製品ドキュメント

セキュリティキーの管理

May 31, 2026
寄稿者: 
C

重要:

  • この機能は、StoreFront™ 1912 LTSR CU2 以降と組み合わせて使用する必要があります。
  • Secure XML 機能は、Citrix ADC および Citrix Gateway リリース 12.1 以降でのみサポートされています。

注:

Citrix Virtual Apps and Desktops™ の展開は、WebベースのWeb Studio と WindowsベースのCitrix Studio という2つの管理コンソールを使用して管理できます。この記事では、Web Studio のみに焦点を当てています。Citrix Studio に関する詳細情報については、Citrix Virtual Apps and Desktops 7 2212 以前のバージョンにおける同等の記事をご参照ください。

この機能を使用すると、承認された StoreFront および Citrix Gateway マシンのみが Delivery Controllers と通信できるようになります。この機能を有効にすると、キーを含まないすべての要求はブロックされます。この機能を使用して、内部ネットワークから発生する攻撃から保護するための追加のセキュリティ層を追加します。

この機能を使用するための一般的なワークフローは次のとおりです。

  1. Web Studio で機能設定を表示できるようにします。

  2. サイトの設定を構成します。

  3. StoreFront の設定を構成します。

  4. Citrix ADC の設定を構成します。

サイトの設定を構成する

Web Studio または PowerShell を使用して、サイトのセキュリティキー設定を構成できます。

ウェブスタジオを使用する

  1. Web Studio にサインインし、左側のペインで設定を選択します。

  2. セキュリティキーの管理タイルを見つけて、編集をクリックします。セキュリティキーの管理ページが表示されます。

    セキュリティキー管理ウィザード(/ja-jp/citrix-virtual-apps-desktops/2507-ltsr/media/manage-security-key-wizard.png)

  3. 更新アイコンをクリックしてキーを生成します。

    重要:

    • 使用可能なキーは2つあります。XMLポートおよびSTAポートを介した通信には、同じキーまたは異なるキーを使用できます。一度に1つのキーのみを使用することをお勧めします。未使用のキーは、キーのローテーションにのみ使用されます。
    • 使用中のキーを更新するために更新アイコンをクリックしないでください。クリックすると、サービスが中断されます。

  4. 通信にキーが必要な場所を選択します。

    • XMLポートを介した通信にキーを要求する（StoreFrontのみ）。選択した場合、XMLポートを介した通信を認証するためにキーが必要です。StoreFrontはこのポートを介してCitrix Cloudと通信します。XMLポートの変更については、Knowledge Centerの記事CTX127945を参照してください。

    • STAポートを介した通信にキーを要求する。選択した場合、STAポートを介した通信を認証するためにキーが必要です。Citrix GatewayとStoreFrontはこのポートを介してCitrix Cloudと通信します。STAポートの変更については、Knowledge Centerの記事CTX101988を参照してください。

  5. 保存をクリックして変更を適用し、ウィンドウを閉じます。

パワーシェルを使用する

以下は、Web Studioの操作に相当するPowerShellの手順です。

  1. シトリックス バーチャル アプリケーションズ アンド デスクトップス リモート パワーシェル SDK を実行します。

  2. コマンドウィンドウで、次のコマンドを実行します。
    • Add-PSSnapIn Citrix*
  3. キーを生成し、Key1 を設定するには、次のコマンドを実行します。
    • New-BrokerXmlServiceKey
    • Set-BrokerSite -XmlServiceKey1 <the key you generated>
  4. キーを生成し、Key2 を設定するには、次のコマンドを実行します。
    • New-BrokerXmlServiceKey
    • Set-BrokerSite -XmlServiceKey2 <the key you generated>
  5. 通信の認証でキーの使用を有効にするには、次のコマンドのいずれか、または両方を実行します。
    • XML ポート経由で通信を認証するには:
      • Set-BrokerSite -RequireXmlServiceKeyForNFuse $true
    • STA ポート経由で通信を認証するには:
      • Set-BrokerSite -RequireXmlServiceKeyForSta $true

ガイダンスと構文については、PowerShell コマンドのヘルプを参照してください。

StoreFront の設定を構成する

サイトの構成が完了したら、PowerShell を使用して StoreFront の関連設定を構成する必要があります。

StoreFrontサーバーで、以下のPowerShellコマンドを実行します。

XMLポート経由の通信用にキーを構成するには、コマンド[Set-STFStoreFarm https://developer-docs.citrix.com/ja-jp/storefront-powershell-sdk/current-release/Set-STFStoreFarm.html]を使用します。例： 
$store = Get-STFStoreService -VirtualPath [Path to store]
$farm = Get-STFStoreFarm -StoreService $store -FarmName [Resource feed name]
Set-STFStoreFarm -Farm $farm -XMLValidationEnabled $true -XMLValidationSecret [secret]
<!--NeedCopy-->

