote Browser Isolationサービス内のカタログマシンからの送信Webリクエストをフィルタリングできます。既存のAzure仮想ネットワークにAzure Firewallを展開することで、送信トラフィックを制御および監視できます。これにより、ネットワークセキュリティを強化し、ワークロードの送信接続を管理できます。

前提条件:

  • AzureサブスクリプションのRemote Browser Isolationサービスで作成されたカタログ。
  • Azureリソースを作成および管理するための十分な権限。

Azure仮想ネットワークの特定

  1. Citrix Cloud DaaSコンソールで、保護するマシンカタログを特定します。
  2. カタログからマシンを選択し、その名前の最初の部分 (例: RBI3BLR6-O80001) をコピーします。
  3. Azureポータルで、この名前を使用してVMを検索します。
  4. VMの概要で、「リンクされた仮想ネットワーク」を選択します。

Azure ファイアウォールを作成する

  1. 仮想ネットワークのメニューで、「設定」の下にある「サブネット」を選択します。
  2. 用途を「Azure Firewall」に設定して新しいサブネットを追加します (デフォルト設定を使用)。
  3. 仮想ネットワークの概要に戻り、Capabilities の下にある Azure Firewall を選択します。
  4. 「新しいファイアウォールを追加」をクリックします。
  5. 次のフィールドに入力します。
    • サブスクリプションとリソースグループ: 適切に選択します。
    • 名前: ファイアウォールの名前を入力します。
    • リージョン: 仮想ネットワークのリージョンと一致させます。
    • ファイアウォール層: Standard を選択します。
    • 仮想ネットワーク: ステップ1で特定したネットワークを選択します。
    • 「ファイアウォールポリシー」: 「ファイアウォールポリシーを使用してこのファイアウォールを管理する」を選択します。
    • ポリシー名: Add new をクリックし、名前を入力します（例：Test-policy）。
    • ファイアウォール管理NIC: この設定を無効にします。
  6. 設定を確認し、ファイアウォールを作成します。

ルーティングの構成

  1. デプロイ後、Azure Firewallリソースを開き、そのプライベートIPアドレスをメモします。
  2. Azureポータルで、仮想ネットワークに移動し、サブネットを選択します。
  3. カタログVMが存在するサブネットを特定します（通常はdefaultという名前です）。
  4. 新しいルートテーブルを作成するか、このサブネットに関連付けられている既存のルートテーブルを選択します。
  5. 新しいルートを追加します。
    • 宛先: 0.0.0.0/0
    • ネクストホップの種類: Virtual appliance
    • ネクストホップアドレス: Azure FirewallのプライベートIPアドレスを入力します。
  6. ルートを保存します。

ファイアウォールルールを構成する

  1. Azureポータルで、ファイアウォール マネージャー > Azure Firewall ポリシーに移動します。
  2. 作成したポリシー（例: Test-policy）を選択します。
  3. ルールに移動します。
  4. 新しいアプリケーションルールコレクションを追加します（Webフィルタリングに推奨）。
  5. 特定のFQDNまたはURLカテゴリを許可または拒否するルールを定義します。たとえば、www.example.comへのアクセスを拒否するには、次のようにします。
    • 名前: DenyExampleWebsite
    • 送信元IPアドレス: カタログVMのサブネット範囲。
    • 宛先FQDN (完全修飾ドメイン名): www.example.com
    • プロトコル: http:80, https
    • アクション: Deny
  6. ルールコレクションを保存します。
  7. 必要に応じて、追加の許可または拒否ルールを追加し、それに応じて優先順位を調整します。(オプション)

構成のテスト

  1. 構成済みのカタログ内のマシンからブラウザセッションを起動します。
  2. 許可されているウェブサイトとブロックされているウェブサイトの両方にアクセスしてみて、アクセス制御が正しく機能していることを確認します。
  3. ファイアウォールが定義されたルールに従ってネットワークトラフィックを正しくフィルタリングしていることを確認します。

トラブルシューティング

問題が発生した場合は、Azure Firewall ドキュメントを参照してください。

制限事項

同じカタログ内のすべてのブラウザは、同じファイアウォール、ポリシー、およびルールを使用します。

ネットワークアドレス変換 (NAT) (セキュアウェブ) ゲートウェイを有効にする

構成の詳細ページで、特定のカタログに対してセキュアウェブゲートウェイを追加するオプションがあります。

ソフトウェアのアップグレードとパッチ管理

Citrixは、ソフトウェア管理を含むマシンイメージとカタログを作成および管理します。新しいバージョンのカタログが利用可能になると、Citrixはこれらのアップグレードを顧客のカタログにプッシュし、マシンが次回再起動されたときに最新の修正とパッチを受け取るようにします。RBIは、顧客のサブスクリプションでこれらのアップグレードを容易にするために、DaaS Catalogサービスを使用します。

シトリックス® ストアフロント クラウドとの統合

リモートブラウザ分離はストアフロントクラウドと統合できます。統合されていることを確認するには：

  1. Citrix Cloudにサインインします。
  2. 左上のメニューで、StoreFront Cloudを選択します。
  3. サービス統合タブを選択します。
  4. Remote Browser IsolationサービスのエントリがEnabledと表示されていることを確認します。表示されていない場合は、省略記号メニューをクリックしてEnableを選択します。

まだ行っていない場合は、Configure authentication to storesで説明されているように、ストアのURL、外部接続、およびストア認証を構成します。

リモートブラウザアイソレーションは、アクティブディレクトリおよびマイクロソフトエントラIDによる認証をサポートしています。アクティブディレクトリによる認証は、デフォルトで構成されています。マイクロソフトエントラIDを使用した認証の構成については、マイクロソフトエントラIDをシトリックスクラウドに接続するを参照してください。

Microsoft Entra IDを使用して認証を構成する場合、Active Directoryドメインコントローラーを含むオンプレミスドメインには、1つ（できれば2つ）のCloud Connectorが含まれている必要があります。

オンプレミスのStoreFrontとの統合

オンプレミスのStoreFrontを使用しているCitrix Virtual Apps and Desktops™のお客様は、Remote Browser Isolationサービスと簡単に統合して、次の利点を得ることができます。

  • 公開されているリモート分離ブラウザーを既存のCitrix Virtual Apps™ and Desktopsアプリと集約し、統合されたストアエクスペリエンスを実現します。
  • 強化されたエンドユーザーエクスペリエンスのために、ネイティブのCitrix Receiversを使用します。
  • 既存の多要素認証ソリューションをStoreFrontと統合して使用することで、Remote Browser Isolationの起動のセキュリティを強化します。

詳細については、CTX230272 およびStoreFront構成ドキュメントを参照してください。

追加の機能
August 3, 2026
寄稿者: 
C
August 3, 2026
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.