以下のパラメーターに適切な値を入力します。

  • Path to store
  • Resource feed name
  • secret

STAポート経由の通信用にキーを構成するには、New-STFSecureTicketAuthorityおよびSet-STFRoamingGatewayコマンドを使用します。例：

$gateway = Get-STFRoamingGateway -Name [Gateway name]
$sta1 = New-STFSecureTicketAuthority -StaUrl [STA1 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
$sta2 = New-STFSecureTicketAuthority -StaUrl [STA2 URL] -StaValidationEnabled $true -StaValidationSecret [secret]
Set-STFRoamingGateway -Gateway $gateway -SecureTicketAuthorityObjs $sta1,$sta2
<!--NeedCopy-->

以下のパラメーターに適切な値を入力します。

  • Gateway name
  • STA URL
  • Secret

ガイダンスと構文については、PowerShellコマンドのヘルプを参照してください。

Citrix ADCの設定を構成する

注：

Citrix ADCをゲートウェイとして使用しない限り、Citrix ADCにこの機能を構成する必要はありません。Citrix ADCを使用する場合は、以下の手順に従ってください。

  1. 以下の前提条件となる構成がすでに設定されていることを確認してください。

    • 以下のCitrix ADC関連のIPアドレスが構成されています。
      • Citrix ADCコンソールにアクセスするためのCitrix ADC管理IP (NSIP) アドレス。詳細については、「NSIPアドレスの構成」を参照してください。

      ADC管理IPアドレス

      • Citrix ADCアプライアンスとバックエンドサーバー間の通信を有効にするためのサブネットIP (SNIP) アドレス。詳細については、「サブネットIPアドレスの構成」を参照してください。
      • セッション起動のためにADCアプライアンスにログインするためのCitrix Gateway仮想IPアドレスとロードバランサー仮想IPアドレス。詳細については、「仮想サーバーの作成」を参照してください。

      サブネットIPアドレス

    • Citrix ADCアプライアンスで必要なモードと機能が有効になっています。
      • モードを有効にするには、Citrix ADC GUIで [システム] > [設定] > [モードの構成] に移動します。
      • 機能を有効にするには、Citrix ADC GUIで [システム] > [設定] > [基本機能の構成] に移動します。
    • 証明書関連の構成が完了しています。
      • 証明書署名要求 (CSR) が作成されています。詳細については、「証明書の作成」を参照してください。

      CSR証明書の作成

      サーバー証明書のインストール

      CA証明書をインストール

      • Citrix Virtual Desktops用にCitrix Gatewayが作成されました。仮想サーバーがオンラインであることを確認するには、Test STA Connectivityボタンをクリックして接続をテストします。詳細については、「Citrix Virtual Apps and Desktops向けCitrix ADCのセットアップ」(/ja-jp/citrix-adc/current-release/solutions/deploy-xa-xd.html)を参照してください。

      仮想デスクトップ用Gateway

  2. リライトアクションを追加します。詳細については、「リライトアクションの構成」(/ja-jp/citrix-adc/current-release/appexpert/rewrite.html#configuring-a-rewrite-action)を参照してください。

    1. AppExpert > Rewrite > Actionsの順にメニューを選択して移動します。
    2. Addをクリックして、新しいリライトアクションを追加します。アクションの名前を「set Type to INSERT_HTTP_HEADER」にすることができます。

    リライトアクションの追加

    1. Typeフィールドで、INSERT_HTTP_HEADERオプションを選択します。
    2. ヘッダー名に、X-Citrix-XmlServiceKeyという値を入力します。
    3. 式に、引用符付きで<XmlServiceKey1 value>を追加します。XmlServiceKey1の値は、Desktop Delivery Controller™の構成からコピーできます。

    XMLサービスキーの値

  3. リライトポリシーを追加します。詳細については、「リライトポリシーの構成」(/ja-jp/citrix-adc/current-release/appexpert/rewrite.html#configure-rewrite-policy)を参照してください。

    1. AppExpert > リライト > ポリシー に移動します。

    2. Addをクリックして、新しいポリシーを追加します。

    リライトポリシーの追加

    1. 「アクション」で、前のステップで作成したアクションを選択します。
    2. 「式」という項目に HTTP.REQ.IS_VALID を追加します。
    3. 「OK」をクリックします。

  4. 負荷分散を設定します。STAサーバーごとに1つの負荷分散仮想サーバーを構成する必要があります。そうしないと、セッションの起動に失敗します。

    詳細については、基本的な負荷分散の設定を参照してください。

    1. 負荷分散仮想サーバーを作成します。
      • 「トラフィック管理 > 負荷分散 > サーバー」に移動します。
      • 「仮想サーバー」ページで、「追加」をクリックします。

      負荷分散サーバーを追加

      • 「プロトコル」で、「HTTP」を選択します。
      • 負荷分散仮想IPアドレスを追加し、「ポート」で「80」を選択します。
      • 「OK」をクリックします。
    2. 負荷分散サービスを作成します。
      • 「トラフィック管理 > 負荷分散 > サービス」に移動します。

      負荷分散サービスを追加

      • 「Existing Server」で、前の手順で作成した仮想サーバーを選択します。
      • 「Protocol」で「HTTP」を選択し、「Port」で「80」を選択します。
      • 「OK」をクリックし、次に「Done」をクリックします。
    3. サービスを仮想サーバーにバインドします。
      • 以前に作成した仮想サーバーを選択し、「Edit」をクリックします。
      • 「サービスとサービスグループ」で、「負荷分散仮想サーバーサービスバインディングなし」をクリックします。

      サービスを仮想サーバーにバインドする(/ja-jp/citrix-virtual-apps-desktops/2507-ltsr/media/adc-bind-service-to-lbvserver.png)

      • 「Service Binding」で、以前に作成したサービスを選択します。
      • 「Bind」をクリックします。
    4. 以前に作成した書き換えポリシーを仮想サーバーにバインドします。
      • 以前に作成した仮想サーバーを選択し、「Edit」をクリックします。
      • 「Advanced Settings」で「Policies」をクリックし、次に「Policies」セクションで「+」をクリックします。

      書き換えポリシーをバインドする(/ja-jp/citrix-virtual-apps-desktops/2507-ltsr/media/adc-bind-rewrite-policy.png)

      • 「ポリシーの選択」で「リライト」を選択し、「タイプの選択」で「リクエスト」を選択します。
      • 「Continue」をクリックします。
      • 「ポリシーの選択」で、以前に作成した書き換えポリシーを選択します。
      • バインドをクリックします。
      • 完了をクリックします。
    5. 必要に応じて、仮想サーバーの永続性を設定します。
      • 以前に作成した仮想サーバーを選択し、編集をクリックします。
      • 「詳細設定」で、永続性をクリックします。

      永続性の設定(/ja-jp/citrix-virtual-apps-desktops/2507-ltsr/media/adc-lb-vserver-persistence.png)

      • 永続性の種類として「その他」を選択します。
      • DESTIPを選択して、仮想サーバーによって選択されたサービスのIPアドレス（宛先IPアドレス）に基づいて永続セッションを作成します。
      • 「IPv4ネットマスク」で、DDCと同じネットワークマスクを追加します。
      • OKをクリックします。
    6. 他の仮想サーバーについても、これらの手順を繰り返します。

Citrix ADCアプライアンスがCitrix Virtual Desktops™で既に構成されている場合の構成の変更

Citrix ADCアプライアンスをCitrix Virtual Desktopsで既に構成している場合、Secure XML機能を使用するには、次の構成変更を行う必要があります。

  • セッション起動前に、ゲートウェイのセキュリティチケット機関URLを変更して、負荷分散仮想サーバーのFQDNを使用するようにします。
  • TrustRequestsSentToTheXmlServicePort パラメーターが False に設定されていることを確認します。デフォルトでは、TrustRequestsSentToTheXmlServicePort パラメーターは False に設定されています。ただし、顧客が Citrix Virtual Desktops 用に Citrix ADC をすでに構成している場合、TrustRequestsSentToTheXmlServicePort は True に設定されます。
  1. Citrix ADCのGUIで、構成 > Citrix製品との統合に移動し、XenAppおよびXenDesktop®をクリックします。

  2. ゲートウェイインスタンスを選択し、編集アイコンをクリックします。

    既存のゲートウェイ構成を編集する(/ja-jp/citrix-virtual-apps-desktops/2507-ltsr/media/edit-gateway-instance.png)

  3. StoreFront ペインで、編集アイコンをクリックします。

    StoreFront の詳細を編集する(/ja-jp/citrix-virtual-apps-desktops/2507-ltsr/media/edit-storefront-details.png)

  4. セキュアチケットオーソリティURL を追加します。
    • Secure XML 機能が有効になっている場合、STA URL は負荷分散サービスの URL である必要があります。
    • Secure XML 機能が無効になっている場合、STA URL は STA の URL (DDC のアドレス) である必要があり、DDC 上の TrustRequestsSentToTheXmlServicePort パラメーターは True に設定されている必要があります。

    STA URL を追加する(/ja-jp/citrix-virtual-apps-desktops/2507-ltsr/media/add-sta-urls.png)

セキュリティキーの管理
May 31, 2026
寄稿者: 
C
May 31, 2026
寄稿者: 
C

この記事の概要

サイトに関するフィードバック | Your privacy choices footer linkプライバシーに関する選択肢 | プライバシーと法令 | Cookieの設定 | 同意設定 | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.